Hallo @Adolfo,
nun die Gefahr geht unter Umständen einfach schon davon aus dass das Endgerät das die TAN empfängt mit dem Internet verbunden ist. Folgendes angenommenes Szenario:
Für eine Überweisung benötige ich die Login-Daten und die TAN passend zur Transaktion. Auf Dein Smartphone wurde eine entsprechende Schadsoftware installiert. Diese müsste die Tastatureingaben und SMS mitlesen können. Solltest Du nur einmal Dein Smartphone nutzen um Dich per App oder mobiler Webseite in Dein Konto einzuloggen wäre es der Schadsoftware möglich diese Informationen mit zu lesen. Nun könnte sich die Schadsoftware sogar direkt mit Deinem Smartphone in Dein Konto einloggen, eine Überweisung ausstellen, sich die passende TAN zuschicken und den Vorgang bestätigen. Du merkst nichts davon und musst Dich nicht mal falsch verhalten.
Das war jetzt nur eine einfach Herleitung, aber meiner Meinung nach die Kerngefahr beim TAN Versand aufs Smartphone. Nun gibt es aber wohl Fälle wo es die Kriminellen geschafft haben eine logische Kopplung zwischen PC und Smartphone herzustellen. Mir ist zwar unklar wie die das gemacht haben, aber irgendwie haben die das wohl hin bekommen. Dann ist es sogar egal wie Du Dich auf Deinem PC einloggst wenn die den auch übernehmen können.
Ein weiteres Argument ist dann immer, das nur gerootete Geräte überhaupt mit Keyloggern oder ähnliche präpariert werden können. Diese Annahme unterstellt allerdings das die Sicherheitsfunktionen zu 100% funktionieren. Das tun Sie aber nicht. Es gibt immer Hintertüren durch Programmfehler die man nur finden muss. Es gibt z.B. erfolgreiche Versuche wie man durch Auswertung des Lagesensors die Tastatureingaben über den Bildschirm mitlesen kann, weil sich bei jedem Tastendruck das Gerät leicht bewegt.
Ein TAN-Generator hat zwei große Vorteile:
1. Er ist nicht frei programmierbar. Somit kann der auch nicht irgendwie manipuliert werden.
2. Er hat keine elektronische Verbindung zur Außenwelt. Die Datenübermittlung erfolgt nur optisch und das muss ein Mensch Vorort ablesen.
Genau das macht den Sicherheitsvorsprung aus, den man mit dem Smartphone auf gibt. Wenn man die Überweisungsinformationen auf beiden Geräten konsequent prüft, ist das quasi nicht angreifbar so lange die Kryptografie nicht gebrochen wird.
Gruß
Myrddin
