Späten guten Abend Leute,

anbei meine Gewissensfrage und mein Problem. Ich möchte meiner Mutter online banking einrichten, für drei Geschäftskonten. Bisher machte ich es immer selbst, aber ich denke das mit etwas Übung, das für Sie auch kein Problem sein wird, nach ein paar Monaten. Sie ist " 62 Jahre Alt".

Mein Freund aus dem IT-Bereich sagt, dass das einzige ware sichere Verfahren HBCI ist. Er und seine Frau verwenden das, plus der Software lexware.

Ich selbst mache normales Pin/Tan Verfahren im Moment und bin Raiffeisenbank Kunde. Finde die Bedienung des Programmes ganz einfach und bequem.

Lexware hat wieder etliche Funktionen die ich nicht brauche und die meine Mutter nur unsicher machen würden, denke ich.

Nun meine Frage ist das Pin / Tan Verfahren wirklich so unsicher und bedenklich wie er sagt?

Muss noch sagen, auf dem Rechner meiner Mutter werden keine Mails abgerufen. Es läuft ein Rechnungsprogramm und das war es. Zusätzlich werde ich noch Gdata drauf machen.

Was meint Ihr, soll ich mit HBCI Verfahren anfangen? Oder ist Pin/Tan ausreichend?

Falls HBCI doch unumgänglich ist. Was habt Ihr für Software Vorschläge für mich/uns. Sollte ohne viel schnick schnack sein. Einfach, schlicht, schlank.

Lexware hat mir für diesen Zweck ein bissel zuviele Möglichkeiten.
VR Networld habe ich hier auch noch liegen, aber vll gibts noch Empfehlungen von eurer Seite aus.

Auf jedenfall bin ich mal gespannt in Sachen HBCI oder PIN/TAN.

Mein Bankberater sagt, ich soll das PIN/TAN machen. Weil es total sicher ist, solange man nicht auf P...seiten surft oder Pishing Mails öffnet.

Mein Freund sagt, HBCI.... alles andere ist ein Freifahrtschein für Betrüger.

Tja, was soll ich machen?

Beste Grüße, Thomes

Hallo Thomes,

es ist immer die gleiche Gretchen Frage:
Was versteht man unter sicher... Da das hier schon oft diskutiert wurde nur ein paar Stichworte:

- Softwareprodukte sind bisher von Angriffen weitestgehend verschont geblieben (es gab bisher nur einen öffentlich gewordenen Versuch eine Software auszutauschen).
- Hauptangriffsziel ist derzeit das Internetbanking und dort vor allem mit dem Internet Explorer.
- Kryptografisch ist HBCI mit Schlüsseldatei oder Chipkarte derzeit das sicherste Verfahren. Aber hier erfolgt auch gar nicht der Angriff.
- Verfahren sind immer dann als sicher einzuschätzen:
- wenn Du als Anwender die Möglichkeit hast, Manipulationen vor der Freigabe (z.B. TAN Eingabe) sicher zu erkennen und deine Freigabe (z.B.TAN) ausschliesslich für den Auftrag verwendbar ist, denn Du vorher kontrollieren konntest.

Das heißt
PIN und TAN sind sicher, wenn die oben genannten Kriterien erfüllt sind. Das gilt insbesondere für die Verfahren
- mobile TAN (oder mTAN oder SMSTAN)-> hier uneingeschränkt nur bei der Verwendung alter Telefone, Sm@rt TAN plus (oder chipTAN)
Das gilt insbesondere nicht papierhaften TANs wie z.B. indizierte TAN Verfahren
Die Verwendung einer Software minimiert zusätzlich das Risiko

Die Verwendung Chipkarte (wird oft mit HBCI gleichgesetzt), ist im Internetbanking nicht sicher, es sei denn es wird ein spezielles Lesegerät (SECODER) eingesetzt und die Bank unterstützt die sichere Anzeige im SECODER (Derzeit nur bei den Volksbanken und Raiffeisenbanken die am Rechenzentzrum GAD "hängen").

Also
Bleib bei deiner Software, wenn Du mit der zufrieden bist und bleib beim PIN\TAN Verfahren, wenn es nicht die indizierte TAN ist (wird bei den verbliebenen Volksbanken und Raiffeisenbanken eh abgeschaltet).

Viele Grüße

Holger

Hallo Holger,

vielen Dank für die schnelle Antwort. Wenn ich Dich jetzt richtig verstanden habe, dann benutze ich im Moment das falsche Verfahren. Da ich denke dass ich das indizierte Tan Verfahren habe. Also ich habe eine Tanliste mit den Nummern 1-180 hinten dran. Und pro Auftrag wird dann eine Zufalls Zahl gewählt. Hinter der dann der Tan steht. Verstehe ich Dich richtig, dann habe ich das ITan Verfahren wo falsch ist?

