ChipTan Pin einrichten möglich?

 
Benutzer
Avatar
Geschlecht: keine Angabe
Beiträge: 3
Dabei seit: 07 / 2018
Betreff:

ChipTan Pin einrichten möglich?

 · 
Gepostet: 17.09.2018 - 22:20 Uhr  ·  #1
Hallo

Kann man beim ChipTan Verfahren eine zusätzliche Pin für die Tan-Generation einrichten? Ich nutze einen externen Tan-Generator (FlickerCode). Wenn ich die Karte einstecke generiert er die Tan ohne das ich eine Pin eingeben muss. Kann man dafür auch eine Pin vergeben?
msa
Benutzer
Avatar
Geschlecht:
Herkunft: München
Alter: 56
Beiträge: 4426
Dabei seit: 03 / 2007
Betreff:

Re: ChipTan Pin einrichten möglich?

 · 
Gepostet: 18.09.2018 - 12:23 Uhr  ·  #2
Kurze Antwort: Nein, kannst Du nicht.

Hintergrund: Es ist zwar technisch vorgesehen, eine PIN zu setzen. Diese Möglichkeit wird auch z.B. von österreichischen Banken genutzt. Die deutschen Banken verwenden dies aber allesamt nicht. Du kannst aber auch selbst im TAN-Generator-Menü nicht nachträglich eine PIN setzen, weil die generierte TAN davon abhängig ist, ob eine PIN gesetzt ist oder nicht. Es kommt also bei gesetzter PIN einer andere TAN raus als bei nicht gesetzter PIN. Und der Bankrechner erwartet nun mal die TAN, die ohne PIN-Einsatz rauskommt. Somit würde das mit gesetzter PIN nicht mehr funktionieren. Wenn dieses Feature also eingesetzt werden soll, dann müßte es auch auf dem Bankrechner aktiviert werden. Und darauf hast Du keinen Einfluss.
Benutzer
Avatar
Geschlecht:
Herkunft: Korschenbroich
Alter: 47
Beiträge: 5510
Dabei seit: 02 / 2003
Betreff:

Re: ChipTan Pin einrichten möglich?

 · 
Gepostet: 19.09.2018 - 09:00 Uhr  ·  #3
Zitat geschrieben von msa

Kurze Antwort: Nein, kannst Du nicht.
...
...
Diese Möglichkeit wird auch z.B. von österreichischen Banken genutzt. Die deutschen Banken verwenden dies aber allesamt nicht.

Kurz aber falsch.
Ja, kannst Du sehr wohl setzen. Ob deien Bank das unterstützt und was dazu ggf. notwendig ist. Kann Dir nur deine Bank beantworten. Einige Banken müssen dazu im System einstellen, dass die PIN aktiv ist, da -wie msa richtig geschrieben hat- die ermittelte TAN mit aktiver PIN anders lautet. Diverse Banken können das allerdinmgs -noch- gar nicht. Wird sich aber nach aktuellem Stand im Sommer nächsten Jahres ändern.
msa
Benutzer
Avatar
Geschlecht:
Herkunft: München
Alter: 56
Beiträge: 4426
Dabei seit: 03 / 2007
Betreff:

Re: ChipTan Pin einrichten möglich?

 · 
Gepostet: 19.09.2018 - 11:20 Uhr  ·  #4
Das würde ich gerne genauer wissen:
Es gibt also Banken, die bankrechnerseitig die "TAN mit PIN" einschalten können? Und die auch wissen, dass sie es können? Kannst Du etwas dazu sagen, WER das kann?
Benutzer
Avatar
Geschlecht: keine Angabe
Beiträge: 7575
Dabei seit: 08 / 2002
Betreff:

Re: ChipTan Pin einrichten möglich?

 · 
Gepostet: 19.09.2018 - 19:40 Uhr  ·  #5
Können tun das Genobanken. Das Wissen, wie und wo ist geheim! Nein, Scherz, es wird eher unabsichtlich aktiviert.
Mich hat das bisschen Sicherheitsgewinn noch nie überzeugt, es löst Probleme, die wir nicht haben und macht Ärger, den die meisten nicht wollen.
Benutzer
Avatar
Geschlecht: keine Angabe
Beiträge: 70
Dabei seit: 08 / 2015
Betreff:

Re: ChipTan Pin einrichten möglich?

