Thema "Re: Phototan bei jedem Banking Login einstellbar? (2 FA nach psd2)" in Konto, Depot & Karte

Phototan bei jedem Banking Login einstellbar? (2 FA nach psd2)

ehemaliger Nutzer — Sun, 15 Sep 2019 10:57:51 GMT

Hallo liebe Community,

kann man im persönlichen Bereich irgendwo einstellen, dass man bei jedem Banking Login eine Phototan (oder mTAN) braucht?

Ich würde nämlich gerne die 2 FA nach psd2 jedes Mal nutzen, um mein Konto bestmöglich abzusichern.

Weiß jemand, wie das geht?

Betreff: Phototan bei jedem Banking Login einstellbar? (2 FA nach psd2)

paba — Sun, 15 Sep 2019 12:00:49 GMT

@ehemaliger Nutzer schrieb:
Hallo liebe Community,
kann man im persönlichen Bereich irgendwo einstellen, dass man bei jedem Banking Login eine Phototan (oder mTAN) braucht?

… nein, das wird wohl nicht gehen. Laut Angaben von comdirect wird eine TAN nur alle 90 Tage beim Login abgefragt. Außerdem löst die Eingabe der ersten TAN nach dem Login bzw. beim Login neuerdings das Session-TAN-Verfahren für Wertpapiertransaktionen aus (also nicht für Zahlungsvorgänge), siehe hier. Das Verhalten bzgl. Session-TAN-Verfahren wird sich auch nicht deaktivieren lassen, was viele als unsicher empfinden.

Gruß paba

Re: Phototan bei jedem Banking Login einstellbar? (2 FA nach psd2)

SMT_Philipp — Mon, 16 Sep 2019 08:50:46 GMT

Guten Morgen @ehemaliger Nutzer,

wie @paba richtig vermutet, ist das nicht möglich. Die 90-Tage-Regelung gilt für alle Kunden gleich und ist nicht veränderbar. Ich gebe deinen Wunsch dennoch gerne als Verbesserungsvorschlag weiter. Alle Infos zu PSD2 bei comdirect findest du hier.

Viele Grüße

Philipp

Re: Phototan bei jedem Banking Login einstellbar? (2 FA nach psd2)

MrKlaus — Mon, 16 Sep 2019 09:27:38 GMT

Okay,dann muss ich wohl auch umstellen

Ich wollte gerade Phototan aktivieren. Es wird dann nach einer mobile Tan gefragt um den Aktivierungsprozess zu starten. War da nicht was mit einem Aktivierungsbrief? Die App schreit jetzt schon danach. Wie und wo kann ich den denn vorher anfordern? Ist der Aktivierungsprozess jetzt schon zu beginnen?

Beste Grüße

Re: Phototan bei jedem Banking Login einstellbar? (2 FA nach psd2)

morphyencore — Mon, 16 Sep 2019 09:40:06 GMT

Ich versteh's nicht. Kann es sein, dass man für den Zugang zur PostBox jetzt immer eine PhotoTan angeben muss? Das macht doch gar keinen Sinn, da es sich hier doch nicht um einen besonders sicherheitsrelevanten Vorgang handelt. Stattdessen kann man jetzt mit nur einer Session-TAN beliebig viele Transaktionen durchführen (also im Extremfall mein ganzen Konto leerräumen). Wie gesagt, ich versteh's einfach nicht...

Viele Grüße,

Thomas

Re: Phototan bei jedem Banking Login einstellbar? (2 FA nach psd2)

SMT_Jan-Ove — Mon, 16 Sep 2019 11:56:49 GMT

Hallo @MrKlaus,

wenn du die mobileTAN bereits nutzt, brauchst du keinen Aktivierungsbrief. Starte einfach mit der Eingabe der mobileTAN den Online-Aktivierungsprozess (ohne Brief). Dir wird nach der TAN-Freigabe erst die 1. Aktivierungsgrafik angezeigt, die den Brief ersetzt und nach dem Klick auf "Weiter" die 2. Aktivierungsgrafik. Danach einfach den Bestätigungscode vom Gerät in das vorgesehene Feld eingeben und fertig. 🙂

@morphyencore: Wieso sollte dir durch eine Session-TAN das Konto leergeräumt werden können?

Beste Grüße

Jan-Ove

Re: Phototan bei jedem Banking Login einstellbar? (2 FA nach psd2)

morphyencore — Mon, 16 Sep 2019 12:32:04 GMT

@Jan-Ove: Wieso sollte dir durch eine Session-TAN das Konto leergeräumt werden können?

Eine Transaktionsnummer soll ja aus Sicherheitsgründen nur für eine Transaktion gültig sein (daher auch der Name!). Eine einmal benutzte TAN ist danach ungültig.

