Onlinebanking: Betrüger tricksen das mTAN-Verfahren aus
Für Tobias Engel ist das Überraschendste an diesem Hackerangriff, dass er erst jetzt passiert ist. Schon vor knapp zweieinhalb Jahren warnte der Sicherheitsforscher öffentlich vor diesem Szenario: Kriminelle könnten sich die Zugangsdaten zu Bankkonten besorgen und über eine von Engel und anderen beschriebene Schwachstelle im Mobilfunknetz die mTAN für das Onlinebanking abfangen. Anschließend hätten sie alles, was sie brauchen, um fremde Konten aus der Ferne leerzuräumen.
Exakt so sind Unbekannte nun tatsächlich vorgegangen, wie die Süddeutsche Zeitung(öffnet im neuen Fenster) berichtet. Über Phishingmails, die auf gefälschte, aber legitim aussehende Websites von Banken verlinken, haben sie Menschen zunächst dazu gebracht, ihre Kontozugangsdaten preiszugeben. Die Handynummer bekamen sie vermutlich entweder ebenfalls durch Phishing oder im Anschluss daran über die Stammdaten im Onlinebanking. Anhand des Kontostands konnten sie sehen, bei wem sich auch der zweite Teil des Angriffs lohnen würde.
Der funktioniert so: Die Unbekannten haben sich einen Zugang zum sogenannten SS7-Netzwerk besorgt. SS7 (Signalling System #7) steht für eine Sammlung von Signalisierungsprotokollen, über die Provider die Vermittlung von Anrufen, SMS und Daten von einem Netz ins nächste oder von einer Vermittlungsstelle zur nächsten regeln. Ohne SS7 wäre zum Beispiel Roaming nicht möglich.
Zugang zu diesem Netzwerk hatten ursprünglich nur die wenigen, oft staatlich kontrollierten Telefonanbieter, mittlerweile aber sind es Tausende Firmen und Forschungseinrichtungen. Sofern sie Mitglied der Industrievereinigung GSMA sind, können sie den Zugang schon für ein paar Hundert Euro im Monat kaufen - und an andere GSMA-Mitglieder vermieten. Kriminelle Organisationen können sich mit ein wenig Bürokratie also durchaus einen Zugang zu SS7 verschaffen.
Wer es ins SS7-Netz schafft, dem vertrauen alle anderen darin
Wer erst einmal im SS7-Netzwerk ist, kann darin unter Umständen allerhand anstellen, wie sowohl Tobias Engel als auch die Berliner Forscher der Security Research Labs um Karsten Nohl 2014 demonstrierten(öffnet im neuen Fenster) : Handynutzer orten, SMS mitlesen, Gespräche abhören, Rufnummern umleiten, Telefone blockieren - alles war und ist zum Teil bis heute möglich, sofern die Angreifer die Handynummer ihres Opfers kennen. Denn viele Provider beantworten SS7-interne Anfragen und Kommandos ohne jede Plausibilitätsüberprüfung. Wer drin ist, dem wird vertraut. Oberste Priorität hat, den Kunden stabile Netzverbindungen zu bieten, auch wenn sie gerade unterwegs und auf Reisen sind.
Das haben die Angreifer in diesem Fall ausgenutzt. Sie loggten sich in die Onlinekonten ihrer Opfer ein und überwiesen sich Geld auf beliebige Konten. Den Vorgang bestätigten sie mit der mTAN aus einer SMS, die sie zuvor über SS7 von der Handynummer der Opfer auf ihre eigene Mobilfunknummer umgeleitet hatten. In Deutschland waren Kunden von O2-Telefónica betroffen, wie der Anbieter der SZ bestätigte.
"Das Erste, was einem beim Thema Rufnummernumleitung und SMS mitlesen einfällt" , sagt Engel heute, sei es eben, mTAN fürs Onlinebanking abzufangen. Dass es mehr als zwei Jahre gedauert habe, bis der von ihm beschriebene Fall eingetreten ist, liege vielleicht nur daran, "dass es bisher offenbar einfacher war, auf anderem Weg an die SMS zu kommen" . Etwa über Ersatz-SIM-Karten, die Kriminelle im Namen ihrer Opfer bestellen, wie 2015 bei der Telekom geschehen(öffnet im neuen Fenster) .
Die GSMA hat Änderungen vorgeschlagen
Es sei allerdings nicht so, dass seit 2014 nichts im SS7-Netzwerk passiert sei. "Die GSMA hat diverse Empfehlungen ausgesprochen" , wie Provider den Betrug eindämmen können, auch auf seine Entdeckungen hin. Engel ist schließlich SS7-Spezialist beim auf Mobilfunknetzsicherheit spezialisierten Unternehmen GSMK und seit Jahren ein anerkannter Experte auf diesem Gebiet. "Aber die Umsetzung ist für die Mobilfunkanbieter freiwillig. Es gibt einige in Deutschland, die sich da sehr bemühen - und andere, die das nicht so sehr tun" , sagt er. Er hoffe aber, dass dieser erste Fall, in dem Kunden einen finanziellen Schaden erlitten haben, zu weiteren Verbesserungen führt.
Das mTAN-Verfahren gilt schon lange als vergleichsweise unsicher
Ein wenig nimmt Engel die Provider in Schutz. Das Problem sei "sehr schwer unter Kontrolle zu bringen" . Plausibilitätschecks innerhalb von SS7 etwa, mit denen ein Provider überprüfen könnte, ob ein anderer Anbieter gerade eine legitime Anfrage zur Rufnummernumleitung oder zur Übernahme eines laufenden Gesprächs stellt, seien technisch "schwer zu implementieren" . Es gebe einfach zu viele Ausnahmen, in denen diese Vorgänge möglich sind, auch wenn sie auf den ersten Blick verdächtig wirken.
Auch der Zugang zu SS7 sei nicht ohne weiteres strenger zu reglementieren. Allzu hohe administrative Hürden könnten dazu führen, dass Endkunden Probleme zum Beispiel beim Roaming bekommen.
Besser wäre es wohl, einfach das mTAN-Verfahren abzuschaffen. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfiehlt als sicherere Alternative schon lange das Chip-TAN-Verfahren(öffnet im neuen Fenster) : Die Transaktionsnummer wird dabei nicht als SMS versendet, sondern vom Nutzer selbst mit Hilfe eines kleinen Geräts und der EC-Karte generiert.
Ob die Täter mit ihrem SS7-Hack auf Dauer durchkommen, ist natürlich auch nicht gesagt. Die Überweisungen an sich mögen heimlich passiert sein, aber auf irgendeinem Konto müssen sie gelandet sein. Für die Strafverfolger dürfte das ein zentraler Ermittlungsansatz sein.