Danke ans comdirct Team!

[Kio]

---

@Kio  schrieb:🙂

Aber eines würde mich interessieren. Wie war es möglich, dass die den Verkauf von Aktien initiiert haben? Dafür brauchen die doch eine Tan. Was übersehe ich hier?

---

Hat da niemand eine Antwort drauf? Das hinterlässt ein komisches Gefühl, da scheint dann ja eine Sicherheitslücke zu existieren..?

Gruß kio

[ehemaliger Nutzer]

@Hansi.B  hat doch eine SMS mit einem Link erhalten, wo er Daten eingegeben hat. Ich vermute, dadurch wurde die Freigabe erzeugt.

[Kio]

Wenn du dich von einem fremden Rechner versuchst einzuloggen, mußt du dich erst einmal mit einer Tan legitimieren. Nur mit Zugangsnummer und Pin bekommst du keinen Zugriff aufs Konto. Die einzige Möglichkeit, die mir einfällt, wäre, dass @Hansi.B auch einen QR-Code eingegeben hat. Das passt aber nicht mit seiner Beschreibung überein. Denn der QR-Code erscheint ja erst, wenn man versucht sich einzuloggen. Er hätte also zweimal kontaktiert werden müssen. 🤔

[kammann]

Ziel von Phishing ist meist die Übernahme oder Neueinrichtung eines TAN-Verfahrens um dann in Folge eigenständig Transaktionen ausführen zu können, ohne den Kontoinhaber erneut kontaktieren zu müssen. Bei der comdirect ist das besonders einfach, denn das photoTAN Verfahren lässt sich über eine SMS-TAN einrichten. 
Eine weitere Schwachstelle bei der comdirect ist das Telefon-Banking, da die PIN für das Telefonbanking identisch mit der PIN für das Onlinebanking ist. Wurde die PIN also über ein Phishingangriff übermittelt, kann der Täter das Telefonbanking nutzen.

[Klever]

---

@kammann  schrieb:

Ziel von Phishing ist meist die Übernahme oder Neueinrichtung eines TAN-Verfahrens um dann in Folge eigenständig Transaktionen ausführen zu können, ohne den Kontoinhaber erneut kontaktieren zu müssen. Bei der comdirect ist das besonders einfach, denn das photoTAN Verfahren lässt sich über eine SMS-TAN einrichten. 
Eine weitere Schwachstelle bei der comdirect ist das Telefon-Banking, da die PIN für das Telefonbanking identisch mit der PIN für das Onlinebanking ist. Wurde die PIN also über ein Phishingangriff übermittelt, kann der Täter das Telefonbanking nutzen.

---

Interessanter, wichtiger Punkt! 

Bisher wurde hier im Forum immer gesagt, wenn jemand die PIN abgegriffen hat, könne er damit nur einsehen, was auf Konten und im Depot ist, aber keine Transaktionen veranlassen. 

Wenn man aber nur mit PIN im Telefonbanking Wertpapierverkäufe und zudem Überweisungen auf externe Konten veranlassen kann, dann ist das Abgreifen der PIN extrem gefährlich.

[Kio]

Das waren auch meine Gedanken. Davon abgesehen, dass bei dem beschriebenen Ablauf wenig Zeit blieb, dieses ganze Verfahren durchzuführen (kommt mir deshalb komisch vor), sollte man bestimmte Sachen besser vermeiden. Wie sicher sind eigentlich Telefonate übers Internet, im Speziellen, die Pin-Eingabe über die Tastatur des Telefons?

Wenn es tatsächlich so einfach sein sollte, wäre das Festnetz schon mal gefährlich. Am Ende kann man noch nicht mal beweisen, dass man mit seiner Pin vernünfig umgegangen ist. Wenn also wirklich über einen kleinen Umweg die Zugangsnummer und Pin ausreicht, das Konto leerzuräumen, muß ich darüber nachdenken, welche Wege mir bleiben, diesem Risiko aus dem Weg zu gehen...

Das fühlt sich nicht wirklich schön an.

Gruß kio

[Hansi.B]

@Kio

es war meine eigene "Dummheit", ein Fehler, NIEMALS die PIN aus Händen geben. Die Dauer zwischen hoppla da stimmt was nicht. PIN?

Mein Anruf bei comdirect und das Durchstellen zum Sperren hat zügig geklappt. Trotzdem hat die Zeit gereicht den Aktien Verkauf zu initiieren.

Dies folgt über den Mechanismus "Stop Loss" - dort erscheint dann folgender Test "Der Auftrag kann freigegeben werden. Sie müssen für diesen Auftrag keine Tan eingeben." 

Tja, 100%-tige Sicherheit wird es im Netz nicht geben, gesunder Menschenverstand ist gefragt und der hat kurzeitig bei mir ausgesetzt. 

Die "Wordline Kreditkartennummer Überprüfung mit fehlerhaften Buchungen" ist aktuell am gefährlichsten.

Ich hatte Glück! 

Entspannte Zeit, Hansi.B

[Kio]

Das habe ich so weit verstanden. Aber nur mit der Pin ist das eben alles nicht möglich. Die einzige Möglichkeit wäre dann die von @kammann beschriebene Änderung des Phototan-Verfahrens.

Hat so etwas bei dir stattgefunden?

Die aktivierten Geräte findest du unter "Verwaltung" => "Pin/Tan-Verwaltung" => "photoTAN"

Gruß kio