Ist Subsembly Banking sicher?

 
henningturo
Neuling
Avatar
Geschlecht: keine Angabe
Beiträge: 1
Dabei seit: 06 / 2011
Betreff:

Ist Subsembly Banking sicher?

 · 
Gepostet: 12.06.2011 - 20:53 Uhr  ·  #1
Hallo,

ich bin auf die Banking-Software von subsembly gestossen und mir gefällt die Oberfläche. Allerdings habe ich zuvor nicht von diesem Produkt gehört, es scheint nicht so bekannt zu sein wie Starmoney, Quicken etc.
Wer steckt hinter der Software, ist die Software vertrauenswürdig?

Gruß
Henning
Michael Döring
Benutzer
Avatar
Geschlecht: keine Angabe
Beiträge: 1495
Dabei seit: 07 / 2008
Betreff:

Re: Ist Subsembly Banking sicher?

 · 
Gepostet: 13.06.2011 - 06:43 Uhr  ·  #2
Die Software ist von Andreas Selle, den ich persönlich für uneingeschränkt vertrauenswürdig halte.
Er ist wirklich sehr gut in diesem Fach und hat schon etliches gemacht.
Da ich nicht weiß, ob es ihm recht wäre überlasse ich es ihm lieber selbst, mehr Details über sich zu verraten.
Zur Software kann man sagen, dass diese bislang nach meiner Kenntnis noch nie negativ in einem Test oder einer Schlagzeile erschienen ist.
Diese Seite ist auch aufschlussreich: http://subsembly.com/de/partner.html
DBuessen
Benutzer
Avatar
Geschlecht:
Herkunft: Eckernförde
Alter: 85
Beiträge: 1826
Dabei seit: 02 / 2011
Betreff:

Re: Ist Subsembly Banking sicher?

 · 
Gepostet: 14.06.2011 - 10:59 Uhr  ·  #3
Zitat geschrieben von henningturo
Hallo,

ich bin auf die Banking-Software von subsembly gestossen und mir gefällt die Oberfläche. Allerdings habe ich zuvor nicht von diesem Produkt gehört, es scheint nicht so bekannt zu sein wie Starmoney, Quicken etc.
Wer steckt hinter der Software, ist die Software vertrauenswürdig?

Gruß
Henning


Hallo,
die "Vertrauenswürdigkeit der Software" kann man schon daraus ableiten, dass die Schnittstelle "subsembly" in weiteren Programmen wie z.B.
T-Online-Banking - Homebanking 2011 (Akademische AG) - Steganos-Online-Banking usw eingesetzt wird.
OnDoc
Neuling
Avatar
Geschlecht: keine Angabe
Beiträge: 1
Dabei seit: 09 / 2015
Betreff:

Subsembly - Sicherheit - Partner

 · 
Gepostet: 01.09.2015 - 12:45 Uhr  ·  #4
Ich wollte mich auch gerade über die Sicherheit von subsembly infomieren und bin hier in diesem Thread gelandet.
Die Seite http://subsembly.com/de/partner.html gibt es nicht mehr, auch keine andere Informationen über derzeitige Partner, etc.

Im Internet-Archiv findet man immerhin noch die Partner-Seite vom Stand 13-10-2008:
http://web.archive.org/web/20080513213621/http://subsembly.com/de/partner.html

Gibt es die Partnerschaften noch oder sind sie gar wegen Sicherheitsbedenken aufgelöst worden?

Prinzipiell denke ich nicht, dass hinter dem Angebot böswillige Absichten stehen, ganz im Gegenteil...
aber es wäre schon schön etwas validere Überprüfungsmöglichkeiten zum Datenschutz zu haben... vielleicht eine TÜV-Zertifizierung oder so...

Bedenklich finde ich auch, dass Überweisungen mit mobilTAN am selben Gerät gemacht werden können...
Werden die verbrauchten TANs dann auch noch in der App gespeichert würde das noch einmal höheres Risiko erzeugen...

Immerhin schneidet subsembly hier in einem Vergleichs-Test ganz gut ab:
https://www.psw-group.de/blog/bankgeschaefte-aus-der-hosentasche-banking-apps-im-test/1356

Dort wird nur bemängelt, dass es keine AGBs gibt... der Entwickler begründet, dass damit das AGB im Allgemeinen zum Nachteil der Endkunden wären.
Auch diese Aussage ist für mich fragwürdig? :-/
msa
Benutzer
Avatar
Geschlecht:
Herkunft: München
Alter: 62
Beiträge: 7565
Dabei seit: 03 / 2007
Betreff:

Re: Ist Subsembly Banking sicher?

