[PauloG]

Zitat von jottlieb

Router machen aber in sofern sicher, in dem sie quasi alle Ports "dichtmachen", gegen Zugriff von außen.

Bist Du dir da wirklich sicher? Ich würde auf das Marketing-Wischwasch der Hersteller nicht alles geben.
Jottlieb, deine Tipps mögen ja ganz sinnvoll sein, auch die Links, die Du genannt hast. Ich glaube aber, Du siehst das nur von deinem Standpunkt aus und ein wenig zu idealistisch. Nicht jeder ist ein Power-User oder Power-Surfer, wie vielleicht Du.
Das Problem da draussen sind die anderen User. Und die rufen tagtäglich bei uns an(nicht alle, aber genug ) . Die wenigsten wissen wie ihr Browser heisst, noch wollen die wissen, wie der funktioniert. Es kann ja auch nicht ihr Rechner sein, der das Problem macht, nein das kann nur unsere Internetseite sein. Für viele ist es doch schon eine Belastung die Temp-Dateien zu löschen, damit der MSIE wieder funktioniert. Denen muss man erst mal mit Nachdruck erklären, warum das sein muss. Und dann sollen solche User die ganzen Tipps auf den von dir geannnten Seiten nachvollziehen, um nur keine Personal-Firewall zu benutzen?. Das wird nichts. Mir ist lieber, solche Nutzer setzen eine Softwarefirewall ein, als gar nichts. Nicht jeder hat und braucht auch einen Router und zu glauben, dass die Router aus dem Elektrodisounttresen 100%tig dicht sind ist ein bißchen blauäugig.

Gruss
Paulo

[jottlieb]

Zitat von PauloG

Bist Du dir da wirklich sicher? Ich würde auf das Marketing-Wischwasch der Hersteller nicht alles geben.

Da ich keinen Router von irgendeinem "Hersteller" besitze, wiederhole ich keine Marketingtexte.
Router haben nunmal ein bestimmtes funktionsprinzip, auf diesen Nenner kann man den Großteil der Geräte zurückführen.

Ich sage auch niemandem "kauf dir einen Router, damit bist du sicher!".
Ich weise darauf hin, dass selbst Ottonormaluser auf eine Personal Firewall verzichten kann, da sie keinen wirksamen Nutzen hat, dem Nutzer eine nicht vorhandene Sicherheit vortäuscht und ihn zu guterletzt aber dahingehend verunsichert, dass irreführende und fälschliche Meldungen erzeugt werden, als stünde man unter ständigem Angriff böser "Hacker".

Ob man dann trotzdem noch eine teure Ressourcenverschwenderische Firewall nutzen oder lieber unbenötigte Dienste abschalten will (und damit auch schon sehr viel erreicht), ist jedem selber überlassen.

Die Chance, dass sich jemand gezielt in einem Privat-PC "einhackt" ist so gering, dass es auf 0% ansetze. Allein schon durch die 24h Zwangstrennung ist man im Netz eh nicht nachvollziehbar, da man bei jeder Einwahl eine neue IP zugewiesen bekommt.
Aber stattdessen ist die Gefahr ungleich höher, dass man auf irgendwelche Phishingmails oder ähnliches reinfällt und somit seine Kontodaten preisgibt. Wer sich hier auf eine Firewall verlässt ist selber verlassen, da nur eine gesunde Portion Mißtrauen und Vorsicht dafür "schützt".

Mal ehrlich, vor rund drei Jahren hat kein Hahn nach Personal Firewalls gekräht und die PCs gingen alle fast nackt ins Internet. Ist großartig was passiert? Nein. Erst mit dem auftauchen von Würmern und dank des redaktionell gestützen Sponsorings in PC-Zeitschriften haben PFWs ihren Boom erlebt.

Ansonsten:
1. Regelmäßige Backups der wichtigen Daten sind ein A und O
2. Passwörter niemals im PC speichern (anhand der Browserfunktionen)
3. Online-Banking an sich ist dank Verschlüsselung eh relativ sicher
4. Sensible Daten sollte man verschlüsseln

[yaku]

Online-Banking an sich ist dank Verschlüsselung eh relativ sicher

Sagt Dir das dein Bankdirektor?

[PauloG]

Zitat von yaku

Sagt Dir das dein Bankdirektor?

Danke, dass Du das nochmal hervorgehoben hast, Yaku

Ja, mag sein das die 128bit SSL-Verbindung(noch) sicher ist. Es gibt aber auch einige Beispiel, wie der Nutzer ausgetrickst werden kann. Da man die Verbindung nicht einsehen kann, gaukelt man dem User eben vor, dass der mit dem Bank-Server verbunden ist. Im Labor schon vorgeführt, keine Ahnung, ob das in der Praxis schon versucht wurde und obs erfolgreich war.
Was allerdings schon passiert ist: In der Wildbahn hat sich ein Dinggens(Trojaner, Wurm, was weis ich) verbreitet, der explizit drauf geachtet hat, ob Onlinebankling gemacht und ob Tan-Nummern eingegeben werden. Hat der Nutzer dies während einer Onlineüberweisung getan, hat das Dinggens die Tan und natürlich auch die PIN abgefangen und dem Userbrowser den Fehler 404 vorgekaultet(Seite kann nicht gefunden werden, u.a.). PIN/TAN wurden an den Operator des Dinggens übermittelt. Zum Glück hat sich dieses Dinggens nicht so weit verbreitet und es kam auch zu keinem Missbrauch von Daten. Meines Wissens konnten 2 Überweisungsversuche noch durch die Bank(en) gestoppt werden. Das stand auf Heise. Hier hätte kein Router geholfen. Irgendwie ist das Dinggens ja trotz Router auf den Rechner gekommen. Und eine Firewall hätte nur geholfen, wenn der User die Warnhinweise ernst genommen hätte
und für das Programm Dinggens.xyz die Verbindung ins Internet gestoppt hätte.

