Hallo,

Ich mache mir grad Gedanken darüber, ob es überhaupt möglich ist, die PIN sicher lokal abzuspeichern. Konkret geht es dabei um einen Service, der automatisiert im Hintergrund den HBCI-Datenbestand aktualisiert. Es ist somit nicht möglich die PIN mittels eines Userpassworts zu verschlüsseln. Welches Verfahren nutzen die einschlägigen kommerziellen Lösungen?
Würde man die Daten mittels eines statischen Schlüssels kodieren, wäre es Dritten sicherlich recht einfach möglich diesen aus den Binärdaten im Arbeitsspeicher wieder herzustellen, und die PIN zu dekodieren.

Vielen Dank für Eure Gedanken .

Ciao Robert

Gibt es überhaupt kommerzielle Lösungen, die unbeaufsichtigte FinTS Aktionen mit der Benutzer-PIN fahren?
Ich kenne das nur aus dem EBICS Bereich mit einem T-User.
Eine nicht kommerzielle Lösung - die das glaube ich tut - ist der Hibiscus Paymentserver.

Bei FinTS hast du sehr häufig die Situation, dass die PIN gem. Bedingungen garnicht gespeichert werden darf. Bei Zuwiderhandlung verhält man sich grob fahrlässig und hat im Schadenfall keinerlei Anspruch mehr. Egal ob der Schadenfall mit der PIN-Speicherung zu tun hatte oder nicht.
Allein aus dieser Sicht ist das eigentlich nicht zu empfehlen.
Und eine Bank kann solche Automatismen (mit gespeicherter PIN) relativ einfach erkennen oder zumindest stark vermuten.

Bei StarMoney ist es zumindest so, dass man die PINs mit einem geschützten Zugang zum Programm(Passwort) ablegen kann, und somit die sich wiederholenden Pinabfragen umgehen kann. Ich meine, ähnliche andere Programme bieten ähnliche Funktionalitäten an.

Speichern ja. Aber unbeaufsichtigte Nutzung ist ja nochmal was anderes.

Eine für meine Begriffe weitgehend sichere Lösung ist auch mit HBCI möglich. Man läßt sich von der Bank für diese Verwendung einfach eine (zusätzliche) PIN/TAN-Kennung einrichten, die nur Abruf ermöglicht und keine Transaktionen. Somit kann der Abruf automatisiert laufen und man muß sich keine Sorgen machen, denn selbst wenn die PIN irgendwie herausgefunden wird, kann damit kein Unfug gemacht werden.

Grüße, Michael

Nicht jede Bank spielt hierbei mit. Manchmal bekommt man pro Person nur einen Zugang. Ist ja auch logisch, denn mehr als einen Zugang braucht man immer nur dann, wenn man die Nutzungsbedinungen mißachten will. Nämlich für Automatisierungen und Weitergabe an andere.

Meingott, wie kann man nur so verbohrt sein, obnutzer?
Dein ewiges Missionieren hier ist absolut unnötig und am Thema vorbei. Du gehst - wie man unschwer lesen kann - allen Leuten hier maßlos auf die Nerven. Auch Deine ewige Besserwisserei nevt. Ständig irgend einen Kommentar ablassen, auch wenn Du vom Thema selbst keinerlei Ahnung hast.

Bist Du im richtigen Leben auch so? Wenn ja, dann tut mir Dein Umfeld leid.

Sorry, ich konnte mich jetzt ca. ein halbes Jahr zusammenreissen, aber heute musste ich mal meine Meinung schreiben.


P.S.: Alle Banken mit denen ich zu tun habe - und das sind einige - stellen problemlos mehrere Kennungen aus!

by the way: es gibt auch Banken bei denen das so nicht funktioniert! Ich kenne mindestens eine... Eingegrenzt auf den PIN/TAN Bereich wohlgemerkt.

Von daher passen die Aussagen von obnutzer schon.

Eine weitergehende Kommentierung ist weder zielführend noch nötig...

Od

Hallo obnutzer!