Wenn ich es richtig verstanden habe, kann nun eine TAN mehrfach verwendet werden. Gelangt ein Angreifer nun an eine TAN (vielleicht sogar weil ich sie selbst eingegeben habe), so kann er nun beliebig viele Transaktionen durchführen. Er könnte im Prinzip alle Aktien verkaufen und sogar prinzipiell eine Überweisung durchführen. Oder habe ich da etwas falsch verstanden ?

Gruß,

Thomas

Re: Phototan bei jedem Banking Login einstellbar? (2 FA nach psd2)

SMT_Jan-Ove — Mon, 16 Sep 2019 13:46:40 GMT

Hallo @morphyencore,

die Session-TAN gilt ausschließlich für Wertpapier-Orders. Für Überweisungen ist weiterhin eine zusätzliche TAN zur Freigabe erforderlich.

Zusätzlich kannst du dich auch auf unser Sicherheitsversprechen verlassen.

Beste Grüße

Jan-Ove

Re: Phototan bei jedem Banking Login einstellbar? (2 FA nach psd2)

morphyencore — Mon, 16 Sep 2019 14:33:56 GMT

@Jan-Ove

Gibt es eigentlich einen Grund warum man für den Zugang zur PostBox eine TAN angeben muss? Finde das ist eigentlich kein extrem sicherheitsrelevater Vorgang, da es sich lediglich um einen "lesenden" Vorgang handelt. Es ist nicht nur unkompfortabel sondern macht das System auch eher unsicherer, da man eine TAN eingeben muss, die prinzipiell abgefangen (z.B. Trojaner) und verwendet werden kann.

Gibt es hier Konfigurationsmöglichkeiten dies abzustellen (an dieser Stelle stört mich die TAN-Abfrage)?

In jedem Falle werde ich wohl sicherheitshalber meine Überweisungslimits runtersetzen.

Re: Phototan bei jedem Banking Login einstellbar? (2 FA nach psd2)

Necoro — Mon, 16 Sep 2019 15:18:57 GMT

@morphyencore schrieb:
@Jan-Ove

Es ist nicht nur unkompfortabel sondern macht das System auch eher unsicherer, da man eine TAN eingeben muss, die prinzipiell abgefangen (z.B. Trojaner) und verwendet werden kann.

Hallo @morphyencore, das ist (bei richtiger Bedienung) nicht richtig: In deinem Tan-Gerät (sei es SMS, TanGenerator, App) wird dir bei der TAN angezeigt, wofür diese verwendet wird. Da diese Information Teil der TAN ist, ist somit nicht möglich, dir eine TAN unterzuschieben, ohne dass du dies merkst.

D.h. auch, dass eine TAN nur für exakt den sie generierenden Vorgang gebraucht werden kann. Es ist also nicht möglich, mit der TAN für die Postbox eine Überweisung zu erstellen.

Re: Phototan bei jedem Banking Login einstellbar? (2 FA nach psd2)

morphyencore — Mon, 16 Sep 2019 20:30:09 GMT

@Necoro

Ich hab's mal ausprobiert. Ich bin in die PostBox gegangen und musste dabei (völlig sinnlos) die eine TAN eingeben. Danach wollte ich prüfen,ob ich nun für eine Order eine TAN eingeben muss. Ergebnis: Ich bin bis zum Freigeben-Button gekommen ohne eine TAN einzugeben (dann habe ich den Vorgang abgebrochen). Es erscheint sogar der Hinweis:

-->

Da Sie das Session-TAN Verfahren aktiviert haben, ist während dieser Session die Eingabe weiterer TANs für Session-TAN-fähige Aktionen nicht notwendig.

<--

Ich finde dieser Verhalten echt beschissen: zum Lesen einer Nachricht muss ich wegen der TAN extra ein Lesegerät hervorkramen. Der eigentlich sicherheitrelevante Vorgang - der Order - musste dagegen nicht durch TAN-Eingabe gesichert werden.

Re: Phototan bei jedem Banking Login einstellbar? (2 FA nach psd2)

Weinlese — Mon, 16 Sep 2019 20:33:18 GMT

@morphyencore schrieb:
Gibt es eigentlich einen Grund warum man für den Zugang zur PostBox eine TAN angeben muss? Finde das ist eigentlich kein extrem sicherheitsrelevater Vorgang, da es sich lediglich um einen "lesenden" Vorgang handelt.

Das ist meines Wissens Teil der PSD2-Vorgaben. Durch eine TAN müssen jetzt nicht nur Transaktionen freigegeben werden, sondern auch Zugriffe auf "personenbezogene Daten". Dazu gehören entsprechend auch die Dokumente in der Postbox.

Viele Grüße

Weinlese

Re: Phototan bei jedem Banking Login einstellbar? (2 FA nach psd2)

morphyencore — Mon, 16 Sep 2019 20:52:51 GMT

@Weinlese

Das wäre schon ärgerlich. Ich schaue durchaus häufiger in die Postbox ohne dass ich echte Transaktionen durchführen will. Da sieht man, dass in Brüssel nur Bürokraten sitzen. Ein potentieller Angreifer, der bereits in mein Konto reingekommen ist, wird in der Postbox dann auch nicht viele zusätzlichen Informationen vorfinden.

