Hat schonmal jmd nen Virus gehabt?

[Marja]

(deswegen soll man bei der Deutschen Bank die TAN auch mit der Maus über Felder eingeben die dort sind). Neuartige TANSysteme schicken z.B. eine SMS mit einem Bestädigungscode an ein vorher angemeldetes Handy oder die TANs sind durchnummeriert und dann wird z.B. TAN Nr. 56. abgefragt

Wow, das finde ich ein gutes System...
leider bietet meine Bank das (noch?) nicht an.

Im übrigen handelt das meine Bank so, dass SIE mir beweisen muss, wenn bei einer Onlinebankingaktion etwas schief gegangen ist. Wenn das eure nicht tut (wie es bei fasst allen der Fall ist) würde ich mal einen Wechsel überlegen...

Allerdings, jede vernünftige Bank tritt bei Online- Geschädigten in Haftung.

Und für ganz sichere Füchse gibt es doch auch so ein seperates Nummern- Eingabe- Feld,
das besonders codiert ist... Ein Bekannter hat sich so ein Ding mal gekauft...

 

[dirkkuepper]

Hallo
aus aktuellem anlass wollte ich mich hier mal umhören, ob sich jmd auf seinem mac schonmal nen virus oder trojaner eingefangen hat......

Es gibt keine Viren oder ähnliches. Allerhöchstens einen Versuch sowas mal zu schaffen. Ist man aber kläglich dran gescheiert!
Auch lesenswert ist http://www.bsi-fuer-buerger.de

 

[lisemie]

Früher gab es da schon so einige...

Im Copyhaus hat mir mal ein Mitarbeiter gesagt, auf meiner Diskette sei
ein unsichtbarer Virus, von dem es heißt, er könne am soundsovielten alle Daten
löschen. Man gab mir ein Tool zum Sichtbarmachen und Eliminieren mit.
Ob der Virus böse war, hab ich bis heute nicht erfahren.

Von den besorgten (Windows-User-)Eltern bekam ich daraufhin zum Geburtstag
Norton Antivirus für Mac geschenkt. Der fand dann auch jede Menge - mindestens drei
verschiedene bekannte Viren, die schon ewig auf der Platte gewesen sein mußten.
Gemacht haben sie aber nichts - oder ich hab nichts davon gemerkt (Internet hatte
ich damals noch nicht.)

Norton hat dann schön repariert und gerödelt und eliminiert. Cool.
Und beim nächsten Neustart kam die Meldung: Virus X (Namen weiß ich nicht mehr)
wird zum Starten benötigt. Tolle Wurst - eine Woche vor Diplomabgabe.
Da habe ich zum ersten Mal eine Systemneuinstallation durchgeführt...

Das war 1998 auf dem 7er System.

Grüße, lisemie

 

[Silver111]

Schön, dass mir keiner Antwortet.

 

[pepi]

Silver111,
da war nicht viel zu beantworten, es ist nachvollziehbar wo das Geld hingegangen ist. Allerdings haben nicht alle Staaten dieser Welt Abkommen zur gemeinsamen Strafverfolgung oder ein Bankengesetz wo der Eigentümer eines Kontos personell erfaßt sein muß.
Gruß Pepi

 

[KayHH]

Moin Silver111,

natürlich kann man das zurück verfolgen, aber das ganze funktioniert natürlich über einen Strohmann.

Die Täter suchen sich per Spammail, in der z.B. ein toller Job angeboten wird ein armes Schwein, das den Strohmann abgibt. Für den Start in den tollen Job braucht man nur ein deutsches Konto und eine Vorschuss gibt es auch noch. Klingt nach einem guten Deal, gell? Kurz darauf ist der Vorschuss auch schon da, rate mal von welchem Konto? Leider hat sich die Buchhaltungsfee vertippt und dem Strohmann statt 1.000 EUR sogar gleich 10.000 EUR überwiesen. Das ist natürlich kein Problem, denn am nächsten Tag steht ein Mitarbeiter des Unternehmens vor der Tür und man geht gemeinsam zur Bank und hebt die überzähligen 9.000 EUR ab. Jetzt rate mal an wen sich die Polizei wendet? Okay, das war die Variante für ganz Dumme, das wird Dir natürlich nie passieren, schließlich gibst Du im Internet auch keine TANs aufgrund einer E-Mail ein.

