Eine sehr fragwürdige Tele-Banking-Sicherheitsstudie

Im Juli 2006 erschien in der Zeitschrift Capital ein Artikel über die Sicherheit von Telebanking-Webseiten deutscher Banken. Und weil ausgerechnet das Fraunhofer Institut für Sichere Informationstechnologie (SIT) aus Darmstadt daran beteiligt war, habe ich den natürlich gelesen. An der Seriosität des Artikels müssen einige Zweifel aufkommen.

Beim Lesen des Artikels sind mir damals folgende Punkte aufgefallen:

1. Auf Seite 84 wird mTan mit 8 Punkten nur geringfügig höher als eTan(6) bewertet, während für HBCI sogar vier Sonderpunkte vergeben werden. Im Ergebnis ist diese höhere Bewertung sogar dafür ausschlaggebend, daß die Deutsche Bank mit einem Punkt Vorsprung gewinnt.

   Das ist nicht recht nachvollziehbar, denn HBCI wird i.d.R. nicht durch autarke Geräte der Sicherheitsklasse 3 genutzt (die teuer und erst seit kurzem verfügbar sind), sondern bezieht den PC für die Eingabe der Daten mit ein. Ob die Bank das Verfahren auf Sicherheitsklasse 3 beschränkt (und wie), wird nicht erwähnt. Von allen betrachteten Verfahren ist mTan durch die Rückmeldung der tatsächlich bei der Bank angekommenen Daten an ein vom PC unabhängiges Gerät (Handy) daher das einzige Verfahren, bei dem eine Veränderung der Bankdaten durch Kompromittierung des PC erkannt wird. Anders sieht das erst aus, wenn man HBCI nur auf Geräte der Sicherheitsklasse 3 beschränkt, was hier aber nicht passiert ist und was derzeit nicht realistisch ist.

2. Auf Seite 84 gibt es außerdem vier Punkte dafür, wenn das SSL-Zertifikat den Namen der Bank enthält. Das ist zwar schön, aber es ist völlig ungeklärt, wie der Kunde das nachprüfen soll. Kaum ein normaler Anwender weiß, daß es überhaupt eine Anzeige der Zertifikatsdaten gibt und wie man sie prüft.

   Außerdem habe ich bei Versuchen schon mehrfach beobachtet, daß eine solche Angabe des Bank-Namens den Anwender in falscher Sicherheit wiegt: Verwende ich ein Self-Certified-Zertifikat mit dem Namen der Bank, dann überwiegt das bei weitem die Bedenken, die der normale Anwender vor einem OK-Klick in dem Browser-Fenster hat, wenn der Browser bezüglich des nicht vertrauenswürdigen Zertifikats rückfragt. Insbesondere dann, wenn ich diese Anzeige vorher ankündige und dem Kunden durch Screenshots genau erkläre, wo und “warum” er da klicken soll. Da fallen die meisten drauf rein. Deshalb ist die Überbewertung mit 4 Punkten fragwürdig.

3. Ebenfalls unverständlich ist mir, daß die Angabe von Sicherheitshinweisen mit bis zu 9 Punkten sehr viel höher als die technischen Sicherheitsverfahren gewichtet werden. Die liest nämlich fast niemand, und von denen, die sie lesen, versteht und merkt sie sich kaum jemand. Da werden kaum relevante Sachen viel höher bewertet als die Sicherheitsmechanismen. Bedenkt man, daß mTan gegenüber den anderen TAN-Verfahren nur einen Vorsprung von 2 bzw. 4 Punkten bringt, ist das unverständlich.
4. Auf Seite 84 werden Punkte dafür vergeben, daß der Kunde keine E-Mail-Adresse für die Anmeldung angeben muß. Das ist mir unverständlich und m. E. ebenfalls ein Entwurfsfehler. Nur weil der Kunde keine E-Mail-Adresse angegeben hat, heißt das noch lange nicht, daß er jede ihm zugesandte E-Mail folglich als Angriff erkennt. Nach spätestens 2 Monaten kann sich niemand mehr daran erinnern, daß er die E-Mail-Adresse nicht angegeben hat. Außerdem würde eine solche Aussage voraussetzen, daß die Bank die E-Mail-Adressen generell nicht aufgenommen hat und nicht nur beim Telebanking. Ob aber beispielsweise die Vertriebsabteilung dem Kunden irgendwelche Newsletter oder Investmentangebote schickt, wurde im Artikel überhaupt nicht betrachtet. So kann es sein, daß eine Bank 2 Punkte mehr erhält, weil sie vermeintlich keine E-Mail-Adressen abfragt, obwohl sie die Adresse längst woanders abgelegt hat und dem Kunden regelmäßig Mails mit Bank-Logo usw. schickt. Ob solche E-Mails dann auch signiert sind, geht aus dem Artikel auch nicht hervor. Das erscheint als ziemlich oberflächliches Pseudo-Argument. Security by Obscurity.

