Feedback zum PhotoTAN Chaos bei einem neuen Smartphone

[Zollverein]

Ich wollte mal ein kurzes Feedback zum PhotoTAN-Chaos bei einem neuen Smartphone mit Vollmachtskonten geben. 

Insgesamt habe ich vier Konten.

Unser "Hauptkonto" ein zweites Gemeinschaftskonten mit meiner Frau und jeweils eines für meinen Sohn (eingerichtet 2020) und eines für meine Tochter (eingerichtet 2023). Bei den Junior-Konten bin ich jeweils der Bevollmächtigte. Alle jemals erhaltene Aktivierungsbriefe (für alle Konten) für das PhotoTAN-Verfahren habe ich ordentlich aufbewahrt und sogar laminiert. 

Nun ist das Problem, dass ich für das Konto meiner Tochter nie einen Aktivierungsbrief per Post an mich erhalten habe. Wir haben lediglich "ihren" Aktivierungsbrief. Ich vermute, dass der Prozess da mal von Comdirect geändert wurde, denn beim dem Konto von meinem Sohn war es noch so, dass jeder einen eigenen Aktivierungsbrief nach Haus bekam.  Und nein, im persönlichen Postfach war auch nichts zu finden. 

Nun hatte ich mich telefonisch an den Support gewandt, da ich ja für das Konto meiner Tochter auch die Aktivierung benötige. Man sagt mir, ich solle das Konto über das meinen Zugang im Online-Banking aufrufen und einen neuen Aktivierungsbrief anfordern. Das habe ich dann auch so gemacht. Was der Support mir verschwiegen hat, dass dadurch alle PhotoTAN Zugänge unbrauchbar werden. Also sowohl für das Vollmachtskonto meiner Tochter als auch für die beiden Gemeinschaftskonten. Mit einem Click ist man also von jetzt auf gleich Handlungsunfähig. 

Ein Hinweis wäre echt super gewesen. Und es wäre echt von Vorteil, wenn man wieder dahin zurück käme, die Aktivierungsbriefe auch allen Bevollmächtigten per zuzusenden, damit man diese auch in Zukunft vorliegen hat und dafür sein eigenes Konto über Tage "Read-Only" schaltet. 

Ich hoffe, dass es jetzt auch so reibungslos funktioniert und ich auch dann in ein paar Tagen (sobald die Schneckenpost es einrichten kann), alle Aktivierungen wieder in der Photo-TAN-App vornehmen kann. 

[blubber42]

Nichts an diesem Prozess ist "logisch". Ich habe bei Einrichtung keinen Aktivierungsbrief erhalten, und beim Einrichten des Kontos meiner Mutter vor einigen Wochen kam auch keiner (da war ich aber schlau genug, einen Screenshot zu machen und auszudrucken).

Dabei könnte alles so einfach sein:

• Der Zugang muss ja nicht sofort invalidiert werden, sondern eigentlich erst, wenn die neue Grafik gescannt und mit Login/PIN aktiviert wird.
  Wie bei "ich habe mein Passwort vergessen" - solange man kein Neues über den Link setzt, gilt das alte.
• Wenn das zu kompliziert ist, könnte man ja in der Zwischenzeit SMS TAN aktiv lassen. Aber nein, wenn man die (zusätzlich) aktiviert, schiesst man sich auch gleich wieder raus.

In meiner PhotoTAN Übersicht sehe ich jetzt mehrere Geräte, ich traue mich nicht, die "alten" rauszuwerfen...

Ich bin letzten Donnerstag auf ein neues Handy gewechselt. Zugang zur App ging sofort wieder, Überweisungen erst ab Montag, weil das neue Handy intern freigeschaltet werden muss.

Ehrlich, Leute - das geht so nicht.

[SMT_Chris]

Hallo @Zollverein

ja, man hätte am Telefon durchaus erwähnen müssen, dass alle Aktivierungen verschwinden, wenn du deinen neuen Aktivierungsbrief bestellt. Dafür möchte ich mich gerne entschuldigen. Es bietet sich daher immer an, das man mobileTAn als Backup-Lösung aktiviert. Aber gut, der Ratschlag kommt aktuell etwas zu spät. 

