Zwei Faktor Authentifizierung

Social-Media-Team
Social-Media-Team
Beiträge: 875
Mitglied seit: 05.04.2017

Hallo allerseits,

 

danke für eurer zahlreiches Feedback.

 

Mal eine Rückmeldung zum Thema PIN am Telefon: Jeder Anrufer wird zunächst von unserem Sprach-Computer begrüßt und nach den Zugangsdaten gefragt. Üblicherweise geben die Kunden ihre Zugangsdaten dann über die Tastatur ihres Telefons ein und landen dann, wenn gewünscht, in der Kundenbetreuung. Unsere Kundenbetreuer haben dank der vorangegangenen Identifizierung auch gleich alle Kundendaten auf dem Schirm.

 

Manchmal allerdings geben die Kunden keine Zugangsdaten ein - aus welchem Grund auch immer: PIN in der Hektik vergessen, Eingabe zu langsam, Störgeräusche in der Leitung, Finger zum Tippen zu dick, Angst vorm Abhören durch Geheimdienste, dem Finanzminister oder dem Finanzamt (ja, einige Kunden fürchten sich wirklich davor!) und so weiter.

 

Diese Kunden gelangen unlegitimiert in der Kundenbetreuern. Haben sie dann eine kontobezogene Frage oder sogar einen Auftrag, fragen die Kollegen nach der vollständigen Zugangsnummer und nach 5 Ziffern der PIN - eine Ziffer wird nach Zufallsprinzip weggelassen, nicht nur die mittlere, wie von @mammuth behauptet. Somit muss der Kunde nicht seine gesamte PIN laut nennen und damit eventuell sich in Hörweite befindliche Zuhörer beglücken.

 

Auf welchem Weg auch immer die PIN eingegeben wurde: Die Abfrage der Zugangsdaten dient in erster Linie dazu, die Identität des Kontoteilnehmers zu verifizieren und den unbefugten Zugriff durch Dritte zu verhindern.

Da @mammuth ja einen Mißbrauch durch die Mitarbeiter selbst befürchtet. Bitte habe etwas mehr Vertrauen in unser Mitarbeiterinnen und Mitarbeiter. Alle Menschen bei uns verrichten ihre Arbeit nach bestem Wissen und Gewissen und haben bestimmt nicht im Sinn, gleich nach deinem Anruf dein Konto leerzuräumen. Smiley (zwinkernd)

Übrigens haben Kundenbetreuuer grundsätzlich die Möglichkeit, auf Konten zuzugreifen. Anders wäre eine Bearbeitung von Kundenaufträgen gar nicht möglich.

 

Eine Frage noch an @mammuth: Du schreibst " Damit ein solcher Abgleich funktioniert, muss die PIN (bzw. zumindest alle Zeichen bis auf das mittlerste) im Klartext gespeichert sein." Was meinst du damit? Wo soll angeblich die PIN im Klartext gespeichert sein? 🤔

 

Danke für deine Idee zur online generierten Telefon-PIN, @MalteHe. Das ist ein interessanter Vorschlag, aber ich fürchte, dass das Verfahren für Kunden, die gerade nicht online gehen können oder sogar keinen Computer haben (ja, diese Kunden gibt es auch!) , nicht sehr praktikabel wäre. Smiley (fröhlich)

 

Viele Grüße

Philipp

 

 

 

 

 

 

 

 


Wusstest du, dass man jeden Beitrag taggen kann – auch fremde? Dadurch verbesserst du die Auffindbarkeit von Themen.
MalteHe
Autor ★
Beiträge: 7
Mitglied seit: 25.11.2018

@SMT_Philipp

Hi,

vorab: Ich finde es sehr positiv, dass hier auch comdirect Mitarbeiter sich zu den im Forum diskutierten Themen äußern. 

Selbst wenn du die generierte Pin (wäre ja auch beispielsweise über eure PhotoTAN App integrierbar) nicht für praktikabel hältst, dann könnte man ja einen Schritt zurück gehen und eine fixe Telefonpin (wie z.B. bei euren Kollegen von der ING Diba realisiert) nachdenken.

 

Zudem würde ich mich freuen, wenn du bzgl. eurer Gründe sich gegen 2FA und Passwörter statt PINs für das Onlinebanking mehr sagen könntest. Wie bereits mehrfach erwähnt erschließt sich mir nicht, wieso z.B. meine Steam Spielesammlung besser geschützt ist, als mein Onlinebanking Account.

 

Viele Grüße

Malte

Experte ★★★
Beiträge: 736
Mitglied seit: 16.08.2016

@MalteHe  schrieb:

Selbst wenn du die generierte Pin (wäre ja auch beispielsweise über eure PhotoTAN App integrierbar) nicht für praktikabel hältst, dann könnte man ja einen Schritt zurück gehen und eine fixe Telefonpin (wie z.B. bei euren Kollegen von der ING Diba realisiert) nachdenken.