   Oder anders gesagt: Man hält den Phisher nicht dadurch von Phishing-Mails ab, daß die Bank die E-Mail-Adresse des Kunden nicht kennt.

   Im Gegenteil wäre es sinnvoll, wenn jede Überweisung erst nach einer Latenzzeit getätigt, aber sofort per E-Mail (signiert und ggf. verschlüsselt) bestätigt würde – oder sogar noch einen von der Bank erzeugten und von den Überweisungsdaten abhängigen Bestätigungscode enthält, den der Kunde eingeben muß. Dann nämlich hätte der Kunde Zeit, einen Angriff rechtzeitig zu erkennen und notfalls Alarm zu schlagen bzw. die Überweisung zurückzurufen. Einen solchen Kommunikationsweg der Bank zum Kunden ungenutzt zu lassen und dafür auch noch Punkte zu vergeben halte ich für einen groben Schnitzer.

5. Auf Seite 85 links wird behauptet, daß iTan gegen Phishing immun sei. Das ist ein grober Fehler. Zum einen gibt es diverse Phishing-Angriffe, die den Kunden gleich zur Eingabe von 10-20 TANs auffordern. Geht man davon aus, daß ein Kunde im Mittel die Hälfte seiner TANs verbraucht hat, könnte ein Angreifer damit immer noch genug TANs abgreifen, um mit einer Wahrscheinlichkeit von 40% einen Treffer zu landen. Da der Angreifer im Falle des Mißlingens ja mehrere Überweisungsversuche frei hat bis die Bank den Zugang sperrt, liegt die Quote sogar deutlich höher. Hat der Angreifer z. B. 15 von 50 verbliebenen TANs und drei Versuche, dann liegt die Wahrscheinlichkeit für einen Treffer bei 69%. Das kann man wohl kaum als “immun” bezeichnen.

   Davon abgesehen kann der Angreifer ja durchaus eine “aktive” Webseite gestalten, die die TAN nicht nur entgegennimmt und zur späteren Verwendung sammelt, sondern die direkt – als man-in-the-middle – die Verbindung zur Bank herstellt und einfach die von der Bank angeforderte iTan-Nummer durchreicht. Das würde ich nicht als fiktiv, sondern als Stand der (Angriffs-)Technik ansehen. Die Gefährdung ist also keineswegs geringer, der Angreifer muß nur seine Software geringfügig umstricken. Einen Trojaner braucht es dazu nicht, wie im Artikel fälschlich behauptet wird. Im Gegenteil kann die iTan-Technik den Anwender in falscher Sicherheit wiegen und so die Bereitschaft erhöhen, auf Phishing-Seiten seine TAN einzugeben. Vor allem, wenn er vorher den Capital-Artikel gelesen hat und irrtümlich annimmt, iTan wäre gegen Phishing immun.

6. Seite 85 mitte: Da wird behauptet, daß HBCI nicht über das Internet liefe und deshalb immun gegen jeglichen Angriff sei. Das ist falsch.

   Selbst wenn man unterstellt, daß nur die Formulierung unglücklich gewählt war und tatsächlich nur die Kommunikation zwischen Benutzer und Chipkarte gemeint war: Die Aussage wäre nur für HBCI-Geräte der Sicherheitsklasse 3 haltbar. Die Sicherheitsklassen werden aber nicht erwähnt. Das beschriebene Verfahren, das Gerät zwischen Tastatur und PC zu schalten, wäre aber Sicherheitsklasse 2, für die eine solche Aussage nicht mehr vertretbar ist.

7. Die im Artikel beschriebene Sicherheit wäre nur mit Geräten der Sicherheitsklasse 3 zu erreichen.

   Zwar sind solche Geräte mittlerweile tatsächlich im Handel erhältlich, sie liegen aber preislich bei etwa 130 Euro. Das können sich viele Leute nicht leisten, sie müßten aber flächendeckend eingesetzt werden.

   Davon abgesehen wäre das kaum rentabel: Legt man die Zahlen auf Seite 83 des Artikels zugrunde, gab es im letzten Jahr etwa 2000 Schadensfälle mit Schäden zwischen 2000 und 3000 Euro. Also ein Gesamtschaden von etwa 5 Millionen Euro. Ich kenne die genaue Zahl nicht, aber m. W. gibt es in Deutschland etwa 30 Millionen Haushalte.

   Also lag der durchschnittliche Schaden durch Phishing bei etwa 0,17 Euro pro Haushalt und Jahr.

