Neue photoTAN App – Infos zu Update oder Neuinstallation inkl. FAQs

[SMT_Erik]

*** Hinweis vom 11.08.2021: Beschreibung zu Aktivierung der App aktualisiert. ***

*** Hinweis vom 05.06.2020: Ergänzt wurden Tipps im Falle von Störungen. ***

*** Hinweis vom 04.05.2020: Dieser Thread wurde jetzt um FAQs rund um das photoTAN App-Update erweitert. ***

Hallo Community,

da sich in Zusammenhang mit der neuen photoTAN App-Version 8.x und deren Funktionsumfang wiederkehrende Fragen ergeben, soll diese kleine Matrix als Orientierungshilfe dienen.

Hierbei ist zu unterscheiden, ob für die vorhandene Vorgängerversion der App ein Update durchgeführt worden ist oder die App in ihrer aktuellen Version neu installiert worden ist.

Grundsätzlich ist nach dem Update oder der Neuinstallation die Vergabe eines Passwortes für den Zugriffschutz jetzt obligatorisch.

Begründung: während des Update- und Neuinstallationsvorgangs werden Zugangsdaten in der App eingegeben, aus denen ein Token erzeugt und in der App hinterlegt wird.

Funktion	Nach Update der App	Nach Neuinstallation der App
Klassischer photoTAN-Scan (Aufruf mittels Symbol unten links auf der App-Startseite)	Ja, möglich für alle vor dem Update eingerichteten Zugänge.	Ja, möglich für alle Zugänge die nach der Neuinstallation aktiviert worden sind.
Neue photoTAN-Push-Funktion nutzen	Ja, aber nur für alle Zugänge, die auf eine Person verknüpft sind. Dabei werden alle Zugänge automatisch auf die Push-Funktion umgestellt. Bereits aktiverte Zugänge anderer Personen können weiterhin  nur die Scan-Funktion nutzen.	Ja, möglich für alle Zugänge die nach der Neuinstallation aktiviert werden können. Das sind ausschließlich die miteinander verknüpften Zugänge einer Person. Beispiel: Einzelkonto + Gemeinschaftskonto + Bevollmächtigten-Zugang für Konto oder Depot eines Dritten.
Weitere Zugänge aktivieren	Möglich nur für Zugänge, die mit dem Inhaber der im Token hinterlegten Zugangsdaten verknüpft sind. Zugänge, auf die dieses Kriterium nicht zutrifft (in der Regel Zugänge anderer Personen) können nur auf einem anderen Smartphone mit eigener photoTAN App oder in einem photoTAN-Lesegerät aktiviert werden.	Möglich nur für Zugänge, die mit dem Inhaber der im Token hinterlegten Zugangsdaten verknüpft sind. Zugänge, auf die dieses Kriterium nicht zutrifft (in der Regel Zugänge anderer Personen) können nur auf einem anderen Smartphone mit eigener photoTAN App oder in einem photoTAN-Lesegerät aktiviert werden.

FAQs photoTAN-Push

Wie aktiviere ich meine photoTAN App?

Zur Aktivierung der App werden folgende Zugangsdaten benötigt: die achtstellige Zugangsnummer, die sechsstellige PIN, ein aktueller photoTAN-Aktivierungsbrief, oder alternativ (sofern aktiviert) das mobileTAN-Verfahren bzw. die Wiederherstellungsfunktion im Persönlichen Bereich der Webseite unter Verwaltung > PIN/TAN-Verwaltung > photoTAN.

Aktuell ist eine Aktivierung von App und Lesegerät nur mit einem aktuellen photoTAN-Aktivierungsbrief möglich. Die sogenannte Online-Strecke ist b.a.w. deaktiviert.

Ich habe das Update durchgeführt und mir gefällt die Push-Funktion nicht. Kann ich das rückgängig machen?

Nein, ein Downgrade ist nicht möglich. Das Update auf die Push-Funktion ist eine Erweiterung der klassischen photoTAN-Scan-Funktion. Die Scan-Funktion kann zusätzlich genutzt werden und funktioniert auch offline. Zum Aufruf der Funktion einfach auf der Startseite der App unten links das Symbol berühren.

Kann ich eine APK-Version der alten photoTAN App-Version installieren?

Für APK-Versionen aus uns unbekannten Quellen können wir keine Gewährleistung für Funktion und Sicherheit der App übernehmen. Unsere App stellen wir ausschließlich im Google Play Store und im Apple Store zur Verfügung.

Warum muss ich meine Zugangsdaten in der App eingeben bzw. hinterlegen? Das erleichtert den Missbrauch.

bzw.

