Gerade ist mir aufgefallen, dass vor der URL der Consorsbank nicht mehr "BNP PARIBAS SA (FR)" im Chrome Browser steht. Bei anderen Banken, die auch ein EV Zertifikat von Symantec einsetzen, steht jedoch sehr wohl immer noch der Bankname aus der "Extended Validation" vor der URL.
Wird meine Kommunikation also abgehört?
Ich kann es nicht feststellen.
Denn löblicherweise hat die Consorsbank zwar inzwischen ihre Domäne mit DNSSEC abgesichert, jedoch fehlt immer noch der TLSA Eintrag, der es meinem Browser ermöglichen würde zu entscheiden, ob ich es wirklich mit der Consorsbank zu tun habe, oder einem "Man-in-the-middle" Angriff aufgesessen bin.
Zudem hat sich die Consorsbank mit Symantec für einen Partner bei der Zertifikatauswahl entschieden, der sich inzwischen als höchst unzuverlässig erwiesen hat, weil er es "Hinz und Kunz" ermöglicht, Zertifikate in seinem Namen und auf beliebige Domains auszustellen, auch auf die Domäne der Consorsbank.
Solche Zertifikate werden von Chrome daher in Zukunft als gar nicht mehr als vertrauenswürdig eingestuft werden: https://www.heise.de/newsticker/meldung/Chrome-soll-ab-sofort-Zertifikate-von-Symantec-herabstufen-3...
Also: Die Consorsbank muss tätig werden, um Sicherheit wiederherzustellen. Am besten und einfachsten geht das mit einem TLSA DNS Record, dann kann die Consorsbank sogar weiterhin ein unsicheres Zertifkat von Symantec verwenden, weil dann die Consorsbank GENAU DIESES EINE Zertifkat als gültig ausweisen kann.
