ING, Sicherheit und Datenschutz

Liebe Leser,

den folgende Breif habe ich eben in das Forum der ING gegeben.
Um ihm eine weitere Verbreitung zu geben - und auch um ihn vor der Zensur der ING zu bewahren - stelle ich ihn hier, mit der Aufforderung zur weiteren Diskussion, ein.

===

Liebe ING,

die ING war einst innovativ. Diese Zeiten sind leider lange vorbei!
Die peinliche Frickelei auf dem Niveau eines Schulpraktikanten zur Umsetzung der PSD2 ist kaum mehr zu überbieten.

Sein wir aber mal konstruktiv:

1. Als Kunde erwarte ich EINE Lösung zur starken Authentifizierung nach allgemein annerkantem Stand der Technik. Der heißt im Jahre 2019 "FIDO2"!

2. Eine App, die sowohl die Authentifizierung als auch die Geschäftsvorfälle (hier Transaktionen) abbildet, verstößt gegen das Gebot der PHYSIKALISCHEN Trennung beider; s. a. 3.
2.1 Das Mindesteste wäre ein echter zweiter Faktor für die Transaktionssteuerung UNABHÄNGIG von der App; sei es chipTAN, sei es TOTP oder eben FIDO2.

3. Die App in der jetzigen Form ist die absolute Sicherheitskatastrophe!
Alle Konten (Giro, Tagesgeld etc. - nach Ihren Phantasien gleich meherere Institute in einer (Ihrer) App - sind im Vollzugriff.
Da jeder Straßengauner weltweit weiß, dass jeder Europäer seinen vollen Bankzugriff auf seinem Smartphone bei sich führt, ist dieses Verfahren eine öffentlichen Einladung, diesem oder seiner Familie WÖRTLICH die Pistole auf die Brust zu setzten und so zu zwingen, sein gesamtes online zugängliches Barvermögen in Richting Western-Union o. ä. zu überweisen!

4. Datenschutz
Mit eingschriebenem Schreiben vom 24.09.2019 hatte ich Sie wie folgt aufgefordert: "Ich widerspreche sämtlicher Verarbeitung von im Rahmen meiner Aktivitäten im Onlinebanking und Webportal erhobenen Daten und Datenspuren (Tracking), die nicht unmittelbar für den Zweck [des Online-Bankings] benötigt werden, gemäß DSGVO-EU."
Ich hatte um persönliche Mitteilung gebeten, "dass die Datenverarbeitung auf das absolut Notwendige reduziert worden ist." In diesem Kontext hätte ich die Schriftform erwartet. In dieser Form erhielt ich wenige Tage späte einen "Textbaustein" mit der Überschrift, "Sie ärgern sich gerade über uns...". Im Inhalt bitten Sie sich Bedenkzeit aus.

Sehr überraschend fand ich fast zeitgleich - und ohne jeden weiteren Hinweis darauf - in der Postbox der App eine PDF-Datei mit eben dem Datum meines Schreibens (24.9.19) mit dem Betreff "Ihr Widerspruch". Darin erklären Sie wörtlich: "Sie widersprechen der Verarbeitung Ihrer Daten? In dieser Form könen wir Ihren Widerspruch jedoch nicht annehmen."
Im Weiteren erklären Sie: "Einen unbegründeten Widerspruch ... dürfen wir ablehnen. Dazu sind wir rechtlich befugt."
Ich müsste meinen Widerspruch mit einer "besonderen Situation" begründen. Als mögliche Gründe nennen Sie:
- "Scheidung",
- "(Privat-)Insolvenzverfahren oder Verlust Ihres Vermögens",
- "Gesundheitliche Gründe (psychischer & physischer Natur)",
- "Sie werden erpresst oder Ihr Leben wird bedroht".

Sie fordern: "Bitte informieren Sie uns ganz konkret darüber. Wahrscheinlich brauchen wir in diesem Fall auch Nachweise...".

Ich traute meinen Augen kaum!

Anlass meines Widerspruchs war - bzw. ist nach wie vor - Ihre überaus weitreichenden Datenverbeitungs-Einverständniserklärungen zur Benutzung von Cockies auf Ihren Web-Seiten; inkl. des Trackings in Personalisierungs- und Marketing-Cockies. In dem o. e. Schreiben nennen Sie exlizit "..für ein Profiling für Werbezwecke...".

