Sparkasse, HBCI, chiptan, Verwirrung!?

Hallo Hypersound,

ja, das Thema Sicherheitsmedien ist komplex, dass kann schon mal zu Verwirrung führen.

Zunächst: HBCI ist ein Übertragungsprotokoll, das man mit verschiedenen Sicherheitsmedien kombinieren kann. Das HBCI = Chipkarte oder Sicherheitsdatei bedeutet, war im Jahr 2001 mal richtig - jedenfalls zeitlich so in etwa.

Heute bedeutet HBCI (oder FinTS) den Zugriff mittels Bankingsoftware und einem beliebigen Sicherheitsmedium, z.B.
1) die DES-Chipkarte der Sparkassen mit einem passenden Kartenlesegerät wie deines
2) oder eines der vielen TAN-Verfahren, z.B. iTAN, chipTAN, smsTAN.

chipTAN und smsTAN sind neuer und nach heutiger Einschätzung dem System mit der "alten" HBCI-Chipkarte überlegen, da dort vor Absenden des Auftrags bereits die wesentlichen Daten des Auftrags kontrolliert werden können. Ich will jetzt nicht zu weit gehen, da es auch noch andere System gibt, die für dich in dem Fall aber uninteressant, weil nicht verfügbar sind.

Um das ganze perfekt zu machen: Auch die chipTAN ist ein kartengestütztes Sicherheitsverfahren, dort wird mittels Bankkarte und einen kleinen Handkartenleser ohne Bindung an den PC eine zu einem bestimmten Auftrag passende TAN erzeugt. Das ist ein recht einfacher Leser, den man für max. 15 Euro überall bekommen sollte.

Was du wann wie umtauschen kannst, musst du mit dem Versender/Lieferanten klären. Bei Fernabsatz hast du immer 14 Tage Rückgaberecht.

chipTAN läuft jedenfalls als HBCI/PIN-TAN Verfahren, nicht als HBCI-Chipkarte und ist mit deinem vorhandenen Leser nur sehr eingeschränkt nutzbar.

Und HBCI ist nicht mehr in aller Munde, das stimmt so nicht mehr. Es ist kein schlechtes und bequemes Verfahren, aus Sicherheitsgesichtpunkten sehr gut aber nicht perfekt. Wesentlich ist, das du dort blind signierst - ein Angriff auf das System wäre aber schon sehr speziell und hat nach meinem Wissen bisher nicht stattgefunden. Trotzdem würde so etwas mit chipTAN oder smsTAN dem aufmerksamen Nutzer sofort auffallen.

Sparkassen können sowohl HBCI-Chipkarte, als auch iTAN, chipTAN (comfort) und smsTAN. Das Angebot mag hier und da aber ein wenig eingeschränkt sein - ab besten direkt nachfragen.

Den direkten Transaktionsbezug hast du nur bei Chip-Tan.
Nutzen kannst du beides paralell. Chiptan hat nebenbei den Vorteil, dass du nicht zwingend eine zusätzliche Bankingsoftware brauchst. Durch den Medienbruch und den Transaktionsbezug darf es auch das Internetportal der Sparkasse sein. Nur damit keine Missverständnisse aufkommen: Die Internetportale der allermeisten Banken sind so weit wie möglich abgesichert. Der Schwachpunkt ist immer der Browser des Users.

die TAN-Verfahren sind meiner Meinung nach angreifbarer durch social-Engineering als HBCI mit Chipkarte, aber ich denke mal, dass Hypersound wirklich nicht zur Zielgruppe gehört, wenn er sich schon solche intensiven Gedanken zur Sicherheit macht

Gruß
Raimund

Ausreichend sicher bei deinem Wissen sind sicherlich beide Verfahren, aber warum nicht beides verwenden/ausprobieren, das teuerste Teil hast du ja schon...

Gruß
Raimund

Theoretisch ja, praktisch nein - in deinem Fall.

Damit das funktioniert, muss jedes Glied der Kette die Secoder Funktionen benutzen. Derzeit (und vermutlich auch zukünftig) wird es das bei den Sparkassen aber wohl nicht geben. Wir haben schon eine hochwertige Signaturkarten Lösung auf Basis des Signaturgesetzes, die aber bisher auch noch nicht erwähnt wurde.

Alles gleichzeitig anzubieten ist zwar auch eine Strategie, aber keine die Kosteneffizient ist. Und am Ende zahlt sowas ja doch immer der Nutzer. Auch von den vorhandenen Sicherheitsverfahren wird auf Dauer schon nicht alles übrig bleiben.