ZusammenfassungMessage-Id: <ep1RdzahFHA.576@TK2MSFTNGP15.phx.gbl>
Sicherheit prinzipiell gibt es nicht. Du kannst Sicherheitsmassnahmen unterschiedlicher Art ergreifen und wirst aber nie 100% sicher sein. Es bleibt immer ein Restrisiko und dieses musst Du abschätzen und versuchen zu minimieren. Irgendwo gibt es dann eine Grenze, wo Du sagt, dass Restrisiko ist gering genug bzw. eine Erhöhung der Sicherheit würde mehr kosten, als es mir bringt.
Das Schwierigste dabei ist: DU spielst eine extrem große Rolle dabei, wie groß das Restrisiko ist. Prinzipiell brauchst Du nämlich weder eine Firewall noch einen Virenscanner. Ich brauche keinen. Meine XP-Firewall brauche ich eigentlich nur, wenn ich meinen Laptop unterwegs einstecke. Mein NAT-Router (prinzipiell ohne Firewall) schützt das LAN bei mir zuhause. Ich habe sogar einen Virenscanner, den ich aber eher daswegen benutze, weil ich ihn gelegentlich anderen Leute empfehle, weshalb ich es gerne habe, wenn ich das Ding selbe besser kenne. Der Virenscanner hat bislang, außer echten Falschmeldungen, nichts gebracht (besser: nichts unerwartetes).
Mein Restrisiko ist, dass es eine unentdeckte Sicherheitslücke in Thunderbird oder Firefox gibt, die ausgenutzt wird, bevor ich einen Update einspielen kann. Dazu müsste das Problem allerdings entweder über eine E-Mail kommen und dabei den Junk-Mail-Sanitizer umgehen (Thunderbird zeigt als Junk-Mail klassifizierte Mails in besonders gesäuberter Version an, insbesondere ohne Bilder und Fancy-HTML). Für Firefox müsste irgendjemand erst einmal eine Webseite hacken, die ich benutze. Gut auch solches ist vorgekommen, aber halte ich für relativ unwahrscheinlich. (Jemand hackt google, baut in die Webseite was ein, was eine unbekannte Firefox-Sicherheitslücke ausnutzt...)
Also, Dein Restrisiko hängt davon ab, welche Software Du verwendest und wie. Und bei vielen Leuten noch davon, wie groß ihre Installationswut ist, d.h. wie oft sie neue Software installieren und wieder runterschmeißen. Wenn Du gerne neue Sachen (nicht komerzielle Software meine ich hier) ausprobierst, Videoverarbeitung hier, File-Sharing da, etc., etc., etc. oder gerne mal die neuste DRM-Cracking-Software besorgst, weil Du Deine MP3s nicht kopieren kannst, dann lebst Du viel riskanter. Wenn Du gerne Software installierst und ausprobierst, dann besorg Dir lieber einen extra Computer dafür. Denn wenn Du was installierst, musst Du davon überzeugt sein, dass die Software O.K. ist. Das ist manchmal schwierig herauszufinden. Beim HBCI-Modul findest Du zum Beispiel viele, viele Hinweise in dieser Newsgroup und viele Leute, die das Modul verwenden. Deswegen kannst Du relativ sicher davon ausgehen, dass das Modul O.K. ist. Aber selbstverständlich hat niemand von uns untersucht, welche Sicherheitsmaßnahmen Uli zuhause unternimmt, um seinen Entwicklungscomputer zu schützen. Wenn sich da jemand reinhackt und dann was ins Modul einbaut... Aber das ist ein Restrisiko, dass jeder von uns hier trägt.
