ANZEIGE
VielFahrer
Erfahrenes Mitglied
Woher kommt diese Information?
M
monk
Guest
DKB: Twitter von @DKBRegTech:
https://twitter.com/DKB_RegTech/status/1161241912239697920?s=20
ING: Kommentar des ING-Support vom 19.08.2019:
"Nutzt die Software die HBCI-Schnittstelle, sehen Sie ab Mitte September Ihre Umsätze und den Kontostand des Girokontos. Die Transaktionen beauftragen Sie bitte direkt in unserem Internetbanking. Damit diese Umsätze in der Finanzsoftware angezeigt werden, müssen Sie sich alle 90 Tage in unserem Internetbanking anmelden."
https://www.ing.de/ueber-uns/wissenswert/psd2
Moderiert:
Heath_Beck
Erfahrenes Mitglied
Consors verlangt seit heute morgen auch eine TAN für den Login - auch IN DER APP! 
All diejenigen, die sich durch die SecurePlus App mehr Komfort beim Mobile Banking erhofft hatten, werden enttäuscht sein...
All diejenigen, die sich durch die SecurePlus App mehr Komfort beim Mobile Banking erhofft hatten, werden enttäuscht sein...Und das auch noch immer und nicht nur alle 90 Tage, wie es problemlos möglich wäre.Consors verlangt seit heute morgen auch eine TAN für den Login - auch IN DER APP!
FinTS derzeit tot. Mal sehen, was da noch so kommt.
Aber wer sich das ausgedacht hat.
Individualurlauber
Erfahrenes Mitglied
Dass Onlineeinkäufe stärker abgesichert werden, finde ich gut. Die Schäden müssen wir alle bezahlen. Dass aber für den reinen Blick aufs Konto so ein Theater gemacht wird, halte ich für lächerlich. Wer Angst um seinen Zugang hat, hätte auch in der Vergangenheit täglich seine PIN/Passwort ändern dürfen
Consors verlangt seit heute morgen auch eine TAN für den Login - auch IN DER APP!
Ja, habe ich auch gerade erlebt, noch ist es nicht so schlimm, da die mTAN automatisch aus der SMS eingelesen wird. Aber in ein paar Tagen wird das abgeschaltet und man muss die Secure App nutzen...
_AndyAndy_
Erfahrenes Mitglied
Ketzerische Frage. Wieso gelten Inhärenzmerkmale als sicher, wenn Fremde an diese sehr leicht kommen können, wenn ihr Besitzer bewusstlos ist?
_AndyAndy_
Erfahrenes Mitglied
Und noch eine ketzerische Frage. Wie kommt man an das Konto, wenn das Gerät samt SIM Karte abhanden gekommen ist? Angenommen man wird im Ausland ausgeraubt und will sich Notgeld über sein Girokonto per Western Union o.ä. überweisen.
Sehe ich auch ein Problem. Angenommen man hat Banking + Tan auf einem Gerät und wird überfallen und soll Geld ins Ausland überweisen. Sehe ich persönlich durchaus als potenzielles Angriffsziel. Daher würde ich auch immer ein Überweisungslimit einstellen, auch wenn es unpraktisch ist.
Neue iPhone's haben zumindest das "Bewusstlos" (bzw, auch beim Schlafen) -Problem nicht mehr, da Face ID nur geht wenn die Augen offen sind!
Man sollte immer (!) mehrere Geräte für Tan's aktiviert haben. Also zB. ein Handy als Hauptgerät und ein Tablet als Backup. Das wäre in so einem Fall ja normalerweise im Hotel. Auch im Fall eines Defekts halte ich das für extrem wichtig. Geht aber leider nicht bei jeder Bank ...
_AndyAndy_
Erfahrenes Mitglied
Erstens, wie Du selbst schreibst, erlauben viele Banken das Koppeln nur an EIN Gerät. Zweitens, es wird davon ausgegangen, dass man mehr als ein Gerät überhaupt besitzt. Die Elektronikhersteller freut es. Drittens gibt es unterwegs nur manchmal eine Gelegenheit, das Zweitgerät separat und sicher aufzubewahren. Bei weitem übernachtet man nicht immer in Hotels, und wenn doch, dann nicht unbedingt in solchen, wo man ein teures Gerät mit Bankingdaten einem Tresor anvertrauen kann (die Hoteltresore sind recht einfach zu knacken).
