Online Banking

In Kürze erklärt, meint das Online Banking die Durchführung von Bankgeschäften über Datenleitungen mithilfe eines elektronischen Endgeräts, wie etwa eines PCs oder Smartphones.

Entwicklung

Die dahinterstehende Technologie nahm ihren Ursprung im England der 1970er Jahre und ging von der Idee aus, Fernsehgeräte und Telefone mit numerischer Fernbedienung derart zu erweitern, dass Informationen aus einem Computernetzwerk abgerufen werden können. Im deutschsprachigen Raum nannte sich dieses System Bildschirmtext bzw. BTX. So wurden die Computer der damaligen Post in ein gemeinsames Netz eingebunden. Wer seinen Fernseher mit einem Decoder ausgestattet und über ein Modem mit dem Telefon verbunden hatte, konnte mit diesem Computernetz Verbindung aufnehmen und mittels Fernsehtastatur Informationen aller Art abrufen.

In Österreich wurde BTX bereits im Juni 1982 eingeführt, im Nachbarland Deutschland ab September 1983. Mit der Ausbreitung des offenen Internets verlor der Bildschirmtext aber immer mehr an Bedeutung, sodass der Dienst heute kaum mehr angeboten wird.

Von Home Banking konnte man in der Anfangszeit noch nicht sprechen, da viele Bankgeschäfte, beispielsweise Überweisungen, auch noch per Briefversand oder Telefax getätigt wurden. Erst seit dem Vormarsch des Internets mitsamt entsprechender Webbrowser ist ein deutlicher Trend bei der Online Banking-Nutzung zu erkennen. Laut Statista ist in Österreich der Bevölkerungsanteil, der das Internet für Bankgeschäfte nutzt, zwischen 2007 und 2017 von 30% auf 57% angestiegen. Damit liegen die Österreicher einige Prozent über dem EU-Durchschnitt.

Verfahren des Online Bankings

Beim Online Banking greift man direkt auf den Bankrechner zu. Dies geschieht über eines der folgenden Verfahren:

• Browserbasiertes Online Banking: funktioniert über die Website der Bank und ist meist durch ein hybrides Verschlüsselungsprotokoll genannt TLS gesichert.
• Online Banking-Programm bzw. Clientprogramm: Die Transaktionen werden zunächst offline, also ohne Netzverbindung, vorbereitet, indem der Kunde zum Beispiel einen Überweisungsbeleg ausfüllt. Zur Übertragung der Transaktionen wird dann jedoch eine Netzverbindung benötigt.

Die Aufträge müssen ebenso mit einer elektronischen Unterschrift unterfertigt werden, was mittels nachfolgender Optionen erfolgen kann:

• PIN und TAN: PIN ist das Kürzel für Persönliche Identifikationsnummer, also eine Geheimzahl, die eine Person gegenüber einer Maschine authentisiert. TAN steht für Transaktionsnummer und ist ein aus sechs Dezimalziffern bestehendes Einmalkennwort.

• Homebanking Computer Interface (HBCI) oder Financial Transaction Services (FinTS) mit Autorisierung per Schlüsseldiskette oder Chipkarte.

• File Transfer and Access Management (FTAM) wird vor allem im Firmensektor verwendet. Die Direkteinwahl zum Bankrechner erfolgt über DATEX-P oder ISDN.

• Banking Communication Standard (BCS) kommt, gleich wie das FTAM, hauptsächlich bei größeren Unternehmen zum Einsatz.

• Electronic Banking Internet Communication Standard (EBICS): Erweiterte Version des Banking Communication Standard für die Internetkommunikation unter Verwendung elektronischer Unterschriften.

Heutzutage bieten browserbasierte Internetbanking-Systeme zahlreiche Portalfunktionen, unterschiedliche Sicherheitsmechanismen, Barrierefreiheit, mobile TAN-Verfahren, Benachrichtigungsmöglichkeiten sowie die Möglichkeit einen individuellen Anmeldenamen zu wählen. Zudem sind die populärsten browserbasierten Internetbanking-Systeme bis dato durch proprietäre Software realisiert. In Österreich findet großteils das MBS/IP-Verfahren Verwendung.

