Hallo,

seit vorgestern muss ich meinen Zugriff über hibiscus an meinen Volksbank Konten bei jeder Abfrage in der Secure Go App (2FA) freigeben. Vorher kam das nur alle drei Monate.

PC und Hibiscus neu gestartet, aber ohne Veränderung.
Ziemlich nervig, da ich über 10 Konten verwalte und jedes Mal muss ich das am Handy freigeben.

Was tun?

[07.08.2026 11:49:39] Synchronisierung via FinTS/HBCI läuft
[07.08.2026 11:49:39]
[07.08.2026 11:49:39] Synchronisiere Konto: JC Giro, IBAN DE0655.. [Volksbank Alzey-Worms]
[07.08.2026 11:49:39] Initialisiere Bank-Zugang
[07.08.2026 11:49:40] Führe Geschäftsvorfall aus: "JC Giro, IBAN DE0655.. [Volksbank Alzey-Worms]: Umsätze/Salden abrufen"
[07.08.2026 11:49:40] Führe Aufträge aus...
[07.08.2026 11:49:40] Führe Dialog-Initialisierung aus
[07.08.2026 11:49:41] Verbinde mit https://fints2.atruvia.de:443/cgi-bin/hbciservlet und prüfe Zertifikat
[07.08.2026 11:49:41] Warte auf Antwortdaten
[07.08.2026 11:49:50] Warte auf Antwortdaten
[07.08.2026 11:49:51] Verarbeite Aufträge
[07.08.2026 11:49:51] Warte auf Antwortdaten
[07.08.2026 11:49:51] Warte auf Antwortdaten
[07.08.2026 11:49:52] Führe Dialog-Ende aus
[07.08.2026 11:49:52] Warte auf Antwortdaten
[07.08.2026 11:49:52] Aufträge ausgeführt
[07.08.2026 11:49:52] Synchronisierung via FinTS/HBCI erfolgreich beendet

Wie siehts beim Login über nen Browser aus?

Beim Onlinebanking über den Browser kommt die 2FA Abfrage auch wieder, wenn ich mich Ab- und Anmelde.
Ich kann mich aber nicht erinnern, ob das schon immer so war.

Die Atruvia-Banken handhaben das unterschiedlich. Bei manchen ist wirklich bei jedem Login 2FA erforderlich, bei anderen kann man den Browser als vertrauenswürdig definieren. Wie dieses Definieren bei FinTS und speziell Hibiscus gehandhabt wird, weiß ich ehrlich gesagt gar nicht, aber es kann ja sein, dass deine Bank jetzt wirklich bei jedem Login 2FA will. Frag im Zweifel mal nach.

Das Herstellen der Vertrauenswürdigkeit passiert bei FinTS quasi von allein, wenn man sich von einem Gerät das erste mal mit einem neuen Bankzugang verbindet. Hierbei wird bei der Bank eine neue sog. "System-ID" generiert und an den Client übertragen. Dieser speichert sie im Bankzugang und sendet sie fortan immer mit, damit er wiedererkannt wird. Die Sparkassen machen das z.B. so. Man kriegt dann auch automatisch eine Mail mit der Bestätigung, dass das Gerät als vertrauenswürdig gespeichert wurde. Wird dann auch in der Verwaltung auf der Bankwebseite angezeigt.

Leider gibt es aber Banken, die das nicht anbieten und bei jedem Login eine 2FA-Freigabe haben wollen.

Achjeh, da wird die Bank leider Gründe haben, das zu verlangen.
@bwegner:
Du kannst auch bei der Bank anfragen, ob die nicht noch das Signaturdatei-Verfahren haben. Da wäre der zweite Faktor der Besitz der Datei.

Was sind das beispielsweise für Gründe? Und warum haben manche Banken die und andere nicht?

@bwegner
die Bank hat es doch kom. ua. über SocialMedia siehe https://www.instagram.com/p/DbnF4z3F2Nj/?img_index=1
bzw. auch direkt auf dem Homepage:


@icbh
ebenfalls auf der Mainpage steht u.a.
des weiteren auf der Subpage: https://www.vb-alzey-worms.de/service/sicherheit.html

Vielen Dank für den Hinweis.
Auf der Webseite konnte ich nichts finden, aber die Info auf Instagram war leider ganz klar.
Was ist denn jetzt die Alternative? Kein Banking Programm mehr nutzen?

Das hilft ja auch nix, wenns übern Browser genauso läuft.
Zu ner anderen Bank wechseln.

Evtl. die Multibanking-Funktion einrichten.

oder wie ich schon schrieb: Schlüsseldatei (wenn die Bank das hat) oder HBCI-Chipkarte (letztere wird schwierig mit Hibiscus).

@bwegner:
Für mein Verständnis: Du schreibst von 10 Konten. Sind das jeweils unterschiedliche Accounts oder sind das 10 Konten mit gleichem Account? D.h., wenn Du Dich im Web-Banking einmal anmeldest siehst Du alle 10 Konten oder musst Du Dich auch da für jedes Konto mit einem anderen User anmelden?

Falls das tatsächlich unterschiedliche Accounts sein sollten, würde ich zum photo-TAN Verfahren wechseln (falls das Deine Bank anbietet - die Atruvia jedenfalls bietet es an). Dann ist es deutlich einfacher, weil Du Dich nicht jedes mal an der dämlichen App anmelden musst (8 Zeichen muss das Password ja dort mindestens haben - zumindest bei der Sparda-App (was ja wohl kaum was anderes sein dürfte)).

