Hotline fragt nach Zugangs PIN

[Weinlese]

---

@Peter2018  schrieb:

Andere Banken lösen das Identifikationsproblem z.B. durch ein eigenständiges Service Passwort, das nur für die Hotline bestimmt ist und ansonsten wertlos ist.

---

Was das Problem eigentlich noch schlimmer macht. Wie oben angedeutet, würde ein potentieller Mithörer neben dem Telefon nicht mitbekommen, welche Ziffern abgefragt wurden. Selbst wenn er also alle fünf Ziffern notieren würde, könnte er weder beim Online-Login noch am Telefon etwas damit anfangen. Würde er nur das Telefonpasswort mitbekommen, könnte er es am Telefon direkt wiederverwenden.

Angenommen der Lauscher sitzt nicht neben dir am Telefon, sondern hat es irgendwie geschafft, deine Telefonleitung/Funkverbindung abzuhören. Dann wäre das PIN-Ziffern-Verfahren noch immer 10x sicherer, weil der Kundensupport beim nächsten Mal nach der noch unbekannten Ziffer fragen könnte. (Werden mehrere Telefonate mitgehört natürlich nicht mehr.) In beiden Fällen ist die PIN-Variante noch am sichersten.

Vollständig sicher ist natürlich kein Verfahren, bei dem der Kunde sich beim Support nur mit irgendeiner Form von Passwort ausweisen muss. Sicherer wäre auch hier ein 2-Faktor-Verfahren, z.B. bei dem der Kunde vom Support eine TAN per SMS oder an eine pushTAN-App zugeschickt bekommt. Die zusätzliche Sicherheit würde man dabei hingegen wieder gegen Bequemlichkeit eintauschen. Irgendwas ist ja immer ...

Viele Grüße

Weinlese

[Goliath74]

Und die Telefon Pin dieser holländischen Bank weiß man nie wenn man Sie braucht.

Eine Pin die Du alle drei Jahre mal benutzt wird Dir nicht einfallen wenn Du im Urlaub was dringendes zu klären hast.

[codibank]

Hallo allerseits, 

Ich verstehe ja einerseits die kritischen Kommentare manchner User hier, andererseits jedoch auch @nmh und @Social-Media-Team. 

Wäre es denn nicht möglich, dass die PIN-Eingabe standardmäßig immer über das IVR-System erfolgt? Also auch dann, wenn der Kunde vergessen hat am Anfang von dem Gespräch die PIN über das System einzugeben. Dann würde sich kein Kunde mehr beschweren und für die comdirect dürfte das doch auch kein Beinbruch sein. 

Euch dürfte doch egal sein, ob der Mitarbeiter fünf Stellen der PIN erfragt oder ein par Sekunden wartet, bis das System die korrekte Eingabe der PIN bestätigt. 

Viele Grüße

codibank

[ehemaliger Nutzer]

Hallo @codibank,

jeder Mitarbeiter hat die Möglichkeit, den Kunden auf seinen Wunsch hin wieder in den Sprachcomputer zu verbinden. 😉

Viele Grüße, Mario

[codibank]

Hallo @ehemaliger Nutzer,

Danke, das wusste ich bereits.

Mein Vorschlag wäre halt, dass man dies nicht nur auf Wunsch des Kunden hin macht sondern dies als standardmäßigen Ablauf implementiert. Weil es anscheinend viele Kunden gibt, welche die Legitimation mit Zugangsnummer und PIN durch den jeweiligen Kundenbetreuer als riskant ansehen. Das dieses Sichherheitsrisiko de facto nicht besteht, lasse ich hierbei mal aus. Das wurde ja bisher zur genüge von allen Beteiligten diskutiert.  

Man könnte somit verhindern, dass manche Kunden durch die Abfrage der PIN verunsichert werden und die Sicherheit des Verfahrens falsch einschätzen. 

Viele Grüße nach Quickborn

codibank 

[ehemaliger Nutzer]

Hallo @codibank,

grundsätzlich landen die Kunden immer zuerst im Sprachcomputer. Erst wenn sie dort keine Eingaben tätigen, werden sie zu einem Kundenbetreuer durchgestellt.

Viele Grüße, Mario

[comdiwilli55]

Hallo,

mir ging es gerade eben genauso wie Hägar:

Um nach dem Verlust meiner TAN-Liste eine neue zu beantragen, habe ich mich in mein Konto eingeloggt, mit Zugangsnummer und 6-stelliger PIN. Ich war folglich also als der Kontoinhaber identifiziert. Leider wurde ich jedoch an die Tel.Hotline verwiesen, die daraufhin nochmals dieselben Daten von mir abfragte - ohne die besagte, zufällig gewählte eine Ziffer der PIN.

Alarm ! Sollte ich diese in meinem eigenen Interesse wirklich nennen ?!?

Ich habe es nach zu kurzem Überlegen überstürzt getan und damit falsch gehandelt, heul. Auf die Möglichkeit einer Legitimierung per Sprachcomputer wurde ich im Gespräch leider nicht hingewiesen - dies wäre definitiv weniger heikel gewesen.  Ich war zu doof, überrumpelt oder was auch immer, jedenfalls der Situation offensichtlich nicht gewachsen. 

Ich stimme Hägar vollstens zu: Nach spätestens 10 Versuchen kann sich der nette Berater nun unerkannt von jedem beliebigen Rechner in mein Konto einloggen. Mahlzeit.

Meine PIN werde ich ändern - sobald ich die neue TAN-Liste erhalten habe ... bis dahin hat der nette Berater nun aber noch volle 2 Tage alle Möglichkeiten ... mir wird flau im Magen, Himmel hilf !

