Die Republik ist nur so stark wie ihre Community. Werden Sie ein Teil davon und lassen Sie uns miteinander reden. Kommen Sie jetzt an Bord!
Bin gespannt, wie's weitergeht - in Deutschland würde das betroffene Unternehmen jetzt Strafanzeige erstatten (erstmal pauschal wegen "Hacken"), der Entdecker der Lücke würde Besuch von der Polizei und ein Strafverfahren bekommen..
PostFinance war immer fair, hat die Sicherheitslücke behoben und mir zu keinem Zeitpunkt rechtliche Schritte angedroht. Ich war im Austausch mit Menschen bei PostFinance und die haben sich gegenüber mir auch menschlich verhalten. Es ist ein Fehler passiert, dieser wurde korrigiert. Ich bin weiterhin gerne Kunde bei PostFinance, jetzt sogar noch etwas mehr.
Medium
Einige in der Kommentarspalte haben nicht begriffen, dass es ein grosser Unterschied ist, wenn man das Postkontoverzeichnis in Papier durchblättert oder in elektronischer Form verarbeitet.
Verarbeitung
Informationen in digitaler Form können viel effizienter verarbeitet, referenziert und erweitert werden. Massenabfragen sind in diesem Zusammenhang eine grosses Problem. Daten können so einfacher vervielfältigt und verbreitet werden.
Wirft man alle Datenlecks in einen Topf hat man unglaublich viele Informationen über einen Menschen. Dazu ein Beispiel.
Schweizer Daten
Im Verlauf der letzten Monate gab es einige Datenlecks. Mit den mir bekannten Lecks ist es möglich diese Informationen über (fast) jede*n SchweizerIn zu haben:
Name
Vorname
Natelnummer
Adresse
Kontonummer
Geburtsdatum
E-Mail-Adresse
Mit jedem Datenleck kann man die bestehenden Daten erweitern. Genau diese Daten werden für Phising-Angriffe verwendet. Sie erhalten vermehrt täuscherische E-Mails aufbereitet mit persönlichen Daten.
Personifikation
Im digitalen Raum besteht die latente Gefahr, dass man die Identität verlieret. Heisst eine Person A besitzt genug Informationen um sich als Person B auszugeben. Das ist dann nicht ein Einzelfall, sondern kann tausendfach passieren. Die digitale Datenverarbeitung macht es möglich.
Resilienz
Plattformen müssen auf Datenlecks und Sicherheitlücken geprüft werden. Ein Flugzeug darf nur in die Luft, wenn es die Airworthiness erfüllt. IT-Systeme gehen aktuell egal in welchem Zustand online.
Aussicht
Dieser Zustand wird sich in naher Zukunft ändern. IT-Systeme werden gemäss gesetzlichen Auflagen geprüft. Werden diese nicht erfüllt, können Behörden dem System den Stecker ziehen.
Aufklärung
Diesen Zustand erreichen wir, wenn wir eine aufgeklärte und gut informierte Gesellschaft haben.
Besser hätt ich es nicht zusammenfassen können.
Oh, ich glaube da ändert sich so schnell nichts - der Vergleich zu Flugzeugen und Autos ist schon ganz nett, aber das Risikopotential der Drei Dinge Autos - Flugzeuge - IT-Systeme ist völlig unterschiedlich. Entsprechend unterschiedlich ist auch unsere Bereitschaft, die verbundenen Risiken zu adressieren.
Spannend wird es da, wo die Dinge zusammenwachsen, aber auch in Zukunft werden wir damit leben, dass schlecht geschriebene Programme zu Problemen führen.
Wenn man eine Software als medizinisches Produkt zulassen möchte, gilt es hohe Anforderungen zu erfüllen (Medical Device Regulation). Dasselbe gilt für Software in einem Flugzeug.
Urpsrung dieser Regulationen sind ein markanter Anstieg von Unfällen und Katastrophen. Diese Standards haben sich etabliert, weil man der Meinung war, dass es sich eher Lohnt zu regulieren statt zu riskieren.
Wie viele Katastrophen im Umgang mit Daten brauchen wir, bevor Standards und Auflagen entwickelt werden? Ist das Nicht eine Frage der Zeit bzw. der Awarness?
