Sparkassen, Volksbanken, DKB und Co.: Interview über Sicherheitsprobleme beim mobilen Banking

Vincent Haupert ist IT-Sicherheitsforscher der Uni Erlangen-Nürnberg und warnt schon lange vor App-basierten TAN-Verfahren. Vor einem Jahr offenbarte er gravierende Mängel beim Banking-Startup N26. Auf dem 34. Chaos Communication Congress in Leipzig hat er gestern gezeigt, wie er mit seinem Kollegen Nicolas Schneider durch einen Angriff auf einen einzigen Sicherheitsdienstleister 31 Finanz-Apps manipulieren konnte.

Ein Sicherheitssystem geknackt, 31 Finanz-Apps übernommen

netzpolitik.org: Laut eigener Aussage konntet ihr 31 Mobil-Apps aus dem Finanzbereich hacken, darunter millionenfach genutzte Anwendungen wie die der Volksbanken-Raiffeisen Gruppe, der Sparkassen, der Commerzbank und der DKB. Ihr habt dafür einen Angriff auf einen einzigen Sicherheitsdienstleister umgesetzt, den alle Anwendungen der betroffenen Banken genutzt haben. Wie sah euer Angriff auf dieses System aus?

Vincent Haupert: Der Großteil der relevanten deutschen Banking-Apps setzt auf das gleiche Produkt des norwegischen Herstellers Promon, weshalb es eine besondere Relevanz hat. Aufgrund der gleichartigen Funktionsweise der Lösung bei verschiedenen Apps war es uns möglich, ein Programm zu entwickeln, dass die durch Promon eingeführten Sicherungsmaßnahmen automatisiert deaktivieren kann. Im Anschluss waren Angriffe, wie zum Beispiel eine Transaktionsmanipulation, ohne große Mühen zu realisieren.

netzpolitik.org: Wie kommt es, dass die Banken sich bei einem so wichtigen Thema auf Dritte verlassen?

Vincent Haupert: Mit der Einführung des Mobilebankings hat sich eine konzeptionelle Schwäche aufgetan, weil sich nun zum ersten Mal die Möglichkeit ergibt, die Kontrolle über alle am Transaktionsprozess beteiligten Authentifizierungselemente zu erlangen, indem man nur ein Gerät kompromittiert. Den Banken ist diese Problematik bewusst, weshalb sie das konzeptionelle Sicherheitsdefizit durch technische Maßnahmen versuchen auszugleichen. Die Technik dafür kommt oft nicht aus dem eigenen Haus, sondern von sich auf den Bereich der App-Sicherheit spezialisierten Dritten. Hierbei hat es sich herausgestellt, dass das Gros des deutschen Finanzwesens auf ein und denselben Hersteller setzt, dessen Schutzmaßnahmen aber auch auf ein und dieselbe Art und Weise wieder deaktiviert bzw. sogar umgekehrt werden können.

netzpolitik.org: Welche Rolle spielt dieser Dienstleister im Normalfall für die Sicherheitsarchitektur der Apps?

Vincent Haupert: Der eigentliche Kernbereich dieser Hersteller war zunächst die App-Härtung, also zum Beispiel solche Schutzmaßnahmen, die die statische oder dynamische Analyse verhindern sollen. Noch zentraler ist der Schutz der Integrität der App, um sogenanntes Repackaging zu verhindern, bei dem eine bestehende App mit Schadcode versehen und anschließend verbreitet wird. Heute lässt sich aber beobachten, dass zunehmend auch Best-Practices der IT-Sicherheit Aufgaben dieser Sicherungsprodukte geworden sind, etwa Zertifikatspinning oder auch das verschlüsselte Ablegen von Daten. Das wird von den Banken auch gut aufgenommen und führt schlussendlich dazu, dass Banking-Apps bereits mit dem Wissen, dass eine Drittherstellerlösung gewisse Sicherheitsaufgaben übernimmt, entwickelt werden. Das rückt die Hersteller solcher Lösungen natürlich weiter in den Fokus.