   Stellt man dem die Anschaffung eines solchen Gerätes gegenüber, zu dem ja nicht nur die Anschaffung, sondern auch noch die Arbeitszeit, Transport, Probleme, Support, Austausch verlorener Karten usw. hinzukommen, kann man Anschaffungskosten von vielleicht 200 Euro pro Haushalt ansetzen. Vielleicht auch deutlich mehr, wenn jeder Kontoinhaber im Haushat sein eigenes Gerät möchte.

   Gehen wir davon aus, daß ein solches Gerät 2-4 Jahre hält, haben wir jährliche Kosten pro Haushalt von 50 bis 100 Euro. Selbst wenn man annimmt, daß die Gerätekosten durch Stückzahlen sinken, würde ich immer noch von mindestens 30-70 Euro pro Jahr und Haushalt ausgehen.

   Das heißt, die wenden mindestens 30 Euro auf um einen Schaden in Höhe von 0,17 Euro abzuwenden.

   Nur zum Vergleich: Würde man HBCI weglassen, bei mTan bleiben, vielleicht noch mit etwas Software-Unterstützung der Mobilfunkbetreiber, und dafür pro Kunde und Jahr 2 Euro in eine Versicherung einzahlen, die Restschäden trägt, wäre man billiger, besser und flexibler dran.

   Welchen Wert hat wohl ein Sicherheitswissenschaftler, dessen Sicherheitsmethoden weitaus mehr kosten als erfolgreiche Angriffe? Wer solche Sicherheitsspezialisten hat, braucht eigentlich gar keine Angreifer mehr…

8. Noch ein dicker Fehler findet sich auf Seite 85 rechts: Nur weil ein System “funktioniert” und es noch keinen “Betrugsfall” gab, heißt das nicht, daß das System sicher wäre. Ein solcher Denkfehler darf eigentlich überhaupt niemandem unterlaufen, der im Bereich Security tätig sein will.

   Darin liegt der böse Denkfehler, die Angreifer für dumm zu halten und zu unterschätzen: Warum sollte der Angreifer jetzt die Lücke ausnutzen? Es gibt bisher so wenig Nutzer des Verfahrens, daß sich der Aufwand für den Angreifer noch gar nicht lohnt. Daraus auf die Sicherheit des Verfahrens zu schließen, darf einem Sicherheitswissenschaftler einfach nicht passieren. Der Angreifer wäre auch strategisch dumm, wenn er jetzt angriffe: Er würde zeigen, daß das System unsicher ist und es würde nicht eingeführt. Wartet der Angreifer aber ab, und werden dann noch solche Artikel veröffentlicht, dann gibt es irgendwann ganz viele Nutzer, und dann lohnt sich auch der Angriff. Und dann sind es so viele Nutzer und die Investition so hoch, daß die Bank nicht mehr schnell und nicht mehr ohne weiteres davon wegkommt. Die Sichtweise ist naiv. Auch Spammer greifen Anti-Spam-Methoden erst an, wenn eine gewisse Mindestmenge von Benutzern sie anwendet. Warum sollten sie etwas angreifen, was nur von den wenigsten verwendet wird?

   Das Prinzip ist das gleiche wie bei den RSA ACE Tokens. Teilweise werden die sogar von Banken in den USA eingesetzt. Aber die Angriffe sind auch die gleichen.

   Ebenso unsinnig ist es, von der auf Sekunden beschränkten Gültigkeit auf die Sicherheit zu schließen. Automatisierte Angriffe sind stets schneller.

Ich habe damals direkt die Capital-Redakteure angeschrieben und zu den Ungereimtheiten befragt. Eine konkrete Antwort habe ich nicht bekommen. Sie haben zwar geantwortet, aber nichts zur Sache. Sie hätten sich externer Fachleute bedient. Man will aber nicht sagen, welcher der im Artikel erwähnten Fachleute denn nun eigentlich was behauptet haben. Man wehrt sich aber gegen die Vermutung, daß man den Artikel von außen bekommen und einfach durchgereicht hätte. So wirkt er aber auf mich. Die Capital-Redakteure konnten jedenfalls überhaupt nichts von dem erklären, woran sie ja angeblich mitgeschrieben haben (also weder ja noch nein: Nicht durchgereicht, aber trotzdem auf Experten gestützt).

