Guenstiges Giokonto mit Signaturkarte oder RDH-5?

Hallo Uli,

hier im Forum gibt es keine Preisvergleiche oder Bankempfehlungen.





wie bitte? Du widersprichst Dir selbst, denn IMO ist das doch ein fairer Preis (und nein, ich arbeite nicht bei der Dt. Bank).



HBCI mit DDV-Chipkarte ist *nicht* weniger sicher als HBCI mit RDH-Chipkarte. Und ein Klasse-3-Leser bringt Dir zumindest derzeit keinerlei Sicherheitsvorteile beim Online-Banking im Vergleich zu einem preiswerteren Klasse-2-Leser.

Ich versteh' Dich nicht: einerseits nimmst Du eigentlich unnötige Mehrkosten für einen Klasse-3-Chipkartenleser in Kauf, dessen Display Dir zumindest derzeit beim Online-Banking nichts nützt, aber andererseits wegen der paar Euro Kontoführungsgebühren die Bank wechseln wollen... :roll:

Otto

Hallo,

danke schonmal fuer die Anworten.

@ottoager:

Also bei der Deutschen sind es mehr, so an die 5,50 EUR oder so - die 4 EUR sind fuer das VR-Net Konto, welches das bisher guenstigste fuer RDH5 war, das ich so gesehen hatte (aber muesste ja noch zig andere anschauen).

Den Kl. 3 Leser kaufe ich auch aus and. Gruenden - will allg. mal mit eig. Signaturkarten spielen, wenn ich "schon eh irgendnen Leser kaufen muss".

@Captain:

RDH5 ist das einzige mit 2048 bit Schluessellaenge, wenn ich das richtig gel. hatte.
Gut, 1024 wuerden es wohl auch erstmal tun fuer sowas wie Privatkundenbanking - in der Liste von hbci-zka.de scheinen die meisten nicht-DDV-Banken aber eh auch RDH5 machen zu koennen - also nehm ich gleich, was ich kriegen kann, denke ich mir. Noch besser waeren wie gesagt Signaturkarten gleich beim Banking.
Wenn ich das richtig verstanden hab, machen das nur 1-2 Banken in D? (Vorsicht, hier nur Halbwissen)

Danke!

Ich weiss, was du meinst - bei mir kommt aber auch noch dazu, dass es ich mich bei der sinnvolleren Mischung von symm. und asymm. Verfahren, wie z.B. auch bei SSL, schlicht sicherer fuehle, da ich mich auf eine Sache weniger verlassen muss. Beim rein symm. DDV bin ich nunmal gezwungen, anzunehmen (im Sinne von: darauf vertrauen), dass das Schluesselexemplar der Bank immer nur dort bleibt, wo es zu sein hat.
Faellt im RDH-Fall der Schutz des privaten Bankschluessels, schadet mir das immerhin noch weniger (in weitaus weniger Szenarien), als wenn zusaetzlich mein privater entkaeme.

@ Ulli:
Das mit dem Halbwissen nehme ich dann hiermit zurück. Ich hatte dich für jemand auf Computerbild-Niveau gehalten, der nur die Schlüssellängen gesehen hat. Sorry!

In der Sache hat Cap alles gesagt. Ich hab noch einen dazu: Der Hersteller des Schließzylinders kann jederzeit deinen Haustürschlüssel nachmachen und in deine Wohnung marschieren. Hast du die Haustür schon zugemauert ? Hoffentlich hast du nie einen alten Fiat Panda oder einen Golf 1 gefahren. Für beide gab es seinerzeit nämlich genau 2 (in Worten zwei) unterschiedliche Schlösser. Das war sehr praktisch, wenn man seinen Schlüssel im Auto eingeschlossen hatte. :thup:

CU
Frank

Hallo Captain



das mit dem halben Tennisball kannte ich nur vom Mercedes.

