Guten Abend euch erst einmal,

ich habe einige Fragen bzgl. dem Thema FinTS/HBCI mit Chipkarte und vor allem Secoderfunktion.

Ich habe mich schon so weit es ging selber schlau gemacht, da ich hier eigentlich niemanden nerven wollte, aber ich stoße gerade etwas an meine Grenzen.

Obwohl der Standard steht, unterstützen aktuell nur die Genossenschaftsbanken die Funktion Transaktionsdaten anzuzeigen und genauer gesagt die GAD angebundenen Banken. Richtig? Nix mit Sparkassen, oder irgendeiner Privatbank?
Die ursprüngliche GAD scheint aber 2015 in der Fiducia & GAD IT aufgegangen zu sein und woran kann ich nun erkennen, welche Genossenschaftsbanken an dieses Unternehmen angeschlossen ist? Vorher gab es ja zwei Unternehmen.
Oder sind nun alle an die Fiducia & GAD IT angebunden? Zählt dies auch für Sparda-Banken, PSD, etc. Banken - also für den gesamten BVR Verband?
Ich konnte auf der Internetseite der Fiducia & GAD IT leider keine Liste mit den angeschlossenen Banken finden, aber so eine Übersicht würde mich schon interessieren, damit ich weiß woraus ich wählen könnte.

Mit einem Homebanking Programm erhalte ich doch die Funktion elektronische Kontoauszüge zu nutzen, aber muss ich diese dann auch nutzen, oder kann ich einfach den Finanzstatus abrufen, wie beim Onlinebanking und weiterhin Kontoauszüge ausdrucken?

Ich bin auch bereit etwas für das Konto zu bezahlen, da ich einfach nur die volle Funktionsbreite nutzen möchte - leider hatte die Beraterin bzw. Servicemitarbeiterin vor Ort in einer großen deutschen Volksbank (ich will jetzt keine Namen nennen) keine Lust und behauptete zuerst, dass HBCI nur für Geschäftskunden ist und nach dem Hinweis, dass ich nicht von EBICS spreche, meinte sie nur, dass sie jetzt keinen Fachmann holen wird, da ich kein Kunde bin - aber dies wäre die Voraussetzung für mich Kunde zu werden^^.
Ich will jetzt nicht über Banken urteilen, aber dies war dann der Ausschlag mich etwas damit zu beschäftigen - vorher wusste ich noch nichts von GAD etc. Eventuell würde ich auch nochmals hingehen, aber ich werde bei solchen Erfahrungen immer recht lustlos. Wahrscheinlich hatte die Mitarbeiterin auch keine nur keine Lust. Hauptstadt müsste ausreichen, oder Ich habe heute erst erfahren, dass es bei mir in der Stadt auch eine Filiale der GLS Bank gibt. Könnte es hier dann funktionieren, wie ich es mir vorstelle?

Vom Übertragungsweg mal abgesehen, wie sicher sind eigentlich die Programme? Ich weiß, dass der PC auch angreifbar ist, aber sind die Datenbanken der großen Programme wie Starmoney, VR Net eigentlich verschlüsselt?

Die letzte Frage ist mir fast etwas peinlich, aber hat sich in den letzten Jahren irgendetwas am Standard geändert? Ich habe nämlich als der neue Personalausweis herauskam und ich noch Abonnent einer Technikzeitung war, automatisch an einer Verlosung teilgenommen und einen cyberJack® RFID Standard gewonnen, aber der ist mittlwerile von 2010.
Besteht da irgendein Unterschied zu den heutigen Klasse 3 Geräten, oder kann ich den hierfür nutzen?

Danke euch

EDIT: Etwas habe ich noch vergessen. An Nutzer von Homebankingsoftware. Könnt ihr euch dann noch ins Onlinebanking einloggen bzw. müsst ihr dies überhaupt noch? Daueraufträge, Freistellungsaufträge etc. läuft dies dann auch alles über die Software oder muss man dies dann mit Papierformularen machen?

