2FA - Zwei Faktor Authentifizierung TOTP

[Madirect]

Hallo zusammen,

Zwei Faktor Authentifizierung über TOTP ist einfach, Standard im Netz und sicher. Ich möchte anregen ihn auch bei comdirect anzubieten.

Warum?

Aktuell besteht das Passwort eines Kontos aus wenigen Zahlen, welche verloren oder kopiert und geklaut werden können. Da Login und Passwort sich nie ändern reicht es aus, diese Kombination zu kennen um sich auf einem bekannten PC erneut in dem Konto anzumelden. Dies wird auch durch die aktuelle Photo-Tan nicht unterbunden, wenn der PC bekannt ist und diese nicht bei jedem Login benutzt werden muss.

Lösung?

TOTP ist ein Standard der bereits überall im Netzt genutzt wird und unabhängig von einem Anbieter von vielen verschiedenen Apps unterstützt wird. So wird TOTP beispielsweise bei PayPal, Amazon, Mailanbietern, GitHub, Nextcloud, Microsoft etc benutzt.

Da sich der Einmalcode regelmäßig ändert kann dieser nicht einfach kopiert werden und das Konto ist gegenüber den vorher genannten Attacken sicher (Wie bspw. auch bei der PhotoTan). Gleichzeitig ist da wir alle schon diesen zweiten Faktor einsetzen keine Eingewöhnung in ein neues Verfahren notwendig. Explizit sehe ich als Vorteil, dass der Code unabhängig von einer comdirect App ist, da der Code ja evtl. auch dort eingesetzt werden könnte und dann nicht wirklich ein zweiter Faktor wäre.

User Stories:

Als Kunde der Comdirect erwarte ich, dass mein Login geschützt wird, damit niemand meine sensiblen Daten wie Kontostand, Verläufe, Depot etc ansehen kann.

Als FinTech Comdirect möchte ich meinen Kunden einen einfachen Weg anbieten ihre Daten zu sichern über einen Weg den sie bereits aus ihrem Alltag kennen wie z.B. beim Bezahlen über PayPal.

[ehemaliger Nutzer]

Ob eine Sicherheitsabfrage kommt oder nicht, hängt davon ab, was die 80 Zentimeter vor dem Monitor so einstellen. Wer das nicht weiss, kann der jeweiligen Website keine Schuld geben.

[ComD]

TOTP Geheimnisse/Seed können ohne Kontrolle des Webseite/Betreibers kopiert und nicht zentral für einzelne Geräte des Users verwaltet oder entzogen werden ( ausnaheme seeds je Gerät).
Es kann auf beliebig viele PCs und Smartphones kopiert werden. Die Vorteile von registrierten TAN und SMS TAN sind auf Augenhöhe von Hardware OTPs (one time passwords) während TOTP wie geschrieben für Websites eine gute alternative sind. Die nicht auf Email, SMS oder Hardware gebundene OTPs als Voraussetzung gehen müssen. 

[Weinlese]

---

@Floppy85  schrieb:

Ich bin es auch Leid diese selbsternannten "Experten" zu lesen, die meinen, sie wüssten, was der angebliche Standard ist und die Arroganz besitzen hier Vorzuschreiben, ob die Bank eine Umfrage starten soll, um dem Wunsch Einzelner nachzukommen.

---

Dafür, dass Du anderen Arroganz unterstellst, lehnst Du Dich mit Deinen Vorwürfen aber auch recht weit aus dem Fenster. Im Zitat, was geschrieben wurde:

Ich bitte dies seitens der Comdirect AG aktuell "auf den Tisch zu legen".
Mein Vorschlag wäre von euch eine Kundenumfrage diesbezüglich zu starten.

Ich kann hier weder eine Forderung noch eine Vorschrift erkennen, was die comdirect zu tun oder zu lassen hat, sondern entsprechend dem Unterforum lediglich eine Anregung. Solche Unterstellungen entgegen dem, was eigentlich geschrieben wurde, könnte man auch als eine Form von Arroganz ansehen. So etwas bringt die Diskussion sachlich nicht weiter, macht die Atmosphäre für einen Austausch aber deutlich unangenehmer.

Viele Grüße

Weinlese

[Floppy85]

Ich finde es schon etwas vermessen, aufgrund persönlicher Befindlichkeiten, hier etwas loszutreten und allen Kunden eine Umfrage aufzudrücken.

Dann fordere ich an meiner Stelle, den Forderungen des Users NICHT nachzukommen.

Dann kann man ja gleich fordern, dass die Kundenverantwortung in Sachen Sicherheit und Sorgfalt komplett an die Bank outgesourced werden soll.

[Andreasught]

Ich verstehe ehrlich gesagt das Problem nicht.

Wenn ich als Kunde dieses „Gefühl“ habe, dann ist es doch mein gutes Recht das auszusprechen - natürlich in einem vernünftigen Tonfall (was ich für mich beanspruche) - was ich verbesserungswürdig finde.

Es liegt ja am Unternehmen daran etwas zu ändern oder eben nicht. Alternativ kann ich sagen: Dann wechsle ich die Bank oder ich akzeptiere es so wie es ist.

Die Konsequenzen sind eigentlich klar daher ist es eigentlich nicht notwendig, so einen unfreundlichen Ton anzuschlagen und den „Ritter“ für die comdirect zu spielen. Austausch kann auch sachlich-vernünftig sein.