37414
Goto Top

Homebanking über Virtual Box auch sicher gegen Keylogger?

Hallo,

ich möchte mein Homebanking in Zukunft über einen virtuellen Computer in Virtual Box realisieren.
Dazu habe ich mir im Moment die "Virtual Box" heruntergeladen und installiert, sowie den "Webconverger" für das eigentliche Banking.

Nun las ich, dass - wenn ich mit dem "Webconverger" auf einem virtuellen Computer arbeite, die Gefahr besteht, dass ein Keylogger, der im Gastbetriebssystem läuft, Daten mitschneidet. Beim Betrieb vom Live-System per CD oder USB könne das nicht passieren.

Ich habe jedoch wenig Lust, mit der Bildschirmtastatur zu arbeiten und deshalb würde ich gerne wissen, wie ich so ein "Live-System per CD" oder USB erstellen kann, auf dem dann wohl die "Virtual Box" läuft inklusive dem "Webconverger"... sodass ich dann absolut sicher bin gegen Trojaner, Pishing und Keylogger und was sonst noch für Grobzeug im Internet herum fliegt. face-wink

Da ich ausschließlich Homebanking mit dem System machen will, brauche ich darauf auch kein Emailprogramm oder sonstige Programme. Im Grunde reicht ein Browser für den Internetzugang und gut iss.

Wer kann mir Tipps geben?
Es können natürlich auch andere Programme sein (also außer VB und Webconverger).

Danke und Gruß,
imebro

Content-Key: 386250

Url: https://administrator.de/contentid/386250

Printed on: April 24, 2024 at 08:04 o'clock

Member: xondra
xondra Sep 12, 2018 at 12:42:36 (UTC)
Goto Top
Wieso verwendest du nicht ein LIVE-OS-Stick außerhalb der virtuellen Maschine ausschließlich für Homebanking?
Member: Vision2015
Vision2015 Sep 12, 2018 at 12:44:25 (UTC)
Goto Top
moin...

also der sinn eines Live-System über CD ist es doch, das es schreibgeschützt ist!
als VM / USB ist das nicht gegeben!

sodass ich dann absolut sicher bin gegen Trojaner, Pishing und Keylogger und was sonst noch für Grobzeug im Internet herum fliegt.
da gibbet keine absolute sicherheit!

Frank
Member: ashnod
ashnod Sep 12, 2018 at 12:46:44 (UTC)
Goto Top
Moin ...

absolute Sicherheit gibt es ohnehin nicht .... wie wäre es mit schnödem HBCI-Verfahren?

U2FuZnRlIEdyw7zDn2Ug4oCTIHdhcyBzaW5kIElocmUgRXh0cmVtZT8=
Member: sabines
sabines Sep 12, 2018 at 12:51:33 (UTC)
Goto Top
Zitat von @Vision2015:
also der sinn eines Live-System über CD ist es doch, das es schreibgeschützt ist!
als VM / USB ist das nicht gegeben!


Moin,

mit Knoppix o.ä. auf einem USB Stick als angepasste Installation, mit Lesezeichen mit den richtigen Banken und im privaten Modus, kann schon der größte Teil der Gefahren abgewendet werden. Das ist schon mal sicherer als ein Windows PC mit dem als Admin angemeldeten Homeuser face-wink

Gruss
Mitglied: 37414
37414 Sep 12, 2018 at 13:30:56 (UTC)
Goto Top
Vielen Dank für die schnellen Antworten.

Vielleicht habe ich es auch blöde ausgedrückt.
Ich hatte auf meinem Laptop die "Virtual Box" installiert und dort hinein dann als virtuellen Computer quasi das Programm "Webconverger".
Damit wollte ich dann das Onlinebanking realisieren.

Heute las ich jedoch den Text, dass mit dieser Konstellation die Gefahr von Keyloggern besteht, der sich im Gastbetriebssystem befinden könnte.
Das hat mich von dieser Lösung abgebracht und eben auf die Lösung mit einem Live-System per CD oder USB gebracht.

Zur Info:
Bisher nutze ich den "CHIP Banking Browser", der quasi auch eine eigene Umgebung erstellt. Aber das läuft eben auch auf dem Laptop. Ist ganz bestimmt sicherer als einfach den normalen Browser zu öffnen, aber auch nicht so richtig sicher.

