Vergleich mTAN bei Deutsche Bank und VR Bank

Solange der Betrüger bei der Deuba weiterhin einfach das klassische TAN-Verfahren nutzen kann (Zugriff über HBCI-Schnittstelle ist nur über einfache TAN möglich), hilft die SMS-TAN nur dann wenn er (der Betrüger) dumm ist.
Trifft aber wohl nicht jeden, bzw. weiss ich nicht genau wie hoch die Hürde der Aktivierung ist.

Hallo Raimund,

für die Praxis hast Du vermutlich bei der Einzelauftrag recht. Aber da die Sicherheit der mobilen TAN vom Auftragsbezug und dessen Kontrollmöglichkeit abhängt, ist in der Theorie jede zusätzliche Information zum Auftrag ein zusätzlicher Sicherheitsgewinn, da jede dieser Komponenten für eine potentielle Manipulation wegfällt.

Ich halte den Sicherheitsgewinn für theoretisch, da zuviele Informationen dazu verleiten, diese Informationen nicht mehr genau oder eventuell gar nicht mehr zu vergleichen.

Gruß

Holger

Genau das ist der Punkt, Holger. Die Empfänger-Kontonummer ist inzwischen der einzige Punkt, der eine Rolle spielt, der Name bringt keinen Sicherheitsgewinn, sondern könnte aktiv der Verschleierung dienen.
Alles eitel Theorie, aber wenigstens haben die Deuba Kunden jetzt die Wahlmöglichkeit

Gruß
Raimund

Der gemeine Bankmitarbeiter kann die technischen System nicht manipulieren.
Aber: Wenn einer speziell dich betrügen wollte, geht das viel einfacher. Ein Beleg ist immer die einfachste Variante, insbesondere eine händische Unterschrift ist schnell gefälscht. Zumal es ja so nette Vorlagen im Form von Unterschriftsproben gibt.
Praktisch ist das aber langweilig. Ein Betrug macht nur Sinn, wenn ich (als Insider) eine nicht vollständig geschützte Lücke finde und dort ein Betrag verfügbar ist, von dem ich den Rest meines Lebens leben kann.

Wie die einzelnen Banken ihre internen Kontrollen gestalten (auch bei "VIP"- Kunden) kann von Bank zu Bank unterschiedlich sein. Eine allgemeingültige Aussage kann man daher nicht treffen. Grundsätzlich gibt es aber unterschiedliche Möglichkeiten, solche Konten mit einem "erweiterten" Schutz zu versehen. Weitere Details gibt es zumindest von mir dazu nicht

Tschau
Majo

@derblacky:
Ich glaube kaum, daß die Multimillionäre einen besonderen Schutz haben. Es gibt mit Sicherheit einige Mitarbeiter, die über die Namensuche einfach aus Interesse den Kontostand nachschauen... Bei Bekannten wird das schon mal gemacht. Harte Aussage, aber intern läuft es leider so! Ähnlich wenn ein Kd. anruft und über Telefonbanking einen hohen Betrag überweisen möchte. Das wird auch unter den Kollegen kommuniziert, obwohl diese mit der eigentlichen Arbeit gar nicht im Zusammenhang stehen. Also Datenschutz usw.

@Zimmi:
Sagen wir mal so, selbst die PIN für die EC Karte muß technisch gesehen irgendwo gespeichert werden. Ein "normaler" Bank MA hat natürlich kein Zugriff. Aber evtl. die im Rechnezentrum. Ist aber, so weit ich weiß, kein Mißbrauch entstanden.

Letztendlich hätte ich an eure Stelle ebenfalls solche "Sicherheitsrisiken" nicht preis gegeben. Sonst würde das Image der Firma geschädigt. Es ist ein Unterschied was nach außen an die Öffentlichkeit kommuniziert wird, und was intern. Interne sind interessanter, weil diese Variante weniger gefiltert ist.

Bin aber mit diesem Forum sehr zufrieden. Vor allem wenn es um die neutrale Sichtweisen der Techniken fürs OB geht. Großes Lob an euch!!

Gruß
Abi

Hallo,

es gibt schon Möglichkeiten, das zu lösen. Heutzutage speichert m.W. kaum einer mehr Passwörter im Klartext. Wenn der Kunde seine Start-PIN zwangsweise in eine selbst erdachte PIN ändert, wird vom neuen Passwort ein Hashwert gebildet, und dieser dann beim Betreiber gespeichert, nicht die PIN.

Loggt sich ein Kunde dann mit der PIN ins Online-Banking ein, wird nach dem selben Algorithmus wieder der Hash errechnet und mit dem gespeicherten Hashwert von der Start-PIN-Änderung verglichen. Stimmt beides überein, wird die eingegebene PIN als gültig angesehen.

Da sich mit dem Hashwert zwar die PIN prüfen, aber nicht aus ihm errechnen lässt, ist sichergestellt, dass nur der Kunde reinkommt und keiner, der Zugriff auf die zentral gespeicherten Hashes erlangt.

Otto