Gruß

Holger

Nein, aber überall wird symetrisch verschlüsselt bzw. besser authentifiziert. Das Passwort ist also auch hier beiden Seiten bekannt. Somit ist auch hier das Problem der Beweiskraft "wer hat eine Aktion ausgelöst" vorhanden.

zu den Banken mit Signaturkarten:
Von welcher Signatur sprichst du genau? Alle heutigen Lösungen mittels HBCI (im engeren Sinn nicht PIN/TAN) basieren auf Signaturen. Nichts anderes wird von dir z.B. mittels Chipkarte erzeugt. Die Signaturen sind allerdings nicht die, die im Signaturgesetz beschrieben sind. Es handelt sich um bilaterale Verfahren zwischen dir und der Bank auf Basis der HBCI/FinTS Spezifikationen der Gemeinschaft der Bankenverbände (ZKA). Man nennt sie daher auch Bankensignatur(karten).

Eine fortgeschrittene oder qualifizierte Signatur nach Signaturgesetz kann Stand heute nicht mit der einheitlichen Schnittstelle HBCI/FinTS genutzt werden. Dafür ist IMHO nie bzw. besser bisher keine Spezifikation erschienen.

Allenfalls kann eine solche Lösung über ein System genutzt werden, dass nicht auf HBCI/FinTS basiert, somit scheidet jede Online-Banking Software aus. Angedachte Lösungen bzw. welche die sich aktuell tatsächlich in der Umsetzung befinden, werden daher zunächst nur über die Web-Portale der Banken nutzbar sein.

Und nicht vergessen:
Eine nach SigG qualifiziert signiertes Dokument ist nicht ganz unkritisch für dich. Eine qualifizierte Signatur hat aus dem Gedächnis den Nachteil der Beweislastumkehr zur Folge. Bei Streitigkeiten musst du also nachweisen, das die Signatur eben nicht von dir geleistet wurde.

zu den Banken:
In meinem Kopf schwebt als fertige Lösung mit fortgeschrittener Signatur nach SigG bisher nur die Lösung über das Banking-Portal der Deutschen Bank herum. Andere -fertige- kenne ich derzeit nicht.

Das war schlecht formuliert von mir.
Das überall passt hier nicht, ich bezog mich eigentlich auf meine Beispiele oben, auch wenn sie nicht ganz treffend sind. So Sachen wie ein allgemeines Passwort eben, eine Karten-PIN einer Bankkarte und ähnliches. faktisch ist hier die PIN/das Passwort ebenfalls beiden Parteien bekannt und somit haben wir die gleiche Problematik der Beweisführung wer Signiert hat wie beim DDV Verfahren auch.

Was ich sagen will:
Das DDV Verfahren setzt auf Vertrauen in den Partner,klar. Nur kann ich ohne dieses Vertrauen die gesamte Geschäftsbeziehung vergessen, da sie aus mehr als nur dem Signatur- und Authentifikationsverfahren der Chipkarte für Online-Banking besteht.

Kommando zurück: Ich ab VW unrecht getan. Es war neben dem Panda der Renault5.
Quelle: Mein Sohn, seineszeichens KFZ-Mechatroniker (so heißen die jetzt).

zurück OnTopic: Wir driften hier gerade in eine hochgradig fachchinesiche Diskussion ab. Für mich ist und bleibt fürs Banking Fakt: HBCI mit Karte ist - egal mit welchem Verfahren - das Beste, was die Bank und der Kunde Stand heute mit vertretbarem Aufwand an Sicherheit einbringen können. Macht gedanklich den Vergleich mit der Unterschrift auf Papier und füttert nicht die Paranoiker (Anwesende sind damit ausdrücklich nicht gemeint!). 100% sicher ist nur der Tod.

CU
Frank

Hallo Leute,

danke fuer die interessanten Beitraege - jetzt weiss ich wieder mehr als ich aus dem Forenlesen ein paar Tage vor dem ersten Posting raus hatte.

bzgl. Vgl. mit Online-Shopping:

@Captain:

> Das Passwort ist also auch hier beiden Seiten bekannt. Somit ist auch hier das Problem der Beweiskraft "wer hat eine Aktion ausgelöst" vorhanden.

