IBAN-Namenkontrolle - welche Gruppe?

Im Normalfall gar nicht.

Vermutlich geht es auch darum nicht.

Bedrohungsszenarien sind z.B.:

Ein Krimineller übernimmt das E-Mail-Konto eines Opfers (passiert immer wieder) und schickt per E-Mail eine Rechnung nach einem Muster das er findet, bis auf die IBAN ident. Sein Opfer hält die Rechnung für echt, tippt die IBAN ein, überweist.

Mit der neuen Regelung kann man ihm bei der Buchungfreigabe den Namen der wirklch zum Konto gehört zeigen, und das schlichte Austauschen ist schwieriger.

/ralph

Danke!

Das kann sein aber ich habe von einer Methode gelesen, mit der der Hacker sehr schnell im Augenblick des Überweisens die IBAN ändert. So schnell, dass der Zahler den Vorgang gar nicht bemerkt hat.

Sogar beim Ausdruck der Überweisungen ist wieder die korrekte IBAN dort gestandeb.

Den Bank-IT-Fachleuten ist dazu eben die Querverbindung mit dem Empfängernamen eingefallen.

GL

Am 26.10.2025 16:12 Uhr schrieb Franz Glaser:

Im Normalfall nicht. Per MITM-Attacken geht das schon, wenn der User dem Zertifikat vertraut.

Die meisten dieser Angriffe werden aber den Mensch als Einfallstor nutzen.

das wird typischerweise über einen zweiten Faktor verhindert. Meine Bank-App zeigt mir z.B. alle relevanten Daten gemeinsam mit der TAN noch einmal an. Wenn da eine andere IBAN stünde als in Online-Portal, würde mir das (hoffentlich) auffallen. (Auch als noch SMS zum Versenden der TANs verwendet, stand m.W. die IBAN in der SMS).

Nein, nicht dazu, Sonern zu dem von Ralph skizzierten Bedrohungsszenario.

hjp

Franz Glaser, 2025-10-26 16:12:

Darum geht es nicht. Kriminelle geben einfach den richtigen Namen aber ein falsches Bankkkonto an, auf dem sie die Gelder einsammeln.

In de.etc.finanz.banken+broker gibt's dazu lang andauernde Diskussionen.

MfG hjs

Ja, das geht, wenn der Angreifer auf deinem Rechner bereits eine Software laufen lassen kann, die beim Klick auf den "senden" - Button aktiv wird und die IBAN überschreibt. Genau das zu verhindern ist die Aufgabe der Namensüberprüfung, denn er müsste dann nicht nur die IBAN austauschen, sondern zusätzlich auch den Empfängernamen korrekt überschreiben, damit keine Bestätigung verlangt wird.

Alerdings sehe ich keinen Grund, warum er das nicht auch noch schaffen können sollte. Auf PCs geht das übrigens einfacher als auf Smartphones, die sind diesbezüglich sicherer.

Am 27.10.2025 Mo. um 10:57 schrieb Wendelin Uez:

So ein Schwachsinn. Niemals werde ich per Smartphone Bankgeschäfte tätigen. (Ausgenommen einige wenige Zahlungen welche ohne NFC laufen) Überweisungen und alle anderen Kontoaktivitäten werden nur über den PC angewickelt. Da möchte ich mal sehen welcher 'Angreifer' sich bei der Abwicklung mittels StarMoney Software erfogreich einklinkt.

J.J.

Am 27.10.2025 um 10:57 schrieb Wendelin Uez:

Ne, eher nicht. Die soll verhindern dass Dir jemand eine Bankverbindung mit falschen Namen gibt, um Dich zu täuschen.

Was wohl auch kein Problem ist wenn er die Kontrolle hat.

Eben. Und da kommt der 2. Faktor ins Spiel. Wenn Du an Lieschen Müller überweisen willst, aber z.B. in der Banking App dann bei der Freigabe Igor Iwanow steht, dann sollte man die Buchung nicht freigeben.

Die C24-Bank hat mch zur Authentifikation zu einer App genötigt, damit ich das Browserbanking benutzen kann. Dummerweise ist die App so hübsch, dass ich mich schon mehrfach dabei erwischt habe, mal eben schnell eine normale Überweisung aus der App zu machen, OBWOHL ich am Rechner mit offenem Browser saß.

Der PC ist ironischerweise unsicherer als dein Smartphone (regelmäßige Updates auf beiden Geräten vorausgesetzt, das 2017 zuletzt upgedatete Chinakracher-Smartphone mit Android 6 natürlich nicht).

Grüße Marc

Oder wenn Du schlicht und einfach das Webfrontend der Bank und einen separaten ChipTAN/SmartTAN-Generator mit der Kundenkarte nutzt.

Wie das unsicherer sein soll als irgendeine ranzige App, die sich jede Bank proprietär von einer Softwarebude zusammenzimmern lässt und nicht mal auf alternativen Smartphonebetriebssystemen oder gerooteten Geräten läuft, können auch wohl nur diejenigen erklären, die meinen, ihr Rechner sei gut geschützt, weil da das neueste Windows-Softwareupdate drauf ist und vielleicht noch ein Virenscanner, aber natürlich auf jeden LetzteMahnung!.pdf.exe-Anhang klicken.

Volker

Am 27.10.25 um 10:57 schrieb Wendelin Uez:

Typischerweise werden Betrag und Empfänger-Kontonummer auch noch einmal auf dem 2FA-Gerät angezeigt, egal ob das jetzt ein Chipkartenleser, ein spezielles Gerät oder neumodisch eine App auf dem Smartphone ist.