Hallo MK,
willkommen bei uns.
ja, das stimmt. Die Sparkassen kommen womöglich dazu, aber der Druck durch Sicherheitsprobleme ist aktuell im HBCI-Bereich ja nicht vorhanden.
die Bankenlisten-Datei auf hbc-zka.de sollte gepflegt sein, da sieht man das am einfachsten an der Domäne. Da die Secoderfunktion aktuell nur bei Geno-Produkten implementiert ist, sollten VR-NetWorld Software und Profi cash die Bank auch kennen. Technisch sind die Banken im FinTS und Onlinebanking-Bereich noch getrennt, erst bei EBICS zieht die Technik gerade in ein Rechenzentrum.
ja, das kannst du so nutzen, wie du es brauchst. Es gibt Banken, die bieten Konten günstiger an, wenn die PDF-Erstellung genutzt wird.

das ist schon ein schlechtes Bild, was die Kollegin dort abgegeben hat, womöglich hat sie einfach keine Ahnung oder es ist tatsächlich Geschäftspolitik der Bank.
ist siedann ist es eine Fiducia-Bank gewesen
das sollte klappen, aber die Technik sollte doch nicht dein einziges Motiv sein, sich für diese Bank zu entscheiden...

ja, das ist inzwischen Standard. Die Verschlüsselung ist aber nur ein kleines Hindernis für Betrüger, essentiell ist die PC-Sicherheit.

kein schlechter Gewinn. Es gibt schon Unterschiede, aber das Gerät untertützt noch alles nötige, wenn du die Firmware auf den aktuellen Stand bringst.

Es gibt gerade bei GAD-Banken einige Dinge, die nur über das Webbanking funktionieren, z.B. Freistellungsaufträge oder auch Kontoeröffnungen etc.. Auch der Postkorb, eine Art Mailsystem, in dem auch die PDF-Kontoauszüge monatlich automatisch eingestellt werden können, kannst du nur mit dem Webbanking erreichen. Das soll zwar in FinTS/HBCI kommen, aktuell geht das aber noch nicht. Deshalb empfehle ich gerne beides, wenn man diese Funktionen nutzen möchte.
Um dich nicht zu verwirren: Bei den Kontoauszügen, die du per FinTS-Software holst, wird der Postkorb nicht verwendet. Die PDF-Auszüge werden angefordert, kommen also nicht automatisch von der Bank. Die Kundinnen und Kunden müssen sich entscheiden. Vereinfacht: Im Postkorb der Bank bleiben die Auszüge solange der Bankzugang existiert, im Zahlungsverkehrsprogramm, solange deine Backups existieren

Gruß
Raimund

Hallo und danke für deine Antwort und den Willkommensgruß



Dort habe ich mal schnell nachgesehen und bin auch fündig geworden. Also bei Banken, bei denen "Fiducia & GAD IT AG" und eine "hbci.gad.de" Adresse steht dürfte alles klargehen.
Mal von den Werbesprüchen abgesehen, Papier ist ja bekanntlich geduldig, gibt es irgendwelche bekannten Probleme bei den anderen Produkten bzgl. der Secoderfunktion? Du hast ja geschrieben, dass nur Genoprodukte diese Funktion implementiert haben, aber das Programm mit dem Stern wirbt doch auch damit?



Natürlich wäre die Technik nicht mein einziger Grund , die Informationen auf der Internetseite sind zum großen Teil schon überzeugend für mich, paar Fragen habe ich noch, aber die kläre ich dann evtl. in der Filiale, aber ich möchte dieses System jetzt wirklich gern nutzen und dies war auch mit meinem Ausdruck "Konto muss nicht kostenlos sein" gemeint.
Zweigstellen machen aber keinen Unterschied, oder? Also GLS Bochum, GLS Berlin etc. GLS "Online" Köln - ich könnte überall in Deutschland den Secoderstandard nutzen? Für den Falls, dass ich mal umziehe. Mich wunderte es nur, da du geschrieben hast, dass die andere Bank Fiducia sei, aber bei dieser Bankenliste von hbci-zka wurde sie als Fiducia-GAD angezeigt, oder hast du einfach nur abgekürzt?^^


Also müsste ich jede Genobank einzeln prüfen, die evtl. in Frage kommen könnte - auch wenn es nicht wirklich viel mehr, als die aufgezählten sind, aber der Fall ist es trotzdem?


Ja habe mich selber damals über den Gewinn gewundert, aber da der neue Ausweis nicht wirklich genutzt wird, lag er auch oft nur rum. Okay. Gibt es denn hier irgendwelche Dinge, auf die ich in den nächsten Jahren achten muss. Secoder 2 Zertifikat dachte ich reicht aus.


