Vier Fragen zu smartTAN bzw. smartTAN-USB

Hallo Olaf,
hallo geschätztes Forum,


ich habe eine ganze Anzahl an Verständnisfragen zu SmartTAN-USB, Konten bei MeineBank = Raiffeisenbank im Hochtaunus -> VR, Atruvia.

---

Kurze anekdotische Vorgeschichte, eigentliches Thema und Fragen nach der unteren horizontalen Linie, weiter unten

Die Webseiten der MeineBank sind gelegentlich etwas verwirrend, manches ist "echt" MeineBank, manches ist "gebranded" auf MeineBank in Wirklichkeit VR.DE, oder Atruvia, oder keine Ahnung... jedenfalls: nicht alle Funktionalitäten rund ums Konto sind direkt bei MeineBank zu erledigen. Und manches nur in der VR Banking App, manches nur im Browser. Fazit: Wenn es stattdessen in Hibiscus geht, freue ich mich

Heute wollte ich eigentlich etwas wegen einer Vollmacht nachsehen, dauerte etwas, dieses in der oben beschriebenen "Vielfalt" zu finden. Und habe aus Versehen auf den darüberliegenden Menüpunkt "Datenschutz und Sicherheit" geklickt. Dort, neben dem für uns als Neukunden 2023 verbindlichen "SecureGo Plus" Verfahren und dem Hinweis, dass "mobileTAN" und "SecureGo" abgeschaltet wurden, im Untermenü "Weitere Sicherheitsverfahren" entdeckt, dass ich "smartTAN" nutzen kann. Nach ein bisschen hier im Forum und im Hibiscus Wiki lesen war dann klar, dass smartTAN das Pendant zum mir wohlbekannten chipTAN Verfahren der Sparkassen ist.

Was ich natürlich SEHR spannend fand, da ich obwohl umständlicher chipTAN nun mal sicherer finde als SecureGo plus oder Vergleichbares. Speziell hierbei mit der etwas versteckt angebotenen Funktionalität, dass man die TAN-Generierung nochmals zusätzlich durch eine PIN absichern kann, die auf der Karte als Sicherheitsmedium abgespeichert wird. Alles in allem IMHO ein echter zweiter Faktor, nicht bloss eine zweite App auf dem identischen "Faktor" Smartphone, auf dem auch die entsprechende Banking App läuft. Ja, ist aber saubequem, und ja, habe auch aus ebendiesem Grund wenn unterwegs und dringend schon gemacht. Versuchte ich aber zu vermeiden, und nutzte sowieso wann immer möglich Hibiscus, speziell dann via chipTAN-USB über (m)einen Secoder-fähigen Reiner-SCT cyberJack RFID komfort. Oder eben seit "MeineBank" Hibiscus auf dem Linux PC und SecureGo plus auf dem Smartphone, "passt" sicherheitstechnisch auch.

---

Ich habe dann heute smartTAN aktiviert, dabei muss man sich für eine der vorhandenen girocards entscheiden. Danach via Startcode eine TAN generieren und in die Webseite eingeben. Zum Glück haben wir dafür noch einen tanJack photo QR, aus der chipTAN-Zeit, bevor es chipTAN-USB gab, und bevor Olaf das dann Hibiscus beigebracht hat. Ein tanJack optic CX aus 2017 kann mit den neuen Girocards leider nichts mehr anfangen.

(Fragen 1-3 beziehen sich auf smartTAN-USB, da ich eigentlich ausschließlich dieses mit Hibiscus nutzen möchte, Frage 4 ist allgemein)

ERSTE Frage genau hierzu:
Kann man dieses Aktivieren / Zuordnen einer girocard zum smartTAN-Verfahren auch OHNE einen zweiten Leser/Generator hinkriegen? Den cyberJack RFID komfort "kennt" das Browserbanking ja überhaupt nicht, den "sieht" nur Hibiscus. Kann ich diese Aktivierung aus Hibiscus anstarten? Ich vermute nein, weil außerhalb FinTS, bin aber gespannt. Vielleicht kennt ja jemand eine Art "Secoder-Admin-Tool"..

