Thema "Re: Betreff: Wie funktioniert das PhotoTAN-Lesegerät?" in Konto, Depot & Karte

Wie funktioniert das PhotoTAN-Lesegerät?

MarvMan — Tue, 06 Nov 2018 16:02:24 GMT

Hallo,

mich würde es einfach mal interessieren, wie das Lesegerät (nicht die App) generell funktioniert(bzw. näher kommuniziert). Hat es eine SIM/eingebaute Datenverbindung oder muss es in ein WLAN eingewählt werden?

Vielen Dank,

MarvMan

Betreff: Wie funktioniert das PhotoTAN-Lesegerät?

Frnk — Tue, 06 Nov 2018 16:10:34 GMT

Es hat einen optischen Sensor. "Photo" und so 😉

Betreff: Wie funktioniert das PhotoTAN-Lesegerät?

MarvMan — Tue, 06 Nov 2018 16:12:20 GMT

Danke. Aber meine eigentliche Frage bezog sich hauptsächlich auf die Kommunikation zum Online-Banking, also wie die Tan kommuniziert wird. Das mit der Kamera war mir bislang auch klar

Betreff: Wie funktioniert das PhotoTAN-Lesegerät?

Frnk — Tue, 06 Nov 2018 16:13:28 GMT

Die TAN wird am Display angezeigt und dann eingetippt. Es erfolgt keine automatische Übermittlung der TAN.

Re: Betreff: Wie funktioniert das PhotoTAN-Lesegerät?

SMT_Philipp — Tue, 06 Nov 2018 16:16:26 GMT

Hallo @MarvMan,

das Lesegerät hat keine Internetverbindung oder sonstigen Schnittstellen. Auch die photoTAN App braucht nach der Installation auf dem Smartphone keine Verbindung nach Hause. 🙂

Viele Grüße

Philipp

Re: Betreff: Wie funktioniert das PhotoTAN-Lesegerät?

MarvMan — Tue, 06 Nov 2018 16:17:32 GMT

Tut mir leid, dass ich so nachhake, aber ich verstehe es immer noch nicht. Woher weiß das Online-Banking dann, dass die eingegebene Tan richtig ist? Nur aus dem Bildcode?

Re: Betreff: Wie funktioniert das PhotoTAN-Lesegerät?

Frnk — Tue, 06 Nov 2018 16:37:19 GMT

Das Online-Banking erzeugt ja den QR-Code, der als Ausgangspunkt für die TAN dient.

Damit das Gerärt (bzw. du als Kontoinhaber) eindeutig identifiziert wird, muss die App registriert werden. Das passiert mit dem Registrierungsbrief. Dabei wird auf dem Gerät ein Schlüssel erzeugt, der an dieses Gerät gebunden ist. ~~Bei einem externen TAN-Generator entfällt dieser Schritt, der Schlüssel ist bereits in der Hardware des Geräts.~~

Re: Betreff: Wie funktioniert das PhotoTAN-Lesegerät?

SMT_Philipp — Tue, 06 Nov 2018 16:34:34 GMT

Hallo @MarvMan,

siehe die Antwort von @Frnk.

Allerdings muss auch das Lesegerät mit der Grafik aus dem Brief und aus dem Persönlichen Bereich aktiviert werden. Ohne diesen individuellen Schlüssel würden weder Lesegerät noch die App funktionieren.

Wenn du eine Transaktion mit photoTAN freigibst, enthält die Grafik Informationen, die die App bzw. das Lesegerät entschlüsselt und daraus die TAN generiert.

Beste Grüße

Philipp

Re: Betreff: Wie funktioniert das PhotoTAN-Lesegerät?

haxo — Tue, 06 Nov 2018 17:25:35 GMT

Ich liebe meine i-tans und finde sie gefühlt, wenn es um menschliches Versagen geht, auch sicherer, als die "modernen" Methoden.

Was in meinem Schreibtisch liegt, ist sicher und wenn meine Reinemachfrau oder mein B&B-Besuch die Liste kopiert und ins Internet stellt, ist das mein eigener Fehler.

Bei allen Schlüsseln die durch den Äther (<- ich bin konservativ) schwirren, habe ich kein gutes Gefühl.

