Onlinebanking (Postbank): Chipkartenleser oder Handy?

MaWin schrieb:
> Beide sind angreifbar per Man-In-The-Middle

Nein, nicht wenn das Verfahren die Kontonummer/BLZ und den Betrag 
einschließt.

Bond schrieb:
>  dann ist es aus mit Sicherheit.
Dann müßte aber bereits das Handy infiltriert sein durch Schadsoftware.

Martin schrieb:
> Welches der beiden Verfahren ist als sicherer einzustufen?

Der Kartenleser funktioniert halt auch ohne Empfang und die Batterie 
darin hält einige Jahre. Ansonsten nehmen sich die Verfahren nicht viel, 
wobei das mit dem extra Gerät noch ein tick sicherer ist, da dort der 
Unsicherheitsfaktor Handy/Betriebssystem nicht gegeben ist.

MaWin schrieb:
> Beide sind angreifbar per Man-In-The-Middle,

Manipulieren kann man grundsätzlich jeden Datenstrom.
Entscheidend ist, ob man dieses erkennt.

> aber beim SMS-Verfahren hast du die Möglichkeit,
> das zu erkennen, wenn du die Kontonummer vergleichst.

Zum Beispiel.

Zusätzlich wird beispielsweise bei Consors noch BLZ und Betrag 
angezeigt.

Womit Man-in-the-middle glücklicherweise nicht mehr möglich ist.

Das Handy-Verfahren ist schon ok.

Mit dem Chipkartenleser: ist schon sehr lästig - das nervt mich immer 
bei der SwissPost.

Chris D.

Chris D. schrieb:
> Mit dem Chipkartenleser: ist schon sehr lästig

Bei OpticTAN werden die Daten über eine Art Barcode automatisch in den 
Leser übertragen und man muß die Daten nurnoch einmal kontrollieren und 
die TAN eingeben, also auch nicht sooooo viel schwierieger :)

Läubi .. schrieb:
> Chris D. schrieb:
>> Mit dem Chipkartenleser: ist schon sehr lästig
>
> Bei OpticTAN werden die Daten über eine Art Barcode automatisch in den
> Leser übertragen und man muß die Daten nurnoch einmal kontrollieren und
> die TAN eingeben, also auch nicht sooooo viel schwierieger :)

Schon richtig.

Ich meine auch weniger das Eintippen als das "Rumfummeln" mit Geldbörse, 
Karte und Lesegerät.

Das Handy dagegen habe ich üblicherweise immer auf dem Schreibtisch 
liegen :-)

Wie sicher bist du dir, dass der Nachbars-Junge es nicht schafft auf 
deinem Rechner einen Keylogger abzulegen, um die Online Banking Daten 
abzufischen und dann dieses hier:

http://bazonline.ch/wirtschaft/unternehmen-und-konjunktur/So-einfach-lassen-sich-SMS-abfangen-und-entschluesseln/story/25854824

Zusärtlixh dazu, dass der Chip-Tan generator meist nur einmalig kostet 
und eine SMS ggf. jeweils ca 13ct.

Ich nutze ChipTan mit dem Optic-Flacker-Code von der Sparkasse(man 
sollte das Gerät aber genau vor den Bildschirm halten, sonst klappt das 
nicht- meine Mutter hält, das gerät so, dass sie was lesen kann...

Marcus B. schrieb:
> Wie sicher bist du dir, dass der Nachbars-Junge es nicht schafft auf
> deinem Rechner einen Keylogger abzulegen, um die Online Banking Daten
> abzufischen und dann dieses hier:
>
> 
http://bazonline.ch/wirtschaft/unternehmen-und-konjunktur/So-einfach-lassen-sich-SMS-abfangen-und-entschluesseln/story/25854824

Na und?

Dann weiss er, wohin ich überweise.

Manipulieren kann er da noch lange nichts.

> Zusärtlixh dazu, dass der Chip-Tan generator meist nur einmalig kostet
> und eine SMS ggf. jeweils ca 13ct.

