Hallo,

bei der Postbank passiert es mir häufig, daß ich die eigentlich permanent gespeicherte PIN neu eingeben muß.

Das geschieht immer dann, wenn die Synchronisierung an irgendwelchen Aussetzern des Postbankservers scheitert (was gerade bei dieser Bank öfter mal vorkommt). Dann kommen Meldungen wie "... ::Der Dialog wurde abgebrochen.+9010::Das Verarbeitungssystem st" und die Synchronisierung wird abgebrochen.

Beim nächsten Versuch muß ich immer die PIN neu eingeben. Da ich weiß, daß diese Funktion ohnehin unbeliebt ist, bin ich mir nicht sicher, ob das ein Bug ist und verbessert werden kann oder ob es sich um Absicht handelt.

Viele Grüße
Kleinsparschwein

Mit unbeliebt hat das weniger zu tun. Die meisten Nutzungsbedingungen für das Onlinebanking sehen vor, dass Anmeldename, PIN, TAN usw. nicht permanent gespeichert werden dürfen. Tut man es dennoch kann es im Schadenfall ernsthafte Probleme geben. Hab es mal ganz vorsichtig formuliert.

Was mit der Technik des Speicherns aber nichts zu tun hat


Und Welche sollten das sein?

Viele Grüße

Holger

Mir war bewußt, daß ich mit dieser Frage ein Faß aufmache. Aber die Funktion gibt es nunmal zum Glück in Hibiscus und ich möchte sie nutzen.

Meine Argumente nur kurz:
- Die meisten Bankbedingungen sehen auch vor, daß man die PIN regelmäßig wechselt und sie nicht leicht zu erraten sein darf. Wenn ich mich daran halte, wie soll ich dann gleichzeitig dem hier auch schon gelesenen Rat folgen, sie auswendig zu lernen, gerade bei mehreren Konten? Oder soll ich sie auf einem Post-it auf den Monitor kleben?
- Beim Eintippen der PIN hoffe ich jedes Mal, daß mein System noch keinen Keylogger abbekommen hat. Das will ich mir nicht bei jeder Synchronisierung geben.

Meine Frage war wirklich technisch gemeint: Verbindungsabbruch - Hibiscus vergißt die PIN.
Kann man das ändern?

Danke
Kleinsparschwein

Hallo Kleinsparschwein,

das Problem ist immer der Grat zwischen Convenience und Sicherheit. Alle deine aus Conveniencesicht berechtigten Anmerkungen kann ich Dir mit Sicherheitssicht zerreden. Umgekehrt bekomme ich leider fast alles was sicher ist mit der Conveniencebrille zerredet.

Daher würde ich mich rein auf deine technische Frage konzentrieren. Ggf. gibt es hier ja einen technischen Grund, warum das so ist.

Viele Grüße

Holger

Ich kenne hier eigentlich nur einen einzigen Hardcore-Nichtspeicherer-und-Ständig-Selbereingeber: onlbanker. Das ist eines seiner Lieblingsthemen, wo er schon fast zu Missionieren anfängt

Zum Technischen: Ich gehe davon aus, dass das, was Du erlebst, kein Bug sondern ein Feature ist. Bei fast allen Onlinebankingsoftwaren ist es so geregelt, dass die gespeicherte PIN gelöscht wird, wenn irgendwas beim Dialog mit dem Bankrechner nicht klappt. Es gibt Fälle, wo der Zustand "falsche PIN" nicht klar aus den Fehlermeldungen hervorgeht, zumal wenn ein Dialog abgebrochen wurde und ggf. garkeine Fehlermeldungen mehr angekommen sind. In dem Fall kann die Software nicht wissen, ob die versuchte PIN falsch war. Um jetzt auf der sicheren Seite zu sein und nicht vielleicht beim nächsten Versuch mit dieser (evtl. falschen) PIN den Zugang zu sperren, wird die PIN gelöscht und der Nutzer muß eigenverantwortlich die richtige PIN eingeben. Wenn dann doch gesperrt wird, dann war's der Nutzer und die Software ist unschuldig...

