Hallo,

wer eine Homebanking-Software wie Banking4 nutzt, hat meistens auch mehrere Konten und damit auch mehrere PINs.

Früher waren die PINs meist einfach nur 5- bis 6-stellige Zahlenfolgen. Die konnte ich mir problemlos merken. Aber jetzt sind es meist 8 bis 20 Zeichen mit mindestens 1 Zahl, einem Sonderzeichen und Groß- sowie Kleinbuchstaben (eigentlich auch keine PINs mehr im Sinne des Wortes). Und das für mehrere Konten. Das kann sich doch kein Mensch merken.

Bisher habe ich die PINs in einer Passwortverwaltungssoftware gespeichert und kopiere sie dort jedes Mal manuell bei Bedarf für Banking4 heraus, d.h. ich habe die PINs bisher nicht in Banking4 für Windows gespeichert. Das Ganze ist jedoch bei mehreren Konten sehr umständlich.

Daher ist meine Frage: Wie sicher ist das Speichern der PINs in Banking4 für Windows? Wie handhabt ihr das?
Selbstverständlich habe ich den Datentresor von Banking4 mit einem Passwort gesichert. Der Datentresor ist bei mir zudem nur lokal gespeichert, also nicht online.

Für Transaktionen wegen doch TANs benötigt und somit kann die Pin im Programm gespeichert werden.
Die Sparkassen führen ja gerade die Gerätebindung ein, die ebenfalls mit einer TAN verifiziert werden muss.

Ja, da stimme ich dir zu. Für Transaktionen reicht die PIN ja ohnehin nicht aus, sondern man benötigt zusätzlich noch die TAN von einem externen Gerät, so dass selbst in dem Fall, dass einem "Bösewicht" die PIN in die Hände fallen sollte, er damit allein noch keine Transaktionen durchführen könnte. Richtig?

Trotzdem würde mich auch interessieren, mit welchem Verfahren der Datentresor von Banking4 für Windows verschlüsselt ist.

Korrekt
wie gesagt Gerätebindung (Sparkasse bzw FI-RZ) kommt teilweise noch hinzu siehe aktuelle "Problem-Postings"

Handbuch/Hompage

Danke für die Info.

ergänzend:

d.h. doch aber auch ein keylogger hat öfters die Möglichkeit die Daten zu dok./abzugreifen
wenn diese nur 1x gespeichert sind, bspw. in der Software selbst, dann wird es ja nicht mehr dok.

interessant ist hier u.a. auch das Thema (Kunden)-Haftung, die oft zwischen 0-100 Euro liegt.
bswp.: forum/topic.php?t=18461

Der Weg für beleghafte Überweisungen sind oft noch "offen".
forum/topic.php?t=26310
nur weil man online alles sicher macht, sind die Alternativen ja noch verfügbar.

Identitätsdiebstahl
forum/topic.php?t=25364
bzw. ist über div. (Cyber-) Versicherung absicherbar, oft auch als zusätzliches Modul zur Bestandversicherung.

Ja, diese Gefahr besteht definitiv. Minimieren lässt sich diese praktisch nur durch eine gesunde Vorsicht, ein aktuelles Betriebssystem mit allen Sicherheitsupdates und ein gutes Antiviren-Programm bzw. Security Suite.

@pillepalle


Jein.

Bei Modulen, die nicht in einer einzigen ( und gesicherten) Umgebung interagieren, wie zB. dein PW-Programm und Banking 4, ist die Wahrscheinlichkeit das die Daten auf diesem Transportweg ( sei es durch keylogger oder sonstige Trojaner) mit höherer Wahrscheinlichkeit abgegriffen werden.

Folglich solltest du nur eine Umgebung nutzen, solange sie selbst vertrauenswürdig ist ( scheint) und auch auf Fehler/Leaks überprüft wird. Das wäre dann dein Banking Programm.

Beste Grüße

Meine persönliche Meinung, wenn die Passworte irgendwo gespeichert werden sollen: Wenn sie geschützt mit einem beim Start eingegebenen Masterpasswort/System-Biometrie verschlüsselt in der Datenbank der Anwendung gespeichert sind, ist das aus meiner Sicht die sicherste Variante.

Ich fänd es zwar praktischer, wenn alles zentral im Passwort-Manager wie Keepass(XC) gespeichert wäre - die Übertragung erfolgt dann aber per Zwischenablage. Und auf die kann man aus einem Progtamm heraus noch leichter zugreifen, als auf die Tastatur-Eingaben - und man hat das Passwort gleich im ganzen und muss es nicht zwischen all den anderen Tastatur-Eingaben erkennen. Hinzu kommt, dass viele Betriebssysteme heutzutage eine Zwischenablage-Historie anlegen, damit man auf die letzten 10-20 kopierten Werte nochmal zugreifen kann - das geht in allen Betriebssystemen, nicht nur Windows. Ggf. sogar mit Synchronisierung in die Cloud. Man kann davon ausgehen, dass dort dann gar nichts verschlüsselt ist.

Für den Browser gibt es für die meisten Passwort-Manager Browser-Extensions, mit denen eine gesicherte Datenübertragung zwischen Passwort-Manager und Browser möglich ist, um Login-Daten automatisch zu befüllen. Leider gibt es so eine Integration noch nicht für Desktop-Anwendungen.

Es gibt Tools, die versuchen, eine gesichtere Umgebung ( Sandboxed ) zu erzeugen, zB. mit dem Tool Sandboxie.

Inwiefern das dann wirklich sicherer ist kann ich nicht wirklich einschätzen aber egal was du veränderst oder modifizierst sobald du Addons , die nicht zum Core Programm dazugehören, zB. ein Zusatzplugin im Browser, erhöht das die Anfälligkeit gegen Angriffe von außen.

Genauso ist es wenn du für deinen eigenen Prozess eine Third Party Anwendung benutzt ( zB. Keepass).

beste Grüße