Warum ist nun ein Passwort in der App nötig?

Um die photoTAN-Push-Funktion nutzen zu können, ist die Eingabe der Zugangsdaten notwendig. Die Daten werden in Form eines Tokens hinterlegt und können nicht ausgelesen werden. In der App ist der Passwortschutz nun obligatorisch. Dadurch kann die App vor Missbrauch geschützt werden.Diese Funktionalität erfüllt die PSD2-Richtlinie zur Zwei-Faktor-Authentifizierung (2FA).

Ich soll beim Update jetzt ein Passwort eingeben. Das kenne ich nicht mehr, was nun?

In diesem Falle ist die Neuinstallation der App notwendig. 

Warum kann ich kein gerootetes Gerät bzw. keines mit einem Jailbreak mehr nutzen? Das war in der Vorgängerversion noch möglich.

Lösung: Bitte nutze ein Gerät, das nicht gerootet ist.

Begründung: Es ist richtig, dass die Vorgänger-Version der photoTAN App auf Geräten mit administrativen Zugriff unter bestimmten Voraussetzungen genutzt werden konnte. Dennoch haben wir grundsätzlich immer darauf hingewiesen, dass wir die Funktionstüchtigkeit auf diesen Geräten nicht gewährleisten können. Dass die alte Version trotz Rootings bzw. Jailbreaks genutzt werden konnte, hängt damit zusammen, dass diese App-Version nicht in dem Maße gehärtet war, wie es bei der neuen Version mit der Push-Funktion der Fall ist.

Der Grad der Härtung wurde bei der neuen Version aus sicherheitstechnischen Erwägungen angehoben. Die Argumentation, dass ein gerootetes System – vorausgesetzt das notwendige Wissen dafür steht zur Verfügung - sehr gut abgesichert werden kann, können wir nachvollziehen. Andererseits fällt es uns schwer sicherzustellen, dass auch jedes gerootete Gerät von seinem Nutzer mit dem notwendigen Maß abgesichert wird. Daher haben wir die Entscheidung getroffen, den Grad der Härtung unter dem Aspekt der Sicherheit und im Sinne aller Nutzer dieser App, zu erhöhen. Grundsätzlich wird sich unsere Fachabteilung weiterhin Gedanken darüber machen, inwieweit ein Anpassung der Härtung unter Berücksichtigung der o.g. Aspekte möglich ist.

Funktioniert die Push-Funktion jetzt auch mit FinTS-Apps bzw. Online-Shopping im App2App-Verfahren?

Für die Nutzung mit Banking-Software (FinTS) und Online-Shopping-Apps auf demselben Gerät steht die Push-Funktion noch nicht zur Verfügung. Eine Erweiterung ist aber bereits in Arbeit. Alternativ kann wie gewohnt das photoTAN-Scan-Verfahren mit zwei Endgeräten verwendet werden.

Ich musste die App neu installieren. Warum kann ich meine App nun nicht mehr für die Zugänge mehrerer Personen nutzen?

Nach der Neuinstallation bzw. dem Zurücksetzen der App, können alle miteinander verknüpften Zugänge einer Person mittels der Zugangsdaten dieser Person für photoTAN-Push eingerichtet werden. Die Zugangsdaten anderer Personen, können auf separaten Geräten (Smartphone oder Lesegerät) eingerichtet werden. Alternativ können die Konten Dritter weiterhin aktiviert werden, wenn dem Nutzer der App entsprechende Konto- & Depotvollmachten erteilt werden. Ein Vollmacht-Formular findet sich hier. 

Ich habe das Update gemacht und will Zugänge weiterer Personen aktivieren. Geht das?

Das Aktivieren weiterer Zugänge von anderen Personen ist nach dem Update und nach der Neuinstallation der App nicht mehr möglich. Vor dem Update vorhandene Aktivierungen anderer Personen können aber nach dem Update der App weiterhin für das Scannen von photoTANs genutzt werden. Sollen Konten Dritter neu hinzugefügt werden, ist zuvor eine Konto- & Depotvollmacht durch den Dritten zu erteilen (siehe vorherige Frage). 

Warum muss ich bei der Push-Funktion auch noch auf der Webseite auf „Freigeben“ klicken? Das geht bei der pushTAN meiner anderen Bank viel einfacher.

Die Push-Funktion stellt eine Erweiterung der klassischen photoTAN-Funktion dar. Daher ist das Procedere der Push-Funktion bei uns im Vergleich zu anderen Anbietern abweichend gestaltet worden.