Jetzt wird es etwas raffinierter. Du verkaufst Dein Auto über ebay. Wie der Zufall so will findet sich auch ein Käufer, der sich nicht lumpen lässt. Deine Erwartungen bezüglich des Kaufpreises wurden erfüllt und das Geld ist auch schnell da. Rate mal von welchem Konto? Soweit so gut. Am nächsten Tag, soll das Auto übergeben werden, doch der Käufer hat schlechte Nachrichten. Zufällig hat er zwischenzeitlich seinen wirklichen Traumwagen gefunden und möchte nun vom Kauf zurück treten. Selbstverständlich zahlt er die Transaktionskosten und legt auch noch 200 EUR Entschädigung für Deinen Aufwand oben drauf. Klingt auch nach einem guten Deal, gell? Du setzt den Wagen wieder auf ebay und streichst die 200 EUR ein. Das restliche Geld nimmt der Käufer in bar wieder mit, und wer steht am Tag drauf vor Deiner Tür? Bingo!

Du hast nicht viele Möglichkeiten. Entweder bist Du der Phisher, oder ab Du hast das Geld durch durchgeschleust, und Dich damit der Geldwäsche strafbar gemacht. Du kannst den Braten natürlich auch riechen und die Polizei einschalten. Dann wird der Phisher gefasst und Du hast neue (russische, kenianische, …) Freunde. Alles in allem keine guten Aussichten.

Ansonsten gibt es da noch Western Union, womit man Geld in wenigen Stunden bar in die ganze Welt transferieren kann. Auch dafür wird in Deutschland ein dummer Strohmann ageheuert. In Hinter-Timbuktu holt dann ein einbeiniger Alkoholiker für eine Flasche Schaps die Knete bei Western Union ab. Vor der Tür stehen die Jungs von der Lokalmafia und passen auf, dass da nix wegkommt.

Wie Du siehst, man kann alles zurück verfolgen, nur nützen tut das nix.


Gruss KayHH

 

[gloob]

ist der eingangspost nicht sowieso schwachsinn, warum wurde das iTan verfahren eingeführt wo immer ein anderer spezieller tan auf der liste angefordert wird.

 

[KayHH]

iTan

Das ist nicht mehr als eine Sicherheitssimulation der Banken um den Kunden in die Beweispflicht zu zwingen und nicht zahlen zu müssen. Wer wirklich sicheres Banking haben will macht das anders. Leider bieten nur wenige Banken sicheres Banking an, weil das was kostet. Da nimmt man lieber ein paar Kollateralschäden in kauf.


Gruss KayHH

 

[gloob]

naja aber ein abgefangener einzelner tan wird doch durch das verfahren unwirksam, weil man nicht weiß um welchen es sich auf der liste handelt.

damit eine überweisung zu tätigen wäre wie nen treffer im lotto

 

[wescom]

wer spricht denn von ABSPEICHERN? sie hat sie online bei einer ÜBERWEISUNG eingegeben. dabei wurde sie "abgefangen".

wenn sie diese online eingegeben hatte, ist diese schon mal verbraucht. wenn sie ungültig ist, sowieso. also theoretisch kann sie ihre eingegeben tans via homepage veröffentlichen...

ich steig da nicht durch.

 

[rowie75]

Es gibt auch bei SSL geschützten Seiten die möglichkeit des "man in the middle". Warscheindlicher ist aber, das der Trojaner auf dem Computer den "host file" manipuliert hat , und auf eine gefakte seite verlinkt hat.Keylogger sind natürlich auch super, um zugangsdaten zu erfahren!!!

Wie auch immer.