Danke für diesen sachlichen, verständlich geschriebenen Artikel. Er zeigt das Thema Datenschutz in der vollen Komplexität auf.
Meine meisten Mitmenschen interessiert das Thema leider nicht ("nicht schlimm, wenn jemand dies und das über mich weiss") . Ich meine, wir müssen das Thema ähnlich sehen, wie das Thema Umweltschutz: es geht weniger um Verfehlungen einzelner Menschen /Firmen, sondern um die Frage, in was für einer Welt/Gesellschaft die künftigen Generationen leben sollen. Die Digitalisierung hat erst gerade angefangen (vergleichbar mit dem Anfang des Industrie-Zeitalters beim Klimaschutz).
Darum sollten wir als Gesellschaft jetzt die vielen Weichen richtig stellen und auch als Einzelpersonen mit unserem Verhalten den Wandel mitlenken. Wie beim Umweltschutz. Auch wenn es uns selbst nicht betreffen wird.
Danke für diesen Vergleich! Der hilft (mir) massiv, die Problematik zu erahnen.
Ich kann sehr viel anfangen mit Ihrem Kommentar ausser mit einem zentralen Aspekt: Dass man Daten- und Umweltschutz der künftigen Generationen willen fördern soll. Das ist sicher richtig, lenkt aber meines Erachtens von der unmittelbaren Bedrohung beider Phänomene ab. Ich befürchte, dass die Leute die Dringlichkeit dieser Herausforderungen nicht erfassen, wenn man das so darstellt, als ob erst unsere Kinder mit den Folgen unseres Handelns in dieser Bereichen zu kämpfen haben.
Die Folgen von Datenmissbrauch sind heute spürbar und prägen unsere Gesellschaft. Nicht nur anhand konkreter Fälle von Diskriminierung, Betrug und Verfolgung, sondern auch häufig unbewusst - auf Gesellschaftsebene. Am deutlichsten in Form von vorauseilendem Gehorsam, im breiteren Rahmen unter «Social Cooling» bekannt. Die Webseite von Tijmen Schep zum Thema kann ich hierzu sehr empfehlen. Er schreibt wie Sie in diesem Zusammenhang von Verschmutzung («The pollution of our social environment is invisible to most people, just like air pollution was at first.»).
Dasselbe gilt für «klassischen» Umweltschutz, wenn auch, zugegeben, heute bereits ausgeprägter spürbar. Das sollte einem nicht nur am Herzen liegen für seine Enkel, sondern unmittelbar für sich selbst. Selbst als Bürgerin eines reichen Landes. Naomi Klein hat das in einem Essay für die Zeitschrift Blätter treffend herausgearbeitet. Spätestens mit den Feuern in Kalifornien und den Überschwemmungen in Deutschland des letzten Sommers sollte jedem klar sein, dass die Folgen der Klimakrise nicht mehr nur nur einige Inselstaaten unmittelbar betreffen:
Selbst in den Vereinigten Staaten, die auf der Gründungslüge der Frontier errichtet worden sind, kann die Klimakrise nicht länger auf irgendeinen weit entfernten Ort oder eine ferne Zeit in der Zukunft abgewälzt werden. Das „Draußen“ existiert jetzt nicht mehr – sei es räumlich oder zeitlich.
Ich möchte Ihren Kommentar damit nicht abwerten, ich finde Ihren Aufruf zur Empathie absolut wertvoll. Aber ich möchte auch unterstreichen, dass es sich bei Umwelt- und Datenschutz nicht mehr um Projektionen in die Zukunft handelt, sondern um Realitäten des Jetzt. Wir sollten uns für Umwelt- und Datenschutz nicht nur unserer Kinder wegen einsetzen, sondern auch unseretwegen.
Tolle Arbeit! Ich bin so froh, dass ihr solche Sicherheitslücken journalistisch aufarbeitet.
Nach wie vor fehlt in der Gesellschaft viel Verständnis für die Auswirkung solcher Lücken.
Ihr leistet einen wertvollen Beitrag zur Aufklärung!
Schon wieder... Danke für das beharrliche Recherchieren.
