Linus Neumann 1:26:04
Also ähm.Erstens sei noch kurz erwähnt, wenn ich den Artikel richtig verstehe war, dass nur bei O2 Telefonica möglich, dieser Angriff oder von äh und deutsche Telekom,hatten, haben die entsprechenden äh anderen Konfigurationen gehabt.Ähm es gibt auch, weil ich jetzt gerade den Artikel von Hakan Tenriver nochmal überlegen hat, äh überlesen habe, da da ist also die Rede von einer Rufumleitung, also es wären wäre, was er schreibt, ein anderes Angriffsszenarioaber was ebenfalls über SS sieben funktioniert, ähm hatte dann äh auch Tobias Engel glaube ich sogar nochmal ähm,direkt demonstriert, also ne, die die Angriffe über SS sieben sind Mannikfach. Ähm und aus dem Artikel geht nicht hundertprozentig hervor, welcher es jetzt war. Schreibt er auch ein etwas, was mich ein bisschen verwundert, weil mir das unklar vorkommt, wasda ich vermute, dass er es selber auch nicht hundertprozentig weiß, welcher, welcher es ist im Angriff da stattgefunden hat, aber,Die Banken bieten mir ein Verfahren an. So und die Banken sagen, das ist sicher. Ja, wenn das sich jetzt als unsicher erweist, bin ich nicht der Leidtragende.Und deswegen bin ich überhaupt nicht böse auf die Banken, wenn sie unsichere Verfahren dafür nutzen,weil das mir im Zweifelsfall vor Gericht ermöglicht,dass ich auf jeden Fall mein Geld wieder kriege. Wir dürfen in diesem Online-Banking-Bereich nicht vergessen. Die Zeche zahlenIn neunundneunzig Prozent der Fälle die Banken. Da sitzt jetzt keiner zu Hause, dem irgendwie Geld auf dem Konto fehlt, der am Ende die Bank verklagen muss oder oder sein, sein ähm sein Telefonprovider verklagen mussja? Ähm da die Leute kriegen in der Regel alle brav ihr Geld zurück. Es sei denn.Es sei denn, den man merkt's nicht oder äh ihnen wird nachgewiesen, dass sie selbst ähm fahrlässig gehandelt haben.Dann,gehen die Banken auch gerne mal hin und sagen, nee, also das zahlen wir jetzt mal nicht, das bist du selber Schuld. Und wir erinnern uns, das ist was, das haben wir hier bei LMP vor wahrscheinlich zwei Jahren oder sowas besprochen, da gab es diesen Fall von einemäh Bankkunden, der hatte so einen, der hatte so einen Chiptan-Generator, ne? Also,Im Moment Königsklasse der Sicherheit kann man tatsächlich so sagen, du hast so ein, du hast so ein kleines Gerät, da musst du die,Chipkarte, die die EC Karte reinstecken. Das heißt, du hast schon mal einen haben, Aspekt, nämlich und vor allem einen haben Aspekt von einem Teil, das zu klonen ähm mitäh mit Bordmitteln nicht möglich. Ist so oder zumindest der, wo der Aufwand das Gerät die die Karte zu klonen,In der Regel teurer ist als das Geld, was du von dem Konto kriegen könntest? Mit anderen Worten nicht ökonomisch,sinnvoll, kopierbares haben. ÄhmUnd dann steckst du diese Karte da rein, musst was weiß ich noch, die PIN zu der Karte eingeben, hast also nochmal Wissen, ja? Und dann sagt dir das, dann musst du irgendwie so einen Flickercode auf den Bildschirm scannen und dann steht in dem, in dem Display von dem Gerät diese dran, die ich dir jetzt gebe, ja,die ist dafür da, den Betrag X auf die IBAN zu überweisen.So und in dem Moment hast du quasi den wirksamen Schutz gegen man in den Mittelangriffe,Weil wenn jetzt gerade ein Angreifer da ist und versucht dir eine andere Transaktion unterzuschieben, ja? Also statt du überweist äh fünfhundert Euro an mich für heute, wie sonst auch immer?Ne, also ähm.Dann ähm dann würde also auf dem äh an der auf diesem Display stehen eine andere IBAN.Und ein anderer Geldbetrag, ne? So du überweist gerade zehntausend Euro auf diese Schellen. Gib diese, gib die Tannen ein oder nicht.Und dieses Verfahren ist so sicher.Dass es eigentlich kein sinnvoll nachvollziehbares Angriffsszenario darauf gibt. Es sei denn, du machst als Opfer den Fehler nicht zu kontrollieren, was dieses Gerät hier gerade sagt, was du durch die Eingabe der TAN ähm.Für eine Transaktion autorisierst,Da gab es also einen Fall, wo das jemand, äh wo das irgendwie, ich glaube, der Angestellten äh Bürokraft äh oder sowas, die hundert von diesen scheiß Überweisungen machen musste, die hat dann bei der hundert ersten mal nicht hingeguckt oder sowasUnd da haben dann die Banken gesagt, nee, also Entschuldigung, das ist eindeutig nicht unsere Schuld. Dieses Verfahren ist sicher, du bist schuld. Und das heißt, dieses sichere Verfahren hat in diesem Fall.Gegen die zu schützende Person gearbeitet. Insofern würde ich's persönlich die zynische.Ähm These aufstellen, du bist besser bedient mit einem Verfahren, was nachweislich unsicher ist,Weil du mit, weil du dann wenigstens notfalls vor Gericht ähm beweisen kannst, dass das nicht deine Schuld war. Sondern die der Bank.Aber okay, äh so. Bitte, wenn jetzt irgendwie Geld von eurem Konto ist, klärt das mit eurer Bank, ich habe euch hier nur einen Tipp gegeben, von mir kriegt ihr das Geld nicht.Die Banken sind natürlich, die wollen diese Online, diesen Online-Sinova ähm aufrechterhalten, die wollen auch nicht den Ruf bekommen, ihre Kunden im Regen stehen zu lassen und deswegen ist dieser Schadenauch in diesem Fall denke ich ähm wird bei den Banken liegen und äh unter Umständen klagen, die sich da die eine oder andere Mark äh von O2 zurück.