Selbereingeber

Hallo msa,

was du schreibst, klingt plausibel. Aber diese "Vergeßlichkeit" würde ich trotzdem lieber ausschalten können. Bei der Postbank hat es meistens Servergründe, etwa weil er es montags nicht rechtzeitig aus dem Wochenende schafft

Und überhaupt: wer schützt mich vor den Leuten, die meine Kontonummer kennen und mich ärgern wollen? Die geben auf der Webseite meiner Bank dreimal eine falsche PIN ein und grinsen einfach.

Gruß
Kleinsparschwein

Tja, typischer Fall von "das Eine will man, das Andere muß man"

Ich kenne keine Software, die die PIN bei Unregelmäßigkeiten in der Übertragung nicht löscht. Aber Du könntest ja mal einen Feature-Request für Hibsicus stellen. Vielleicht mögen das mehr Nutzer und vielleicht bauen die Programmierer dann so einen "Auf-eigene-Gefahr-Schalter ein"...

Bis zu deinem Bericht war mir gar nicht bewusst, dass es eine Software gibt, die die PIN in solchen Fällen löscht.
Deine Erklärung warum Programme das tun "könnten" ist zwar durchaus nachvollziehbar wenn man sich auf ein paar Rahmenbedingungen einlässt, aber zwingend ableiten würde ich das so nicht.

Viele Grüße

Holger

Es ist schon plausibel, das nicht zu tun, auch wenn ich das ebenfalls gerne hätte. Insofern schließe ich mich dem Wunsch nach Nicht-Löschen an. Es ist echt arm bzw. kaum zu glauben, daß das HBCI-Protokoll keine eindeutigen Fehlermeldungen vorsieht, auf die man geeignet reagieren könnte. (oder die Banken sie nicht verwenden?)

9910 PIN ungültig, bitte richtige PIN eingeben
9942 PIN ungültig

Sicher gibt es diese Fehlermeldungen. Aber so wie ich mal einen Programmierer verstanden habe, kommen die nicht zuverlässig, zumindestens nicht bei allen Banken. Außerdem spätestens wenn ein Dialog abbricht und eben KEINE Fehlermeldung mehr zurückkommt, dann weiß man als Programmierer garnichts. Auch nicht, ob die letzte PIN-Eingabe den Fehlerzähler evtl. schon hochgesetzt hat... Versteht mich nicht falsch, mir ist das recht egal, ob die PIN gelöscht wird oder nicht. Mir wurde das nur als Begründung für die Löschung gegben und daran wollte ich Euch teilhaben lassen

Das kommt auf den Fall an. Fahrlässig würde das Verhalten wahrscheinlich mindestens bezeichnet werden.

Das muß jetzt sein: onlbanker, du näääääääavst!

Er hat gefragt, dann darf ich doch wohl antworten! Und darauf HInweisen sollte ebenfalls erlaubt sein, daran finde ich nichts Missionarisches.

Jaja, auf die letzte Frage schon. Aber mir gings grad drum, dass Du diese belehrenden Sprüche mit dem erhobenen Zeigefinger bei jeder sich bietenden Gelegenheit abläßt, auch wenn es in dem Thread absolut nicht um die Zulässigkeit und/oder den Sinn des PIN-Speicherns geht. Laß doch einfach mal die Leute in ihr Unglück (aus Deiner Sicht) rennen, wenn sie es denn wollen. Jeder der PINs speichert tut das, weil er es WILL und auch wenn er es nicht darf. Wenn er das nicht weiß, dass er es nicht darf, dann hat er sich nicht informiert, dann ist es ihm egal. Nimm das doch einfach mal hin! *seufz*

msa, ich finde jetzt nicht, dass du mich reglementieren musst. Der Threadersteller hat die PIN Speicherung in Hibiscus als unbeliebtes Thema bezeichnet. Mir war wichtig, das richtig zu stellen und daran ist weder etwas Missionarisches noch etwas belehrendes. Denn es soll m.E. nicht hängen bleiben, dass das an Hibsicus liegt. Es war lediglich eine kurze Aufklärung, wo das ganze Thema her kommt. Und aus der Tatsache, dass jemand die Nutzungsbedingungen nicht durchliest kann m.E. nicht der Schluss gezogen werden, dass jemanden nicht interessiert, dass er durch sein Handeln im Schadenfall ein Risiko eingeht. Dies ist ein Fachforum und ein Hinweis darauf muss erlaubt sein. Tut mir leid, wenn dich das nervt aber das hält mich nicht ab, etwas auch wiederholt zu erwähnen, wenn es mir wichtig erscheint.

