NBank | Sicherheitprobleme beim Mailempfang

31.03.2020 | 16:00 Uhr

Die NBank ist die Förderbank des Landes Niedersachsen. In Zeiten der Corona-Krise kümmert sich das Institut um die Unternehmen und Selbständigen im Land. Bei ihr können Soforthilfen und Liquiditätskredite beantragt werden.

Aufgrund einer riesigen Anzahl an Benutzern funktionierte die Online-Antragsstellung in der vergangenen Woche zunächst nicht. Die Server waren überlastet. Entsprechend versuchten viele Unternehmer, mit der NBank per Telefon oder E-Mail in Kontakt zu treten. Doch auch die Hotlines und der Haupt-E-Mail-Server waren zeitweise überlastet.

Doch bei den E-Mails gab es einen Backup-Server. Vermeintlich. Denn selbiger war keiner, wie aipi vergangene Woche herausgefunden hat.

Aufmerksam wurde aipi durch die Tatsache, dass ein Kunde an bestimmte Mitarbeiter der NBank keine Mails schicken konnte. Die Mails kamen unzustellbar zurück. Ein Blick in die Logfiles zeigte, dass der Zustellversuch über einen Backup-Mailserver unternommen wurde. Doch mail2.nbank.de, der in Nürnberg untergebracht war, gehörte gar nicht der NBank sondern meldete sich als mail.masigi.co.uk. Zudem gab es auf dem System einen Webserver, der als www.masa.gi konfiguriert war. www.masa.gi zeigt dagegen auf einen Server in der Cloud von Amazon und dort ist eine Projekt-Website eines kleinen britischen Unternehmens gehostet, dessen Website aber widerum auf einem schweizer Server liegt.

In jedem Fall passte hier etwas nicht zusammen, doch eine Rückmeldung seitens der Verantwortlichen bei der NBank war nicht zu bekommen.

aipi informierte daraufhin das BSI in Bonn, welches mit den Kollegen von N-CERT in Niedersachsen Kontakt aufnahm. Die NBank bestätigte das Sicherheitsproblem und änderte die Einstellungen im Nameserver. Aktuell kommen die Mails daher auch nur noch beim Hauptmailserver der Bank in Hannover an. Was mit anderen Mails, die über das Backup-System eingeliefert wurden, passiert ist, bleibt derzeit unbekannt.

Derzeit nutzt die NBank darüber hinaus aber leider nicht alle aus unserer Sicht notwendigen Maßnahmen zur Authentizität in Sachen Mail. DNSSEC, TLSA und Co. werden nicht genutzt. Damit ist die NBank aber nicht alleine. Auch bei lzo.de, olb.de, deutsche-bank.de, commerzbank.de, nordlb.de, kfw.de oder den Genossenschaftsbanken findet man diese Sicherheitsfunktionen nicht. Lediglich die Postbank weiß hier einigermaßen zu überzeugen.

Alle News anzeigen