Hotline fragt nach Zugangs PIN

[Hägar]

Hallo,

kaum zu fassen: die nette Dame von der Hotline hat mich doch tatsächlich gebeten, zwecks Identifikation die PIN (ohne die erste Ziffer) per Telefon durchzugeben.

Die PIN lässt sich nicht online vom Kunden ändern. Ich wäre also ein Risiko eingegangen und hätte bestimmt auch gegen die AGB verstoßen, die in der Regel verlangen, die PIN geheimzuhalten.

Es scheint Bankseitig ein Standard-Verfahren zu sein, sonst hätte sie mit den Ziffern nichts anfangen können.

Meine Anregung: die Kunden am Telefon niemals nach der Zugangs-PIN fragen.

MfG

Hägar

[SMT_Philipp]

Hallo @nerdgirl und @codibank,

ich freu mich, dass ihr das Thema Sicherheit so ernst nehmt und auch kritisch hinterfragt. Danke für eure Anmerkungen.

Unsere Kolleginnen und Kollegen in der Kundenbetreuung bearbeiten jeden Tag die Aufträge unserer Kunden und greifen dabei ständig auf deren Konten zu. Wie sollten sie auch sonst Überweisungen ausführen, Adressen ändern, Depots übertragen oder Kartenlimits ändern und sonstige Probleme lösen. Die Aufträge erreichen uns online, per E-Mail, per Fax oder per Brief - und eben wie schon vor bald 25 Jahren über das Telefon. Auch in Zeiten von Digitalisierung ist das persönliche Gespräch mit ihrer Bank für viele tausend Kunden am Tag immer noch eine wichtige Form des Kontaktes.

Unsere Kundenbetreuung arbeitet serviceorientiert, gewissenhaft und vor allem professionell. Dazu gehört natürlich auch der sorgsame Umgang mit den Daten unserer Kunden. Niemals würde ein Mitarbeiter eure Daten missbräuchlich verwenden. Ich würde mich daher sehr freuen, wenn ihr meinen Kolleginnen und Kollegen mehr Vertrauen entgegenbringen könntet.

Selbstverständlich solltet ihr eure Zugangsdaten niemand anderem weitergeben, weder online noch am Telefon. Eurer Bank hingegen dürft ihr die Daten schon nennen, denn dafür sind sie ja da. 🙂 Wie sonst sollten wir sicherstellen, dass niemand Anderes als der Kunde am Telefon Auskunft über sein Konto erhält oder Aufträge erteilen kann.

@codibank: Wie @Goliath74 schon vorschlug, kannst du dich alternativ wieder zurück in die IVR stellen lassen, um dich für ein weiteres Konto zu legitimieren.

Viele Grüße

Philipp

[nmh]

@SMT_Philipp:  Uiii, eine Abkürzung, die ich noch nicht kenne. Was ist die IVR?    🙂

P.S. Klar, könnte ich googeln. Habe ich auch schon. Aber warum sollte ich hier nicht trotzdem fragen? An dieser Stelle steht ein Smiley mit rausgestreckter Zunge. Ich will Euch nur ärgern, wißt Ihr ja.

nmh

[SMT_Philipp]

Hallo @nmh,

sorry für mein Fachchinesisch. 🙂 Ich hab mal 20 Sekunden meiner wertvollen und überbezahlten* Zeit geopfert und diesen Wiki-Artikel für dich gefunden.

Wenn du da nicht drauf klicken möchtest: IVR steht für Interactive Voice Response, also für ein Sprachdialogsystem.

Viele Grüße

Philipp

*Wenn ich es nur oft genug schreibe, glaube ich ja vielleicht irgendwann selbst daran: Überbezahlt. Überbezahlt. Überbezahlt... 😉

[nmh]

Verbindlichen Dank! Als comdirect-Aktionär bin ich der Meinung, (an dieser Stelle stand ursprünglich ein Gag über die Bezahlung der Mitarbeiter, die ja gar nicht hoch genug sein kann. Gag wurde von @Schlussred.  gestrichen, da er irgendwie arrogant und dümmlich und mißverständlich rüberkommt).

nmh

[inliner]

Ganz meine Meinung. Meinen Dank habe ich Dir, @SMT_Philipp, bereits gegeben.

Das könnte sich zu einem Streit um das Kaisers Bart entwickeln. 

[Peter2018]

Ich war auch sehr irritiert von der Frage nach der PIN. Das widerspricht so ziemlich allen Sicherheitsmaßnahmen die man Anwendern immer wieder beibringt. 

Ich kann euch auch nur den Rat geben dieses Vorgehen dringend zu überdenken, das weckt nicht unbedingt Vertrauen. Das Weglassen einer Ziffer der PIN bringt übrigens wenig, es gibt dann nur maximal zehn Möglichkeiten um die korrekte PIN immer noch zu erraten, das ist in meinen Augen ein gravierendes Sicherheitsrisiko.

[ehemaliger Nutzer]

Hallo @Peter2018,

du vergisst, dass ein Mithörer a) nicht weiß, welche Ziffer weggelassen wird und b) dein Zugang nach 3 Fehlversuchen gesperrt wird. 

Viele Grüße, Mario

[Peter2018]

@ehemaliger Nutzer

Zumindest mal die Mitarbeiterin am Telefon hätte damit eine 30 prozentige Chance durch pures raten Zugriff auf meinen Online Banking Zugang zu bekommen. Natürlich gehe ich davon aus, dass ihr eure Mitarbeiter gründlich prüft, und soetwas nicht vorkommt. Aber aus Sicht eines "IT Menschen" halte ich die Lösung für unnötig riskant, und suboptimal.

Andere Banken lösen das Identifikationsproblem z.B. durch ein eigenständiges Service Passwort, das nur für die Hotline bestimmt ist und ansonsten wertlos ist.

[nmh]

@Peter2018und alle anderen:

Es wurde zwar (glaube ich) weiter oben schon erwähnt, aber nochmal: die Mitarbeiter bei comdirect (alle Mitarbeiter, die im Kundenservice beschäftigt sind, das sind meines Wissens ca. 500 Personen) können sogar völlig ohne PIN auf Dein Konto zugreifen. Sie brauchen nicht mal Deine Kontonummer; Eingabe des Namens genügt (naja, wenn Dein Vorname "Peter" ist, dürfte das schon mal gewisse Sicherheit bieten). Sie können auch Transaktionen (Überweisungen usw.) eingeben, ohne eine TAN verwenden zu müssen.

Das ist auch erforderlich, weil die Mitarbeiter ansonsten keine Anfragen per E-Mail oder Aufträge per Brief bearbeiten könnten. Alle Banken arbeiten so!

Ein wenig Vertrauen den Mitarbeitern gegenüber wäre angebracht.

Anregung an comdirect: Offenbar wird Euer Vorgehen von manchen Kunden als kritisch empfunden. Genügt es nicht, wenn die Mitarbeiter am Telefon nur vier oder gar nur drei Ziffern der sechsstelligen PIN abfragen?

Viele Grüße aus einem sonnigen München

nmh

[ehemaliger Nutzer]

Hallo @Peter2018,

wie @nmh schon sagte, haben die Kollegen auch ohne deine PIN Zugriff auf dein Konto. Sonst könnten Sie ja schriftliche Anfragen nicht bearbeiten.

Außerdem wird jeder Zugriff protokolliert. Kein Mitarbeiter kann also unbemerkt auf dein Konto zugreifen. 

Viele Grüße, Mario

@nmh: Das Feedback gebe ich gerne weiter. 🙂