Tokens statt PIN/TAN: Sicheres Online-Banking ohne Kartenleser

Die Kunden der Citibank werden derzeit von einer neuen Art Phishing-Fall bedrängt: Klickt der Kunde auf die URL in der Betrüger-Mail, öffnet sich die richtige Citibank-Seite. Nur das Pop-Up-Menu, in das der Kunde seine geheimen PINs und TANs eintippen soll, führt zu einer manipulierten Website. Hier nützen auch Virenscanner und Firewalls nichts – wer seine Daten jetzt weggibt, verschafft einem Kriminellen freien Zugang zu seinem Konto.

Während die Banken ihre Kunden auf Informations-Websites zu warnen, hoffen Token-Anbieter auf das große Geschäft: „Die Anbieter stehen derzeit alle in den Startlöchern“, sagt Peter Schill, zuständig für den E-Token-Vertrieb der Firma Aladdin. Die Technologie zum besseren Schutz der Online-Kunden ist im Markt längst ausgereift. Aladdin zum Beispiel kann auf dem „E-Token“ alle Passwörter eines Nutzers speichern und überprüft bei der Anmeldung automatisch jede Website, bevor Daten freigegeben werden. Auf diese Weise soll das Gerät gefälschte Phishing-Seiten erkennen und den Nutzer warnen.

Auch die Sicherheitshersteller RSA Security, Kobil und Vasco hätten Abhilfe gegen Phishing in ihren Lagern – nur sind deutsche Banken noch nicht dafür zu begeistern. „Das Geschäft läuft sehr zäh“, sagt ein Insider. Bei unseren Nachbarn sieht das anders aus:

Bei der SEB-Bank in Schweden hat noch nie jemand PINs und TANs für Online-Banking benutzt. „Wie wollten von Anfang an stärkere Sicherheitsmechanismen“, erzählt Niklas van Ingelandt, Information Security Manager bei der SEB. Da hier die User-ID immer die Sozialversicherungsnummer ist, könnte ein Hacker leicht den dazugehörigen, statischen PIN-Code herausfinden. Für die derzeit 600.000 Online-Kunden hat die SEB ein Challenge-Response-System eingeführt: Der Kunde aktiviert seinen Token mit einer PIN und gibt dann die ID ein. Die Website sagt, was er in den Digipass eintippen soll und das dann errechnete Ergebnis ist das Passwort für den Internet-Zugang, 3DES-verschlüsselt und nur 30 Sekunden gültig.