Kampf den Internet-Bankräubern

03.03.2010
Wenn Milliarden von Franken per Internetbanking überwiesen werden, lockt dies auch Gauner auf den Plan. Mit neuen, in der Schweiz entwickelten Verfahren und Geräten, wird der elektronische Zahlungsverkehr sicherer.

(sda) Wer wissen will, wie viel Geld in der Schweiz mit Internetbankräuberei jährlich erbeutet wird, trifft auf eine Mauer des Schweigens.

«Postfinance gibt zu diesen Fragen keine Auskunft», heisst es aus Bern. «Wir führen keine solche Statistik», lässt die Schweizerische Bankiervereinigung verlauten. Auch die staatliche Melde- und Analysestelle Informationssicherung (MELANI) «gibt keine Zahlen zu E-Banking oder Sicherheitsvorfällen bekannt.»

In England summierte sich, laut der Branchenvereinigung APACS, der Betrugsschaden beim Online Banking im Jahr 2008 auf über 87 Mio. Franken. Auch in der verschwiegenen Schweiz dürfte es also ein zweistelliger Millionenbetrag sein.

«Bei der UBS konnten wir in den vergangen Jahren zwar eine Zunahme der Angriffe auf Internet-Banking feststellen, diese Angriffe sind aber immer seltener erfolgreich. Der Schaden ist vernachlässigbar», deutet wenigstens UBS-Sprecher Dominique Gerster die Problematik an.

Geld landet im Ausland statt beim Steueramt

Die Raubzüge laufen dabei immer ähnlich ab. Der Kontoinhaber zahlt am PC per Internet beispielsweise seine Steuerrate von 2000 Franken. Er sieht die entsprechende Zahlungsbestätigung auf dem Bildschirm und kann diese sogar ausdrucken.

Auf dem schriftlichen Kontoauszug am Monatsende erscheint statt der Steuerzahlung dann aber eine Überweisung von 20'000 Franken an einen unbekannten Empfänger irgendwo im Ausland.

Was ist passiert? Durch ein per Internet verbreitetes Schadprogramm, einen sogenannten Trojaner, haben Kriminelle die Kontrolle über den PC erlangt. Beim Erfassen der Zahlung haben sie die Empfängerdaten unbemerkt abgeändert und sogar auf dem Bildschirm eine falsche Zahlungsbestätigung angezeigt.

Dass ein PC mit einem Trojaner infiziert ist, lässt sich nur von Fachleuten erkennen. Nachdem Trojaner sogar die Bundesverwaltung verseucht haben, ist klar, dass sich Privat nicht zuverlässig gegen solche Schadprogramme schützen können.

Neue Technik statt teurer Kulanz

Laut Verträgen ist eigentlich der Kontoinhaber für den Schaden eines solchen Internet-Raubzuges haftbar. Postfinance und Banken zeigten sich aber bisher kulant: «Sollte sich trotz Beachtung der Sicherheitsregeln ein Betrugsfall ereignen, wird dieser individuell geprüft. Bisher hat kein Postfinance-Kunde einen finanziellen Schaden davongetragen», sagt Postfinance-Mediensprecher Alex Josty.

Ähnlich tönt es auch bei den meisten Banken. In der Praxis tragen also meist die Zahlungsinstitute den Schaden. Handlungsbedarf sehen diese aber nur teilweise: «E-Finance genügt zurzeit den aktuellen Sicherheitsanforderungen, die Einführung zusätzlicher Sicherheitssysteme ist nicht geplant und wäre bei 1,1 Millionen Kunden auch sehr teuer.»

Anders sehen es einige Banken. UBS und die Berner Kantonalbank wollen mit neuer Technik den Interneträubern das Handwerk legen. Beide setzten dabei auf eine elektronische Lösung, die in der Schweiz entwickelt wurden und weltweit verkauft werden soll.

