abbrechen
Suchergebnisse werden angezeigt für 
Stattdessen suchen nach 
Meintest du: 

phototan sehr sicher und besser als vorher ?

Dreas
Autor ★
3 Beiträge

Hallo

 

Nach reiflicher Überlegung empfinde ich die neue phototan als überhaupt nicht sicher.

Der Grund:

meine itan-Liste konnte ich verstecken oder in einen Tresor sperren.

Somit hat es ein Krimineller doppelt schwer, weil 2 Hürden genommen werden müssen, also mein Passwort zum Einloggen und meine aufgeräumte itan-Liste.

Und jetzt ?

Jetzt ist es nur noch 1 Hürde, nämlich mein Passwort.

Es bringt gar nichts, wenn ich das Lesegerät verstecke, weil irgendein Lesegerät verwendet werden kann, entweder eins von der Commerzbank oder versuchsweise eins von einer anderen Bank, wenn es sich um den selben Hersteller des Lesegeräts handelt.

Das Lesegerät wird nicht personalisiert, also kann jeder eine gültige Tan auf einem fremden Konto erzeugen.

Noch einfacher wird es, wenn eine App auf dem selben Gerät installiert ist, welche die Tan gleicht ausliest und anzeigt.

Dann braucht ein Krimineller eigentlich gar keine Tan mehr, sondern nur noch das Passwort und los geht´s mit Konto leerräumen.

Was soll daran sicherer sein ?

 

 

19 ANTWORTEN

til
Autor ★★★
53 Beiträge

@Kim007  schrieb:

Sicher ist nur, dass die Bank mit der Aktivierung der Phototan App zugriff auf unsere privaten Daten unseres Handi hat und diese auch auswerten wird.


Nein. Die photoTAN-App hat dazu gar keine Berechtigung.

Weinlese
Mentor ★
1.429 Beiträge

@Kim007  schrieb:

Was wir benötigen, ist eine andere Kultur der Auseinandersetzung unterschiedlicher Ansichten. Das aber können wir nicht einfordern – außer von uns selbst. Diese Veränderung kann nur aus uns selbst kommen und durch ihre Vorbildwirkung anstecken.


Ein Grundprinzip bei der Diskussion unterschiedlicher Ansichten ist es auch, aufgestellte Behauptungen entsprechend mit Belegen zu versehen. Tut man das nicht, muss man den Vorwurf der Verschwörungstheorie auch aushalten können. Smiley (zwinkernd)

 

Viele Grüße

Weinlese

Tekkx
Autor
2 Beiträge

Ich nutze das Konto normalerweise nur einmal im Monat um "was" zu überweisen. Alles andere geht per Einzug oder Paypal. Und so ist es mir erst jetzt aufgegangen:

Ist das ganze P2D-(oder so ähnlich)-Gedöhns wirklich sicherer?

Ich glaube, das ist ein großer Irrtum. Mindestens so groß, wie der, daß Scheuer's E-Scooter den Planeten retten werden.

Mir persönlich ist noch nie (immerhin in 30 Jahren online-Banking) eine TANListe gestohlen oder missbraucht worden. Und ich kenne auch keine einzige Person, der das passiert wäre. Das Risiko war auch sehr gering: Immerhin lag die TAN-Liste immer sicher zu Hause.

Mein Mobiltelefon ist mir allerdings schon einmal gestohlen worden und ich kenne mehrere Personen, denen das ebenfalls schon (auch mehrfach) passiert ist. 

Berechnung:

Die TANs liegen zu Hause und werden einmal im Monat herausgekramt und können (theoretisch) einmal missbraucht werden. Vorausgesetzt, ich werde genau in dem Moment in meiner Wohnung überfallen. (Man hört so viel von Ost-Europäischen TAN-Listen-Diebesbanden)

Das Mobiltelefon ist 30 Tage im Monat mit mir draußen (dafür habe ich mir das Ding schließlich angeschafft) und es kann (theoretisch) an 30 Tagen im Monat abhanden kommen und gehackt/missbraucht werden.

Auf der iTAN-Liste waren bis zu 100 unbenutzte iTANs gespeichert.

100 mal 30 = 3000. Heißt das jetzt, daß das mTAN- oder PhotoTAN-Verfahren 3000 mal sicherer als das iTAN-Verfahren ist? 