O.K. Ein Virenscanner kann Dich unterstützen dabei, bekannt Viren zu blockieren. In der Regel flippt ein Virenscanner leider bereits aus, bevor überhaupt Gefahr lauert. Eine ausführbare Datei in einem Attachment ist keine Gefahr für den Computer, leider beanstanden viele Scanner dies bereits. Das wesentliche ist nämlich, dass Du die Datei im Attachment nicht öffnest. Wenn Du beim Öffnen von Attachments sehr, sehr vorsichtig bist, dann bringt Dir der Virenscanner keinen Vorteil an dieser Stelle, außer der Gewissheit, dass die Mail von einer Dir unbekannten Person mit einem etwas mehrwürdigen Inhaltstext und diesem komischen Attachment, auf das Du nicht wartest, was Du aber nach der E-Mail sofort öffnen sollst, tatsächlich ein Virus ist. Wenn Du alle Indizien für einen Virus nicht erkennst und trotzdem versuchst, das Ding zu öffnen, dann ist Dir letztendlich eh nicht zu helfen. Dein Virenscanner mag ein paar Mal Dir auf die Finger klopfen, aber sehr bald kommt der Virus, den der Scanner nicht kennt. Lass Dich nicht täuschen von den "vielen" erfolgreich entfernten Viren des Scanners. Denn: wenn Du auf Deinem Computer erst mal einen Virus ausgeführt hast, dann ist es zu spät. Die einzige sichere Methode ist in diesem Fall, den Computer komplett neu zu installieren. Auch wenn es für einen bestimmten Virus immer Anleitungen gibt, wie man sie entfernt, ist es sehr häufig so, dass nach dem ersten Virus sehr schnell eine Latte von anderen Trojaner und netten Dingen nachfolgt...
Eine Firewall brauchst Du auch nicht unbedingt. Wenn Du mit Deinem Computer direkt am Internet hängst, dann ist sie sehr sinnvoll, da Microsoft leider standardmäßig Windows offen wie ein Scheunentor stehen lässt, und nicht gerade kooperativ dabei ist, Windows wirklich so zu konfigurieren, dass ein Windows-Rechner am Internet ohne Firewall kein Problem darstellt. Eine sichere Konfiguration wäre natürlich zu bevorzugen, aber notfalls kann eine Firewall hier schnelle Abhilfe schaffen. Die XP-Firewall erfüllt hier bereits so ziemlich alles, was es an richtiger Sicherheit geben kann. Stelle Sie auf "alles blockieren" und Du bist auf der sicheren Seite.
Alle anderen Funktionen von komerziellen "Personal Firewalls" (PFW) sind im Prinzip nur Gimmicks. PFWs sind in der Vergangenheit oft umgegangen worden und hatten selbst auch schon gelegentlich mal eine Sicherheitslücke eingebaut, die ausgenutzt wurde. Die wesentliche Zusatzkomponente, die gerne von Leuten erwähnt wird, ist der Schutz der abgehenden Verbindungen: d.h. Verbindungen von Deinem Computer nach draußen. Hier soll verhindert werden, dass Malware auf Deinem Computer sensitive Daten nach außen schickt. In bestimmt 99.9% der Fälle hast Du allerdings davor selbst die Malware auf dem Computer installiert. Die PFW arbeitet auch nie 100% genau, und wenn sie was abfängt, heißt es nicht, dass das Programm nicht auf anderem Wege auch noch was rausschickt (und sei es nur als einfache E-Mail, die Du je wohl kaum blockieren würdest...). Wenn Du die PFW als Indikator dafür benutzt, dass Du Deinen Computer neu installieren musst, dann bringt sie vielleicht was. Leider machen das nur die wenigsten Leute, sondern sie versuchen nur, einen Haufen von Malware, der sich inzwischen eingenistet hat, zu bekämpfen, was aussichtslos ist... Die PFW kann Dir anzeigen, wenn andere "normale" Software wie Microsoft Office mit dem Internet kommuniziert und Du kannst wahrscheinlich dies mit der PFW auch blockieren (nicht das es für Microsoft ein leichtes wäre, hier in ihrem Betriebssystem etwas einzubauen, mit dem die PFW umgangen werden kann). Dies kann für den Lerneffekt sehr gut sein, weil viele Leute zu Beginn ignorant im Hinblick auf dieses Thema sind. Was Windows und Office und andere Software mit dem Internet kommunizieren, ist allerdings in der Regel recht gut in diversen Foren und Newsgroups dokumentiert, so dass es eigentlich keine größeren Überraschungen gibt. Mich stört es nicht und ich brauche keine computer-bremsende PFW, um dies zu blockieren, weil dagegen kein Kraut gewachsen ist. Wenn mich es richtig stört, dann wechsele ich davor das Betriebssystem...
Wichtig ist immer: Du bist das größte Sicherheitsproblem. Wenn Du was verbockst, dann hilft Dir letztendlich kein Virenscanner und keine Firewall. Wenn Virenscanner oder PFW ein echtes Problem melden, dann ist es bereits zu spät. Der Erfolg der Software hängt dann nur noch davon ab, wieviel Du aus dem Vorfall lernst. Wenn Dein Virenscanner von Dir versuchte Ausführung von Malware verhindert, gilt wieder das gleiche: lernst Du daraus, es beim nächsten Mal nicht mehr zu machen, sondern wirklich vorsichtig zu sein?`Sicherheitssoftware kann Dir also nur helfen, etwas zu lernen, aber verlass Dich nie auf sie. Keine Sicherheitssoftware arbeite 100%ig.