Wie kommst du zu so einer Unterstellung? Meine Sparkasse hat mir zwei Zugänge eingerichtet. Bislang hatte ich einen für sms-TAN, als ich dann vorwiegend über chip-TAN zugreifen wollte, bekam ich einen zweiten Zugang.

Viele Grüße
Rautka

Ich meinte einen zweiten Zugang mit dem selben Sicherungsmedium, also z.B. zwei mal SMStan für den selben Benutzer. Hatte ich vergessen zu erwähnen

@msa: Ich wollte nur darauf hinweisen, dass man das vorher mit der Bank klären sollte, weil es keine allgemeingültige Lösung ist mit mehreren Zugängen. Hat an der Stelle mit missionieren nichts zu tun.
Und da Robert eine Programmierung plant die nicht nur er benutzen wird sucht er allgemeingültige Lösungen und keine individuellen die mit großem Klärungsbedarf einhergehen.

@ obnutzer:

Wenn das etwas für "die Allgemeinheit" werden soll, dann hast Du natürlich recht, das sollte sich keinesfalls in "Randbereichen" bewegen. Ich hatte seien "Service" allerdings "technisch" gelesen, also im Sinne von "Windows-Service", der im Hintergrund läuft - und zwar nur für Ihn bzw. seine Firma. Also jedenfalls auf einem von ihm selber kontrollierten Rechner. Verkaufen würde ich so eine Lösung selbstverständlich auch nicht. Um das Dilemma mit den AGB nicht zu haben könnte man ja evtl. beim Start des Service die PIN von Hand eingeben und sie ist dann solange verfügbar, wie der Service im Hintergrund läuft... Wie konform mit den AGB das ist muß aber wiederum jeder selber entscheiden.

@ Rautka:

Sparkassen müssen generell zwei Zugänge anlegen, wenn zwei TAN-Verfahren benutzt werden sollen. Zumindest derzeit gibt das System von FI nur ein TAN-Verfahren pro Benutzerkennung her. Mir wurde das auch angeboten, als ich Chip-TAN zusätzlich zum Testen haben wollte.
Allerdings ist in einer Kennung ein TAN-Verfahren UND HBCI-Chipkarte (DDV) möglich.

Grüße, Michael

Stimmt nicht ganz. Die Benutzerkennung hängt am Teilnehmervertrag. Man kann mehrere Teilnehmerverträge anlegen = mehrere BKN's. Muss man aber nicht, man kann mehrere Sicherungsmedien in einen Teilnahmevertrag hängen = alle die selbe BKN. Ist Sache der Datenpflege des Instituts.
Was du meintest ist die Legitimations-ID. Die unterscheidet sich je PIN/TAN Verfahren.
In einer BKN sind somit beliebig viele PIN/TAN Verfahren und maximal eine Chipkarte möglich.

Was soll ich nun zu deinem Vorwurf sagen, ich hätte keine Ahnung? Ich glaube, in diesem Fall hattest du jetzt zweimal keine Ahnung. Wäre mal eine Entschuldigung nett.

Hi all,

also die Vorwürfe sind hier alle off topic. wenn jemand ein Problem mit dem andere hat, kann man das über private nachrichten klären, und hier erstmal den ball flach halten

Das mit den AGBs ist natürlich klar. Ich trage im Kopf die Umsetzung einer mobilen Lösung, die im Hintergrund die Kontodaten abruft, und über eine Notification den User darauf hinweist, dass Geld eingegangen, oder abgebucht worden ist. Die Details der jeweiligen Transaktion soll er sich dann über die App direkt anschauen können. smsTAN/mobileTan schließt sich dabei von selbst aus . Leider ist es nicht möglich bei Start des Service die Pin abzufragen, da das OS den Service bei akutem Resourcenmangel selbst beendet, und später wieder startet. Die Pin müsste dann immer wieder neu eingegen werden.

Ciao Robert

Allgemeine Infos wie HIBISCUS mit Benutzerdaten im allgemeinen und PINs im speziellen umgeht findet man hier: http://www.willuhn.de/wiki/dok…geschuetzt