Mehr Sicherheit beim E-Banking

Eine Studie der Oesterreichischen Nationalbank (OeNB) und des Zentrums für sichere Informationstechnologie-Austria (A-SIT) über die Sicherheit im E-Banking empfiehlt, dass Bankkunden statt der einfachen PIN/TAN- Verfahren "Zweifaktorautorisierungsverfahren" für ihre E-Banking-Transaktionen verwenden sollen.

Die österreichischen Banken bieten bereits eine Reihe derartiger Verfahren an.

Analyse der Gefahren
Die OeNB und A-SIT haben analysiert, wie wirksam die gebräuchlichen Sicherheitsmechanismen gegenüber den typischerweise beim E-Banking auftretenden Gefahren sind.

Nach wie vor verwenden Bankkunden bei ihren elektronischen Transaktionen gerne einfache PIN/TAN-Verfahren. Diese "Einfaktorautorisierungsverfahren" basieren auf bestimmten Transaktionsnummern (TANs, iTANs, etc.), die von den Überweisungsdaten unabhängig sind. Die Sicherheit dieser Verfahren beruht lediglich auf dem Faktor "Wissen von Geheimnissen", d. h. der Kenntnis eines bestimmten TANs.

Potentielle Betrüger können die TANs mit relativ einfachen Mitteln wie Phishing Mails und Trojaner in Erfahrung bringen.

Zweifaktorautorisierungsverfahren
Angesichts dieser Sicherheitsbedenken bieten viele österreichische Banken zusätzlich Zweifaktorautorisierungsverfahren an, die das Sicherheitsniveau deutlich erhöhen.

Neben dem "Wissen" einer geheimen Nummer (der TAN) "besitzen" E-Banking Nutzer zusätzlich auch ein Gerät, ohne das ein Zahlungsauftrag nicht erfolgreich initiiert werden kann.

Typischerweise wird dabei für die Abwicklung des Zahlungsauftrags ein zweiter Berechtigungscode benötigt, der nur wenige Minuten gültig ist und nach Möglichkeit mit dem Zahlungsauftrag verknüpft sein sollte. Dieser wird dem Endkunden von der Bank per SMS zugeschickt oder in einem zusätzlichen Gerät erzeugt, das vom Kunden-PC getrennt ist.

Elektronische Signatur
Die größte Sicherheit bieten die elektronische Signatur sowie entsprechende TAN Generatoren. Ein vergleichbar hohes Sicherheitsniveau kann derzeit auch mit den mobilen TAN-Verfahren erreicht werden, bei denen der Kunde eine SMS mit dem Berechtigungscode und den Transaktionsdaten zur Kontrolle erhält.

Insbesondere bei Verwendung eines einzigen Gerätes für die Abwicklung der E-Banking Transaktion und den SMS-Empfang ist allerdings bei diesem Verfahren längerfristig aufgrund des möglichen Einsatzes von Schadsoftware von einer Verringerung des Sicherheitsgewinns auszugehen.