Zu deinem letzten Punkt. Beantrage ich dann zusätzlich den Zugang zum normalen Internetbanking und ein Zugangskennwort, oder erhalte ich den Zugang automatisch und die Authentifizierung läuft dann auch über die Chipkarte/ Signaturdatei?

Wenn ich mich nicht irre, war es doch so, dass bei aktivierten elektronischen Kontoauszügen keine Drucker der Banken mehr genutzt werden können. Ich möchte mir eigentlich den Papierkram vermeiden, aber ich hatte schon einmal das Pech und einen Ausfall - glücklicherweise hatte ich zwar ein Backup, aber irgendwie würde ich trotzdem ungern drauf verzichten.
Die Umsatzfunktion etc. funktioniert über das Programm aber trotzdem, da die eigentlich unabhängig davon sein müsste, oder?

Bisschen merkwürdig finde ich diesen einen Umweg übers Webinterface schon - da muss man die Sicherheit, die man eigentlich gewählt hat ja doch wieder verlassen - okay nicht so oft, aber irgendwie wäre es schöner, wenn alles übers Programm laufen würde.

Generell kann man folgendermaßen einteilen:
GAD war das Rechenzentrum der Volksbanken/Raiffeisenbanken im nördlichen Teil Deutschlands.
Fiducia war das Rechenzentrum der Volksbanken/Raiffeisenbanken im südlichen Teil Deutschlands.

Es gibt insbesondere kleinere Banken, die kein eigenes Rechenzentrum betreiben, und deswegen irgendwo Kunde werden und dort "rechnen lassen". Solche "Fremd"-Kunden gibt es sowohl bei GAD als auch bei Fiducia. Derzeit sind die beiden Rechenzentren noch weitgehend getrennt und haben auch völlig verschiedene Banksysteme und damit Angebote (sowohl im Kunden-Onlinebanking als auch im Banksystem selbst). Man wird das aber wohl mit der Zeit Schritt für Schritt zusammenlegen, um nur noch ein System pflegen zu müssen. Was davon überlebt und was vom jeweils anderen Partner übernommen wird, muß man abwarten. Bei den Sparkassen war es ja auch so, daß es am Anfang eine größere Anzahl von Regiona-Rechenzentrumsunternehmen gab, die in Wellen miteinander fusioniert haben - am Ende wars dann nur noch EINES FÜR ALLE - die FI. Bei den VR-Banken ist es genau das Gleiche.

Sowohl für GAD als auch für Fiducia gilt, dass der Web-Zugang und Zugang über HBCI PIN/TAN eine Sache mit bestimmten Zugangsdaten ist. HBCI per Schlüsseldatei oder Chipkarte ist davon völlig getrennt und hat komplett andere Zugangsdaten und Möglichkeiten. Für manche Dinge ist das Eine praktischer, für andere das Andere. Und manche Dinge sind eben NUR im Webbanking möglich. Beispiel: Das Abrufen von Umsätzen ist via HBCI PIN/TAN sehr viel bequemer, weil man nicht für jeden Abruf eine Karte stecken und die Karten-PIN eingeben muß. Für das Senden von Aufträgen ist HBCI Datei/Karte bequemer, weil man nicht mit TANs hantieren muß. Es macht also durchaus Sinn, beide Zugänge zu haben und fallweise zu verwenden.

Von wegen der Sicherheit: Auf den verschiedenen Zugängen kann man verschiedene Verfügungslimits setzen lassen. Wenn Du also partout dem WebBanking mißtraust, dann hindert Dich keiner dran, da z.B. nur ein Tageslimit von 100 EUR setzen zu lassen. Dann kann "nichts passieren". Wobei Du dann aber auch so mitunter praktische Dinge wie giropay oder zukünftig paydirekt oder auch Sofortüberweisung.de nicht machen kannst, weil das ja nur über Webzugangsdaten funktioniert. Was man aber auch sagen muß: Das Verfahren chipTAN bietet eigentlich die gleiche hohe Sicherheit wie Dein Secoder - auch dabei werden im Display des TAN-Generators die Auftragsdaten, die der BANKRECHNER erhalten hat, angezeigt. Also nix mit "man in the middle" - vorausgesetzt daß man dei angezeigten Daten auch liest und prüft und nicht einfach nur OK drückt, was aber beim Secoder natürlich auch gelesen werden muß.