_AndyAndy_
Erfahrenes Mitglied
Einige Geräte können sicherere Methoden der Inhärenzprüfung durchaus unterstützen, keine Frage. Die Banking-Apps verlangen aber nicht danach. So loggt man sich in der ING App mit einem Fingerprint ein und mit einem weiteren gibt man eine Überweisung frei. Ist das denn sicherer als iTAN und sollte eine Direktive mit der Zielsetzung wie PSD2 so etwas nicht verhindern?
Ich weiß nicht, wie das die Anderen sehen, aber für mich ist die Abschaffung von iTAN ein Rückschritt bei der Sicherheit. Wusste doch bisher nur der Kontoinhaber, wo seine TAN-Listen sind, findet man die TAN-Apps auf dem Gerät auf Anhieb.
M
monk
Guest
Das Problem bei iTAN sind man-in-the-middle-Angriffe durch Trojaner. Da ist es egal, wo du die Liste versteckt hast, weil du dann selbst mit einer TAN eine manipulierte Überweisung abschickst.
Die nicht möglich sind wenn man einen simplen Zertifikatecheck in der App einbaut. ;-)
Heath_Beck
Erfahrenes Mitglied
Na ja, wenn du bewusstlos bist, könnte man sich auch deinen TAN Generator schnappen oder das Dumbphone und die SMS TANs lesen. Letztenendes könnten einem ja auch viel schlimmere Dinge drohen wenn man bewusstlos ist, aber ja PIN, Passwort oder Muster bieten in diesem Szenario mehr Sicherheit. Fingerprint ist ja aber meist auch optional.
MITM bei https geht heutzutage doch eh nur, wenn der User ein Root-CA installiert.
Und damit idR alle User an Firmenrechnern aussperrt - tolle Idee!
Wenn die Firma verschlüsselten Traffic ihrer Mitarbeiter mitliest, sollte man seinen Privatkram über das Mobilfunknetz laufen lassen, oder gleich über einen Jobwechsel nachdenken.
_AndyAndy_
Erfahrenes Mitglied
Ah ja, verstehe. Man hat also das Risiko einfach von Online/digital nach Offline/analog verlagert und kann es den Kunden nun eindeutiger anlasten. Chapeau, Finanzwirtschaft.
_AndyAndy_
Erfahrenes Mitglied
Die gesamte Bundeswehr lacht sich gerade tot.
_AndyAndy_
Erfahrenes Mitglied
Nicht ganz, es gibt Apps wir zB Transferwise, die sich nur mit der 2FA eintichten lassen und zur Auswahl steht entweder Einmal-SMS oder eben Fingerprint. Ansonsten genau mein Gedankengang. Ich erwarte schon Presseberichte, wie jemandem kO-Mittel verabreicht wurden, wonach sein mit einem Inhärenzmerkmal geschütztes Phone entsperrt und sein Konto geplündert wurde.
Du wirst kaum größere Firmen finden die SSL-Traffic nicht aufbrechen, alleine schon aus rechtlichen Gründen bzw der Compliance wegen. DLP ist für manche auch noch ein Thema.
Sicherheit kommt da noch dazu. Privatnutzung ist ja meist eh untersagt oder unterliegt einer Betreibsvereinbarung, die dann klar erlaubt, dass der Verkehr gescanned wird. Multiple Lines of Defense sind eigentlich gängig.
Zuletzt bearbeitet:
_AndyAndy_
Erfahrenes Mitglied
ANZEIGE
Das ist ja der Gag. Man kann die iTAN-Liste oder die TAN-Generator mal zu Hause lassen. Aber das Smartphone, wo jetzt alles laufen soll, hat man immer dabei. Aber ok, das sind dann persönliche Probleme der Kunden, die Banken sind fein raus.