Digitale Zertifikate werden genutzt, um Verbindungen zu verschlüsseln und dem Anwender Sicherheit zu geben, mit der korrekten Webseite verbunden zu sein. Da sie auch von betrügerischen Webseiten verwendet werden, gilt es ihre Echtheit insbesondere beim E-Banking zu überprüfen.
Schützen Sie sich, indem Sie…
- im Browser die Adresse des Finanzinstituts immer von Hand eintippen.
- auftretenden Warnhinweisen und Fehlermeldungen beim Aufbau von Verbindungen die nötige Beachtung schenken und den Verbindungsaufbau allenfalls abbrechen.
- darauf achten, dass die Adresszeile (URL) mit einem Schloss-Symbol gekennzeichnet ist.
- kontrollieren, ob das Zertifikat explizit auf den Namen des Finanzinstituts ausgestellt wurde (wird entweder neben dem Schloss oder nach einem Klick auf das Schloss unter «Ausgestellt für:» angezeigt).
- verifizieren, dass die Adresse den korrekten Domänen-Name des Finanzinstituts beinhaltet.
- Ihre persönlichen Zugangsdaten erst nach erfolgreicher Zertifikatsprüfung eingeben.
Schutz und Gefahr durch Zertifikate
Jeder Browser überprüft SSL-Zertifikate beim Verbindungsaufbau automatisch auf Echtheit und Gültigkeit und zeigt die Ziel-Webseite nur bei erfolgreicher Überprüfung korrekt und ohne Fehlermeldung an.
Da jedoch immer häufiger auch gefälschte Webseiten von Finanzinstituten zu Phishing-Zwecken mit einem gültigen SSL-Zertifikat ausgestattet werden, reicht die alleinige Zertifikatsprüfung durch den Browser nicht aus, um mit Sicherheit auf der korrekten Webseite zu sein.
Zertifikatsprüfung im Browser
Grundsätzlich dürfen im Browser beim Wechsel zu einer geschützten Verbindung keine Fehlermeldungen auftreten. Andernfalls stimmt mit dem Zertifikat oder der Verbindung etwas nicht und die Verbindung sollte unverzüglich beendet werden.
Eine korrekt aufgebaute SSL-Verbindung – also eine sichere Verbindung – zur richtigen Webseite, die auf einem echten und gültigen Zertifikat basiert, erkennen Sie anhand der folgenden drei eindeutigen Browser-Merkmale:
- Schloss-Symbol in der Adresszeile
Die Verbindung wurde mit gültigem SSL-Zertifikat verschlüsselt. - Richtiger Name des Finanzinstituts (wird entweder neben dem Schloss oder nach einem Klick auf das Schloss unter «Ausgestellt für:» angezeigt)
Die Identität des Zertifikatsbesitzers (Bank) wurde bestätigt. - Korrekter Domänen-Name in der Adresse
Sie befinden sich wirklich auf der Seite des Finanzinstituts.
Google Chrome:
Microsoft Edge:
Mozilla Firefox:
Apple Safari:
Die konkrete Darstellung dieser Merkmale unterscheidet sich von Browser zu Browser geringfügig und kann unter Anleitungen für die verbreiteten Browser nachgelesen werden.
Zertifikatsprüfung mittels Fingerabdruck
Die Echtheit eines Zertifikats lässt sich etwas aufwendiger, dafür umso sicherer auch manuell überprüfen. Der vom Browser angezeigte «Fingerabdruck» (Fingerprint) muss dabei mit dem vom Finanzinstitut publizierten Fingerabdruck übereinstimmen.
Auf der «eBanking – aber sicher!» Website finden Sie die Fingerabdrücke der E-Banking Login-Seiten unserer Partner-Banken sowie detaillierte Anleitungen, wie Sie den Fingerabdruck mithilfe verschiedener Browser überprüfen können.
Weiterführende Informationen für Interessierte
Funktionsweise einer SSL-Verbindung
Wenn zu einem Webserver eine sichere Verbindung aufgebaut wird, kommt meist das TLS/SSL-Protokoll zum Einsatz. Es handelt sich dabei um eine Kommunikationstechnologie, welche zu übertragende Informationen abhörsicher verschlüsselt und gleichzeitig die Authentizität, also Echtheit des Webservers, zu dem eine Verbindung hergestellt wird, garantiert.