 · 
Gepostet: 01.09.2015 - 13:13 Uhr  ·  #5
TÜV-Zertifizierung? Das ist ja wohl nur Augenwischerei. Alles Mögliche bekommt eine TÜV-Zertifizierung - und hinterher stellt sich heraus, dass hinter den Kulissen das Chaos herrscht. Also darauf verlassen sich ja wohl nur Leute, die obrigkeitsgläubig sind.

Natürlich kann / muß man sich bei Bankprogrammen immer fragen, was / wer dahintersteckt und dem dann trauen oder nicht trauen. Das ist die eigene Entscheidung. EDV ist heutzutage so kompliziert, dass in den allerseltensten Fällen irgendjemand durch alles komplett durchschaut und das auch beurteilen kann. Klar, die Partner sind ein gewisses Indiz, aber auch die sind keine Garantie, weil sie nicht alles bis in's Letzte durchschauen.

Gerade Subsembly finde ich persönlich sehr viel mehr vertrauenserweckend als div. andere Anbieter. Es handelt sich hier um eine inhabergeführte, kleinere Firma, die sehr genau weiß, was sie tut - und wo direkt eine greifbare Person (mit Büro und Adresse und allen Schikanen) verantwortlich ist.

Was die Sache mit mobilerTAN und Überweisung betrifft: Dies auf dem gleichen Gerät durchzuführen, ist gemäß Bedingungen der Banken nicht zulässig. Also sollte man es als Kunde sein lassen. Wieso aber muß der Kunde zu seinem Glück gezwungen werden, wenn er sich - warum auch immer - dafür entscheidet, sich vertragswidrig zu verhalten? Ich hasse jegliche Software, die meint, mich zu meinem Glück zwingen zu müssen. Insofern bin ich mit B4* gerade sehr glücklich, dass ich selbst entscheiden kann. Weiterhin ist zu sagen, dass es sich bei B4* um ein HBCI-El.Banking-Programm handelt. Dieses Programm kann letztendlich nicht wissen, wo und unter welchen Umständen es gerade läuft. Insofern kann es nicht entscheiden, ob ein Verweigern einer UW gerade angebracht ist oder nicht. Ein unter iOS oder Android laufendes Programm kann nicht wissen, ob die TAN, die kommen wird, nun auf dem gleichen Gerät eintreffen wird, oder auf einem anderen. Vielleicht hat ja jemand zwei Händis, auf dem einen läuft die Software, das andere empfängt die TAN. Oder es läuft auf einem Tablet und die TAN kommt auf dem Handy. Damit wäre das durchaus problemlos machbar, ohne Bedingungen zu verletzten. Soll jetzt - wegen einiger unbelehrbarer Kunden - die Software für iOS und Android sicherheitshalber grundsätzlich alles verbieten? Das wäre unerträglich, in meinen Augen!

Und was hast Du gegen die AGB-Aussage? Das Verhältnis zwischen Verkäufer und Käufer ist im BGB sehr genau geregelt - in vielen Fällen zu Gunsten des Kunden. Weil das den Verkäufern nicht gefallen hat, haben sie die AGB erfunden, um alle möglichen Regelungen zu ihren Gunsten auszuhebeln. Das ging soweit, daß nochmal ein spezielles AGB-Gesetz nötig wurde, um div. Aushebelungen auszuhebeln. Was spricht also dagegen, wenn ein Verkäufer sagt, ich nehme das, was das Gesetz vorsieht, als gegeben hin und versuche NICHT, mich durch irgendwelche AGB besserzustellen? Hast Du jemals AGBs gesehen, in denen beispielsweise drin steht "Abweichend zur gesetzlichen Lage gewähren wir dem Kunden eine 10mal so lange allumfassende Gewährleistung" ? Zumal - sind wir ehrlich - eigentlich KEIN Kunde AGBs studiert und verstanden hat, bevor er eine App für ein paar Euro kauft. Somit ist "rein nach Gesetz und ohne (ungelesene) AGBs" in jedem Fall besser, als "ausführliche AGBs", in denen dann alles Mögliche versteckt ist, was der Kunde aber niemals liest (und was wohl für eine App von ein paar Euro auch nie interessant wird). Insofern halte ich Deine Fragwürdigkeit auch für fragwürdig 8-)
subsembly
Benutzer
Avatar
Geschlecht: keine Angabe
Herkunft: München
Homepage: subsembly.com/
Beiträge: 4582
Dabei seit: 11 / 2004
Betreff:

Re: Ist Subsembly Banking sicher?

