Gehärteter Browser & Webclient “S-Protect” für Sparkassen – DSGV schließt Kooperationsvertrag

Gehärtete Browser gibt es schon viele Jahre, sie fristen oft ein Nischendasein. Da aber Angriffe auf klassische Browser deutlich zunehmen, besteht Handlungsbedarf. Den greift der DSGV nun auf: Per Kooperationsvertrag mit Coronic (Kiel) für den gehärteten Webclient S-Protect (Website), den die einzelnen Sparkassen bei Bedarf nun aufgreifen können. Der Browser wurde über die Sparkasse Niederrhein erfolgreich pilotiert.

Sicherheit ist das A und O des Online-Bankings. Wer nicht auf die Sicherheit vertraut, ist auch nicht bereit, Geldgeschäfte über das Internet abzuwickeln, so die Erfahrung. Doch zwischen der klassischen Online-Banking-Lösung (Betriebssystem mit herkömmlichen Browser) und Spezialprogrammen (wie z.B. Starfinanz) besteht ein Bedarf für Bankkunden, die nicht gleich zu einem teuren Produkt greifen, aber dennoch ihre Transaktionen absichern möchten. Diese Lücke schließt seit rund 10 Jahren der von bisher 150 eingesetzten Banken angebotene Browser von Coronic (sowohl bei den Sparkassen, als auch bei Volks- und Raiffeisenbanken). Diese Lücke will nun der DSGV per Kooperationsvertrag zur Einführung des gehärteten Bank-Browsers S-Protect endgültig schließen.

Ansatz der Coronic-Lösung ist der Browser – in diesem Fall müsste man eher von einem Webclient sprechen. Herkömmliche Browser ermöglichen geschickten Internetkriminellen Möglichkeiten für Phishing-Attacken und diverse Hackerangriffe. Der S-Protect-Browser, der nun per Kooperationsvereinbarung möglichst vielen Sparkassen nahegebracht werden soll, biete eine ganze Reihe von Schutzmechanismen. So lasse der Browser beispielsweise:

• nur Aufrufe von bestimmten gespeicherten Webseiten zu (Whitelist-Filterung),
• vergleiche deren SSL-Zertifikate tagesaktuell mit einem Hash-Wert auf Korrektheit,
• überwache das Betriebssystem auf Hooks (Einbindungen von Schadprogrammen und Veränderungen im Betriebssystem – vor allem an HID-Schnittstellen und Drucker-Treibern),
• überschreibe unerlaubte Veränderungen in Betriebssystemen mit den Originaldateien (bei aktuellem Apple-OS sowie in Windows 10 und 11, XP wird hingegen nicht mehr unterstützt),
• überwache die SSL-Kommunikation auf unerlaubte Veränderungen,
• verhindere Screenscraping,
• und ermögliche per Bildschirmeingabe mögliche Tastaturlogger zu umgehen.

Zudem verteidige sich der Browser beispielsweise, indem er ein virtuelles Rauschen auf das Tastatur-Interface schicke, eine eigenen Netzwerkschicht verwende oder zum Beispiel (auf dem Mac) das Debugging verhindere. Die Liste der Maßnahmen ist erstaunlich lang und erfordere zum Teil Whitelist-Einträge bei Herstellern von Antiviren-Software. Auch darum kümmere sich Hersteller Coronic aber selbsttätig.

Das alles helfe, dass im schlimmsten Fall – selbst auf einem kompromittierten System – die Transaktion noch korrekt durchgeführt werden könnte.

Der S-Protect Browser stärkt das Vertrauen unserer Kunden in das Online-Banking.“

Martin Stein, IT-Stratege des Deutschen Sparkassen- und Giroverbandes

Allerdings müssen die Nutzer dafür tatsächlich über den S-Protect Browser ins Netz gehen, um das Online-Banking abzuwickeln. Sonst nützt auch die beste Schutzmaßnahme nichts.

Es ist wie beim Sicherheitsgurt im Auto. Nur wer den Gurt auch anlegt, verhindert bei einem Crash schwerwiegende Verletzungen. Doch auch beim Sicherheitsgurt hat sich gezeigt, dass eine zunächst lästig scheinende Aktivität wie das Anschnallen mit der Zeit zur unbewusst ausgeführten Sicherheits-Routine werden kann – und genau auf diesen Gewöhnungseffekt setzen wir auch beim S-Protect Browser.“

Frank Bock, geschäftsführender Gesellschafter Coronic

Die Funktionsweise des sogenannten gehärteten Browsers ist im Prinzip ganz einfach: S-Protect verfügt über eine Whitelist, in der alle zur Sparkassengruppe gehörenden Internetseiten verzeichnet sind. Diese lassen sich eindeutig anhand ihrer Sicherheitszertifikate erkennen. Der Browser prüft beim Surfen die Echtheit dieser Zertifikate und verhindert dadurch, dass der Sparkassenkunde überhaupt auf eine manipulierte oder gefährliche Internetseite kommt. Bankgeschäft tätigt er somit nur in einer Art geschütztem Raum.

Ab sofort stünde das neue Sicherheitsprodukt allen interessierten Sparkassen zur Verfügung. Unterlagen zur Produkteinführung und Vertragsgestaltung stünden den Sparkassen im DSGV-Umsetzungsbaukasten bereit. Wer sich vorab für die Arbeitsweise des Browsers interessiere oder ihn selber testen möchte, kann dies jederzeit auf der Homepage der Pilotsparkasse machen: www.sparkasse-am-niederrhein.de/protect . Weitere Infos der Herstellerfirma gibt es hier.aj