Statt - schon aus Respekt Ihren Kunden gegenüber - die Opt-In-Lösung zu realisieren, benutzen Sie geziehlt den Zwang zur Opt-Out-Lösung.
Man muss also immer wieder, BEI JEDEM AUFRUF IHRER SITE, explizit die Einstellungen anpassen, da Cockies, entsprechend den dringenden empfohlenen Einstellungen der Webbrowser, nur bis zum Beenden desselben persistieren; die getroffenen Datenschutzeinstellungen also mit beenden des Browsers gelöscht werden.

Über Ihrer öffentliche Stellungnahme an prominenter Stelle zu den genannten "Anregungen" würde sich nicht nur ich mich sehr freuen.

Mit freundlichen Grüßen

Jochen

Die Web-Site der ING ist indiskutabel! Das wurde an andere Stelle aber schon sehr ausgiebig diskutiert.
Das NERD-Problem ist immer ein Frage der Perspektive. Richtig ist, dass kaum ein Normluser - älter Menschen insbesondere - in der Lage ist, sich in vom Relaunch-Fiber hyperatkiver Markting/Webdesigner gebeutelten Online-Portalen jedes mal neu zurechtzufinden. Die abzuholen wird sowieso die Aufgabe der Zukunft sein. Das hat aber noch nicht mal die BaFin verstanden.

Die Photo-TAN ist a) propritär und b) nicht in einem richtigen Banking-Programm (außerhalb des ING-Web-Debakels zu gebrauchen); s. auch Datenschutz...

Bezüglich FIDO2 möchte ich hierauf verweisen: c't

Hm, das ist für mich eher BILD-Niveau...

Pistole WÖRTLICH auf die Brust setzen? Sorry, aber dann ist auch ne echte(re) Zweifaktor-Authentifizierung nicht sicherer...

Die da wären? Den Key kopieren kann man ja nicht einfach. Man müsste also schon weitere Geräte als Backup installieren um das verlorene Gerät dann wieder zu deaktivieren. Um mich aber nicht komplett auszusperren, muss ich so oder so zwei Tokens haben. Wenn der Zugang sich mit eine klassischen Passwortreset per Mail zurücksetzen lässt, wäre das ja alles Unsinn so rein sicherheitstechnisch gesehen. Das könnte man sich das auch sparen. Also hätte wenn nur noch den Komfort-Vorteil. Wobei wo ist der genau?

Ich stell mir gerade das mal in der Praxis vor:

Da sichere ich meinen Banking Zugang über einen USB-Token ab, merke aber ganz schnell das ich den auf Firmenrechnern beispielsweise gar nicht verwenden kann im Normallfall. In mein iPad kann ich den auch nicht stecken, schon doof. Gut da kann ich zumindest den Key drauf hinterlegen und mich dann von dem Gerät aus ins Banking anmelden. Aber warum dann nicht gleich einfach eine Banking-App nehmen welche sich an das Smartphone bindet? Die ING-App macht doch nichts anderes. Und nen USB-Stick bekommst du auch nicht ans Telefon so ohne weiteres. Eine strickte Gerätetrennung, also Token auf extra Hardware als das Banking, wäre nur auf einem PC mit USB-Anschluss möglich. Alle andere Konfigurationen und mobile Lösungen nicht. Ja wait, ich weiß...man könnte auch per NFC/Bluetooth den Token laufen lassen. Reden wir dann auch noch von einer kostengünstigen Lösung? Ein halbswegs seriöser Anbieter verkauft die Tokens mit USB für 30 Euro.

Und ein weiterer entscheidene Punkt:

Das System bringt doch nur was, wenn ich überall im Internet das benutzen kann. Sonst muss ich ja mit Passwortmanager und Fido2 Keys + Backups arbeiten. Wann darf ich mich denn hier mit einem Fido2 Key im Forum anmelden?

Hab gerade mal geschaut, ich hab über 100 Passwörter in Keepass, bedeutet...wenn der Token verloren geht, darf ich mich dort überall anmelden (mit meinen zweiten Token dann) um diesen zu deaktivieren. Lass mich kurz überlegen...

...nein wird sich nicht durchsetzen.

/edit:
Gibt es eine Liste mit Seiten die das anbieten? Microsoft und Google offenbar, wer noch? Paypal scheint Gründungsmitglied seit 2012 von der FIDO-Allianz zu sein. Wo hinterlege ich denn meinen potenziellen FIDO2-Key bei Paypal? Ich finde dazu nichts, bieten die das etwa selber nichtmal an?