 · 
Gepostet: 01.09.2015 - 13:44 Uhr  ·  #6
Hallo.

Zitat geschrieben von OnDoc

Ich wollte mich auch gerade über die Sicherheit von subsembly infomieren und bin hier in diesem Thread gelandet.
Die Seite http://subsembly.com/de/partner.html gibt es nicht mehr, auch keine andere Informationen über derzeitige Partner, etc.


Eine eigene Partnerseite haben wir nicht mehr. Unter den verschiedenen Entwicklerprodukten haben wir aber weiterhin die wichtigsten Referenzen (Ich hoffe jetzt fühlt sich kein nicht erwähnter Kunde vernachlässigt, natürlich sind alle Kunden wichtig.) aufgeführt. Zum Beispiel: https://subsembly.com/de/hbci-fints-api.html

Zitat geschrieben von OnDoc
Dort wird nur bemängelt, dass es keine AGBs gibt... der Entwickler begründet, dass damit das AGB im Allgemeinen zum Nachteil der Endkunden wären.
Auch diese Aussage ist für mich fragwürdig? :-/


Ich habe leider keine Ahnung was ich in AGB sinnvolles reinschreiben sollte, das nicht entweder sowieso durch Gesetzte geregelt ist (Rückgabe, Datenschutz, ...) oder einfach überflüssig ist. Am Ende liest das sowieso keiner. Zeig mir doch mal bitte auch nur ein Beispiel wo in irgendwelchen AGB irgendetwas zum Vorteil des Kunden geregelt wird. Beim Vertrieb über die App Stores gelten zudem sowieso nur die AGB der App Stores. Eigene AGB wären hier hinfällig.
Raimund Sichmann
Benutzer
Avatar
Geschlecht: keine Angabe
Beiträge: 8238
Dabei seit: 08 / 2002
Betreff:

Re: Ist Subsembly Banking sicher?

 · 
Gepostet: 01.09.2015 - 19:52 Uhr  ·  #7
Zitat geschrieben von msa

TÜV-Zertifizierung? Das ist ja wohl nur Augenwischerei. Alles Mögliche bekommt eine TÜV-Zertifizierung - und hinterher stellt sich heraus, dass hinter den Kulissen das Chaos herrscht. Also darauf verlassen sich ja wohl nur Leute, die obrigkeitsgläubig sind.

Das will ich nicht so einfach stehen lassen. Wichtig ist, dass man sich genau ansieht, was ein TÜV (und welcher) am Unternehmen oder am Produkt geprüft hat. Dazu müsste man sich aber Zeit nehmen und informieren, das ist schon sehr komplex.
Je nach Produkt ist das sehr aufwändig und kostet sicherlich auch viel Geld - ein Softwareentwickler im Nischenbereich Onlinebanking wird sich das zweimal überlegen, ob er dieses Geld nicht lieber in Weiterentwicklung investiert.
Dazu auch:
http://www.ndr.de/ratgeber/ver…ev242.html
Gruß
Raimund
cw24
Benutzer
Avatar
Geschlecht: keine Angabe
Beiträge: 3
Dabei seit: 09 / 2015
Betreff:

Re: Ist Subsembly Banking sicher?

 · 
Gepostet: 25.09.2015 - 09:08 Uhr  ·  #8
Ich liebe Bank4i, soviel vorweg! Und ich möchte auf gar keinen Fall mehr drauf verzichten.
Ich werde aber mein ungutes Gefühl mit den mobilen TANs einfach nicht los.
Was passiert, wenn mein Handy in falsche Hände gerät? Dann ist nur noch mein Fingerabdruck als letzte Hürde zu überwinden um freie Verfügung über mein Konto zu haben.
Wäre es nicht möglich, dass ich die Nutzung der mobilen TAN einfach wegkonfigurieren könnte? Vielleicht mit Bestätigungscode an die hinterlegte EMail.
Jeder könnte dann selber entscheiden, ob er auch Überweisungen von seinem Handy tätigen möchte mit dem er auch die mobilen TANs empfängt..
msa
Benutzer
Avatar
Geschlecht:
Herkunft: München
Alter: 62
Beiträge: 7565
Dabei seit: 03 / 2007
Betreff:

Re: Ist Subsembly Banking sicher?

