Telefonsupport verlangt 5 von 6 Stellen der PIN

[WilliFischer]

Hallo zusammen,

ich hatte heute ein Anliegen, das mit dem Kundendienst am Telefon geklärt werden musste. Bei der Überprüfung der Identität musste ich tatsächlich 5 der 6 Stellen der PIN für den Login preisgeben, genauer gesagt die Stellen 1-3,5,6.

Die PIN ist auf 6 Ziffern beschränkt und soweit ich erkennen kann auch nicht frei wählbar, was alleine schon ein riesiges Sicherheitsrisiko ist. Wenn ich jetzt 5 der 6 Stellen am Telefon verraten muss, kann ich praktisch davon ausgehen, dass meine PIN nicht mehr geheim ist, da die komplette PIN in höchstens 10 Versuchen erraten werden kann.

So ein schlechter Umgang mit Datensicherheit war noch nie zeitgemäß und ist heutzutage vollkommen inakzeptabel. Dieses Vorgehen sollte umgehend abgeschafft werden und ich bitte um Weiterleitung an die entsprechende IT-Abteilung.

[Tarulia]

---

@WilliFischer  schrieb:

Bei der Überprüfung der Identität musste ich tatsächlich 5 der 6 Stellen der PIN für den Login preisgeben, genauer gesagt die Stellen 1-3,5,6.

---

Dann hast du vermutlich deine Daten nicht beim Telefoncomputer eingegeben (der übrigens die gesamte PIN will genau wie der Online Login auch).

---

@WilliFischer  schrieb:

Die PIN ist auf 6 Ziffern beschränkt und soweit ich erkennen kann auch nicht frei wählbar

---

Das ist schonmal falsch denn die kann jederzeit geändert werden.

Verwaltung > PIN/TAN-Verwaltung > PIN

---

@WilliFischer  schrieb:

Wenn ich jetzt 5 der 6 Stellen am Telefon verraten muss, kann ich praktisch davon ausgehen, dass meine PIN nicht mehr geheim ist, da die komplette PIN in höchstens 10 Versuchen erraten werden kann.

---

Mag sein, aber a) kann geändert werden s.o. b) beim Login sind maximal 3 Versuche möglich und c) was will der Mitarbeiter mit deiner PIN? Zugriff auf dein Konto hat er so oder so, dafür wird die PIN nicht benötigt. Die PIN dient zur Legitimation um festzustellen dass auch tatsächlich der Inhaber des Zugangs am Telefon ist, nicht dem Zugriff auf das Konto.

Mal abgesehen davon wird für den Login noch eine TAN benötigt und für Transaktionen sowieso. Mit den Daten kann also keiner was anfangen.

---

@WilliFischer  schrieb:

Dieses Vorgehen sollte umgehend abgeschafft werden und ich bitte um Weiterleitung an die entsprechende IT-Abteilung.

---

Schön und gut aber wie wirst du sonst am Telefon eindeutig identifiziert? Mit einer zweiten Zugangs-PIN die nur für's Telefon ist? Damit magst du vielleicht zurechtkommen aber Tante Emma von nebenan genauso wie eine Vielzahl von Kunden sicher nicht "das kann sich doch keiner merken" oder "die finde ich gerade nicht ich hab mich noch nie telefonisch melden müssen". Und dann läuft es darauf raus dass beide PINs auf dasselbe geändert werden (oder man erzwingt dass das nicht möglich ist) und man hat auch nichts gekonnte.

Gerade in Hinblick darauf wurde sich sicher bewusst entschieden das nicht zu ändern und ich kann mir nicht vorstellen dass sich das in absehbarer Zeit ändert.

Dennoch... obligatorisches @SMT_Service 

[WilliFischer]

---

@Tarulia  schrieb:

---

@WilliFischer  schrieb:

Bei der Überprüfung der Identität musste ich tatsächlich 5 der 6 Stellen der PIN für den Login preisgeben, genauer gesagt die Stellen 1-3,5,6.

---

Dann hast du vermutlich deine Daten nicht beim Telefoncomputer eingegeben (der übrigens die gesamte PIN will genau wie der Online Login auch).

---

---

Interessant, ich hatte die achtstellige Zugangsnummer eingegeben, aber dann wollte der Mitarbeiter die nochmal angesagt haben. Das hat hier also offenbar nicht funktioniert.

---

@WilliFischer  schrieb:

Die PIN ist auf 6 Ziffern beschränkt und soweit ich erkennen kann auch nicht frei wählbar

---

Das ist schonmal falsch denn die kann jederzeit geändert werden.

Verwaltung > PIN/TAN-Verwaltung > PIN

---

Danke, hatte ich übersehen. Gut zu wissen!

---

@WilliFischer  schrieb:

Wenn ich jetzt 5 der 6 Stellen am Telefon verraten muss, kann ich praktisch davon ausgehen, dass meine PIN nicht mehr geheim ist, da die komplette PIN in höchstens 10 Versuchen erraten werden kann.

---

Mag sein, aber a) kann geändert werden s.o. b) beim Login sind maximal 3 Versuche möglich und c) was will der Mitarbeiter mit deiner PIN? Zugriff auf dein Konto hat er so oder so, dafür wird die PIN nicht benötigt. Die PIN dient zur Legitimation um festzustellen dass auch tatsächlich der Inhaber des Zugangs am Telefon ist, nicht dem Zugriff auf das Konto.

Mal abgesehen davon wird für den Login noch eine TAN benötigt und für Transaktionen sowieso. Mit den Daten kann also keiner was anfangen.