LG
imebro
Member: it-frosch
it-frosch Sep 12, 2018 updated at 13:52:05 (UTC)
Goto Top
Hallo imebro,

jameica + hibiscus + plugins für diverse Banken wäre eine gute Alternative.
Läuft unter Windows, MacOS und Linux und unterstützt auch viele Tagesgeldkonten und Kreditkarten.
Arbeitet nach dem HBCI Standard.

Man muss sich aber etwas einarbeiten.

Ich kenne nichts besseres.

grüße vom it-frosch
Mitglied: 37414
37414 Sep 12, 2018 at 14:02:26 (UTC)
Goto Top
Danke für den guten Tipp!!

Habe gerade das hier gefunden: Porteus
Klingt interessant, aber die Seite ist leider auf englisch face-sad
Vor allem die Kiosk-Version könnte hier interessant sein.

Vielleicht mag sich das ja mal jemand von Euch anschauen.

LG
imebro
Member: Vision2015
Vision2015 Sep 12, 2018 at 15:02:12 (UTC)
Goto Top
Moin...
Zitat von @37414:

Danke für den guten Tipp!!

Habe gerade das hier gefunden: Porteus
Klingt interessant, aber die Seite ist leider auf englisch face-sad
was ist daran so schlimm?
Vor allem die Kiosk-Version könnte hier interessant sein.
teste es doch einfach mal face-smile

Vielleicht mag sich das ja mal jemand von Euch anschauen.
wiso wir?, du möchtest das doch nutzen!

LG
imebro
Frank
Member: kgborn
kgborn Sep 12, 2018 at 16:11:44 (UTC)
Goto Top
Zum Ansatz 'irgendwas mit Virtualisierung': Da scheiterst Du daran, dass der Host kompromittiert sein kann und die Tastatureingabe abfängt.

Zur Absicherung der Transaktionen ließe sich, neben dem bereits erwähnten HBCI auch das Chip-TAN-Verfahren mit entsprechendem Generator einsetzen. Die über den Flickercode vom separaten Generator erzeugte TAN ist nur für die angezeigte Transaktion gültig - Zielkonto und Betrag lassen sich im separaten Generator prüfen. Mir ist bisher kein Ansatz bekannt, dass diese Transaktionsabsicherung (die zusätzlich eine EC-Karte gebunden ist) geknackt worden wäre.

Zu Porteus: Du wirst schlicht ausprobieren müssen. Der Knackpunkt bei den Linux-Geschichten ist immer: Wird die Hardware unterstützt. Und wenn es etwas komfortabel werden soll, würde ich statt eines Live-Systems eine persistente Linux-Installation auf einem USB-Stick bevorzugen.
Mitglied: 37414
37414 Sep 12, 2018 updated at 16:29:44 (UTC)
Goto Top
Ja, das mit dem abfangen der Tastatureingabe hatte ich ja auch schon erwähnt. Das würde ich halt schon auch gerne verhindern können.

Klar kann ich das Porteus mal ausprobieren. Habe es schon runtergeladen.
Aber ich verstehe es eben noch nicht so wirklich.

Angenommen ich würde das auf eine CD/DVD brennen und mit dieser dann booten.
Die CD könnte dann aus dem Laufwerk entnommen werden - sie wird für den Betrieb nicht mehr benötigt.
Ich könnte es dann so einstellen, dass sich nach dem Start automatisch der Browser (Firefox) öffnet und beispielsweise meine Bankseite automatisch öffnet (Startseite).

Dann könnte ich meine Bankgeschäfte erledigen... aber mit meiner Laptop-Tastatur.
Und hier wäre schon meine Frage, ob diese Eingaben dann auch abgefangen werden können?

Im Moment nutze ich das Photo-TAN-Verfahren und bin recht zufrieden damit. Das würde ich dann auch über Proteus nutzen.

Beim herunterfahren nach den Bankgeschäften wird der ursprüngliche Zustand des Systems automatisch wiederhergestellt. Es wird also nicht gespeichert... auch kein Browserverlauf!