Eine Manipulation vor der Autorisierung fällt spätestens in diesem Moment auf, eine Manipulation nach der Autorisierung ist technisch nicht mehr möglich.

Da geht es eigentlich eher um Flüchtigkeitsfehler des berechtigten Nutzers. Zahlendreher, versehentlich die falsche Bankverbindung erwischt, etc.

Das möchte ich nicht unterschreiben. Ein Unterschieben von Schadsoftware ist bei unbedarftem Anwender auf PC und Smartphone gleichermaßen möglich, und das Smartphone ist zudem bereits ab Werk mit allerlei DataMining-Software fragwürdiger Hersteller infiziert.

Halbwegs sicher ist nur, für Banking-Software und Transaktions-Autorisierung zwei physisch getrennte Geräte zu verwenden und vor jeder Autorisierung die angezeigten Daten noch einmal zu vergleichen.

Eine Nachfrage ist noch kein 2. Faktor, weil diese Nachfrage auch derjenige bestätigen kann, der den 1. Faktor unrechtmässig überwinden kann. Zweiter Faktor bedeutet Verifizierung über einen zweiten unabhängigen Kanal.

Jedes Kommunikationsgerät kann von Schadsoftware infiziert sein, das lässt sich weder sicher verhindern noch problemlos nachweisen. So gesehen sind PC und Smartphone noch gleich im Rennen.

Das Web-Banking-Portal einer Bank hat keinen Einfluss auf die kommunizierende Software, i.d.R. den verwendeten Browser, abgesehen von einer rudimentären Versionskontrolle. Die Bank kann die Integrität des Browsers nicht garantieren, er kann manipuliert sein.

Beim Smartphone ist die kommunizierende Software, die Bank-App, sehr viel mehr vertrauenswürdiger, weil sie von der Bank selbst stammt und kryptografisch gegen Manipulation gesichert ist. Das geht deswegen, weil bei der Installation die Bank-App mit der Hardware verheiratet wird und die dazu erforderlichen Daten des Smartphones so tief gesichert sind, dass sie praktisch nicht verändert werden können und bswp. manche Banken so sicher machen, dass die das verbleibende Restrisiko übernehmen.

Deswegen kann man übrigens nicht mit einem anderen Handy auch nicht kurz mal aufs eigene Konto zugreifen, das Handy muss dazu über die App erst von der Bank autorisiert werden. Bei PCs geht das problemlos.

Bei "normalem" Banking per Webbroser muss der Benutzer im Zweifel eine ausreichende eigene Sicherung wie Verwendung neuester Software, Ausschluss von Manipulation, Verwendung von Schutzsoftware etc. selbst nachweisen, was er i.d.R. nicht kann.

Es gibt noch weitere Vorteile auf dem Smartphone, z.B. sind dort die einzelnen Tasks gegen Steuerung durch Drittprogramme besser abgeschirmt als auf gängigen PC-Betriebssystemen.

Deshalb beibe ich dabei, Smartpjones sind fürs Online-Banking sicherer als PCs.

Nein, es könnten ja durchaus auch beide Geräte manipuliert sein, auch alle drei, wenn man eine entsprechende 3er-Konstellation haben müsste, die Anzahl ist nicht das Entscheidende. Es reicht, wenn nur ein Gerät sicher ist. Theoretisch reicht dann auch bereits ein einziger Kanal bzw. Schlüssel, nämlich das Passwort, das alleine schon ausreichend sicher wäre, würde man es nicht mit anderen teilen können. Da man es aber doch teilen kann wird ein zweiter Faktor oder Schlüssel benötigt, und zwar einer, der nicht vom selben Typ "Wissen" ist wie der erste, sondern bspw. vom Typ "Besitz" wie der Besitz des zum Konto passenden Mobilgeräts. Da auch der Besitz eines Gerät kein absolut sicherer Beweis für dessen rechtmässige Benutzung ist (es könnte ja auch geklaut sein), wird bei entsprechender Vorkommenshäufigkeit ein weiterer dritter Kanal, Faktor oder Schlüssel erforderlich werden, der dann ebenfalls nicht vom selben Typ der bereits vorhandenen Schlüssel sein darf.

Am 28.10.2025 Di. um 11:30 schrieb Wendelin Uez:

in seiner einfachsten, primitivsten Form. Und somit der unsichersten Variante. Und deshalb nutze ich (am PC!) renomierte Software für unter Euro 3,00 im Monat.

J.J.

Am 28.10.2025 um 10:54 schrieb Wendelin Uez:

Richtig, und daher ist die IBAN-Namenskontrolle auch *nicht* für das Szenario einer MITM-Attacke gedacht.

Für die MITM-Attacke ist der 2. Faktor gedacht, der oft (inzwischen vielleicht immer?) mit den relevanten Daten versorgt wird, so dass eine Manipulation des ersten Kanals auffällt.

So ist es. Ein Angreifer müsste also beide Kanäle kontrollieren, um erfolgreich zu sein (Was bei SMS als zweiten Kanal tatsächlich vorgekommen sein soll).

hjp

Man kann natürlich auch eine nur für diesen Zweck eingerichtete VM nutzen, die per Doppelklick aufs Icon gestartet wird und automatisch das Banken-Login aufruft - geht bei einer SSD fast genauso schnelll wie ein normaler Browser.

Glaubst Du, was Du da schreibst? Deine überbezahlte Software hat mit der Sicherheit eher im negativen Sinne zu tun.