Re: Phototan bei jedem Banking Login einstellbar? (2 FA nach psd2)

Necoro — Mon, 16 Sep 2019 20:59:12 GMT

@morphyencore schrieb:
@Necoro
Ich finde dieser Verhalten echt beschissen: zum Lesen einer Nachricht muss ich wegen der TAN extra ein Lesegerät hervorkramen. Der eigentlich sicherheitrelevante Vorgang - der Order - musste dagegen nicht durch TAN-Eingabe gesichert werden.

Beim Thema Session-TAN bin ich voll bei dir (habe dazu ja auch vor knapp 2 Wochen bereits einen eigenen Thread aufgemacht), damit hat die CoDi gefühlt vollständig daneben gegriffen.

Es bleibt aber trotzdem getrennt vom Thema "man kann TANs missbrauchen".

Re: Phototan bei jedem Banking Login einstellbar? (2 FA nach psd2)

chi — Mon, 16 Sep 2019 21:45:52 GMT

@morphyencore schrieb:
Ein potentieller Angreifer, der bereits in mein Konto reingekommen ist, wird in der Postbox dann auch nicht viele zusätzlichen Informationen vorfinden.

Doch, alte Informationen (statt nur den Ist-Zustand). Darum geht es in diesem Fall. Du kannst ja mal versuchen, Kontoumsätze über mehr als die letzten 90 Tage aufzurufen (180 sind möglich). Dann wird auch eine TAN verlangt.

Re: Phototan bei jedem Banking Login einstellbar? (2 FA nach psd2)

SMT_Philipp — Tue, 17 Sep 2019 09:42:35 GMT

Hallo @morphyencore,

siehe die richtigen Antworten von @Necoro, @Weinlese und @chi.

Informationen zu PSD2 bei comdirect haben wir auf dieser Seite zusammengefasst.

Viele Grüße

Philipp

Re: Phototan bei jedem Banking Login einstellbar? (2 FA nach psd2)

kammann — Tue, 17 Sep 2019 11:05:01 GMT

@SMT_Jan-Ove schrieb:

Zusätzlich kannst du dich auch auf unser Sicherheitsversprechen verlassen.

Beste Grüße
Jan-Ove

Ich finde es unsäglich, dass hier immer wieder auf das angebliche Sicherheitsversprechen hingewiesen wird. Kunden ohne juristisches Hintergrundwissen werden so dazu verleitet zu glauben, dass die Bank Schäden bei mißbräuchlicher Kontonutzung durch Ditte ersetzt. Rein rechtlich ist das Sicherheitsversprechen weder Vertragsbestandteil noch eine individuelle Nebenabrede. Im Schadensfall wird sich die Bank zuerst auf die AGBs berufen, die in A II 7 ("Sorgfaltspflichten des Teilnehmers") zwar größtensteils Selbstverständlichkeiten einfordern (z.B. keine Weitergabe von PIN/TAN-Generator) aber eben auch solche Pflichten wie "ein mobiles Endgerät ... vor dem unbefugten Zugriff anderer Personen sicher zu verwahren".
Im Schadensfall kann sich der Kunde also auf Diskussionen der Art einstellen, ob z.B. das Mitführen eines Handys (mit eingerichteter photoTAN App) auf Reisen oder beim Aufenthalt in größeren Menschenansammlungen eine "sichere Verwahrung" darstellt.

Re: Phototan bei jedem Banking Login einstellbar? (2 FA nach psd2)

Hörby — Thu, 19 Sep 2019 18:04:01 GMT

Das sins in Brüssel nicht nur Bürokraten, sondern I......

Re: Phototan bei jedem Banking Login einstellbar? (2 FA nach psd2)

Doc72 — Thu, 31 Oct 2019 21:31:05 GMT

Hallo,

ich verstehe wirklich nicht, was sich die Comdirect dabei gedacht hat. PSD2 sollte das Online-Banking sicherer machen. Was macht die Comdirect: Das Online-Banking unsicherer. Vorher musste ich für jede Transaktion eine TAN eingeben. Nun braucht sich nur noch jemand mein Passwort abfischen, eine TAN zum Login ist ja nur alle 90 Tage nötig und kann dann munter 5 mal 30 Euro überweisen. Und diesen Unfug kann man nicht mal deaktivieren.

Und man kann auch nicht aktivieren, dass bei jedem Login die TAN eingegeben werden muss. Wer hat sich bloß diesen Unfug ausgedacht. Warum kann man das nicht so einstellen, dass sich der persönlich gewünschte Grad an Sicherheit ergibt.

Für mich ist klar, dass ich bei der Comdirect nicht bleiben will, wenn man dem Kunden so ein gefühl von Unsicherheit vermittelt.