Wie sich Bankkunden vor Hacker-Angriffen auf das Smartphone schützen können

Kunden erledigen ihre Bankgeschäfte vermehrt per App. Dabei kommt es immer häufiger zum Datenklau. Die Hacker gehen dabei äußerst trickreich vor.

Es ist ein ständiges Wettrüsten: Kaum haben Softwareanbieter eine Sicherheitslücke gestopft, finden Cyberkriminelle schon das nächste Einfallstor. Ein aktueller Bericht der amerikanischen Sicherheitsfirma Crowdstrike macht nun insbesondere auf Gefahren sogenannter Malware für Smartphones aufmerksam. Neu sind Angriffe mit solcher Schadsoftware nicht, doch sie werden vielfältiger und zugleich umso relevanter, je mehr Kunden ihre mobilen Geräte auch für Bankgeschäfte nutzen.

US-Großbank: Daten von mehr als 100 Millionen Kunden gestohlen

Das Banking per Smartphone wird von jungen Banken wie N26, Revolut und Starling massiv vorangetrieben. Allein N26 zählt bereits 3,5 Millionen Nutzer in 24 europäischen Märkten. Doch auch die Apps traditioneller Geldhäuser sind beliebt, so haben die Sparkassen beispielsweise mehr als sieben Millionen aktive App-Nutzer.

"Die Angriffswege sind phantasievoll"

Zu den größten Gefahren von Malware zählen laut Crowdstrike solche Programme, die mitschneiden, welche Eingaben die Nutzer auf ihrem Gerät machen, eine andere Benutzeroberfläche mit falschen Eingabefeldern über die echte App legen oder persönliche Daten des Nutzers abgreifen – von den Kontakten aus dem Telefonbuch bis hin zum Standort, der über das GPS-Signal ermittelt wird.

Auch bei deutschen Banken ist das Phänomen längst bekannt. „Malware-Angriffe auf Smartphones beobachten wir schon seit mehreren Jahren“, sagt André Nash, IT-Sicherheitsexperte des Bundesverbandes deutscher Banken (BdB). Eine zunehmende Betrugsmasche seien gefälschte Banking-Apps. „Wer damit auf sein Konto zugreifen will, leitet die Daten direkt an Betrüger weiter“, so Nash. Er empfiehlt deshalb, Banking-Apps nur über autorisierte App-Stores wie dem Google-Playstore oder den Apple-Store zu installieren, aber nicht über womöglich unsichere Internetseiten.

Außerdem verbreitet: sogenanntes Social Engineering. „Zuletzt haben sich Betrüger als Mitarbeiter von Softwareunternehmen ausgegeben und die Verbraucher dazu gedrängt, ihnen Zugriff auf ihren PC zu ermöglichen“, warnt Experte Nash. Dabei seien Daten der Kunden abgegriffen worden. Um sich zu schützen, sollten Verbraucher nicht nur einen aktuellen Virenschutz auf ihren Geräten installieren.

Nach Angaben des Landeskriminalamts (LKA) sind die Fallzahlen zum Phänomen „Angriffe auf das Onlinebanking“ rückläufig. Dies gelte auch für das laufende Jahr. Eine Sprecherin des LKA weist zudem darauf hin, dass Angriffe „nahezu niemals“ zustande kommen, weil die App einer Bank direkt angegriffen wird und damit unsicher sei. „Die Angriffswege sind phantasievoll, trickreich und eher auf den Nutzer gerichtet, als direkt auf die Banking-App“, sagt sie.

Das LKA nennt daher drei „goldenen Regeln“ für Nutzer:

1. Dafür Sorge zu tragen, dass die persönlichen Daten nicht in falsche Hände gelangen.

2. Dafür Sorge zu tragen, dass durch die Installation oder Ausführung von Schadsoftware das eigene System nicht kompromittiert wird.

3. Die grundlegenden Gefahren in einer digitalen Welt kennen – dazu gehören unter anderem Links und Anhänge in E-Mails.

Wichtig auch: Links, über die sich Nutzer zum Beispiel Schadsoftware einhandeln können, werden nicht nur per E-Mail verschickt. Ein solcher Link kann auch per SMS auf das Handy gelangen. Dieser Weg wird laut LKA durch Angreifer ebenso erfolgreich gewählt, und eine Telefonnummer könne genauso manipuliert werden wie die Absenderadresse einer E-Mail.

Die Behörde empfiehlt deshalb: „Klicken Sie keine Links an, sondern geben Sie die Zieladresse grundsätzlich manuell in das Browser-Adressfenster ein, dann landen Sie auch da, wo Sie hinwollen.“ Auch, wenn eine Internetseite aussieht wie gewohnt, ist das keine Garantie für ihre Sicherheit. Schließlich können Internetseiten von Angreifern exakt kopiert werden.

Gefahren bei Tan-Verfahren

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) rechnet zudem mit neuen Angriffsmethoden bei Tan-Verfahren. „Die Methoden der Angreifer orientieren sich an den Schutzmaßnahmen der Banken“, sagt eine Sprecherin des BSI. So schaffen Banken ab Mitte September die iTan-Listen ab, mit denen Kunden Überweisungen freigeben können. „In der Folge kann es dazu kommen, dass Angreifer versuchen werden, Wege zu finden, diese Methoden zu kompromittieren“, so das BSI.

Als unsicher gelten SMS-Tan-Verfahren. Problem aus Sicht des BSI: „Bei SMS-Tan-Verfahren besteht eine Betrugsmöglichkeit darin, dass ein Angreifer eine Zweit-SIM-Karte für das anzugreifende Mobiltelefon beim Mobilfunkbetreiber bestellt. Diese wird per Brief-Post an die beim Mobilfunkanbieter bekannte Postadresse versendet. Der Angreifer fängt die betreffende Postsendung ab und benutzt die Zweit-SIM-Karte unauthorisiert für Transaktionen des eigentlichen SIM-Karten-Inhabers.“

Allerdings: Viele Banken schalten derzeit nicht nur die iTan, sondern auch die SMS-Tan ab und ersetzen sie durch sicherere Verfahren. Das BSI empfiehlt Tan-Generatoren (Hardware) oder Authentifizierungs-Apps (Software), die Einmalkennwörter zeit- oder ereignisbasiert neu generieren.

VIDEO: Zufallszahlen sind wichtig für sichere Verschlüsselung