Thema "Re: PhotoTAN-App direkt herunterladen" in Konto, Depot & Karte

PhotoTAN-App direkt herunterladen

jimitree — Sat, 08 Sep 2018 17:26:59 GMT

Hallo, ich habe ein Smartphone mit Lineage OS und ohne Google Play. Gibt es eine Möglichkeit, die PhotoTAN-App auch direkt, ohne den Umweg über Google Play herunterzuladen? Ich finde, das ist naheliegend, wo doch die bank uns alle geradezu zwingt die App zu nutzen, dann sollte das auch nicht davon abhängen, ob man eine Google-ID hat oder nicht.

Re: PhotoTAN-App direkt herunterladen

ehemaliger Nutzer — Mon, 10 Sep 2018 06:59:53 GMT

Hallo @jimitree,

nein, wir bieten unsere Apps ausschließlich über die offiziellen Stores an.

Viele Grüße, Mario

Re: PhotoTAN-App direkt herunterladen

Necoro — Mon, 10 Sep 2018 07:17:28 GMT

Hallo @jimitree,

sie auch folgenden Thread. Funktioniert eigentlich die PhotoTAN-App ohne erzwungenes Google-Paket (also nach dem Installieren)?

Wenn mal jemand zu viel Geld hat, könnte man mal gerichtlich klären lassen, ob die Bank einen auf zwei Anbieter (Apple und Google) festnageln darf (man stelle sich mal vor, der Elbtunnelbetreiber ließe nur noch Audi und BMW zu*). Man muss halt nur hoffen, einen technikaffinen Richter zu erwischen...

* Mist, Elbtunnel ist ja gar nicht privat. Naja, dann halt Warnowtunnel, auch wenn das da niemandem auffallen würde, weil fährt ja eh niemand durch.

Re: PhotoTAN-App direkt herunterladen

eckhardschnell — Mon, 10 Sep 2018 08:03:59 GMT

Hallo @Necoro,

Sie (comdirect) nagelt Dich ja nicht fest, Du kannst ja MobileTAN benutzen oder das Kästchen kaufen.
Grüße Eckhard

Re: PhotoTAN-App direkt herunterladen

DiWa — Tue, 02 Oct 2018 22:07:44 GMT

"Das Kästchen kaufen" und dann extra mit herumschleppen ist ja wohl ein Witz...

Umso schlimmer, dass ihr das ernst meint.

Re: PhotoTAN-App direkt herunterladen

McGuffin — Mon, 31 Dec 2018 14:58:39 GMT

Hallo @ehemaliger Nutzer,

Das finde ich ist sehr schade...

Gibt es denn seitens comdirect sowas eine "offizielle" Begründung für diese Entscheidung? M.E. kann es doch kein so großer Budgetpost sein, die kompilierte App auch auf dem F-Droid-Markt zu veröffentlich, oder einfach auf der comdirect-Seite zum Download anzubieten.

Angesichts der Enthüllungen um z.B. Cambridge-Analytica sehe ich ja einen gesteigerten Bedarf, Basis-Dienstleistungen wie Online-Banking wahnehmen zu können, ohne sich mit Leib und Seele Google ausliefern zu müssen.

Eine Antwort würde mich sehr freuen.

Viele Grüße + guten Rutsch,

McGuffin

Re: PhotoTAN-App direkt herunterladen

kammann — Tue, 01 Jan 2019 11:11:47 GMT

Bei den meisten kommerziellen App-Anbietern herrscht die Sorge, dass ein Anbieten der Apps in alternativen Stores zur Sperre im Play- bzw Apple-Store führt. Tatsächlich wollen Google und Apple bei sog. "In-App" Umsätzen mitverdienen und sehen somit in alternativen Stores einen Angriff auf ihr Geschäftsmodell. Da der Aussschluss von Apps oft willkürlich passiert, versuchen die kommerziellen App-Anbieter hier jedes Risiko zu vermeiden und bieten ihre Apps quasi im vorauseilendem Gehorsam nur in den offiziellen Stores an.

