zur Startseite

Druckausgabe von https://privat.albicker.org
Iveco Daily 4x4, Hunde und multithematisches Blog

Die Postbank und sichere Transaktionen: Bestsign

veröffentlicht am 08.03.2019 - aktualisiert am 21.08.2021 mit 987 Worten - Lesezeit: 5 Minute(n) in * GEBRABBEL * SOFTWARE *

Inhaltsverzeichnis

 

update 08/2021: Es gibt wieder Neuigkeiten, siehe Artikel Abschaltung der ChipTAN.

Vorbemerkung: Aufgrund der großen Resonanz auf diesen Artikel befasse ich mich in einem weiteren Beitrag mit Alternativen und dem Umgang mit dem Vorgehen der Postbank.

Es gibt drei Arten, sich einem System gegenueber zu authentifizieren: das Wissen (Passwort), den Besitz (Token, 2. Gerät wie z. B. Mobiltelefon) und das Sein (Bioemtrie). Aber: keine ist wirklich sicher …

Diese Erkenntnis scheint sich aber z. B. bei der Postbank noch nicht wirklich rumgesprochen zu haben. So nervt dort seit einiger Zeit ein Vorschaltbildschirm die Kunden:

BestSign Sicherheitsverfahren
Jetzt das neue Sicherheitsverfahren Postbank BestSign nutzen. Höchste Sicherheit für Ihr Banking & Brokerage – einfach App installieren und aktivieren.

Der Kundenservice läßt auf Anfrage verlauten:

Sie möchten wissen warum Ihnen die BestSign Vorschaltseite nach dem Login im Banking & Brokerage angezeigt wird. Die Vorschaltseite zu BestSign informiert Sie über das einfache, schnelle und sichere BestSign-Verfahren. Sie haben die Möglichkeit, sich die neue BestSign App direkt über einen QR-Code oder über den entsprechenden Link im App Store herunterzuladen und sich das BestSign-Verfahren in der App einzurichten.
Wir möchten unsere Kunden auf unser einfachstes und komfortabelstes Sicherheitsverfahren aufmerksam machen. Das BestSign-Verfahren entspricht außerdem den neuesten Sicherheitsstandards. Überweisungen können ganz einfach mit Fingerabdruck oder Gesichtserkennung freigegeben werden.

(Hervorhebung durch den Autor)
Und dann folgt ein Satz, der schon fast an Erpressung erinnert:

Sobald Sie sich ein BestSign-Verfahren angelegt haben, wird Ihnen die Vorschaltseite nicht mehr angezeigt.

Weshalb jetzt plötzlich ein Paßwort sicherer sein soll als eine ständig wechselnde mTAN auf einem zweiten Gerät - das erschließt sich mir überhaupt nicht.

Sicherheit biometrischer Merkmale beim Onlinebanking?

Und daß ein biometrisches Merkmal wie z. B. ein Fingerabdruck sicher sein soll, das widerlegte - wie so oft - der ChaosComputerClub schon vor Jahren mit der Holzleim-Methode:

Aktuell sind die schon einen Schritt weiter und befassen sich mit der Iris-Erkennung, einem weiteren biometrischen Merkmal:

Deshalb sagt auch Christian Funk, Leiter der deutschsprachigen Forschungs- und Analyseteams des IT-Sicherheitsunternehmens Kaspersky Lab, im aktuellen Interview mit der Süddeutschen Zeitung:

Wenn der Fingerabdruck erst einmal im Internet auftaucht, dann ist er verbrannt

Darin ist er sich einig mit dem Bundesamt für Sicherheit in der Informationstechnik, dieses schreibt:

Nutzen Sie biometrische Merkmale sparsam: Sie haben nur ein Gesicht und nur zehn Finger, nutzen Sie Biometrie daher möglichst nur für vertrauenswürdige Dienste und Systeme. Denn einmal kompromittierte Biometrie kann nicht wie etwa ein Passwort zurückgesetzt oder verändert werden. Ist beispielsweise Ihr Fingerabdruck durch einen Leak oder ein Versehen öffentlich geworden, können Sie diesen nicht mehr hinterlegen, ohne die Gefahr einzugehen, dass Cyber-Kriminelle ihn missbrauchen.

