Ich habe mir ja lange überlegt, ob ich hier längere Ausführungen zum Thema „Schutz“ durch AV-Software schreiben soll, aber ich überlasse das mal den Kollegen von Heise und Google Project Zero:
http://www.heise.de/security/meldung/Vom-Jaeger-zum-Gejagten-Kaspersky-Virenscanner-laesst-sich-leicht-austricksen-2824437.html
http://googleprojectzero.blogspot.de/2015/09/kaspersky-mo-unpackers-mo-problems.html
Und nur, weil das jetzt gerade Kaspersky ist, heisst das nicht, dass es schon morgen $ANDERE_AV_SOFTWARE sein kann (und auch immer mal wieder sein wird).
Mal ganz davon abgesehen, wie soll eine AV-Software vor den -immer wieder erfolgreichen- Typen von Angriffen auf Online-Banking schützen, die nicht die Software in der Kiste, sondern die vor der Kiste (auch als „Hirn des Nutzers“ bekannt) angreift (Stichwort Phishing)?
Ich wiederhole mich mal wieder, AV ist Schlangenöl und der beste Schutz vor Schadsoftware ist und bleibt „Hirn 1.0 oder höher“.
Wenn man denn unbedingt Online-Banking betreiben möchte, dann sollte man Schutzmassnahmen ergreifen, die Nachdenken erfordern und sich nicht auf irgendeine Software verlassen, die -wie sich immer wieder zeigt- erst mal eine riesige, zusätzliche Angriffsfläche im System schafft, bevor sie überhaupt etwas schützen kann, weil man sie ja erst mal installieren muss (und nach der Installation dann oft genug dazu führt, dass der Nutzer meint, „ich bin ja geschützt“ und deshalb postwendend das eigene Hirn abschaltet).
Kleine Tipps, wie solche Massnahmen aussehen können:
-
Browser IMMER aktuell halten (gilt natürlich auch für die restliche Software, die installiert ist, siehe hierzu auch Punkt 5)
-
Ein separates Browserprofil NUR für diesen Zweck nutzen
-
Ggf. eigenen Useraccount NUR für solche „sensitiven“ Aktionen erstellen und dann auch NUR dafür nutzen
-
Im entsprechenden Browserprofil Scripte NUR für die Seiten erlauben, die WIRKLICH zur Funktion der Online-Banking Seite benötigt werden (NoScript für Mozilla-Browser ist da ne gute Idee) um CSS-Attacken zu verhindern, wobei man da sagen muss, wenn man das Profil NUR für Online-Banking nutzt, dann sollte das kein Angriffsvektor sein, da man mit diesem Profile einfach NIE auf anderen Seiten surft.
Und last, but not least, denn es gilt allgemein und nicht nur für diesen Anwendungsfall:
- Software NUR aus vertrauenswürdigen Quellen installieren, genau das ist ja auch die Idee hinter den Paketmanagern, die man unter jeder Linuxdistribution als Standardwerkzeug quasi mitgeliefert bekommt.
Passend zu 5) gilt halt auch „Hirn 1.0 oder höher“ im Sinne von „Nicht auf jeden Mist klicken, der einem als Link per Mail gesendet wird“.
Komischerweise funktionieren ja solche „Social Engineering“-Attacken seit JAHREN immer noch zuverlässig und wenn AV-Software wirklich eine Lösung darstellen würde, dann fragt man sich doch, wieso das immer noch so gut funktioniert, oder?
Greetz,
RM
