Frage zur Sicherheit

[Matthia]

Ich habe folgende Frage zu:
"Handynummer für Wiederherstellung"


Besteht hier nicht die Gefahr, daß bei einem gestohlenen Handy jemand die PhotoTan App löscht, und sich über die Handynummer wieder aktivieren läßt?
Funktioniert das Verfahren ohne Aktivierungsbrief?

Vielen Dank im Voraus für eine Antwort.

[paba]

Hallo @Matthia,

ja natürlich, die Möglichkeit besteht. Nach PSD2 sind mindestens 2 von 3 Sichermerkmalen erforderlich, um Aktionen auszuführen. Die drei Sichermerkmale sind:

•     Wissen (z.B. PIN, Passwort, …)
•     Besitz (z.B. Handy, Karte, TAN-Generator, …)
•     Inhärenz (z.B. Fingerabdruck, …)

Die Banken verwenden meistens nur die zwei ersten Sichermerkmale. Verlierst du eines davon (also hier dein Handy), so bleibt nur noch ein Sicherheitsmerkmal, das dich schützt. Wenn du also dein Handy verlierst, solltest du dies unverzüglich deiner Bank melden, damit die Bank dieses Handy vom photoTAN-Verfahren abmeldet.

Gruß paba

[Matthia]

Danke für die präzise Antwort.

Dann wähle ich ausschließlich den Aktivierungsbrief als zweite Option zur PIN.
Das reicht vollkommen.
Handynummer lieber nicht.
Aktivierungsbrief läßt sich ja notfalls erneut postalisch zusenden.

Ich denke, damit ist man auf der sicheren Seite.

Vielen Dank und MfG

Matthias

[paba]

---

@Matthia  schrieb:

Danke für die präzise Antwort.

Dann wähle ich ausschließlich den Aktivierungsbrief als zweite Option zur PIN.
Das reicht vollkommen.
Handynummer lieber nicht.
Aktivierungsbrief läßt sich ja notfalls erneut postalisch zusenden.

Ich denke, damit ist man auf der sicheren Seite.

Vielen Dank und MfG

Matthias

---

… das hilft dir doch nicht: Wenn du dein Handy mit aktivierter photoTAN verlierst oder es dir gestohlen wird, kann der Finder bzw. Dieb dein bereits aktiviertes photoTAN-Verfahren jederzeit einfach ohne Neuinstallation verwenden, falls er auch noch irgendwie an deine PIN kommt. Wenn du mehr Sicherheit willst, hilft dir vielleicht das photoTAN-Lesegerät, das du immer nur zuhause liegen lässt.

Gruß paba

[Matthia]

Dann muß ich die eben Photo-Tan App mit Passwort versehen.
Das habe ich gemacht.
Wer mein Handy stiehlt hat mein handy, sonst nichts.
Auf jeden Fall nicht meinen Zugang zu Comdirect.

Damit fällt das Thema Photo-Tan für denjenigen aus, der mein Handy klaut.

Ein Lesegerät könnte z.B. im Falle eines Wohnungseinbruchs interessant sein.

Wenn dann noch die automatische Passwort eingabe des Browsers aktiviert ist,
dann ist er drin.

Wie man es auch immer macht, irgendwie gibt es doch nocht eine Hintertür, mit der man tricksen könnte.

Wenn mich jemand entführt, und bedroht, werde ich ihm alles geben, damit er Zugang zum Konto hat.

Es gibt keine letzte Sicherheit.
Das System kann nicht inhärent sicher gemacht werden.

Oder vielleicht doch?
Was weiß ich.........

[paba]

---

@Matthia  schrieb:

Wenn dann noch die automatische Passwort eingabe des Browsers aktiviert ist, dann ist er drin.

---

… wenn du die automatische Passworteingabe deines Browsers für das Onlinebanking aktiviert hast, handelst du ganz schön leichtsinnig. Das Passwort(PIN) für das für das Onlinebanking würde ich schnellst möglich aus dem Browser löschen und zur Sicherheit danach noch einmal eine neue PIN vergeben (denn die gelöschte PIN könnte noch irgendwo auf der Festplatte schlummern; die PIN sollte nur im Kopf existieren; Faktor Wissen!).

---

@Matthia  schrieb:

Wie man es auch immer macht, irgendwie gibt es doch nocht eine Hintertür, mit der man tricksen könnte.

---

Es ist meiner Ansicht nach ein großer Trugschluss, das PSD2 die Sicherheit im Onlinebanking wesentlich verbessern würde. Da sollte man sich nichts von den Banken oder der EU vormachen lassen.

Gruß paba

[Matthia]

Zitat:
"Es ist meiner Ansicht nach ein großer Trugschluss, das PSD2 die Sicherheit im Onlinebanking wesentlich verbessern würde. Da sollte man sich nichts von den Banken oder der EU vormachen lassen."

Die Fragen, die du stellst, gehen viel tiefer.
Um letztgültige Sicherheit schaffen zu können, bräuchten wir einen amtlich zertifizierten Personalausweis mit persönlichem und öffentlichem Schlüssel zur "eineineineineineineineineinein"
deutigen Identifizierung der Person, die auf das Konto zugreift.

Dazu bedürfte es einem seperatem Lesegerät, mit völlig seperater Hardware,
frei von Viren, ohne Möglichkeit auf einen Hack,
so einfach wie möglich programmiert.

Gäbe es ein solches fiktives Lesegerät, Open Source, für jederman kontrollierbar, überprüfbar, verifizierbar, einfach zu kontrollieren,
dann hätten wir vielleicht im Ergebnis das was du willst.

Wäre machbar..........

[paba]

@Matthia, ich habe gar keine Frage gestellt, sonderm lediglich festgestellt, dass die Welt nach Einführung von PSD2 nicht viel sicherer geworden ist (nur ein wenig komplizierter) und dass auch nach Einführung von PSD2 jeder selber etwas im Onlinebanking dazu beitragen muss, damit seine Sicherheit gewahrt bleibt.

Das mit dem Personalausweis geht nach Einführung von PSD2 übrigens nicht mehr. PSD2 erlaubt ausdrücklich, das ich fremden Zugang zu meinem Konto gewähren darf. Aber wie will die Bank anhand des Ausweises erkennen, ob ich der betreffenden Person Zugang gewährt habe?

Gruß paba

[Matthia]

Ich wäre für die Einführung eines Personalausweises, die alle Personen, die sich innerhalb der EU aufhalten, "EINEINEIN"-deutig identifiziert.
Mit Pass, Fingerabdruck, und biometschrischen Daten.
Mit persönlichem und öffentlichem Schlüssel.
Ganz gleich, welcher EU-Staatsbürgerschaft sie angehören.
Selbst wenn sie keiner EU-Staatsbürgerschaft angehören.
Dann bekommen die eben einen Pass mit anderem Status.

Thema Konto ist dann ein spezielles Thema:
Warum sollen nicht mehrer Personen Zugriff auf ein Konto haben dürfen, wenn dies im gegenseitigen Einverständnis geschieht?

[Matthia]

PSD2

Paba, du hast in allem Recht, auch PSD2 erfüllt in keinster Weise die Anforderungen echter Authentizität.
Das stimmt schon, alles richtig, kein Problem, ich widerspreche nicht.

Perfekt ist anders.
Und das die technischen Möglichkeiten einen ganz anderen Grad an Perfektion möglich machen könnten, ist gar keine Frage.
Du erzwingst keine utopische Zukunft, sondern kritisierst, warum wir nicht einfach die realen Möglichkeiten von heute Zukunft werden lassen.
Wir können es doch heute schon, du hast recht.