---

Wenn die PIN nicht mehr geheim ist, ist die einerseits ungeeignet zur Legitimation. Andererseits, wenn man damit nichts anfangen kann, dann könnte man die PIN auch komplett weglassen. 

---

@WilliFischer  schrieb:

Dieses Vorgehen sollte umgehend abgeschafft werden und ich bitte um Weiterleitung an die entsprechende IT-Abteilung.

---

Schön und gut aber wie wirst du sonst am Telefon eindeutig identifiziert? Mit einer zweiten Zugangs-PIN die nur für's Telefon ist? Damit magst du vielleicht zurechtkommen aber Tante Emma von nebenan genauso wie eine Vielzahl von Kunden sicher nicht "das kann sich doch keiner merken" oder "die finde ich gerade nicht ich hab mich noch nie telefonisch melden müssen". Und dann läuft es darauf raus dass beide PINs auf dasselbe geändert werden (oder man erzwingt dass das nicht möglich ist) und man hat auch nichts gekonnte.

---

Zum Beispiel über eine weitere TAN. Wenn das nicht möglich ist, weil z.B. die App nicht aktiviert werden kann, per Videoident. Das geht heutzutage auch in einer Minute.

---

Gerade in Hinblick darauf wurde sich sicher bewusst entschieden das nicht zu ändern und ich kann mir nicht vorstellen dass sich das in absehbarer Zeit ändert.

---

Die Mitarbeiter werden schon großteils vertrauenswürdig sein und wahrscheinlich findet auch kein Betrug damit in nennenswertem Umfang statt, und auch wenn ich dem vertraue, will ich dem nicht vertrauen müssen. 

[Tarulia]

---

@WilliFischer  schrieb:

---

---

Interessant, ich hatte die achtstellige Zugangsnummer eingegeben, aber dann wollte der Mitarbeiter die nochmal angesagt haben. Das hat hier also offenbar nicht funktioniert.

Nach der Zugangsnummer ist noch die PIN einzugeben sonst bringt es ja nichts.

---

@WilliFischer  schrieb:Wenn die PIN nicht mehr geheim ist, ist die einerseits ungeeignet zur Legitimation. Andererseits, wenn man damit nichts anfangen kann, dann könnte man die PIN auch komplett weglassen. 

Die PIN ist doch nach wie vor geheim. Nach der Logik wäre sie auch nicht mehr geheim sobald du sie zum Login auf der Website eingibst, schließlich gibst du sie da auch an die Website ab.

Und ich habe nicht gesagt dass man damit nichts anfangen kann sondern dass es für Bankmitarbeiter so oder so möglich ist auf Konten zuzugreifen weil sonst eine Bank einfach nicht funktionieren würde. Die PIN weist dich damit immernoch als Inhaber des Kontozugangs aus und nur das ist die einzige Funktion die die PIN hat.

---

@WilliFischer  schrieb:Zum Beispiel über eine weitere TAN. Wenn das nicht möglich ist, weil z.B. die App nicht aktiviert werden kann, per Videoident. Das geht heutzutage auch in einer Minute.

---

Da steht man doch vor dem gleichen Problem. Erstens mal bräuchte dazu jeder ein funktionierendes TAN-Verfahren. Sollte man meinen liegt bei jedem vor, ist aber sicher nicht der Fall. Möchte nicht wissen wieviele Anrufe sich täglich um inaktive TAN-Verfahren drehen. Und dann? 

Einen Videochat bietet comdirect schon seit Jahren nicht mehr an und das VideoIdent ist genau das - ein Ident, nichts anderes. Dort werden Ausweisdaten aufgenommen und an die Bank übermittelt. Dort besteht kein Zugriff auf das Konto (schon damals beim Videochat nicht wenn ich mich recht erinnere), weil das Ident von der Deutschen Post durchgeführt wird.

Und mal abgesehen davon müssten für einen Videochat auch Mitarbeiter abgestellt werden oder mehr eingestellt werden (was nicht immer so einfach ist wie es gesagt ist). Such mal 2 Minuten im Forum dann findest du schon jede Menge mimimi wenn Leute mal 10 Minuten am Telefon hängen müssen weil sie Bankgeschäfte zu erledigen haben (dass man dafür früher in der Filiale gern mal länger gewartet hat interessiert dann keinen) und dein Plan ist noch weniger Leute ans Telefon zu setzen?

Deine Ideen in allen Ehren aber Ressourcen sind begrenzt und die PIN ist einfach die praktikabelste Lösung. Und wie gesagt wenn du Bedenken hast: Ändern und gut ist.

---

@WilliFischer  schrieb:Die Mitarbeiter werden schon großteils vertrauenswürdig sein und wahrscheinlich findet auch kein Betrug damit in nennenswertem Umfang statt, und auch wenn ich dem vertraue, will ich dem nicht vertrauen müssen. 

---

Dir ist klar dass sämtliche Zugriffe auf ein Konto aufsichtsrechtlich nachgehalten werden müssen? Selbst wenn sich da mal jemand vergreifen sollte wäre das schneller ermittelt als du ne Beschwerde schreiben kannst.

Mal abgesehen davon wenn du deiner Bank nicht vertraust wird es Zeit über die Geschäftsbeziehung nachzudenken.

Wenn ich meinem Handyanbieter nicht vertaue ist das eine Sache, wenn ich dem der mein Geld verwaltet nicht vertraue dann habe ich mein Geld an der falschen Stelle.