iTAN angeblich unsicher

Hi, die Sparda-Bank Hannover schafft im November das iTAN-Verfahren ab. Begründet wird dies mit angeblichen gesetzlichen Änderungen bzw. neuer Vorschriften der Bafin. Kennt jemand die Hintergründe? Ich vermute die Bank schafft das Verfahren lediglich aus Kostengründen ab und will ihre Kunden für dumm verkaufen.
Angeboten werden künftig das Verfahren über die SpardaSecureApp (funktioniert nicht mit Banking-Software, sondern nur in der Web-Anwendung der Bank), das Chip-TAN-Verfahren mit TAN-Generator (halte ich für nicht besonders komfortabel und unpraktisch) und das mTAN-Verfahren. Wobei auch angekündigt wird, das mTAN-Verfahren gegen Ende 2017 (ebenfalls wegen gesetzlicher Änderungen) einzustellen. Da ich weiterhin mein eBanking mit MoneyMoney betreiben möchte, das Verfahren mit dem TAN-Generator nicht einsetzen will, kommt wohl nur ein Banken-Wechsel in Frage. Gibt es User im Forum mit ähnlichen Problemen? Sind darunter auch Kunden der Sparda-Banken? Ich nehme mal an, dass bei allen Sparda-Banken die TAN-Verfahren eingestellt werden.
Für Hinweise bin ich dankbar.
Gruß
behaha

@behaha
geht Bequemlichkeit wirklich vor Sicherheit?

Wenn es eine Vorgabe der BaFin oder EBA ist wird es alle Banken betreffen.
Frag dich mal nach
http://www.bafin.de/DE/Verbrau…_node.html

Bei der App-Freigabe werden genauso Briefe für die Aktivierung verschickt. Genauso wie bei einem Gerätewechsel oder Passwortverlust. In sofern ist das keinerlei Ersparnis was die Kosten für den Briefversand angeht.



1. Das ist kein realistisches Angriffsszenario da man immer noch die PIN benötigt. Und das jemand erst die PIN mit einem Trojaner abfängt und sich dann die Mühe macht irgendwie einen neuen Versand der Liste auszulösen, ist mehr als unrealistisch und vor allem unnöttig, wenn man sowieso schon die PIN abfangen konnte und damit den Rechner des Nutzers unter Kontrolle hat.

2. Bankkarten werden im Normalfall auch von so ziemlich allen Banken aktiviert versandt. Bei deinem Szenario, wäre das genauso unsicher. Denn wenn jemand die PIN hat und dann die Karte aus der Post klaut, kann er natürlich genauso Überweisungen per chipTAN durchführen.



Was natürlich wieder die Sicherheit massiv beeinträchtigt, da man dann wie bei den Sparkassen dort nur den Gesamtbetrag und die Anzahl der Überweisungen sieht. Nicht aber mehr jede einzelne IBAN abgleichen kann. Zudem sind bei einer Privatkunden Sammelüberweisungen per HBCI/Web nicht wirklich ein Mehrwert. Das ist interessant für Geschäftskunden/Vereine welche dann aber sowieso meistens mit EBICS arbeiten.



Ich sag mal so, es ist ein Softwareverfahren welches natürlich auch um eine Push-TAN erweitert werden könnte und dann sehr wohl HBCI-konform ist.



Korrekt. Zitat:

Starke Kundenauthentifizierung ist im Sinne dieses Rundschreibens ein Verfahren, das auf der Verwendung zweier oder mehrerer der folgenden Elemente basiert, die als Wissen, Besitz und Inhärenz kategorisiert werden: i) etwas, das nur der Nutzer weiß, z. B. ein statisches Passwort, ein Code, eine persönliche Identifikationsnummer, ii) etwas, das nur der Nutzer besitzt, z. B. ein Token, eine Smartcard, ein Mobiltelefon, iii) eine Eigenschaft des Nutzers, z. B. ein biometrisches Charakteristikum, etwa ein Fingerabdruck. Außerdem müssen die gewählten Elemente unabhängig voneinander sein, d. h. die Verletzung eines Elements darf keinen Einfluss auf das andere bzw. die anderen haben. Mindestens eines der Elemente sollte nicht wiederverwendbar und nicht reproduzierbar (die Inhärenz ausgenommen) sein und nicht heimlich über das Internet entwendet werden können. Das starke Authentifizierungsverfahren sollte so gestaltet sein, dass die Vertraulichkeit der Authentifizierungsdaten gewahrt bleibt.

