Hacker hebeln mTAN-Verfahren aus

Mobile TANs gelten als sehr sicher. Wer Online Banking nutzt, erhält keine Liste mit vorgefertigten TANs mehr – die Nummer, welche die Geschäftsvorgänge bestätigen, werden vielmehr jedes Mal spontan generiert und an das Mobiltelefon des Users geschickt. Doch 2012 ist es Cyberkriminellen gelungen, das ausgeklügelte Sicherheitssystem zu umgehen. In ganz Europa haben sie rund 36 Millionen Euro entwenden können.

Knapp 36 Millionen Euro Beute von 30 europäischen Banken

Die beiden Sicherheitsunternehmen Versafe und Check Point Software berichten, dass mehr als 30.000 Kunden von etwa 30 Banken betroffen sein sollen. Die Geldinstitute befinden sich in Spanien, Italien, Holland und Deutschland. Das europaweite Vorgehen hat den Hackern den Spitznamen „Eurograbber“ eingebracht. Mit einem Trojaner gelang es den Kriminellen, sogar das mTAN-Verfahren zu umgehen.

So sind die Hacker dabei vorgegangen:

• Zunächst infizierten sie die Rechner von Online-Banking-Nutzern mit einer Schadsoftware namens „Zeus“. Diese installiert sich vom User unbemerkt auf dem Rechner.
• Der Trojaner wird aktiv, sobald der User sein Online-Banking-Portal besucht. Hier wird er darum gebeten, persönliche Daten einzugeben, etwa die Telefonnummer. Weitere Anweisungen erhält der Nutzer per SMS.
• Smartphone-Nutzer erhalten nun eine Mail mit einem Link, der Online-Banking über das Mobiltelefon angeblich sicherer machen soll. Tatsächlich installiert sich bei Betätigung des Links eine weitere Version des Trojaners auf dem Handy.
• Tätigt der User nun eine Überweisung und es wird eine TAN an seine Mobilfunknummer gesendet, fängt der Trojaner diese ab und nutzt sie für eigene Überweisungen vom Konto des Geschädigten.

Die Schadsoftware soll bisher Smartphones mit Android-Betriebssystem und Blackberrys befallen haben.

So können sich Verbraucher schützen

Folgende Sicherheitsmaßnahmen können Verbraucher vor derartigen Übergriffen schützen:

• Bankmitarbeiter werden ihre Kunden nie per E-Mail oder SMS um die Eingabe persönlicher oder kontobezogener Daten bitten.
• Werden Verbraucher im Online-Banking-Portal zum Download von Software oder zu Sicherheitsupdates aufgefordert, sollten sie Vorsicht walten lassen und zunächst beim Geldinstitut direkt nachfragen.
• Beim Besuch der Online-Banking-Webseite lohnt sich die Abfrage des Sicherheitszertifikats. Dieses weist die Webseite als Original aus.
• Verbraucher sollten zudem die Sicherheitssoftware ihres Rechners regelmäßig aktualisieren und ihre Festplatte nach unerwünschter Software scannen lassen.