Hallo Olaf,
hallo geschätztes Forum,


ich habe eine ganze Anzahl an Verständnisfragen zu SmartTAN-USB, Konten bei MeineBank = Raiffeisenbank im Hochtaunus -> VR, Atruvia.

---

Kurze anekdotische Vorgeschichte, eigentliches Thema und Fragen nach der unteren horizontalen Linie, weiter unten

Die Webseiten der MeineBank sind gelegentlich etwas verwirrend, manches ist "echt" MeineBank, manches ist "gebranded" auf MeineBank in Wirklichkeit VR.DE, oder Atruvia, oder keine Ahnung... jedenfalls: nicht alle Funktionalitäten rund ums Konto sind direkt bei MeineBank zu erledigen. Und manches nur in der VR Banking App, manches nur im Browser. Fazit: Wenn es stattdessen in Hibiscus geht, freue ich mich

Heute wollte ich eigentlich etwas wegen einer Vollmacht nachsehen, dauerte etwas, dieses in der oben beschriebenen "Vielfalt" zu finden. Und habe aus Versehen auf den darüberliegenden Menüpunkt "Datenschutz und Sicherheit" geklickt. Dort, neben dem für uns als Neukunden 2023 verbindlichen "SecureGo Plus" Verfahren und dem Hinweis, dass "mobileTAN" und "SecureGo" abgeschaltet wurden, im Untermenü "Weitere Sicherheitsverfahren" entdeckt, dass ich "smartTAN" nutzen kann. Nach ein bisschen hier im Forum und im Hibiscus Wiki lesen war dann klar, dass smartTAN das Pendant zum mir wohlbekannten chipTAN Verfahren der Sparkassen ist.

Was ich natürlich SEHR spannend fand, da ich obwohl umständlicher chipTAN nun mal sicherer finde als SecureGo plus oder Vergleichbares. Speziell hierbei mit der etwas versteckt angebotenen Funktionalität, dass man die TAN-Generierung nochmals zusätzlich durch eine PIN absichern kann, die auf der Karte als Sicherheitsmedium abgespeichert wird. Alles in allem IMHO ein echter zweiter Faktor, nicht bloss eine zweite App auf dem identischen "Faktor" Smartphone, auf dem auch die entsprechende Banking App läuft. Ja, ist aber saubequem, und ja, habe auch aus ebendiesem Grund wenn unterwegs und dringend schon gemacht. Versuchte ich aber zu vermeiden, und nutzte sowieso wann immer möglich Hibiscus, speziell dann via chipTAN-USB über (m)einen Secoder-fähigen Reiner-SCT cyberJack RFID komfort. Oder eben seit "MeineBank" Hibiscus auf dem Linux PC und SecureGo plus auf dem Smartphone, "passt" sicherheitstechnisch auch.

---

Ich habe dann heute smartTAN aktiviert, dabei muss man sich für eine der vorhandenen girocards entscheiden. Danach via Startcode eine TAN generieren und in die Webseite eingeben. Zum Glück haben wir dafür noch einen tanJack photo QR, aus der chipTAN-Zeit, bevor es chipTAN-USB gab, und bevor Olaf das dann Hibiscus beigebracht hat. Ein tanJack optic CX aus 2017 kann mit den neuen Girocards leider nichts mehr anfangen.

(Fragen 1-3 beziehen sich auf smartTAN-USB, da ich eigentlich ausschließlich dieses mit Hibiscus nutzen möchte, Frage 4 ist allgemein)

ERSTE Frage genau hierzu:
Kann man dieses Aktivieren / Zuordnen einer girocard zum smartTAN-Verfahren auch OHNE einen zweiten Leser/Generator hinkriegen? Den cyberJack RFID komfort "kennt" das Browserbanking ja überhaupt nicht, den "sieht" nur Hibiscus. Kann ich diese Aktivierung aus Hibiscus anstarten? Ich vermute nein, weil außerhalb FinTS, bin aber gespannt. Vielleicht kennt ja jemand eine Art "Secoder-Admin-Tool"..