Klar, da haette ich mich schon immer ueber ein Public/Private Prinzip gefreut - nur wie will man einen Standard in die Web-Bestellschnittstellen aller Firmen integrieren? Auf lange Sicht ist sowas bestimmt machbar - bisherige Ansaetze haben anscheinend bisher nicht gefruchtet.
Und keine Firma laesst jede Bestellung individuell per PGP-Mail von einem Mitarbeiter einlesen und verarbeiten.
Die an dieser Stelle denkbaren Kombinationen per E-Mail sind nur krumme Kompromisse (vllt. eine HTML-Ergebnisseite am Ende des Bestellvorgangs als Anhang der Mail? - ist auch doof) - aber jetzt entfuehr ich ja meinen eigenen Thread...

Es geht aber ja nicht darum, dem Geschaeftspartner in seiner Ehrlichkeit zu vertrauen, sondern dass Passwort / PIN / Schluessel nicht kompromittiert wird.

@Holger:
> ...und es sichergestellt ist, dass die Schlüssel nicht kopiert werden können. Und das wird bei den Banken, die auf das DDV Verfahren setzen so sein

Ja, aber genau _darauf_ muss man ja vertrauen - und an dieser Stelle kann die Bank ja auch ungewollt Mist bauen! Bei RDH besteht dieses Risiko halt nicht, da gibt es insgesamt weniger gefaehrndende Szenarien (hab ich schonmal was zu geschrieben, aber sieher auch unten).

@kleiner77:

Exakt!
Deswegen moechte ich auch kein DDV (s.o. und in oberen Postings von mir).
Klar, man muesste auch den Online-Bestellseiten vertrauen, dass die keine Klartext-Passwoerter speichern - aber das normale PIN/Passwort-Ding ist ja eben eh nicht so toll (s.o.).
Wenigstens im Bankingbereich moechte ich daher die Moeglichkeit von privaten Schluessseln nutzen.
Vielleicht ist das jetzt einigen klarer (haette allerdings nicht gedacht, dass man durch meine eig. kleine Anfrage hier erstmal ueber all sowas reden muss - aber so lernen wir ja alle dazu, dazu gibt es ja Foren).

bzgl.: Signaturkarten:
Genau, ich mein die nach SigG - hatte bisher im Forum den Eindruck, dass das bei dem Begriff klar ist, dass man nicht die Chipkarten fuer DDV oder RDH nach HBCI/FinTS meint, daher schrieb ich das nicht extra.
Ausserdem "verlangte" ich ja immer RDH _oder_ SIgnaturkarte, IIRC - jedenfalls behauptete ich nie, Signaturkarten im Rahmen von HCBI/FinTS nutzen zu wollen (dass das nicht geht, war mir auch klar - warum schrieb ich sonst, dass mein Halbwissen ist, dass es erst 1-2 Banken mit sowas gibt?), aber nen Kl. 3 Leser brauch ich doch dann trotzdem.

Es gibt da also was von der Deutschen Bank dafuer, das ist interessant und mal was Konkretes. Dass die versch. Onlinebanking-Softwares damit nicht klar kommen, wusste ich allerdings nicht.
Da frage ich mich aber, wie die das denn machen, dass der Webbrowser mit dem Kartenleser bzw. der Prozessorkarte ueberhaupt komm.! Liefern die nen Browser-Plugin? Hoffentlich kein Java-Applet...

Gruss,
der Uli

PS: Danke nochmal bei allen fuers Mitmachen, ihr seid klasse!

EDIT:
Bei den Webseiten der deutschen Bank steht wohl, dass man fuer die SignaturCard ne extra Software braucht, basierend auf der Java-Laufzeitumgebung - damit waere es wenigstens multiplatform-faehig. Zusaetzlich benoetigt man wohl aber Java im Browser.
Damit hat sich das fuer mich erledigt bei der Deutschen. Kennt jmd ne andere Bank mit Signaturkarte nach SigG, die komplett ohne Java auskommt?

Laut Denic:

Domaininhaber: Peter G...

Edit von Raimund:
Adressdaten des Inhabers aus Datenschutzbedenken entfernt (bin nicht sicher, ob eine Veröffentlichung hier so ok wäre)
Daten kann jeder bei der www.denic.de abrufen.