Auswahl: Bei mir tritt nach dem Update folgender Fehler auf...

Ich erhalte keine Notification zur photoTAN-Push (Android)

Dieser Fehler ist bereits bekannt und wir arbeiten an einer Lösung.

Die App stürzt plötzlich ab, nachdem sie erst lief. (Android)

Dieser Fehler ist bereits bekannt und tritt anscheinend nur auf bestimmten Hard- und Software-Konfigurationen auf. Bitte teile uns Modell und Betriebssystemversion deines Smartphones. Wir leiten die Infos gerne weiter.

Die App friert ein, wenn ich einen App2App-Vorgang in der comdirect App auslöse (Android)

Dieser Fehler ist bereits bekannt und wir arbeiten an einer Lösung.

Ich kann mich nicht per Passwort-Manager in der App einloggen. (iOS)

Dieser Fehler ist bereits bekannt und wir arbeiten an einer Lösung.

Die eingegebenen Zugangsdaten sind angeblich falsch.

Wenn ausgeschlossen ist, dass die Zugangsdaten versehentlich falsch eingegeben worden sind und es sich um mehrere verknüpfte Zugänge einer Person handelt, bitte mit dem Kundenservice telefonisch, per Kontaktformular im Persönlichen Bereich oder per E-Mail in Verbindung setzen.

Die App kann nicht mehr gestartet werden. Das Display bleibt schwarz.

Dieser Fehler ist bereits bekannt und tritt anscheinend nur auf bestimmten Hard- und Software-Konfigurationen auf. Bitte teile uns Modell und Betriebssystemversion deines Smartphones. Wir leiten die Infos gerne weiter.

Tipps im Falle von Störungen:

Wenn Fehler beim App2App-Verfahren auftreten, nutzt bitte entweder

- sofern vorhanden ein anderes Gerät (für App2App auf einem Gerät oder als Zweitgerät, um auf der Webseite mit photoTAN-Scan zu arbeiten) oder

- registriert euch telefonisch für das mobileTAN-Verfahren (bei diesem Verfahren werden je verbrauchter TAN 0,09 Euro Entgelt berechnet, wobei mobileTANs für Transaktionen im Wertpapiergeschäft kostenfrei sind).

Wenn die Störung beim Start der photoTAN App auftritt:

- möglicherweise hilft eine Neuinstallation der photoTAN App inkl. anschließender Neuaktivierung der Zugänge (Details hierzu sind weiter oben beschrieben) oder

- weicht wenn möglich auf ein anderes Smartphone bzw. ein photoTAN-Lesegerät aus oder

- registriert euch telefonisch für das mobileTAN-Verfahren (bei diesem Verfahren werden je verbrauchter TAN 0,09 Euro Entgelt berechnet, wobei mobileTANs für Transaktionen im Wertpapiergeschäft kostenfrei sind).

Generell im Falle von Fehlfunktionen:

- Sofern bei der Freigabe von Transaktionen in der comdirect App mit photoTAN-Push ein Fehler auftritt (z. B. App friert ein), können Transaktionen auf einem Endgerät alternativ auch mit der comdirect mobile App durchgeführt werden. Die comdirect mobile App findest du bei Google Play und im Apple Store. Die Freigabe einer Transaktion aus der mobile App ist möglich, indem z. B. bei einer Überweisung photoTAN-Push angefordert wird, dann in die photoTAN App gewechselt und die Freigabe erteilt wird. Im Anschluss wechselt man zurück in die mobile App und klickt auf „Freigeben.“

Gruß

Erik

[g_jm_k]

Hallo,

ich habe das gleiche bzw. ähnliches Problem. Ich habe insgesamt Zugriff auf 5 Konten, 1 eigenes, 2 gemeinsame und auf 2 Konten Vollmacht. Mit der Vorgänger App konnte ich TANs für alle Konten in der APP handhaben. Mit der aktuellen App kan ich das nur noch für ein Konto - für die restlichen Konten muss ich einen Tan Generator nutzen. Das ist umständlich und ein meinen Augen gegenüber der alten Variante unsicherer. Ich bin viel auf Reisen und muss jetzt zusätzlich den TAN Generator mitschleppen. Im Gegensatz zu meinem Smartphone, das ich in der Regel am Körper trage muss ich den TAN Generator irgendwo verstauen. Der ist im Gegensatz zur APP nicht über einen PIN abgesichert. Wer also den Zugang zum Konto geknackt hat hat alle Hürden überwunden wenn er den TAN Generator in die Finger bekommt.  Bein der App ist die Hürde hier deutlich höher - zunächst muss der Zugang zum Smartphone geknackt werden, dann der Zugang zur App.