In Deinem Originalposting hattest Du nach Sparda gefragt - die sind zwar früher mit dem VR-Logo aufgetreten (jetzt schon länger nicht mehr), haben aber nie bei VR rechnen lassen. Sparda hat ein eigenes Rechenzentrum, die SPARDA DV in Nürnberg.

Insgesamt kannst Du in der Bankenliste an den Domains für Onlinezugänge recht gut sehen, an welchem RZ die jeweilige Bank hängt.

Die Frage zum Webzugang kam nur deshalb auf, da ich im Internet widersprüchliche Informationen bekommen habe und gerade die angesprochene GLS Bank hat auf Ihrer Internetseite ein Weblogin für Kennung/ Tan und Chipkarte - jedenfalls steht es dort so.


Kann man die nicht für die gesamte Nutzungsdauer stecken lassen und nur immer wieder neuquitieren?



Wäre für mich kein großes Problem, da ich in Deutschland Lastschrift und Rechnung nutze und fürs Ausland meine Kreditkarte sowie PayPal habe und falls die ersten zwei mal nicht nutzbar sind, habe ich ja doch noch meine KK und PayPal - also so großes Verlangen habe ich nach den Diensten nicht und Datenschutz hmm durch die KK kommen meine Daten eh schon in die USA - also vor NSA schützen ist da nichts mehr durch PayPal-Verzicht.


Die Hardware vielleicht, aber was mir an HBCI so gefällt, ist die Loslösung vom Webinterface durch das Homebanking und die eigenen Anwahladressen.


Die Verwirrung kam wahrscheinlich vom BVR, der bei der Sicherung damit wirbt, dass alle "genossenschaftlichen FinanzGruppe " Institute angeschlossen sind. Komische Formulierung dann.

t

Man KANN alles tun, was man will. Allerdings wird gerade von den Banken immer geschrieben (oft auch in den AGBs), dass die Chipkarte bei Nichtnutzung nicht steckenbleiben soll und sicher verwahrt werden muß. Das Entfernen der Chipkarte wird als eines der grundlegenden Sicherheitserfordernisse angesehen. Die genannten Programme der VR-Gruppe sehen das auch so. Zumindest VR-Networld fragt beim Beenden jedes Mal nach, ob man nicht vergessen hat, die Karte zu entnehmen und sicher aufzubewahren. Nervtötend, wie ich finde.


HBCI PIN/TAN ist auch völlig "losgelöst" vom Webinterface und hat auch eigene Anwahladressen, weder die vom Web noch die von HBCI Chipkarte/Schlüsseldatei. Das Einzige was es mit dem WebBanking "verbindet" sind die Zugangsdaten, die eben sowohl hier als auch da einsetzbar sind.

Stimmt. Ich meinte natürlich nicht, dass man das Programm stundenlang anlässt und die Karte dabei drin lässt, während man bei YouTube oder ebay ist, aber dein Satz weiter oben hat sich so gelesen als ob es so abläuft
"Klick auf Umsätze" --> Karte einführen und Pin --> Karte entfernen ---> "Klick auf Überweisung" ---> "Karte einführen und Pin" ---> Karte entfernen "Überweisung bestätigen"... und so weiter. Man wird doch mal zwei Schritte nacheinander machen können.



Ich dachte du sprichst vom Chiptan und Webinterface, aber auch bei HBCI/Tan ist für mich keine wirkliche Loslösung zu erkennen, da es die gleichen Zugangsdaten nutzen und außerdem habe ich hier mal die Spezifikationen nachgesehen und dort steht

"Im PIN/TAN-Verfahren ist eine Verschlüsselung nach kryptographischen Verfahren aus [HBCI] nicht möglich. Stattdessen ist zwischen Benutzer und Kreditinstitut beim Nachrichtentransport eine Transportverschlüsselung einzusetzen, um so den Inhalt der Nachrichten gegenüber Dritten zu schützen"

Bei der Chipkartenversion bzw. Signaturdatei sieht es wieder ganz anders aus. Der gesamte Dialog und deren Daten ist verschlüsselt und zusätzlich noch die elektronische Signatur.

http://www.hbci-zka.de/spec/4_1.htm

Bei PIN&TAN wird die "übliche SSL-Verschlüsselung" (TLS... natürlich) genutzt, die aber anerkannt ist und noch Jahre ausreichen sollte. Da beinahe alles über diese Verschlüsselung läuft, genießt sie auch besonders viel Aufmerksamkeit von Kryptologen und Sicherheitsspezialisten. Die Programme/Browser nutzen die ja zwangsläufig, weil der Bankserver sonst keine Verbindung akzeptiert.
Bei der Signaturdatei würde ich eine Schwachstelle in der Kopierbarkeit des Mediums sehen, bei der HBCI-Chipkarte ist das natürlich anders.

