abbrechen
Suchergebnisse werden angezeigt für 
Stattdessen suchen nach 
Meintest du: 

Zusätzliche Sicherheitsfunktionen bieten keinerlei Mehrwert

Link zum Beitrag wurde kopiert.

Aufsteiger
Beiträge: 3
Registriert: 28.07.2020

Liebe Community, ich bin noch recht jung bei ConsorsBank, und war eigentlich sehr gut zufrieden. Gerade den Support finde ich wirklich klasse. Allerdings beschleicht mich zunehmend das mulmige Gefühl, dass mein Depot bzw. das Verrechnungskonto nicht ausreichend geschützt ist.


Zuerst etwas Kontext: Die Grundsicherheit bei Transaktionen (Wertpapierverkäufe, Überweisungen, etc.) besteht ja darin, dass ein Angreifer sowohl die Zugangsdaten (PIN) als auch einen zweiten Faktor (TAN) besitzen muss, um die Transaktion durchzuführen. Es versteht sich von selbst, dass ein Kunde dafür Sorge tragen muss, diese Zugangsinformationen zu schützen, darüber zu diskutieren ist nicht zielführend. Nichtsdestrotrotz ist es natürlich nicht unmöglich, dass es durch Diebstahl, gezielte Hacks, usw. einem Angreifer gelingt, Zugang auf beide Faktoren zu erhalten.


Deshalb bietet die ConsorsBank -wie auch die Konkurrenz- einige optionale Konfigurationsoptionen an, die ein Nutzer wählen kann, um in einem solchen Fall zumindest den Schaden zu begrenzen. Diese werden unter https://www.consorsbank.de/ev/Service-Beratung/Sicherheit aufgelistet. Sie beziehen sich in ihrem Beschreibungstext alle explizit auf Überweisungen, sollen diese also weiter einschränken bzw. deren Sicherheit zusätzlich erhöhen. Das heißt, diese Funktionen sollen über die o. g. Grundsicherheit hinausgehen. Sie müssten also als Notfallleine greifen, wenn ein Angreifer Zugriff auf PIN & TAN erlangt hat.


Leider erhöht - anders als bei der Konkurrenz, die solche Optionen anbietet - nach meinem Verständnis keine einzige der Funktionen die Sicherheit. Es ist schlicht völlig irrelevant, ob diese Funktionen aktiviert werden oder nicht, da nichts davon über die o. g. Grundsicherheit hinausgeht:

 

  • Referenzkonten: Hiermit sollen Überweisungsziele eingeschränkt werden können ("wenn mich schon jemand hackt, kann er sich das Geld wenigstens nicht selber auszahlen lassen, ha!"). Ganz "bequem" über das Online-Banking lassen sich völlig beliebige Personen als Ziele eintragen. Bestätigt werden muss eine Änderung nur mit den Grundsicherheitsfaktoren.
  • Online-Tageslimit: Hier soll der Schaden begrenzt werden können ("wenn mich schon jemand hackt, kann er wenigstens nur X€/Tag auszahlen lassen, ha!"). Das Tageslimit kann in Sekundenschnelle geändert werden (max. 50.000€/Tag). Bestätigt werden muss eine Änderung nur mit den Grundsicherheitsfaktoren.
  • SMS-Benachrichtigungen: Der Kunde erhält eine SMS, wenn eine Überweisung durchgeführt wurde ("wenn mich schon jemand hackt, krieg ich wenigstens sofort eine Info, wenn er etwas überweist, ha!"). Aber: Laut Beschreibung erhält man gar keine SMS, wenn man auf ein Referenzkonto überweist (ja, das, das man problemlos ändern kann). Und selbst wenn: Auch wenn ich die SMS-Benachrichtigung einmal konfiguriert habe, kann ich die Funktion mit einem Klick wieder deaktivieren. Bestätigt werden muss lediglich mit den Grundsicherheitsfaktoren. In einem Selbsttest erhält man nicht mal eine SMS, dass diese Einstellung geändert wurde.


Ein potentieller Angreifer, der die Grundsicherheit durchbrochen hat, müsste also nur folgende Reihenfolge einhalten:

  1. Login in das ConsorsBank-Depot des Opfers mittels PIN und TAN, auf die er Zugriff gelangt hat
  2. Die SMS-Einstellungen bearbeiten: Hier schaltet er die SMS-Einstellungen vorsichtshalber mit zwei Klicks aus. Wäre nicht mal nötig, weil er später auf ein Referenzkonto überweist, aber ist eben ein vorsichtiger Angreifer.
  3. Das Online-Tageslimit auf das ConsorsBank-weite Maximum von 50.000 setzen.
  4. Ein neues Referenzkonto anlegen. Hier kann er einfach irgendein Konto auf seinen eigenen Namen eintragen.
  5. Alle Wertpapiere verkaufen.
  6. 50.000€ auf sein privates Konto überweisen. Den Schritt hier kann er jeden Tag wiederholen, bis das Konto leer ist. Eine Benachrichtigung bekommt der Kunde nicht.