So würde es also aussehen, wenn ich meine Bankgeschäfte über Proteus erledige.
Meine Frage an Euch wäre nun, wie Ihr das einschätzen würdet von der Sicherheit her?

Und noch eine Frage zum letzten Post. Was ist hiermit gemeint:
...wenn es etwas komfortabel werden soll, würde ich statt eines Live-Systems eine persistente Linux-Installation auf einem USB-Stick bevorzugen.

Ich würde ja genau das Gegenteil bevorzugen. Nämlich ein System, welches NICHT mehr veränderbar ist. USB-Stick fänd ich zwar auch gut, aber da wäre ich unsicher, ob nicht doch ein Zugriff möglich wäre. CD/DVD (nicht beschreibbar und veränderbar) wäre doch dann die bessere Lösung... Aber überzeugt mich gerne vom Gegenteil face-smile

Danke und Gruß,
imebro
Member: kgborn
kgborn Sep 12, 2018 at 16:43:01 (UTC)
Goto Top
Zitat von @37414:

Ja, das mit dem abfangen der Tastatureingabe hatte ich ja auch schon erwähnt. Das würde ich halt schon auch gerne verhindern können.

Klar kann ich das Porteus mal ausprobieren. Habe es schon runtergeladen.
Aber ich verstehe es eben noch nicht so wirklich.

Angenommen ich würde das auf eine CD/DVD brennen und mit dieser dann booten.
Die CD könnte dann aus dem Laufwerk entnommen werden - sie wird für den Betrieb nicht mehr benötigt.
Ich könnte es dann so einstellen, dass sich nach dem Start automatisch der Browser (Firefox) öffnet und beispielsweise meine Bankseite automatisch öffnet (Startseite).



Dein Problem: Das Live-System ist wirklich live - Du bootest von CD/DVD oder USB-Stick - und das System lädt in den RAM. Ob Du das Medium nach dem Booten entnehmen kannst, musst Du testen (imho geht das nicht, da immer wieder auf das Medium zum Nachladen zurückgegriffen wird).

Deine Vorstellung, da irgend etwas einzurichten, geht so nicht. Nach jedem Booten musst Du

a) den Benutzer einrichten
b) die WLAN-Zugangsdaten eintragen
c) ggf. weitere Sachen erledigen lassen


Dann könnte ich meine Bankgeschäfte erledigen... aber mit meiner Laptop-Tastatur.
Und hier wäre schon meine Frage, ob diese Eingaben dann auch abgefangen werden können?
Solange kein Keylogger in der Firmware des Notebooks oder im UEFI eingespeist ist, sollte nichts abgefangen werden ...

Im Moment nutze ich das Photo-TAN-Verfahren und bin recht zufrieden damit. Das würde ich dann auch über Proteus nutzen.

Beim herunterfahren nach den Bankgeschäften wird der ursprüngliche Zustand des Systems automatisch wiederhergestellt. Es wird also nicht gespeichert... auch kein Browserverlauf!

So würde es also aussehen, wenn ich meine Bankgeschäfte über Proteus erledige.
Meine Frage an Euch wäre nun, wie Ihr das einschätzen würdet von der Sicherheit her?
Ist die sicherste - aber auch unkomfortabelste Variante - imho.

Und noch eine Frage zum letzten Post. Was ist hiermit gemeint:
> ...wenn es etwas komfortabel werden soll, würde ich statt eines Live-Systems eine persistente Linux-Installation auf einem USB-Stick bevorzugen.
> 

Ich würde ja genau das Gegenteil bevorzugen. Nämlich ein System, welches NICHT mehr veränderbar ist. USB-Stick fänd ich zwar auch gut, aber da wäre ich unsicher, ob nicht doch ein Zugriff möglich wäre. CD/DVD (nicht beschreibbar und veränderbar) wäre doch dann die bessere Lösung... Aber überzeugt mich gerne vom Gegenteil face-smile

Eine persistente Linux-Installation auf einem USB-Stick umgeht dies. Dort wird quasi Linux auf zwei Partitionen des USB-Mediums installiert. Konfigurationsänderungen bleiben nach dem Herunterfahren erhalten. Dann kann man aber auch ein Linux Mint nehmen. Muss mal schauen, plane schon länger einen solchen Artikel für meinen Blog. Die Lösung 'zu Fuß' habe ich vor langer Zeit mal im Beitrag Android x86 auf einer SD-Karte installieren skizziert. Man kann auch PenDriveLinux verwenden (obwohl das Programm sicherheitstechnisch unter Windows der GAU ist) - wenn die gewählte Distribution das unterstützt (bei Mint geht es).