Aktuell kann dir übrigens die GLS Bank als GAD-Bank noch das Secoderverfahren über den Browser anbieten, was wir als Option noch nicht betrachtet haben. Die Zukunft ist aber unsicher, da die Fiducia das Verfahren nicht hat und kaum jemand in die Sicherheitstechnik investiert hat und es auch sehr aufwändig ist, weil der Browser um Plugins erweitert werden muss. Diese muss man über einen gesicherten Kanal erhalten, also üblicherweise auf CD. Empfehlen würde ich dir das keinesfalls mehr, da würde ich eher in einen TAN-Leser investieren, falls man mal das Browserbanking nutzen möchte oder muss.

Gruß
Raimund

Um welche Nutzungsart geht es eigentlich? privat/Verein/geschäftlich
wie viele Überweisungen werden getätigt?
wie viele Lastschriften werden selbst durchgeführt? bspw. wegen Mandat-Verwaltung usw.
Anzahl der Bankverbindungen oder Konten

Bankenwechsel: wo bisher, warum soll dieser erfolgen, was hat einen gestört usw.
Software: ist diese vorhanden, wenn ja welche bzw. für die Zukunft welche ist angedacht?

Hey danke für die Antworten.

Ich wollte ja nicht sagen, dass HBCI mit dem PIN/TAN Verfahren unsicher ist, sondern nur auf die Unterschiede hinweisen - also Transportverschlüsselung, elektronische Signatur, Verschlüsselung des Dialoges und der Inhalte.



Danke dir, genau dies habe ich weiter oben gemeint, also müsste man entweder dieses Verfahren nutzen, oder neben HBCI- Chipkarte noch zusätzlich das Pin/Tanverfahren (egal über welches Medium jetzt). Viele Banken wollen für Änderungen wie z.B. oben erwähnte Aufträge ja eine Bestätigung und meistens ist dies dann ja der Tan, wenn du das andere Verfahren nicht empfehlen würdest. Also würde man sowieso beides brauchen, oder Papierformulare?


Ich bin auch nicht resistent gegen Kritik oder Anmerkungen. Ich möchte mich nur kundig machen.


Privat.

Habe ich bisher noch nicht gebraucht, ob es je kommt weiß ich nicht, aber bisher unerheblich.


Überweisungen kommen bei mir unregelmäßig vor - mal sehr wenige 5-10 im Monat und mal sehr gehäuft. Mir geht es bei dieser Software auch eher darum, dass ich alle meine Verbindungen gesammelt habe und somit einen guten Überblick über die aktuelle Situation habe. Sicherlich würde dies auch anders gehen, aber ich dachte mir warum - vor allem da ich ja schon den Leser hier rumliegen habe.
Bei eigene Konten wollte ich zuerst nur eine geringe Zahl schreiben, aber dann viel mir auf, dass ich manches vergessen habe bzw. es gar nicht als "Konto" definiert hatte. Giro, Kreditkarten, Sparkonten, Depots (manche Programme sollen auch Versicherungen und anderes Zeugs anzeigen lassen können, aber ob ich dies nutze weiß ich nicht wirklich). Reine Konten dürften es 8-9 sein - hängt bisschen von den Sparkonten und den Kreditkarten ab. Von diesen können wohl manche nur per Screen Scraping eingebunden werden. Der ganze Rest hmm weiß ich noch nicht.

Wo ich noch am überlegen bin, ist zwei getrennte Datenbanken zu nutzen und somit könnte ein Familienmitglied dies auch nutzen.


Hat zwar auch etwas mit dem Angebot von HBCI per Chipkarte bzw. Secoder zu tun, aber ich bin umgezogen und habe nun einfach mehr Auswahl. Bei mir gab es vorher nur Sparkasse - nix anderes.
Bei den Genos gefällt mir das Mitgliedersystem - hat jetzt aber wenig mit Onlinebanking zu tun.