Für mich war das sowohl ein praktischer, ein technischer als auch aus Security Sicht  ein Rückschritt.

G.

[SMT_Jessica]

Hallo @g_jm_k und herzlich willkommen in unserer Community!

Da du ja noch nicht so lange bei uns bist 😉, füge ich gerne noch mal den Beitrag von Erik vom 01. Februar ein:

Es können bis zu acht Kontozugänge, die

a) auf deinen Namen lauten und

b) miteinander verknüpft sind

in einer photoTAN App auf einem Smartphone verwaltet werden.

Sofern diese Verknüpfungen nicht vorhanden sind (und das ist durchaus möglich, auch wenn die Kollegen in der Hotline alle Konten auf einen Blick sehen können), ist ein nachträgliches Verknüpfen leider nicht möglich. In diesem Falle hilft entweder die

- separate Nutzung eines photoTAN-Lesegerätes (das kann nämlich auch unverknüpfte Konten, die auf denselben oder unterschiedliche Namen lauten, verwalten)

- oder die Verwendung eines weiteren (oder mehrerer weiterer) Smartphones mit eigener aktivierter photoTAN App

- oder der Einsatz der mobileTAN.

Viele Grüße

Jessica

[g_jm_k]

Hallo Jessica,

ja ich bin neu hier im Forum - comdirect Kunde schon seit der Anfangsphase in den 199x, comfirst Kunde seit eh + je.

Den Beitrag auf den du verweist habe ich gelesen - und genau diese Lösung ist das was ich meine mit: Für mich ist das sowohl ein praktischer, ein technischer als auch aus Security Sicht  ein Rückschritt. Ich spreche hier auch aus beruflicher Erfahrung ( über 20 Jahre IT Erfahrung im Bankensektor)

Die Vorgänger App Version hat mir diese Funktionalität auf einem Gerät zur Verfügung gestellt ..... warum man diese Funktionalität in der aktuellen Version nicht mehr zur Verfügung stellt ist mir unverständlich.  

Viele Grüße G. 

[SMT_Jessica]

Hallo @g_jm_k,

wenn du, wie beschrieben, bei allen Konten einen eigenen Zugang mit eigenen Zugangsdaten für deine Person hast und diese verknüpft sind, kannst du auch in der neuen App bis zu 8 Konten verwalten.

Oder habe ich das falsch gelesen?

Viele Grüße

Jessica

[cestmoi]

muss da mal wieder reinsenfen:
was spricht dagegen, wenn man einfach die "alte" PhotoTAN-App weiter anbietet??? Nichts ist naheliegender als 2 Apps parallel laufen zu lassen... Wer PushTAN braucht, der muss halt wechseln, wer mit PhotoTAN zufrieden war... den muss man doch nicht mit aller Macht "ins Unglück rennen lassen".
Ursprünglich war mal "Kosteneinsparung" (nicht 2 Apps parallel aktuell halten) als Grund genannt... Letztendlich bin ich mir nicht sicher, wie viele stillschweigend nun keine Kunden mehr sind und deswegen zum Glück auch keine Kosten mehr verursachen.
Ein Hinweis auf "kauf Dir doch 10 Handys" - ehrlich jetzt? Oder ein PhotoTAN-Lesegeraät? Wenn die Karten beim Besitzer der Konten zu sein haben?

Sorry - Ihr bügelt das so einfach weg - geglättet ist da aber gar nix!

[wolfgangk]

Guten Tag,

ich bin auch schon lange bei der comdirect und habe da mehrere Konten - nicht miteinander verknüpft. Und ich habe auch andere Online-Konten bei anderen Banken. Mich nervt dieses Wegklicken der Werbung auch gewaltig und ich schaue mir das an, wo ich meine Orders am einfachsten absetzen kann. Das heisst konkret: wenn es hier wieder einfacher wird, gibt es auch wieder mehr Umsatz. Deshalb meine Bitte: bevor da noch mehr Kunden mit den Füßen abstimmen, überlegt doch bitte wirklich mal, ob Ihr die alte App wieder veröffentlicht oder zumindest in der neuen App einen Knopf reinbaut:  Ja || Jetzt nicht || Nein und Entscheidung merken.