ZWEITE Frage:
Ich musste für diese Aktivierung den "Lesertyp", 12stelliger Code nach Eingabe Startcode "09", in die Webseite eintragen. Und wie oben erwähnt eine Start-TAN generieren und ebenfalls eintragen. Nach Anleitung im Hibiscus Wiki habe ich dann über einen weiteren Bank-Zugang für meine "MeineBank" Konten angelegt, PIN/TAN, "Smart-TAN plus optisch / USB".
Hat SOFORT fkt. wie im Wiki beschrieben, ich kann Überweisungen tätigen, voila!
Ich frage mich aber jetzt schon, warum
Also konkret: Warum muss ich "MeineBank" zuvor einen "Lesertyp" übermitteln und eine Start-TAN von ebendiesem Leser, um jetzt (doch?) mit einem völlig anderen Leser TANs generieren zu können? "Beruhigt" hat mich, dass die TANs nur von genau der girocard akzeptiert werden, die ich zuvor registriert habe. Eine zweite (von zweitem Konto bei MeineBank) "akzeptiert" zwar der USB-Kartenleser, über Hibsiscus angesteuert, die generierten TANs werden aber bankseitig als ungültig abgelehnt. Wenn also diese "Bindung" offensichtlich nicht an ein konkretes Gerät stattfindet, sondern vielmehr an eine Girocard, zurück zur ERSTEN Frage: Geht die Registrierung dann nicht über Hibiscus / den USB-Leser via (?) ? Bzw. warum kann ich nicht "irgendeine" meiner Girocards, mir gehörend und bei derselben Bank, als Sicherheitsmedium nutzen? Verwirrend, ich kann jetzt z.B. eine Überweisung vom unserem Gemeinschaftskonto via smartTAN über die Girocard zu meinem Einzelkonto freigeben. Die Girocard zum Gemeinschaftskonto nicht, da diese nicht registriert ist und nur eine registriert sein kann...

DRITTE Frage:
Über die TAN-Generatoren kann man wie oben beschrieben die PIN-Funktion für die zum Generieren verwendete Girocard verwalten: Aktivieren, wieder deaktivieren, und die PIN setzen. Hinweis: hat NICHTS mit der normalen PIN der Girocard zu tun, diese zweite, separate PIN wird nur abgefragt, wenn eine TAN generiert werden soll. Im Kartenleser/TAN-Generator.
Auch hier meine Frage zu den USB-Kartenlesern via Secoder: Kann man diese PIN-Funktionen auch über einen USB-Kartenleser wie meinen cyberJack RFID komfort verwalten? Geht das irgendwie über Secoder? Eine TAN-Taste hat der ja nicht


VIERTE Frage:
Der tanJack photo QR hat im PIN Menü einen Unterpunkt "PUK". Kennt man von den SIM-Karten im Mobilfunk, dreimal PIN falsch -> PUK benötigt. 10 mal PUK falsch: tot. In der reiner-SCT Bedienungsanleitung steht, dass nur manche Banken diese PUK-Funktionalität unterstützen, man soll nachfragen. Weiß hier im Forum einer der Experten zufällig, ob die aktuellen VR-Verbund girocards ((dg-nexolution.de?) diese PUK-Funktion unterstützen?

Zu deiner Frage 1)
Das geht prinzipiell auch so. Es gibt extra Geschäftsvorfälle mit denen man die aktive Karte ändern kann. Da es meist offen ist, ob die Bank, oder die Software das kann ist der Weg über die Webseite einfacher. Warum macht man das? Zwei Gründe:
1) Die Bank muss die möglichen TANs mit ihren Schlüsseln nachrechnen. Zwei Karten bedeuten doppelt so viele TANs zum Nachrechnen aber auch doppelt so viele Chancen für den Angreifer.

Zu deiner Frage 2)
Die Abfrage des Geräts ist nicht zwingend notwendig und wir in FinTS gar nicht abgefragt. Das der Leser abgefragt wird, ist eine Komfortfunktion für Supportfälle, wie z.B. der Fall, dass die Reiner SCT Leser die neuen Karten nicht mehr unterstützen konnten, weil sie sich genau an die Spezifikation gehalten hatten. Mit dem Wissen welchen Leser der Anwender hat, kann man einen Austausch besser koordinieren. Mehr aber halt auch nicht.

Zu deiner Frage 3)
Ja, kann man nutzen. Aber da die PIN in die Berechnung der TAN einfließt, ändern sich damit die TANs. ggf. muss die Bank die Nutzung der PIN irgendwo vermerken, damit der TAN Vergleich funktioniert.

Zu deiner Frage 4) Mir wäre keine Bank bekannt, die eine Puk bei einem ChipTAN Verfahren unterstützt

Grundsätzlich würde ich aus den Erfahrungen vergangener Zeiten von der Nutzung der PIN bei den ChipTAN Verfahren abraten

Ich kannte das noch aus früheren Zeiten, dass das bei den VR Banken mal gab. Habe inzwischen per PN gehört, dass das inzwischen auch so geht. Von daher passt.