Wie erkennbar, ist es völlig egal, ob das Opfer alle Sicherheitsoptionen eingestellt hat oder gar keine. Am Ende kann es um satte 50.000€/Tag bestohlen werden, ohne auch nur irgendwie (nein, nichtmal über die Änderungen seiner Sicherheitseinstellungen) benachrichtigt zu werden.

 

Weil ich es in anderen Threads gesehen habe: Mit der Antwort "muss er halt aufpassen, dass Pin & Tan nicht in die Hände Dritter gelangen" kann ich wirklich nichts anfangen. Was ist dann überhaupt der Sinn der ganzen Funktionen? Wofür haben sich die Programmierer die Mühe gemacht, diese einzubauen? Niemand, der so weit kommt, überhaupt eine Überweisung anstoßen zu können, indem er Pin & Tan knackt, ist so dämlich, diese Funktion nicht einfach vor der Übweisung zu deaktivieren. Schlussendlich erhält das Opfer also nur SMS für die Überweisungen, die er auch wirklich selbst durchgeführt hat, aber ziemlich sicher keine im Ernstfall.


Andere Online-Broker machen das übrigens anders. "Referenzkonto" heißt dort beispielsweise:

 

  1. Es gibt nur ein einziges Konto, das Ziel von Überweisungen sein kann.
  2. Um dieses Konto zu ändern, muss ein unterschriebenes Dokument eingereicht werden. 
  3. SELBST WENN das Konto geändert, die Unterschrift also gefäscht wird: Es ist nur möglich, das Konto auf jemanden mit einem EXAKT GLEICHEN NAMEN zu ändern. D. h. wenn das Depot zu "Max Mustermann" gehört, MUSS ein Konto gewählt werden, dessen Inhaber EBENFALLS "Max Mustermann" heißt.

Hier ist erkennbar: Die Grundsicherheit zu knacken reicht nicht aus. Man muss auch noch gleich heißen und ein unterschriebenes Dokument einreichen. DAS ist WIRKLICH eine zusätzliche Barriere. DAS begrenzt WIRKLICH den Schaden im Ernstfall.

 

Verbesserungsvorschläge:

  • Referenzkonten müssen mindestens optional so einstellbar sein, dass sie ausschließlich über Schriftverkehr geändert werden können. Auf gar keinen Fall sollte es möglich sein, von einem Verrechnungskonto (!) aus auf ein Konto mit einem anderen Empfängernamen (!!) zu überweisen.
  • Wenn man soetwas wie ein Online-Tageslimit einführt und das auch für das Verrechnungskonto geltend macht, dann sollte man es mindestens optional so einstellen können, dass nur STÄRKERE BESCHRÄNKUNGEN (also Limit VERRINGERN, nicht ERHÖHEN) mittels TAN möglich sind. Das Limit zu erhöhen sollte zumindest konfigurabel ausschließlich via Schriftverkehr möglich sein.
  • Der Kunde sollte IMMER eine Benachrichtigung bekommen (mindestens per E-Mail), wenn seine Einstellungen geändert werden.
  • Den SMS-Benachrichtigungsdienst sollte man ebenfalls nicht einfach so problemlos deaktivieren können. Zum Beispiel könnte man einen Code eingeben müssen, der an die vorherige Nummer verschickt wird (neuer Faktor), um ihn zu deaktivieren.

Ich kann verstehen, dass die ConsorsBank aus Kostengründen auf weiteren Schriftverkehr verzichten möchte. Imho ist es auch völlig ausreichend, wenn man zumindest das Referenzkonto wirklich beschränken könnte. Hier ist es m. E. aber auch ein absolutes must have für einen Online-Broker. 

 

Sind hier noch Verbesserungen geplant? Wie an der Länge des Textes erkennbar, ist das für mich nämlich wirklich bedenklich.. Und ich möchte eigentlich ungerne direkt nochmal wechseln. 😉

5 Antworten 5

Aufsteiger
Beiträge: 2
Registriert: 30.07.2020
Ich kann dir da nur zustimmen, ...
0 Likes

Enthusiast
Beiträge: 422
Registriert: 17.02.2017

Hallo @Investerix ,

einerseits kann ich deine Bedenken durchaus nachvollziehen, andererseits finde ich die derzeitigen Möglichkeiten so gerade recht.

Du bemängelst, das "ganz bequem" und Online beliebige Konten als Referenzkonten angelegt werden können. Ich finde das, einer Onlinebank entsprechend, genau richtig.

Du monierst, dass das Tageslimit auch nach oben und Online geändert werden kann. Ich finde, dass das eine gute Möglichkeit ist, das Überweisungslimit selbst, im Rahmen der (wie ich finde, ausreichenden) Vorgaben, zu verwalten und einer Onlinebank entsprechend genau richtig.

Das Problem der SMS-Benachrichtigung betrifft nur Kunden, die sich auch per SMS benachrichtigen lassen. Andere Benachrichtigungen lassen sich ebenfalls, wie ich finde im Sinne der Kunden, ebenfalls bequem verwalten (aktivieren oder eben auch deaktivieren).

