Wie sicher ist das mTAN-Verfahren?

Seit gestern berichten Spiegel Online und andere Medien von einer neuen Serie von Betrugsfällen beim Online-Banking per mTAN. Mit dem mTAN-Verfahren (auch „mobileTAN“ oder „smsTAN“ genannt) verschickt die Bank nach Aufforderung durch den Anwender bei jeder Überweisung eine „mobile TAN“ per SMS an die vorher registrierte Mobilfunknummer des Kunden. Das soll komfortabel und gleichzeitig sicher sein, weil unterschiedliche Übertragungswege eingesetzt werden und es für Kriminelle schwerer sein dürfte, Zugang zu beiden Dingen (Mobilfunknummer und Bank-Zugangsdaten) zu erlangen.

Soweit die Theorie.

Tatsächlich ist das mTAN-Verfahren nicht besonders sicher. Die meisten Attacken finden heute über Keylogger und Trojaner auf dem PC des Opfers statt. So werden gleichzeitig die Zugangsdaten für den Mobilfunkanbieter und die Zugangsdaten fürs Online-Banking des Opfers ausgespäht. Es häufen sich die Fälle, in denen Kriminelle sich einfach mit den geklauten Daten im Namen des Opfers beim Mobilfunkanbieter eine neue SIM-Karte bestellt haben, um die mTANs abzufangen und hohe Beträge von den Konten zu entwenden.

Warnung vor der Verwendung des mTAN Verfahrens

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) warnt bereits seit 2011 ausdrücklich vor der Verwendung des mTAN-Verfahrens: “Beachten Sie aber, dass dieser Sicherheitsvorteil beim Online-Banking mit dem Smartphone nicht gegeben ist – hier ist das mTAN-Verfahren nicht zu empfehlen.”

Trügerische Sicherheit

Interessant ist, dass die Bank sich beim mTAN-Verfahren im Prinzip auf die Sicherheit verlässt, die ein eigentlich unbeteiligter Dritter hergestellt haben soll – der Mobilfunkanbieter. Genauer: Die Bank verlässt sich darauf, dass eine SMS an eine Mobilfunknummer, die ihr Kunde irgendwann mal bei ihr registriert hat, auch heute noch ausschließlich bei diesem Kunden ankommt. Und dafür soll bitteschön der Mobilfunkanbieter sorgen. Das ist eine Sicherheit, die bei realistischer Betrachtung so gar nicht gegeben ist. Beispiele: Jeder Provider hat ein anderes Verfahren zum Bestellen einer Ersatz-SIM-Karte – manchmal genügt eine einfache E-Mail oder ein kurzer Anruf. Ein zusätzliches Risiko ist die mittlerweile vereinfachte und beschleunigte Rufnummernmitnahme. Und in modernen Netzen – wie dem neuen sipgate Core-Netz von simquadrat – ist eine SIM-Karte von Haus aus gar nicht mehr fest mit einer Mobilfunknummer verbunden. Sie lässt sich sogar durch den Nutzer selbst direkt online austauschen.

Ein weiteres Angriffsszenario hat der Chaos Computer Club auf der 31C3 im vergangenen Jahr vorgestellt: Damals wurde nachgewiesen, dass das zum Transport der SMS von einem zum anderen Netz genutzte SS7-Netz angreifbar ist.

Fazit

Nein, mTANs sind wirklich nicht “sicher”. Mit genügend krimineller Energie ist es sogar relativ einfach, mTANs abzufangen, wenn man bereits Zugang zum Rechner des Opfers hat. Wie man sich schützen kann? Den eigenen Rechner möglichst gut vor Schadsoftware zu schützen ist ein guter Anfang. Dabei helfen Virenscanner, eine aktuelle Firewall-Software und das regelmäßige Installieren von Updates für Programme und das Betriebssystem. Die gleiche Sorgfalt sollte man auch bei seinem Smartphone an den Tag legen und regelmäßig Updates installieren. Noch sinnvoller ist es allerdings, das mTAN Verfahren gar nicht mehr zu benutzen und zu einer Bank zu wechseln, die ein sinnvolles Sicherheitsmerkmal einsetzt. Beim PhotoTAN-Verfahren etwa wird die TAN direkt vom Mobiltelefon des Nutzers berechnet, ohne dass die Information zwischen der Bank und dem berechtigten Kunden von einem unberechtigten Kriminellen abgefangen werden kann. Ähnliches leisten Verfahren, bei denen ein Zusatzgerät (“TAN-Generator”) die TAN mit Hilfe der von der Bank ausgegebenen Chipkarte berechnet.

Seit 1976 das TAN-Verfahren von der damaligen Verbraucherbank eingeführt wurde, wurden die Sicherheitsmechanismen von den Banken immer weiter verfeinert. Kaum noch jemand würde heute noch auf den Gedanken kommen, die Urform des TAN-Verfahrens für das Online-Banking zu nutzen. Doch egal ob TAN, iTAN oder mTAN – alle Systeme wurden im Laufe der Zeit von Kriminellen gehackt. Daher gilt beim Online-Banking der dringende Ratschlag, dass man sich von älteren, liebgewonnenen Sicherheitsmechanismen trennen und neue Lösungen akzeptieren können muss. Nur so lässt sich der Eintritt des Schadensfalls effektiv unterbinden.