Vor einiger Zeit stellte ich mein Chip-TAN vom Flicker-Code auf QR-TAN um (erfolgreich!).
Nun fiel mir gerade auf, dass es in Hibiscus zwar einen Test für den Flicker-Code gibt, aber nicht für den QR-Code.
Wäre es nicht vielleicht sinnvoll, mehrere Verfahren testen zu können und Test-Optionen für diese entsprechend zu ergänzen?

QR zu testen ist wohl nur mit größeren Schwierigkeiten möglich. Hintergrund ist, dass bei Flicker vom Bankrechner Daten kommen, aus denen das Programm selbst das Geflicker erzeugt. Beim Test kann man also einfach aus eigenen Daten ein Geflicker erzeugen. Bei QR hingegen ist es so, dass der Bankrechner die FERTIGE Grafik liefert, die vom Programm nur angezeigt wird. Es gibt also im Programm garkeinen Code, um selbst so eine Grafik zu erzeugen. Und den nur für den Testfall extra zu programmieren, das ist wohl zu viel Aufwand.

Weiterhin ist jeder Programmhersteller mit den Umbau- und Vorbereitungsarbeiten für den 14.9. derzeit wohl voll ausgelastet.

Wenn man das wirklich machen wollte mit dem Test im Programm könnte man ja auch einen statischen QR-Code mit fiktivem Startcode, Kontodaten und Betrag hinterlegen.
Diesen kann man ja zur Not auch von der Bank erzeugen lassen
Solang die verwendete Karte bei Erzeugung kein AMS unterstützt ist der erzeugte Code ja auch universell einsetzbar, wie auch ein Flicker Code.

Ich denke auch, eine QR-Grafik mit fiktiven Daten müsste schon reichen.
Für neue User stelle ich es mir schon recht nützlich vor,
damit die das erst mal testen könnten, bevor es "ernst" wird,
also vorm ersten echten Einsatz.
Das betrifft nicht nur das QR-Verfahren, sondern eigentlich alle angebotenen Verfahren.
Es würde einem neuen User einfach ein sicheres Gefühl geben,
erst mal einen Test bzw. eine Simulation machen zu können,
denn immerhin geht es hier ja um reales Geld, das erst mal weg ist,
wenn was schief geht und keiner weiß, ob man es dann jemals zurück bekommt.

14.9.?
Was passiert denn da?

In Kraft treten der PSD 2 ist da. Was weitreichende Protokolländerungen für alle FinTS clients bedeutet. An dem Tag werden auch alle alten nicht mehr weiterentwickelten ( und nicht bei der DK registrieren ) FinTS clients den Dienst einstellen weil die Bankenserver sie ablehnen werden.

Wie msa schon schrieb. Ein Test der QR-Grafik würde nicht viel bringen. Zumindest im Sinne eines Tests der Funktionsfähigkeit von Hibiscus. Es zeigt die Grafik nur an - generiert sie aber nicht selbst. Selbst wenn ich im Programm eine solche Test-Grafik für Testzwecke hinterlege (dazu müsste ich erstmal eine erzeugen können - und hierfür bräuchte ich die Spezifikation, die ich nicht habe und die ich eigentlich nicht brauche, weil nur der TAN-Generator die lesen können muss) und diese gelesen werden kann, heisst das nicht, dass die Bank dann eine gleich aussehene Grafik sendet. Sie könnte größer oder kleiner sein, sie könnte bunt oder schwarz/weiss sein.

Also wenn du das Gerät testen willst, google einfach nach ChipTAN QR Testgrafik. Vielleicht findet sich da ja was. Ich habe z.Bsp. https://www.sparkasse-fuerth.d…an-qr.html getestet.

Aber nochmal. Um eine solche Grafik in Hibiscus zu Testzwecken anzeigen zu können, müsste ich ja erstmal eine solche erstellen. Ich weiss aber gar nicht, wie die aufgebaut sind.

Kleiner Hinweis: Fast jede Sparkasse hat - manche versteckter, manche direkt auf der Startpage sichtbar - ein Demokonto, bzw. mehrere Demozugänge für verschiedene TAN-Verfahren. Unter dem chipTAN-Zugang kann auch eine Überweisung mit QR-Code-Freigabe gemacht werden.

Was bedeutet PSD2 für mich als User?