PS: Und überzeugen muss hier niemand. Du fragst, bekommst verschiedene Antworten und triffst Deine Entscheidung - die kann dir niemand abnehmen.
Member: it-frosch
it-frosch Sep 12, 2018 at 17:57:30 (UTC)
Goto Top
Hallo imebro,

hibiscus unterstützt Photo-TAN, Chip-TAN und Flicker TAN neben iTAN.
Das sollte sicher genug sein.face-wink

grüße vom it-frosch
Mitglied: 37414
37414 Sep 13, 2018 at 07:30:42 (UTC)
Goto Top
Danke Euch für die Tipps.

Habe gestern Proteus auf eine DVD gebrannt (ISO-Datei) und danach das Laptop neu gestartet.
Ich kam zwar zur Startseite von Proteus, aber dann passierte nichts mehr. Der Bildschirm war quasi eingefroren...
Habe das Ganze dann nochmal probiert mit dem gleichen Ergebnis.
Daher kann ich noch keine weiteren Infos geben. Vielleicht muss ich es nochmal neu brennen mit einem anderen Brennprogramm... keine Ahnung face-sad

In Bezug auf "Hibiscus" würde ich gerne wisse, ob es eine Lösung wäre, dieses in eine Virtuelle Maschine zu installieren (z.B. Virtuell Box)?
Und... wie würdet Ihr das Programm "CHIP Banking Browser" einschätzen? Kennt das Jemand?

Habe jetzt verstanden, dass es offenbar nicht so einfach (oder fast unmöglich) ist, ein komplett sicheres System fürs Onlinebanking zu erstellen. Aber wichtig ist mir, nochmal zu sagen, dass ich etwas erstellen möchte, womit ich NUR das Onlinebanking mache... keine anderen Surfgeschichten, kein Email, keine anderen Anwendungen... nix sonst!! Und dafür suche ich eine möglichst sichere Lösung.

Danke und schöne Grüße,
imebro
Member: it-frosch
it-frosch Sep 13, 2018 at 08:23:45 (UTC)
Goto Top
Hallo imebro,

In Bezug auf "Hibiscus" würde ich gerne wisse, ob es eine Lösung wäre, dieses in eine Virtuelle Maschine zu installieren (z.B.
Virtuell Box)?
Du kannst dir in der VirtualBox Linux und dann dort Jameica + Hibiscus installieren.
Dann brauchst du nicht mal eine Windows Lizenz.
Ich arbeite auf Linux und nutze das Bankingprogramm jetzt schon 6 Jahre über 3 Versionen.
Der Entwickler sitzt in Leipzig und ist sehr aktiv.
Hier ist der Link zum Forum.

Lese dich da mal ein. Solltest du Fragen haben, kannst du mich auch gern anschreiben.
Ich nutze das Programm, würd ich sagen, ziemlich intensiv und kenne mich gut drin aus.

Früher habe ich lange Jahre Starmoney genutzt, bis ich auf Linux gewechselt bin und die Starmoney Leute
angefangen haben, ihr Banking Programm zur Eierlegenden Wollmilchsau aufzublasen.

grüße vom it-frosch
Mitglied: 37414
37414 Sep 13, 2018 at 17:21:01 (UTC)
Goto Top
OK und danke "it-frosch".

Würde das hibiscus und jameica gerne mal testen.
Aber... MUSS ich es in die Virtual Box installieren oder KANN ich das tun? face-smile
Ich komme mit dieser Virtual Box irgendwie nicht richtig klar.
Vielleicht habe ich das technisch auch einfach noch nicht so richtig verstanden.

Falls es auch relativ sicher ist, hibiscus und jameica einfach so auf mein Laptop zu installieren, würde ich das vorziehen.

LG
imebro