DKB Sofortüberweisung ohne korrekte TAN möglich!!!

 
hbciuser
Benutzer
Avatar
Geschlecht: keine Angabe
Beiträge: 220
Dabei seit: 10 / 2017
Betreff:

DKB Sofortüberweisung ohne korrekte TAN möglich!!!

 · 
Gepostet: Heute um 07:51 Uhr  ·  #1
Hallo zusammen,
ich habe gerade eine Sofortüberweisung bei der DKB via QR-Code TAN-Generator losgetreten (in Hibsicus). Eigentilich nichts weltbewegendes - sollte man meinen.

Ich habe kurz davor vorab bereits eine Kontostands- bzw. Umsatzabfrage gemacht - hatte also die initiale "readonly" 2FA schon hinter mir, wo man nur einen Startcode bekommt und dann die TAN daraus generiert und eingibt. Bis dahin alles schick (wie üblich).

Dann die Sofortüberweisung losgetreten. Kein VoP-Thema. Es wurde einfach nochmal ein Startcode übertragen - nochmal TAN dazu generiert. Dann ----> fertig!!!! Keine weitere TAN-Abfrage zur Bestätigung der Transaktion mit Angabe des Zahlungsempfängers / IBAN.

Ich habe verifiziert, ob die Überweisung tatsächlich angenommen wurde und geprüft, ob die Ziel-IBAN korrekt ist - via HBCI und Webbanking. Die Überweisung wurde ausgeführt. In beiden Kanälen so angezeigt. Der Empfänger war ok.

Was ist bei denen jetzt wieder kaputt? Man glaubt es nicht. Haben die die Technik überhaupt ansatzweise im Griff? Ich habe mittlerweile nicht mehr den Eidnruck, dass die wissen, was sie tun.
infoman
Benutzer
Avatar
Geschlecht:
Beiträge: 8360
Dabei seit: 06 / 2008
Betreff:

Re: DKB Sofortüberweisung ohne korrekte TAN möglich!!!

 · 
Gepostet: Heute um 08:24 Uhr  ·  #2
war die Echtzeitüberweisung evtl. unterhalb einer betragsabhängige TAN-Freigabegrenze?
Tizian
Benutzer
Avatar
Geschlecht: keine Angabe
Beiträge: 5
Dabei seit: 07 / 2026
Betreff:

Re: DKB Sofortüberweisung ohne korrekte TAN möglich!!!

 · 
Gepostet: Heute um 08:37 Uhr  ·  #3
seit wann gibt es bei der DKB eine betragsabhängige TAN-Freigabegrenze?
hbciuser
Benutzer
Avatar
Geschlecht: keine Angabe
Beiträge: 220
Dabei seit: 10 / 2017
Betreff:

Re: DKB Sofortüberweisung ohne korrekte TAN möglich!!!

 · 
Gepostet: Heute um 08:58 Uhr  ·  #4
Zitat geschrieben von infoman

war die Echtzeitüberweisung evtl. unterhalb einer betragsabhängige TAN-Freigabegrenze?


79,95 €

Egal - hier geht es doch darum, einen potentiellen man in the middle attack zu erkennen. Und es gab ja eine TAN - eben die für die Anmeldung. Aus meiner Sicht haben die da schlicht was falsch zusammengeklickt - statt Überweisungs-TAN nur den Startcode. Und wie üblich nichts getestet.
infoman
Benutzer
Avatar
Geschlecht:
Beiträge: 8360
Dabei seit: 06 / 2008
Betreff:

Re: DKB Sofortüberweisung ohne korrekte TAN möglich!!!

 · 
Gepostet: Heute um 09:53 Uhr  ·  #5
@Tizian
da div. Banken dies ja anbieten, hätte es sein können, dass es nun auch bei der DKB aktiviert wurde
Zitat geschrieben von Tizian
seit wann gibt es bei der DKB eine betragsabhängige TAN-Freigabegrenze?

oder wie kannst du dir sonst das Verhalten erklären?
(abgesehen von @hbciuser angedachte Fehlkonfig.)
icbh
Benutzer
Avatar
Geschlecht: keine Angabe
Beiträge: 1029
Dabei seit: 05 / 2020
Betreff:

Re: DKB Sofortüberweisung ohne korrekte TAN möglich!!!

 · 
Gepostet: Heute um 10:15 Uhr  ·  #6
Für eine Überweisung i. H. v. 1 € wurde gerade eine Freigabe per Push angefordert.
hbciuser
Benutzer
Avatar
Geschlecht: keine Angabe
Beiträge: 220
Dabei seit: 10 / 2017
Betreff:

Re: DKB Sofortüberweisung ohne korrekte TAN möglich!!!

 · 
Gepostet: Heute um 10:20 Uhr  ·  #7
Ich konnte das Problem gerade reproduzieren mit einer Testüberweisung auf ein zweites Konto von mir. Wieder keine Bestätgigungs-TAN für die Sofortüberweisung erhalten. Dafür eine Startcode-TAN (obwohl direkt davor eine Kontostandsabfrage durchgeführt wurde, welche kein 2FA benötigt hat - hatte er noch von heute morgen gecacht).
Das Geld war sofort auf meinem zweiten Konto. Überweisung ging also raus!
hbciuser
Benutzer
Avatar
Geschlecht: keine Angabe
Beiträge: 220
Dabei seit: 10 / 2017
Betreff:

Re: DKB Sofortüberweisung ohne korrekte TAN möglich!!!

 · 
Gepostet: Heute um 10:41 Uhr  ·  #8
Zitat geschrieben von icbh

Für eine Überweisung i. H. v. 1 € wurde gerade eine Freigabe per Push angefordert.


Wurde da der Zahlungsempfänger angezeigt oder auch nur eine 0815-Freigabe (ohne prüfen zu können, was da konkret freigegeben wurde)?
Gewählte Zitate für Mehrfachzitierung:   0