 · 
Gepostet: 25.09.2015 - 10:54 Uhr  ·  #9
Ähm, und was sollte Dir das nutzen? Dann geht der Übeltäter einfach auf die Website der Bank und nutzt die mit Deinem Handy empfangene mTAN einfach dort. Oder er verwendet ein eigenes, selbstinstalliertes HBCI-Programm, das keine Einschränkungen hat.

Ein "wegkonfigurieren" bringt nur dann etwas, wenn es auf dem BANKRECHNER passiert - aber dann kannst Du mTAN nirgends mehr einsetzen.

Bei verlorenem Handy ist die "einzige Sicherheit" entweder die Verschlüsselung des Tresors. Das Passwort sollte halbwegs kompliziert sein und dieser nachgewiesen nicht völlig sichere Fingerabdruckspielerei nicht genutzt werden. Dies gilt für den Fall, daß die KontoPIN wegen der Bequemlichkeit abgespeichert ist. Wenn man den Fingerabdruckzugang nutzen will, sollte man die KontoPIN keinesfalls abspeichern, sondern selbst eingeben. Denn dann sperrt der Übeltäter nach dem dritten Fehlversuch der PIN-EIngabe das Konto Bankrechnerseitig, dann kann nichts passieren.

Fingerabdruckzugang + gespeicherte PIN + mTAN-Empfang auf einem Gerät ist in meinen Augen grob fahrlässig. Schäden werden in so einem Fall von der zuständigen Bank sicher nicht getragen - sofern sie bei gespeicherter KontoPIN überhaupt getragen werden (diese Speicherung ist in fast allen AGBs verboten).
cw24
Benutzer
Avatar
Geschlecht: keine Angabe
Beiträge: 3
Dabei seit: 09 / 2015
Betreff:

Re: Ist Subsembly Banking sicher?

 · 
Gepostet: 25.09.2015 - 11:14 Uhr  ·  #10
Mir geht es doch darum, dass ich selber wählen kann wie sicher/unsicher bzw. bequem/unbequem ich es haben möchte.

Das von Dir beschriebene Szenario funktioniert nicht, denn bei der Webseite der Bank kannst Du Dich nur mit Pin anmelden. Die liegt aber verschlüsselt auf dem Handy. Da komme ich also nicht ran, selbst wenn ich das Handy übernommen habe. Und selbst wenn, dann habe ich nicht gegen die AGBs der Bank verstoßen. Die Bank haftet, wenn nicht PIN und mobileTAN auf dem selben Gerät sind.

Du hast natürlich aber vollkommen Recht, dass es grob fahrlässig ist alles auf dem Handy zu speichern. Genau deshalb würde ich mir ja auch wünschen, dass meine Bank4i-Version keine Überweisungen tätigen kann.

Die einfachste Lösung wäre doch, wenn es zwei Versionen zum Download gibt. Eine mit, eine ohne Überweisungsfunktionalität. Dann kann jeder selber entscheiden.
Odin
Benutzer
Avatar
Geschlecht: keine Angabe
Herkunft: Bayerisch Venedig
Homepage: sparkasse-passau.d…
Beiträge: 769
Dabei seit: 11 / 2004
Betreff:

Re: Ist Subsembly Banking sicher?

 · 
Gepostet: 25.09.2015 - 13:07 Uhr  ·  #11
...auch da liegt die Lösung auf dem Bankrechner. Lasse dir doch "einfach" von deiner Bank einen 2ten Zugang anlegen, der nur die Abfrageberechtigung enthält. Somit kann damit keine Überweisung oder ähnliches in AUftrag gegeben werden. Und es liegt dann an dir, in welcher Umgebung du welchen Zugang verwendest... Das Ziel ist ja OK - nur den "falschen Weg" eingeschlagen...

