Digitale Zertifikate werden genutzt, um Verbindungen zu verschlüsseln und den Anwendenden Sicherheit zu geben, mit der korrekten Website verbunden zu sein. Da sie auch von betrügerischen Websites verwendet werden, gilt es, ihre Echtheit, insbesondere beim E-Banking zu überprüfen.
Schützen Sie sich, indem Sie…
- im Adressfeld des Browsers die Internetadresse (URL) des Finanzinstituts immer von Hand eintippen.
- auftretenden Warnhinweisen und Fehlermeldungen beim Aufbau von Verbindungen die nötige Beachtung schenken und den Verbindungsaufbau allenfalls abbrechen.
- darauf achten, dass die Adresszeile mit einem Schloss-Symbol gekennzeichnet ist.
- kontrollieren, ob das Zertifikat explizit auf den Namen des Finanzinstituts ausgestellt wurde (wird nach einem Klick auf das Schloss unter «Ausgestellt für:» angezeigt).
- verifizieren, dass die Internetadresse (URL) den korrekten Domänen-Namen des Finanzinstituts beinhaltet und die Schreibweise korrekt ist. (Weitere Informationen zum Aufbau einer Internetadresse (URL) finden Sie hier.)
- Ihre persönlichen Zugangsdaten erst nach erfolgreicher Zertifikatsprüfung eingeben.
Schutz und Gefahr durch Zertifikate
Jeder Browser überprüft TLS/SSL-Zertifikate beim Verbindungsaufbau automatisch auf Echtheit und Gültigkeit und zeigt die Ziel-Website nur bei erfolgreicher Überprüfung korrekt und ohne Fehlermeldung an.
Da jedoch immer häufiger auch gefälschte Websites von Finanzinstituten zu Phishing-Zwecken mit einem gültigen TLS/SSL-Zertifikat ausgestattet werden, reicht die alleinige Zertifikatsprüfung durch den Browser nicht aus, um mit Sicherheit auf der korrekten Website zu sein.
Zertifikatsprüfung im Browser
Grundsätzlich dürfen im Browser beim Wechsel zu einer geschützten Verbindung keine Fehlermeldungen auftreten. Andernfalls stimmt mit dem Zertifikat oder der Verbindung etwas nicht und die Verbindung sollte unverzüglich beendet werden.
Eine korrekt aufgebaute TLS/SSL-Verbindung – also eine sichere Verbindung – zur richtigen Website, die auf einem echten und gültigen Zertifikat basiert, erkennen Sie anhand der folgenden drei eindeutigen Browser-Merkmale:
- Schloss-Symbol in der Adresszeile
Die Verbindung wurde mit gültigem TLS/SSL-Zertifikat verschlüsselt. - Richtiger Name des Finanzinstituts (wird nach einem Klick auf das Schloss unter «Ausgestellt für:» angezeigt)
Die Identität des Zertifikatsbesitzers (Bank) wurde bestätigt. - Korrekter Domänen-Name und richtige Schreibweise der Internetadresse (URL)
Sie befinden sich wirklich auf der Seite des Finanzinstituts.
Wie eine Internetadresse (URL) aufgebaut ist, können Sie hier nachlesen.
Google Chrome:
Microsoft Edge:
Mozilla Firefox:
Apple Safari:
Die konkrete Darstellung dieser Merkmale unterscheidet sich von Browser zu Browser geringfügig und kann unter Anleitungen für die verbreiteten Browser nachgelesen werden.
Zertifikatsprüfung mittels Fingerabdruck
Die Echtheit eines Zertifikats lässt sich etwas aufwendiger, dafür umso sicherer auch manuell überprüfen. Der vom Browser angezeigte «Fingerabdruck» (Fingerprint) muss dabei mit dem vom Finanzinstitut publizierten Fingerabdruck übereinstimmen.
Auf der «eBanking – aber sicher!» Website finden Sie die Fingerabdrücke der E-Banking Login-Seiten unserer Partner-Banken sowie detaillierte Anleitungen, wie Sie den Fingerabdruck mithilfe verschiedener Browser überprüfen können.
