UMTS-Netz unsicher - mTAN sollte nicht mehr verwendet werden

[phpjammer]

Das UMTS-Netz enthält Sicherheitslücken. Deshalb ist auch das mTAN-Verfahren für das Online-Banking gefährdet und sollte nicht mehr verwendet werden: http://www.webworks-nuernberg.de/201...ken-umts-netz/

[ChristianK]

Spätestens nach "als absolut sicher geltend" ist der Artikel nicht mehr wirklich ernst zu nehmen...

Btw., was wollen die mit dem abgefangenen TAN-SMS? Die müssen ja immer noch Zugriff auf deine Session mit dem E-Banking haben um selber Aufträge auslösen zu können?

[rkr]

Und warum ist SSL deswegen jetzt weniger schutzbefähigt?

Ich verstehe die Meldung an sich aber schon: Wenn jemand Zugriff auf ein Konto hat, wo man kritische Funktionen durch eine mTAN autorisieren muss, dann kann man unter speziellen Umständen die mTAN im Mobilfunknetz mitloggen und eben auch diesen Sicherheitsfaktor umgehen. Warum bekomme ich aber die mTAN der dem Täter wohl idR unbekannten SIM-Karte und dadurch auch schlecht greifbaren Kommunikationsstream? Ich bin da jetzt kein Fachmann, aber da müssten doch schon Weihnachten und Ostern zufällig auf einen Tag fallen, wenn ich nicht gewöhnlich total schlampig mit meinen geschäftskritischen Daten umgehe, oder!? Naja, wobei...

[mermshaus]

OT: Bin kein Fan von Linkbuilding von Nutzern, die sonst noch nichts beigetragen haben.

[Gast]

na dann, ein relativ sicheres smartphone geholt, und festgestellt, die bank kann secure messaging nicht?
http://www.cryptophone.de/en/products/mobile/cp400/

[drsoong]

Btw., was wollen die mit dem abgefangenen TAN-SMS? Die müssen ja immer noch Zugriff auf deine Session mit dem E-Banking haben um selber Aufträge auslösen zu können?

Das frage ich mich auch bisweilen. Theoretisch denkbarer wäre das Ganze, wenn die TAN und die Banking-Session auf einem Gerät empfangen/gehalten werden. Dann müsste ein Virus den SMS-Verkehr und die Sessions sämtlicher installierter Browser mitlesen. Ja und diese Daten müssten dann als einander zugehörig erkannt werden. Die richtige Session-ID muss herausgepickt werden. Mag gehen, wenn man sich auf eine spezielle Bank konzentriert. Soll ja auch schon in echt geklappt haben, so hört/liest man. Falls jemand einen Link kennt, wo "der Trick" etwas detaillierter beschrieben wird, wäre ich für die Übermittlung dankbar.

[jsmedia]

Dafür müsste man wie ja schon gesagt wurde die Handynummer wissen. Und dann könnte man auch direkt auf das Handy zugeifen. Da macht die Sicherheit von UMTS keinen Unterschied mehr.

[Felix]

Telefone melden sich aber nicht mit der Handynummer sondern mit der IMSI an. Daher benoetigt man, wenn dann schon die IMSI. Ausserdem ist es von Vorteil sich in der selben Location Area (http://de.wikipedia.org/wiki/Location_Area) aufzuhalten.
Alles im allem mTAN bleibt weiterhin ein relativ sicheres Verfahren.