Thema "Betreff: phototan sehr sicher und besser als vorher ?" in Konto, Depot & Karte

phototan sehr sicher und besser als vorher ?

Dreas — Mon, 01 Apr 2019 19:03:59 GMT

Hallo

Nach reiflicher Überlegung empfinde ich die neue phototan als überhaupt nicht sicher.

Der Grund:

meine itan-Liste konnte ich verstecken oder in einen Tresor sperren.

Somit hat es ein Krimineller doppelt schwer, weil 2 Hürden genommen werden müssen, also mein Passwort zum Einloggen und meine aufgeräumte itan-Liste.

Und jetzt ?

Jetzt ist es nur noch 1 Hürde, nämlich mein Passwort.

Es bringt gar nichts, wenn ich das Lesegerät verstecke, weil irgendein Lesegerät verwendet werden kann, entweder eins von der Commerzbank oder versuchsweise eins von einer anderen Bank, wenn es sich um den selben Hersteller des Lesegeräts handelt.

Das Lesegerät wird nicht personalisiert, also kann jeder eine gültige Tan auf einem fremden Konto erzeugen.

Noch einfacher wird es, wenn eine App auf dem selben Gerät installiert ist, welche die Tan gleicht ausliest und anzeigt.

Dann braucht ein Krimineller eigentlich gar keine Tan mehr, sondern nur noch das Passwort und los geht´s mit Konto leerräumen.

Was soll daran sicherer sein ?

Betreff: phototan sehr sicher und besser als vorher ?

t.w. — Mon, 01 Apr 2019 19:08:26 GMT

Hier eine Auswahl der photo-TAN Diskussionen der letzten Tage. Wir müssen ja nicht alles 100x durchkauen

/t5/Konto-Karte/iTAN-geht-photoTAN-kommt-FAQ-zur-Umstellung/td-p/70536/jump-to/first-unread-message

/t5/Konto-Karte/Mobile-TAN-kostenpflichtig/td-p/47140/jump-to/first-unread-message

/t5/Konto-Karte/Meine-Meinung-zu-photoTan/td-p/63362/jump-to/first-unread-message

/t5/Konto-Karte/iTan/td-p/57990/jump-to/first-unread-message

/t5/Konto-Karte/Phototan-Verfahren-Ende-des-Online-Bankings-am-PC/td-p/44169/jump-to/first-unread-message

/t5/Konto-Karte/I-Tan-weiterhin-m%C3%B6glich/td-p/48977/jump-to/first-unread-message

/t5/Website-Apps/PhotoTan-und-wenn-ich-vom-Handy-bestelle/td-p/26459/jump-to/first-unread-message

Betreff: phototan sehr sicher und besser als vorher ?

chi — Mon, 01 Apr 2019 19:39:37 GMT

Hier liegt der Fehler:

@Dreas schrieb:
Das Lesegerät wird nicht personalisiert

Betreff: phototan sehr sicher und besser als vorher ?

baha — Mon, 01 Apr 2019 21:38:49 GMT

Das Lesegerät (bzw. die App) funktioniert nur nach erfolgreich durchlaufenem Aktivierungsprozess. Hierfür wird ein Aktivierungsbrief oder Zugriff auf die (soweit noch aktive) iTAN-Liste oder das Mobiltelefon zum Empfang einer SMS benötigt.

Erst bei der Aktivierung erhält das Gerät den nötigen kryptographischen Schlüssel, der entsprechend personalisiert zum Comdirect-Account passt.

Bis zur erfolgten Aktivierung für den jeweiligen Comdirect-Account sind ein Lesegerät oder die App vollkommen nutzlos.

Betreff: phototan sehr sicher und besser als vorher ?

TC_Hessen — Mon, 01 Apr 2019 23:56:20 GMT

Das Problem an der Kryptographie ist, daß viele es nicht verstehen. Aber dadurch wird es nicht per se unsicher. Ich kann es ehrlich nicht mehr hören, wenn einige behaupten "Die NSA kann das eh mit dem richtigen Rechner knacken". Mangels Zeit vertraue ich auch in der Tat den Papers, die ich so lese und verifiziere die nicht, früher habe ich mich mal mit der Entwicklung und den Gruppeneigenschaften von IDEA befasst, aber den Nerv hab ich nicht mehr.

