Internet, ActiveX und Homebanking

Eine Pressemitteilung von Intuit

Aktuelle Fragen und Antworten zur Sicherheit von Quicken

Der Chaos Computer Club e.V. Hamburg entdeckte eine Sicherheitslücke bei der Verwendung eines ActiveX-fähigen Intemet-Browsers. Um diese Sicherheitslücke im Intemet-Browser zu demonstrieren, wurde im Rahmen eines Fernsehbeitrages der ARD Sendung "Plusminus" gezeigt, wie dadurch Datenbestände des Anwenders am Client-PC manipuliert werden können. Als Beispiel diente in der Femsehsendung ein Homebankingprodukt, in das nach Abruf einer bestimmten Intemetseite ohne Zutun des Anwenders durch ein ActiveX-Control eine Überweisung eingefügt wurde. Für Branchenkenner sichtbar handelte es sich hier um die Finanzsoftware Quicken.
Der Chaos Computer Club weist ausdrücklich darauf hin, daß das Beispiel Quicken nur aufgrund des hohen Verbreitungsgrades ausgewählt wurde, um das gefundene Sicherheitsrisiko entsprechend publik zu machen. Durch diese Sicherheitslücke sind grundsätzlich im Falle eines Mißbrauchs alle Daten und Applikationen auf dem PC gefährdet.

Was ist wirklich geschehen?

Im o. g. Beispiel wurde beim Aufruf einer bestimmten Internet-Seite mit dem Microsoft-Internet-Explorer ein ActiveX-Control unbemerkt vom Anwender geladen und gestartet. Im vorliegenden Fall waren dazu einige Sicherheitsoptionen des Microsoft-Explorers auf die niedrigste Stufe gesetzt worden. Dieses ActiveX-Control simulierte eine Tastatureingabe, mit der Quicken aufgerufen, eine nicht-passwortgeschützte Quicken-Datei geladen, eine Überweisung ausgefüllt und gespeichert wurde. Danach wurde Quicken wieder geschlossen.
Dadurch ist jedoch noch keine Überweisung übertragen worden. Erst wenn der Anwender bei einer der nächsten Sitzungen in Quicken Überweisungen überträgt und die eingeschmuggelte Überweisung, die sowohl im Quicken-Register als auch in der Überweisungsliste sichtbar ist, ausdrücklich bestätigt, wird die manipulierte Überweisung, die durch das ActiveX-Control angelegt wurde, zur Bank übertragen. Die PIN und TANS sind zum Zugang auf das Konto jedoch nach wie vor notwendig. Einige Pressestimmen in den USA haben dies fehlerhaft berichtet.

Ist dieses Problem ein Ouicken Problem?

Nein. So wie Quicken über eine simulierte Tastatureingabe aufgerufen und Operationen ausgeführt werden können, ist dies auch mit jeder anderen Anwendung auf dem PC möglich. Quicken diente im vorliegenden Fall lediglich, aufgrund seines Bekanntheitsgrades und der gut erkennbaren Eingabemaske in Form eines Überweisungsformulares als Beispiel.
Die derzeitige Diskussion bezieht sich auf ein generelle Sicherheitsprobleme im Internet Bereich. Dadurch sind grundsätzlich alle Applikationen und Daten gefährdet.

Ist Homebanking über BTX - T-Online gerährlich?

Nein. Sollten Sie ausschließlich T-Online im CEPT und KIT-Standard nutzen, besteht keinerlei Gefährdung dieser Art. Erst bei Nutzung eines ActiveX-fähigen Internet-Browsers und Internet-Zugang besteht die Möglichkeit einer Manipulation, wie sie oben geschildert wurde.

Ist die Manipulation einer Online Überweisung über ein ActiveX-Control oder auf einem anderen Weg strafbar?

Ja. Grundsätzlich ist dieser Eingriff eine strafrechtlich verfolgbare Handlung.

Kann eine Anwendung grundsätzlich vor kriminellen Attacken geschützt werden?

