Der große Vergleichstest in der neuen CHIP zum Thema Sicherheitslücken bei Online-Banken

Vier von fünf Erwachsenen in Deutschland betreiben Online-Banking, offensichtlich hegen sie keine Zweifel am hohen Sicherheitsstandard der Geldhäuser im Cyberspace.

Doch nicht alle Banken haben sich diesen Vertrauensvorschuss verdient, wie ein aufwendiger Test des Technikmagazins CHIP zeigt: Er brachte unglaubliche Schlampereien ans Licht. Wie die Redaktion schreibt, leisteten sich sieben von 19 Banken zum Teil hochkritische Sicherheitslücken.

Die CHIP-Redaktion beauftragte ein Sicherheitsunternehmen, das sich auf das sogenannte Cross-Site-Scripting (XSS) spezialisiert hat. XSS-Hacker kopieren Schadcode in Eingabefelder wie Kontaktformulare oder Suchfunktionen und senden ihn dann an den Bankserver. Ist die Bank-Site schlampig programmiert, wird der eingeschleuste Code ausgeführt und der Eindringling kann eigene Inhalte anzeigen.

Jetzt muss der Angreifer nur noch den Link der manipulierten Seite per E-Mail an möglichst viele potentielle Opfer schicken. Wer in die Falle tappt, riskiert den Verlust sicherheitsrelevanter Daten wie PIN- und TAN-Nummern fürs Online-Banking.

Die renommierte Sicherheitsfirma, die ungenannt bleiben will, checkte jede der 19 Banken 30 Minuten lang – und stellte bei sieben Anbietern XSS-Anfälligkeiten fest. CHIP-Autor Dominik Hoferer: „Zwei Banken leisteten sich sogar hochkritische Sicherheitslücken. Bei einer konnte man zum Beispiel über ein Besucherzählmodul ein Skript in ein Cookie einschleusen und so Daten der Nutzer abfangen. Wir haben alle sieben betroffenen Banken vorab über die Sicherheitsmängel informiert, immerhin haben sie ausnahmslos umgehend reagiert.“

Natürlich testete die CHIP-Redaktion auch Angebot und Preise der Online-Banken.

Erstaunlich: Die klassischen Filialbanken haben den Direktbanken in deren einstiger Domäne Internet den Rang abgelaufen. So erhielt die Postbank als einziger Testkandidat die Gesamtnote „sehr gut“, sie ist die Bank mit dem besten Angebot und dem höchsten Sicherheitsstandard.

Auf den Plätzen dahinter liegen ebenfalls altbekannte Namen wie Dresdner Bank, Deutsche Bank und Sparda. Richtet man den Blick ausschließlich auf die Kosten, gewinnt die HypoVereinsbank.

CHIP-Autor Hoferer: „Das Willkommenskonto der bayerischen Bank ist komplett kostenlos; EC- und Kreditkarte sind für Kontoinhaber und deren Partner gratis. Außerdem werden die ersten 1.500 Euro mit satten drei Prozent verzinst – das bietet sonst keine Bank.“

Der komplette Test mit den Bewertungen aller 19 Banken erscheint in der aktuellen CHIP 07/2008, die am 6. Juni in den Handel ist.