Bei der ING war ich auch Kunde und als ich mal telefonische Hilfe brauchte (im Urlaub) wusste ich die Telefonpin natürlich nicht da ich sie noch nie benutzt habe.

Ist für mich nicht praktikabel.

MalteHe
Autor ★
Beiträge: 7
Mitglied seit: 25.11.2018

@Goliath74

Falls es für manche tatsächlich so schwer ist ihre Passwörter/PINs entsprechend abzulegen, dass man auch Zugriff hat, wenn man sie benötigt, dann könnte man die Telefonpin ja im Kundencenter selbst wählen lassen und Leute die keinen Wert auf die zusätzliche Sicherheit legen, können sich die identische PIN festlegen. Ähnlich zur Optionalität der 2FA.
Dass einige Kunden keinen Wert auf Sicherheit legen oder die bisherige für ausreichend erachten, kann m.E. zumindest niemals ein Grund sein diese für alle zu verweigern. 

 

Viele Grüße

Malte

mammuth
Autor ★
Beiträge: 11
Mitglied seit: 26.05.2017

Danke für die ausführlichen Erklärungen, @SMT_Philipp, ich gehe nachfolgend auf einzelne Passagen ein.

 

 


@SMT_Philipp  schrieb:

Diese Kunden gelangen unlegitimiert in der Kundenbetreuern. Haben sie dann eine kontobezogene Frage oder sogar einen Auftrag, fragen die Kollegen nach der vollständigen Zugangsnummer und nach 5 Ziffern der PIN - eine Ziffer wird nach Zufallsprinzip weggelassen, nicht nur die mittlere, wie von @mammuth behauptet. 

Danke für die Richtigstellung. Ich konnte natürlich nur meine bisherige Erfahrung kundtun, indem ich von dem einen Fall berichtete, wo es mir unterkam.
Die zufällige Wahl der auszulassenden Ziffer ist womöglich im Schnitt etwas besser (man kann nicht mehr durch Raten von nur 10 Möglichkeiten die PIN rekonstruieren), allerdings lässt sich damit die vollständige PIN im Schnitt durch einen zweiten Kontakt mit dem Kunden rekonstruieren (indem beim zweiten mal eine andere Stelle weggelassen wurde). (Ich ahne, was du sagen möchtest, daher: s. Anmerkung unten zu "aber wir vertrauen doch unseren Mitarbeitern")

Fakt bleibt zusätzlich dennoch: Die tatsächlichen Zugangsdaten (leicht maskiert) als Authentifizierungsmethode zu nutzen ist wahrlich wenig sinnvoll. Es gibt genug (einfache) Alternativen - @MalteHe hat ja zB. bereits die temporäre Support-PIN angesprochen.

Ich verstehe nicht, warum man es nicht einfach sinnvoll umsetzt sondern sich Argumente an den Haaren herbei zieht, die die technisch unsaubere Umsetzung rechtfertigen.

 


@SMT_Philipp  schrieb:

Da @mammuth ja einen Mißbrauch durch die Mitarbeiter selbst befürchtet. Bitte habe etwas mehr Vertrauen in unser Mitarbeiterinnen und Mitarbeiter. Alle Menschen bei uns verrichten ihre Arbeit nach bestem Wissen und Gewissen und haben bestimmt nicht im Sinn, gleich nach deinem Anruf dein Konto leerzuräumen. Smiley (zwinkernd)

Käthe, bist du das? 

 

Spaß beiseite: Meine Aussage war weniger, dass ich konkret Missbrauch fürchte, als dass es schlicht vernünftig ist, Missbrauch durch branchenübliches Verhalten vorzubeugen.

Dass man als Unternehmen Vertrauen in seine Mitarbeiter hat, ist wahrhaftig kein Grund übliche Datenschutz- oder Sicherheitsmaßnahmen nicht umzusetzen.

 

Auch ist "das Konto leerräumen" nicht die einzige Gefahr, vor der man sich schützen möchte - wie es auf den vorherigen Seiten ja schon von anderen ausdiskutiert wurde. 

 


@SMT_Philipp  schrieb:

 

Übrigens haben Kundenbetreuuer grundsätzlich die Möglichkeit, auf Konten zuzugreifen. Anders wäre eine Bearbeitung von Kundenaufträgen gar nicht möglich. 


"Dass jeder Service-Mitarbeiter Zugriff auf alle Unternehmens-/Kundendaten hat ist jedenfalls nicht zeitgemäß." - @MalteHe

 

Weiterhin ging es ja darum, dass der Supportmitarbeiter (wenn er die PIN rekonstruiert hat), sich im Namen des Kunden auf comdirect.de anmelden könnte. Eine solche mögliche Impersonierung kann man doch nicht rechtfertigen, indem man argumentiert, dass der Mitarbeiter im Rahmen seiner Supportsoftware sowieso Zugriff auf das Konto hätte.