Muss ich irgendwas ändern?
Brauche ich neue Hardware?
Oder läuft für mich alles wie bisher?

Hier gibt es abendfüllende Threads über PSD2 und die Folgen. Einfach mal etwas lesen! Du brauchst mindestens ein an den zwei-Faktor-Login angepaßte Software. Und ein PSD2-konformes TAN-Verfahren, Listen-TANs z.B. sind nicht mehr möglich. Aber wie gesagt, das wurde hier alles riesig diskutiert, einfach lesen!

Ja, da wird viel diskutiert, aber richtig schlau daraus, im Hinblick darauf,
was sich für den einzelnen User bezüglich der Bedienung von Hibiscus ändert, wird man leider gar nicht.

Also frage ich vielleicht noch mal genauer:
Ich nutze Hibiscus als Privat-User bei einer Sparkasse, zusammen mit einem QR-TAN-Generator,
um monatlich meine Umsätze nachzusehen, und um gelegentlich Überweisungen zu tätigen.
Bisher habe ich ein Passwort fürs Programm und die PIN zum Umsätze abgleichen und für Überweisungen,
letzteres natürlich kombiniert mit dem QR-Generator.

Was ändert sich da für mich?
Brauche ich andere Hartware, z.B. einen anderen Generator (wäre ungeschickt, weil das QR-Teil gerade recht neu ist)?
Oder muss ich mich anders einloggen?
Wie muss ich mir das Ganze ab dem 14.9. vorstellen?

Du bist bestens auf PDS2 vorbereitet. chipTAN (egal ob Flacker, QR oder usb) ist wohl das sicherste TAN-Verfahren derzeit. Das ist voll PSD2-konform. Bei Aufträgen wirst Du keinerlei Unterschiede merken.

Lediglich beim Einloggen in's Konto wird es einen Unterschied geben. Derzeit braucht man dazu nur den Anmeldenamen und die PIN. Zukünftig muß ein "ZweiFaktorLogin" erfolgen mit zwei verschiedenen Medien aus den Bereichen Wissen (z.B. PIN), Besitz (z.B. Karte mit Chip) und Sein (z.B. Fingerabdruck). Am PC bedeutet das, dass Du beim Einloggen zusätzlich zur PIN eine (mit der Chipkarte erzeugte) TAN brauchst, bei BankingApps kann das auch der Fingerabdruck sein. Allerdings gibt es eine Ausnahmeregelung, nachdem dieser zweite Faktor (hier die TAN) mindestens alle 90 Tage abgefragt werden muss. Kommt auf die Bank drauf an, ob sie die TAN jedes Mal oder nur ab und zu abfragt. Die HypoVereinsbank z.B. fragt schon seit einigen Wochen bei JEDEM Login ins WebBanking eine TAN zusätzlich ab, die Sparkassen bisher nicht. Auch ist zu vernehmen, dass die Sparkassen von dieser 90-Tage-Ausnahmeregelung Gebrauch machen werden (wobei wieder zu beachten ist, dass die Sparkassen alle selbstständig sind und jede für sich selbst entscheiden kann, ob sie die Ausnahme nutzt oder nicht - so kann es da von Spk zu Spk Unterschiede geben). Du wirst also im Normalfall so gut wie nichts von den Umstellungen gegenüber dem derzeitigen Zustand merken, nur evtl. hin und wieder mal eine zusätzliche TAN-Abfrage beim Login.

OK, nur, um mit der Karte eine TAN zu bekommen, brauche ich ja dann vermutlich den QR-Generator, wenn ich keinen Fingerabdruckscanner habe oder, falls letzterer vorhanden ist, diesen aber nicht überall mitschleppen will.
Aber der QR-Generator gibt mir nur eine TAN, wenn er zuvor einen QR-Code bekommen hat, oder nicht?

Stellt sich die Frage, wie ich zu diesem QR-Code und somit zu der TAN komme, bevor ich mich in Hibiscus oder per Browser bzw. Website einloggen kann?

einfach die Sache entspannter angehen, das wichtigste ist die Software nochmals upzudaten ,-)
du bekommst bei Hibiscus anstatt bei der Überweisung, halt beim Abruf/Senden deinen QR-Code angezeigt und der wird "normal" von dir bearbeitet, nur dass es sich bei diesem Schritt dann um keine Überweisung sondern halt um bspw. den Kontoabruf handelt.

aber du wirst doch von der Software entsprechend geführt ...