Od
Raimund Sichmann
Benutzer
Avatar
Geschlecht: keine Angabe
Beiträge: 8238
Dabei seit: 08 / 2002
Betreff:

Re: Ist Subsembly Banking sicher?

 · 
Gepostet: 25.09.2015 - 13:47 Uhr  ·  #12
wenn deine Bank ein Smart/ChipTAN-Verfahren anbietet, könntest du das ja in der Bnak aktivieren lassen und in Subsembly ohne Karte einrichten. Dann müssten Betrüger schon sehr viel Wissen haben, um das umzustellen.
Gruß
Raimund
cw24
Benutzer
Avatar
Geschlecht: keine Angabe
Beiträge: 3
Dabei seit: 09 / 2015
Betreff:

Re: Ist Subsembly Banking sicher?

 · 
Gepostet: 25.09.2015 - 14:08 Uhr  ·  #13
"... 2ten Zugang anlegen, der nur die Abfrageberechtigung enthält ..."
Danke! Auf die Idee bin ich bisher gar nicht gekommen. Ich frage gleich mal bei der Haspa nach, ob das möglich ist.
msa
Benutzer
Avatar
Geschlecht:
Herkunft: München
Alter: 62
Beiträge: 7565
Dabei seit: 03 / 2007
Betreff:

Re: Ist Subsembly Banking sicher?

 · 
Gepostet: 25.09.2015 - 17:01 Uhr  ·  #14
@cw24: Du gehst davon aus, dass jemand, der das Handy hat, nicht an die gespeicherte PIN rankommt. Du meinst, er kann nur dann erfolgreich kommunizieren, wenn er das MIT DEINEM HANDY tut, weil da ja die PIN hinterlegt ist? Das halte ich für eine nicht haltbare These. Wenn jemand das Handy hat, dann kommt er entweder an nichts dran, weil er ja den Tresor nicht entschlüsselt bekommt. Somit kommt er nicht auf den Bankrechner und bekommt damit auch keine mobile TAN zugesendet. WENN allerdings der Zugang klappt, dann wird er auch irgendwie an die gespeicherte PIN rankommen. Denn bei offenem Tresor ist die zwar in der derzeitigen Version nicht anzeigbar (sie war früher anzeigbar!), aber trotzdem zumindestens im Speicher des Gerätes entschlüsselt vorhanden. Somit ist sie dann auch mit endlichem Aufwand auslesbar.

Halten wir fest, sowie die Verschlüsselung des Tresors geknackt ist (z.B via Fingerprint-Zugang) ist die Sicherheit komplett kompromittiert. Ob dann die auf diesem Handy installierte Programmversion Überweisungen kann oder nicht ist irrelevant. Die eigentliche Sicherheit liegt immer nur auf dem Zugang zum Bankrechner. Wenn man sie durch Abspeichern der Bankrechner-PIN vorverlagert (in die Software), dann muß man den Zugang zur Software sicher machen und der Verschlüsseltung der Software trauen. Sobald man aber die Sicherheit auf eine Software oder Gerät verlagert, kommt man mit den el.Banking-Bedingungen der Bank ins Gehege, denn die kennen und akzeptieren (natürlich) nur die Sicherheit auf dem Bankrechner direkt - auf alles andere haben sie ja keinen Einfluß.
Raimund Sichmann
Benutzer
Avatar
Geschlecht: keine Angabe
Beiträge: 8238
Dabei seit: 08 / 2002
Betreff:

Re: Ist Subsembly Banking sicher?

 · 
Gepostet: 25.09.2015 - 17:39 Uhr  ·  #15
Stimmt zwar, ist aber Theorie. Es ist die Frage, ob man mit dem Restrisiko eines solchen Angriffs leben mag oder eben nicht. Und in der Praxis mact es - für mich jedenfalls - sehr wohl einen Riesen-Unterschied, ob mit meinem Zugang Geld gestohlen werden kann oder halt eben nicht.
Und zumindest aktuell scheint mir das für Betrüger ebenfalls so zu sein, die scheuen aktuell zumindest den Aufwand, ZV-Software zu knacken.
Das kann nächste Woche anders sein, deshalb würde ich in jedem Fall hier zum ChipTAN-Verfahren raten, wenn man Bedenken hat.
Gruß
Raimund
Gewählte Zitate für Mehrfachzitierung:   0