Um den Thread hier jetzt mal zu beenden. msa hat Recht. Was er schreibt, ist genau der Grund, warum ich bei Fehlern den PIN-Cache leere. Sicher gibt es Fehler-Codes fuer "PIN falsch". Aber wie msa schon schreibt, kann es vorkommen, dass die Rueckmeldung gar nicht mehr beim Programm ankommt oder aufgrund eines Bugs im Programm nicht richtig ausgewertet wird. Und in der Abwaegung der beiden moeglichen Folgen: "PIN nochmal eingeben" auf der einen Seite und "Zugang unter Umstaenden gesperrt" halte ich die erste Variante fuer die bessere. Und nein, das ist nicht konfigurierbar. Ich finde, in einer Software muss nicht alles konfigurierbar sein.

Hallo onlbanker

Den wichtigsten Teil deiner Aussage hast Du nicht zitiert:

Daher noch mal: Welche? Das so ein Verhalten als fahrlässig bezeichnet wird (von wem?) ist erstmal reine Spekulation und kein ernsthaftes Problem.

Was hast Du den richtig gestellt? Du hast lediglich die richtige Feststellung getroffen, dass es in den Onlinebedingungen anders steht. Nur ein Softwarehersteller hat keine dieser Onlinebedingungen abgeschlossen. Dies macht „nur“ der Anwender. Wenn ich mir ein Auto kaufe, ist der Hersteller auch nicht dafür verantwortlich dass ich mich anschnalle, oder im Ort nicht schneller als 50 fahre.
Ob der Hersteller mir ermöglicht schneller als 50 zu fahren ist seine Entscheidung. Ob ich es mache meine.
Daher ist es auch Olafs Entscheidung als Entwickler, was er in hibiscus warum anbietet. Wie die, die hier länger dabei sind wissen, ist Olaf durchaus ein Verfechter von so sicher wie möglich und daher kein Freund der PIN Speicherung. Die Haltung ist völlig in Ordnung und absolut legitim. Wer das nicht will, muss dann eben eine andere Software nehmen, genau wie es umgekehrt für die anderen Produkte gilt, die damit ggf. etwas freizügiger sind.
Aber es ist schon ein Unterschied, darauf hinzuweisen, dass man das aus Sicherheitsaspekten ggf. nicht tun sollte und man es auch unterschrieben hat, das man es nicht macht, oder Horrorszenarien aufmalt, die es so in dieser Form nicht gibt, oder zumindest noch nie gegeben hat!
Das hat schon etwas min. Belehrendes .Missionarisches würde ich aber auch bei Dir blind unterschreiben insbesondere wenn man dich hier unter allen bisherigen Pseudonymen beobachtet hat und das ist ausnahmsweise mal in diesem Fall hier völlig ohne Wertung!

Viele Grüße
Holger

Das liegt aber auch glücklicherweise daran, dass es keine Schadensfälle bei FinTS/HBCI gibt.
Ich bin persönlich der Meinung: Die PIN speichern ist sicherer, als die jedes Mal einzutippen, weil Keylogger hier weniger Angriffsfläche haben.
Dahin zielen aber die Bedingungen nicht. Es geht eher darum, dass die reale Bedrohung: Ein untreuer Mitarbeiter (der unzufriedene Admin), der drogensüchtige Sohn, etc. nicht ans Geld kommt.
Offiziell zu empfehlen, gegen die Onlinebedingungen zu verstoßen, ist aber nicht ratsam, daher kann ich onlbankers Betrachtungsweise auch irgendwie nachvollziehen, dass man meinen könnte, eine Speichermöglichkeit "verführe" zu falschem Verhalten.

Das ist aber wirklich akademisch, deshalb schließe ich den Thread mal hier, das Thema sollte man nicht im Hibiscus-Forum ausbreiten.
Gruß
Raimund