D
ie Kontoführung von zu Hause oder aus der Pra- xis ist einfach, preiswert und komfortabel. Bankkun- den können rund um die Uhr ihre Konten einsehen, Über- weisungen in Auftrag ge- ben, Reisewährungen bestel- len oder Wertpapiere kaufen.Die Konditionen liegen weit unter den Sätzen für „klas- sische“ Bankdienstleistungen.
Auch Wertpapiertransaktio- nen kosten 20 bis 50 Prozent weniger als bei der Abwick- lung über den Bankberater.
Einziges Problem ist die Frage nach der Sicherheit. Die mei- sten Systeme arbeiten mit dem PIN/TAN-Verfahren:
❃ Für den Zugang zum Konto benötigt der Kunde ei- ne fünfstellige stets gleich bleibende „Persönliche Iden- tifikations-Nummer“ (PIN).
❃ Für jede Transaktion ist eine sechsstellige Transakti- ons-Nummer (TAN) notwen- dig, die dem Teilnehmer in Form von Listen mit 50 bis 100 Nummern zugesandt wird.
❃ Sollte der Kunde das Homebanking über ein ge- schlossenes System, also nicht über das Internet, betreiben, etwa mittels T-Online oder America Online (AOL), hat er einen weiteren Schutz:
Hier muss er sich außer per PIN und TAN auch noch über die Zugangskennungen sei- nes Systembetreibers legiti- mieren, die dem Kreditinsti- tut zur Kontrolle übermittelt werden. Anonyme Transak- tionen sind nicht möglich.
Kreditkartenlisten im Internet Während bei einem geschlos- senen System lediglich der Sy- stemrechner mit dem Kunden- rechner korrespondiert, wer- den die Daten beim Zugang über das Internet (und hier be- ginnt das Risiko) möglicher- weise über fünf, zehn oder mehr Rechnersysteme transfe- riert, bis sie beim kontofüh- renden Kreditinstitut eintref- fen. Jedes zwischengeschaltete System stellt einen Schwach- punkt dar. Möglich ist ei- nerseits das Eindringen ei- nes Hackers, der die Daten
„abfischt“. Denkbar sind aber
auch unseriöse Machenschaf- ten des Rechnerbetreibers, der ermittelte Kontendaten zwi- schenspeichert und an unbe- fugte Dritte weiterleitet. Dies muss nicht einmal mit Ab- sicht geschehen. Fälle, in de- nen aufgrund von Program- mierfehlern Kreditkartenli- sten im Internet veröffent- licht wurden, sorgten bereits für Schlagzeilen.
Besonders problematisch ist das Homebanking über In- ternet-Anwendungen per un- geschützter Verbindung (er- kennbar an einem Symbol des Browsers). Hier werden die Daten im Klartext übertragen und bieten breite Angriffs- flächen. Besser ist die SSL- Verschlüsselung, die im In- ternet-Browser ebenfalls per Symbol angezeigt wird. Hier- bei werden die Daten über einen 40 Zeichen langen Code verschlüsselt und erst beim Empfängerinstitut wie- der entschlüsselt. Nur wenn dem Hacker die Entschlüsse- lung gelingt, kann er auf die Daten zugreifen. Noch siche- rer ist die HBCI-Verschlüs- selung, wird hier doch mit einem bis zu 128-stelligen Schlüssel gearbeitet. Zudem weist sich der Homebanker via Kartenlesegerät und Chip- karte aus. Obwohl umständ- lich, handelt es sich um das si- cherste Verfahren.
Stellt sich die Frage nach dem möglichen Umfang des Missbrauchs. Um den Zugang zum Konto zu erlangen und beispielsweise neue Buchun- gen abzufragen, benötigt ein Hacker neben der Kontonum- mer lediglich die PIN. Um die- ses Risiko zu vermeiden, soll- te daher jeder Homebanking- Anwender seine Geheimnum- mer regelmäßig ändern. Auch sollten die Daten nicht im Rechner gespeichert werden.