Weiterführende Informationen für Interessierte
Funktionsweise einer TLS/SSL-Verbindung
Wenn zu einem Webserver eine sichere Verbindung aufgebaut wird, kommt meist das TLS/SSL-Protokoll zum Einsatz. Es handelt sich dabei um eine Kommunikationstechnologie, welche zu übertragende Informationen abhörsicher verschlüsselt und gleichzeitig die Authentizität, also Echtheit des Webservers, zu dem eine Verbindung hergestellt wird, garantiert.
Basis für den implementierten Schutz ist ein so genanntes digitales Zertifikat, das von einer vertrauenswürdigen Instanz – auch Zertifizierungsstelle genannt – für einen Webserver ausgestellt wird.
Da die Abhörsicherheit und die Echtheit des Webservers nur garantiert sind, wenn das der TLS/SSL-Verbindung zugrundeliegende Zertifikat echt und gültig ist, kommt der Zertifikatsprüfung eine zentrale Rolle zu.
Zertifikatsprüfung mit Browser-Unterstützung
Ein Browser verifiziert beim Aufbau einer TLS/SSL-Verbindung die folgenden Zertifikatseigenschaften:
- Vertrauenswürdigkeit des Ausstellers des Zertifikats: Das Zertifikat wurde von einer vertrauenswürdigen Zertifizierungsstelle ausgestellt (d.h. von dieser gültig digital signiert). Durch diese Überprüfung wird dem Zertifikat Echtheit attestiert.
- Gültigkeit des Zertifikats: Das Zertifikat ist nicht abgelaufen oder von der Zertifizierungsstelle vor Ablauf der Gültigkeitsdauer für ungültig erklärt (revoziert) worden.
- Adresse des Webservers: Die im Zertifikat eingetragene Adresse des Webservers stimmt mit der tatsächlich im Adressfeld des Browsers verwendeten Adresse überein.
Nur wenn diese drei Überprüfungen erfolgreich durchgeführt werden konnten, zeigt der Browser beim Aufbau der TLS/SSL-Verbindung keine Fehlermeldungen an.
Die Verifikation der obigen Zertifikatseigenschaften durch den Browser bietet ein hohes Mass an Sicherheit, kann aber in keinem Fall Zertifikate identifizieren, welche eine Zertifizierungsstelle nach mangelhafter Antragstellerprüfung für einen Betrüger ausgestellt hat. Einige wenige Betrugsfälle dieser Art sind bekannt geworden.
Da ein Betrüger für sein Zertifikat mit sehr hoher Wahrscheinlichkeit eine Adresse wählt, welche sich von derjenigen des Angriffsziels (z.B. ein Finanzinstitut) unterscheidet, lassen sich solche missbräuchlich ausgestellten Zertifikate durch eine Überprüfung der vom Browser angezeigten Internetadresse (URL) identifizieren.
Dazu muss durch den Benutzer verifiziert werden, ob der Domänen-Name der Adresse zur kontaktierten Organisation (z.B. ein Finanzinstitut) gehört. Viele Browser heben diesen Teil der Adresse zur Vereinfachung der Überprüfung oft graphisch (z.B. fett oder tiefschwarz) hervor.
Zertifikatsprüfung durch Vergleich des Fingerabdrucks
Jeder Benutzer einer TLS/SSL-Verbindung kann die Echtheit des der Verbindung zu Grunde liegenden Zertifikats manuell überprüfen. Dazu muss er den Fingerabdruck des Zertifikats verifizieren.
Der Fingerabdruck ist eine Zeichenfolge bestehend aus den Buchstaben A-F (wobei nicht zwischen Gross- und Kleinbuchstaben unterschieden wird) und den Ziffern 0-9.
Die Verifikation des Fingerabdrucks erfolgt durch manuellen Vergleich dieser Zeichenfolge mit einer Referenzfolge, die der Benutzer vom Finanzinstitut bekommen hat. Sind die aus dem Zertifikat herausgelesene Zeichenfolge und die vom Finanzinstitut erhaltene Zeichenfolge identisch, dann ist das Zertifikat garantiert echt.
Unter der Voraussetzung, dass die vom Finanzinstitut erhaltene Zeichenfolge echt ist, stellt die manuelle Überprüfung des Fingerabdrucks damit die sicherste Art der Zertifikatsprüfung dar.
Eine zusätzliche Überprüfung der Internetadresse (URL), wie oben bei der Zertifikatsprüfung mit Browser-Unterstützung beschrieben, erübrigt sich dabei.