Noch keine vorhanden und wirklich angedacht auch nicht, allerdings weiß ich noch nicht, ob ich in Zukunft die Sache mit getrennten Datenbanken und Scrapin von mehren Diensten nutzen würde, also würde ich mir dies gerne freihalten.
Außerdem hatte ich ja gefragt, ob es Vorteile hat Genossenschaftsprodukte zu nutzen, oder ob andere Produkte genauso gut mit diesen Banken und den Standards klarkommen,

Ich hatte die letzten Tage leider keine Zeit - von daher jetzt nochmal die Frage. Ich habe im Post über mir ja die Fragen, die an mich gestellt wurden beantwortet. Erst mal zur Software. Ist eine Homebanking Software für diesen Zweck nicht dienlich? Zu dem Verfahren habe ich ja bereits etwas geschrieben, wenn ich mir die Software holen würde, wüsste ich keinen wirklichen Grund, warum ich nicht auch HBCI/ Chipkarte nutzen sollte - vor allem da ich ja eh schon einen Leser habe.

Aber wie gesagt- vielleicht habt ihr ja auch noch andere Hinweise. Wenn ich den Tenor hier richtig verstanden habe, würdet ihr eher zum Chiptan verfahren über TLS bzw. HBCI Pin/Tan tendieren. Dürfte ich fragen warum?

Nein, so habe ich das nicht geschrieben und auch die anderen Beiträge nicht gelesen. Es war nur so zu verstehen, daß man in den meisten Fällen BEIDE Zugänge haben sollte, da einige Vorfälle eben nur im Web und damit nur via PIN/TAN durchführbar sind. Weiters habe ich geschrieben, daß das Lesen von Umsätzen "bequemer" ist, wenn man nicht extra eine Karte stecken muß, das Senden von Aufträgen hingegen mit Chipkarte bequemer ist, weil man keine TANs eingeben muß. Es spricht nichts dagegen und ist durchaus weit verbreitet, BEIDE Verfahren parallel zu nutzen.

Außerdem wurde aufgezeigt, daß das Chipkarten-Verfahren nicht - wie von Dir dargestellt - das sicherste und beste Verfahren ist und PIN/TAN nur eine unsicherere Alternative. PIN/TAN via ChipTAN ist wohl genauso sicher wie das Chipkarten-Verfahren - wenn man durchgängig auf ein SECODER-Verfahren setzt, welches die freizugebenden Auftragsdaten im Chipkartenleser-Display darstellt. Dies ist, wie wir gelesen haben, die absolute Ausnahme und wird nur von einem Rechenzentrum und der von diesem Rechenzentrum herausgegebenen Software umgesetzt. In allen anderen Chipkartenverfahren ist dies eben nicht umgesetzt - und dann signiert man quasi "blind" - demgegenüber ist das doch schon weit verbreitete ChipTAN-Verfahren sogar sicherer, weil bei diesem die Transaktionsdaten im Display des Lesers unmanipulierbar angezeigt werden.

Ich wollte natürlich niemanden etwas unterstellen - vielleicht verstehe ich auch etwas falsch - hey kein Problem, ich lese mich auch erst seit kurzem in die Thematik ein.

Ich habe mir die Standards auf der Seite hbcizka durchgelesen und es dadurch so verstanden, dass HBCI/Chipkarte eine sicherere Übertragung darstellt (es geht jetzt mal noch nicht ums ganze System) und zwar verstehe ich es halt so, dass bei Pin/Tan der Übertragungsweg verschlüsselt ist, allerdings die Daten im Klartext vorliegen und bei der Chipkartenvariante der ganze Dialog verschlüsselt wird.
Im Prinzip wie bei der E-Mail - es gibt einmal die "normale" verschlüsselte Übertragung über TLS und zusätzlich noch Verschlüsselung der Nutzungsdaten (z.B. PGP). Oder versteh ich die Verschlüsselung hinter der Chipkarte falsch?
"Die Verschlüsselung der FinTS-Nutzdaten erfolgt mittels AES-256 gemäß [AES]."


Okay kann ich mir gerade schlecht vorstellen, da ich beim Chiptansystem ja auch mit einem Gerät rumhantieren muss, ob nun per Karte oder Flickercode - da kann ich auch gleich die HBCI Karte nutzen, oder muss ich jeden Klick (wie oben schonmal beschrieben) neu signieren?