 · 
Gepostet: 19.09.2018 - 20:17 Uhr  ·  #6
Hallo Raimund,

Du sprichst mir aus der Seele, wofür soll die zusätzliche PIN denn gut sein? Immerhin muss der "Dieb" den Chip-Tan Generator und die passende
Bankkarte klauen. Er muss die Kontonummer wissen (okay, steht auf der Karte aber einige Banken stellen ja auf eine eigene ID um wie Postbank,
PSD Banken (...)) und die PIN zum Konto.

Jeder Vergleich hinkt natürlich, aber @RichardEb, wieviel zusätzliche Sicherheitshürden hast Du zu Deinem Haus/Wohnung und zu Deinem Auto?
Im Regelfall doch den passenden Schlüssel. Also keine extra PIN, Chipkarte oder sonstwas. Nur weil es die Bank ist ...

Raimund hat schon Recht: Ich glaube 95% aller Anwender sind überfordert, wenn sie hier auch noch eine PIN eigeben müssten. :-)

Viele Grüße
Michael
msa
Benutzer
Avatar
Geschlecht:
Herkunft: München
Alter: 56
Beiträge: 4426
Dabei seit: 03 / 2007
Betreff:

Re: ChipTan Pin einrichten möglich?

 · 
Gepostet: 19.09.2018 - 20:39 Uhr  ·  #7
Zitat geschrieben von pingpong
...der "Dieb" den Chip-Tan Generator und die passende
Bankkarte klauen.
Den Generator muß er nicht klauen, da kann er jeden hernehmen.

Zitat geschrieben von pingpong
Ich glaube 95% aller Anwender sind überfordert, wenn sie hier auch noch eine PIN eigeben müssten. :-)
Ganz genau. Und verwechseln es mit der Geldautomaten-PIN oder der Kontozugangs-PIN. Wäre viel Ärger und vorallem teurer Supportaufwand für die Banken...
Benutzer
Avatar
Geschlecht: keine Angabe
Beiträge: 70
Dabei seit: 08 / 2015
Betreff:

Re: ChipTan Pin einrichten möglich?

 · 
Gepostet: 19.09.2018 - 21:56 Uhr  ·  #8
Echt @msa? Muss man nicht bei der Initialisierung eine Anfangs TAN eingeben? Okay, ich nutze bisher nur MobleTAN, PhotoTAN
und HBCI Karte. Hab aber mal vor Jahren mit der ChipTAN herumgespielt. Gefiel mir aber nicht, dieser Flickercode, bis der richtig
erkannt wurde ... War mir zu blöd. :-)

Da kann ich jede Karte reinstecken und der richtige TAN Code kommt raus? Nee, das glaube ich nicht ... Woher soll denn die
Bank wissen, welche TAN jetzt gültig ist?
msa
Benutzer
Avatar
Geschlecht:
Herkunft: München
Alter: 56
Beiträge: 4426
Dabei seit: 03 / 2007
Betreff:

Re: ChipTan Pin einrichten möglich?

 · 
Gepostet: 20.09.2018 - 00:10 Uhr  ·  #9
Ganz echt! Der "TAN-Generator" ist nur ein Stück Hardware für Eingabe (via Tasten oder Flackercode) und Ausgabe (via Display). Er hat keinerlei "Intelligenz". Die komplette Anwendung - also die Generierung der TAN - erfolgt im Chip der eingesteckten Karte. Du kannst die mit dem Konto verknüpfte Karte in jeden TAN-Generator stecken, das Ergebnis ist überall gleich.