Egal, folgende Frage: Ich mag mein Smartphone nicht überfrachten, würde mir also ein externes Gerät kaufen,

a) Kann ein externes Gerät 5 oder 6 Banken/Broker und was weiß ich verkraften?

b) Kann man sowohl ein externes als auch sein Handy registrieren und wählen?

c) Kann man auch mit dem Smartphone auf dem die Photo-App drauf ist die Transaktion machen oder muss man irgendwie im Spiegel fotografieren?

PS: Ich hasse jede Art von Veränderung, schon mal erwähnt?

Re: Betreff: Wie funktioniert das PhotoTAN-Lesegerät?

nmh — Tue, 06 Nov 2018 17:43:16 GMT

@haxo schrieb:
Ich liebe meine i-tans und finde sie gefühlt, wenn es um menschliches Versagen geht, auch sicherer, als die "modernen" Methoden.
Was in meinem Schreibtisch liegt, ist sicher und wenn meine Reinemachfrau oder mein B&B-Besuch die Liste kopiert und ins Internet stellt, ist das mein eigener Fehler.

Absolute Zustimmung.

Papier-iTANs sind das sicherste und bequemste was es gibt. Das Hauptproblem sind Phishing-Websites. Laut Quellen bei comdirect gibt es immer noch viel zu viele Kunden, die darauf reinfallen. Bei den elektronischen Verfahren erfährt der Kunde die TAN nur, wenn die Bank das will. Das ist aus Banksicht der Vorteil von mTAN und PhotoTAN.

@haxo: Die iTAN-Liste, die Deine Putzfrau neulich ins Netz gestellt hat, habe ich inzwischen fast aufgebraucht. Könntest Du bitte eine neue Liste bestellen und veröffentlichen? Danke!

nmh

Re: Betreff: Wie funktioniert das PhotoTAN-Lesegerät?

Frnk — Tue, 06 Nov 2018 17:48:53 GMT

Der Hauptgrund, warum iTAN inzwischen als nicht mehr besonders sicher gilt, ist nicht die Gefahr einer Veröffentlichung der Liste. Der Punkt, der die iTANs so unsicher macht ist, dass sie nicht an eine spezifische Transaktion gekoppelt sind.

Mit App-TAN sieht man auf dem Display des TAN-Generators Betrag und Empfänger der Transaktion und kann diese prüfen. Wenn eine Transaktion mit Schadsoftware auf dem Computer abgefangen und manipuliert wird, dann kann das bei dieser Kontrolle auffallen.

Der Angriffsvektor, den das Frauenhofer-Institut als potenzielle Schwachstelle bei Photo-TAN identifiziert hat: Wenn Banking-App und Photo-TAN-App auf dem selben Smartphone installiert sind, kann die Übertragung zwischen den beiden Apps unter Umständen kompromittiert sein: Man sieht hier dann bei der Bestätigung in der Photo-TAN-App die Angaben zu Betrag und Empfänger, die man eingegeben hat, im Hintergrund haben die Betrüger aber Betrag und Empfängerkonto geändert und mit genau diesen Daten die Generierung des bunten Codes zur Erzeugung der TAN veranlasst. Hält man sich an die Empfehlung, Photo-TAN auf einem separaten Gerät zu nutzen, kann die Kommunikation zwischen den Apps schlechterdings nicht manipuliert werden.

(Sei noch erwäht, dass diese Manipulation im Labor mit einem gerooteten Android-Smartphone ausprobiert wurde. Kümmert man sich mit gesundem Menschenverstand um regelmäßige Sicherheitsupdates über verlässliche Quellen, ist dieser Angriff recht unwahrscheinlich.)

Wem Smartphones hier zu mysteriös sind, der soll einfach den TAN-Generator nutzen. Den kann man dann auch gerne wieder wie die iTAN-Liste im Schreibtisch einsperren. 😉

Re: Betreff: Wie funktioniert das PhotoTAN-Lesegerät?

Necoro — Tue, 06 Nov 2018 18:34:42 GMT

@MarvMan schrieb:
Tut mir leid, dass ich so nachhake, aber ich verstehe es immer noch nicht. Woher weiß das Online-Banking dann, dass die eingegebene Tan richtig ist? Nur aus dem Bildcode?

