IT-Experten zeigen Sicherheitslücken bei Bezahlverfahren

IT-Experten haben auf dem Hacker-Kongress des Chaos Computer Clubs aktuelle Bezahlverfahren unter die Lupe genommen und Sicherheitslückem vorgeführt. Besonders anfällig zeigte sich dabei das sogenannte pushTAN-Verfahren, welches beim Onlinebanking zur Anwendung kommt.

(Bildquelle Online-Banking: everything possible via Shutterstock)

Das Bezahlen per Onlinebanking gewinnt an Beliebtheit, neue Player wie zum Beispiel Paydirekt verstärken diese Tendenz. Doch die Risiken dabei, Opfer von Hackerangriffen zu werden, ist nach wie vor gegeben. Das haben jetzt IT-Experten auf dem Hacker-Kongress des Chaos Computer Clubs vorgeführt.

Das sogenannte pushTAN-Verfahren verspricht für die Zukunft ein einfacheres Onlinebanking und soll die Kunden verstärkt zur Nutzung animieren. Es funktioniert mithilfe von zwei Apps, mit welchen man vom Smartphone aus alle Bankgeschäfte erledigen können soll. Doch wie die Hacker zeigen, sind die Apps bis dato noch nicht vor Hackerangriffen sicher.

Schon im Oktober hatten zwei Informatiker von der Uni Erlangen gezeigt, wie man die pushTAN-App der Sparkassen knacken könnte. Ihnen war es gelungen, eine Überweisung auf ein anderes Konto umzuleiten und sogar den Überweisungsbetrag zu verändern.

Sicherheitslücken bei verschiedenen Verfahren vorgeführt

Der 26-Jährige IT-Experte Vincent Haupert hat im Rahmen des Hacker-Kongresses des Chaos Computer Clubs vorgeführt, wie man sich durch den Zugriff auf ein Smartphone, auch den Zugriff auf die pushTAN-App verschaffen kann und damit dann im Namen des eigentlichen Nutzers Geldtransaktionen tätigen kann.

Haupert gab auch Tipps, welche Bezahlmethoden sicherer sein sollen. Demnach ist das mTAN-Verfahren, bei welchem die TAN-Nummer per SMS auf das Smartphone der Kunden gesendet wird, sicherer, obwohl es auch hier schon Hackern gelungen ist, das System zu knacken.

Am schwersten zu knacken sei laut Haupert das sogenannte ChipTAN- oder SmartTAN-Verfahren der Banken, weil der Hacker hier auch den Zugriff auf die EC-Karte der Kunden braucht, was es schwieriger macht. Bei diesem Verfahren nutzen die Kunden einen sogenannten TAN-Calculator in Kombination mit der eigenen EC-Karte.

Andere IT-Experten verdeutlichten auf dem Kongress, welche Sicherheitslücken es beim Bezahlen mit EC-Karten und Prepaid-Karten noch gibt. So zeigten sie zum Beispiel, wie PIN-Ziffernfolgen nach der Eingabe der Kunden ausgelesen und Überweisungen manipuliert werden könnten.