Wie kann die Bank wissen? Das ist die Kryptografie. Der Chip auf der Karte errechnet kryptografisch abgesichert eine bestimmte Abfolge von TANs. Allerdings sind diese nicht fix sondern es fließen noch Parameter ein (wie Betrag und Empfängerkonto), so dass die TAN eben nur für diesen einen, bestimmten Auftrag gilt. Die Schlüssel, die im Chip der bestimmten Karte vorhanden sind, sind auf dem Bankrechner auch vorhanden, so dass der Bankrechner mit den gleichen Parametern die gleiche TAN errechnen kann. Wenn also nun die vom Kunden eingegebene TAN gleich der ist, die der Bankrechner errechnet hat, paßt alles und der Auftrag wird ausgeführt. Bei jedem ausgeführten Auftrag wird der Zähler sowohl im Chip als auch auf dem Bankrechner um 1 weitergeschaltet, so dass der Chip beim nächsten Mal die n+1te TAN errechnet und der Bankrechner die n+1te TAN erwartet. Solange das synchron läuft, paßt alles. Wenn es auseinander läuft, z.B. weil man mal eine TAN erzeugt hat aber diese dann nicht genutzt hat, läuft es auseinander. Damit es da nicht sofort kracht, akzeptiert der Bankrechner TANs in einem bestimmten Fenster. Also z.B. hat der Chip in seinem Leben, die 105te TAN erzeugt, der Bankrechner würde aber die 104te erwarten. Es wird trotzdem funtionnieren. Anhand des Offsets kann sich der Bankrechner dann auch wieder synchronisieren und wird beim nächsten Mal dann die 106te TAN erwarten.
Und für krasse Fälle gibt es noch eine Synchronisierungsdialog im WebBanking der jeweiligen Bank, auf den man im Fall des Falles zwangsweise geschickt wird. Es gibt eine Prozedur, bei der man am Generator den Zähler im Chip (ATN genannt) anzeigen kann. Diesen Wert und eine damit generierte TAN gibt man ein dann ist beides wieder synchron.
Es kommt mit jeder verschiedenen gesteckten Karte eine verschiedene TAN raus - der Bankrechner ist nur "zufrieden", wenn die TAN rauskommt, die der Chip der Karte, die mit dem Konto verknüpft ist, eingesteckt war...

Und ja, die Flackerei ist etwas nervig. Allerdings gibts da heute bessere Möglichkeiten. Da werden dann die Daten zum Generator via usb übertragen oder auch via Bluetooth - und auf dem gleichen Weg wird die generierte TAN wieder auf den Rechner übertragen, so dass man nur noch OK am Generator drücken, aber die TAN nicht mehr abtippen muss. So macht das Verfahren durchaus "Spaß". Und es ist halt von der Sicherheit her der SMS-TAN um Welten überlegen.
Benutzer
Avatar
Geschlecht: keine Angabe
Beiträge: 7575
Dabei seit: 08 / 2002
Betreff:

Re: ChipTan Pin einrichten möglich?

 · 
Gepostet: 20.09.2018 - 07:58 Uhr  ·  #10
oder per patentgeschützem QR-Code, was die Genobanken bereits seit längerem haben und die Sparkassen - leider wohl in einem abgewandelten Verfahren - gerade einführen. Durch den technischen Fortschritt wird dabei einfach eine Kamera verwendet, das geht so bequem wie fotografieren. Es gibt aber auch Banken, die haben eine ähnliche Technik in einem Stück Hardware, also ohne Chipkarte, integriert oder in einer Software für das Smartphone.
Aber wie msa schon schreibt: Wer regelmäßig TAN benötigt, für den ist das Verfahren per USB oder Bluetooth kein Luxus mehr.
Gruß
Raimund
Benutzer
Avatar
Geschlecht:
Beiträge: 3952
Dabei seit: 06 / 2008
Betreff:

Re: ChipTan Pin einrichten möglich?

 · 
Gepostet: 20.09.2018 - 08:50 Uhr  ·  #11
aber wir kommen ja leicht von der Frage des Threadstarters weg - ihm ging es ja um Sicherheit, die er in der zusätzlichen Eingabe der PIN sieht.
denn im Thread topic.php?p=138714 hatte es ja auch eine Sicherheitsfrage.

seine Bedenken konnten wir noch nicht "lösen", trotz dem Hinweis der geringen Kundenhaftung (Bank trägt größeres Risiko) usw.
... bzw. dessen, dass Papier-Überweisung viel unsicherer sind (bspw. noch keine Sperre bei der "betroffenen Sparkasse" vom Kunden vorliegt.)
msa
Benutzer
Avatar
Geschlecht:
Herkunft: München
Alter: 56
Beiträge: 4426
Dabei seit: 03 / 2007
Betreff:

Re: ChipTan Pin einrichten möglich?

