Abo
  • IT-Karriere:

Wer den Sicherheitsversprechen glaubt, ist verwundbar

Die Metadaten des PDFs legen nahe, dass das verwendete Produkt die "iQ.Suite PDFCrypt" des Herstellers GBS ist https://www.gbs.com/de/email-sicherheit/pdf-crypt und die PDFs mit dem AES-Verfahren verschlüsselt wurden. Der Hersteller wirbt damit, dass die Verschlüsselung "ganz ohne Schlüssel, Zertifikate oder Installation von Software auf Empfängerseite" funktioniere. Vom Bankmitarbeiter erstellte E-Mails werden automatisch in verschlüsselte PDFs umgewandelt, der Passwortversand erfolgt auf Wunsch ohne weiteres Zutun des Mitarbeiters.

Stellenmarkt
  1. Adecco Personaldienstleistungen GmbH, Erfurt
  2. Baettr Stade GmbH über Jauss HR-Consulting GmbH & Co.KG, Stade

Eine etwas abgewandelte Form wird vom Hersteller BCC vertrieben und unter anderem von der Volksbank Kurzpfalz genutzt. Es funktioniert wie oben beschrieben, nur das Passwort wird nicht als Text innerhalb der E-Mail, sondern als eingebettetes Bild versendet. Auf Nachfrage beim Hersteller, wie diese Art der Verschlüsselung die Kunden schützen soll, erhielt Golem.de keine Antwort. Auf der Website sagt der Hersteller, mit der "PDF-Verschlüsselung werden auch die Sicherheitsanforderungen für die Anwender erfüllt, die keine PGP- oder S/MIME-Verschlüsselung nutzen".

Die Banken antworten nur ausweichend oder gar nicht

Die Nachfrage, warum sich die Volksbank Kurpfalz für diese Methode entschieden habe, beantwortete die Bank nur ausweichend: Die Entscheidung sei "aufgrund intern und extern gegebener Prämissen" erfolgt. Der präferierte Weg sei jedoch, dass die Kunden über ihren Online-Banking-Account verschlüsselt mit der Bank kommunizieren sollen. Präferiert: ja. Verpflichtend: nein. Für Kunden, die den Sicherheitsversprechen der Bank glauben, sei die vermeintliche E-Mailverschlüsselung gefährlich, sagt Schröder. Sie würden anfälliger für Social-Engineering-Angriffe.

Betrachtet man andere Banken, ergibt sich ein heterogenes Bild: Manche Banken bieten keinerlei E-Mailverschlüsselung an. Andere ermöglichen es, öffentliche PGP-Schlüssel oder S/MIME-Zertifikate zu hinterlegen, um Ende-zu-Ende-verschlüsselt und signiert kommunizieren zu können. Damit können die Kunden nicht nur vertraulich mit ihrer Bank kommunizieren. Sie können auch feststellen, ob die Nachrichten wirklich von der Bank stammen - und nicht von einem Angreifer, der sie zur Herausgabe von Bankdetails bringen will.

Immerhin: Im uns vorliegenden E-Mailverkehr mit der Volksbank Baden-Baden Rastatt wies die Bank darauf hin, dass "aus Sicherheitsgründen" keine neue PIN per E-Mail angefordert werden könne. Das musste der Kunde dann telefonisch erledigen.

 IT-Sicherheit: Banken nutzen verschlüsselte PDFs als Sicherheitsplacebo
  1.  
  2. 1
  3. 2


Anzeige
Hardware-Angebote
  1. ab 369€ + Versand
  2. täglich neue Deals bei Alternate.de
  3. 114,99€ (Release am 5. Dezember)

Richard Wahner 18. Dez 2018

Hatte ich doch geschrieben: Die Telekom. Der High-Tech-Konzern deklariert auch signierte...

Richard Wahner 18. Dez 2018

Das ist, wie Du selbst darlegst, nutzlos. Und wer gewinnt im Streitfalle? Die Bank...

Mopsmelder500 16. Dez 2018

die Onvista Bank verlangt das man sein Passwort in ein ständig wechselndes Tastenfeld...

derh0ns 16. Dez 2018

Alles was die brauchen waere eine Option im Onlinebanking um nen PGP-Key zu uploaden...

mieze1 15. Dez 2018

Das halte ich nicht für besonders sicher. Da häufig zu dieser Methode zum Variieren...


Folgen Sie uns
       


Linksabbiegen mit autonomen Autos - Bericht

In Braunschweig testet das DLR an zwei Ampeln die Vernetzung von automatisiert fahrenden Autos und der Verkehrsinfrastruktur.

Linksabbiegen mit autonomen Autos - Bericht Video aufrufen
Ursula von der Leyen: Von Zensursula zur EU-Kommissionspräsidentin
Ursula von der Leyen
Von "Zensursula" zur EU-Kommissionspräsidentin

Nach der "Rede ihres Lebens" hat das Europäische Parlament am Dienstagabend Ursula von der Leyen an die Spitze der EU-Kommission gewählt. Die Christdemokratin will sich in ihrem neuen Amt binnen 100 Tagen für einen Ethik-Rahmen für KI und ambitioniertere Klimaziele stark machen. Den Planeten retten, lautet ihr ganz großer Vorsatz.
Ein Bericht von Justus Staufburg

  1. Adsense for Search Neue Milliardenstrafe gegen Google in der EU

Radeon RX 5700 (XT) im Test: AMDs günstige Navi-Karten sind auch super
Radeon RX 5700 (XT) im Test
AMDs günstige Navi-Karten sind auch super

Die Radeon RX 5700 (XT) liefern nach einer Preissenkung vor dem Launch eine gute Leistung ab: Wer auf Hardware-Raytracing verzichten kann, erhält zwei empfehlenswerte Navi-Grafikkarten. Bei der Energie-Effizienz hapert es aber trotz moderner 7-nm-Technik immer noch etwas.
Ein Test von Marc Sauter

  1. Navi 14 Radeon RX 5600 (XT) könnte 1.536 Shader haben
  2. Radeon RX 5700 (XT) AMD senkt Navi-Preise noch vor Launch
  3. AMD Freier Navi-Treiber in Mesa eingepflegt

Erneuerbare Energien: Die Energiewende braucht Wasserstoff
Erneuerbare Energien
Die Energiewende braucht Wasserstoff

Kein anderes Element ist so universell und dabei simpel aufgebaut wie Wasserstoff und das energiereiche Gas lässt sich aus fast jedem Energieträger gewinnen. Genauso vielseitig gestaltet sich seine Nutzung.
Ein Bericht von Jan Oliver Löfken

  1. Strom-Boje Mittelrhein Schwimmende Kraftwerke liefern Strom aus dem Rhein
  2. Speicherung von Überschussstrom Wasserstoff soll bei Engpässen helfen
  3. Energiewende DLR-Forscher bauen Kohlekraftwerke zu Stromspeichern um

    •  /