Stimmt darum hatte ich ja auch explizit nach Genobanken und GAD gefragt.


Hier muss ich jetzt aber sagen, dass ich dies nochmals im Thread gefragt hatte. Oben wurde zwar mal kurz erwähnt, dass Genoprodukte dies nur können, aber ich habe gefragt, was der Werbespruch bei Starmoney bedeutet. Auf der Seite steht nämlich auch das Secoder unterstützt wird und ich wollte dann wissen, ob es Vorteile bringt Genoprodukte zu nutzen bzw. ob GAD nur mit Genoprodukten zusammenarbeiten.


Stimmt. Wenn wollte ich aber auch nur mit Anzeige.

das ist nicht so, bei beiden Medien wird bis zum Endpunkt durchverschlüsselt, also von deinem Programm bis zum Rechenzentrum der jew. Bank, egal ob Browser oder FinTS-Software.

Übrigens habe ich vor kurzem gelernt, dass Starmoney 10 auch das Secoder (V 2.0) unterstützt - und dies auch funktioniert. Mir war das nicht bewusst, also stimmt meine Aussage nicht mehr, dass dies aktuell nur Profi cash und die VR-NetWorld Software beherrschen.

Gruß
Raimud

@MK19
die Banken hab doch die Verschlüsselungen usw. abgewogen und deren Risiken. (zumal die idR bei den Banken liegen)
Der Kunde ist hier in der komfortablen Situation, dass dieser sich lediglich um die Basis-Sicherheit kümmern muss, nämlich ein sauberes Betriebssystem vorzuhalten.

Die Nutzung der Zugangsmöglichkeiten richtet sich ua. nach dem Einsatz, wie oe. nach Umfang/Nutzung sowie die Endgeräte (PC, Tablett, Smartphone).
zum reinen Kontoabruf usw. ist PIN/TAN auf allen Endgeräten eine einfache Möglichkeit
parallel kann für die Verarbeitung, also Einreichung von Aufträgen, sodann auf Alternativen (Chipkarten) zurück gegriffen werden, da hier teilweise dann das handling leichter ist.
wobei bei 5 Freigaben pro Monaten, hier kann auch schnell einen TAN generiert werden, insbesondere wenn diese als Sammelüberweisung bspw. eingereicht werden.

Der Unterschied ist, daß man zum ABRUFEN bei ChipTAN eben KEINE TAN benötigt. TANs braucht man nur beim SENDEN von Aufträgen. Somit ist bei ChipTAN der tägliche Abruf von Umsätzen möglich, ohne die Karte überhaupt auszupacken. Die Software meldet sich mit VR-Netkey und PIN (welche man ggf. noch in der Software abspeichern kann, obwohl man es laut Banken nicht sollte, aber das ist wieder eine andere Geschichte) selbstständig am Bankrechner an, holt die Umsätze und meldet sich wieder ab. Fertig. Bei HBCI mit Chipkarte braucht man zu JEDER Transaktion - also auch zum Abholen von Daten die Chipkarte, muß sie einstecken und dann am Leser die PIN eintippen. Wenn die PIN am Leser eingetippt wird kann die Software diese auch nicht bei 5 Überweisungen zwischenspeichern, sie muß für jede einzelne Transaktion wieder manuell eingetippt werden. Also wenn du erst Umsätze liest und dann 5 Überweisungen sendest, dann heißt das Karte auspacken, Karte einstecken, 6mal PIN eintippen, Karte rausnehmen und verstauen. Bei einzelnen Transaktionen, die man direkt nacheinander macht, kann die Karte natürlich im Leser stecken bleiben. Das mit dem Rausnehmen gilt nur zum Ende der Session. Bei PIN/TAN würde man die PIN einmal eingeben(wenn sie nicht gespeichert ist), zwischen den Transaktionen "merkt" sich die Software die PIN und man muß sie nicht jedes Mal wieder eingeben. Und dann ist natürlich für jeden Auftrag eine TAN zu generieren und einzugeben. Somit ist der Eintipp-Aufwand bei Chipkartenbanking im Secoderbetrieb auf jeden Fall höher. Ich hoffe, es ist jetzt klar geworden, was ich mein...