Die relevanten Stellen mal in fett markiert. PIN + TAN fallen damit weg, da die TANs genauso wie die PIN reproduzierbar und über das Internet entwendet werden können. Beispielsweise durch eine Phishing Seite in welcher der Nutzer seine Daten eingibt.

Bei einem Verlust/Diebstahl funktioniert da ja schon nicht mehr mit dem alten Gerät freigeben. In sofern ist das da natürlich schon sinnvoll und das bedeutet, neues Gerät = neuer Code. Und da ist wie gesagt noch die Sache mit den Passwort, nicht jeder hat nen Fingerprint am Start, in sofern kannst du natürlich ein Passwortreset nur sicher mit einem neuen Code per Post veranlassen. Oder wie das die Ing-Diba macht mit der App, nämlich per QR-Code den man vorher mit einer TAN startet. Das ist natürlich deutlich einfacher, erfordert aber zumindest ein weiteres Authentifizierungsverfahren im Banking. Im Zweifelsfall dann halt doch wieder ne SMS-TAN wenn keine TAN-Listen mehr angeboten werden.

Und das Passwörter vergessen werden, ist nun eine Sache die wirklich haufenweise täglich passiert. Aber nicht desto trotz, die Kosten ein neues System einzuführen, es zu supporten und ständig zu pflegen/testen ist natürlich ein Aufwand den man kaum betreibt um den Versand von TAN-Listen zu vermeiden. Es braucht auch nicht jeder alle 3 Wochen oder 6 Monate eine TAN-Liste...



Im Klartext: Man hat also seine persönliche Geheimzahl an Dritte weitergegeben. Dafür kann die Bank dann genau was?



Ja und bei einer Folgeliste wird nur die Liste versandt und keine PIN. In sofern hinkt der Vergleich doch vorne und hinten. Wenn derjenige der die Post abgreift die PIN nicht hat, kann er mit einer Liste rein gar nichts anfangen. Und wenn der irgendwo in einer Wohngemeinschaft die PIN rausgefunden hat, kann er mit Sicherheit auch mal die TAN-Liste heimlich aus der Brieftasche nehmen. Das sind alles so Szenarien, die zwar in der Theorie ganz gefährlich klingen, in der Praxis sieht das aber völlig anders aus. Schadensfälle entstehen in 99,9% aller Fälle beim Online-Banking nicht auf diesem Weg.



Das mag ja alles sein, nur sind die Sparda Banken Privatkundenbanken und Nutzer mit >350 Konten, wird man da mit Sicherheit keinen Einzigen finden. In sofern ist dein Use-Case da natürlich die absolute Ausnahme.



Die Sache mit den Sammelüberweisungen bei der Sparkasse war schon mehrmals Thema in der Presse. Allerdinga beim Thema chipTAN. Und wenn der Angreifer geschickt vorgeht, kann er natürlich bei einer Sammelüberweisung an meinetwegen 5 Empfänger die Daten so umleiten, dass der Endbetrag trotzdem noch stimmt. Das ganze Verfahren ist damit eigentlich ausgehebelt denn die Sicherheit basiert darauf, dass man neben den Betrag eben auch die Empfänger-IBAN kontrollieren sollte. Wenn die Push-TAN der Sparkasse also nicht für jeden einzelnen Empfänger einer Sammelüberweisung die IBAN anzeigen sollte, würde das System keinerlei Mehrwehrt haben was die Sicherheit angeht. Und es wäre wohl auch kaum schneller als jede der 5 Überweisungen einzeln zu bestätigen wenn man eh schon dabei ist und die Empfängerdaten kontrolliert...



Es würde nicht ersetzt werden. Es wäre alles in ein- und derselben App. Und jemand der Finanzsoftware verwendet, wird im Zweifelfsfall auch nen Button "Push-TAN anfordern" klicken können. Denkbar wäre natürlich auch, dass einfach in den Einstellungen so zu hinterlegen, dass die App nur noch Push-TANs generiert. Das ist nun echt kein Rocket Science, auch nicht für den User.

