Wichtige Internetadressen direkt eingeben
c't: Mangelnde Online-Sicherheit bei Finanzinstituten

Hannover, 6. August 2004 - Die Webseiten verschiedener Banken in Deutschland sind nicht ausreichend gegen Manipulationen geschützt. Das vereinfacht das Ausspähen von Kontodaten durch so genannte Phishing-Attacken. Online-Bankkunden sollten die Web-Adressen, auf denen Nutzerdaten abgefragt werden, nur direkt eingeben oder über ihre Lesezeichen ansteuern, rät das Computermagazin c't in der aktuellen Ausgabe 17/04.

2003 wurden nach Ergebnissen eines Marktforschungsinstituts rund zwei Millionen Online-Bankkunden durch gefälschte Überweisungen im Schnitt um 1200 US-Dollar geprellt. Im ersten Halbjahr 2004 haben solche Betrugsversuche um 1200 Prozent zugenommen. Das Ausspähen von Kontodaten und PINs wird inzwischen weitaus professioneller ausgeführt und lässt vermuten, dass es sich längst um organisierte Kriminalität handelt.

Per E-Mail locken Betrüger Nutzer auf gefälschte Webseiten, die den Webseiten der Banken täuschend ähnlich sehen. Waren diese Phishing-Mails bis vor kurzem noch vergleichsweise dilettantisch, können sie inzwischen sogar IT-Fachleute täuschen. So zeigen die gefälschten Seiten das Schlosssymbol als Zeichen für eine sichere Verbindung an - real handelt es sich aber nur um eine eingebaute Grafik.

Die Banken haben die Schuld bisher meist auf die Unvorsichtigkeit der Anwender geschoben. Doch das ist nur die halbe Wahrheit. "Es hat sich auch gezeigt, dass nicht alle Banken vorhandenes Programmierwissen nutzen, um ihre Web-Seiten möglichst sicher zu gestalten", erläutert c't-Redakteur Holger Bleich. Einige Banken gestalten ihre Webseiten immer noch mit unsicheren Frames: oben ein Titel, rechts die Navigation und in der Mitte der eigentliche Inhalt. Doch bereits seit sechs Jahren ist bekannt, dass sich durch Sicherheitslücken nahezu aller Browser einzelne Frames überschreiben lassen. Außerdem hat sich gezeigt, dass Anwendungen, mit denen sich Eingaben machen lassen, nicht ausreichend auf mögliche Manipulationen geprüft wurden.

Webseiten, die persönliche Informationen abfragen, sollte man grundsätzlich nur über seine Lesezeichen oder durch manuelle Eingabe ins Adressfenster des Browsers abrufen, empfiehlt die c't-Redaktion Surfern. Auf Links in E-Mails oder anderen Webseiten sollte man sich in solchen Fällen niemals verlassen. (hob)

Hinweis für Hörfunkredaktionen:
Ein Radiobeitrag zu diesem Thema sowie O-Töne von c't-Redakteur Jürgen Schmidt sind unter 05 11/2 79 15 60 beim c't-Hörfunk-Service abrufbar. Unter www.radioservice.de steht das Angebot für akkreditierte Hörfunkredakteure auch im MP3-Format zum Download bereit.