Basis für den implementierten Schutz ist ein so genanntes digitales Zertifikat, das von einer vertrauenswürdigen Instanz – auch Zertifizierungsstelle genannt – für einen Webserver ausgestellt wird.
Da die Abhörsicherheit und die Echtheit des Webservers nur garantiert sind, wenn das der SSL-Verbindung zugrundeliegende Zertifikat echt und gültig ist, kommt der Zertifikatsprüfung eine zentrale Rolle zu.
Zertifikatsprüfung mit Browser-Unterstützung
Ein Browser verifiziert beim Aufbau einer SSL-Verbindung die folgenden Zertifikatseigenschaften:
- Vertrauenswürdigkeit des Ausstellers des Zertifikats: Das Zertifikat wurde von einer vertrauenswürdigen Zertifizierungsstelle ausgestellt (d.h. von dieser gültig digital signiert). Durch diese Überprüfung wird dem Zertifikat Echtheit attestiert.
- Gültigkeit des Zertifikats: Das Zertifikat ist nicht abgelaufen oder von der Zertifizierungsstelle vor Ablauf der Gültigkeitsdauer für ungültig erklärt (revoziert) worden.
- Adresse des Webservers: Die im Zertifikat eingetragene Adresse des Webservers stimmt mit der tatsächlich im Adressfeld des Browsers verwendeten Adresse überein.
Nur wenn diese drei Überprüfungen erfolgreich durchgeführt werden konnten, zeigt der Browser beim Aufbau der SSL-Verbindung keine Fehlermeldungen an.
Die Verifikation der obigen Zertifikatseigenschaften durch den Browser bietet ein hohes Mass an Sicherheit, kann aber in keinem Fall Zertifikate identifizieren, welche eine Zertifizierungsstelle nach mangelhafter Antragstellerprüfung für einen Betrüger ausgestellt hat. Einige wenige Betrugsfälle dieser Art sind bekannt geworden.
Da ein Betrüger für sein Zertifikat mit sehr hoher Wahrscheinlichkeit eine Adresse wählt, welche sich von derjenigen des Angriffsziels (z. B. ein Finanzinstitut) unterscheidet, lassen sich solche missbräuchlich ausgestellten Zertifikate durch eine Überprüfung der vom Browser angezeigten Adresszeile identifizieren.
Dazu muss durch den Benutzer verifiziert werden, ob der so genannte Domänenteil der Adresse zur kontaktierten Organisation (z. B. ein Finanzinstitut) gehört. Heutige Browser heben diesen Teil der Adresse zur Vereinfachung der Überprüfung graphisch (z.B. fett oder tiefschwarz) hervor.
Zertifikatsprüfung durch Vergleich des Fingerabdrucks
Jeder Benutzer einer SSL-Verbindung kann die Echtheit des der Verbindung zu Grunde liegenden Zertifikats manuell überprüfen. Dazu muss er den Fingerabdruck des Zertifikats verifizieren.
Der Fingerabdruck ist eine Zeichenfolge bestehend aus den Buchstaben A-F (wobei nicht zwischen Gross- und Kleinbuchstaben unterschieden wird) und den Ziffern 0-9.
Die Verifikation des Fingerabdrucks erfolgt durch manuellen Vergleich dieser Zeichenfolge mit einer Referenzfolge, die der Benutzer vom Finanzinstitut bekommen hat. Sind die aus dem Zertifikat herausgelesene Zeichenfolge und die vom Finanzinstitut erhaltene Zeichenfolge identisch, dann ist das Zertifikat garantiert echt.
Unter der Voraussetzung, dass die vom Finanzinstitut erhaltene Zeichenfolge echt ist, stellt die manuelle Überprüfung des Fingerabdrucks damit die sicherste Art der Zertifikatsprüfung dar.
Eine zusätzliche Überprüfung der Adresszeile, wie bei der Zertifikatsprüfung mit Browser-Unterstützung beschrieben, erübrigt sich dabei.
