08.05.2017 Hacker manipulieren SMS - und räumen Bankkonten von O2-Kunden leer:

Das mTan-Verfahren gilt derzeit als Standard für verschlüsselte Online-Überweisungen. Der Online-Banking-Kunde lässt sich dabei für jede Transaktion ein Einmalkennwort auf sein Handy schicken. Mit dieser Transaktionsnummer (Tan) legitimiert er die Überweisung in seinem Banking-Account. Fast alle Banken bieten ihren Kunden mTan an, das Verfahren gilt als relativ sicher. Doch offenbar gab es jahrelang bei den Mobilfunkanbietern eine schwere Sicherheitslücke, die es Kriminellen ermöglichte, das System auszuhebeln.

Wie die Süddeutsche Zeitung berichtet, haben Hacker die Schwachstelle ausgenutzt, um Geld von Bankkunden auf ihre eigenen Konten umzuleiten. Auch deutsche Kunden seien betroffen. Die Kriminellen gingen bei ihrem Angriff in zwei Schritten vor. Zunächst erschlichen sie sich mit Phishing-Mails die persönlichen Daten der Bankkunden: Die Opfer wurden per Mail dazu verleitet, Kontonummer, Passwort und Handynummer auf einer Fake-Website einzugeben, wo die Täter sie abgriffen. 

Mobilfunkunternehmen machten es Kriminellen leicht

Mit den Daten konnten sich die Angreifer zwar in die Onlinekonten einloggen und Kontostände einsehen, aber noch keine Überweisungen tätigen. Dafür fehlten ihnen ja noch die via mTan verschickten Einmalkennwörter. Um die zu bekommen, nutzten die Hacker eine Schwachstelle im sogenannten SS7-Netzwerk, auf das eigentlich nur Mobilfunkunternehmen Zugriff haben sollten.

Die Provider benötigen SS7 unter anderem, um Telefonieren im Ausland zu ermöglichen oder SMS in fremde Netze zu verschicken. Den Hackern war es über SS7 aber auch möglich, eine Rufnummernumleitung für die erbeuteten Nummern einzurichten. So konnten sie sich die benötigten mTan bequem aufs eigene Handy senden lassen - und hatten damit alles beisammen, um die Bankkonten der Opfer zu plündern.

O2 bestätigt Angriffe

Laut Süddeutscher Zeitung war das Umleiten der Rufnummer in Deutschland bis vor Kurzem auch bei O2-Telefonica möglich, wie der Konzern auf Anfrage bestätigte: "Ein krimineller Angriff aus dem Netz eines ausländischen Providers hat Mitte Januar dazu geführt, dass eingehende SMS für vereinzelte Rufnummern in Deutschland unbefugt umgeleitet wurden", erklärte O2 der SZ. Der entsprechende Provider sei gesperrt und die Kunden informiert worden. Die Polizei ermittele.

Der eigentliche Skandal ist, dass die Schwachstelle im SS7-Netzwerk bereits seit Ende 2014 öffentlich bekannt war, die Provider es aber nicht schafften, wirksam dagegen vorzugehen. Mittlerweile könne man auf dem Schwarzmarkt bereits Zugänge für knapp 1000 Euro kaufen, berichtet IT-Experte Hendrik Schmidt der SZ. Um zu verhindern, dass die Mobilnummer über das SS7-Netzwerk gekapert wird, könne die Änderung der Rufumleitung durch Provider im Ausland grundsätzlich blockiert werden.

Oder man nutzt als Online-Banking-Kunde das zweite derzeit verbreitete Tan-Verfahren: Bei der PushTan wird das Einmalkennwort auf einem Extra-Gerät generiert, das man sich bei der Bank (meist kostenpflichtig) besorgen kann. Das Handy wird für eine Überweisung nicht benötigt.

Quelle: @ stern