Das mit den Innovationen ist so eine Sache. Die finden nämlich nicht im HBCI/FinTS Sektor derzeit statt ("könnte" mit der PSD2 sich noch ändern), sondern im mobile Bereich. Der Standard Privatkunde kauft sich nämlich nicht irgendeine Finanzsoftware sondern möchte nur fix in sein Konto schauen. Und da ist die Nachfrage vor allem bei den mobilen Apps da und nicht bei HBCI-Programmen. Das ist im Privatkundenbereich ein im Verhältnis deutlich geringerer Nutzerkreis und in sofern muss eine Sparda DV natürlich auch schauen was sie fokusiert. Und die App kann beispielsweise die Kontoumsätze der letzten 10 Jahre abrufen, ganz im Gegensatz zu HBCI wo bei den meisten Banken nach 90 Tagen Schluss ist. Atm wüsste ich auch keine App oder Webanwendung, welche es ermöglicht soweit zurück noch Umsätze abzurufen aber ich lasse mich da gerne eines besseren belehren wo wir denn gerade schon beim Thema Innovations- und Veränderungsfreudigkeit sind.

Desweiteren stellt sich natürlich die Frage, welche Rolle externe Finanzsoftware in Zukunft überhaupt noch im Privatkundensektor spielen wird. Die meisten Nutzer verwenden diese wohl vor allem deshalb, weil sie mehere Konten einbinden wollen. Da sind aber gerade FinTechs wie Figo gerade massiv am Vormarsch und stellen bei den Banken ihre APIs vor. Für eine Bank ist es natürlich durchaus sexy nicht von X Banken die HBCI-Schnittstellen konfigurieren zu müssen sondern Anbieter zu haben, welche eine Java oder .Net Schnittstelle zur Verfügung stellen über der man externe Konten einbinden kann.

Das man in Zukunft seine Konten anderer Banken in den Apps oder Webanwendungen seiner Hausbank per HBCI einbinden können wird, dürfte damit wohl zum Standard werden. Hersteller von Finanzsoftware haben es jetzt schon schwer gerade gegen die mobilen Apps der Banken im Wettbewerb zu stehen, wenn diese aber noch externe Konten einbinden können, wird die Luft nochmal deutlich dünner...

Hmm ich bin auf jeden Punkt einzeln eingegangen oder was vermisst du genau?



Gar keine Frage. Wir sehen hier Unternehmen welche genauso gut aus der Vergangenheit der New Economy Zeit kommen könnten. 90% werden davon wahrscheinlich genauso schnell in der Versenkung verschwinden wie sie aufgetaucht sind, aber ein paar von denen werden ihren Platz finden. Und im Worst Case Szenario, kommt dabei sowas wie Paypal 2.0 raus.



Nein das ist Unsinn. Sie sind deshalb interessant, weil sie natürlich solche Dienstleistungen erwarten und dafür entweder Kontogebühren zahlen oder eben durch andere Produkte Geld einbringen. Eine Bank muss sich auch finanzieren, es würde ja auch keiner von einem Mobilfunkanbieter erwarten das er die Leistungen kostenlos erbringt.



Ach und das kann dir bei deiner Finanzsoftware nicht passieren? Ich habe vor ein paar Tagen eine hier auch bekannte Software mal aktualisiert. Sah danach aus die ne Android/iOS App auf dem PC. Hässlich wie die Nacht. Warum das gemacht wurde kann ich sogar verstehen, kauft halt kaum noch einer die Software für den PC und alleine was die Pflege des Produktes angeht, ist es natürlich dann einfacher auf die Plattform zu optimieren wo die meisten Nutzerzahlen sind und das ist immer mehr Mobile.

Und ja die Banken machen Produktwerbung, ist schließlich deren Anwendung oder verlangst du in einer klassischen Bankfiliale auch das sämtliche Plakate abgehängt werden wenn du zu deinem Geldautomaten gehst?