Ein hundertprozentiger Schutz ist praktisch ebenso unmöglich wie etva ein Mißbrauchsschutz von gestohlenem Bargeld, Kreditkarten oder Scheckkarten. Tatsache ist, daß Homebanking mit dem PC zu den sichersten Zahlungsverfahren gehört. Eine zunehmend vemetzte Welt birgt neue Risiken, gleichzeitig werden über verfügbare Technologie die nötigen Systeme zum Schutz des Anwenders zur Verfügung gestellt.

Ist so ein Fall wie der oben beschriebene schon in der Praxis bekannt geworden?

Nach unserem Kenntnisstand bis heute nicht.

Welchen Schutz bietet Ouicken?

Quicken bietet dem Anwender in den aktuellen Versionen folgende Schutzmechanismen:

Paßwort
Grundsätzlich sollten Quicken-Daten mit einem Paßwort geschützt werden. Dadurch kann ausgeschlossen werden, daß das ActiveX-Control, wie im obigen Fall beschrieben, eine Quicken-Datei ohne Ihre Bestätigung aufruft eine unbeabsichtigte Überweisung einfügt.
Desweiteren sollten Sie Quicken vor der Nutzung des Internet beenden. Dadurch wird der Zugriff auf eine eventuell schon geöffnete Datei und damit die Umgehung der Paßwortabfrage beim Laden Ihrer Quicken-Datei ausgeschlossen.
Überweisung - Ubertragungsbildschirm
Bevor eine Übemveisung Online übertragen wird, sollten noch einmal alle zu übertragenden Überweisungen mit ihren Empfänger-Daten und dem DM-Betrag einzeln kontrolliert werden.
Hierzu zeigt Quicken vor dem Verschicken der Überweisung eine eigene Liste mit allen noch nicht übertragenen Überweisungen an. Ein eventueller unbefugter Eingriff über ActiveX in Form einer unbeabsichtigten Überweisung kann hier noch vor der Online Übertragung erkannt und gelöscht werden.
Manuelle PIN/TAN-Eingabe
In Quicken gibt es die Möglichkeit, eine Online-Übertragung nur nach vorheriger manueller Eingabe der PIN zuzulassen. Ebenso ist es möglich, die zur Übertragung der Überweisung benötigten Transaktionsnummern (TANs) erst vor dem Überweisunglauf in die TAN-Liste einzupflegen. Damit ist eine unautorisierte und unbemerkte Übertragung einer Überweisung über eine im System gespeicherte TAN nicht möglich.
Überweisungsbericht
Ab der Version 4.5 dokumentiert Quicken obendrein in einem Überweisungsbericht, der auch ausgedruckt werden kann, nach Ablauf einer Überweisung exakt, was zur Bank übertragen wurde.
Auch dieser Bericht sollte nach jedem Online - Überweisungslauf kontrolliert werden.
Rückverfolgung
Sollte dennoch eine unbeabsichtigte Überweisung übertragen werden, hinterläßt die Überweisung eine nachvollziehbare Spur. Anders als bei Mißbrauch von Kreditkarten oder Schecks, ist der Mißbrauch leicht zu verfolgen und der verantwortliche Kriminelle zur Rechenschaft zu ziehen. In diesem Fall sollte sich der Anwender unverzüglich mit seiner Bank oder seinem Kreditinstitut in Verbindung setzen.
Stornomöglichkeit
Beachten Sie bitte auch, daß Sie Überweisungen, egal ob diese Online oder auf Papier getätigt wurden, innerhalb bestimmter Fristen bei Ihrer Bank stornieren können. In jedem Fall sollten Sie Quicken nutzen, um regelmäßig alle Buchungen auf Ihrem Konto abzuholen und zu prüfen. Hier bietet Ihnen Quicken mehr Kontrolle und Dokumentation als dies beispielsweise beim reinen Telefonbanking der Fall ist.

Für Rückfragen wenden Sie sich bitte an:
Intuit Deutschland GmbH
Markus Reithwiesner
Carl Zeiss Ring 19-21
85737 Ismaning
Tel.: 089-99636114
Fax: 089-99636344
E-Mail: Markus_Reithwiesner@Intuit.com

FITUG e.V.

Förderverein Informationstechnik und Gesellschaft