ZWEITE Frage:
Ich musste für diese Aktivierung den "Lesertyp", 12stelliger Code nach Eingabe Startcode "09", in die Webseite eintragen. Und wie oben erwähnt eine Start-TAN generieren und ebenfalls eintragen. Nach Anleitung im Hibiscus Wiki habe ich dann über einen weiteren Bank-Zugang für meine "MeineBank" Konten angelegt, PIN/TAN, "Smart-TAN plus optisch / USB".
Hat SOFORT fkt. wie im Wiki beschrieben, ich kann Überweisungen tätigen, voila!
Ich frage mich aber jetzt schon, warum
Also konkret: Warum muss ich "MeineBank" zuvor einen "Lesertyp" übermitteln und eine Start-TAN von ebendiesem Leser, um jetzt (doch?) mit einem völlig anderen Leser TANs generieren zu können? "Beruhigt" hat mich, dass die TANs nur von genau der girocard akzeptiert werden, die ich zuvor registriert habe. Eine zweite (von zweitem Konto bei MeineBank) "akzeptiert" zwar der USB-Kartenleser, über Hibsiscus angesteuert, die generierten TANs werden aber bankseitig als ungültig abgelehnt. Wenn also diese "Bindung" offensichtlich nicht an ein konkretes Gerät stattfindet, sondern vielmehr an eine Girocard, zurück zur ERSTEN Frage: Geht die Registrierung dann nicht über Hibiscus / den USB-Leser via (?) ? Bzw. warum kann ich nicht "irgendeine" meiner Girocards, mir gehörend und bei derselben Bank, als Sicherheitsmedium nutzen? Verwirrend, ich kann jetzt z.B. eine Überweisung vom unserem Gemeinschaftskonto via smartTAN über die Girocard zu meinem Einzelkonto freigeben. Die Girocard zum Gemeinschaftskonto nicht, da diese nicht registriert ist und nur eine registriert sein kann...

DRITTE Frage:
Über die TAN-Generatoren kann man wie oben beschrieben die PIN-Funktion für die zum Generieren verwendete Girocard verwalten: Aktivieren, wieder deaktivieren, und die PIN setzen. Hinweis: hat NICHTS mit der normalen PIN der Girocard zu tun, diese zweite, separate PIN wird nur abgefragt, wenn eine TAN generiert werden soll. Im Kartenleser/TAN-Generator.
Auch hier meine Frage zu den USB-Kartenlesern via Secoder: Kann man diese PIN-Funktionen auch über einen USB-Kartenleser wie meinen cyberJack RFID komfort verwalten? Geht das irgendwie über Secoder? Eine TAN-Taste hat der ja nicht


VIERTE Frage:
Der tanJack photo QR hat im PIN Menü einen Unterpunkt "PUK". Kennt man von den SIM-Karten im Mobilfunk, dreimal PIN falsch -> PUK benötigt. 10 mal PUK falsch: tot. In der reiner-SCT Bedienungsanleitung steht, dass nur manche Banken diese PUK-Funktionalität unterstützen, man soll nachfragen. Weiß hier im Forum einer der Experten zufällig, ob die aktuellen VR-Verbund girocards ((dg-nexolution.de?) diese PUK-Funktion unterstützen?

ich kenne die Bank usw. nicht aber ich probiere mal ein paar Punkte anzugehen bzw. du suchst dir die richtigen raus.

a.) Unterstützt mein Leser chipTAN USB schon?
https://www.reiner-sct.com/upgrade

b.) Browserbanking unter Windows:
https://shop.reiner-sct.com/software/tanjack-easy
(wird anscheinend aber von vielen Banken noch nicht unterstützt die Alternative: https://www.reiner-sct.com/morris )

c.) Onlinebanking ist sicher
Papier ist unsicherer, dh. wie schon x-mal geschrieben ich kann per Überweisungsträger schneller Geld abziehen
die Sicherheit wird von der EU doch geprüft und die Haftung verbraucherfreundlich durchgeführt - ja nach Bank ca. 100 abwärts - siehe auch entsprechend posts in der Vergangenheit
Des Weiteren dürften die Banken es nicht zulassen, wenn 2 Apps auf einem Gerät (Smartphone) nicht sicher wäre

PIN sollte in der Software hinterlegt sein (somit nur 1x Eingabe und kein Keylogger kann was abfangen), da ja nur die TAN relevant ist und allen durch Karte/Smartphone usw. abgesichert

also warum nicht bspw. Linux (Windows) und Smartphone (TAN "SecureGo Plus") dann passt es doch.

Bitte als User es nicht komplizierter machen, wie es ist, sondern die einfachsten Varianten wählen.
(denn im Umkehrschluss, sind die nicht genutzten Weg ja doch offen - siehe o.g. Papier-/Telefon-/Telefax-Überweisung o.a.)

Zu deiner Frage 1)
Das geht prinzipiell auch so. Es gibt extra Geschäftsvorfälle mit denen man die aktive Karte ändern kann. Da es meist offen ist, ob die Bank, oder die Software das kann ist der Weg über die Webseite einfacher. Warum macht man das? Zwei Gründe:
1) Die Bank muss die möglichen TANs mit ihren Schlüsseln nachrechnen. Zwei Karten bedeuten doppelt so viele TANs zum Nachrechnen aber auch doppelt so viele Chancen für den Angreifer.