Sicherheit beim Online Banking

Man unterscheidet zwischen der Sicherheit der Datenverarbeitung am Arbeitsplatz und der Datenübertragung zur bzw. von der Bank.

Online-Zahlung mit dem TAN-Generator

Bei allen Client- und Browser-basierten Electronic Banking-Systemen gewährleisten Banken eine Verschlüsselung der Datenübertragung. Diese ist – wenn überhaupt – nur unter massivem Ressourcen- und Zeitaufwand manipulierbar. Das Übertragungsprotokoll HTTPS nutzt verschiedene Verschlüsselungsalgorithmen, welche sich in ihrem Sicherheitsgrad unterscheiden. Beim Aufbau der Verbindung handeln Banken-Server und Webbrowser den Verschlüsselungsalgorithmus aus, wobei die meisten Banken mit 256 Bit langen Schlüsseln des Advanced Encryption Standards arbeiten.

Aus diesem Grund visieren Betrüger in erster Linie heimische PCs an, welche immer durch eine Firewall und einen aktuellen Virenscanner gesichert sein sollten. Diese unterbinden nämlich die Verbreitung von Trojanern, Viren, Keyloggern und anderen Schadprogrammen, mit welchen unter anderem die Fernsteuerung des Computers möglich wäre.

An die notwendigen Daten zur Auftragsunterzeichnung (z.B. PIN und TAN) können Betrüger ebenso durch sog. Pharming oder Phishing gelangen. Hier kann sich jeder Bankkunde am effektivsten schützen, wenn er weder seine Zugangsberechtigungen weitergibt, noch diese im Computer hinterlegt.

Weitaus aufwendiger in der Durchführung ist der Man-in-the-middle-Angriff, bei welchem sich der Angreifer zwischen die Bank und den Nutzer schaltet und dabei vortäuscht, das direkte Gegenüber zu sein. Dies kann z.B. über Trojaner auf dem Rechner des Users erfolgen. Die Europäische Agentur für Netz- und Informationssicherheit empfahl daher 2012 allen Banken sämtliche Kunden-PCs als infiziert zu betrachten und Sicherheitsverfahren zu verwenden, die es dem Kunden ermöglichen, unabhängig vom PC die Überweisungsdaten mittels mTAN oder etwa chipTAN zu kontrollieren.

Maßnahmen

HBCI-Chipkartenleser

Sicheres Online Banking setzt ein sicheres Verfahren zur Autorisierung und Authentisierung voraus. In diesem Sinne wird das Webbrowser-gestützte Online Banking durch das chipTAN-Verfahren geschützt. Beim Home Banking mittels eigener Software, welche auf dem Kundenrechner installiert wird, ist HBCI mit Secoder-fähigem Kartenleser sowie Chipkarte das verlässlichste Verfahren.

Weitere technische Maßnahmen, die auf dem Kundenrechner umgesetzt werden können, sind:

• Antivirensoftware
• Personal Firewall
• Live-CD bzw. Live-USB-Stick

Live-Systeme enthalten üblicherweise keine Banking-Trojaner und schützen dadurch den Nutzer vor der Trojaner-Problematik.

Einen weiteren, effektiven Schutzmechanismus stellt auch der Wissensstand des Nutzers bzw. die Schärfe seines Bewusstseins für eventuelle Betrügereien dar. Dies haben unter anderem Banking-Trojaner wie Matsnu.J oder Tatanga deutlich gemacht, welche Kunden durch das Vortäuschen falscher Tatsachen, wie etwa angeblicher Rück- bzw. Testüberweisungen, gezielt manipuliert und dadurch sämtliche technische Sicherheitsmaßnahmen umgangen haben.

Online Banking-basierte Zahlungsverfahren

Die Sofortüberweisung sowie Giropay sind Bezahlverfahren, welche auf Überweisungen via Online Banking basieren. Sie wurden hinsichtlich der Anforderungen des E-Commerce optimiert. Auch die Echtzeitüberweisung wird seit November 2017 im europäischen Zahlungsraum (SEPA – Kürzel für Single Euro Payments Area) immer populärer und etabliert sich schrittweise als Standard.