Bei der PhotoTAN-App gibt es zudem eine Besonderheit: Eigentlich widerspricht die gemeinsame Nutzung von Banking-App und PhotoTAN App auf demselben Gerät den Vorgaben der PSD2, die zwei unabhängige Faktoren zur Freigabe einer Transaktion fordert. Die comdirect meint dieses Problem dadurch umgehen zu können, indem sie die beiden Apps über den App-Store "verdongelt", d.h. die Apps prüfen gegenseitig, ob sie aus demselben Appstore mit demselben Google/Apple Account stammen. Rein sicherheitstechnisch ist das Unsinn, aber solange die Bank per AGB diese gemeinsame Nutzung propagiert, haftet die Bank für Schäden - zumindest solange der Kunde die Apps aus den offiziellen Quellen bezogen hat. Somit muss man sich hier schon aus Haftungserwägungen heraus an die offzielle Lösung halten.

Re: PhotoTAN-App direkt herunterladen

ehemaliger Nutzer — Wed, 02 Jan 2019 09:22:57 GMT

Hallo @McGuffin,

hierbei handelt es sich um eine geschäftspolitische Entscheidung. Unsere Apps werden auch in Zukunft nur über die offiziellen App Stores angeboten.

Viele Grüße, Mario

Re: PhotoTAN-App direkt herunterladen

eckhardschnell — Wed, 02 Jan 2019 10:35:28 GMT

Hallo @kammann,

in Bezug auf iOS einige Anmerkungen.

Die Kommunikation zwischen Apps läuft doch ein wenig sicherer ab als Du denkst.

Bei der App to App Kommunikation kann der Aufrufer geprüft werden in dem die Application Id angefordert wird.

Die Application Id is eindeutig und mit einem Zertifikat hinterlegt.

Weiterhin kann eine Whitelist im System hinterlegt werden, D.h. nur diese Apps dürfen mit mir kommunizieren.

Weiterhin müsste ich in der Lage sein, den Code der PhotoTAN Grafik zu kennen. Wenn dieser ebenfalls per Zertifikat verschlüsselt ist, dann wird es extrem schwierig eine TAN abzugreifen.

Mit freundlichen Grüßen

Eckhard Schnell

Re: PhotoTAN-App direkt herunterladen

marxsxsls — Thu, 21 Mar 2019 21:35:32 GMT

@ehemaliger Nutzer

Leider keine sehr kundenfreundliche "geschäftspolitische Entscheidung" und auch nicht sehr sicherheitsbewußt. Denn der sicherste und zuverlässigste Weg, eine sicherheitsrelevante App zu verteilen, ist natürlich ohne Mittelsmänner via der gesicherten und verschlüsselten Bankingseite.

@kammann

Hat das schon mal einer wirklich getestet, ob die App da wirklich was effektiv testet? Sprich die app einfach per Android-ADB von einem Handy mit google-würg runtergezogen und dann auf eines ohne drauf. Ich hab solche "funktioniert nur via app store" oder "funktioniert nicht auf gerootetem Handy" schon gehört. Bisher ging es meistens trotzdem, wenn man an die apk rangekommen ist und/oder der App halt die root rechte verweigert...

Re: PhotoTAN-App direkt herunterladen

kammann — Thu, 21 Mar 2019 23:16:12 GMT

@marxsxsls:

Bei dem im Jahr 2016 dokumentierten Angriff auf das App-basierte photoTAN wurde genau die fehlende Kopplung der Tan-App mit der Banking-App ausgenutzt und so konnten damals Tans unbemerkt vom Nutzer "abgezogen" werden, siehe

https://idw-online.de/de/news661628

Vermutlich haben alle betroffenen Banken inzwischen nachgebessert - das Grundproblem, dass Android kein sicheres Betriebssystem ist können sie aber nicht lösen. Die PhotoTAN App der comdirect verlangt als Berechtigung, Telefonanrufe zu tätigen - vermutlich wird diese Berechtigung genutzt um auf die IMEI des Geräts oder die IMSI der SIM-Karte zuzugreifen.

Re: PhotoTAN-App direkt herunterladen

baha — Fri, 22 Mar 2019 07:59:52 GMT

Hallo,

es ist überhaupt nicht notwendig, darüber zu spekulieren, wozu die Berechtigung dient. Es steht doch in der FAQ, zu finden in der App-Beschreibung im Play Store, drin:

FAQ „Warum braucht die App die Berechtigung: Anrufinformationen?“

"Anrufinformationen" sind notwendig, um den App-Speicher mit den TAN Daten bei eingehenden Anrufen (Wechsel in den Hintergrund) sicher zu löschen. Abhängig von der Android Version ist es technisch nicht möglich diese Rechte einzeln anzufordern. Die comdirect PhotoTAN App greift zu keinem Zeitpunkt auf Ihre Anrufe, Historien oder andere persönliche Daten zu.