 · 
Gepostet: 20.09.2018 - 11:41 Uhr  ·  #12
@infoman: Das ist schon richtig, aber es stellt sich die Frage "sicherer als was". Als mit PIN - OK. Das hatte ich auch sofort überlegt, als ich damals im TAN-Generator-Menü gesehen habe, dass man da eine PIN setzen kann. Aber ich bin bei meinen Überlegungen schnell drauf gekommen, dass dies bei zu vielen Kunden zu Problemen und Unsicherheiten und eben Supportbedarf führen würde. Und die Sicherheit nicht wirklich "nötig" ist. Weil ja jemand erst mal die Karte haben muss, was in meinen Augen "schwieriger" ist, als sich mal eben ein Telefon zu schnappen, auf dem eine SMS-TAN ankommt - oft direkt auf dem Lockscreen im Volltext angezeigt. Und man muss - wie schon gesagt wurde - auch über das Konto-Login (bei VR und Sparkasse, die hauptsächlich chipTAN einsetzen ungleich der bekannten Kontonummer) und Konto-PIN besitzen, sonst kommt man überhaupt nicht weiter. Da dann noch eine weitere TAN-Erzeugungs-PIN (unterschiedlich zur Konto-PIN und Geldautomaten-PIN) einzuführen halte ich für übertrieben und verwirrend und nicht wirklich nötig. Zumal man bedenken muss, dass man die bei jeder einzelnen Überweisung nach der Flackerei auch noch auf dem Mäuseklavier eintippen muss. Das würde die Akzeptans des Verfanrens (die Flackerübertragung ist schon nervig genug) weiter senken. Es wäre mal interessant, wie da die Erfahrungen in Österreich sind, wo das ja der Normalfall ist. Sowohl von der Akzeptanz als auch vom Supportbedarf her...

Insofern bleib ich dabei: chipTAN ist - auch ohne TAN-Generierungs-PIN - sicherer als alle anderen Verfahren - solange man die Anzeige im Generator prüft, bevor man auf OK drückt. Eine weitere PIN ist in meinen Augen nicht wirklich zielführend und nötig.
Benutzer
Avatar
Geschlecht:
Beiträge: 3952
Dabei seit: 06 / 2008
Betreff:

Re: ChipTan Pin einrichten möglich?

 · 
Gepostet: 20.09.2018 - 12:50 Uhr  ·  #13
ich führe es immer wieder bei solchen Anfragen an, dass onlinebanking generell sicherer ist als der "altherkömmliche Weg" über Papier.
Sollte dies nicht beim User/Gesprächspartner ankommen (wie auch oben aufgeführt) stellt sich doch die Frage der Haftung, die nunmal durch die EU/Gerichte sehr gering ist und teilweise von den Banken (freiwillig) gegen 0 geht bzw. durch eine Versicherung** abgedeckt werden kann.

Der ThreadStarter hat jedoch aus den bisherigen 3 Postings die Angst (so versteh ich die Anfragen) dass wenn der Zugang am PC oder Handy (wobei hier ja eine PIN/Passwort/Finger-Sperre o.ä. überwunden werden muss und danach nochmals die von der Software/App) "frei zugänglich" ist, dass dann die Autorisierung mit der Karte ein einfaches sei.
Ich glaub nicht, dass jemand alle Sperren einfach umgehen kann - aber meine Meinung ist ja nicht gefragt
und so wie ich es verstanden habe, geht es auch nicht um eine generelle Sperre von allen Usern (weil da bin ich ja bei @Raimund und bei Dir, zuviel Aufwand) aber für den Threadstarter nicht - er schläft dann anscheinend ruhiger, wenn er der Bank hilft, den sehr theoretischen Schadenfall abzuwenden.

Dh. der TS muss seine Bank (Sparkasse) kontaktieren und dort nachfragen, ob die weitere Sicherheiten anbieten (bzw. freischalten).
... und auf der anderen Seite wie o.e. sollten dann aber auch div. Wege komplett geschlossen werden, keine Papier/Fax und Telefonaufträge, weil sonst hilft auf der einen Seite die Sicherheit nichts, wenn ein Schlupfloch vorhanden ist.