[Ankalisa]

Ich habe 2 Konten bei der Comdirect. Eins davon ist ein Gemeinschaftskonto. Leider kann ich von diesem keine Aufträge absenden, da bei mir die PhotoTan-App nicht funktioniert. Ich kann per PhotoTan nur in meinen alleinigen Konto Aufträge absenden. Ich habe für beide Konten damals den Aktivierungsbrief gescannt, allerdings gab es immer eine Fehlermeldung für das zweite (Gemeinschaftskonto). Wie ist es möglich, dass ich auch in diesem Konto per photoTan Aufträge freigeben kann? 

[ehemaliger Nutzer]

Wie ich sehe gibt es hier recht viele eröffnete Themen zum Thema PhotoTAN-App & ROOT.

Entgegen vieler Aussagen hier, dass Root nicht möglich sei, kann ich allen versichern, dass es geht. Und ebenfalls entgegen der hier offiziellen Aussagen steht dies nicht im Geringsten im Widerspruch zur Sicherheit. Im Gegenteil! Wer rootet, will in der Regel Apps nutzen, die ihm eben jene Sicherheit in vor allem Privatsphäre zurückgeben. Denn Sicherheit geht nur all zu oft zu Lasten der Privatsphäre. Hmm...woher kennen wir das doch gleich? 🙂

Also: PhotoTAN-App & ROOT läuft wunderbar!!!

(gilt auch unter Android 8 OREO)

Mein System:
- Android-Smartphone ohne Google-Dienste 🙂
- microG mit Aurora (Fake-store)
- Root & CustomROM (cdDroid based on Android 10)
- Magisk 22.1
- Magisk-Modul "Riru" und dann "EdXposed" (xposed geht nur bis Android 8 OREO) oder "LSPosed" (wie EdXposed, jedoch mit scoping!)
- in EdXposed oder in LSPosed läuft dann XPrivacyLua als Modul (unter Android 8 das alte XPosed)
- AFWall+

Wichtig:
>>> in MAGISK den ROOT vor PhotoTAN-App verstecken
>>> im Modul EdXposed oder LSPosed das Modul XPrivacyLua aktivieren

- Variante mit LSPosed: den Haken bei der PhotoTAN-App setzen, damit XPrivacyLua die PhotoTAN-App in nicht wichtigen Dingen blockt.
- Variante mit EdExposed: hier wird jede neu installierte App automatisch von XPrivacyLua geblockt, bis man manuelle einzelne sicherheitskritische Abfragen freigibt. Allerdings lohnt es hier in den Einstellungen von EdExposed, dieses vor Apps zu verbergen und zumindest die PhotoTAN-App auszuwählen.

Egal, welchen Weg man geht:
Die PhotoTAN-App will weiter die Anwendungsliste einlesen. Wozu? Privatsphäre!
Einige Identifier will die App auch wissen. Kann sie haben - mit vorgeschobenen Fake-Daten. Einzig die Kamera darf die App logischerweise nutzen.

In AFWall+ ist die App nur für das WLAN und für LTE freigegeben, sonst klappt die Freigabe bei Überweisungen nicht. Dazu muss der Bankserver mit der PhotoTAN-App kommunizieren können.

Ob EdExposed oder LSPosed ist egal. Ich bin nur auf LSPosed umgestiegen, da seit Android 10 (oder gar 9) nur damit die Standortfälschung sauber funktioniert. Ich bekam den Tipp vom XPrivacyLua-Programmierer persönlich per Email. Nun klappt alles wie gewünscht.

Die PhotoTAN-App braucht natürlich die Google Service Frameworks.

Mein Smartphone hat bis auf GoogleMaps nichts von Google drauf. Statt des Google Cores nutze ich microG mit dem Fake-Store Aurora. Dort bin ich wegen früher bezahlter Apps allerdings mit meinem echten Google-Account angemeldet.

Der Aurora-Store erkennt die PhotoTAN-App an und aktualisiert sie auch.

Dass die Bargeldabschaffung nicht mehr weit ist, erkennt ein Blinder mit Krückstock. Doch die angebliche Sicherheit durch Zweistufen-Verifizierung mittels App ging mir schon seit Jahren zu sehr zu Lasten meines Rechts auf Privatsphäre, da ganz zufällig Parameter abgegriffen werden, mit denen sich jedes Smartphone weltweit eindeutig zurückverfolgen lässt.

Viel Erfolg beim Zurückerlangen der vollen Kontrolle über das eigene Smartphone. Ich hoffe, hier konnte allen helfen, die auf ihrem Root-Device die PhotoTAN-App zum Laufen zu bringen versuchen.

[Tarquin]

Danke für die Rückgabe des X auf der Startseite der Photo Tan App.

[julb]

.