Sicherheitsproblem mit System

netzpolitik.org: Was führt dazu, dass ein einziges Sicherheitssystem in so vielen Apps eingesetzt wird?

Vincent Haupert: Das lässt sich von außen schwer beantworten, es spielen aber vermutlich mehrere Faktoren eine Rolle: der Umfang der gebotenen Sicherungsfunktionen, die Performanz, die Zuverlässigkeit – False Positives sind ein echtes Problem – und nicht zuletzt natürlich auch der Preis. An der fehlenden Konkurrenz liegt es jedenfalls nicht. Die wirkt aufgrund der prävalenten Stellung Promons im Markt der deutschen Banking-Apps aber relativ abgeschlagen. In welchen der genannten Faktoren Promon im Vergleich zur Konkurrenz besonders gut ist, wissen aber auch wir nicht, was auch an der schlechten Vergleichbarkeit der einzelnen Produkte liegt.

netzpolitik.org: Wer trägt die Verantwortung für dieses „Outsourcing von Sicherheitsmaßnahmen“? Machen es sich die Banken zu leicht oder machen die Dienstleister falsche Versprechen?

Vincent Haupert: Es ist definitiv so, dass die Erwartungen der Banken und das Leistungsangebot der Sicherheitsdienstleister nicht identisch sind. Die Hochglanzbroschüren der Produkte sind sicher nicht unschuldig an den hohen Erwartungen und man kann von den Banken kaum erwarten, dass sie alle Aussage auf deren Validität überprüfen. Ein Plädoyer der Banken, sie wären doch nur verführt worden, griffe aber ebenfalls zu kurz: Die Institute haben nicht selten fähiges Personal in ihren IT-Sicherheitsabteilungen, denen die erhöhte Angreifbarkeit im Vergleich zur unabhängigen Zwei-Faktor-Authentifizierung auch durchaus bewusst ist. Vermutlich ist es aber gerade das Wissen darüber, dass man einen strukturellen Mangel niemals mit nur rein technischen Maßnahmen beheben kann, das zur Inanspruchnahme einer nicht eigens entwickelten Lösung führt. Das Problem liegt demnach eher in dem, was nicht, statt in dem was gesagt wird: Nämlich dass Härtungs- und Schutzmaßnahmen eben kein äquivalentes Maß an Sicherheit bieten.

Kurzsichtige Lösungen

netzpolitik.org: Wie groß ist das Phänomen Mobilebanking überhaupt? Gibt es Zahlen dazu, wie viele Menschen solche Anwendungen nutzen, welche Funktionalitäten sie bevorzugen und welche Rolle App-basierte TAN-Verfahren, bei denen alles auf einem Gerät stattfindet und die auf eine Zwei-Faktor-Authentifizierung verzichten, spielen?

Vincent Haupert: Obwohl es einige Studien zur Verbreitung und Nutzung von Mobilebanking gibt, versäumen diese oft eine Definition dessen, was unter dem Begriff Mobilebanking eigentlich zu verstehen ist. Während wir unter Mobilebanking solche Geschäftsvorfälle verstehen, bei denen Transaktionen von ein und demselben Gerät durchgeführt werden können, betrachten andere bereits das Nutzen einer Banking-App nur zur Überprüfung des Kontostands als Mobilebanking. Das führt dann zu zum Teil widersprüchlichen Aussagen: Mal steht Mobilebanking gefühlt kurz vor dem Durchbruch, manchmal scheint es nahe der Bedeutungslosigkeit. Studien zeigen, dass gerade die deutsche Bevölkerung viel Wert auf Sicherheit legt. Es dürfte aber als gesichert gelten, dass App-basierte Verfahren gerade bei jungen Kunden in Zukunft weiter an Fahrt aufnehmen werden. Von einem Run kann man aber auch nicht sprechen: Laut einer Umfrage der Norisbank aus dem Jahr 2016 bewegt sich der Marktanteil App-basierter Sicherungsverfahren bei 5–8%. Die Zahlen sollen sich im Vergleich zu diesem Jahr kaum geändert haben.

netzpolitik.org: Banken und Branchenverbände haben jetzt darauf verwiesen, dass bislang keine Kunden durch die von dir aufgezeigten Sicherheitsmängel zu Schaden gekommen seien. Wie groß ist die Gefahr deiner Meinung nach wirklich?