Oder ist es eher umgekehrt?

Necoro
Mentor ★
1.070 Beiträge

Hallo @Tekkx,

 

das Problem bei iTAN war nicht der TAN-Listen-Diebstahl. Die Probleme sind eher:

 

Phishing 1: D.h. Leute fallen auf Emails/Webseiten der Art "aus Gründen benötigen wir bitte 20 TANs von Ihnen" herein und geben ihre Tans raus. Das ist mit mTAN/photoTAN ausgeschlossen, weil diese transaktionsgesteuert sind.

 

Phishing 2/MITM: Jemand wird auf eine gefälschte comdirect-Seite gelotst, die sich "über" die eigentliche comdirect Seite legt. Wenn der User dort nun eine Überweisung über 20 EUR an Tante Emma eingibt, leitet die Seite an das eigentliche comdirect System eine Überweisung über 2000 EUR an die Kriminiellen weiter. Dies lässt sich wiederum mit mTAN/photoTAN zu mindestens soweit unterbinden, als dort das Überweisungsziel und -betrag noch einmal dargestellt werden. Sofern man das gegenprüft (und das sollte man!) würde man solcherlei Schummeleien bemerken.

Tekkx
Autor
2 Beiträge

... und wieso hat man dann früher nicht einfach den Besteller der 20 TAN und/oder das Überweisungsziel gegengeprüft?

Die Leute, die das früher nicht getan haben (sind inzwischen nicht jünger geworden und) tun das beim mTAN... genauso nicht.

Phishing wird immer ein Problem bleiben. Systeme werden immer unsicher sein, solange Menschen darin eine Rolle spielen. Gegen Dummheit ist kein Kraut gewachsen (stammt nicht von mir!).

Ich bin ganz sicher kein Befürworter von Verschwörungstheorien, doch ich muss  ohnmächtig zusehen, wie die Menschen (ich bin einer davon), immer unter dem Vorwand der Sicherheit (oder a.a.O. Gesundheit) Stück für Stück geknebelt und entmündigt werden. 

Erst waren es NOX, dann das Rauchen, dann Feinstaub, dann BPA. Der Hanauer Forst wurde unter dem Vorwand des Bandschutzes geräumt. Im BER spülen ständig schärfer werdende Brandschutzvorschriften Xzig Millionen in dubiose Taschen. 
Zum Glück rettet uns PSD2 nun wenigstens vor Online-Verbrechern.

 

Irgendwann wird unser Leben sehr sicher sein aber dafür auch sehr überflüssig (siehe auch "Die Zeitmaschine" von H.G.Wells).

Prost.

PS: Ich frage mich, wie ich die letzten 50 Jahre unverletzt überleben konnte.

Kim007
Autor
4 Beiträge

Eine sehr gute Analyse... Smiley (fröhlich)

Kim007
Autor
4 Beiträge

Bei dem hier aufgelisteten 1. Argument fehlen mir echt die Worte. Wer so blöd ist, dem kann man nicht mehr helfen.

Im übrigen wurden schon im Oktober 2016 die ersten PhotoTan`s gehackt.

 

https://www.heise.de/security/meldung/Photo-TAN-Apps-der-Deutschen-Bank-Commerzbank-und-Norisbank-an...

 

Sicher ist, dass nichts sicher ist...

Necoro
Mentor ★
1.070 Beiträge

@Kim007  schrieb:

Im übrigen wurden schon im Oktober 2016 die ersten PhotoTan`s gehackt.

 

https://www.heise.de/security/meldung/Photo-TAN-Apps-der-Deutschen-Bank-Commerzbank-und-Norisbank-an...

 


*gähn* Auf diesen Beitrag habe ich glaube ich hier in der Community schon 4-5x geantwortet. Es gibt doch bereits den 27-Seitigen iTan/Photo-Tan-Thread (s. die Link-Liste von @t.w. oben), dort sind alle (ja, alle!) Argumente für und wider bereits bis zum Erbrechen ausdiskutiert worden.

til
Autor ★★★
53 Beiträge

@Tekkx  schrieb:

... und wieso hat man dann früher nicht einfach den Besteller der 20 TAN und/oder das Überweisungsziel gegengeprüft?

