@NiNi13 schrieb:
Wenn ich mit Pin online bin, warum brauche ich noch eine Tan um meine Handy Nummer verifizieren zu lassen? Ich selbst arbeite in Software sicherheitsrelevanten Bereichen, aber das kann ich mir leider nicht erklären.
Vielleicht wenn jemand meine pin kennt, dann könnte er sich ohne Tan für ein Tan Verfahren registrieren. Das aber konnte ich exakt so einfach am Telefon!
Die TAN ist die zusätzliche Sicherheitsebene gegenüber einem Angreifer, der die PIN kennt (beispielsweise weil er dich zum Login auf einer Phishing-Seite gebracht hat).
Wenn der Angreifer nun SMS-TAN aktivieren kann mit seiner eigenen Mobilfunknummer, ohne eine (vorbestehende) TAN eingeben zu müssen, und dann mit der (neu eingerichteten) SMS-TAN eine Überweisung veranlassen kann, ist das ebenso gut wie wenn gar keine TAN erforderlich wäre. Der Angreifer hat zwar etwas mehr Aufwand, den kann er aber problemlos treiben.
Nach deiner Beschreibung wurde dir auf den Anruf hin nicht direkt das neue TAN-Verfahren freigeschaltet. Vielmehr wurde nur veranlaßt, daß dir ein (grafischer) Aktivierungscode per Post zugeschickt wird. Zwar hätte den Anruf auch ein Angreifer tätigen können; um davon Nutzen zu haben, müßte er aber zu dir nach Hause reisen, sich vor deinem Briefkasten postieren und den Aktivierungsbrief abfangen, wenn er zu einem unbekannten Zeitpunkt in den nächsten Tagen eintrifft. Das ist für den Angreifer mit großem Aufwand und Entdeckungsrisiko verbunden.
Man kann sich allenfalls fragen, warum man den Aktivierungsbrief nicht online anfordern kann, sondern nur telefonisch. Da man aber eh schon den Medienbruch von online zu Brief hat, ist das fast egal.
