PIN-Eingabe bei Telefonsupport

[Lukas_]

---

@SMT_Erik  schrieb:

Hallo Alex,

sorry, dann habe ich vermutlich auch nicht verstanden, um was es dir genau geht. Das war keine Vermeidungsstrategie. 😉

Kritisierst du die Art und Weise, wie die Legitimierung am Telefon durchgeführt wird? Wenn du diesbezüglich eine Anregung für uns haben solltest, den Prozess zu optimieren, dann werde ich das gerne weiterleiten.

Gruß

Erik

---

Vorschläge, wie es besser geht wurden in diesem Thread schon ausreichend gemacht, leider nie umgesetzt.
Ein "One-Time-Passwort" für die Hotline, welches man sich im persönlichem Bereich generieren lassen kann und für wenige Minuten gültig ist zum Beispiel.
Oder ein separates Hotline Passwort, das man selbstständig im persönlichen Bereich setzen kann.

Praktisch alles ist besser, als nach der PIN zu fragen....

[hjs]

Nicht nur das!

Wenn man dort anruft und irgendwann mal mit diesem bescheuerten Sprachcomputer fertig ist, dann wird man gefragt: "Spreche ich mit hjs?"

Welcher Betrüger kann denn da noch 'nein' sagen.

MfG

hjs

[Jon123]

Hallo 👋

Anregungen wurden hier ja eigentlich schon genug gegeben. Die Abfrage der PIN ist jedenfalls eine worst practice im Bankwesen, vor allem im Zeitalter des Phishings, und für mich und sicher auch viele andere ein guter Grund, sofort aufzulegen.

Ich habe hier von comdirect ehrlich gesagt dann doch wenigstens eine halbwegs zeitgemäße Lösung erwartet. Rückrufservice ist leider auch nicht immer ideal, da anfällig für SIM-swapping-Attacken, aber eine separate Kundenservice-PIN wäre eine gute Lösung. Alternativ Rückrufservice mit vorheriger TAN-Eingabe (aber auch anfällig, falls SMS-TAN genutzt wird).

Für mich und, wie man an der Länge dieser Diskussion sieht, auch für andere ist die PIN-Eingabe per Telefon jedenfalls keine akzeptable Option. So würde ich mich bei euch nur authentifizieren, wenn mein Konto bereits von einem Hacker leergeräumt wurde.

Ohne jetzt hochnäsig klingen zu wollen, aber: Habt ihr denn keine security researcher im Haus, die mit euch zu diesen Themen ein threat modelling machen? 😬

Positiv ist aber natürlich, dass ihr die Authentifizierung nur noch über den Sprachcomputer machen lasst.

[Ihr Nickname]

Hallo @Jon123 , danke für Deinen Beitrag.

Die Länge dieses Threads ist leider keine Aussage für Dringlichkeit, Wichtigkeit oder irgendein anderes Merkmal, welches die comdirect verstärkt zum Handeln bewegen würde. Vermutlich die Hälfte der Menschen in diesem Threat verstehen nicht, wieso "die PIN nicht an einen Dritten weitergeben" und "die PIN im Sprachcomputer der Telefonhotline eingeben" sich nicht wiederspricht.

Die Bank macht natürlich Threat Assessment. Konkret geht es dabei aber nicht um das extremst mögliche Beispiel, sondern nur um die diesen Aspekt konkret betreffenden Risiken: Wie groß ist die Gefahr, dass explizit durch die Abfrage der Zugangsdaten an der Telefonhotline ein Kontozugang von einem Dritten kompromittiert werden kann, oder zumindest einmalig Daten oder Werte unauthorisiert gelesen oder verändert werden.

Dabei werden natürlich Zusatzannahmen getroffen, die ich aber nicht kenne. Ich vermute zumindest sowas wie "deutsches Telefonnetz", "Kunde wird bei der Eingabe der PIN nicht gefilmt und spricht nicht auf einer Bühne mit hunderten Leuten was er grade macht". Also eben ein normales Szenario, in welchem man seine Bank anruft.

