TAN=TAN=TAN?

TAN Generator ist der cyberJack® secoder von Reiner SCT mit dem sogenannten chipTAN Upgrade. Falls notwendig, konnte ich damit bisher stets mit einem Startcode eine TAN generieren, egal ob im OnlineBanking daneben ein QR-Code angezeigt wurde oder nicht. chipTAN QR wurde bankseitig benutzt, weil ich kein (anderes) chipTAN-Verfahren eingestellt hatte.

Das geht bei der Sparkasse nun nicht mehr. Dort muss man explizit "manuelle TAN" auswählen, ansonsten wird die generierte TAN als falsch abgelehnt.

Mein Verständnis war bisher, dass allein aus dem Startcode eindeutig mittels meiner Bankkarte eine TAN generiert wird. Ist das nicht der Fall?

Was enthält denn der QR-Code? Ich vermute den Startcode (mein QR Droid erkennt leider nur Buchstabensalat). Oder sollte etwa der Startcode im QR-Code nicht mit dem daneben ausgegebenen Startcode übereinstimmen?

Das kann nur funktioniert haben bei Geschäftsvorfällen, die keine weiteren Daten außer dem Startcode enthalten. Alle Geschäftsvorfälle zu Zahlungen würden Daten wir IBAN, Betrag, Zusatzdaten, etc enthalten und sind nicht kompatibel zwischen chipTAN manuell vs. chipTAN optisch/USB/QR. Bei denen müsste der Auftrag auch in der entsprechenden Verfahrensvariante eingestellt worden sein.

BTW: Die Daten können durchaus auch in der manuellen Variante mit in die Berechnung eingehen. Sie werden dann eben eingegeben. Allerdings werden diese Daten mit einem anderen Padding versehen intern in der Berechnung und sind daher nicht kryptographisch kompatibel zu den "optischen" Varianten (wozu ich auch USB zähle).

Weil man bei allen "ungewöhnlichen" Geschäftsvorfällen den Startcode im TAN-Generator zum Vergleich angezeigt bekommt. Bei Überweisungen steht da natürlich "Überweisung an IBAN blabla Betrag blabla". Bei Sondervorfällen wie Erhöhung des Limits sind diese Texte nicht im Leser vorhanden, weswegen dann der Startcode zum Vergleichen angezeigt wird.

Ich kenne es von Sparkassen nur so, dass der Startcode angezeigt wird und dann sofort die TAN kommt. Im WebBanking heißt es dann auch "bitte vergleichen Sie den Startcode 0815 auf Ihrem Gerät" oder so ähnlich. Klar hat der Startcode noch andere Inhalte, sicherlich auch die akutelle Zeit - denn sonst könnte er ja keine TAN generieren, die JETZT gilt und kurz darauf verfällt.

eine Gültigkeit ist in der TAN oder dem Startcode nicht verankert, nur eine Zufallszahl, die pro Transaktion gewürfelt wird (nnnnn unten). Wir nutzen in der Sparkassenwelt nur die Spezifikationsversion 1.3.2 und daraus nur die Startcodes mit 8xynnnn (und für Auslandszahlungen 9*).
x und y geben dem Leser in allen Variationen vor welche zwei weiteren Werte er anzeigen/abfragen soll. Die Leser können hier bei nur einige vorprogrammierte Labels anzeigen (Bertrag, IBAN, Kontonummer, Posten...)
Für Aufträge die kein Geld bewegen - grob gesprochen - nutzen wir dabei nur 800nnnnn Startcodes, die man nur eingibt bzw als Zahl bestätigt.