Vergiss das mit dem Fingerabdruck Mal wieder das passt hier nicht hin. Du hast ja gesagt du nutzt hibiscus oder die Sparkassen Website. Beide werden dich alle 90 Tage auffordern beim Login bzw Umsatzabruf eine TAN einzugeben. Diese TAN bekommst du genauso wie die für Überweisungen mit deinem QR TAN Generator. Die Sparkassenwebsite bzw hibsicus zeigt dir den QR Code an und du scannst ihn ein. Genau wie bei einer Überweisung. Das heißt natürlich auch dass du Karte und Generator zur Hand haben musst. Das könnte also unterwegs überraschend kommen wenn gerade die 90 Tage abgelaufen sind.
Es wird aber auf der Sparkassenwebsite eine Mitteilung angezeigt wenn du innerhalb eines 14 Tage Abstands zur nächsten Login TAN Eingabe bist. Sodass du freiwillig wenn es gerade passt den 90 Tage Zähler zurücksetzen kannst. Alles klar?

Das ist ja cool. Da hat man ja richtig mitgedacht und eine Kundenfreundliche Lösung - auch wenn das nichts mehr mit dem Gedanken der PSD2 zu tun hat, realisiert. Ich bin echt begeistert.

Nein, nicht wirklich.

Wenn ich wirklich Browser und Website brauche, um den QR-Code zu bekommen,
sorry, aber was ist das denn für ein Krampf?

Ich habe ja Hibiscus installiert, um eben genau NICHT diese beiden zu brauchen, weil der Browser ein höheres Risiko ist.

Im Browser bin ich minutenlang online, in Hibiscus nur für wenige Sekunden, wenn wirklich Daten übertragen werden.

Wenn ich eh die Website besuchen muss, wird Hibiscus völlig sinnfrei, denn wenn ich erst mal auf der Website bin, mache ich den Browser mit Sicherheit nicht zu, nur um anschließend Hibiscus zu öffnen, um dann nochmal zuzugreifen.
Dann kann ich nämlich gleich alles im Browser machen.

nochmals warum so aufgeregt, bisher passiert nichts und nach dem 14.09. wird man sehen, im schlimmsten Fall funktioniert die Software kurzzeitig nicht, bis die Anpassung stimmen.

im jeweiligen Medium, dh. bei Webbanking im Browser, beim "online/Softwarebanking" in der Software, wird zum Zeitpunkt X der QR-Code angezeigt und um eine TAN gebeten. Wie breits auch mitgeteilt, wie bei der Überweisung o.ä. außer, dass es sich hier halt dann um keine Überweisung handeln würden, sondern um den Kontozugang bzw. Kontoabruf.
(aber du musst nicht was im Browser machen und dann noch zusätzlich in der Software)

Da hast du was falsch verstanden. Es ist nicht so, dass du den Browser brauchst, um einen QR-Code zu erzeugen, der dann in Hibiscus verwendet wird. Es ging nur darum, dass du künftig selbst beim Abruf der Kontoumsätze ggf. eine TAN eingeben musst und dir hierzu wie gehabt ein QR-Code angezeigt wird, um die TAN zu generieren. Abruf von Umsätzen und Ausführung von Überweisungen sind beides sog. Geschäftsvorfälle. TAN-pflichtig waren bisher i.d.R. nur Aufträge, bei denen Geld bewegt wurde. Künftig sind auch Geschäftsvorfälle TAN-pflichtig, bei denen man Einblick ins Konto erhält. Der einzige Unterschied wird künftig sein, dass du in Hibiscus ab Mitte September häufiger einen QR-Code angezeigt kriegst. Nämlich nicht nur beim Ausführen von Überweisungen sondern hin und wieder auch beim Abrufen der Umsätze.

Hab ich doch gar nicht gesagt. Du zitierst mich ja sogar noch mit "bzw hibiscus zeigt dir den QR Code an"
Wenn hibiscus zum 14.9. soweit ist, und da gehe ich von aus, wird es dir den QR-Code anzeigen wann immer die Bank eine TAN anfordert. Keiner zwingt dich die Website zu nutzen.