Nö, das ist zumindest bei der Post und Consors kostenlos.
Und das kostet gar nichts :-)

> Ich nutze ChipTan mit dem Optic-Flacker-Code von der Sparkasse(man
> sollte das Gerät aber genau vor den Bildschirm halten, sonst klappt das
> nicht- meine Mutter hält, das gerät so, dass sie was lesen kann...

Wie gesagt: mir ist das zu fummelig.

Per Handy ist das schon sicher.
Wenn man natürlich Betrag, Kontonr. und BLZ der SMS nicht überprüft, ist 
man selbst schuld. Ich kontrolliere das jedenfalls immer.

Chris D.

Chris D. schrieb:
> Na und?
>
> Dann weiss er, wohin ich überweise.

Wenn er dann deine Zugangsdaten hat, dann weiss er, wohin er 
überweist.

Und erklär mal deiner Bank, dass deine Nachbarn deine SMS abgefangen 
haben und dann die Überweisung getätigt wurde.

Der Keylogger am PC ist noch relativ einfach nachweisbar

Marcus B. schrieb:
> Chris D. schrieb:
>> Na und?
>>
>> Dann weiss er, wohin ich überweise.
>
> Wenn er dann deine Zugangsdaten hat, dann weiss er, wohin *er*
> überweist.

Stimmt, da hast Du Recht.
Ich wusste allerdings nicht, dass die Verschlüsselung bei GSM so 
grottenschlecht ist.

> Und erklär mal deiner Bank, dass deine Nachbarn deine SMS abgefangen
> haben und dann die Überweisung getätigt wurde.

Ich nehme alles zurück und behaupte das Gegenteil :-)

Allerdings ist der Aufwand schon sehr hoch, insbesondere wenn er die 
Handynummer nicht kennt.

Chris D. (wird sich wohl doch wieder ein Lesegerät zulegen müssen)

Chris D. schrieb:
> Allerdings ist der Aufwand schon sehr hoch, insbesondere
> wenn er die Handynummer nicht kennt.
Er muss außerdem deine PIN ausspähen und dein Handy zur rechten Zeit 
klauen und die SMS welche du empfängst schnell löschen und dann das 
Handy wieder zurückbringen...

Läubi .. schrieb:
> Chris D. schrieb:
>> Allerdings ist der Aufwand schon sehr hoch, insbesondere
>> wenn er die Handynummer nicht kennt.

> Er muss außerdem deine PIN ausspähen und dein Handy zur rechten Zeit
> klauen und die SMS welche du empfängst schnell löschen und dann das
> Handy wieder zurückbringen...

Welche PIN meinst Du?
Die vom Login bei der Postbank?
Ja - aber wenn er einen Keylogger installieren kann, sollte das sehr 
einfach logbar sein.

Das Handy benötigt er dafür leider nicht, denn wenn er den Funkverkehr 
vom Mast zu mir aufzeichnet, und dekodiert reicht ihm das ja.

Er loggt sich dann ganz bequem zu hause ein (PIN hat er ja) und 
überweist wohin er will - dann fängt er die SMS ab und gibt die TAN ein 
- weg ist das Geld. Einmal funktioniert das auf jeden Fall und das 
reicht meist ;-)

Bitter: durch die zeitliche Nähe Überweisung <-> SMS (meist nur einige 
Sekunden) kann er die Handynummer doch relativ schnell rausfinden :-/

Chris D.
(der dachte, GSm wäre halbwegs sicher - tja, falsch gedacht ...)

Ja aber du kriegst ja die SMS auch nochmal da sollte man dann doch 
stutzig werden :)

Läubi .. schrieb:
> Ja aber du kriegst ja die SMS auch nochmal da sollte man dann doch
> stutzig werden :)

Natürlich - bloß ist das Geld dann schon weg.

Und wenn SIE schlau sind, dann überweisen SIE ES irgendwann nachts ;-)