Anyway... will ich an dein Konto, wäre es viel einfacher, wir treffen und auf ein Bier und meine 9mm und diskutieren das aus... der Rest ist viel zu aufwendig, egal welchen 2 Faktor du wählst.

Betreff: phototan sehr sicher und besser als vorher ?

Dreas — Tue, 02 Apr 2019 15:03:39 GMT

(a) baha

Danke dir, das war eine hilfreiche Info !

Wird das Lesegerät personalisiert, ist ja alles in Ordnung und ich war durch andere Beiträge falsch informiert.

Betreff: phototan sehr sicher und besser als vorher ?

Dreas — Tue, 02 Apr 2019 15:12:55 GMT

(a) TC_Hessen

Alles klar, habe verstanden 😉

Betreff: phototan sehr sicher und besser als vorher ?

Kim007 — Tue, 17 Sep 2019 07:47:45 GMT

Sicher ist nur, dass die Bank mit der Aktivierung der Phototan App zugriff auf unsere privaten Daten unseres Handi hat und diese auch auswerten wird.

Betreff: phototan sehr sicher und besser als vorher ?

TC_Hessen — Tue, 17 Sep 2019 07:57:49 GMT

@Kim007 schrieb:
Sicher ist nur, dass die Bank mit der Aktivierung der Phototan App zugriff auf unsere privaten Daten unseres Handi hat und diese auch auswerten wird.

1. हिन्दी ?

2. Handy?

3. Verschwörungstheorien sind toll

PS: Wußtest du, daß sich die Flacherdler und die Hohlerdler bestens verstehen, obwohl sich ihre Theorien gegenseitig kategorisch ausschließen?

Betreff: phototan sehr sicher und besser als vorher ?

Kim007 — Tue, 17 Sep 2019 10:39:08 GMT

Wenn ich sie einen Verschwörungstheoretiker nennen würde, macht es nur wenig Unterschied, ob sie nun behaupten, dass eine Verschwörung existiert oder ob sie ein Thema angeschnitten haben, was ich lieber vermeiden möchte … Indem ich sie mit diesem Begriff versehe, schließe ich sie strategisch von der Sphäre der öffentlichen Rede, Debatte und des Konflikts aus.

Wo ist unser Problem, wenn Menschen glauben, dass die Erde eine Scheibe ist?

Es ist keine Ewigkeit her, dass in Europa Menschen auf dem Scheiterhaufen verbrannt wurden, weil sie die Meinung vertraten, dass die Erde eine Kugel ist.

Die (vorerst nur) psychologische Bekämpfung Andersdenkender folgt den gleichen Prinzipien, wie die physische Vernichtung Andersdenkender in der Vergangenheit.

Es ist keine revolutionäre Erkenntnis, dass man Menschen im Geiste – auf psychologischer Ebene – vernichten muss, damit man sie auch physisch vernichten kann. Die Voraussetzungen für die physische Vernichtung von Menschen sind – auch hier in Deutschland – gut!

Was wir benötigen, ist eine andere Kultur der Auseinandersetzung unterschiedlicher Ansichten. Das aber können wir nicht einfordern – außer von uns selbst. Diese Veränderung kann nur aus uns selbst kommen und durch ihre Vorbildwirkung anstecken.

Betreff: phototan sehr sicher und besser als vorher ?

til — Tue, 17 Sep 2019 12:05:41 GMT

@Kim007 schrieb:
Sicher ist nur, dass die Bank mit der Aktivierung der Phototan App zugriff auf unsere privaten Daten unseres Handi hat und diese auch auswerten wird.

Nein. Die photoTAN-App hat dazu gar keine Berechtigung.

Betreff: phototan sehr sicher und besser als vorher ?

Weinlese — Tue, 17 Sep 2019 22:26:37 GMT

@Kim007 schrieb:
Was wir benötigen, ist eine andere Kultur der Auseinandersetzung unterschiedlicher Ansichten. Das aber können wir nicht einfordern – außer von uns selbst. Diese Veränderung kann nur aus uns selbst kommen und durch ihre Vorbildwirkung anstecken.

Ein Grundprinzip bei der Diskussion unterschiedlicher Ansichten ist es auch, aufgestellte Behauptungen entsprechend mit Belegen zu versehen. Tut man das nicht, muss man den Vorwurf der Verschwörungstheorie auch aushalten können.

