Bereits einmal hatte ich darauf hingewiesen, dass die Website der Consorsbank nicht dem Stand der Technik entsprechend abgesichert ist.
Das TLS-Zertifikat von Symantec bietet keinen hinreichenden Schutz, denn gerade auch die Firma Symantec ist erneut in Verruf geraten, weil sie wiederholt unberechtigterweise für fremde Websites Zertifikate ausgestellt hat. (http://www.golem.de/news/tls-zertifikate-symantec-verpeilt-es-schon-wieder-1701-125726.html)
Wenn es einem Angreifer gelingt, wie im Artikel beschrieben ein Zertifikat für www.consorsbank.de ausstellen zu lassen, genügt eine einfache DNS Spoofing Attacke, um mich auf eine Kopie der Consorsbank Homepage umzuleiten und Überweisungen als MITM abzufangen und auf ein anderes Konto umzuleiten.
Sollte dies passieren, sehe ich schon die Antwort von Consors: "Das ist doch nicht möglich." Den Ärger oder den finanziellen Verlust werde ich haben. Oder jeeder andere, dem so etwas passiert.
Dabei wäre es so leicht, Attacken dieser Art zu verhindern:
Mit DNSSEC, über das meinem Browser (dem TLSA Pluging, das ich selbstverständlich installiert habe wie jeder andere sicherheitsbewusste Nutzer) mitgeteilt wird, welches Zertifikat für diese Website ausschließlich gültig ist.
So eine Absicherung, wie es auch Konkurrenten der Consorsbank durchführen, kostet fast gar nichts, erhöht aber die Sicherheit signifikant.
Insbesonere ermöglicht es auch, den Mailverkehr mit DANE abzusichern, was derzeit auch nicht möglich ist.
Aber auch sonst hat die Mailkonfiguration der Consorsbank katastrophale Sicherheitslücken, wie jeder hier sehen kann: https://de.ssl-tools.net/mailservers/consorsbank.de
Wenigstens ein Minimum an Sicherheits- Knowhow sollte man von einer Bank wie Consors erwarten können, oder nicht?