Zu PINs und TANs auf der Festplatte:
Auch hier wieder das Problem des Restrisikos. Das Risiko hängt wie immer davon ab, wie verbreitet die Software ist. Money 99 ist zum Beispiel ziemlich sicher in dieser Hinsicht: es gibt so wenig Leute, die die Software verwenden, geschweige denn, dass Du sie noch irgendwo bekommst, dass ein Hacker schon ziemlich gezielt arbeiten müsste, um letztendlich alle Benutzer dieser Newsgroup treffen zu wollen. Möglich, aber für mich unwahrscheinlich. Das HBCI-Modul ist noch unbekannter und nur hier wirklich bekannt. Möglich, aber unwahrscheinlich. Die DDBAC ist hier eine andere Sache. Sie wird von anderen Banking-Anwendungen auch verwendet. Natürlich ist sie eine rein deutsche Sache, was natürlich wieder von großem Vorteil ist, weil jeder amerikanische Hacker zunächst nichts damit anzufangen weiß. Durch die größere Verbreitung ist hier eine bestimmte größere Gefährdung zu sehen. Die DDBAC selbst speichert allerdings keine PINs und TANs. Man könnte sie aber recht gut dazu verwenden, um PIN und TANs abzugreifen (eventuell im Log), und würde damit WISO, Quicken und leider auch HBCIFM99 Benutzer treffen. Die DDBAC ist für mich auf meinem Computer von der Banking-Software her gesehen, das größte potentielle Risiko. Bislang ist mir hier nichts bekannt, aber das heißt nicht. Restrisiko DDBAC: vage, mit leicht flauem Magen, nicht genauer quantifizierbar für mich.
Der Zugangsweg:
HBCI bieten einen "absolut" sicheren Zugangsweg. Theoretisch zumindest, da natürlich jede Implementierung von Kartenlesern etc. irgendwo einen Fehler haben kann. HBCI mit Karte und einem Kartenleser mit PIN-Eingabe am Leser ist in dieser Hinsicht sehr sicher. Die PIN erreicht nie den Computer und kann damit auch nie abgefangen werden. Banking ist nur möglich, wer die Karte besitzt und die PIN weiß. Man müsste also Dir schon über die Schulter schauen und dann die Karte klauen. Sonst ist hier kein Angriff außer auf Deine Banking-Software möglich (also wenn jemand einfach eine neue Überweisung in Money, Quicken, WISO einträgt und Du die dann wegschickst, weil Du nicht aufgepasst hast). Bei HBCIFM99 sieht man die Aufträge, die rausgeht, also sollte dies auffallen.
Beim einen einfachen Kartenleser ohne Tastatur, d.h. mit PIN-Eingabe über den Computer, ist das Risiko höher als im ersten Fall. Trotzdem ist es noch relativ gering, da die Karte eingesteckt sein muss, damit Banking gemacht werden kann. Die PIN kann möglicherweise abgefangen werden, aber eine Malware müsste dann im Hintergrund schlafend liegen und abwarten, bis die Karte das nächste Mal wieder eingesteckt wird, um dann heimlich die Verbindung aufzubauen. Wenn Du die Karte nicht eingesteckt lässt und immer nur kurz drinnen hast, während Du tatsächlich eine Aktion durchführst, dann solltest Du ein Problem sehr schnell bemerken. (Schau Dir das Blinken am Leser an und Du solltest eigentlich schnell bemerken, falls direkt nach dem Einlegen plötzlich was passiert, obwohl Du noch nichts unternommen hast.) Für diesen Punkt besteht also ein gewisses Risiko, insbesondere dadurch, dass natürlich mit PIN und Karte Aufträge verschickt werden können und keine weitere Legitimation (TAN) mehr benötigt wird. Zum "Glück" werden Kartenleser sowieso selten verwendet und mir scheint, als ob die meisten Banken doch eher letztendlich zu PIN/TAN tendieren.
Wenn die PIN gespeichert wird, dann ist die Frage, wie einfach oder schwierig sie herauszufinden ist, d.h. wie sie verschlüsselt abgespeichert liegt und wie bekannt der Ort der Speicherung ist. HBCIFM99 bzw. Money 99 ist hier mangels Verbreitung wieder etwas im Vorteil.