Die "Geräte-ID" wird benötigt, um die Aktivierung an genau dieses Gerät zu binden. Die Geräte-ID wird dabei NICHT an comdirect übertragen.
Selbstverständlich verwenden wir die Berechtigung nur für die oben angegebenen Zwecke. Die aktuellen Berechtigungen können Sie jederzeit in Ihren Android Einstellungen nachlesen (Apps ->photoTAN App -> Berechtigungen -> alle Berechtigungen).

Das sollte als Begründung m.E. ausreichen.

baha

Re: PhotoTAN-App direkt herunterladen

matus — Fri, 22 Mar 2019 18:36:46 GMT

@marxsxslsIch habe grad die Phototan App über Yalp store installiert. Handy mit LineageOS gerootet und ohne Google play store. Ich habe es auch getestet und die App funktioniert problemlos.

Die Entscheidung von Comdirect verstehe ich auch nicht. Mittelfristig werde ich mich nach einer anderen Lösung umschauen müssen. Leider ist die Situation bei der Konkurrenz nicht viel besser. Es gibt noch ein Paar Banken die kostenlos mTAN anbieten, es ist aber fraglich wie lange noch.

Re: PhotoTAN-App direkt herunterladen

Elbblick — Fri, 22 Mar 2019 21:42:50 GMT

@matus schrieb:
habe grad die Phototan App über Yalp store installiert. Handy mit LineageOS gerootet

Die App von einer Hackerseite auf einem gerootetem Frickel-OS.

Läuft bei Dir.

Aber bitte jammer hier nicht rum, sollten auf deinem Konto Dinge passieren, die Du nicht selber veranlasst hast.

Re: PhotoTAN-App direkt herunterladen

marxsxsls — Sat, 23 Mar 2019 01:56:34 GMT

Ich hab es jetzt auch getestet. Die App via google playstore auf ein geliehenes Handy installieren und dann von dem Handy als apk runterziehen. Danach dann auf dem eigenen Handy installieren funktioniert problemlos. Da gibt es keinerlei Überprüfung in der app. Hätte mich auch fast gewundert.

@Elbblick

Das hier work-arounds notwendig sind, dafür trägt in nicht unerheblichen Maße die Comdirect Bank die Verantwortung. Die sicherste Möglichkeit, eine solche App zu beziehen ist von der eigenen Bank. Via google playstore ist minimal weniger sicher, da man einen (hier sehr professionellen) Mittelsmann verwendet. Irgendwelche unbekannten app stores ist natürlich noch etwas unsicherer.

Grundsätzlich kann man apps auch direkt vom google playstore herunterladen lassen mit einem webservice:

https://apps.evozi.com/apk-downloader/

und sollte dann die Datei erst durch scan/Prüfsummenvergleich o.ä. validieren.

Was bleibt ist das bzgl. Sicherheit suboptimale Verhalten der Comdirect Bank. Aber ja, das ist halt "business policy", kann man nix machen.

Re: PhotoTAN-App direkt herunterladen

marxsxsls — Sat, 23 Mar 2019 02:10:56 GMT

@kammann

Meiner Meinung nach gibt es so was wie ein sicheres OS nicht. Das Grundproblem ist eher, daß man versucht eine 2FA auf einem Gerät zu simulieren. Das klappt natürlich nicht so einfach, denn eine 2FA setzt eben zwei voneinander unabhängige Faktoren voraus. Zwei Programme auf ein und demselben Mobiltelefon sind aber nicht unabhängig. Eine Schadsoftware kann root Rechte erlangen und dann der comdirect app alles Mögliche vortäuschen. Auch daß die mobileTAN die richtige Prüfsumme hat, obwohl es nicht stimmt.

Und die Herkunft der app bzgl. der google playstore wird von der mobileTAN app schon mal nicht geprüft. Sonst hätte ich es schon bemerkt.