Beste Grüße, Thomes

Hi Thomes,

ok, d.h. deine Bank hat als Rechenzentrum die FIDUCIA. Die bieten derzeit die mobile TAN und das indizierte TAN Verfahren an. Ab November wird hier aber zusätzlich das Sm@rt TAN plus Verfahren in der neusten Version 1.4 (zum Vergleich, die Postbank führt jetzt die 1.3.2 ein) eingeführt. Ggf. einfach mal bei deienr Bank nachfragen, ob Sie in der ersten Umstellungsphase dabei ist.

Viele Grüße

Holger

Hallo Holger,

genau " Fiducia" habe ich als Rechenzentrum.

Danke für Deinen "Tip"!

Werde gleich die Woche mal auf der Bank nachhaken. Nach dem Smart Tan plus Verfahren.

Habe erst vor zwei Monaten mit ihm gesprochen und speziell nach einem anderen Verfahren gefragt. Er empfahl mir bei I-Tan zu bleiben.

Na ja, bestimmt hat er vergessen mich zu informieren. Das etwas neues kommt und das zukünftige Smart Tan plus zu empfehlen, lächel.

Er ist speziell für online-banking zuständig!

Vielen Dank und beste Grüße, Thomes

Und der empfiehlt iTAN?
*Autsch*
Der muss dringend zur Fortbildung. Haste seinem Chef das mal mitgeteilt?

->

aber total! :mrgreen:

Jo komm. Die Fiducia "Itan" hat im Internet ein Kontrollbild. Das würde ich nicht als Sicher betiteln, weil dies Kunden gerne mit "sorglos bankern" interpretieren. Faktisch hat man mit dem Kontrollbild aber eine Prüfmöglichkeit, die MitM erkennen lässt.

????
Verstehe ich nicht.
Habt Ihr da transaktionsbezogene Daten mit drin?
Für mein Verständnis schützt das nur dagegen, auf einer nicht "echten" Seite (=Pharming) eine TAN Preis zu geben. Aber nicht davon, dass ein mitm Trojaner die Daten der Überweisung "verbogen" hat.
Oder hab ich da was nicht begriffen?

Späten guten Abend Leute,

@Michael
@problem7

naja, ich werde Ihn lieber freundlich fragen, lächel. Weil ich auf die angewiesen bin.

Er ist übrigens der Chef in Sachen Online auf der Hauptstelle plus Nebenstelle. Es gibt keinen anderen Ansprechpartner.

Spezielle Zusatz Software habe ich keine. Ich logge mich ganz normal online ein.

Freundliche Grüße, Thomes

P.S.: Denke hab die normale Standardabsicherung. Firefox, Gdata, Firewall.

nein, da werden lediglich personenbezogene daten angezeigt wie z.b. geburtsdatum usw.

korrekt!


die schwachstelle ist immer der kunden-pc nicht das verfahren! das verfahren selbst kann man als sicher bezeichnen, aber auch nur, weil es viel einfacher ist, den pc zu knacken als das verfahren selbst, deshalb finde ich die aussage deines "chefs in sachen onlinebanking" bei den heutigen angriffsszenarien doch etwas mutig!

wenn du schon ne software hast, würd ich diese auch nutzen, die vr-networld software ist für privatkunden konzipiert und sollte demnach nicht gerade deinen funktionsrahmen sprengen!
:mrgreen:
trotzdem würd ich zusätzlich entweder auf die mobileTAN wechseln, oder auf smart-tan optic warten (entweder november 2010 oder märz 2011, je nach kartenausstattung deiner bank), einfach weil du hier über einen zweiten weg deine daten kontrollieren und eine dafür gebundene tan erzeugen kannst.

gruß problem7

@Problem7: Bei mir wird im Kontrollbild das Geburtsdatum, der Geschäftsvorfall, Empfängerkonto und Empfänger-BLZ angezeigt.

Wenn also am Bankrechner ein anderer Auftrag ankommt, müsste ich das als Kunde erkennen können. Sofern ich es auch prüfe (=kein Selbstläufer).

