Zwei-Faktor-Authentifizierung geht auch einfacher

[jobifl]

Hallo, nach der Anmeldung mit ID und PW auf dem PC kommt die Zwei-Faktor-Authentisierung: Photo TAN starten, PW Zeile anklicken, mehrstelliges PW eingeben, auf Anmelden klicken, mit Wischen frei geben. Etwa ein Dutzend Aktionen. Sogeht es in meinem amerikanischen Konto: Nach der Anmeldung mit ID und PW auf dem PC fordere ich mit einem Klick eine Push Nachricht auf dem Handy an. Dort Klick auf Yes. Und schon bin ich auf dem PC im Konto. Warum einfach, wenn es auch kompliziert geht. Ganz nebenbei: Nach der Anmeldung mit ID und PW auf dem PC bekommt man neben der Methode Push Nachricht auch angeboten eine SMS, Anruf per Tel. oder per Tel. angerufen werden. Das ist sinnvoll, wenn die einfachste Methode Push Nachricht aus irgend einem Grunde, gerade nicht möglich ist.

[SMT_Chris]

Hallo @jobifl,

sorry, dass ich mich erst jetzt melde. 

Grundsätzlich muss man unterscheiden zwischen Authentifizierungsverfahren, die mit den im EU-Ausland gültigen Vorschriften konform gehen und jenen, die hier in der EU vorgeschrieben sind. Stichwort: PSD2. Unseren Authentifizierungsverfahren sind in jedem Fall PSD2-konform und sicher.

Sollte dir der bisherige Prozess des Einloggens über photoTAN zu kompliziert sein, kannst du im persönlichen Bereich als Alternative auch mTAN akivieren und nutzen. Dies ist jedoch kostenpflichtig. Einen Mitarbeiteranruf zwecks Authentifizierung werden wir aus Sicherheitsgründen nicht anbieten. 

Aktuell sind keine Änderungen an unseren bewährten Authentifizierungsverfahren geplant. Aber wir werden natürlich den Markt beobachten und gemäß der EU-Gesetze Anpassungen vornehmen, sofern notwendig. 

Viele Grüße

Christoph

[jobifl]

Hallo SMT_Chris,

Die drei Hauptkategorien von Authentifizierungsfaktoren nach PSD2 sind, habe ich gefunden:

1. Wissen: Etwas, das der Kunde weiß, wie z. B. ein Passwort, eine PIN oder eine Sicherheitsfrage.
2. Besitz: Etwas, das der Kunde besitzt, beispielsweise ein Mobilgerät, eine physische Bankkarte oder einen TAN-Generator.
3. Inhärenz: Biometrische Daten (Fingerabdruck, Gesichtserkennung oder Stimmerkennung).

Um eine starke Kundenauthentifizierung zu gewährleisten, müssen Banken mindestens zwei der oben genannten Faktoren verwenden, die aus verschiedenen Kategorien stammen und voneinander unabhängig sind.

Mit einer Push Nachricht auf das Handy wäre Nr. 2 doch erfüllt oder sehe ich das falsch?

[SMT_Chris]

Hallo @jobifl,

es kommt drauf an, was nach deinem Verständnis die "Push Nachricht" enthält.

Die Richtlinie besagt folgendes: 

"Online- und Kartenzahlungen müssen nun grundsätzlich durch zwei unabhängige Merkmale aus den Kategorien Wissen, Besitz und Inhärenz bestätigt werden.

Das bedeutet, dass Sie beim Bezahlen im Internet oder auch beim Login in das Online-Banking z.B. neben der Eingabe von Benutzerkennung und PIN zukünftig auch eine TAN eingeben müssen. Dabei werden nur noch TAN-Verfahren erlaubt sein, bei denen für jede Transaktion jeweils eine neue TAN generiert wird (sog. dynamisches TAN-Verfahren)."

Genauso ist es bei uns auch umgesetzt. So muss man sich bei uns mittels eins der angebotenen TAN-Verfahren authentifizieren. In der Regeln sind da auch keine "Duzend Aktionen" notwendig sondern eben nur zwei. PIN und TAN - photoTAN oder mTAN. Das ist schnell und sicher. 

Daran wird sich so schnell auch nichts ändern.

Viele Grüße

Christoph

[jobifl]

Hallo Christoph,

die "Push Nachricht" enthält die Frage "Haben Sie sich angemeldet?" Drückt man auf "Ja" ist man im Konto und kann alles machen. Also nur eine Aktion nach der Anmeldung. Mit "Dutzend Aktionen" war gemeint, man muss die photoTAN App starten, dazu eine PIN eingeben, meine hat neun Stellen, dann Freigabe wischen. Ich habe mich verschätzt, es sind nur elf.

Wenn es so ist, dass "für jede Transaktion jeweils eine neue TAN generiert wird (sog. dynamisches TAN-Verfahren)", dann erübrigt sich diese Diskussion. Wobei ich dann nicht verstehe, dass es eine Transaktion sein soll, wenn man nur in der Mailbox nachsehen möchte.

Viele Grüße

Johann