Gerade die Volks- und Sparkassen basieren noch sehr stark auf dieses "alte System". Weil im Zweifelsfall die Person dir am Schalter auch noch hilft den KSB in der Filiale zu bedienen oder den Überweisungsträger richtig auszufüllen. Ja diese Dienstleistungen gibt es noch und die Kosten der Bank auch Geld. Ansonsten könnte man auch alle Filialen dicht machen und alles nur noch online anbieten. Was aber offenbar auch als Kundensicht noch nicht gewollt ist, ansonsten könnte gerade Volks- und Sparkassen auf dem Land keine 10 Euro und mehr pro Monat für nen Girokonto verlangen. Natürlich kosten diese Dienstleistungen Geld und durch die Niedrigzinsphase ist es sehr schwer bis unmöglich geworden, dass noch irgendwie quer zu subventionieren. Was denkst du denn wie sich Banken finanzieren? Entweder man nimmt Gebühren oder subventioniert das durch Produkte. Die alte Geschichte mit Zinsüberschüssen den Laden aufrecht zu erhalten, ist durch die EZB quasi komplett weggefallen. Und natürlich spüren das auch FinTechs, vor allem seit der EU-Regelung bez. der Interchange-Gebühren, die können sich auch nicht durch Luft&Liebe ernähren und irgendwann sind die ganzen tollen Gelder der Finanzierungsrunden auch weg wenn die kein tragfähiges Geschäftsmodell finden. Deshalb findet man bei N26 und Co auch immer mehr Preislisten welche genauso gut von einer "alten" Bank kommen könnten.



Kompletter Unfug. Banken haben extrem strenge Auflagen was die Auswertung von Daten außerhalb der Compliance-Gesetze betrifft. Ohne Zustimmung des Kunden läuft da gar nichts und es gibt wohl keine andere Branche, welche da gerade strenger reguliert wird. Deshalb funktioniert "Big Data" in Banken bisher auch nicht so wirklich. Dabei wäre das zumindest eine Möglichkeit, weiterhin Konten für lau anzubieten.

was aber an sich nicht schlimm ist, denn die (un)Sicherheit von iTAN ist eh x-mal durchgekaut worden, deshalb würde ich das mal laufen lassen.
Wir könnten den Threadtitel ändern.
Durchgelesen habe ich es übrigens noch nicht,
zur Sicherheit: seid bitte nett zueinander.

Herzlichen Dank für die Hinweise und die Diskussion. Einiges ist wirklich interessant und hilfreich.

An die Bafin hatte ich mich bereits per eMail gewandt. Dort bekommt man statt einer persönlichen Antwort, sondern nur den Hinweis, dass man sie nicht bekommt.

Meine Einstellung zu Online-Banking ist eher konversativer Natur. Electronic Babking auf dem Smartphone werde ich wahrscheinlich nicht machen. Ich bevorzuge die Finanzsoftware auf dem heimischen PC bzw. Mac. Jahrelang habe ich "WISo Mein Geld" eingesetzt, nach meinem Wechsel in die Mac-Welt setze ich auf "MoneyMoney". Dies deckt bis auf wenige Kleinigkeiten meine Wünsche an Software dieser Art ab. Und es ist so, wie es auch ein Forist beschrieben hat, ich möchte alle meine Konten und Depots unter einem "Dach" vereinen und bearbeiten können. Dazu zählt auch die Kategorisierung meiner Ein- und - besonders - Ausgaben. Das geht für die meisten meiner Buchungen in MoneyMoney automatisch.

Noch ein Hinweis auf die Frage, ob ich Bequemlichkeit vor Sicherheit einordne. Ich setze auf Sicherheit und Bequemlichkeit.

Da bin ich anderer Meinung, ich finde die Nutzung einer Chipkarte schon äußerst bequem und unter FInTS/HBCI sehr sicher. Bequemer als eine TAN-Liste.
Mit der Secodertechnik ist das aufgrund der Kontrollmöglichkeit/-pflicht schon etwas aufwändiger, aber eben auch noch sicherer.
Da muss ich immer an "Spaceballs" denken, von wegen "wahnsinnige Sicherheit"
Gruß
Raimund

Nein! Bei PIN-Eingabe am Kartenleser hat ein Keylogger keine Chance.

Sehr bequem und sicher ist z.B. ein cyberjack wave in Verbindung mit einem optischen ChipTan-Verfahren und angepasster Software (z.B. Bank X). Da musst Du nur noch durch drücken der "OK"-Taste am Leser Deine Überweisungsdaten bestätigen und gut ist. Oder eben Secoder, ebenfalls sicher und bequem