Mit dem Zugang allein kann ein Hacker jedoch noch wenig anfangen. Überweisun- gen und Wertpapieraufträge erfordern schließlich die Ein- gabe einer Transaktionsnum- mer, die mit dem übertra- genen Auftrag automatisch
„verbraucht“ ist. Sollte der Hacker versuchen, eine TAN durch Ausprobieren zu ermit- teln, wird ihm schnell ein Rie- gel vorgeschoben: Nach drei- maliger Fehleingabe wird der Kontozugang gesperrt und erst nach Rücksprache mit dem kontoführenden Institut wieder freigeschaltet. Zudem protokollieren die Institute derartige Zugriffsversuche, sodass möglicherweise Rück- schlüsse auf den Hacker mög- lich sind.
Moderne Bankräuber
Selbst wenn es einem Hacker gelungen sein sollte, PIN und TAN zu ermitteln, stellt sich immer noch die Frage nach den Möglichkeiten des Miss- brauchs. Im ungünstigsten Fall kann er eine Überweisung zu- gunsten seines eigenen Kon- tos in Auftrag geben – für das er sich zumindest bei der Kontoführung im Inland mit- tels Ausweis legitimiert hat.
Damit haben Behörden die Möglichkeit, den „modernen Bankräuber“ schnell zu über- führen. Nur dann, wenn das Geld an ein dubioses Institut in ein Land mit mangelhaf- tem Rechtsbewusstsein trans- feriert wird, besteht die Ge- fahr, dass die Rückforderung schwierig bis unmöglich wird.
Entsprechend raten die Ban- ken ihren Kunden, Kontoaus- züge ständig zu kontrollieren und Unstimmigkeiten umge- hend zu reklamieren.
Der sorgfältige Umgang mit PIN und TAN sowie die
regelmäßige Überpüfung der Kontoauszüge sind notwendi- ge Sicherheitsvorkehrungen.
Wichtig ist es aber auch, dass der heimische PC ausreichend geschützt ist. Immer wie- der gelingt es betrügerischen Internet-Anbietern, beispiels- weise zusammen mit Bildda- teien, „trojanische Pferde“ in Rechnern von Internet-Sur- fern zu platzieren. Sie sollen Daten aus Programmen aus- lesen und via Internet an den Auftraggeber übermitteln.
Allerdings bestehen auch hier Schutzmöglichkeiten. Optimal ist es, wenn der Zugriff auf das Internet und die Home- banking-Anwendung über ver- schiedene Rechner erfolgt, die nicht mittels Netzwerk miteinander verbunden sind.
Ebenfalls gut geschützt ist, wer die Zugangsdaten zum Homebanking nicht auf dem Internet-Rechner speichert, sondern nur bei Bedarf ma- nuell eingibt. Zudem liefern auch Virenschutzprogramme Hinweise auf mögliche „Ein- dringlinge“.
Ein Missbrauchsfall bedeu- tet nicht zwangsläufig, dass der Kunde auch für den Schaden aufkommen muss. Bei den meisten Instituten gilt der „Be- weis des ersten Anscheins“.
Wurde der Vertrag unter Ver- wendung einer gültigen PIN und TAN abgeschlossen, wird davon ausgegangen, dass er entweder vom Kunden selbst veranlasst wurde oder der Kunde mit PIN und TAN nicht sorgfältig umgegangen ist. Damit ist der Kunde grundsätzlich haftbar. Die- sen Beweis des ersten An- scheins kann der Anwender allerdings erfolgreich erschüt- tern, wenn er nachweist, dass er seine Online-Banking-Da- ten sicher verwahrt hat. Denn im Fall von Schäden, die et- wa durch Ausprobieren pas- sender Nummernkombina- tionen oder durch System- mängel entstehen, haftet die Bank.
Einige Finanzdienstleister bieten das „no-risk-banking“.
Hier wird der Kunde generell von allen Schäden freigestellt, die er nicht ausdrücklich selbst verursacht hat. Peter Jobst V A R I A
Deutsches Ärzteblatt½½½½Jg. 98½½½½Heft 8½½½½23. Februar 2001 AA477
Homebanking
Nicht ohne Risiko
Die Banken verwalten zurzeit mehr als zehn Millionen Online-Konten – Tendenz steigend.
Wirtschaft