Gruss
Paulo

[jottlieb]

Zitat von yaku

Sagt Dir das dein Bankdirektor?

SSL-Grundlagen – Häufig gestellte Fragen

Ja, mag sein das die 128bit SSL-Verbindung(noch) sicher ist. Es gibt aber auch einige Beispiel, wie der Nutzer ausgetrickst werden kann. Da man die Verbindung nicht einsehen kann, gaukelt man dem User eben vor, dass der mit dem Bank-Server verbunden ist. Im Labor schon vorgeführt, keine Ahnung, ob das in der Praxis schon versucht wurde und obs erfolgreich war.

Das ist dann aber kein Fehler des SSL.
Sowas was du beschreibst, gibt es schon, nennt sich phishing.
Dort werden Nutzer (meist per E-Mail) aufgefordert doch diese und jene Seite aufzurufen, PIN, Passowort und zwei TANs einzugeben.
Design wird mal mehr, mal weniger gut gefälscht.
Schutz: Niemals Links aus E-Mails öffnen. Immer über die normale Adresse seiner Bank auf die entsprechenden Seiten gehen, ggf. bookmarken.
Andere Möglichkeit wäre einen DNS-Server zu manipulieren. Dann könnte man selbst bei Eingabe der richtigen Adresse auf eine andere Seite "umgleitet" werden, ohne dass man es gemeinhin merkt. Aber das weiter aufzudröseln führt zu weit.

Hier hätte kein Router geholfen.

Wenn man die Datei z.B. per Mail bekommt und einfach öffnet...klar, da hilft keine Firewall der Welt. Auch keine Software Firewall. Warum, das wurde in den Links ausreichend beschrieben. Denn niemand hindert einen Virus, Wurm was auch immer daran, sich z.B. "iexplore.exe" oder sonstwie zu nennen. Sofern die Firewall das überhaupt mitbekommt.

[Basti]

Router machen aber in sofern sicher, in dem sie quasi alle Ports "dichtmachen", gegen Zugriff von außen.

Nein und das ist eben genau der Denkfehler! Du kannst alles verbieten und nur ein paar Ports erlauben oder eben unerwünschte verbieten weil du vorher alles erlaubt hast. Aber ein Router sorgt nicht automatisch für Sicherheit!
Basti

[Sir Donnerbold Duck]

Online-Banking an sich ist dank Verschlüsselung eh relativ sicher

Die Verschlüsselung des Datenverkehrs zwischen User und Bank ist sicherlich knackbar, aber der Austausch der TANs stellt ein sogenanntes One-Time-Pad dar, das praktisch und theoretisch nicht knackbar ist. Das ist mehr als nur relativ sicher - jedenfalls solange bis jemand die unbenutzte TAN abfängt, was durch spoofing (wofür man nicht einen DNS-Server hacken muss) oder phishing möglich wäre. Problem ist also nicht Verschlüsselung, sondern der unvorsichtige Benutzer.

Gruß
Jan

[PauloG]

Zitat von jottlieb

Das ist dann aber kein Fehler des SSL.
Sowas was du beschreibst, gibt es schon, nennt sich phishing.
Dort werden Nutzer (meist per E-Mail) aufgefordert doch diese und jene Seite aufzurufen, PIN, Passowort und zwei TANs einzugeben.
Design wird mal mehr, mal weniger gut gefälscht.
Schutz: Niemals Links aus E-Mails öffnen. Immer über die normale Adresse seiner Bank auf die entsprechenden Seiten gehen, ggf. bookmarken.
Andere Möglichkeit wäre einen DNS-Server zu manipulieren. Dann könnte man selbst bei Eingabe der richtigen Adresse auf eine andere Seite "umgleitet" werden, ohne dass man es gemeinhin merkt. Aber das weiter aufzudröseln führt zu weit.

1. hab ich das nicht behauptet, nur gesagt, man soll sich nicht in falscher Sicherheit wegen SSL wägen, 2. habe ich nicht Phising beschrieben, sondern ein Programm, welches im Hintergrund läuft und auf die Überwachung von OnlineBanking im PIN/TAN Verfahren optimiert ist. Das Dinggens erkennt, dass Onlinebanking durchgeführt wird, liest die PIN und die TAN aus, weil es die Eingabefelder bzw. die Feldbezeichnungen erkennt.
Wenn das Prog Daten abgefangen hat, blockiert es den Zugang zum Onlineserver der Bank, der Nutzer erhält keine Überweisungsbestätigung, sonder nur die Meldung "die Seite kann nicht gefunden werden" zurück. Der Nutzer kann also nicht mehr prüfen, ob die Überweisung erfolgreich angenommen wurde, es sei denn, er ruft bei der Bank an. Wie gesagt, das Dinggens war nicht so weit verbreitet. Und das erste was ich beschrieben habe nennt man man-in-the-middle-attack, glaube ich, also das Zwischenschalten von einem falschen Onlineserver.

einige Info-Links zu solchen Dinggens:
Heise Security
Heise Security 2.
Heise Security 3.
und
heise die 4.

Gruss
Paulo