Der Unterschied zum Banking über den Browser ist sofort offensichtlich: Die Verbindung am Telefon ist nicht Ende-zu-Ende verschlüsselt. Die Bank verlässt sich also an dieser Stelle, gestützt von den Annahmen, darauf, dass das Mithören/Abhören/Mitschneiden eines solchen Telefonates dennoch zu schwierig ist.

Falls Du Informationen hast, die dieses Ergebnis nachhaltig infrage stellen können, würde das zumindest mich, aber vermutlich auch die Bank selbst und einige andere hier im Forum, sehr interessieren.

Zur Sicherheit wiederhole ich: Ja, ich finde eine eigene Telefon-PIN auch besser. Die unterliegt dann aber natürlich dem gleichen Risiko wie die eigentliche PIN. Es bleibt lediglich der Vorteil, dass man diese PIN dann z.B. nicht für den Browser-Banking-Zugang verwenden kann und umgekehrt.

[flrnppp]

Haha was das social media team immer noch nicht gecheckt hat, ist dass es in diesem Thread darum geht, dass Mitarbeiter die PIN am Telefon wollen und nicht der Sprachcomputer

[Jon123]

Hallo @Ihr Nickname, ich stimme zu, dass die aktuellen Sicherheitsmaßnahmen dem Sicherheitsbedürfnis der meisten Nutzer gerecht werden. Allerdings sehe ich gerade hier auch Banken in der Verantwortung, noch einen Schritt weiter zu gehen oder zumindest regelmäßig zu reevaluieren, ob die Maßnahmen noch ausreichen oder angepasst werden müssen. Sicherlich wird das auch getan und ich gehe natürlich auch davon aus, dass das ein zentrales Thema ist. Gerade im Zuge der PSD2 wurde hier ja auch erst "kürzlich" nachgebessert.

Dennoch nimmt die Zahl der Fälle von Internetbetrug stetig zu (schneller als neue Richtlinien geschrieben werden können!) und durch die Verknüpfung von erbeuteten Informationen einzelner leaks bzw. breaches werden mitunter auch "normale" Bankkunden zu high profile targets, besonders seit dem Aufkommen von Kryptowährungen usw., die ja durch ihre Popularität auch technisch unversiertere Käufer anlocken. Bestes Beispiel wäre der Sicherheitsvorfall des Krypto-Hardwareherstellers Ledger im Juli 2020, wo sensible Daten von 272.000 Kunden erbeutet wurden.

Ich sehe ein, dass es unmöglich oder unverhältnismäßig schwierig wäre, jeden Angriffsvektor abzudecken und das erwarten Bankkunden i.d.R. auch nicht. Das Sicherheitsbedürfnis wächst aber natürlich auch mit der Höhe der Einlagen und der technischen Versiertheit. Da mit der Zeit immer mehr Nutzer internet- und sicherheitsaffin werden kann man hier vielleicht noch etwas über den grundlegenden Sicherheitsrahmen hinausgehen, um auch diese Zielgruppe zu berücksichtigen, vor allem als Online-Bank.

Die Einführung einer Telefon-PIN wäre da natürlich nicht das Allheilmittel, aber auf jeden Fall eine Verbesserung. Andere Ideen gab es hier ja auch schon wie das Erstellen einer temporären PIN mittels TAN vor jedem Telefonat. Natürlich muss man hier immer eine Balance zwischen Nutzerfreundlichkeit und Sicherheit finden, aber ich denke, das würde auch gut passen.

[commicha]

Zitat SMT_Jan-Ove

"Derzeit ist nicht geplant, an unserer bisherigen und auch sicheren Praxis etwas zu ändern."

Wie kann eine unverschlüsselte Übertragung von Zugangsdaten über das Telefonnetz sicher sein?