Auffällig war jedoch, daß das Fraunhofer Institut für Sichere Informationstechnologie (SIT) den Artikel auf seiner Webseite groß beworben hat. (Auch der oben angegebene Link zeigt auf das SIT). Kommerzielle Zeitschriften geben ihre Artikel nicht Dritten zur kostenlosen Veröffentlichung, wenn die nicht maßgeblich daran beteiligt waren. Also habe ich durchaus bei SIT mal nachgefragt. Man bestreitet nicht, die Stellen im Artikel inhaltlich entworfen zu haben, will sich aber überhaupt nicht dazu äußern. Zitat aus einer E-Mail des SIT:

Sehr geehrter Herr Danisch,

zwischenzeitlich hatte ich kurz Gelegenheit einmal Ihre Homesite anzuschauen und frage mich nun, von welcher eigenen Lebensleistung Sie eigentlich ableiten die Kompetenzen anderer – und das sind neben meiner Person ja wohl nicht irgendwelche dahergelaufenen Laute, sonder gestandene Professoren, teilw. von der ETH – in Frage zu stellen.

Das heißt, ob etwas richtig oder falsch ist, kommt hier auf die akademische Rangordnung dessen an, der fragt. Die Angegriffenen werden hochgelobt, ich werde herabgewürdigt. Was aber meine Lebensleistung mit dem Artikel zu tun haben soll, und wie der Artikel dadurch besser werden soll, daß ihm meine Webseite nicht gefällt, leuchtet zumindest mir nicht ein. (Es scheint aber nicht unüblich zu sein. Ein anderer Darmstädter Professor gab mir gerade die Schuld für Fehler auf seiner Webseite, indem er mir über meine Wortwahl bei der Nachfrage zürnte. Schuld ist nicht der, der Fehler macht, sondern immer der, der sie findet und danach fragt.) Eine Erklärung für die Ungereimtheiten in dem Artikel liegt jedenfalls bis heute nicht vor.

Der rein persönliche Eindruck, den ich von der Sache habe, ist jedenfalls kein guter. Das SIT ist ziemlich mit der Industrie verbandelt, man muß nur in die Auftragsliste des SIT und in das CAST-Forum sehen. Wie sich schon mehrfach zeigte scheint die Politik des SIT zu sein, auf Biegen und Brechen Digitale Signaturen, Chipkarten und die nötige Ausstattung dafür einzuführen – koste es, was es wolle. Und die direkte Nähe zu denen, die daran profitieren, ist durchaus fragwürdig. Gerade dann, wenn in Artikeln solche Fehler auftauchen, drängt sich der Eindruck auf, daß unter dem Deckmantel der Wissenschaftlichkeit Kommerz betrieben wird.

Ich habe oben gezeigt, daß ein durchschnittlicher Phishing-Schaden von gerade mal ein paar Cent pro Jahr und Haushalt mit Methoden bekämpft werden soll, die mindestens 30-70 Euro pro Jahr und Haushalt kosten.

Ich habe mich kürzlich mit der Sicherheitsabteilung einer Bank unterhalten. Die fühlen sich natürlich durch solche Artikel unter Druck gesetzt, weil die Kunden sowas lesen, das glauben und damit drohen, ihr Geld abzuziehen und zu vermeintlich sichereren Banken zu bringen. Zudem fühlen sie sich genötigt, das SIT als Berater zu beauftragen. Im Endeffekt ist es aber unsinnig, denn bei der Einführung etwa von HBCI würden allein Anschaffung und Betrieb der Banken-Server ein erhebliches Vielfaches dessen verschlingen, was bei dieser Bank an Schaden durch Phishing und Telebanking-Betrug auftritt. Und da sind noch keinerlei Kosten und Geräte beim Kunden berücksichtigt. Die mit Abstand billigste – und damit eigentlich sicherste – Methode ist für diese Bank, gar nichts zu tun und falls mal ein Phishing- oder Betrugsfall vorkommt, dem Kunden zur Abschreckung einen bösen Blick zuzuwerfen und dann stillschweigend und “aus Kulanz” den Schaden einfach zu übernehmen. Die vermeintlichen “Sicherheitsmechanismen” verursachen mehr Kosten und richten damit mehr Schaden an, als die Angreifer selbst. Ist das etwa “Sicherheit”?

Was steckt also hinter diesem Artikel?

Meine Vermutung ist die: Schafft man es, HBCI mit Geräten der Klasse 3 allgemein durchzusetzen und bei den Banken zum Standard zu machen, liefe das darauf hinaus, nicht nur den Banken teure Server und Dienste anzudrehen, sondern auch jedem Haushalt so ein Ding hinzustellen. Dreht man 20 Millionen Haushalten je einen Kartenleser zu 100 Euro an, sind das auch 2 Milliarden Umsatz. Und verblüffend viele der üblichen Verdächtigen, bei denen dieser Umsatz hängen bliebe, sind mit dem SIT verbandelt.

Ein Schelm, wer sich etwas dabei denkt.