Online-Banking Sicherheitslücke: Hacker lenken SMS mit mTAN um
Mit zweistufigen Angriffen ist es Kriminellen laut der "Süddeutschen Zeitung" gelungen, mTan-Kennwörter abzufangen und Geld von privaten Bankkonten abzuheben. Möglich machte dies eine Sicherheitslücke im Mobilfunknetz.
Dafür hätten sie sich mit Phishing-E-Mails alle notwendigen Informationen wie Kontonummer, Passwort und Mobilfunknummer von den Kunden besorgt, berichtete die SZ in ihrer Mittwochsausgabe.
Anschließend hätten sie durch eine Sicherheitslücke in einem internen Netzwerk, das zum Informationsaustausch zwischen Telekommunikationsanbietern gedacht ist, eine Rufumleitung für Mobiltelefone eingerichtet, die mTans empfangen haben und so mTans als Transaktionsbestätigung abfangen können.
mTans werden verwendet, um zum Beispiel beim Online-Banking Überweisungen zu legitimieren. Sie werden auf ein mobiles Gerät des Nutzers gesendet. dass für das Verfahren zugelassen sein muss. Es gilt als deutlich sichererer als herkömmliche Tan-Verfahren.
Zahl der Opfer unbekannt
Wie viele mTan-Hacking-Opfer es gibt, ist zunächst noch unklar. Nach Angaben der "Süddeutschen Zeitung" waren auch deutsche Kunden betroffen, insbesondere Nutzer von O2/Telefonica.
Das Unternehmen erklärte gegenüber der SZ: "Ein krimineller Angriff aus dem Netz eines ausländischen Providers hat Mitte Januar dazu geführt, dass eingehende SMS für vereinzelte Rufnummern in Deutschland unbefugt umgeleitet wurden." Der Provider sei gesperrt und die Kunden seien informiert worden. Die Polizei ermittle in dem Fall.
mTans galten lange Zeit als sicher
"Viele Kunden legitimieren ihre Bankgeschäfte über das Handy. Sie lassen sich dazu auf ihr Gerät via SMS das Einmalkennwort (Transaktionsnummer) für die Online-Überweisung schicken", so die SZ. Das mTAN-Verfahren galt lange Zeit als sicher. Doch auch der aktuelle Fall zeige, dass Kriminelle immer wieder neue Sicherheitslücken finden und sie ausnutzen.
2016 wurden insgesamt rund 83 000 Fälle von "Cybercrime" in Deutschland erfasst, so das Bundeskriminalamt (BKA). Dabei sei ein Schaden von über 51 Millionen Euro entstanden, sagte BKA-Präsident Holger Münch auf einer Tagung in Berlin. Sandro Gaycken, Direktor des Digital Society Institute, verwies auf ein "großes Dunkelfeld". Der tatsächliche Schaden sei deshalb schwer zu schätzen.
