Véronique M., selbständige Immobilienmaklerin steht vor dem Konkurs. Mit über 250.000€ Schulden steht die ehrgeizige Freiberuflerin vor dem Aus ihrer wirtschaftlichen Existenz und muss Insolvenz beantragen.
Was ist passiert?
Als Véronique M. von ihrer Bank benachrichtigt wurde, dass ihr Geschäftskonto nicht genügend Guthaben aufzeige um die Miete ihres Geschäftsraumes und weitere laufende Rechnungen bezahlen zu können, glaubte sie zuerst an einen Irrtum, an Fehlbuchungen.
Leider musste sie erfahren, dass vier Tage zuvor eine Überweisung von 252.000.- € von ihrem Geschäftskonto getätigt worden war. Ihr gesamtes Guthaben war weg und die Kreditlinie komplett ausgeschöpft. Die Transaktion war aus Bankensicht korrekt und eine Stornierung der Transaktion war zu diesem Zeitpunkt nicht mehr möglich.
Die Überweisung war elektronisch erfolgt. Wie die meisten Unternehmer tätigt Véronique M. ihre Bankgeschäfte online mittels einer SmartCard. Eine SmartCard ist eine Kunststoffkarte die mit einem Computer-Chip versehen ist und als eine Art digitaler Ausweis dient.
Für die Verwendung einer Smartcard gebraucht Véronique M. einen externen Kartenleser, der bei Bedarf an den Computer geschlossen werden muss. Mittels eines zusätzlichen PIN-Codes kann sie mit der SmartCard Dokumente, Nachrichten oder Transaktionen elektronisch unterschreiben, welche laut Verfassung den gleichen anerkannten gesetzlichen Wert haben, wie ein von Hand unterzeichnetes Dokument.
Eigentlich ging Véronique M. sehr umsichtig mir ihren Daten um. Nur sie kennt den Code. Sie hatte ihn nirgends nieder geschrieben und auch verbal keiner anderen Person mitgeteilt.
Wie konnte es dazu kommen?
Da nur Véronique M. Zugriff auf das Konto hat und nur sie den PIN-Code der SmartCard kennt, kann sie sich nicht vorstellen, dass Cyberkriminelle am Werk waren.
In der Tat hatte sie vor einigen Tagen eine Mail über eine verlockendes Immobilienprojekt erhalten, mit einer zip-Datei im Anhang. Aus Neugier für das angeblich lukrative Geschäft hatte sie den Inhalt augenblicklich angeklickt und so den Schädling heruntergeladen.
Es handelte sich hierbei um einen Banking-Trojaner, der sich über E-Mails mit Dateianhang verbreitet. Dieser « lauerte » jetzt regelrecht darauf, dass Véronique M. eine Banktransaktion durchführe und somit die Zugangsdaten, samt PIN-Code abfangen kann.
Als sie vor dem langen Wochenende ihren Kontostand überprüfen wollte, erschien auf ihrem Computer eine Meldung, dass die aufgerufene Seite gewartet wird und nicht zugänglich ist.
Dass Véronique M. den Kartenleser samt SmartCard nie vom Computer trennt, wurde ihr jetzt zum Verhängnis. Für die Angreifer war es nun leicht, sich mit den abgefangenen Daten für Véronique M. auszugeben und das Konto zu plündern.
Was muss Véronique M. jetzt tun?
Die Transaktion hätte auf Anweisung der „Cellule de renseignement fincancier(CRF)“ der Generalstaatsanwaltschaft Luxemburg innerhalb 24 Stunden nach der Tat gestoppt werden können. Leider hat Véronique M. die Überweisung erst nach dem langen Wochenende bemerkt; eine Stornierung ist nicht mehr möglich.
Auf jeden Fall sollte Véronique M.
- umgehend die SmartCard beim Geldinstitut blockieren lassen
- eine technische Analyse von ihrem Rechner bei einem Experten oder einem kompetenten CERT (Computer Emergency Response Team) beantragen; in diesem Fall : circl.lu
- bei der Polizei ein gerichtliches Verfahren beantragen, zwecks einer forensischen Analyse des Rechners
Beide letzten Maßnahmen dienen der Spurensicherung und Rekonstruktion der Chronologie technischer Abläufe.
Wie hätte die Tat verhindert werden können?
Véronique M. hätte
- vorsichtiger vorgehen müssen beim Erhalt der E-Mail mit dem verlockenden Angebot und den Anhang nicht anklicken sollen. Die Alarmglocken sollten klingeln, wenn sich im Anhang Dateien mit eher seltenen Endungen befinden wie zip oder exe,
- auf gar keinen Fall den Kartenleser samt Karte mit dem Computer verbunden lassen sollen. Nach Beendigung von Transaktionen sollte die Karte immer vom Kartenleser entfernt werden.
- Einen separaten Rechner nutzen, der ausschließlich für Banktransaktionen gebraucht wird und auf dem nie gesurft oder gemailt wird.
Allgemein gilt:
- Separater Rechner ausschließlich für Banktransaktionen
- Karten bei Nichtgebrauch vom Rechner/Kartenleser trennen
- Regelmäßige Sicherheitsupdates des Betriebssystems und des Browsers
- Aktuelles Antivirusprogramm
- Login über eine verschlüsselt SSL – Verbindung (erkennbar am HTTPS oder Vorhängeschloss in der Adressleiste)
- PIN, TAN, Passwörter und Zugangsdaten nicht auf dem Computer speichern und nicht offensichtlich notieren
- Öffentliche Rechner, Hotspots und WLANs sind für Online-Banking tabu
- Fürs Onlinebanking über das Smartphone gelten die gleichen Regeln
Weitere Tipps zum sicheren Online-Banking auf cases.lu