 


@SMT_Philipp  schrieb:

 

Eine Frage noch an @mammuth: Du schreibst " Damit ein solcher Abgleich funktioniert, muss die PIN (bzw. zumindest alle Zeichen bis auf das mittlerste) im Klartext gespeichert sein." Was meinst du damit? Wo soll angeblich die PIN im Klartext gespeichert sein? 🤔


Hier hat @Weinlese mich ja bereits auf etwas hingewiesen, was ich übersehen hatte:

 

"Das stimmt so nicht. Die PIN kann weiterhin verschlüsselt (mit Hash und Salt) gespeichert werden, weil beim Prüfen auf Korrektheit sehr schnell alle zehn möglichen Eingaben durchgeprüft werden können. Passt eine von ihnen, waren die fünf Ziffern korrekt, andernfalls würde keiner der zehn Hashes mit dem in der Datenbank gespeichert übereinstimmen. Es muss also nicht auf eine verschlüsselte Speicherung verzichtet werden. Ob die comdirect das auch tatsächlich so umsetzt, weiß ich natürlich nicht, technisch machbar wäre es aber.Smiley (fröhlich)" - @Weinlese

 

Damit hat er vollkommen recht!

Sich jetzt zu überlegen wie Comdirect das umgesetzt hat, wäre wohl reine Spekulation - dennoch erlaube ich mir zu sagen, dass es in meine Erwartungshaltung passen würde, wenn es tatsächlich ungehashed gespeichert wäre. Smiley (Zunge)

Experte ★★★
Beiträge: 736
Mitglied seit: 16.08.2016

@mammuth

Arbeitest Du in einer Bank?

Glaubst Du das die Mitarbeiter einer Bankfiliale keinen Zugriff auf alle Konten haben? Sicherlich auf alle Konten die zu Ihrer Filiale gehören.

Bei der Sparkasse können die Mitarbeiter sogor auf Konten von anderen Filialen zugreifen.

Warum sollten also die Codi Mitarbeiter die Kundenkontakt haben nicht auf alle Konten zugreifen können?

 

kevkev
Einsteiger
Beiträge: 1
Mitglied seit: 20.01.2019

Hallo,

 

Ich finde eine "Anmeldung in 2 Schritten", wie sie es z.B. bei Google mittlerweile gibt, eigentlich auch sehr wichtig. Gerade bei einer Online Bank sollte soetwas doch möglich sein. 

ChristianK
Einsteiger
Beiträge: 1
Mitglied seit: 02.02.2019

Hallo,

 

als Informatiker halte ich den Login per Username und Passwort auch nicht mehr für zeitgemäß. Inzwischen bieten ja zahlreiche Anbieter (Google,amazon,Papyal,Kryptobörsen...) 2 Faktor an. Sei es mit Google Authenticator oder SMS mit Zugangscode. Natürlich gibt es auch noch Gegenbeispiele, aber ich würde mit schon wünschen, dass der Zugang zu meinem Bankkonto demnächst per 2 Factor abgesichert wird. Ich denke jeder hätte ein besseres Gefühl dabei und dem Image der comdirect würde es sicher auch nicht schaden. Technisch halte ich das ganze persönlich für nicht sehr aufwändig umzusetzen.

DonQuijote
Autor ★
Beiträge: 6
Mitglied seit: 08.01.2017

Aufgrund eines Artikels in der SZ heute habe ich mal nachgelesen, wie es um 2FA bei comdirect steht. Gibt es dazu etwas neues? Kaspersky Labs empfiehlt insbesondere für Banking und E-Mail eine 2FA-Authentisierung. Wenn ich es richtig verstanden habe, dann ist es auch nicht möglich, die PIN durch ein komplexes Passwort zu ersetzen, richtig? Was spricht gegen ein komplexes Passwort?

Experte ★★
Beiträge: 460
Mitglied seit: 11.10.2017

@DonQuijote

Die Diskussion zu 2FA und stärkerem Passwort wird jetzt schon eine Weile hitzig in mehreren Fäden geführt. Das stärkste Argument gegen ein längeres Passwort scheint die interne Umstrukturierung bei der comdirect zu sein, die dafür nötig wäre, denn das Passwort wird aktuell auch für die Authentifizierung am Telefon genutzt.

 

Aufgrund der häufigen "Beschwerden" zu diesem Thema hier, denke ich, die comdirect wird irgendwann doch Änderungen beim Login vornehmen. Vermutlich wird das aber nicht von heute auf morgen passieren, weil dann eben für Telefontransaktionen ein neues Verfahren gefunden werden muss.

 

Gegen eine direkte Umsetzung eines freiwilligen 2FA-Login spricht, abgesehen von etwas Programmieraufwand, meines Erachtens aber nichts.

 

Viele Grüße

Weinlese