Aktuell | Handel und Zahlungsverkehr | c't

Bedenkliches Sicherheitsversprechen der Sparkassen

Der Deutsche Sparkassen- und Giroverband will seinen Kunden mit „S-Protect“ künftig einen gehärteten Browser speziell für das Onlinebanking anbieten. Anbieter und Sparkassen werben mit Sicherheit selbst auf kompromittierten Systemen – eine fragwürdige Aussage.

Der spezielle Browser S-Protect soll beim Onlinebanking der Sparkassen zusätzlichen Schutz bieten – Zweifel an dem Versprechen sind allerdings angebracht.

Bild: Sparkasse am Niederrhein

Kunden deutscher Sparkassen sollen ihre Bankgeschäfte künftig flächendeckend mit einem speziellen Banking-Browser sicher abwickeln können. Das Programm namens S-Protect, das bereits 150 Kreditinstitute auch unter anderen Namen (etwa „VR-Protect“) anbieten sollen, ist eine angepasste Version des „Protect“-Browsers der Kieler Firma Coronic. Dieser arbeitet auf Basis von Googles Chrome-Blink-Engine. Einzelne Sparkassen haben ihn bereits in Eigenregie im Einsatz; nachdem nun der Sparkassenverband ein eigenes Pilotprojekt bei der Sparkasse am Niederrhein abgeschlossen hat, will er ihn zukünftig flächendeckend anbieten.

Kernstück des Sicherheitskonzepts von S-Protect ist eine Whitelist zulässiger Sparkassen-URLs. So soll der Browser falsche Seitenaufrufe nach Vertippern und Phishing-Links blockieren. Auch alle anderen Websites außerhalb des Sparkassen-Kosmos bleiben gesperrt – Nutzer können den Browser ausschließlich für das Onlinebanking verwenden. Außerdem soll S-Protect die Sicherheitszertifikate gesondert prüfen sowie Spionage durch Malware verhindern können, indem er etwa Screenshots unterbindet. Daneben bietet er einige Komfortfunktionen; so soll er auch ohne Installation laufen, Passwörter speichern und die obligatorische Zwei-Faktor-Authentifizierung vereinfachen.

Die Sparkasse am Niederrhein wirbt damit, dass S-Protect „sogar auf infizierten Computern sichereres [sic!] Online-Banking ermöglicht“ – eine aus IT-Sicht heikle Behauptung, die Coronic mit einem glatten „sicher“ sogar noch toppt. Die Sparkasse empfiehlt für infizierte Systeme immerhin eine „umgehende Bereinigung“. Laut dem IT-Blogger Günter Born, der S-Protect genauer untersucht haben will, soll das Programm anfällig für DLL-Hijacking sein – was wir bei c’t reproduzieren konnten. Das bedeutet, dass die Software beliebige DLL-Bibliotheken lädt, wenn sich diese etwa im gleichen Verzeichnis wie die ausführbare Datei befinden. Ob und inwieweit Coronic und die Sparkassen den proprietären Code des Browsers einem unabhängigen Security-Audit unterzogen haben, können wir ihren Homepages zudem nicht entnehmen – c’t wird dranbleiben. (mon@ct.de)

Update vom 27. Mai 2022

Der Hersteller der Software hat nach Redaktionsschluss mitgeteilt, dass die Lücke, die DLL-Hijacking ermöglicht hatte, mittlerweile geschlossen sei. Wir konnten das verifizieren.

Verbraucherschützer wollen Bargeld erhalten

Der Verbraucherschutzverband stellt sich nicht gegen digitale Zahlungen, fordert aber eine Strategie, um Bargeld im Zahlungsmix zu halten.

Der Bundesverband der Verbraucherzentralen (vzbv) setzt sich in einem Forderungspapier betont gegen die Abschaffung des Bargeldes und für eine verbraucherfreundliche Gestaltung des elektronischen Zahlungsverkehrs ein. Damit will der vzbv einen Beitrag zur Überarbeitung der zweiten europäischen Zahlungsdiensterichtlinie (PSD2) sowie der EU-Strategie für den Massenzahlungsverkehr liefern. Der Verband kritisiert eine Reihe von Mängeln und fordert unter anderem mehr Vielfalt insbesondere im Kreditkarten-, aber auch Wallet-Markt; außerdem will er europäische Zahlungsdienste fördern. Der zusätzliche Wettbewerb solle die Abhängigkeit von außereuropäischen Dienstleistern wie Visa, Mastercard und PayPal verringern und zugleich für niedrigere Händlerentgelte sorgen. Neben Forderungen zu Sicherheit, Haftung sowie einem verbraucherfreundlichen digitalen Euro setzt sich der vzbv auch dafür ein, Bargeld als universelles, anonymes und inklusives Zahlungsmittel zukunftsfest zu machen.

Grundlage des Papiers ist eine detaillierte Studie des ibi-Instituts, das der Universität Regensburg angeschlossen ist. Die Forscher hatten darin umfangreiche repräsentative Befragungen von Verbrauchern zu deren Wünschen und Bedürfnissen ausgewertet. (mon@ct.de)

Neue Vorschriften für Preisanzeigen

Ab dem 28. Mai 2022 treten EU-weit neue Pflichten zur korrekten Angabe von Preisen in Kraft. Die angepasste EU-Verbraucherschutzrichtlinie und die daraus abgeleitete deutsche Preisangabenverordnung (PAngV) gelten auch für Onlinehändler. Die wichtigste Änderung betrifft die Angabe von Preisnachlässen respektive Sonderangeboten. Diese müssen im Endkundengeschäft zukünftig in vielen Fällen auf den niedrigsten Gesamtpreis der letzten 30 Kalendertage referenzieren – das soll insbesondere kurzzeitige Preisanhebungen kurz vor Rabattaktionen wie dem „Cyber Monday“ verhindern. Für UVP gilt die Verordnung allerdings nicht. Überdies haben Händler den Grundpreis, also den Preis je Mengeneinheit einer Ware, „unmissverständlich, klar erkennbar und gut lesbar“ anzugeben und auf die Werte Kilogramm, Liter oder Quadratmeter zu beziehen. Damit will die EU Verbrauchern Preisvergleiche erleichtern und so mehr Markttransparenz schaffen. (mon@ct.de)