Online-Banking: Mehr Sicherheit ohne TAN

(openPR) Der österreichische IT-Security-Spezialist Helmut Schluderbacher zeigt die Schwachstellen der neuen Mobilen Transaktionsnummern (mTAN) auf und erklärt, warum das von ihm entwickelte System „SecLookOn“ den Bankkunden mehr Sicherheit bietet. Ein Gutachten des Schweizer IT-Experten Dr. Thomas Dübendorfer bestätigt, dass das SecLookOn-Authentifizierungsverfahren höhere Sicherheit bietet als traditionelle Passwörter oder PIN.

Die Sicherheitsexperten der Banken geben sich ernsthaft Mühe, dem Thema Phishing bzw. Passwortbetrug im Interesse der Kunden möglichst wirksam zu begegnen. Das jüngste Ergebnis dieser Bestrebungen heißt mTAN (mobile Transaktionsnummer). Bisher bekam man als Online-Banking-Kunde per Post eine Liste mehrerer TAN per Post zugesandt, die für eine bestimmte Anzahl von Überweisungen zur Verfügung standen. Eine mTAN hingegen wird dem Kunden nur für eine bestimmte Transaktion per SMS zugestellt, nachdem er einen Überweisungsauftrag online eingegeben hat. Damit wird verhindert, dass Unbefugte durch Entwenden der Liste in den Besitz gültiger TAN gelangen können.

mTAN nicht so sicher wie sie scheinen
Bei genauerem Hinsehen erweisen sich jedoch auch die mTAN als unsicherer als sie scheinen. Dies weniger, weil die wichtigsten Überweisungsdaten (Empfänger, Kontonummer, Bankleitzahl, Betrag) zur Kontrolle gemeinsam mit dem mTAN per SMS versandt werden. Das größere Risiko liegt darin begründet, dass mit der weiteren Verbreitung von kabellosen Internetzugängen auch die SMS direkt auf dem Rechner landet, statt im Mobiltelefon: Viele Anwender verwenden heute kabellose Internetzugänge als Standardverbindung, vor allem, wenn sie unterwegs sind. Wenn der integrierte SMS-Zugang für den Empfang der mTANs genutzt wird, landet der mTAN direkt auf dem Rechner und steht allfällig vorhandenen Trojanern zur Verfügung.

Denken ist sicherer als schreiben
Das vom österreichischen Unternehmen Merlinnovations entwickelte, patentierte Verfahren SecLookOn bietet hingegen die volle Sicherheit gegen Phishing und Trojaner, indem es einen völlig neuen Lösungsweg einschlägt: nicht mehr geschriebene Passwörter oder TAN werden als Sicherheitsbarriere herangezogen, sondern gedachte Assoziationen. Im Klartext heißt das: Es wird nicht ein bestimmter Code abgefragt, sondern individuelle assoziative Verbindungen von Bildern, Farben, Formen und Zahlen. Vorteil Nr. 1: Nur der betreffende User kennt seine persönliche Assoziation. Vorteil Nr. 2: Verbindungen von Zahlen und bildhaften Elementen (Farben, Formen, Bilder) merkt sich das menschliche Gehirn leichter als Zahlen alleine. Vorteil Nr. 3: Die individuelle, nur im Kopf des Kunden vorhandene Bild-Zahl-Farb-Form-Assoziation ist bei Eingabe nicht erkennbar und, Vorteil Nr. 4: für Betrüger so gut wie unknackbar, da die Sicherheit von 340 Bit (2340 Möglichkeiten, entspricht einer 1 mit 102 Nullen) außergewöhnlich hoch ist und bei Bedarf weiter erhöht werden kann.
Breites Anwendungsspektrum
Ein vom international anerkannten Schweizer Security-Experten und Wissenschafter Dr. Thomas Dübendorfer erstelltes Gutachten bestätigt die höhere Sicherheit von SeclookOn gegenüber den bestehenden, auf statischen Zifferncodes basierenden Systemen. Somit eignet sich für SecLookOn Online-Banking und bei Bankomaten ebenso wie für den Schutz vor unerlaubtem Zugriff auf Unternehmens- oder Kundendaten. So ist das System bereits in über 1.000 österreichischen Zahnarztpraxen zum Schutz der Patientendaten im Einsatz. Im Bankwesen bietet SecLookOn neben der höheren Sicherheit auch den Vorteil der Vereinfachung: Für Onlinekonto und Bankomat brauchen die Kunden sich nicht mehr verschiedene Passwörter zu merken.

Das Schweizer Gutachten kann bei Bedarf angefordert werden unter .