Re: PhotoTAN-App direkt herunterladen

matus — Sat, 23 Mar 2019 11:02:19 GMT

@Elbblick

> App von einer Hackerseite

Yalp store ist keine Webseite sondern eine App.

> bitte jammer hier nicht rum, sollten auf deinem Konto Dinge passieren, die Du nicht selber veranlasst hast.

Vielleicht verwechseln Sie mich mit jemanden: das war mein erster Beitrag hier im Forum (Hallo? Willkommen?). Auch wenn der Satz vielleicht nicht an mich gerichtet war, ist das eine sehr dumme und gefährliche Empfehlung, welche zu einem Verstoß gegen die AGBs von Comdirect verleitet (z. Bsp. C III 1.9, A II 8.1(1), 8.2 ). Natürlich, sollte jeder jeden verdächtigen Vorgang auf dem Konto (unbeachtet der Haftung und/oder der Verschuldung) bei Comdirect melden - auch hier im Comdirect Forum wenn das den anderen Nutzern helfen mag.

Re: PhotoTAN-App direkt herunterladen

Elbblick — Sat, 23 Mar 2019 18:17:11 GMT

Yalp store ist keine Webseite sondern eine App.

Ob nun Hacker-Webseite oder Hacker-App, irregulär bleib irregulär. Es hat schon seinen Grund, warum Banken Wert darauf legen, dass ihre Apps nicht aus zweifelhaften Quellen auf zweifelhafen Betriebssytemen installiert werden. Punktum. Wer damit Schwierigkeiten hat oder meint es besser zu wissen, sollte sich einmal Gedanken darüber machen, ob nicht mit einem anderen Anbieter besser klar kommt. Das ewige "Ich will die iTAN behalten.", "PhotoTAN ist ja so unsicher", "woanders sind die mTANs aber kostenlos" kann ich langsam nicht mehr hören bzw. lesen.

Re: PhotoTAN-App direkt herunterladen

Elbblick — Sat, 23 Mar 2019 18:32:37 GMT

@Elbblick
Das hier work-arounds notwendig sind, dafür trägt in nicht unerheblichen Maße die Comdirect Bank die Verantwortung.

Falscher Ansatz. Für den Download aus der einzig zulässigen Quelle sind keine work-arounds notwendig. Gerade aus ihrer Verantwortung gegenüber ihren Kunden, erlaubt die comdirect nur den den Downlaod aus dem offiziellen Google Playstore.

@Elbblick
Die sicherste Möglichkeit, eine solche App zu beziehen ist von der eigenen Bank.

Falsch. Um die App von aus einer unbekannten Quelle zu installieren, muss die entsprechenden Sicherheitseinstellung vom Smartphone geändert werden. Außerdem wage ich zu bezweifeln, dass Google ein entsprechendes Zertifikat für die comdirect ausstellt. Dazu kommt noch der nicht zu unterschätzende Aufwand um eine entprechende Download-Infrastruktur einzurichten und zu pflegen.

Re: PhotoTAN-App direkt herunterladen

marxsxsls — Sat, 23 Mar 2019 23:54:22 GMT

@Elbblick schrieb:
@Elbblick
Das hier work-arounds notwendig sind, dafür trägt in nicht unerheblichen Maße die Comdirect Bank die Verantwortung.
Falscher Ansatz. Für den Download aus der einzig zulässigen Quelle sind keine work-arounds notwendig. Gerade aus ihrer Verantwortung gegenüber ihren Kunden, erlaubt die comdirect nur den den Downlaod aus dem offiziellen Google Playstore.

Was das angeht haben wir eine völlig andere und inkompatible Einstellung zur Sache. Für mich ist genau das der falsche Ansatz / Sichtweise.

Was den Aufwand angeht, die Datei in der Bankumgebung zugänglich zu machen - der dürfte viel geringer sein, als die in den playstore zu kriegen.

Ich denke es geht eher darum, den Supportaufwand möglichst minimal zu halten. Wer den Standardweg nicht nutzen kann oder will, hat halt Pech oder muß sich selber zu helfen wissen. Sicherheitstechnisch und Kundenservice suboptimal, aber das schert die Bank ebenso wenig. Ist ein Massengeschäft und es zählt der Gesamtumsatz. Da hab ich keine Illusionen.