Meine goldenen Regeln:

Arbeite mit einem Eingeschränkten Konto (nicht Admin)
Keine Mailanhänge öffnen.
Finger weg von Hackerseiten (cheats für spiele, serial,usw.)
ev. einen Router mit Paketfilter für die verbindung ins Netz.
WLAN - mit WPA verschlüsseln.
Nur registrieren wenn umbedingt notwendig, und dann zumindest eine wegwerf-email-adresse verwenden.

Lg,

rowie

 

[Intenso]

Es gibt auch bei SSL geschützten Seiten die möglichkeit des "man in the middle". Warscheindlicher ist aber, das der Trojaner auf dem Computer den "host file" manipuliert hat , und auf eine gefakte seite verlinkt hat.Keylogger sind natürlich auch super, um zugangsdaten zu erfahren!!!

Wie auch immer.

Meine goldenen Regeln:

Arbeite mit einem Eingeschränkten Konto (nicht Admin)
Keine Mailanhänge öffnen.
Finger weg von Hackerseiten (cheats für spiele, serial,usw.)
ev. einen Router mit Paketfilter für die verbindung ins Netz.
WLAN - mit WPA verschlüsseln.
Nur registrieren wenn umbedingt notwendig, und dann zumindest eine wegwerf-email-adresse verwenden.

Lg,

rowie

geil:

meine goldene Regel:
- morgens Kaffee trinken,
- vorm schlafen gehen nicht.

 

[pepi]

naja aber ein abgefangener einzelner tan wird doch durch das verfahren unwirksam, weil man nicht weiß um welchen es sich auf der liste handelt.

damit eine überweisung zu tätigen wäre wie nen treffer im lotto

Nein, das ist ganz einfach zu bewerkstelligen und mit der Methode ist Geld abgebucht bevor Du Deinen 2. TAN eingegeben hast.

Du möchtest Dich als User auf der vermeintlichen Webseite Deiner Bank ein mit Deinen normalen Zugangsdaten einloggen. Der Phisher schleift die so abgefangenen Daten durch und liefert Dir das was die Webseite der Bank Dir auch geben würde, nämlich Deinen Kontostand und Deine Umsätze. Du merkst also auch inhaltlich keinen Unterschied zwischen der echten Webseite Deiner Bank und der des Phishers. Sobald Du eine Überweisung tätigen möchtest, fängt der Phisher Deinen TAN ab und verwendet ihn für eine eigene Überweisung. Währenddessen sagt er Dir, daß Dein TAN ungültig wäre und Du gibst den nächsten TAN ein mit dem dann Deine normale Überweisung ganz normal getätigt wird.

Dabei ist es unerheblich ob die Bank nach einem bestimmten TAN fragt, da der Phisher das ja auch aus der Verbindung mit der Bank weis und Dich genauso nach dem korrekten TAN fragen kann. Es ist auch unerheblich ob ein später eingegebener TAN vorhergehende TANs für ungültig erklärt. Bis Du den nächsten eingegeben hast, ist Dein Konto schon leergeräumt.
Gruß Pepi

 

[Felix]

Hallo,
ich hab früher relativ viel mit Hypercard rumgespielt. Da gab es dann den Christmas Virus, der sämtliche Skripts zerballert hat und sich auf alle Hypercard Stapel verbreitet hat... Das war so 1995 ??
ciao
Felix

 

[MaChris]

Das ist nicht mehr als eine Sicherheitssimulation der Banken um den Kunden in die Beweispflicht zu zwingen und nicht zahlen zu müssen.

Entschuldigung Kay, aber das ist Unsinn. Weder handelt es sich um eine "Simulation" noch wird ein Kunde in die Beweispflicht gezwungen.
Eine iTAN verhindert aufgrund ihrer festen Verknüpfung mit dem Kundenauftrag einen Mißbrauch. Selbst eine durch einen Abbruchtrojaner entwendete iTAN ist für den Angreifer wertlos, da sie bereits fest mit einem Auftrag verbunden ist. Beim Versuch diese iTAN zu verwenden, würde diese als ungültig/verbraucht abgewiesen werden.

Ein durch Computerbetrug zu Schaden gekommener Kunde wird sicher einen Schaden komplett oder großteils ersetzt bekommen, wenn er aufzeigen kann, dass sein (Windows-) System und Browser dem aktuellen Patch-Level entspricht und er ferner einen aktuell gehaltenen Virenscanner und Firewall hat.