Und die Postfinance merkt nicht einmal diesen im Prinzip trivialen Angriff mit einfachsten Mitteln.
Wie schludrig Postfinance im Allgemeinen mit Privacy umgeht, zeigt folgende Beobachtung:
Beim Aufruf von www.postfinance.ch wird sofort ein Drittserver von Google involviert (Tagmanager)
Im Cookie-Dialog (der so gestaltet ist, dass das Ablehnen komplizierter und z.B. für Menschen mit Rot-Grün-Sehschwäche intransparent ist) kann man zwar Analysecookies und Marketingcookies ablehnen, aber...
...der Gogle-Tagmanager wird dennoch auf jeder Seite kontaktiert, was bei Google Spuren hinterlässt, und
...Überraschung! Auf Seiten wie zum Beispiel "Kredite" oder "Hypovergleich" werden frisch-fröhlich folgende Server kontaktiert:
googletagmanager.com
facebook.com
connect.facebook.net
google-analytics.com
Übrigens: Nach Österreich ist jetzt auch in Frankreich der Einsatz von Google Analytics illegal.
Korrektur zum ansich sehr stimmigem Artikel:
Ob alle Bankkundinnen bald nur noch mit Smartphone und QR-Code zahlen werden, ist allerdings fraglich. Es werden wohl noch viele Nutzer weiterhin via Desktop und Notebook die Rechnungen einzahlen und diese manuell eintippen, inklusive Automatisierungsservice.
Um den QR-Code nutzen zu können braucht es kein Smartphone. Tatsächlich würde ich Bankgeschäfte nie mit dem Smartphone machen. Aber mein Laptop verfügt über eine Kamera (eigentlich sogar 2, ich benutze die hintere dafür) und das E-Banking meiner Bank bietet ganz regulär auf der Webseite die Möglichkeit, die Kamera des genutzten Gerätes für das Einscannen des QR-Codes zu benutzen.
Die hintere Kamera hat dabei für mich den Vorteil, dass ich live auf dem Bild, das ich damit nicht verdecke, sehen kann, ob ich das Quadrat richtig halte und wie ich es verschieben muss. Natürlich hat nicht jeder eine Kamera, aber in Zeiten von Homeoffice haben auch Desktops vermehrt Kameras auf dem Bildschirm sitzen.
Ich hoffe wirklich, dass das System, an das Postkonto der Bank des Zahlungsempfängers zu überweisen, also immer eine Drittbank im Transfer zu haben, so schnell wie möglich verschwindet. Ich benutze schon seit sicher 25 Jahren die Möglichkeit, direkt zum Zielkonto zu überweisen. Das ging bei den meisten Banken schon immer, wenn man Clearing-Code und Kontonummer wusste (die heute Teil der IBAN sind). Die wenigsten Menschen kannten den aber und wollten mir immer einen Einzahlungsschein andrehen (mit dem Postkonto der eigenen Bank drauf) ;-)
Tatsächlich würde ich Bankgeschäfte nie mit dem Smartphone machen.
Sehe ich genau gleich. Wer wissen möchte wieso, sei die Erklärung von Sicherheitsforscher Mike Kuketz empfohlen. In Kürze:
Sicherheitslücken werden nur bei neueren Smartphone-Modellen vom Hersteller geschlossen.
Abgeschwächte Zwei-Faktor-Authentifizierung: Banking-App und TAN-App sind auf demselben Gerät.
Tracking innerhalb der Banking-Apps: Neben dem Datenabfluss auch ein Sicherheitsrisiko durch mehr Drittsoftware.
Sicherheitsprobleme der Banking-Apps an sich: Zu oft werden Bequemlichkeitsfeatures über Sicherheitsaspekte gesetzt.
Danke dafür. Alleine (2) ist für mich ein Ausschlusskriterium, und (1) wird in jeder Firma dadurch gelöst, dass n-2 zugelassen wird, und damit ältere Geräte gar kein Zugriff bekommen. n=aktuell verfügbare neueste Software (n=Android 12, Android 10 und älter wird ausgeschlossen)
Ich mag mich erinnern, dass es zu Beginn im Postfinance E-Finance, möglicherweise auch, als es noch unter dem Namen Yellownet lief, eine Suchmaske gab, in der man nach Eingabe von Name und Wohnort nach Kontonummern suchen konnte. Diese ist dann irgendwann verschwunden.