**= Versicherung bspw.
https://www.homebanking-hilfe.de/forum/topic.php?t=18373
https://www.homebanking-hilfe.de/forum/topic.php?t=19666
Benutzer
Avatar
Geschlecht: keine Angabe
Beiträge: 7575
Dabei seit: 08 / 2002
Betreff:

Re: ChipTan Pin einrichten möglich?

 · 
Gepostet: 20.09.2018 - 20:05 Uhr  ·  #14
Ich versuche ja diese Sicherheitsfeatures aus realistischer Sichtweise zu sehen - je aufwändiger ein Verfahren ist, desto ungeliebter und ungenutzter scheinen die Sicherheitsfeatures. Es gab doch mal eine Studie die besagt, dass 50% der User die Anzeigen weder der SMS-TAN noch die Anzeige des TAN-Lesers komplett prüfen.
Das Problem ist doch dabei:
Mit der PIN zur TAN-Erzeugung wird nichts gewonnen, unterm Strich werden doch bei einer weiteren Steigerung des Aufwandes eher noch mehr Leute nicht mehr genau hinsehen. Ich bin davon überzeugt, dass man außer Vollbeschäftigung bei der Electronic Banking Fachleuten nichts gewinnen wird, weil der menschliche Faktor dazu kommt.
Am Ende sicherer wären doch nur die Leute, die es eh schon ausreichend sind, weil sie einfach aufpassen.
Wer sich also hier schon die Mühe macht und sich diese Fragen stellt, der wird bestimmt kein Opfer eines Betruges werden.

Warum, frage ich mich, reicht am Geldautomaten und beim Bezahlen im Laden immer noch eine 4-stellige PIN und dort wird sogar drauf verzichtet? Wieso sind die Leute, die diese Sicherheit in die Verordnungen schreiben, denn beim Onlinebanking so paranoid?

Hat man eventuell Angst, dass Einbrüche in die Banksysteme möglich sind, so dass man hier unbedingt einen zusätzlichen individuellen Faktor haben will, den nur ein Kunde beeinflussen kann und muss? Gibt es einen Grund, den wir aktuell nicht kennen?
Lange Passwörter bei Bankzugängen sind ja auch nur deshalb sinnvoll, wenn man Einbrüche in die Bank-Systeme selbst befürchten muss.
Gruß
Raimund
msa
Benutzer
Avatar
Geschlecht:
Herkunft: München
Alter: 56
Beiträge: 4426
Dabei seit: 03 / 2007
Betreff:

Re: ChipTan Pin einrichten möglich?

 · 
Gepostet: 20.09.2018 - 20:16 Uhr  ·  #15
Zitat geschrieben von Raimund Sichmann
Hat man eventuell Angst, dass Einbrüche in die Banksysteme möglich sind, so dass man hier unbedingt einen zusätzlichen individuellen Faktor haben will, den nur ein Kunde beeinflussen kann und muss? Gibt es einen Grund, den wir aktuell nicht kennen?
Lange Passwörter bei Bankzugängen sind ja auch nur deshalb sinnvoll, wenn man Einbrüche in die Bank-Systeme selbst befürchten muss.
Sappralott, das sind Gedanken, die ich in der Form noch nie hatte, aber wenn ich sie so lese geben sie mir auch zu denken. Das klingt mir so, als könnte durchaus was dran sein.
Benutzer
Avatar
Geschlecht: keine Angabe
Beiträge: 7575
Dabei seit: 08 / 2002
Betreff:

Re: ChipTan Pin einrichten möglich?

 · 
Gepostet: 21.09.2018 - 08:29 Uhr  ·  #16
Snowden hat geleaked, dass ein Ansatzpunkt der Geheimdienste der Einbruch, die Infiltration in zentrale Schaltstellen der Länder sein kann. Hier drängen sich Banken und ihre Rechenzentren als Ziele geradezu auf. Ich wundere mich schon lange, dass bisher nur die Genobanken mit einer Erweiterung der PIN/Passworte darauf reagiert haben. Dass nur die Genobanken im Fokus von NSA etc. stehen könnten, wäre naiv. Für die Maßnahme, min. 8 stellige Passwörter zu verlangen, ist für mich kein anderer technischer Grund erkennbar. Die Empfehlung BSI beruht ja sicherlich darauf.
Gewählte Zitate für Mehrfachzitierung:   0