PIN/TAN. Um an die PIN zu gelangen, gilt eigentlich wieder ähnliches wie in 2. Man kann mit der PIN dann allerdings mehr anfangen, denn es ist ja die PIN vom Konto direkt und nicht von der HBCI-Karte. Wer PIN und Kontonummer/Zugangsnummer herausfinden kann, kann auf das Konto zugreifen und Kontoumsätze etc. abrufen. TANs sind sicherheitmäßig interessant in ihrer Bewertung. Eine TAN funktioniert nur ein Mal und ist dann "verbraucht". Wenn Du vorsichtig bist und die Nutzung der TANs wirklich nachvollziehst, dann ist es hier relativ sicher. Das ist allerdings nicht immer einfach, weil eben ein Abbruch einer Transaktion aus welchem Grund auch immer, eigentlich eine TAN verbrauchen müsste, was aber meines Wissens nicht immer der Fall sein muss. Bezgl. der TANs ist es also vermutlich besser, wenn Du, falls mal was nicht durchgeht, über das Internet-Banking verifizierst, dass die TAN verbraucht wurde. Wenn Du die TANs auf der Festplatte speicherst, dann besteht natürlich das Risiko, dass eine Malware die Zahlen ausliest. Und hier zeigt sich dann ein großes Problem der bisherigen TAN-Listen (was sich ja jetzt ändern wird): Du kannst eine beliebige Nummer der Liste verwenden. Wenn eine Malware also Nummern vom Ende der Liste nimmt, merkst Du es vermutlich gar nicht, bis Du Deinen nächsten Kontoauszug siehst.
Generell wäre ich vorsichtig zu sagen, wenn die PIN/TAN nicht auf der Festplatte gespeichert ist, dann ist es sicher. Die PIN wird irgendwann an der Tastatur eingegeben und die Eingabe kann von Malware abgefangen und protokolliert werden. Der Einsatz der TANs ist natürlich eingeschränkter, aber wenn die Malware geschickt die Transaktion blockiert, ohne dass die Bank die TAN geschickt bekommt, kann man hier auch Schaden anrichten. Aber: wenn Du die Nummer nicht speicherst, ist das "Window of Opportunity" natürlich kleiner, und es reicht nicht, dass eine Malware einfach Deine komplette Datei klaut, die dann woanders "geknackt" wird.
Bottom line: Das Grundproblem bist Du (;-) und wie wahrscheinlich es ist, dass Du Dir Malware auf den Rechner holst. Davon hängt alles ab. Sicherheitssoftware mag Dir dabei helfen, besser zu werden, kann Dich aber nie 100%ig schützen. Bei der Wahl der Banking-Software und des Zugangs und der Speicherung der Daten auf der Festplatte läuft es dann letztendlich auf eine Wahrscheinlichkeitsbetrachtung ab. Ansonsten hängt es nur davon ab, wieviel Aufwand Du treiben möchtest, und wie bequem Du es gerne hast. Aber Du musst Dir erstmal Malware holen, bevor es ein Problem gibt. Darauf läuft es immer wieder hinaus...
Ich weiß, das ist nicht die Antwort, die man gerne hört, aber so ist. "Ein sauber installierter Virenscanner", der alle Viren abfängt, wäre toll. Den gibt es aber nicht und wird es nie geben. Und solange Du als Benutzer Software auf Deinem Computer installieren möchtest, wirst Du möglicherweise Probleme bekommen. Ich weiß auch, dass natürlich für den Anfänger und unbedarften Benutzer diese ganze Beurteilung der Sicherheit sehr schwierig ist, weshalb gerne eben nach Pauschalantworten (und der Software, die diese darstellt) gesucht wird. Leider fällt dabei immer unter den Tisch, dass der Benutzer letztendlich lernen muss, wie er sich verhalten muss, um relativ sicher zu sein. (Nicht anders, als wenn Du Deine Wohnung/Haus "schützen" willst, oder wenn Du auf der Strasse rumläufst, je nachdem ob es eine "gute" oder "schlechte" Gegend ist, eine überfüllte Fußgängerzone, der Drogenszenetreff oder die letzte S-Bahn.) Wenn Du meinst, dass Du das alles nicht wissen willst, dann solltest Du nicht einen normalen PC kaufen, sondern etwas geeigneteres, mit dem nicht so viel passieren kann...