Ergänzung:
Warum ist das so? Leider gibt es zu viele Leute, die ihre Credentials einfach so rausrücken, auf jeden Mist in irgendwelchen Schwachsinnsmails clicken, die jeden Schwachsinn glauben. Die Folge sind dann derartige Aktion wie bei dieser Bank (machen aber auch andere). Man kann das dann auch als Sippenhaft verstehen. Nach dem DAU wird der Standard ausgerichtet, weil wir ja in einem Vollkasko-Land leben, wo keiner für seine eigene Dummheit haftet, sondern immer ein anderer, der überhaupt nichts dafür kann, den Kopf hinhalten muss. Traurig aber wahr.

solange du nicht betroffen bist (von einem Geldabfluss) ist es immer einfach zu sagen, Sicherheit ist zu hoch usw.
auch wenn viele Dinge erstmal sinnfrei erscheinen, sind diese evtl. im weiteren Verlauf nicht schlecht bzw. gleichgut wie vorher.
des weiteren haben nicht die Länder die Vorgaben gemacht sondern die EU

die PIN sichert eigentlich nicht viel ab. (Kontoumsätze o.ä.) und kann daher ja auch in der Software gespeichert werden (auch sicherer in Sachen keylogger)
bei der TAN ist es ja was anderes, diese wird für relevante Transaktionen benötigt.

In o.g. Fall könnte der User ja auch mit seiner Bank Kontakt aufnehmen und bspw. (seinen) einen User-Account für die 10 Konten freischalten lassen.
(dies würde ich einer Schlüsseldatei vorziehen, da man hier ja nicht weiß, was gepackt/genehmigt wird)

Eine TAN im Zusammenhang mit Transaktionen wird ja von mir nicht in Frage gestellt. Es geht hier ja um triviale, lesende Zugriffe. Das Problem ist doch aber, dass selbst eine TAN nichts bringt, wenn der DAU die - in welcher Form auch immer - weitergibt ... . In soweit ist das sowieso nur weitgehend sinnloser Aufwand.

Es ist auch nicht die EU, die verlangt, dass jeder lesende Zugriff jeden Tag z.B. via TAN abgesichert sein muss. Das ist die Entscheidung der Bank (andere machen das ja legalerweise auch anders).

Das Problem ist und bleibt, dass hierzulande (nicht nur im Banking-Umfeld) im Zweifel immer ein anderer Schuld ist, wenn etwas passiert ist. Im Wald fällt ein Baum auf einen Spaziergänger. Wer ist Schuld, wenn was passiert? Ja klar, der Waldbesitzer. Dass man sich bei entsprechenden Wetterverhältnissen nicht im Wald aufhält oder eben mal mit offenen Ohren und wachem Verstand durch die Gegend läuft - auf die Idee kommt heute nicht mehr jeder.

Hier werden monate- bzw. jahrelang Wege gesperrt, weil ein Laufunfähiger (von der Sorte gibt es heute leider wie Sand am Mehr) abrutschen oder stolpern könnte - weil auf einer Länge von 2 Metern kein Geländer ist - das aber weder davor noch dahinter ist - bei unveränderten Bedingungen. Oder wegen Unebenheiten auf dem Weg - was auch davor und dahinter nicht anders ist. Es muss alles smombiesicher sein. Weil es Hansel gibt, die sich ganz selbstverständlich von der Umwelt abschotten. Die brauchen eine Wetter-App, die ihnen sagt, welches Wetter ist. Es ist grauenhaft und wird durch den durchgängigen Vollkasko Staat befördert. Und dann wundert man sich, wenn überall die Kosten explodieren und die Bürokratie explodiert.

Deine Idee, die x Konten an einen Useraccount zu binden, ist sehr charmant. Halte ich für die beste Lösung. Ich fürchte aber, dass die Bank bzw. einzelne MA damit überfordert sein könnte(n).

du verdrehst es leicht: (auch wenn es unerheblich ist in der o.g. Sache)

SCA bei jedem Online-Kontozugriff = gesetzlicher Ausgangspunkt der EU.
SCA-freier Zugriff = gesetzlich vorgesehene Ausnahme.
Ob die Bank diese Ausnahme beim direkten Online-Banking nutzt, ist ihre Entscheidung.

Die 90 Tag beziehen sich auf die abrufbare Transaktionshistorie, nicht auf eine generelle TAN-freie Frist.
Die Frist für die erneute SCA wurde von ursprünglich 90 auf 180 Tage verlängert.

Die EU hat den SCA-Grundsatz geschaffen und zugleich die Ausnahmen geregelt.

Ich habe >10 Konten bei der gleichen Bank mit den gleichen Zugangsdaten. Es läuft alles über eine Nummer+Pin.

Bisher konnte ich mehrmals täglich alle Konten abrufen und musste nur alle 90 Tage eine Tan eingeben.

okay, aber wenn du doch nur 1x Zugangsdaten hast, dann halt aktuell 1xTAN je Zugriff

der Gründe in deinem Fall konnten doch ermittelt werden = sprich du musst aktuell damit leben

im muss PRO KONTO die Tan eingeben (=2FA in der App bestätigen).

Nicht pro Zugangsdatum

Aber doch nicht, wenn du die Konten über den Sync-Rundruf abrufst?!