Bildschirmflackern und Fingerabdruck

Will man verhindern, dass Diebe Überweisungen auf ein anderes Konto umleiten, muss die Bank dem Kontoinhaber auf einem «sicheren» Bildschirm die erfasste Zahlung nochmals anzeigen. Dies ermöglicht der visitenkartengrosse Internet Passport (AIP) des Bieler Unternehmens Axsionics.

Das Kärtchen ist biometrisch gesichert, erst wenn der Finger des Besitzer über die Karte streicht, ist das Gerät für das Internetbanking nutzbar. Der Kunde erfasst seine Zahlung wie gewohnt am PC worauf der Bankrechner nötigenfalls eine Zahlungsbestätigung zurückschickt.

Diese Daten werden verschlüsselt übermittelt, indem am PC-Bildschirm einen Bereich rhythmisch mit einer Art Morsecode flackert. Der Kontoinhaber hält nun den AIP vor den Monitor, dessen Lichtsensor das Flackern liest.

Auf dem kleinen Bildschirm des Gerätes erscheinen nun Zahlungsempfänger, Betrag und ein Freischaltcode. Erst nachdem dieser Code am PC eingetippt wird, überweist die Bank das Geld definitiv.

«Der Internet Passport kann an jedem beliebigen Bildschirm von PC bis hin zu Smartphones ohne Installation und Kabel genutzt werden. Unsere Lösung ist universell, ein Gerät lässt sich unabhängig von mehreren Anbietern nutzen. In Kürze wird der Internet Passport auch für digitalen Verkehr mit Behörden (e-Gov) eingesetzt», beschreibt Axsionics-Gründer Alain Rollier die Sicherheitskarte, die in der Schweiz entwickelt wurde.

Chipkarte und USB-Stick

Einen anderen Weg haben die Forscher im IBM-Labor in Rüschlikon gefunden, um Internetbanking sicher zu machen. Der Zone Trusted Information Channel (ZTIC) hat die Grösse eines Plastikfeuerzeuges und enthält neben einer Textanzeige auch einen Chipkartenleser. Er wird über ein USB-Kabel mit dem PC verbunden.

Der ZTIC kommuniziert über einen verschlüsselten Internetkanal direkt mit dem Bankrechner. Er vereinfacht einerseits das Anmeldeprozedere beim Bankenrechner und zeigt nach Erfassung am PC ebenfalls die Informationen eines Zahlungsauftrages auf seinem Bildschirm an. Danach kann der Auftrag durch einfachen Tastendruck am Stick bestätigt werden.

«Die Lösung wurde in der Schweiz entwickelt und hier zur Marktreife gebracht», erklärt Douglas Dykeman vom IBM Forschungszentrum am Zürichsee stolz. Erster Käufer von ZTIC ist nun die Grossbank UBS.

ZTIC für UBS-Geschäftskunden

Die UBS verhindert inskünftig mit einer Begünstigtensignierung, dass Zahlungen von Kriminellen umgeleitet werden. Diese Signierung erfordert aber ohne helfende Technik zusätzlich Tipperei. Zwar merkt sich der Bankenrechner einmal bestätigte Geldempfänger auch für künftige Zahlungen, aber für geschäftlichen Zahlungsverkehr ist mehr Komfort gefragt.

Deshalb setzt die UBS nun den ZTIC zur schnelleren Signierung ein und verteilt diesen als «UBS Access Key» an Firmen. «Die UBS wird rund 100'000 Geschäftskunden während den nächsten Monaten kostenlos mit einem «UBS Access Key» ausrüsten», kündigt UBS-Sprecher Gerster an.

Privatkunden, die diesen zusätzlichen Komfort ebenfalls wollen, können den Stick zum Selbstkostenpreis von 65 Franken kaufen IBM und Axsionics rechnen damit, dass ihre Systeme demnächst auch von anderen Banken eingesetzt werden. Schweizer High-Tech macht dann weltweit den Internet-Langfingern das Leben schwer.