Hallo @MarvMan, da du ja dein Gerät registrieren musst, haben das Gerät und die Bank ein gemeinsames Geheimnis. Daher kann man, allgemein gesprochen, sehr einfach verschlüsseln:

Bank: Verschlüsselt den Text "Transaktion über XY EUR an IBAN DE123... - TAN 1234" und erzeugt aus den verschlüsselten Daten ein Bild.

Dein Gerät: Liest das Bild ein und bekommt die verschlüsselten Daten. Da es ja den Schlüssel kennt, kann es diese entschlüsseln und dir den Originaltext anzeigen.

Mit anderen Worten: Dein Gerät ist dumm, es zeigt dir im Endeffekt nur an, was in dem Code steht.

Das ganze wird in der Praxis sicher noch um einiges komplizierter sein so mit Fehlerkorrektur und evtl auch verschiedenen Schlüsseln etc. Aber das ist dann Implementierungsdetail 🙂

Re: Betreff: Wie funktioniert das PhotoTAN-Lesegerät?

Findbhair — Wed, 07 Nov 2018 00:11:16 GMT

Der Angriffsvektor, den das Frauenhofer-Institut als potenzielle Schwachstelle bei Photo-TAN identifiziert hat: Wenn Banking-App und Photo-TAN-App auf dem selben Smartphone installiert sind, kann die Übertragung zwischen den beiden Apps unter Umständen kompromittiert sein: Man sieht hier dann bei der Bestätigung in der Photo-TAN-App die Angaben zu Betrag und Empfänger, die man eingegeben hat, im Hintergrund haben die Betrüger aber Betrag und Empfängerkonto geändert und mit genau diesen Daten die Generierung des bunten Codes zur Erzeugung der TAN veranlasst. Hält man sich an die Empfehlung, Photo-TAN auf einem separaten Gerät zu nutzen, kann die Kommunikation zwischen den Apps schlechterdings nicht manipuliert werden.

jo, das schaut dann so aus (u.a.): https://youtu.be/jltx8ifPKy8

Re: Betreff: Wie funktioniert das PhotoTAN-Lesegerät?

dg2210 — Wed, 07 Nov 2018 08:00:04 GMT

@haxo schrieb:

Egal, folgende Frage: Ich mag mein Smartphone nicht überfrachten, würde mir also ein externes Gerät kaufen,
a) Kann ein externes Gerät 5 oder 6 Banken/Broker und was weiß ich verkraften?
b) Kann man sowohl ein externes als auch sein Handy registrieren und wählen?
c) Kann man auch mit dem Smartphone auf dem die Photo-App drauf ist die Transaktion machen oder muss man irgendwie im Spiegel fotografieren?

Zu (a) Die Deutsche Bank nutzt dasselbe PhotoTAN-Verfahren wie die comdirect, aber mit anderen Parametern, d.h. die App mit comdirect-Logo liest keine maxblue-TANs und umgekehrt. das ist wieder einmal typisch für die deutschen Privatbanken: die stecken viel Geld in den Kampf gegeneinander statt gemeinsam etwas für den Kunden zu tun.

(b) Ja, auch die App lässt sich auf mehreren Geräten gleichzeitig installieren, in der TAN-Verwaltung lässt sich auch jedes Gerät einzeln deaktivieren.

(c) Spiegel geht nicht, aber man kann den Code mit einem Zweithandy/Fotoapparat abfotographieren und von dessen Display wieder einlesen. Das dient der Sicherheit, weil es keine Schadsoftware auf dem Handy gibt, die ein physisches Bild durch ein externes, zweites Gerät aufnehmen kann.

Re: Betreff: Wie funktioniert das PhotoTAN-Lesegerät?

Elbblick — Wed, 07 Nov 2018 08:22:47 GMT

zu (c): das Gefummel mit einem zweiten Handy oder einer Kamera sind mit der neuen App nicht nötig.

Re: Betreff: Wie funktioniert das PhotoTAN-Lesegerät?

dg2210 — Wed, 07 Nov 2018 08:38:12 GMT

@Elbblick schrieb:
zu (c): das Gefummel mit einem zweiten Handy oder einer Kamera sind mit der neuen App nicht nötig.

Was natürlich aus Sicherheitsgründen kompletter Schwachsinn ist. Der Kern der Zwei-Faktor-Authorisierung ist gerade die Verwendung eines zweiten, unabhöngigen Kanals/Geräts. Wenn man die beiden "Faktoren" in ein Gerät packt, dann ist der Vorteil dahin.