Viele Grüße

Weinlese

Betreff: phototan sehr sicher und besser als vorher ?

Tekkx — Fri, 11 Oct 2019 08:50:43 GMT

Ich nutze das Konto normalerweise nur einmal im Monat um "was" zu überweisen. Alles andere geht per Einzug oder Paypal. Und so ist es mir erst jetzt aufgegangen:

Ist das ganze P2D-(oder so ähnlich)-Gedöhns wirklich sicherer?

Ich glaube, das ist ein großer Irrtum. Mindestens so groß, wie der, daß Scheuer's E-Scooter den Planeten retten werden.

Mir persönlich ist noch nie (immerhin in 30 Jahren online-Banking) eine TANListe gestohlen oder missbraucht worden. Und ich kenne auch keine einzige Person, der das passiert wäre. Das Risiko war auch sehr gering: Immerhin lag die TAN-Liste immer sicher zu Hause.

Mein Mobiltelefon ist mir allerdings schon einmal gestohlen worden und ich kenne mehrere Personen, denen das ebenfalls schon (auch mehrfach) passiert ist.

Berechnung:

Die TANs liegen zu Hause und werden einmal im Monat herausgekramt und können (theoretisch) einmal missbraucht werden. Vorausgesetzt, ich werde genau in dem Moment in meiner Wohnung überfallen. (Man hört so viel von Ost-Europäischen TAN-Listen-Diebesbanden)

Das Mobiltelefon ist 30 Tage im Monat mit mir draußen (dafür habe ich mir das Ding schließlich angeschafft) und es kann (theoretisch) an 30 Tagen im Monat abhanden kommen und gehackt/missbraucht werden.

Auf der iTAN-Liste waren bis zu 100 unbenutzte iTANs gespeichert.

100 mal 30 = 3000. Heißt das jetzt, daß das mTAN- oder PhotoTAN-Verfahren 3000 mal sicherer als das iTAN-Verfahren ist?

Oder ist es eher umgekehrt?

Betreff: phototan sehr sicher und besser als vorher ?

Necoro — Fri, 11 Oct 2019 09:37:29 GMT

Hallo @Tekkx,

das Problem bei iTAN war nicht der TAN-Listen-Diebstahl. Die Probleme sind eher:

Phishing 1: D.h. Leute fallen auf Emails/Webseiten der Art "aus Gründen benötigen wir bitte 20 TANs von Ihnen" herein und geben ihre Tans raus. Das ist mit mTAN/photoTAN ausgeschlossen, weil diese transaktionsgesteuert sind.

Phishing 2/MITM: Jemand wird auf eine gefälschte comdirect-Seite gelotst, die sich "über" die eigentliche comdirect Seite legt. Wenn der User dort nun eine Überweisung über 20 EUR an Tante Emma eingibt, leitet die Seite an das eigentliche comdirect System eine Überweisung über 2000 EUR an die Kriminiellen weiter. Dies lässt sich wiederum mit mTAN/photoTAN zu mindestens soweit unterbinden, als dort das Überweisungsziel und -betrag noch einmal dargestellt werden. Sofern man das gegenprüft (und das sollte man!) würde man solcherlei Schummeleien bemerken.

Betreff: phototan sehr sicher und besser als vorher ?

Tekkx — Fri, 11 Oct 2019 11:18:09 GMT

... und wieso hat man dann früher nicht einfach den Besteller der 20 TAN und/oder das Überweisungsziel gegengeprüft?

Die Leute, die das früher nicht getan haben (sind inzwischen nicht jünger geworden und) tun das beim mTAN... genauso nicht.

Phishing wird immer ein Problem bleiben. Systeme werden immer unsicher sein, solange Menschen darin eine Rolle spielen. Gegen Dummheit ist kein Kraut gewachsen (stammt nicht von mir!).

Ich bin ganz sicher kein Befürworter von Verschwörungstheorien, doch ich muss ohnmächtig zusehen, wie die Menschen (ich bin einer davon), immer unter dem Vorwand der Sicherheit (oder a.a.O. Gesundheit) Stück für Stück geknebelt und entmündigt werden.

Erst waren es NOX, dann das Rauchen, dann Feinstaub, dann BPA. Der Hanauer Forst wurde unter dem Vorwand des Bandschutzes geräumt. Im BER spülen ständig schärfer werdende Brandschutzvorschriften Xzig Millionen in dubiose Taschen.
Zum Glück rettet uns PSD2 nun wenigstens vor Online-Verbrechern.