Bitte, liebe Comdirektler: Ändert diese Abfrage, mein Nächster wird es euch danken ! 

Nun wundere ich mich zu lesen, dass dies so tatsächlich okay sein soll. 

Was wird durch die telefonische Abfrage der Zugangs-PIN ohne TAN gewonnen ?

Wäre denn die direkte Erlaubnis für den ordnungsgemäß eingeloggten Kontoinhaber nicht viel sicherer, per Mausklick ohne TAN eine neue Liste anfordern zu dürfen ? Vielleicht verbunden mit einer Nachricht in der postbox, dass eine solche beantragt und versendet wurde ? Immerhin musste man so bereits alle 6 Ziffern der PIN eingeben, statt nur 5, die zufällige Auswahl der fehlenden Stelle spielt aus mathematischer Sicht wohl kaum eine Rolle. Vor allem ist daran kein menschlicher Berater beteiligt, der das alles missbrauchen bzw. weitergeben könnte. Wäre es ihm nachweisbar ? Denkbar fände ich auch, zusätzlich zur Bestellung per Klick noch einen Anruf bei der Hotline, mit Abfrage von z.B. Kontonummer und Zugangsnummer; keinesfalls jedoch die PIN - das ist ein absolutes nogo. Der Berater könnte dann den Antrag des eingeloggten Kontoinhabers freischalten müssen, kennt aber persönlich nicht die PIN.

Denkt mal bitte darüber nach, und schöpft auch andere Möglichkeiten aus, etwa die beiden von mir genannten. Hier ist bestimmt noch viel Luft nach oben.

Herzliche Grüße - euer Willi, der sich noch 48 Stunden in seinem schlimmsten Unbehagen befindet ...

[comdiwilli55]

Zusatz:

Ich wusste leider nicht, dass es genau diese Zugangsdaten sind, die der Sprachcomputer vorab von mir verlangte - sonst hätte ich sie selbstverständlich eingegeben. Meine Erwartungshaltung war, wie angekündigt mit einem Berater verbunden zu werden, daher war ich beim Sprachroboter still. Allerdings wäre dann die erneute Abfrage und Eingabe auch beim Bestellen der Liste per Klick im Servicebereich möglich und vermutlich nicht weniger sicher als die Abfrage am Telefon. 

[SMT_Erik]

Hallo @comdiwilli und herzlich willkommen in unserer Community!

Keine Sorge, es wird schon keiner deine PIN missbrauchen! So viel Vertrauen darfst du deiner Bank schon entgegenbringen. Und sollte doch einmal geschehen, was du befürchtest, wäre das alles nachvollziehbar und hätte für den Bösewicht sehr üble Konsequenzen.

Meine Kollegen Philipp und Mario haben in diesem Thread schon ausführlich zu diesem Thema geantwortet. Ich habe dem nichts hinzuzufügen.

Gruß aus Quickborn

Erik

[Goliath74]

@comdiwilli55

Herzlich willkommen hier in der Community.

Ich habe das Gefühl das Du die Kommentare vorher nicht gelesen hast denn sonst hättest Du Dir nicht die Mühe machen müssen so einen langen Beitrag zu schreiben mit Themen die bereits behandelt wurden. Gerne gebe ich Dir aber noch einmal detailierte Antworten.

Nur weil Du online eingeloggt bist heißt es ja nicht automatisch das die selbe Person anruft.

Wenn Du keine Zugangsdaten am Telefon eingibst kommst Du zu einem Kundenbetreuuer der die Daten von Dir erfragt. Es wird bei der PIN EINE Stelle ausgelassen. Welche sagt Dir der Mitarbeiter der codi.

Natürlich wirst Du nicht erneut auf die Möglichkeit der Legitimierung am Sprachcomputer hingewiesen denn die hattest Du ja schon. Die erneute Möglichkeit musst Du schon aktiv einfordern.

Dein Bespiel mit den 10 Versuchen ist aus zwei Gründen Quatsch. Erstens wird nach drei falschen Versuchen Dein Zugang gesperrt und zweitens haben die Mitarbeiter der codi auch ohne Deine Zugangsdaten Zugriff auf Dein Konto. Wie sollten die Leute dort denn sonst Aufträge von Kunden bearbeiten die einen Brief oder Fax schicken???

Ja Du kannst Deine PIN ändern wenn Du kein Vertrauen in die Mitarbeiter Deiner Bank hast. Nein Du musst nicht zwei Tage warten denn das geht auch über den Sprachcomputer. Natürlich nur wenn Du diesmal auch Zugangsdaten eingibst.

Eine TAN-Liste online ohne Freigabe durch ein TAN bestellen zu können ist völlig unsicher für alle Beteiligten. VIelleicht bist Du im Urlaub, hast Deine Zugangsdaten in einem Ordner im Regal stehen, ausser der TAN-Liste, Bei Dir wurde eingebrochen und nun bestellt der Einbrecher schön eine Liste und wartet einfach bis die im Briefkasten ist. Du bist ja im Urlaub.

Eine Frage wäre auch wie Du am Telefon, ohne Legitimation durch Deine Zugangsdaten, eine Überweisung oder Wertpapierorder aufgeben willst?

Jeder Zugriff auf Dein Konto wird registriert. Egal ob Du das machst oder einer bei der codi. Anrufe werden sogar aufgenommen.

Wenn Du den Mitarbeitern Deiner Bank nicht traust, wirst Du wohl wieder ein Konto bei einer Filialbank eröffnen müssen und in Zukunft auf das Onlinebanking verzichten.