 @blubber42

Der Zugang muss ja nicht sofort invalidiert werden, sondern eigentlich erst, wenn die neue Grafik gescannt und mit Login/PIN aktiviert wird. Wie bei "ich habe mein Passwort vergessen" - solange man kein Neues über den Link setzt, gilt das alte.

Das ist als Sicherheitsmechanismus zu verstehen. Wenn man einen neuen Aktivierungsbrief bestellt, wird aus Sicherheitsgründen die alte Aktivierung gesperrt. Online weisen wir ja auch darauf hin. 

Wenn das zu kompliziert ist, könnte man ja in der Zwischenzeit SMS TAN aktiv lassen. Aber nein, wenn man die (zusätzlich) aktiviert, schiesst man sich auch gleich wieder raus.

Das verstehe ich nicht ganz. Meinst du damit, dass man auch "ausgesperrt" wird, wenn man mobileTAN aktiviert hat? Nein, das ist def. nicht der Fall. MobileTAN bleibt bei einer Deaktivierung des aktuelle Aktivierungsbriefes immer aktiv.  Das ist ja der Zweck einer Fallback-Lösung. 

In meiner PhotoTAN Übersicht sehe ich jetzt mehrere Geräte, ich traue mich nicht, die "alten" rauszuwerfen...

Tipp: Um den Überblick zu behalten, kannst du den Geräten auch individuelle Namen geben.

Viele Grüße

Christoph

[blubber42]

---

@SMT_Chris  schrieb:

 @blubber42

Der Zugang muss ja nicht sofort invalidiert werden, sondern eigentlich erst, wenn die neue Grafik gescannt und mit Login/PIN aktiviert wird. Wie bei "ich habe mein Passwort vergessen" - solange man kein Neues über den Link setzt, gilt das alte.

Das ist als Sicherheitsmechanismus zu verstehen. Wenn man einen neuen Aktivierungsbrief bestellt, wird aus Sicherheitsgründen die alte Aktivierung gesperrt. Online weisen wir ja auch darauf hin. 

Hallo Christoph,

welchen Sicherheitsgewinn erzeugt das genau?

Tipp: Um den Überblick zu behalten, kannst du den Geräten auch individuelle Namen geben.

Habe ich. Ich vertraue dem System derzeit nicht genug, um daraus etwas zu löschen.

Und mal ganz ehrlich: Sind (noch) aktivierte Geräte, die evtl. nicht mehr im Besitz sind, nicht ein höheres Risiko, als den alten Seed bis zur Aktivierung des Neuen aktiv zu lassen...?

Spannendes threat model habt ihr da....

[hd42]

Da bin ich absolut derselben Ansicht.
Habe bei meiner Konto-Einrichtung keinen QR Code bekommen (ist alles fein säuberlich abgeheftet).
Um das neue Smartphone einzurichten hat die PhotoTAN App keinen QR-Code angezeigt.  Hotline angerufen, ob es einen anderen Weg gibt, als sich den Zugang platt zu machen, Antwort:  nein.
Nun kam heute (Samstag) endlich der Aktivierungsbrief, ich scanne den Code, will überweisen und im Browser steht, dass der neue Zugang in 1-2 Bankarbeitstagen frei gegeben wird.

Ich habe selber jede Menge IT-Prozesse entworfen und umgesetzt, aber der Prozess hier ist echt aus der Steinzeit.

Habe dem Herrn an der Hotline empfohlen, dass man sich mal ein Konto bei der Ing holen soll, um zu sehen, wie man sowas richtig macht.  Da kann ich jederzeit neue Smartphones aktivieren, solange noch ein Gerät einen gültigen Zugang hat.

Sogar die DKB (die ansonsten die ein oder andere Schwäche hat) kann diesen Prozess besser.