Vincent Haupert: Das ist natürlich eine beliebte, wenn auch aussagenlogisch problematische Reaktion. Zum einen ist es so, dass die Banken oder auch die Sicherheitsdienstleister kaum damit hausieren gehen dürften, dass sie schon Schadensfälle auf ihre Verfahren zu verzeichnen hatten. Das bedeutet aber nicht, dass ich der Behauptung keinen Glauben schenke, ich halte sie sogar für plausibel: Wie bereits erwähnt, sind die App-basierten Verfahren aktuell weitgehend ohne Bedeutung, weshalb sich auch für Kriminelle weitgehend uninteressant sind. Es ist aber davon auszugehen, dass sich das in Zukunft ändern wird. Es scheint mir aus Sicht der IT-Sicherheit eher unangebracht, sich hauptsächlich auf die Gegenwart zu konzentrieren und eine rein reaktive Strategie zu fahren.

Bankenaufsicht setzt falsche Anreize

netzpolitik.org: Schauen wir mal auf die politischen Rahmenbedingungen: Siehst du Handlungsbedarf?

Vincent Haupert: Ab Januar 2018 tritt die Zahlungsdiensterichtlinie II (PSD2), in Kraft, die weitreichende Änderungen einführen wird. Die Europäische Bankenaufsichtsbehörde hatte hierzu das Mandat zur Ausarbeitung der Technischen Regulierungsstandards (RTS), die unter anderem auch starke Kundenauthentifizierung vorschreibt und somit unmittelbaren Einfluss darauf hat, welche Voraussetzungen auch an Mobilebanking und App-basierte Authentifizierungsverfahren zu stellen sind.

Diese Richtlinie ist in vielen Aspekten gerade aus Kundensicht zu begrüßen und es werden mit ihr auch endlich einheitliche Standards für alle Kanäle gesetzt. Die Anforderungen an die starke Kundenauthentifizierung gelten im Wesentlichen schon seit zwei Jahren, allerdings nur, wenn zur Transaktionsauslösung ein Internetbrowser verwendet wird. Das führte zu der abstrusen Situation, dass Banken Apps entwickelten, die im Kern nur aus einer Webview bestanden, die dann aus regulatorischer Sicht aber nicht mehr erfasst waren. Die PSD2 macht diese Unterscheidung erfreulicherweise nicht mehr.

netzpolitik.org: Setzt die Aufsicht in Hinblick auf App-basierte TAN-Verfahren die richtigen Anreize?

Vincent Haupert: Obwohl die Anforderungen an die starke Kundenauthentifizierung seit kurzem final vorliegen, ist es für uns nach wie vor unklar, ob aktuelle Smartphones die Gegebenheiten mitbringen, um den Regularien zu entsprechen. Hierbei geht es uns vor allem um die Nichtkopierbarkeit des Besitzelements und die sichere Anzeige der Transaktionsdetails. Obwohl die Standards beides fordern, hat die Aufsichtsbehörde bereits in der öffentlichen Anhörung am Anfang des Jahres klargemacht, dass sie eine Gerätetrennung auch im Falle eines Mehrzweckgeräts nicht für erforderlich hält. Statt – wie noch in einer früheren Entwurfsversion der RTS – Ansätze zu fordern, die auf eine Trusted Execution Environment zurückgreifen, ist nun nur noch von Softwaremaßnahmen zur Wahrung der Sicherheit die Rede. Und das ruft wiederum Produkte zur App-Härtung auf den Plan.

netzpolitik.org: Eines der für App-basierte TAN-Verfahren auf einem Gerät vorgebrachten Argumente ist, dass die Kunden es eben möglichst einfach und bequem wollen. Der Erfolg der ersten Mobile-Only-Bank, N26, scheint ihm Recht zu geben – auch wenn du erst im letzten Jahr gezeigt, dass Sicherheit bei dem Unternehmen damals nicht die oberste Priorität hatte. Sind die Nutzer:innen also schlicht selber schuld?

Vincent Haupert: Wenn die Banken der IT-Sicherheit die gleiche Bedeutung beimessen würden, wie der Bedrohung durch FinTechs, dann hätten wir vermutlich schon viel erreicht. Ich spüre in der Finanzbranche, gerade von Seiten der etablierten Kreditinstitute, einen großen Respekt gegenüber den FinTechs. Ich frage mich aber, ob die Banken die Produkte der FinTechs am Ende nicht sogar besser finden, als die potenziellen Kunden. Die Sparkassen hatten für ihr App-basiertes TAN-Verfahren pushTAN sogar Fernsehwerbung geschaltet. Dass das für einen durchschlagenden Erfolg gesorgt hat, kann man angesichts der Verbreitung der Verfahren eher nicht behaupten. Die Kunden werden sich vor allem auf das Verfahren einlassen, das ihnen von ihrer Bank empfohlen wird. Zum aktiven Wechsel scheinen aber nur wenige bereit.

Wer sichergehen will, nutzt zwei Geräte

netzpolitik.org: Welche drei Tipps würdest du denn Menschen geben, die jetzt eine Bank mit mobilem Banking suchen? Worauf sollten sie achten?

Vincent Haupert: Die einzelnen Mobilebanking-Angebote unterscheiden sich hinsichtlich ihres Konzepts und der daraus erwachsenden Angriffsfläche kaum. Es ist aber natürlich wichtig, dass eine Bank auch innerhalb dieses Konzepts für bestmögliche Sicherheit sorgt. Nachdem Sicherheit nichtfunktional ist und somit erst mal keinen unmittelbaren Mehrwert für den Kunden bietet, sehe ich das eher bei den schon fest im Markt etablierten Banken gewahrt als bei den FinTechs, die meist weniger finanzielle Mittel haben dürften. Als Kunde selbst sollte man grundsätzlich immer dafür sorgen, dass die entsprechenden Apps und vor allem das Gerät auf dem aktuellsten Stand ist. Leider ist es gerade bei den Android-Geräten so, dass bereits nach kürzester Zeit schon keine Sicherheitsupdates mehr angeboten werden. Wer aber auf Nummer Sicher gehen will, verlässt sich auch unterwegs bei Bankgeschäften auf den TAN-Generator.

netzpolitik.org: In einem SZ-Artikel zum Thema werden zudem nicht näher genannte Quellen aus der Finanzbranche genannt, die sich darüber beschweren, dass du die Unternehmen nicht rechtzeitig gewarnt habest. Findest du den Vorwurf gerechtfertigt?

Vincent Haupert: Es ist tatsächlich so, dass sich die direkt und indirekt Betroffenen gewünscht hätten, vorher informiert zu werden. Dabei fällt auch oft die Forderung nach Responsible Disclosure. Das greift unserer Auffassung nach aber aus zwei Gründen nicht: Erstens gibt es keine unmittelbare Bedrohung für Kunden. Wäre die Schwachstellen von ähnlicher Natur gewesen, wie jene bei N26 vor einem Jahr, dann hätte eine Veröffentlichung der Details unter Umständen zu echten Schäden für die Kunden führen können. Unsere aktuelle Arbeit hat aber eher aufklärenden Charakter, der darauf hinweist, dass Schäden für die Zukunft nicht auszuschließen sind. Zweitens käme ein Responsible Disclosure nur in Frage, wenn man das Problem auch ganz konkret beheben könnte. Bei unserem Angriff hätte das aber nur dazu geführt, dass dann gerade eben solche Maßnahmen implementiert werden, um dann öffentlich sagen zu können, dass das jetzt schon gar nicht mehr geht – obwohl das konzeptionelle Problem weiterbesteht.

netzpolitik.org: Vielen Dank für das Gespräch!