 

Das Hauptproblem ist doch, wie Du es nennst "die Grundsicherheit" des Konto-/Depotzugangs. Wer sich alle Zugangsinformationen entwenden lässt, hat ganz andere Probleme, als Referenzkonten oder Benachrichtigungen jedweder Art.

 

Deine "Verbesserungsvorschläge" kann ich sehr gut nachvollziehen, jedoch unterstütze ich diese NICHT !!! Deinen Beitrag hier im Forum unterstütze ich sehrwohl, weil hier (nochmals) gut auf das Thema Sicherheit eingegangen wird.


Aufsteiger
Beiträge: 3
Registriert: 28.07.2020

Wenn hier nichts verbessert werden soll - was ist dann der Sinn dieser ganzen Sicherheitsfunktionen? Wie oben geschildert, bieten sie faktisch keinerlei Merhwert. Sie haben schlicht keinen, absolut gar keinen, Einfluss auf die Sicherheit des Kontos, da schon zum Login Pin&Tan erforderlich ist. Wozu wurde das dann programmiert? Reine Marketing-Aktion?

 

Um nochmals meine Verbesserungsvorschläge aufzugreifen: Was spricht dagegen, zumindest immer eine E-Mail & SMS an den Kunden rauszuschicken, wenn man Sicherheitseinstellungen (Referenzkonten, Passwort, SMS-Benachrichtigungen, ...) ändert? Das ist ein minimaler Implementierungsaufwand, gleichzeitig schlichter Standard bei wesentlich weniger sicherheitskritischen Online-Diensten (Amazon, Google, selbst Gaming-Plattformen wie Steam, ...). Ich glaube nicht, dass das irgendeinen Kunden stören würde..


Aufsteiger
Beiträge: 6
Registriert: 22.07.2014

@Investerix :

Wenn du so bedenken hast, dann kündige überall dein Online-Banking und kehre zurück zum Bankschalter und Öffnungszeiten von 12 bis Mittag.

Hoffe du kannst wenigstens dir selber vertrauen.

Ach noch was, Handy solltest du auch sofort ausschalten nie mehr einschalten, und nie wieder im Internet surfen.

0 Likes

Aufsteiger
Beiträge: 3
Registriert: 28.07.2020

Das ist einfach nur Polemik. Es geht mir nicht darum, den Komfort zu reduzieren. Alle Sicherheitsfunktionen, die es hier gibt, sind freiwillig - jeder von uns kann sie einfach deaktivieren, wenn sie einem zu viel Komfort kosten. Und das ist gut so. Daran möchte ich nichts ändern.

 

Aber es gibt einfach eine offensichtliche Lücke in dieser Sicherheit.



Ein potentieller Angreifer, der die Grundsicherheit durchbrochen hat, müsste also nur folgende Reihenfolge einhalten:

  1. Login in das ConsorsBank-Depot des Opfers mittels PIN und TAN, auf die er Zugriff gelangt hat
  2. Die SMS-Einstellungen bearbeiten: Hier schaltet er die SMS-Einstellungen vorsichtshalber mit zwei Klicks aus. Wäre nicht mal nötig, weil er später auf ein Referenzkonto überweist, aber ist eben ein vorsichtiger Angreifer.
  3. Das Online-Tageslimit auf das ConsorsBank-weite Maximum von 50.000 setzen.
  4. Ein neues Referenzkonto anlegen. Hier kann er einfach irgendein Konto auf seinen eigenen Namen eintragen.
  5. Alle Wertpapiere verkaufen.
  6. 50.000€ auf sein privates Konto überweisen. Den Schritt hier kann er jeden Tag wiederholen, bis das Konto leer ist. Eine Benachrichtigung bekommt der Kunde nicht.


Das führt dazu, dass alles, was hier mühsam als tolle, optionale Sicherheitsfunktionen aktiviert wurde, nicht greift. Die gesamte Implementierung ist schlicht umsonst gewesen. Oder übersehe ich irgendwas?

 

Das ganze ließe sich ziemlich leicht ändern bzw. drastisch erhöhen: Wenn eine Sicherheitsfunktion geändert wird, gibt es eine Benachrichtigung via E-Mail. Wenn ich meine E-Mail-Adresse ändere, muss ich natürlich auch eine E-Mail an meine alte Adresse erhalten. Das ist übrigens auch im Non-Banking-Bereich (z. B. Gmail-Konto) Standard.

 

Diese minimale Änderung würde zu keinerlei Komforteinbußen führen, aber es würde die ganzen tollen Funktionen deutlich aufwerten. (Ich persönlich fände es noch toller, wenn man die Änderung der Referenzkonten online sperren könnte, ich mir also aussuchen könnte, ob ich Referenzkonten auch online oder nur via Formular / Unterschrift aktualisieren könnte. Das wäre ebenfalls keine Komforteinbußen, da optional, aber ein riesiges zusätzliches Improvement.) Aber gut; eine E-Mail-Benachrichtigung wäre auch schon mal was. 🙂

0 Likes
Antworten