Original-URL des Artikels: https://www.golem.de/news/it-sicherheit-banken-nutzen-verschluesselte-pdfs-als-sicherheitsplacebo-1812-138196.html    Veröffentlicht: 12.12.2018 11:20    Kurz-URL: https://glm.io/138196

IT-Sicherheit

Banken nutzen verschlüsselte PDFs als Sicherheitsplacebo

Wer würde schon einen Haustürschlüssel von außen an die Türklinke hängen, nachdem er die Tür abgeschlossen hat? Die Idee ist absurd, doch einige Banken bieten ein solches Verfahren ihren Kunden als E-Mailverschlüsselung an.

Eine E-Mail mit einer verschlüsselten PDF, eine andere mit dem zugehörigen Passwort - wer sich in den E-Mailaccount einer Person gehackt hat, dürfte darüber wohl müde lächeln. Doch es gibt Banken, die ihren Kunden genau diese Methode als angeblich sichere E-Mailverschlüsselung anbieten.

Eine dieser Banken ist die Volksbank Baden-Baden Rastatt - "zum Schutz sensibler Daten und Inhalte", heißt es auf ihrer Website. Golem.de liegt ein solches E-Mail-Paar vor, in dem ein Kunde die sogenannte verschlüsselte Kommunikation mit seiner Bank geführt hat. Nachdem er eine unverschlüsselte E-Mail an die Bank gesendet hatte, antwortete diese mit einer Passwort-geschützten PDF-Datei.

Etwa eine Minute später kam die E-Mail mit dem zugehörigen Passwort, betreff: "Passwort für Ihre verschlüsselte E-Mail im PDF-Format". In der E-Mail war zusätzlich der genaue Sendezeitpunkt der vorherigen Mail vermerkt. Kommentieren wollte die Bank diese Entscheidung nicht, Nachfragen beantwortete sie nicht. Doch die Volksbank Baden-Baden Rastatt ist nicht die einzige, die ein solches Verfahren einsetzt, auch die Volksbank Ebersberg nutzt das Verfahren.

"Eine solchen Placebo-Kryptolösung befriedigt allenfalls Anhänger der Homöopathie"

Der IT-Sicherheitsexperte Thorsten Schröder sagte Golem.de, das Verfahren suggeriere ein höheres Sicherheitsniveau, als Informationen unverschlüsselt zu versenden: "Dass dies Unsinn ist, liegt auf der Hand. Der Einsatz einer solchen Placebo-Kryptolösung befriedigt allenfalls Anhänger der Homöopathie: Wir heilen Unsicherheit mit Unsicherheit und verdünnen den 'Wirkstoff Kryptographie' so oft, bis nichts mehr nachweisbar ist." Schröder vergleicht das Verfahren mit einem Haustürschlüssel, den man von außen an die Türklinke hängt, nachdem man die Tür verschlossen hat.



Wer den Sicherheitsversprechen glaubt, ist verwundbar

Die Metadaten des PDFs legen nahe, dass das verwendete Produkt die "iQ.Suite PDFCrypt" des Herstellers GBS ist https://www.gbs.com/de/email-sicherheit/pdf-crypt und die PDFs mit dem AES-Verfahren verschlüsselt wurden. Der Hersteller wirbt damit, dass die Verschlüsselung "ganz ohne Schlüssel, Zertifikate oder Installation von Software auf Empfängerseite" funktioniere. Vom Bankmitarbeiter erstellte E-Mails werden automatisch in verschlüsselte PDFs umgewandelt, der Passwortversand erfolgt auf Wunsch ohne weiteres Zutun des Mitarbeiters.

Eine etwas abgewandelte Form wird vom Hersteller BCC vertrieben und unter anderem von der Volksbank Kurzpfalz genutzt. Es funktioniert wie oben beschrieben, nur das Passwort wird nicht als Text innerhalb der E-Mail, sondern als eingebettetes Bild versendet. Auf Nachfrage beim Hersteller, wie diese Art der Verschlüsselung die Kunden schützen soll, erhielt Golem.de keine Antwort. Auf der Website sagt der Hersteller, mit der "PDF-Verschlüsselung werden auch die Sicherheitsanforderungen für die Anwender erfüllt, die keine PGP- oder S/MIME-Verschlüsselung nutzen".

Die Banken antworten nur ausweichend oder gar nicht

Die Nachfrage, warum sich die Volksbank Kurpfalz für diese Methode entschieden habe, beantwortete die Bank nur ausweichend: Die Entscheidung sei "aufgrund intern und extern gegebener Prämissen" erfolgt. Der präferierte Weg sei jedoch, dass die Kunden über ihren Online-Banking-Account verschlüsselt mit der Bank kommunizieren sollen. Präferiert: ja. Verpflichtend: nein. Für Kunden, die den Sicherheitsversprechen der Bank glauben, sei die vermeintliche E-Mailverschlüsselung gefährlich, sagt Schröder. Sie würden anfälliger für Social-Engineering-Angriffe.

Betrachtet man andere Banken, ergibt sich ein heterogenes Bild: Manche Banken bieten keinerlei E-Mailverschlüsselung an. Andere ermöglichen es, öffentliche PGP-Schlüssel oder S/MIME-Zertifikate zu hinterlegen, um Ende-zu-Ende-verschlüsselt und signiert kommunizieren zu können. Damit können die Kunden nicht nur vertraulich mit ihrer Bank kommunizieren. Sie können auch feststellen, ob die Nachrichten wirklich von der Bank stammen - und nicht von einem Angreifer, der sie zur Herausgabe von Bankdetails bringen will.

Immerhin: Im uns vorliegenden E-Mailverkehr mit der Volksbank Baden-Baden Rastatt wies die Bank darauf hin, dass "aus Sicherheitsgründen" keine neue PIN per E-Mail angefordert werden könne. Das musste der Kunde dann telefonisch erledigen.  (abi)


Verwandte Artikel:
Sicherheitslücken: Bankautomaten hacken mit Netzwerkkabel und Tastatur   
(20.11.2018, https://glm.io/137811 )
EU-Zertifizierung: Neues Gesetz soll das Internet sicherer machen   
(11.12.2018, https://glm.io/138190 )
Datenschutzverletzung: Daten von 100 Millionen Nutzern bei Quora abgegriffen   
(04.12.2018, https://glm.io/138055 )
Bundesarbeitsgericht: Arbeitgeber dürfen Überwachungsvideos dauerhaft speichern   
(23.08.2018, https://glm.io/136159 )
T-Systems: Konnektor für E-Gesundheitskarte zugelassen   
(24.06.2018, https://glm.io/135117 )

© 1997–2019 Golem.de, https://www.golem.de/