Zu deiner Frage 2)
Die Abfrage des Geräts ist nicht zwingend notwendig und wir in FinTS gar nicht abgefragt. Das der Leser abgefragt wird, ist eine Komfortfunktion für Supportfälle, wie z.B. der Fall, dass die Reiner SCT Leser die neuen Karten nicht mehr unterstützen konnten, weil sie sich genau an die Spezifikation gehalten hatten. Mit dem Wissen welchen Leser der Anwender hat, kann man einen Austausch besser koordinieren. Mehr aber halt auch nicht.

Zu deiner Frage 3)
Ja, kann man nutzen. Aber da die PIN in die Berechnung der TAN einfließt, ändern sich damit die TANs. ggf. muss die Bank die Nutzung der PIN irgendwo vermerken, damit der TAN Vergleich funktioniert.

Zu deiner Frage 4) Mir wäre keine Bank bekannt, die eine Puk bei einem ChipTAN Verfahren unterstützt

Grundsätzlich würde ich aus den Erfahrungen vergangener Zeiten von der Nutzung der PIN bei den ChipTAN Verfahren abraten

Ich habe bei Sparkassenkarten (alte und auch neue Hybridkarten mit Kreditkartennummer und Debitfunktion, DKB-Karten und VR-Karten die chipTAN-PIN aktiviert. Es hat in allen Fällen immer sofort funktioniert ohne dass die Bank etwas umstellen musste.

Ich kannte das noch aus früheren Zeiten, dass das bei den VR Banken mal gab. Habe inzwischen per PN gehört, dass das inzwischen auch so geht. Von daher passt.

Vielen herzlichen Dank für die doch einigen Antworten!

Speziell diese Antworten von Holger Fischer waren extrem hilfreich:



FYI: Ich habe parallel zum Thread hier das gleiche beim Reiner-SCT Support angefragt. Wo man mir doch tatsächlich einen RTFM nachgewiesen hat

Im aktuellen Benutzerhandbuch des cyberJack RFID komfort, welches *** auch *** für meinen recht alten und per Update auf Secoder / chipTAN-USB / smartTAN-USB aufgerüsteten Kartenleser noch zutreffend ist - hätte ich auch selber draufkommen können - ist die Erstaktivierung beschrieben: Es gibt hier kein Henne & Ei Problem, statt der TAN Taste auf den TAN-Generatoren findet man alle relevanten Menüpunkte bei den cyberJack (USB-)Kartenlesern nach Drücken der "@" Taste.
Also manuelle TAN-Generierung, mit Eingabe von Startcode etc.. Und das von mir erwähnte PIN Menü, sogar hier mit der Sicherheitsoption, dass man "OK" länger als x Sekunden drücken muss, um Einstellungen vornehmen zu können.

Kurzer Einschub, weil ich mich da anscheinend missverständlich ausgedrückt hatte: Sowohl die TAN-Generierung über smartTAN als auch über smartTAN-USB haben mit von mir gesetzter PIN sofort und fehlerfrei funktioniert. Meine Fragen bezogen sich nur auf die Erstaktivierung, die ich wie beschrieben mangels Kenntnis "nur" über den TAN-Generator und nicht über den USB-Kartenleser durchführen konnte.

FYI:
Ich habe diese Erstaktivierung jetzt natürlich sofort nochmals über den USB-Kartenleser probiert, sie schlägt aber wegen eines anderen Fehlers fehl: Gibt man alle Daten, also "Lesertyp" und generierte Start-TAN ein, bekommt man die leider eindeutige Fehlermeldung "Lesertyp nicht bekannt". Ich habe mich daraufhin vom Kundensupport in die interne IT-Hotline der Bank durchtelefoniert - ja, MeineBank ist tatsächlich (manchmal ) so kundenfreundlich, dass das geht. Auch dieser sehr nette und hilfsbereite Mitarbeiter war der Ansicht, dass es sich um einen (reinen) Datenpflegefehler seitens der Atruvia handeln dürfte, anscheinend wurden nach Einführung der chipTAN/smartTAN USB Variante (zeitlich ja NACH Einführung von smartTAN an sich) die USB-Kartenleser nicht / nicht korrekt / nicht vollständig nachgepflegt.

Da der cyberJack RFID komfort recht weit verbreitet sein dürfte, hoffe ich, dass dieses auch für andere nützlich sein wird, wenn gefixt.

Herzlichen Dank nochmals!