Neue Comdirect App und photoTAN

[oblonski]

Hallo, mit der neuen C App kann ich in Verbindung mit der photoTAN App relativ einfach Geld überweisen. Faktisch wurde jetzt aus einer 2-Faktor eine 1-Faktor Authentifizierung, d.h. ich logge mich mit z.B. der Face-ID ein u. kann loslegen.  Angenommen mein Handy ist entsperrt u. die C App offen (sperrt sich leider nur alle 3 min., was ich nicht verändern kann), so kann jeder, der mein Handy Geld überweisen. Ist das so gewollt?

[Elbblick]

Zu dem Thema gibt es hier schon diverse endlose Diskussionen im Bereich "Konto & Karte".

Um es kurz zu machen: Ja.

[Dax43]

ein bisschen Eigenverantwortung musst du auch schon aufbringen. Dein Smartphone muss nicht entsperrt sein. Wenn du dein Smartphone aus der Hand legst, dann sperre es. Ganz einfach. Bei dir klingt es so wie, wenn ich meine Haustür offen stehen lasse, können Fremde an meinen Safe. Ist das so gewollt ?

[SMT_Erik · Accepted solution]

Hallo @oblonski und herzlich willkommen in unserer Community!

Ich kann deine Bedenken nachvollziehen und möchte dazu folgende Anmerkungen machen.

Gemäß den gesetzlichen Anforderungen (EBA RTS zur PSD2 Artikel 9.3a) sind Banken aufgefordert, die Authentifikation über getrennte und sichere Ausführungsumgebungen durchführen zu lassen. Dies kann bei der Nutzung einer Banking App und einer davon separaten App mit einem zweiten Faktor als gegeben angesehen werden. Eine Nutzung von zwei verschiedenen Devices ist regulatorisch nicht gefordert.

Die gängigen Smartphonebetriebssysteme Android und iOs trennen Apps sicher gegeneinander ab. So kann beispielsweise die eine App nicht auf Daten oder Schlüsselmaterial einer anderen App zugreifen. Die Trennung kann auch als gegeben angesehen werden, wenn die beiden Apps über klar definierte Betriebssystemmechanismen miteinander kommunizieren (Interprozesskommunikation), wie es beim photoTAN App2App-Verfahren der Fall ist.

Sichere deine Apps am besten durch die Zugriffschutzfunktionen, die dir in allen unseren Apps zur Verfügung stehen. Und habe immer einen Blick auf dein Smartphone, sodass du einen Missbrauch bestmöglich verhindern kannst. 😉

Gruß aus Quickborn

Erik

[oblonski]

Vielen Dank für die schnelle und freundliche Antwort.

[Belphegore]

Moin und Hallo,

die App ist Klasse. Einziges Manko : bisher habe ich es noch nicht geschafft, das Querformat hinzubekommen auf meinem IPad Pro. Liegt es an mir ?

[ehemaliger Nutzer]

Hallo @Belphegore,

unsere comdirect App und auch die photoTAN App sind für Smartphones optimiert. Aus diesem Grund wird das Querformat nicht unterstützt. Aber was nicht ist, kann ja noch werden. 😉

Viele Grüße

Mario

[f.kiesel]

@SMT_Erik 

Ist ja schön und gut, dass ihr euch damit gerade so an den regulatorischen Vorgaben vorbeimogeln könnt.

Übernimmt ein Angreifer das Telefon auf Root-Ebene, ist das alles aber komplett bedeutungslos. Der Angreifer hat dann alles was er braucht, um Überweisungen in beliebiger Höhe durzuführen (spätestens, wenn der Benutzer die App öffnet und selbst etwas überweist, das eine TAN erfordert). Googelt mal Gustuff und staunt was die Malware alles drauf hat.

Das sollte jedem klar sein, der die beiden Apps zusammen benutzt. Haften will comdirect dafür vermutlich nicht, das ist dann das Problem des Kunden. Oder sehe ich das falsch?

Leider kann man in der aktuellen Version der App bei Überweisungen gar kein zweites Gerät mehr nutzen. Die App sagt nur, man solle die PhotoTAN App installieren. Genau das will ich aus oben genannten Gründen nicht.

Gibt es da eine Möglichkeit den QR-Code anzeigen zu lassen und dann die TAN einzugeben?

Viele Grüße

[SMT_Jan-Ove]

Hallo @f.kiesel,

wir geben das Bei-uns-sind-Sie-sicher-Versprechen.

Du kannst als Alternative ganz einfach unsere mobile App nutzen oder auf über den Browser deines Smartphones auf unsere Website ausweichen. Dann musst du jedes Mal 2 Geräte verwenden, um Aufträge aufzugeben.

Beste Grüße

Jan-Ove

[f.kiesel]

Hi @SMT_Jan-Ove 

in der alten App funktioniert PhotoTAN. Allerdings kann man in der App keine girocodes scannen. Von da her bringt mir das nicht wirklich was.

Wo schägt sich das Bei-uns-sind-Sie-sicher-Versprechenin den Nutzungsbedingungen oder AGBs genau nieder?

Viele Grüße