Das muss muss vor ungefähr 16 Jahren aufgehört haben, wie folgende Diskussion zeigt:
https://ch.talk.narkive.com/Kq27LXE…eichnis-wo
Wie im Artikel auch angetönt, war diese Information im Prinzip schon immer öffentlich wie eine Telephonnummer im Festnetz. Dass es überhaupt ein opt-out geben soll, war mir neu.
Dass dieses Verzeichnis aber auch maschinelle Massenabfragen zugelassen hat, das ist kritisch. Damit kann man über kurze Zeit sehr gute Informationen über viele Menschen bekommen (Name, aktuelle Adresse, aktuelle Konti).
Die Illustration, grossartig!
Ich sehe da kein Problem. Dieser Service nützt mir etwas, ich sehe, ob ich die richtige Kontonummer eingetippt habe. Dann weiss halt jemand, dass ich ein Postkonto habe. Man kann ja auch nachschauen, ob ich ein Telefon habe.
Da finde ich die automatische Stimmenaufzeichnung, wo ich bei jedem Anruf zuerst ein Opt-out machen muss, schlimmer.
Tatsächlich ist das mit dem Telefonverzeichnis ähnlich übel wie auch die Verzeichnisse der Schilder an Autos - auch das gibt es. Da im Regelfall Mobilnummern dort aber nicht (automatisch) aufgelistet werden stirbt das sowieso langsam aus bzw wird zu einem Firmenverzeichnis. Damit kann ich dann gut leben. Tatsächlich musste man der PTT begründen, warum man dort nicht verzeichnet sein möchte und es war nicht ganz einfach, das genehmigt zu bekommen. Als das nur in Papierform vorlag, was das zwar grenzwertig, aber in Zusammenhang mit der Adresse schon kritisch. Das dies heute einfach automatisiert abgerufen werden kann öffnet Kriminellen eigentlich Tür und Tor.
Wenn ich möchte, dass mich jemand anrufen soll, dann gebe ich ihm meine Nummer. Und wenn er mich besuchen soll, gebe ich ihm meine Adresse. Das alles muss niemand von Privatpersonen ohne deren Wissen abrufen können.
Nachtrag:
Dieser Service nützt mir etwas, ich sehe, ob ich die richtige Kontonummer eingetippt habe.
Vor falschen Kontonummern (Schreibfehler, Zifferndreher) schützt die Prüfziffer. Warum nicht die Kontonummer genauso sorgfältig prüfen wie den Betrag der Überweisung?
Das Problem ist, dass bereits die Information "Ivo Lindner hat ein Konto bei der PostFinance" durch das Bankkundengeheimnis geschützt ist, die PostFinance das daher eigentlich gar nicht preisgeben darf. Sie lässt sich dann zwar in den AGB in einem Nebensatz davon befreien aber ich frage mich, ob das effektiv zulässig ist.
Die Kontonummer selber enthält eine Prüfziffer, schlichte Tippfehler werden damit automatisch erkennt. Und wenn die Kontonummer schlicht nicht zum Empfänger passt (anderer Name, andere Adresse), könnte ja schlicht dasselbe passieren wie bei anderen Finanzinstituten: Die Zahlung wird nicht ausgeführt, Kunde wird (via e-Finance) informiert und muss korrigieren.
Ich sehe das Problem an einem anderen Ort. Für mich ist es nicht ersichtlich, weshalb die Information, DASS man ein Konto bei einem bestimmten Anbieter hat, schützenswert sein soll. Solange der Kontostand nicht ersichtlich, ist das für mich keine sensible Information.
Sensibel kann sie sein für ausländische Steuerhinterzieher. Und weshalb wir ausländische Steuerhinterziehung schützen, das wissen wir ja. Weil wir unsere international anerkannte Stellung als finanzieller Schurkenstaat behalten wollen.
Mit der EU gibt es ein Datenaustauschprogramm. Das heisst: Die Daten von ausländischen (also: im Ausland domizilierten und damit dort steuerpflichtigen Kunden) werden an die jeweilige Steuerbehörde übermittelt. Umgekehrt übrigens auch.