Analogie: um einen Banksafe zu öffnen, braucht man zwei Schlüssel, die von zwei Mitarbeitern verwahrt werden. Jetzt kommt jemand auf die Idee, daß es doch viel praktischer wäre, die beiden Safe-Schlüssel in einem Schlüsselkasten in der Filiale zu deponieren und jeder Mitarbeiter bekommt einen Schlüssel für diesen Schlüsselkasten.

Re: Betreff: Wie funktioniert das PhotoTAN-Lesegerät?

Goliath74 — Wed, 07 Nov 2018 08:50:42 GMT

Nicht schon wieder.

@dg2210

Du kannst die photoTAN App mit einem PW sichern. Wenn Du also über Dein Smartphone eine Überweisung machen willst musst Du erst die codi App entsperren und dann noch die photoTAN App. Der User kann das auch nicht tun aber das ist dann seine Entscheidung.

Das Du kritisierst das codi und Deutsche Bank andere Schlüssel in dem selben Verfahren verwenden ist aber auch mehr als unlogisch.

Sollte Euer Weltuntergangszenario passieren und alle Sicherheitsmechanismen der Apps geknackt werden dann würden ja alle Konten die das selbe Verfahren nutzen (gleicher Schlüssel) offenliegen.

Also erst sagen "alles unsicher" und dann mit "die arbeiten gegeneinander und nicht für den Kunden" klappt also auch nicht.

Re: Betreff: Wie funktioniert das PhotoTAN-Lesegerät?

Frnk — Wed, 07 Nov 2018 09:19:38 GMT

Nicht der Zugriff auf beide Kanäle (Online-Banking und TAN-Generator) ist hier das Problem. Wenn das Smartphone mit Schadsoftware befallen ist, kann die Kommunikation zwischen den beiden Apps manipuliert werden. Das ist meines Erachtens schon eine ernst zu nehmende potenzielle Gefahr bei der Nutzung beider Apps auf dem selben Gerät.

Allerdings fanden simulierte Hacks bislang nur unter Laborbedingungen auf gerooteten Android-Phones statt. Panik ist hier meines Erachtes nicht angebracht. Und Sicherheit ist immer relativ. Und so ist es gut, dass iTAN und SMS-TAN ausgemustert werden.

Verbraucher sollen wissen, wie essenziell es ist, Apps nur aus seriösen Quellen zu installieren und sich um Sicherheitsupdates zu kümmern. Wer bedenken hat, wählt einen separaten TAN-Generator.

Re: Betreff: Wie funktioniert das PhotoTAN-Lesegerät?

haxo — Wed, 07 Nov 2018 09:35:56 GMT

Ich bin noch nicht richtig überzeugt.

Meine beiden Kinder haben je ein Depot/Konto und ich, bzw. meine Holde gemeinsam eines.

Nach den codi-Bestimmungen musste jeder Erwachsene einzeln Bevollmächtigungszugang haben, so wie auch auf das "Elternkonto"

D.h. ich habe sechs (!) Tan-Listen und Zugangsdaten.

Frage: Wird das mit der Photo-TAN noch komplizierter oder einfacher oder bleibt es wie es ist?

Wenn ich als E1 (Elternteil1) eine Aktion für K2 (bevollmächtigt) ausführen möchte und eineTAN abgefragt, bzw. eingeblendet wird, "weiß" das Gerät um welches Konto es sich handelt?

Bitte keine Reaktionen von unseren neuen Wichtigtuern, die plötzlich aus dem Nichts aufgetaucht sind und das Forum verspammen; hier in der Community kommt sicher kein russischer Headhunter vorbei

Re: Betreff: Wie funktioniert das PhotoTAN-Lesegerät?

Frnk — Wed, 07 Nov 2018 09:43:09 GMT

Die App unterstützt meines Wissens bis zu 8 Konten. Wie viele Konten der Generator unterstützt, weiß ich nicht.

Jedes Konto wird separat für Foto-TAN registriert (via separatem Brief mit Registrierungscode). Wenn das Gerät dann einen Code einliest, erkennt es automatisch, ob es für dieses Konto registriert ist.