Die Leute, die das früher nicht getan haben (sind inzwischen nicht jünger geworden und) tun das beim mTAN... genauso nicht.

Phishing wird immer ein Problem bleiben. Systeme werden immer unsicher sein, solange Menschen darin eine Rolle spielen.


Weil du es bei der (i)TAN-Liste nicht gegenprüfen kannst! Klar wird Phishing ein Problem bleiben, aber mit photoTAN ist man schon sehr gut dagegen gewappnet und kann auch von kompromittierten Geräten Transaktionen ausführen.

 

@Kim007 Wie gesagt, wurde das schon zig Mal diskutiert: erstens ist die comdirect davon nicht betroffen (hat Vincent Haupert meine ich auch mal selbst gesagt), und zweitens ist man erst recht nicht betroffen, wenn man die photoTAN-App auf einem separaten Gerät offline verwendet.

 

Und ja, ich kenne die Talks vom Chaos Communication Congress, und bin bei vielem auch eher vorsichtig. Aber bei photoTAN sehe ich keine Gefahr.

Weinlese
Mentor ★
1.429 Beiträge

@til  schrieb:

@Kim007 Wie gesagt, wurde das schon zig Mal diskutiert: erstens ist die comdirect davon nicht betroffen (hat Vincent Haupert meine ich auch mal selbst gesagt), und zweitens ist man erst recht nicht betroffen, wenn man die photoTAN-App auf einem separaten Gerät offline verwendet.


Das ist aus meiner Sicht das entscheidende Argument für photoTAN. Ein externes Lesegerät, das statt der iTAN-Liste zuhause in der Schublade liegt, ist nicht nur genau so sicher wie die Papierliste, es ist sogar sicherer, weil jede TAN zweckgebunden ist. Selbst wenn es einem Angreifer geingt, die TAN durch Schadsoftware abzufangen, so kann er sie nicht für eine manipulierte Transaktion missbrauchen.

 

Viele Grüße

Weinlese

Kurz zustimmen zu Cookies und vergleichbaren Webtechnologien
Um Ihnen insbesondere ein optimales Website-Erlebnis zu bieten, werden mit Ihrer Einwilligung Cookies und Webtechnologien zu Funktions-, Statistik-, Komfort- und Marketingzwecken sowie zur Darstellung personalisierter Inhalte verwendet. Im Einzelnen sind dies (Details unter nachfolgenden Links):

Adobe Analytics: Reichweitenmessung zur Verbesserung des Nutzungserlebnisses der Website sowie Optimierung der Marketingkampagnen.

Adform: Aussteuerung und Optimierung von Werbemitteln, die durch Kunden von Adform geschaltet werden.

Adition: Aussteuerung und Optimierung von Werbemitteln, die durch Kunden von Adition geschaltet werden.

comdirect-Surfertracking: Optimierung und Aussteuerung nutzerbezogener Werbung, die von comdirect auf Drittseiten geschaltet wird

Community Umfrage: Aussteuerung von Umfragen für Besucher der comdirect community.

DoubleClick Floodlight: Analyse des Nutzerverhaltens zur Optimierung des Nutzungserlebnisses.

Meta: Nachverfolgung von Verhalten nach Klick auf Meta-Werbeanzeigen und Personalisierung von Meta-Werbung.

Google Ads: Nachverfolgung von Verhalten nach Klick auf Google-Werbeanzeigen und Personalisierung von Google-Werbung.

Personalisierte Angebote: Aussteuerung und Optimierung von personalisierten Werbeflächen im persönlichen Bereich.

Smartadverser: Aussteuerung und Optimierung von Werbemitteln, die durch Kunden von Smartadverser geschaltet werden.

Wenn Sie mindestens 16 Jahre alt sind, können Sie durch Klicken auf „Alle akzeptieren“ bestätigen, dass wir diese Webtechnologien verwenden dürfen. Anderenfalls klicken Sie auf „Alle verweigern“. Durch Klicken auf „Einzeln einstellen“ können Sie jederzeit Ihre Einwilligung widerrufen oder Ihre Einwilligungseinstellungen anpassen.

Hier finden Sie weitere Informationen zum Datenschutz und unser Impressum.