Verbraucherschützer warnen ohne Ende, klären auf und zeigen, wie sicheres Online-Banking funktioniert. Doch Phisher machen immer noch gute Geschäfte, die Aufklärung scheint nur begrenzt zu wirken. Auch die Banken trommeln fleißig für mehr Aufmerksamkeit, weil es schließlich in ihrem ureigensten Interesse ist, das Geld der Kunden zu schützen. Eine Ausnahme scheint die Deutsche Kreditbank (DKB) zu bilden. In einem an Kunden dieser Bank verschickten E-Mail-Newsletter preist die DKB ihr neues Internetbanking an:
Sehr geehrter Herr X,
ganz bequem von Zuhause aus können Sie alle Bankgeschäfte im Neuen Internet-Banking jetzt noch einfacher und schneller erledigen. Überzeugen Sie sich jetzt von den vielen neuen Funktionen und Services!
Und dazu liefert die Bank dann praktischerweise einen Link zur Banking-Plattform - und torpediert damit alle Aufklärungsbemühungen gegen Phishing. Ganz abgesehen davon, dass sie sich damit als sicheres Kreditinstitut meiner Meinung nach selbst disqualifiziert. Denn das Bundesamt für Sicherheit in der Informationstechnik (BSI) schreibt auf seiner Website:
Geldinstitute, Online-Auktionshäuser wie eBay, aber auch sonstige seriöse Wirtschaftsunternehmen wissen, dass E-Mails von Betrügern leicht gefälscht werden können. Daher werden sie ihre Kunden niemals per E-Mail dazu auffordern, darin angeführte Links anzuklicken und dort vertrauliche Daten einzugeben.
Das gehört zu den Grundregeln gegen Phishing, die auch viele Banken, die DKB eingeschlossen, verbreiten. Dementsprechend schreibt das BSI auch weiter: “Wenn Sie eine derartige E-Mail erhalten, dann können Sie davon ausgehen, dass es sich um einen Phishing-Angriff handelt.” Hinzu kommt, dass die DKB keinen einheitlichen und als echt erkennbaren Link kommuniziert, sondern in dem Newsletter lautet der Link wie folgt:
Zum Internet-Banking :
http://news.dkb.de/link.php?id=d9346389dd91k3913jd8q24
(Ursprüngliche ID durch eine willkürliche ersetzt)
Eine kryptische Weiterleitungs-URL, die zudem nicht mit https:// beginnt, obwohl beispielsweise das BSI Online-Banking-Kunden stets dazu rät, auf dieses Indiz für eine verschlüsselte Verbindung zu achten. Da erscheint es wie ein Treppenwitz, dass die DKB in der selben E-Mail ihren Kunden empfiehlt:
Starten Sie das Neue Internet-Banking direkt und machen Sie sich mit den vielen neuen Funktionen vertraut:
- Bewahren Sie wichtige Dokumente z.B. Ausweiskopien sicher im Tresor
Es kommt noch besser: Auf der sich öffnenden Online-Banking-Seite warnt die DKB selbst mit einem Sicherheitshinweis davor, auf Links in Bank-E-Mails zu klicken und auf der aufgerufenen Seite Daten einzugeben. Der gestern verschickte Newsletter, der genau dazu aufruft (”Starten Sie das Neue Internet-Banking direkt”), wird allerdings nicht explizit erwähnt und auch auf Anfrage per E-Mail hat sich die DKB bisher nicht von dem Newsletter distanziert.
Auch Datenschutz-Handhabung fragwürdig
Nun könnte man dies mit einigem Wohlwollen als einen Ausrutscher werten. Leider aber ist dies nun schon der zweite Fauxpas, mit dem die DKB mir negativ auffällt. Obwohl nicht DKB-Kunde, bekam ich vor wenigen Monaten eine seltsame E-Mail (hier leicht gekürzt und anonymisiert dargestellt):
Sehr geehrte Frau L.,
hiermit bestätigen wir Ihnen, dass wir Ihr Darlehen am 27.03.07 voll ausgezahlt haben.
Für weitere Rückfragen stehen wir Ihnen gern zur Verfügung.
Mit freundlichen Grüßen
Team Kreditvalutierung
Deutsche Kreditbank AG
Niederlassung Internet
Team Kreditvalutierung(FLS_III)
—–Ursprüngliche Nachricht—–
Von: INFO-DKB
An: NL Internet Team Kreditvalutierung
Betreff: RR Frau L. / KV
Sehr geehrte Kollegen,
folgender Kunde bittet um RR:
Name: Dana L.
Konto: XXXXXXXXX
Telefon: 0170 / XXXXXXX
E-Mail: dana.l.@XXXX.de
Frau L. bittet um kurze Info, wann ihr o.g. Darlehen ausgezahlt wird.
Die Kundin braucht eine schriftliche Bestätigung über die Auszahlung als Sicherheit für Ihren Verkäufer.
Vielen Dank.
Mit freundlichen Grüßen
XXXX XXXXXXXX
DKB-Service GmbH
Team Kundenkommunikation
Hotline
Diese E-Mail ging unverschlüsselt über das Netz und landete in meinem Postfach. Was war passiert? Die DKB hatte offensichtlich eine E-Mail-Adresse von Frau L. gespeichert, die zu einer meiner Domains gehörte. Da die E-Mail-Adresse dana.l.@meinedomain.de aber nicht existierte, schickte der E-Mail-Server sie weiter an mich als Inhaber der Domain. (Anmerkung: Ich betreibe keinen E-Mail-Service und kenne Dana L. nicht. Ich weiß nicht, wie die falsche E-Mail-Adresse in die DKB-E-Mail gelangte.) Auf meine Rückfrage bezüglich des sicheren Umgangs mit Kundendaten bei der DKB erhielt ich leider bis heute keine Antwort.
Fazit
Kunden können einiges tun, um ihr Girokonto auf sichere Art online zu führen. Aber die Bank muss ihren Teil dazu beitragen und sollte mit gutem Beispiel vorangehen, statt die mit Mühe erreichten Aufklärungserfolge gegen Phisher und für sicheren E-Mail-Verkehr zunichte zu machen. Kunden haben durch E-Mails wie die von der DKB kaum noch die Chance zu erkennen, welche Bank-E-Mails echt sind und welche von Phishern verschickt wurden. In den Sicherheitshinweisen der DKB steht übrigens: “Neben unseren Aktivitäten zur Gewährleistung der Sicherheit ist auch Ihr Beitrag als Kunde unverzichtbar.” Bei der DKB mehr denn je, möchte man hinzufügen.