Meldung Sicherheitsproblem - PhotoTan App

[cmdscks]

@ehemaliger Nutzer-Support - bitte eskaliert das Problem intern.

Da meine E-Mails/Anrufe bei Comdirect auf taube Ohren stoßen, versuche ich das Problem hier zu schildern.

Die PhotoTan-App erfüllt nicht die Anforderungen an eine 2- oder MFA-Authentifizierung.

Die App frägt bei der Einrichtung nach meinen Zugangsdaten zum Online-Banking.

Ein zweiter Faktor für die Authentifizierung, soll gerade nicht den ersten oder weitere Faktoren kennen.

So wird mein Handy zum single-Faktor für die Authentifizierung.

Mit verwunderten Grüßen, wie so ein Design einer "Sicherheitsarchitektur" überhaupt irgendwer guten Gewissens abgesegnet/zertifiziert hat.

[digitus]

Hallo @cmdscks, herzlich willkommen in unserer Krabbelgruppe,

dass die Photo-TAN-App immer wieder mal nicht tun, was sie soll, ist auch hier in der Community immer wieder Thema.

Dass sie ein Sicherheits-Risiko darstellen soll, ist mir neu. Die Photo-TAN-App ist bei mir über einen Aktivierungs-Scan aktiviert worden. Sie hat zu keinem Zeitpunkt nach Login-Daten fürs Onlinebanking gefragt. Die comdirect-App, die fürs Banking etc. zuständig ist, ist unabhängig von der Photo-TAN-App. Dort werden natürlich Login-Daten für die Einrichtung gebraucht.

Oder habe ich dich jetzt völlig falsch verstanden?

Wenn du hier das Social-Media-Team der comdirect direkt ansprechen willst, solltest du @SMTcomdirect verwenden.

Grüße,

Andreas

[digitus]

Ergänzend: https://www.comdirect.de/konto/psd2-phototan.html#authentifizierung

Hier steht auch, was es mit den zwei Faktoren auf sich hat.

Ich sehe nicht, warum die Photo-TAN-App das nicht leisten können sollte.

Grüße,

Andreas

[Weinlese]

Dieses Thema hatten wir in der Community schon einmal, ich finde den passenden Thread dazu auf die Schnelle aber nicht mehr. Standpunkt der comdirect hierzu war meiner Erinnerung nach, dass die Sicherheitsvorkehrungen auf modernen Smartphones hoch genug seinen, die Anforderungen an die 2FA-Vorgaben zu erfüllen. Das betrifft zum Beispiel auch die Verwendung von Online-Banking und der photoTAN-App auf demselben Gerät.

Viele Grüße

Weinlese

[digitus]

Hallo @cmdscks, wie schaut es jetzt aus?

Wollen wir die Diskussion weiterführen oder hat sich dein Anliegen erledigt?

Ich würde mich über eine Rückmeldung deinerseits freuen!

Grüße und ein schönes Wochenende,

Andreas

[Tastenhauer]

Mich hat die PhotoTAN-App letztens auch mal nach meinen Zugangsdaten (nicht das App-Passwort) gefragt, weil sie meinen Fingerabdruck nicht registrieren konnte.

[tremotino]

Habe gerade festgestellt, daß man die Comdirect Banking App nur nutzen kann, wenn man auf dem gleichen Gerät die Photo-TAN-App installiert. Der Photo-TAN-Generator funktioniert nicht, und die Photo-TAN -App auf einem anderen Smartphone zu installieren funktioniert auch nicht.

Hier wird man also gezwungen, eine potentiell unsichere Lösung einzureichen. Ich will die Banking-App und die App zur Freischaltung der Aufträge nicht auf dem gleichen Gerät haben, denn wenn dieses gehackt wird, kann ein Angreifer auf beide Apps zugreifen und fröhlich das Konto leerräumen. Sämtliche seriösen Sicherheitsexperten raten davon ab.

Also: das teuere Photo-TAN-Gerät, daß deutlich mehr Sicherheit bietet, funktioniert nicht zusammen mit der Comdirect-App. Das hat mir der Support telefonisch bestätigt. Ich kann es nicht glauben, daß die comdirect so einen Mist implementiert. Ein weiterer Grund, mir eine neue Bank zu suchen.

[SMT_Jessica]

Hallo @tremotino und herzlich willkommen in unserer Community.

Gerne greife ich die Aussage von @Weinlese noch mal auf:

Die gängigen Smartphonebetriebssysteme Android und iOS trennen Apps sicher gegeneinander ab. So kann beispielsweise die eine App nicht auf Daten oder Schlüsselmaterial einer anderen App zugreifen. Die Trennung kann auch als gegeben angesehen werden, wenn die beiden Apps über klar definierte Betriebssystemmechanismen miteinander kommunizieren (Interprozesskommunikation), wie es beim photoTAN App2App-Verfahren der Fall ist.

Das bedeutet natürlich nicht, dass wir dich dazu zwingen wollen. Gerne kannst du auch die comdirect mobile App nutzen, bei welcher du auch mit der photoTAN-Grafik und einem weiteren Endgerät arbeiten kannst. 

Viele Grüße

Jessica