Wer wirklich sicheres Banking haben will macht das anders.

Was wäre ein "wirklich sicheres" Banking?

 

[KayHH]

Entschuldigung Kay, aber das ist Unsinn. ...

... Was wäre ein "wirklich sicheres" Banking?

http://www.heise.de/newsticker/result.xhtml?url=/newsticker/meldung/66046
http://www.heise.de/newsticker/result.xhtml?url=/newsticker/meldung/66652

„Sichere“ Verfahren basieren auf einem externen Kartenleser, mit eigener Tastatur. Gibt es in verschiedenen Sicherheitsklassen. Da haben Keylogger schon mal gar keine Chance, da am Computer nichts getippt werden muss. Natürlich wird das ganze auch noch verschlüsselt. Das Problem ist halt, das diese Geräte Geld kosten, welches viele Banken nicht investieren wollen. Also wird der Schaden gegen die Kosten aufgerechnet. Der Kunde interessiert die Banken nicht die Bohne, es geht wirklich nur ums Geld.


Guss KayHH

 

[MaChris]

http://www.heise.de/newsticker/result.xhtml?url=/newsticker/meldung/66046
http://www.heise.de/newsticker/result.xhtml?url=/newsticker/meldung/66652

Beide Meldungen kenne ich. Im ersten Fall handelt es sich - wie im Artikel auch erwähnt - um einen Test unter Laborbedingungen, der in meinen Augen schon deswegen nicht auf die Praxis übertragbar ist, da der Beschreibung nach keine Verknüpfung zwischen Auftrag und iTAN bestehen kann / konnte.
Wenn ein in der Kommunikation zwischen Kunde und Bank dazwischengeschaltetes Script für einen Auftrag die zu erfassende iTAN bei der Bank abfragt und dies an den Kunden durchreicht und daraufhin diese beim Kunden erfragte iTAN für einen anderen Auftrag verwendet werden soll, so ginge dies nur, wenn wie bereits erwähnt, keine Verkettung von iTAN und Auftrag bestehen würde.

Das ist jedoch nicht so.

... „Sichere“ Verfahren basieren auf einem externen Kartenleser, mit eigener Tastatur.

Sagen wir lieber alternative Verfahren und gehen wir bei "Tastatur" von einem numerischen PIN-Pad aus, ähnlich einer Telefonklaviatur oder Taschenrechner.

Gibt es in verschiedenen Sicherheitsklassen.

Richtig.

Da haben Keylogger schon mal gar keine Chance, da am Computer nichts getippt werden muss.

Richtig, sofern es sich allerdings um einen Kartenleser der Sicherheitsklasse 3 oder 4 handelt.

Natürlich wird das ganze auch noch verschlüsselt.

Korrekt.

Das Problem ist halt, das diese Geräte Geld kosten, welches viele Banken nicht investieren wollen. Also wird der Schaden gegen die Kosten aufgerechnet. Der Kunde interessiert die Banken nicht die Bohne, es geht wirklich nur ums Geld.

Es ist richtig, dass diese Geräte Geld kosten. Daher muss sich eine Sparkasse oder Bank überlegen, ob sie bei hypothetisch angenommenen 300.000 das Onlinebanking nutzende Kunden und einem Kartenleser der Klasse 3 oder 4 mit einem Preis von 10 € bzw. 15 € mal eben zwischen 3 und 4,5 Mio. € nur für Kartenleser ausgeben will. Etwaige Systemanpassungen, Kosten für die Karten selbst, Logistik, Vertrieb, Support und Kommunikation etc. außer Acht gelassen. Die kämen noch on top.

Und diese Investition vor dem Hintergrund, dass - und das ist in meinen Augen der springende Punkt - der Durchschnittskunde sowieso alles eingeben würde, was ihm der Monitor anzeigt (ob nun echte Bankenseite oder manipuliert).
Da würde ein Kartenleser und eine verschlüsselte Kommunikation kaum Mehrwert liefern.