Austr. Mobilfunker:
Banking per SMS-TAN unsicher

Die australischen Telekommunikations-Unternehmen haben sich in einer ungewöhnlich klaren Stellungnahme dagegen ausgesprochen, den SMS-Dienst als Verifikations-Bestandteil beim Online-Banking einzusetzen. Für gewöhnlich sind Unternehmen nicht gerade dafür bekannt, von der Nutzung ihrer eigenen Dienste für bestimmte Anwendungen abzuraten, weil diese nicht sicher genug seien. Umso erstaunlicher, dass der australische Branchenverband Communications Alliance, in dem unter anderem die Mobilfunkbetreiber Telstra, Optus und Vodafone organisiert sind, sich klar gegen die Nutzung von SMS beim Online-Banking ausspricht.

"SMS ist nicht als sicherer Kommunikationskanal entwickelt worden und sollte von Banken daher nicht verwendet werden, um Geldtransfers von den Nutzern autorisieren zu lassen", erklärte John Stanton, Chef des Verbandes, laut einem Bericht von 'ITNews'. In der Vergangenheit sei es bereits mehrfach vorgekommen, dass Angreifer sich auf diesem Weg in die Kommunikation zwischen Kunden und Banken einklinken konnten und Geld entwendeten.

Bei Business-Kunden verteilen Banken bereits regelmäßig physische Tokens, mit denen TANs generiert werden. Bei Privatnutzern setzen viele Geldinstitute aber auf die Zusendung der passenden TAN per SMS. Das ist zwar bequem und wegen des asynchronen Kommunikationsweges auch nicht zu einfach angreifbar, allerdings kann das Verfahren nicht gerade als sicher bezeichnet werden.

Denn die Kommunikation via GSM und der angeschlossenen Dienste läuft in der Regel ohne Verschlüsselung. Außerdem ist es seit einiger Zeit problemlos möglich, dass Angreifer mit recht geringem finanziellen Aufwand in den Besitz von Technologien kommen, mit denen sie eine eigene GSM-Funkzelle auf begrenztem Raum öffnen und sich so in die Verbindung zwischen Handy und Netzbetreiber einklinken. SMS können hierbei problemlos mitgelesen und auch manipuliert werden.

Zwischenzeitlich hatten die Mobilfunkbetreiber daher zwar zugesagt, etwas verbesserte Sicherheits-Mechanismen in ihre Netze einzubauen. Allerdings wurde davon wieder Abstand genommen - aus Gründen der Wettbewerbsfähigkeit und der Performance, wie es hieß. Statt dessen riet man nun, von unsicheren Authentifizierungs-Verfahren Abstand zu nehmen und gleich auf sichere Methoden bei kritischen Anwendungen zu setzen.