Und: Selbstverständlich ist bei ALLEN Verfahren JEGLICHE Datenübertragung vom PC bis zum Bankrechner VERSCHLÜSSELT. Nur halt mit unterschiedlichen Verfahren. HBCI Chipkarte ist ein vergleichsweise uraltes Verfahren, deswegen mußte man damals noch Sonderlösung beim Verschlüsseln gehen. Bei Einführung von HBCI PIN/TAN gab es schon Standardverfahren, auf die man zurückgreifen konnte.

[quote]Bei HBCI mit Chipkarte braucht man zu JEDER Transaktion - also auch zum Abholen von Daten die Chipkarte, muß sie einstecken und dann am Leser die PIN eintippen. Wenn die PIN am Leser eingetippt wird kann die Software diese auch nicht bei 5 Überweisungen zwischenspeichern, sie muß für jede einzelne Transaktion wieder manuell eingetippt werden. Also wenn du erst Umsätze liest und dann 5 Überweisungen sendest, dann heißt das Karte auspacken, Karte einstecken, 6mal PIN eintippen, Karte rausnehmen und verstauen. Bei einzelnen Transaktionen, die man direkt nacheinander macht, kann die Karte natürlich im Leser stecken bleiben. [/quote]

Es muss für jede Transaktion die PIN am Leser eingegeben werden, keine Frage. So wie ich es hier lese, könnte aber der Eindruck entstehen, eine Überweisung/ein Umsatzlesen sei eine Transaktion. Dem ist nicht so. Ich kenne die Fachbegriffe hier nicht, und bezeichne deshalb eine Überweisung/ein Umsatzlesen als einen Auftrag. Ein Bankprogramm kann mehrere Aufträge als eine Transaktion verarbeiten. Im praktischen Gebrauch heißt das, man kann mit einer einzigen PIN-Eingabe Umsätze von mehreren Konten holen und mehrere Überweisungen machen.

@emmi: Schreibst Du hier von "normalem" HBCI-Chipkarte-Betrieb oder von SECODER-Betrieb? Beim normalen Betrieb ist es klar, da geht das so. Beim Secoder-Betrieb (ich habe den noch nie gemacht bzw. life gesehen) kann ich es mir nicht recht vorstellen, denn damit wäre ja die Secoder-Grundlage "es wird bei jeder Transaktion im Display angezeigt, was man signiert" hinfällig!? Das ist ja gerade das Wesen des Secoders!? Dass das Senden einer Sammelüberweisung von einem Absenderkonto mit einmal optischen Kontrolle und einmal PIN-Eingabe möglich ist, ist klar. Aber doch nicht bei mehreren Einzelüberweisungen von evtl. mehreren Absenderkonten.

"normaler" HBCI-Chipkarte-Betrieb, SECODER-Betrieb habe ich noch nicht gesehen, meine Bank bietet es auch nicht an, vermute ich. Aber auch im SECODER-Betrieb sollte man doch mehrere Umsatzabfragen zu einer Transaktion zusammenfassen können. OK, meine Vermutung.

Eben. Und die Vermutung ist falsch. Secoderbetrieb im täglichen Leben bieteten derzeit NUR VR-Banken an, die am ehem. RZ GAD hängen (und ob da in Zukunft weitere Banken bzw. Rechenzentren dazukommen, die das anbieten, wage ich zu bezweifeln). Und man muß eine Software haben, die das Ganze unterstützt, die ist auch sehr dünn gesäht. Wenn das aber alles zutrifft, dann werden einem die Transaktionsdaten jedes einzelnen Auftrags im Display des Chipkartenlesers (Secoders) angezeigt und man sieht genau, was man da signiert - und diese Anzeige kann der Man-in-the-middle eben nicht kompromittieren. Das läuft wie beim chipTAN-Verfahren. Und genau dieses Secoder-Verfahren war es ja, worüber der Thread-Ersteller sprechen will, wofür er zur entsprechenden Bank und passender Software wechseln will, weil er der Meinung ist, daß dies sozusagen das einzig sichere Verfahren ist. Was so nicht wirklich stimmt. Und: Die "herkömmlichen" HBCI-Chipkarte-Verfahren sind im Prinzip unsicherer als z.B. chipTAN oder meinetwegen auch pushTAN, weil man dabei eben nur am PC-Bildschirm sieht, was man da gerade durch PIN-Eingabe (egal ob jetzt am PC oder am Leser direkt) signiert. Und diese Anzeige am PC kann durchaus kompromittiert sein, man merkt es nicht und signiert im Hintergrund was ganz Anderes...