@thomes: Ich würde bei deiner Mutter auf jeden Fall eine Software einsetzen. Dies gewährt euch längere Speicherfristen bei Umsätzen (was einmal in die Software abgerufen wurde, bleibt ja erhalten.) Das Internetbanking kann nur eine gewisse Zeit in die Vergangenheit abrufen. Ausserdem seid ihr dann den Browser als Angriffsfläche los.
Meiner Meinung nach könnt ihr bis zur Einführung der Smart-TAN auch den iTAN-Bogen in der Software nutzen.

OK, so kenne ich es auch und so bieten wir es auch an.
Allerdings schon ziemlich unvorsichtig von Zimmi, darin eine Prüfmöglichkeit gegen m-i-t-m Trojaner zu sehen. Ich meine, für wen ist das Prüfbild: Für diejenigen, die nicht in der Lage sind, Pharming schon aufgrund der Formulierung auf der Seite, ihres Aufbaus und des schlechten Deutsch zu erkennen. Also quasi wirklich für extrem unaufmerksame und ungeübte Kandidaten. Dem Durchschnittskunden - so meine Praxiserfahrung - fällt auch ohne Prüfbild auf, dass er sich nicht auf einer Banking-Seite befindet und hört dann auf.

Mit Trojanern und man-in-the-middle Attacken hat das alles aber reichlich wenig zu tun, das sind zwei komplett andere Themengebiete. Trojaner stellen aber das aktuelle Bedrohungsszenario dar und dagegen hilft auch kein Prüfbild, weil die Kompromittierung durch einen Trojaner an einer ganz anderen Stelle stattfindet.

Ich finds einfach nur daneben, jemanden zur Fortbildung bzw dessen Vorgesetzten schicken zu wollen, obwohl man das eingesetzte TAN-Verfahren nicht einmal kennt.

Die Reaktion von David, der am selben Rechenzentrum hängt, verstehe ich noch weniger. Wie sollte uns ein Kontrollbild helfen, auf dem lediglich das Geburtsdatum steht?!?

Und ihr wisst genau, wie schnell ein Kunde unfreiwillig was in den falschen Hals bekommt. "Das Verfahren ist total sicher" war vielleicht mal die Aussage "Sie haben eine Prüfmöglichkeit für ihre Aufträge, die Veränderungen erkennen lässt".

Dass es nur bei Kunden hilft, die sich auch Gedanken machen, ist mir auch klar.

Die Empfehlung zur Schulung bezog sich auf Leute, die iTAN für sicher halten. Von iTAN mit Prüfbild war zu diesem Zeitpunkt nicht die Rede und das kann ich auch nicht riechen. Sehr verbreitet ist das Prüfbild ja nun nicht wirklich.


Ja, was ist denn nun im Prüfbild alles drin? Nur personenbezogenes oder auch transaktionsbezogenes? Klärt uns doch mal auf

Dann informier dich bitte beim nächsten Mal. Thomes bestätigte, dass er bei einer Fiducia-Bank ist. Mehr muss man nicht wissen, um auf das Prüfbild schließen zu können.

Das Prüfbild ist bei allen Fiducia-Banken im eBanking über die Webseite automatisch im Einsatz.

Bei einer Einzelüberweisung z.B. werden Geschäftsvorfall "Überweisung", Betrag, Empfänger-Kontonummer sowie Empf. BLZ angezeigt.

Gruß

ok, mein fehler, hab seit jahr und tag mobileTAN und da wird nix angezeigt. ops:

trotzdem, die kunden die das wirklich prüfen kannst du leider an einer hand abzählen. für kunden die wissen worauf sie achten müssen und auch entsprechend mit den daten und ihrem pc umgehen ist das klar sicher und auch kein problem, itan aber als das non-plus-ultra, wie oben beschrieben, anzubieten find ich nicht richtig.
zumindest müsste dann auf die gefahren und alternativen aufmerksam gemacht werden und nicht nur "stempel drauf, das ist das beste"

gerade wenn er schon darauf aufmerksam macht, dass seine mutter damit arbeitet, setze ich sowas vorraus!

war mir nicht mehr sicher was genau alles aufgelistet wird, daher geburtsdatum...etc.
aber habs oben ja schon geschrieben -> ops:

Ist mir bewusst



Ich persönlich würde dies auch nie behaupten, sondern sehe das wie du! Das Prüfbild ermöglicht Kunden, die das System verstanden haben, einen Betrug zu erkennen. Der Rest tappt bei MitM gnadenlos in die Falle. Wir streiten hier allerdings über eine Aussage, die lediglich Thomes gehört hat. Und dies finde ich übertrieben.

Thomes hat von uns nun weitere Meinungen zum Thema bekommen und wird damit denke ich auch eine Lösung für sich finden können.

so is es! :mrgreen: