MÜNCHEN (COMPUTERWOCHE) - Das Online-Banking wird immer beliebter - nicht nur bei Kunden, sondern auch bei Kriminellen. Laut aktuellen Zahlen des Bundesverbandes deutscher Banken (BdB) wickeln inzwischen nahezu vier von zehn deutschen Bankkunden zumindest die Standardvorgänge ihrer Bankgeschäfte online ab. Davon wollen auch Verbrecher profitieren - mit immer ausgefeilteren Methoden. Seit Sommer vergangenen Jahres beobachtet der Verband Versuche, Bankkunden durch so genannte Phishing-Emails zur Preisgabe ihrer Geheimzahlen zu bewegen. "Waren es zunächst Phishing-Wellen, ist mittlerweile kein Abflauen mehr zu beobachten", sagt Verbandssprecherin Kerstin Altendorf.

Im Vergleich zu Kreditkartenbetrug ist der finanzielle Schaden Branchenkreisen zufolge gering. Eine der ersten europäischen Banken, deren Kunden gezielt angeschrieben wurden, war die Postbank. Sie hat inzwischen auf ein System umgestellt, bei dem der Kunde die für einen Online-Banking-Auftrag erforderliche Transaktionsnummer (TAN) nicht mehr selbst auswählen kann. "Systeme, bei denen die Nutzer die TAN-Nummer selbst aussuchen können, halten den heutigen Gegebenheiten nicht mehr stand", betont Martha Bennett, Research Director bei Forrester Research.

Inzwischen sei aus dem Baltikum ein erster Fall gemeldet worden, bei dem ein Hacker die Online-Banking-Sitzung eines Bankkunden übernehmen und selbst Überweisungen tätigen konnte. Im Fachjargon heißt so etwas "man in the middle attack". "Gegen solche Attacken gibt es derzeit keinen wirkungsvollen Schutz", sagte Bennett auf einer Fachkonferenz in London.

Neben bösartiger Software, die Tastatureingaben aufzeichnet und auf diese Weise Geheimnummern ausspioniert ("keystroke logging"), gibt es jetzt auch Programme, mit denen sich die Bewegungen des Mauszeigers auf dem Bildschirm verfolgen lassen ("screen scraping"). Damit haben die Kriminellen auf die so genannten "virtuellen Tastaturen" reagiert, mit denen einige Institute ihren Nutzern ermöglichen, Geheimzahlen ohne Tastatur einzugeben. In England, Irland, aber auch teilweise in Frankreich, Italien und Spanien lassen sich Konten schon mit dem Benutzernamen und der PIN-Nummer ausräumen. In Deutschland ist zusätzlich eine TAN-Nummer für jede Transaktion erforderlich.

Russland und Weißrussland gelten als mögliche Herkunftsländer der Angriffe im Cyberspace. Die benachbarten baltischen Staaten dienten offenbar als Testgelände, heißt es in Branchenkreisen. Um zu verschleiern, wohin die gestohlenen Gelder fließen, setzen die Kriminellen auf Mittelsmänner. So wurden in Australien Studenten und andere Menschen mit kleinen Einkommen angeheuert. Sie sollten Gelder, die zuvor auf ihr Konto transferiert wurden, gegen eine Beteiligung von zehn Prozent auf andere Konten weiterleiten. Als die Polizei zugriff, waren diese Konten längst geleert.