Und auch der Bayerische Rundfunk warnt vor dem Einsatz von Fingerabdrücken im Rahmen von Finanzgeschäften.

Zwang zum Taschenspion - Überwachung um der “Sicherheit” willen?

Und überhaupt:

Those who would give up essential liberty, to purchase a little temporary safety, deserve neither liberty nor safety.
Benjamin Franklin (1706-1790)

… wer also Freiheit um eines kleinen bißchen Sicherheit aufgibt, verdient keines von beidem.
Was hat das jetzt mit dem hier behandelten Thema zu tun? Ich hab kein Smartphone, ich brauche auch keines - bisher zumindest, solange ich nicht massiv gezwungen werde, werde ich mir auch keines anschaffen. Hintergrund ist die nicht neue Erkenntnis, daß diese Teile hervorragende Spionage-Geräte sind und den Besitzer den lieben langen Tag beobachten und die Erkenntnisse brav “nach Hause telefonieren”. Der verlinkte Bericht beschreibt (hier ein übersetzter Auszug aus der Zusammenfassung) u. a., wie geschwätzig schon ein ruhendes Gerät auf einem Tisch im leeren Zimmer ist:

Douglas C. Schmidt, Professor für Informatik an der Vanderbilt University, beschreibt in “Google Data Collection”, wie viele Daten Google über Verbraucher und ihre persönlichsten Gewohnheiten in allen Produkten sammelt und wie diese Daten miteinander verknüpft werden.
(…)
Zu den wichtigsten Ergebnissen gehören:
Ein ruhendes, stationäres Android-Telefon (mit aktiviertem Chrome-Browser im Hintergrund) übermittelte 340 Mal innerhalb von 24 Stunden oder durchschnittlich 14 Datenübertragungen pro Stunde Standortinformationen an Google. Tatsächlich machten Standortinformationen 35 Prozent aller an Google gesendeten Datenproben aus.

Das war’s dann also mit der Freiheit, denn Freiheit und Totalüberwachung gehen für mich nicht zusammen. (Für alle “ich habe ja nix zu verbergen”-Propheten sei dieses Editorial als Lektüre empfohlen).

Und wie sieht’s jetzt mit der Sicherheit aus?

Die Sicherheit digitaler Geräte steht und fällt mit der Möglichkeit, gefundene/erkannte Sicherheitslücken schnell und zuverlässig zu schließen. Und da klemmt es auch nicht wenig: Smartphone-Hersteller stellen nur sehr begrenzt updates bereit, das gilt besonders für die günstigeren Geräte. Dazu schreibt die Stiftung Warentest in einem Artikel vom 06.03.2019:

Das Ergebnis des Tests ist sehr durch­wachsen. Zwei Anbieter glänzen, viele sind nach­lässig, einige Handy-Modelle erhielten in zwei Jahren kein einziges Update. Markt­führer Samsung kümmert sich nicht immer vorbild­lich: Einige Modell­reihen sind top gepflegt, andere behandelt der korea­nische Smartphone-Riese eher stiefmütterlich.

Zusammenfassung: BestSign für Onlinebanking? Eine gute Wahl?

Wir haben also gesehen, daß die “einfachen, komfortablen” Sicherheitsverfahren nach “neuesten Sicherheitsstandards” so toll gar nicht sind:

Da soll ich also hunderte von Euro in ein Gerät stecken, das ich evtl. 2 Jahre nutzen kann (evtl. aber auch nicht), das mich zudem aber in der ganzen Zeit ausspioniert, um dann - auch ohne erhöhte Sicherheit - ein paar Überweisungen tätigen zu können?
Hallo? Geht’s noch?

Nachtrag:

der neueste Artikel zum Thema “Sicherheit biometrischer Merkmale” in der Süddeutschen Zeitung - an der grundsätzlichen Einschätzung scheint sich nichts geändert zu haben.

 

weitere Artikel