Das berühmte Bankgeheimnis gilt also nur (noch) für Inländer.
Doch, ich finde, dass auch die Bankbeziehung eine schützenswerte Information darstellt. Phishing und sonstige kriminelle Aktivitäten zeigen, dass das problematisch ist: Der Angreifer könnte per Email auf eine Fake-Webseite locken, die zufällig genau der Webseite Ihrer Bank entspricht - weil er eben weiss, dass das Ihre Bank ist. Danach Ihre Zugangsdaten zu erlangen ist vergleichsweise einfach (und sei es nur, dass er im Hintergrund direkt 1:1 mit der tatsächlichen Bank kommuniziert. Alles keine Fantasie, sondern real.
Sie haben recht, das Bankgeheimnis ermöglicht nur noch unseren eigenen Steuerbetrug. Schlimm - und dumm- genug.
Zu Ihrem Szenario: das ist real, mehrfach erprobt, und funktioniert nicht mehr. Mit der Drittidentifizierung via SMS-Code oder PhotoTan nützen die entlockten Zugangsdaten nichts. Da braucht's schon mehr kriminelle Energie, oder kriminelle Dummheit bei den Usern.
Der Kampf gegen Transparenz und für das Bankgeheimnis liegt aktuell etwas quer in der Landschaft. Ich hätte jetzt erwartet, dass der Kontostand ausgelesen werden könne.
Ich verstehe die Aufregung auch nicht ganz. Wie jemand weiter oben schreibt, konnte man das Postkontoverzeichnis bis vor ein paar Jahren ganz offiziell durchsuchen. Solange keine Mailadressen, Telefonnummern oder Kontostände eingesehen werden können, bin ich nicht schockiert. Im Gegenteil, ich würde mir eher die Suchfunktion zurück wünschen. Dadurch kann mir ja niemand mein Geld klauen.
Naja, die Gefahr liegt auch bei der Zusammenführung von Datensätzen. Die Kontodaten hätten auch mit weiteren Datensätzen (z.B. Facebook-Leak mit 1.3 Mio. Schweizer Mobiltelefonnummern) aggregiert werden können, um so gezielte Phishing-Angriffe auszuführen. Ebenso wird Identitätsdiebstahl begünstigt.
Ebenso könnten Korruptionszusammenhänge fingiert werden. Eine Person im Beschaffungswesen, z. B. bei ArmaSuisse, erhält eine Zahlung auf das private Konto. Die Zahlung kommt von dem Konto einer Briefkastenfirma. Wie kann die betroffene Person nun beweisen, dass sie nicht bestechlich ist?
Ich wusste das nicht mit dem öffentlichen Verzeichnis - und bin umso mehr jetzt froh, die Post als Bankdienstleister nie ernsthaft in Betracht gezogen zu haben.
Ich interpretiere das als Ironie. Hoffentlich.
Immerhin: Die Postfinance hat schnell auf den Hinweis reagiert
Im gegenteil! Sie brauchten mehr als 3 Wochen um die Massenabfragen zu deaktivieren.
Dass zeigt für mich nehr als Alles andere wie wenig sie sich um die Sicherheit ihrer Kundendaten scheren.
Es währe ein einfaches gewesen, noch am gleichen Tag der Meldung, den Automatisierungsservice zu deaktivieren, bis ein Fix für die Massenabfragen gefunden wurde.
Toller Artikel! Was mich jedoch stutzig macht, da ja die Postfinance beim Thema Datenschutz offensichtlich Nachholbedarf hat:
Weshalb nutzt die Project R Genossenschaft denn aktuell diese "Bank" und wechselt nicht auf einen besseren Player, wie z.B. die Alternative Bank Schweiz?
Das wäre aus meiner Sicht nichts als konsequent (mir ist aber natürlich auch klar, dass ein Bankwechsel immer mit viel Aufwand verbunden ist). Der sich aber lohnen kann...
- Mitglied werden
- Angebote
- Gutschein einlösen
- Anmelden
Republik AG
Sihlhallenstrasse 1
8004 Zürich
Schweiz