Änderung bei Online-Zahlungen mit Visa-Karten

[jms]

Ist bei einer Kartenzahlung bei einem Online-Händler eine starke Kundenauthentifizierung erforderlich, wird vor der Eingabe einer mTAN oder photoTAN zukünftig Ihre 6-stellige Online-Banking-PIN von uns abgefragt. Die Eingabe Ihrer PIN an dieser Stelle ist unbedenklich. Sie wird nur zur Authentifizierung benötigt und daher verschlüsselt übertragen und nicht an den Händler übermittelt.

Das ist ja wohl ein Witz! In Zukunft werden massenhaft Fake-Shops auftauchen, die zur Eingabe der PIN auffordern und diese dann weiterverkaufen. Und die Kunden werden dazu erzogen, irgendwo im Internet einfach so ihre PIN einzugeben.

[ehemaliger Nutzer]

Hallo @SMT_Jessica,

ist irgendwann (in naher oder ferner Zukunft) auch eine Freigabe mittels photoTAN (ohne push) geplant? Bzw. wäre das technisch möglich?

Ich bin auch jahrelanger Kunde und habe die versuchte Nötigung zur photoTAN-push noch zähneknirschend hingenommen. Wenn ich meine Kreditkarte nun aber zusätzlich nicht mehr ruhigen Gewissens online nutzen kann, werde ich mich wohl leider langsam mal nach einer anderen Bank umsehen müssen.

[SMT_Erik]

Hallo @ehemaliger Nutzer und herzlich willkommen in unserer Community!

Die "reine" photoTAN kann auch jetzt schon zur Anwendung kommen, wenn die Shop-Seite über ein separates Gerät (also nicht das Gerät, auf dem gleichzeitig die photoTAN App installiert ist) aufgerufen wird. Dort wird nach Eingabe der PIN das bevorzugte TAN-Verfahren gewählt. Sofern also im Persönlichen Bereich > Verwaltung > PIN/TAN-Verwaltung die "photoTAN" als bevorzugt gewählt ist, erfolgt nach der PIN-Eingabe die Anzeige einen photoTAN-Grafik.

Gruß

Erik

[ehemaliger Nutzer]

Hallo @SMT_Erik 

vielen Dank für die zügige Antwort!

Bei meiner Frage ging es allerdings darum, die Banking PIN eben nicht auf fremden Seiten eingeben zu müssen. Sprich ein identisches Verhalten zur PhotoTAN-push zu haben.

Warum braucht man bei der PhotoTAN-push keine PIN, bei der PhotoTAN ohne push jedoch schon?

Das Sammeln von Challenge-Response Pärchen könnte man durch das temporäre Sperren des Kontos nach 3 Fehlversuchen oder so unterbinden (wie bei Geldabholung am EC Automat).

Wie bereits hier vorgeschlagen, wäre ebenfalls eine optionale extra Visa PIN denkbar. Ob ich mir nun Banking PIN + PhotoTAN-push PIN oder Banking PIN + Visa PIN merken muss macht keinen Unterschied.

Auch ein "passiv" Modus für die PhotoTAN-push fällt mir spontan ein. Also ohne extra PIN und ohne Möglichkeit zum Anstoßen von Zahlungen vom Smartphone aus (nur Autorisierungen, wie bei der jetzigen PhotoTAN ohne push).

Das hätte zudem den Vorteil, dass die Argumente gegen die PhotoTAN-push (Aushebelung der 2FA und extra PIN) mit einem Schlag hinfällig wären.

Zugegebenermaßen bin ich nicht beruflich im Online-Banking tätig und übersehe wahrscheinlich den einen oder anderen Stolperstein bei o.g. Vorschlägen. Aber ich denke schon, dass ein online Bezahlen mit Visa auch ohne Eingabe der Banking PIN technisch umsetzbar ist und es lediglich am Wollen seitens der comdirect scheitert.

[__dpk]

@ehemaliger Nutzer 

Warum scheidet PhotoTAN-Push  für Dich denn so kategorisch aus?

[ehemaliger Nutzer]

Hauptsächlich aus den o.g. 2 Gründen (Aushebelung der 2FA und nervige Eingabe einer 2. PIN zum Starten der App). Diese und andere Kritiken wurde aber auch schon in zahlreichen anderen Threads heiß diskutiert und brauchen m.M. deshalb hier nicht weiter vertieft werden.

Ich habe gerade mal bei der Konkurrenz gespickt. Die DKB hat das Problem ganz einfach und clever gelöst, so wie ich das verstehe: Im iFrame vom Händler taucht nicht direkt die Bankingseite mit Eingabe der PIN auf, sondern nur ein Button mit der Aufschift "Weiter zur Prüfung". Wird dieser angeklickt, öffnet sich die Bankingseite der DKB in einem separaten Fenster/Tab.

Damit sieht man die URL und weiß, dass man nicht auf einer nachgebauten Seite seine PIN eingibt. Wenn die comdirect das nachbauen würde, wäre ich schon glücklich. Sollte sich vom Programmieraufwand her ja stark in Grenzen halten...

[ehemaliger Nutzer]

Bei der Norisbank kommt eine optionale extra Visa PIN zum Einsatz.

Bei der Consorsbank die sogenannte "SecurePlus" App. Im Prinzip wie die von mir vorgeschlagene "passive" PhotoTAN-push, nur mit extra PIN zum Einloggen in die App.

[__dpk]

@ehemaliger Nutzer 

Du kannst noch beliebig viel aufzählen.
Für die Comdirect ist PhotoTANPush die Lösung. Was anderes wirst Du nicht bekommen. 
Wenn Du damit aus grundsätzlichen Erwägungen nicht klar kommst, dann musst Du wohl für Online-Zahlungen eine andere Karte, oder ein anderes Verfahren Giropay, Paypal, o.ä. nutzen.

[ehemaliger Nutzer]

Ja, sieht wohl leider so aus.

Ist aber vielleicht für den einen oder anderen Wechselwilligen hilfreich. Die Arbeit habe ich mir zwecks Wechsel ja sowieso machen müssen, da kann ich andere ja ruhig am Ergebnis teilhaben lassen.

[ehemaliger Nutzer]

@SMT_Erik: Bei der Commerzbank gibt es lustigerweise auch eine separates 3D-Secure Passwort. Und die photoTAN App ebenfalls separat zur Banking App.

Gibt es von Seiten der comdirect irgendwelche Infos darüber, ob beide Systeme in Zukunft parallel laufen werden oder der eine das System vom anderen übernimmt?

[SMT_Erik]

Hallo @ehemaliger Nutzer,

aktuell sind keine konkreten Pläne bekannt, ob die Systeme weiterhin parallel betrieben oder zusammengeführt werden.

Gruß

Erik