IT-Sicherheit: Banken nutzen verschlüsselte PDFs als Sicherheitsplacebo

Wer würde schon einen Haustürschlüssel von außen an die Türklinke hängen, nachdem er die Tür abgeschlossen hat? Die Idee ist absurd, doch einige Banken bieten ein solches Verfahren ihren Kunden als E-Mailverschlüsselung an.

Artikel veröffentlicht am , Anna Biselli
Verschlüsselung funktioniert nicht, wenn der Angreifer den Schlüssel auf dem Silbertablett bekommt.
Verschlüsselung funktioniert nicht, wenn der Angreifer den Schlüssel auf dem Silbertablett bekommt. (Bild: Robert Gramner)

Eine E-Mail mit einer verschlüsselten PDF, eine andere mit dem zugehörigen Passwort - wer sich in den E-Mailaccount einer Person gehackt hat, dürfte darüber wohl müde lächeln. Doch es gibt Banken, die ihren Kunden genau diese Methode als angeblich sichere E-Mailverschlüsselung anbieten.

Inhalt:
  1. IT-Sicherheit: Banken nutzen verschlüsselte PDFs als Sicherheitsplacebo
  2. Wer den Sicherheitsversprechen glaubt, ist verwundbar

Eine dieser Banken ist die Volksbank Baden-Baden Rastatt - "zum Schutz sensibler Daten und Inhalte", heißt es auf ihrer Website. Golem.de liegt ein solches E-Mail-Paar vor, in dem ein Kunde die sogenannte verschlüsselte Kommunikation mit seiner Bank geführt hat. Nachdem er eine unverschlüsselte E-Mail an die Bank gesendet hatte, antwortete diese mit einer Passwort-geschützten PDF-Datei.

Etwa eine Minute später kam die E-Mail mit dem zugehörigen Passwort, betreff: "Passwort für Ihre verschlüsselte E-Mail im PDF-Format". In der E-Mail war zusätzlich der genaue Sendezeitpunkt der vorherigen Mail vermerkt. Kommentieren wollte die Bank diese Entscheidung nicht, Nachfragen beantwortete sie nicht. Doch die Volksbank Baden-Baden Rastatt ist nicht die einzige, die ein solches Verfahren einsetzt, auch die Volksbank Ebersberg nutzt das Verfahren.

"Eine solchen Placebo-Kryptolösung befriedigt allenfalls Anhänger der Homöopathie"

Der IT-Sicherheitsexperte Thorsten Schröder sagte Golem.de, das Verfahren suggeriere ein höheres Sicherheitsniveau, als Informationen unverschlüsselt zu versenden: "Dass dies Unsinn ist, liegt auf der Hand. Der Einsatz einer solchen Placebo-Kryptolösung befriedigt allenfalls Anhänger der Homöopathie: Wir heilen Unsicherheit mit Unsicherheit und verdünnen den 'Wirkstoff Kryptographie' so oft, bis nichts mehr nachweisbar ist." Schröder vergleicht das Verfahren mit einem Haustürschlüssel, den man von außen an die Türklinke hängt, nachdem man die Tür verschlossen hat.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed
Wer den Sicherheitsversprechen glaubt, ist verwundbar 
  1. 1
  2. 2
  3.  


Aktuell auf der Startseite von Golem.de
Digitaler Impfpass
Kein Zertifikatsrückruf unter dieser Apotheke

Was tun mit den illegal ausgestellten digitalen Impfpässen? Zurückziehen ist nicht vorgesehen. Im Notfall müssen alle neu ausgestellt werden.
Ein Bericht von Sebastian Grüner und Moritz Tremmel

Digitaler Impfpass: Kein Zertifikatsrückruf unter dieser Apotheke
Artikel
  1. Vidme: Webseiten blenden ungewollt Pornos ein
    Vidme
    Webseiten blenden ungewollt Pornos ein

    Eine Pornowebseite hat die verwaiste Domain eines Videohosters gekauft. Auf bekannten Nachrichtenseiten wurden daraufhin Hardcore-Pornos angezeigt.

  2. Gesundheitsministerium: Ab nächster Woche wieder Impfzertifikate aus Apotheken
    Gesundheitsministerium
    Ab nächster Woche wieder Impfzertifikate aus Apotheken

    Nach einer Sicherheitslücke bei der Ausstellung von Impfzertifikaten will das Gesundheitsministerium bisher keinen Betrug festgestellt haben.

  3. Huawei Mateview GT im Test: Ein guter Einstieg in die Welt der Ultrawide-Monitore
    Huawei Mateview GT im Test
    Ein guter Einstieg in die Welt der Ultrawide-Monitore

    Huaweis Mateview GT bietet für relativ wenig Geld ein breites 34-Zoll-Panel und eine tolle Soundbar - für Spiel und Büro.
    Ein Test von Oliver Nickel

Richard Wahner 18. Dez 2018

Hatte ich doch geschrieben: Die Telekom. Der High-Tech-Konzern deklariert auch signierte...

Richard Wahner 18. Dez 2018

Das ist, wie Du selbst darlegst, nutzlos. Und wer gewinnt im Streitfalle? Die Bank...

Mopsmelder500 16. Dez 2018

die Onvista Bank verlangt das man sein Passwort in ein ständig wechselndes Tastenfeld...

derh0ns 16. Dez 2018

Alles was die brauchen waere eine Option im Onlinebanking um nen PGP-Key zu uploaden...

mieze1 15. Dez 2018

Das halte ich nicht für besonders sicher. Da häufig zu dieser Methode zum Variieren...



  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Schnäppchen • 30% Rabatt auf Amazon Warehouse • Asus TUF Gaming 27" FHD 280Hz 306,22€ • Samsung 970 Evo Plus 1TB 136,99€ • Gratis-Spiele im Epic Games Store • Alternate (u. a. be quiet Pure Wings 2 Gehäuselüfter 7,49€) • Philips 75" + Philips On-Ear-Kopfhörer 899€ • -15% auf TVs bei Ebay [Werbung]
    •  /