Irgendwann wird unser Leben sehr sicher sein aber dafür auch sehr überflüssig (siehe auch "Die Zeitmaschine" von H.G.Wells).

Prost.

PS: Ich frage mich, wie ich die letzten 50 Jahre unverletzt überleben konnte.

Betreff: phototan sehr sicher und besser als vorher ?

Kim007 — Fri, 11 Oct 2019 11:10:05 GMT

Eine sehr gute Analyse...

Betreff: phototan sehr sicher und besser als vorher ?

Kim007 — Fri, 11 Oct 2019 11:44:28 GMT

Bei dem hier aufgelisteten 1. Argument fehlen mir echt die Worte. Wer so blöd ist, dem kann man nicht mehr helfen.

Im übrigen wurden schon im Oktober 2016 die ersten PhotoTan`s gehackt.

https://www.heise.de/security/meldung/Photo-TAN-Apps-der-Deutschen-Bank-Commerzbank-und-Norisbank-angreifbar-3353401.html

Sicher ist, dass nichts sicher ist...

Betreff: phototan sehr sicher und besser als vorher ?

Necoro — Fri, 11 Oct 2019 12:07:00 GMT

@Kim007 schrieb:
Im übrigen wurden schon im Oktober 2016 die ersten PhotoTan`s gehackt.

https://www.heise.de/security/meldung/Photo-TAN-Apps-der-Deutschen-Bank-Commerzbank-und-Norisbank-angreifbar-3353401.html

*gähn* Auf diesen Beitrag habe ich glaube ich hier in der Community schon 4-5x geantwortet. Es gibt doch bereits den 27-Seitigen iTan/Photo-Tan-Thread (s. die Link-Liste von @t.w. oben), dort sind alle (ja, alle!) Argumente für und wider bereits bis zum Erbrechen ausdiskutiert worden.

Betreff: phototan sehr sicher und besser als vorher ?

til — Fri, 11 Oct 2019 12:22:08 GMT

@Tekkx schrieb:
... und wieso hat man dann früher nicht einfach den Besteller der 20 TAN und/oder das Überweisungsziel gegengeprüft?
Die Leute, die das früher nicht getan haben (sind inzwischen nicht jünger geworden und) tun das beim mTAN... genauso nicht.
Phishing wird immer ein Problem bleiben. Systeme werden immer unsicher sein, solange Menschen darin eine Rolle spielen.

Weil du es bei der (i)TAN-Liste nicht gegenprüfen kannst! Klar wird Phishing ein Problem bleiben, aber mit photoTAN ist man schon sehr gut dagegen gewappnet und kann auch von kompromittierten Geräten Transaktionen ausführen.

@Kim007 Wie gesagt, wurde das schon zig Mal diskutiert: erstens ist die comdirect davon nicht betroffen (hat Vincent Haupert meine ich auch mal selbst gesagt), und zweitens ist man erst recht nicht betroffen, wenn man die photoTAN-App auf einem separaten Gerät offline verwendet.

Und ja, ich kenne die Talks vom Chaos Communication Congress, und bin bei vielem auch eher vorsichtig. Aber bei photoTAN sehe ich keine Gefahr.

Betreff: phototan sehr sicher und besser als vorher ?

Weinlese — Sat, 12 Oct 2019 03:42:30 GMT

@til schrieb:
@Kim007 Wie gesagt, wurde das schon zig Mal diskutiert: erstens ist die comdirect davon nicht betroffen (hat Vincent Haupert meine ich auch mal selbst gesagt), und zweitens ist man erst recht nicht betroffen, wenn man die photoTAN-App auf einem separaten Gerät offline verwendet.

Das ist aus meiner Sicht das entscheidende Argument für photoTAN. Ein externes Lesegerät, das statt der iTAN-Liste zuhause in der Schublade liegt, ist nicht nur genau so sicher wie die Papierliste, es ist sogar sicherer, weil jede TAN zweckgebunden ist. Selbst wenn es einem Angreifer geingt, die TAN durch Schadsoftware abzufangen, so kann er sie nicht für eine manipulierte Transaktion missbrauchen.

Viele Grüße

Weinlese