Sicherheitslücke?

[Kio]

@SMT_Chris 

Ich wurde gerade für den Abschluss eines Updates aufgefordert den Rechner neu zu starten. Da ich ihn nicht direkt neu gestartet habe, sondern etwa zwei Minuten zwischen Herunterfahren und Neustarten lag, ist mir etwas aufgefallen. Ich war zum Zeitpunkt des Herunterfahrens im Konto angemeldet und war nach dem Neustart immer noch angemeldet. Das dürfte doch eigentlich nicht sein, oder? Da mein Computer ca. 2min aus war, hätte er doch bei der comdirect ausgeloggt werden müssen. Wie kann er dann immer noch angemeldet sein? Jeder, der innerhalb der automatischen Abmeldezeit den Computer hochfährt, hat demnach Zugriff auf die Kontodaten.

Gruß kio

[Silver_Wolf]

---

@Kio  schrieb:

@SMT_Chris 

Ich persönlich habe da keine Bedenken, wie gesagt.

Aber es ist schon wieder komisch. Ich habe das vorhin dreimal probiert, also runter- und wieder raufgefahren und blieb angemeldet. Dann habe ich das mit einer anderen Seite mit Anmeldung versucht. Da war ich dann prompt abgemeldet, nachdem der Rechner aus gewesen ist. Technisch also möglich.
Aber, plötzlich war ich dann auch bei der comdirct abgemeldet. Und komischerweise muss ich mich jetzt sogar mit Tan anmelden. Wieder mehrmals probiert, Ergebnis bleibt gleich, rätselhaft, rätselhaft.

Langweilig wirds nicht. 😅

gruß kio

---

Wenn du alle Cookies löschst dann ist auch der für die 90 Tage ohne TAN weg.

[ehemaliger Nutzer]

Hat nicht ein Session-Coockie eine gewisse (bei banking hoffentlich) sehr kurze Gültigkeits-Laufzeit die dann vom Server immer regelmäßig während des eingeloggt sein erneuert wird?  (nicht verwechseln mit der automatischem Ausloggen nach gewisser Zeit).

Bei einem hoch und runterfahren müsste dieses "Gültigkeits-Zeitfenster" des "dynamischen" Session-Coockies doch abgelaufen sein - selbst wenn es nicht bei Sessionende gelöscht wurde.  Oder habe ich das komplett missverstanden.

Zur Klarstellung - dieses hier beschriebene Verhalten ist nicht das abspeichern von Konto und Passwort, sonder tatsächlich ein wenig besorgniserregend.

[Kio]

---

@Silver_Wolf  schrieb:

---

---

Wenn du alle Cookies löschst dann ist auch der für die 90 Tage ohne TAN weg.

---

Ich habe aber nach den Tests heute morgen absichtlich keine Einstellungen geändert, damit die Voraussetzungen immer gleich sind. Deswegen ist es ja so dubios.

[Griseldis]

Bei mir passiert das nicht. Weder beim Neustart des Rechners noch beim Neustart von Firefox. Ich habe in FF "Cookies und Website-Daten beim Beenden von Firefox löschen" gesetzt und das funktioniert. Gleichzeitig habe ich eine Ausnahme für comdirect hinterlegt, was zur Folge hat, dass ich nicht bei jedem Login nach einer TAN gefragt werde. Die aktuellen Session-Cookies werden hingegen gelöscht - so wie es sein soll.