[-Ben-]

Ich bin seit sehr vielen Jahren Kunde von Comdirect und hatte heute erstmals den Telefonhörer in die Hand nehmen müssen und hatte dann die Herausforderung der Legitimation, die hier ja bereits ausführlich von beiden Seiten beschrieben und diskutiert wurde.

Ich war schockiert!
Das habe ich in meinem ganzen Leben noch nicht erlebt, dass ich nach meiner PIN gefragt worden bin und das widerspricht jeglichen gesunden Menschenverstand. Überall wird davor gewarnt die PIN niemals herauszugeben und da macht es auch überhaupt keinen Unterschied, ob es eine Telefonsoftware, oder ein Bankmitarbeiter ist. Woher weiß ich denn, dass die Telefonsoftware wirklich eine Telefonsoftware ist? Es gibt heutzutage genügend Programme, die die Stimme entsprechend verändern können. Ferner kann das Telefonat abgehört werden, ich nutze zumindest keine abhörsichere Leitung. Oder der Entwickler hat eine Zeile im Programcode versteckt, dass alle PINs und Zugangsnummern in einer Datei abgespeichert etc.

Es gab dann von dem Mitarbeiter der Comdirect noch den Vorschlag, dass ich meine PIN nach dem Telefonat ändern könnte, was ich natürlich hätte tun können. Aber der Aufwand ist für ein einziges Telefonat nicht angemessen, dass ich mir dann danach eine neue PIN merken muss. In der heutigen Zeit besitzt die Mehrzahl der Kunden nicht nur ein Konto/Depot, sondern mehrere. Allein die Zugangsnummer sollte ausreichen, weil die keinem anderen bekannt ist. Sie steht auf keinem Kontoauszug etc.
Im Anschluss wurde ich dann von dem netten Mitarbeiter weitergeleitet an eine andere Mitarbeiterin, die dann aber nichtssagend aufgelegt hatte. Vermutlich gibt es doch mehrere Fälle von unglücklichen Kunden bei der Comdirect und sie hatte keine Lust schon wieder darüber zu diskutieren.

Es gibt so viele andere Möglichkeiten sich im 21 Jahrhundert sicher zu legitimieren, aber nach der PIN zu fragen, dass ist die schlechteste von allen. Oder alternativ, wenn die Systeme der Bank wirklich nicht anders funktionieren, dann nur 2 Ziffern der PIN abfragen aber doch nicht 5 von 6 Ziffern! Wobei, selbst in diesem Fall sträuben sich bei mir sämtliche Nackenhaare zu Berge.

Ich bin überrascht, dass so wenige Kunden sich über diese Tatsache aufregen. Ein Threat von nur 6 Seiten innerhalb von 4 Jahren? Angemessen wäre eher ein Threat mit 100 Seiten. Entweder ergeht es vielen Kunden sowie mir und sie haben viele Jahre erfolgreich mit der comdirect gelebt ohne jemals nach der PIN gefragt geworden zu sein (weil fast alles online durchführbar ist), oder die Mehrheit der Kunden ist einfach so naiv, dass sie den Bankmitarbeitern blind vertraut. Das sind dann aber vermutlich auch die Leute die auf den Enkelkinder-Trick reinfallen.
Dann bleibt da natürlich auch noch die dritte Alternative, dass die Kunden das einfach akzeptieren, weil der Standpunkt der Bank hier ja eindeutig kommuniziert wurden ist, dass es keine Änderung geben wird.

Ich für meinen Teil bin aber entsetzt und überlege mir gerade mögliche Konsequenzen.

[cmdscks]

Liebes Social-Media-Team,

es geht hier nicht um Social oder Media, es geht um die Sicherheit Ihrer Kunden. Und die personalisierte PIN eines Kunden, über ein Klartextmedium (Telefon) anzufordern, ist gerade nicht "sichere Praxis" wie Sei ausführen, sondern dilettantische Pfuscherei.

[SMT_Erik]

Hallo @cmdscks,

vielen Dank für Ihr Feedback, das wir gerne weiterleiten.

Gruß

Erik