photoTAN 8.0.1 besteht auf ein Update, Android 5.1.1 wird aber nicht mehr unterstützt? Frustration.

[boernsen]

Hallo zusammen,

ich bin mit dem comdirect Onlinebanking eigentlich sehr zufrieden, werde aber einfach nicht warm mit der photoTAN App bzw. den TAN Verfahren.

Mein Haupthandy habe ich manuell auf ein Android 9 (LineageOS, root) aktualisiert, um nicht auf Android 4.2.2 angewiesen zu sein und es damit länger nutzbar und sicherer zu machen (-> Sicherheit und Nachhaltigkeit!). Leider untersagt mir die photoTAN App aufgrund von Root die Nutzung. Ein Einverständniserklärung mit der vollständigen Übernahme der Haftung meinerseits für damit in Verbindung gebrachte Schäden hätte ich gerne unterschrieben. Stattdessen bleibt Frust.

Mein Zweithandy hat noch das Originalbetriebsystem von Google drauf. Android 5.1.1. Hier lief die PhotoTAN App 8.0.1 wenigstens noch bis vor einer Weile. Jetzt besteht die App auf eine Aktualisierung, indem sie mir sagt: "Es steht eine neue App-Version zur Verfügung. Bitte führen Sie ein Update durch.". Die einzige Auswahlmöglichkeit ist dann ein Button: "Jetzt aktualisieren". Drücke ich diesen, werde ich zur comdirect photoTAN App in den Google Play Store weitergeleitet. Hier steht dann: "Diese App ist mit deinem Gerät nicht mehr kompatibel. Wenn du weitere Informationen benötigst, wende dich bitte an den Entwickler." Wieder Frust.

Mein TAN Generator (tanJack® photo QR), den ich zum Glück für verschiedenste Banken verwenden kann, kann zwar das sehr verbreitete Verfahren mit dem Farb-Matrixcode nach DK HHDFM, welches den comdirect TAN QR Bildern sehr ähnlich sieht, unterstützt aber das comdirect/Commerzbank-eigene Verfahren nicht. Auch hier Unverständnis auf meiner Seite. Was sind denn die Gründe für ein eigenes Verfahren? Eigenentwicklungen gelten in der IT-Sicherheits nicht umsonst als Risikofaktor. Was ist eigentlich mit TOTP? Ist das nicht viel einfacher und auch PSD2 kompatibel?

Ich bin jedenfalls frustriert über:

- gefühlten Google/Apple-Zwang (will ich die photoTAN App verwenden, muss ich mich von Google/Apple tracken lassen)

- gefühlte Diktatur und Misstrauen meiner persönlichen Sicherheitsmaßnahmen (im Gegensatz zur Toleranz von veralteten Betriebssystemem mit bekannten und nicht mehr schließbaren Sicherheitslücken)

- gefühlte Diktatur der Eigenmarke comdirect photoTAN (im Gegensatz zu )

Jetzt könnte man natürlich sagen, "wechsel doch die Bank" (habe ich tatsächlich schon teilweise, comdirect ist nur noch mein Zweitkonto). Ich habe aber offensichtlich auch noch Hoffnung und schätze auch einige Funktionen des comdirect Onlinebankings bzw. Depots sehr. Daher möchte ich meine Unzufriedenheit hier wenigstens mitteilen, in der Hoffnung, dass sie für die Zukunft irgendetwas bewirkt.

Aktuell sehe ich für mich nur die folgenden Möglichkeiten:

- Neues Google Telefon kaufen (-> wenig nachhaltig! Außerdem Google/Apple-Zwang?)

- Auf mobileTAN umsteigen (-> weniger Sicherheit, höhere Kosten)

- comdirect/Commerzbank-eigenes TAN Lesegerät kaufen (-> wenig nachhaltig, da keine Wiederverwendung, comdirect/Commerzbank-Zwang, hohe Kosten)

- Bank komplett wechseln

Habe ich noch andere Möglichkeiten?

Gibt es Aussichten für eine Änderung dieses Zustands?

Vielen Dank für eure Hilfe

[dg2210]

Siehe meinen Beitrag über LIneage.

https://community.comdirect.de/t5/Website-Apps/So-gehts-PhotoTAN-auf-Android-11-Lineage-OS-mit-root/...

Einziger "Trick": ältere Version manuell installieren und automatische Updates verbieten.

[der4sich]

Hallo boernsen,

Du schreibst mir aus der Seele. Neues Handy oder TAN-Lesegerät nur anschaffen, weil in immer kürzeren Abständen neue Sicherheitsrichtlinien umgesetzt werden, das ist einfach nicht nachhaltig. Aber was soll's: Die gute alte TAN-Liste auf Papier wird wohl nicht wiederkommen.

Mit zwei Infos von dg2210 (DANKE!) habe ich heute ein >über 10 Jahre altes Samsung Galaxy S2 GT-I9100 mit Android 4.4.2 zum funktionierenden photoTAN-Gerät gemacht:

1. comdirect photoTAN-App Version 7.3.23 besorgt und installiert - zu haben z. B. bei apkfun.com
2. im "Persönlichen Bereich" > Verwaltung > PIN / TAN > Weiteres Gerät aktivieren nicht etwa "photoTAN App" ausgewählt, sondern "Lesegerät". Dass danach keine Push-TAN funktioniert, empfinde ich nicht als Manko.

Das Handy zu rooten, war nicht nötig.

Jetzt habe ich das gute Gefühl, ein Backup für photoTAN zu haben und nicht tagelang auf dem Trockenen zu sitzen, wenn das Handy mal außer Gefecht ist.

Hoffe, dass das auch Dir weiter hilft.

[dg2210]

---

@boernsen  schrieb:

Mein TAN Generator (tanJack® photo QR), den ich zum Glück für verschiedenste Banken verwenden kann, kann zwar das sehr verbreitete Verfahren mit dem Farb-Matrixcode nach DK HHDFM, welches den comdirect TAN QR Bildern sehr ähnlich sieht, unterstützt aber das comdirect/Commerzbank-eigene Verfahren nicht. Auch hier Unverständnis auf meiner Seite. Was sind denn die Gründe für ein eigenes Verfahren? Eigenentwicklungen gelten in der IT-Sicherheits nicht umsonst als Risikofaktor. Was ist eigentlich mit TOTP? Ist das nicht viel einfacher und auch PSD2 kompatibel?

(...)

- gefühlte Diktatur der Eigenmarke comdirect photoTAN (im Gegensatz zu )

---

Nur zur Klarstellung:

Das PhotoTAN-verfahren ist keine Eigenentwicklung der comdirect, sondern ein Produkt von onespan (https://www.onespan.com/de/products/transaktionsunterzeichnung/cronto), das von vielen Banken (z.B. Deutsche Bank) eingesetzt wird. Warum sich die Commerzbank für dieses und nicht für ein Produkt der Konkurrenz entschieden hat? Wir werden es wohl nie erfahren...

[VersalEszett]

---

@boernsen  schrieb:

Was ist eigentlich mit TOTP? Ist das nicht viel einfacher und auch PSD2 kompatibel?

Nein, leider nicht. Die Richtlinie gibt vor, dass die TAN mit der Aktion verknüpft sein muss, damit man als Nutzer nachvollziehen kann, was man denn eigentlich bestätigt. Deshalb geht TOTP nicht, und auch die alten Listen mit vorgenerierten TANs nicht mehr. Denn diese können eine beliebige Aktion bestätigen, aber nicht nur eine bestimmte.