Hallo zusammen,
ich habe gerade eine Sofortüberweisung bei der DKB via QR-Code TAN-Generator losgetreten (in Hibsicus). Eigentilich nichts weltbewegendes - sollte man meinen.

Ich habe kurz davor vorab bereits eine Kontostands- bzw. Umsatzabfrage gemacht - hatte also die initiale "readonly" 2FA schon hinter mir, wo man nur einen Startcode bekommt und dann die TAN daraus generiert und eingibt. Bis dahin alles schick (wie üblich).

Dann die Sofortüberweisung losgetreten. Kein VoP-Thema. Es wurde einfach nochmal ein Startcode übertragen - nochmal TAN dazu generiert. Dann ----> fertig!!!! Keine weitere TAN-Abfrage zur Bestätigung der Transaktion mit Angabe des Zahlungsempfängers / IBAN.

Ich habe verifiziert, ob die Überweisung tatsächlich angenommen wurde und geprüft, ob die Ziel-IBAN korrekt ist - via HBCI und Webbanking. Die Überweisung wurde ausgeführt. In beiden Kanälen so angezeigt. Der Empfänger war ok.

Was ist bei denen jetzt wieder kaputt? Man glaubt es nicht. Haben die die Technik überhaupt ansatzweise im Griff? Ich habe mittlerweile nicht mehr den Eidnruck, dass die wissen, was sie tun.

war die Echtzeitüberweisung evtl. unterhalb einer betragsabhängige TAN-Freigabegrenze?

seit wann gibt es bei der DKB eine betragsabhängige TAN-Freigabegrenze?

79,95 €

Egal - hier geht es doch darum, einen potentiellen man in the middle attack zu erkennen. Und es gab ja eine TAN - eben die für die Anmeldung. Aus meiner Sicht haben die da schlicht was falsch zusammengeklickt - statt Überweisungs-TAN nur den Startcode. Und wie üblich nichts getestet.

@Tizian
da div. Banken dies ja anbieten, hätte es sein können, dass es nun auch bei der DKB aktiviert wurde

oder wie kannst du dir sonst das Verhalten erklären?
(abgesehen von @hbciuser angedachte Fehlkonfig.)

Für eine Überweisung i. H. v. 1 € wurde gerade eine Freigabe per Push angefordert.

Ich konnte das Problem gerade reproduzieren mit einer Testüberweisung auf ein zweites Konto von mir. Wieder keine Bestätgigungs-TAN für die Sofortüberweisung erhalten. Dafür eine Startcode-TAN (obwohl direkt davor eine Kontostandsabfrage durchgeführt wurde, welche kein 2FA benötigt hat - hatte er noch von heute morgen gecacht).
Das Geld war sofort auf meinem zweiten Konto. Überweisung ging also raus!

Wurde da der Zahlungsempfänger angezeigt oder auch nur eine 0815-Freigabe (ohne prüfen zu können, was da konkret freigegeben wurde)?