Hallo,

Anlass meines Ärgers ist die Fehlermeldung von "WISO Mein Geld 4 Postbank Edition" bei einer Überweisung neulich, dass ich doch bitte das Programm upgraden möchte, weil es das ITAN-Verfahren nicht mehr unterstützt. Nun gut, "MG(200)6" gekauft, installiert und aktualisiert damit es ITAN versteht - und ich darf trotzdem immer die Nummernliste zur Hand nehmen bei jeder Überweisung, weil der eingebaute Datentresor bei diesem Verfahren nicht verwendet wird?

Was ist denn sicherer: die im passwortgeschützten Datentresor hinterlegten TANs im passwortgeschützten Programm auf dem virengeschützten PC mit passwortgeschütztem Benutzerkonto oder der Zettel, der jetzt immer lose auf dem Schreibtisch liegt, weil ich ihn ständig brauche?

Genausogut kann ich das Geld für die Software sparen und nur noch Browserbanking betreiben, die TAN-Liste muss ja eh' überall hin mitgeschleppt werden. Ich werde gleich mal zur lokalen Sparkasse fahren und dort nach den Möglichkeiten des Onlinebankens fragen, die Methode der PoBa kann es ja wohl nicht sein.

Danke fürs Lesen.

Im Zweifelsfall ist der Zettel auf dem Schreibttisch sicherer, denn auf den haben im worst case weniger Zugriff und haben ja auch noch nicht die PIN bzw. Kontonummer, wenn sie nicht gerade am Monitor klebt... Ein Passwortschutz für einen Datentresor ist nicht unbedingt die große Hürde, denn das kann 1. mitgeloggt werden und 2. nach wie vielen Fehlversuchen zerstören sich die Daten von selbst

Der Unsinn deiner Meinung nach ergibt sich ja erst durch den Unsinn iTAN/TAN-Nummern in ein Programm zu hinterlegen... Das solche Bequemlichkeiten zu Lasten der Sicherheit oder des Sicherheitsvorteils gehen sollte jedem klar sein. Wer seine TANs im Programm hinterlegt, kann auch gleich ganz auf TANs verzichten, da diese dann absolut unsinnig sind.

Hallo,

ich kann Dich da gut verstehen. Ich nehme aber an, dass es in WISO Mein Geld irgendwann möglich sein wird die komplette TAN-Liste einschließlich laufender Indexnummer zu hinterlegen und diese dann auch automatisch verwendet wird.

Zumindest im Mobile Banking Programm OutBank und meinen eigenen Mobile Banking Programmen geht das schon jetzt so.

PS: Ich persönlich trage aus Sicherheitsgründen die TAN-Liste lieber im Geldbeutel.

PPS: Wenn man viele Transaktionen hat und diese stationär auf nur einem PC abwickelt empfiehlt sich der Einsatz einer Chipkarte. Absolut sicher und bequem. Wird halt leider nur von der Postbank nicht angeboten.

Hallo Wolfgang,

deine Frage im Titel passt eigentlich nicht so ganz zu dem Rest in deinem Posting. Dennoch ein paar eigene Überlegungen:

Was sicherer ist, der Datentresor, oder die Eingabe, ist sehr theoretischer Natur!
Aus meiner Sicht ist beim Speichern der TANs in einem Datentresor der Zeitpunkt der Eingabe der kritische Moment. Wer hier hier angreift, erhält mit einem Schlag alle TANs, die dort eingegeben werden. Abgelegt in dem Datentresor, ist der Schutz wahrscheinlich höher, als bei der normalen Eingabe.

Warum iTAN nicht Speichern:
Relativ einfach! Es gibt kein iTAN Verfahren, sondern ein Zweischrittverfahren (bzw. mehrere), bei der die Software nur die Information weitergibt, was der Anwender tun soll. Dazu übergibt die Bank der Software einen Freitext mit der Anweisung für den Kunden. Dies kann eine Anweisung zur Ermittlung einer iTAN sein, dass kann eine Informa-tion sein, dass die TAN jetzt an die Mobilnummer xyz gesendet wird, das kann eine Anweisung sein, welcher Wert in einem eTAN Leser getippt werden soll, oder wie die TAN bei Sm@rt TAN Plus mit dem Kartenleser zu ermitteln ist oder, oder, oder. Allein bei einer iTAN könnte stehen, nehmen sie die 76. TAN aus Bogen 23 oder nehmen Sie die TAN in Spalte A und Zeile 12 oder nehmen Sie die TAN in Spalte 12 und Zeile A oder nehmen Sie die 3. TAN aus der 5. Spalte von unten abgezählt, oder, oder, oder.

Dies alles in einer Software umzusetzen und dann die Anweisungen für jedes Institut fehlerfrei auszuwerten und automatisch abzuarbeiten ist recht aufwendig und wahrscheinlich nicht unbedingt zielführend! Von der Seite kann ich Wiso sehr gut verstehen! Wenn Du weiter auf PIN/TAN setzt, wirst Du mittelfristig sicherlich nicht mehr darum herum kommen für die Ermittlung der TAN eine eigene Verantwortung zu übernehmen. D.h. der Gang zur Sparkasse bringt Dir nur etwas, wenn Du auf die Chipkarte wechselst und auch da wird Dir die eigene Eingabe (der PIN) nicht erspart bleiben.

Zum Sinn oder Unsinn der iTAN:
Die iTAN hat nur den sinn, den Aufwand für die Angriffe der Phisher zu erschweren (für andere Szenarien natürlich auch, aber hier ist der Schutz nicht im Ansatz so effektiv)
Daran siehst Du aber auch, dass die iTAN nur ein provisorisches Hilfsmittel sein kann, die sicherlich durch andere, effektivere Maßnahmen beizeiten abgelöst werden. Solange PIN und TAN als Absicherung gewählt wird, solltest Du dich daran gewöhnen, dass die Bequemlichkeit (wobei ich persönlich PIN und TAN vom Handling her schon immer als Zumutung empfunden habe) für diese Absicherung mittelfristig nicht mehr erhalten bleiben wird und die PIN/TAN Verfahren immer komplexer werden, nur um irgendwie das ganze vor Angriffen zu schützen.

Gruß

Holger

Das ist nicht ganz richtig so. Die Bank übermittelt an den Kunden einen konkreten "Challenge" in einem genau definierten Datenfeld. Natürlich muss dieser Challenge kein TAN-Index sein. Es wäre auch möglich, dass dieser Challenge in einen TAN-Generator eingegeben werden muss.

Zusätzlich sind die konkreten Realisierungen des zweischritt TAN-Verfahrens durch die BPD eindeutig definiert. Dort steht konkret der Wert "iTAN" für das iTAN-Verfahren und z.B. "mTAN1" für ein mTAN-Verfahren der Postbank.

Es ist somit kein Hexenwerk für die Software das "klassische" iTAN-Verfahren eindeutig zu erkennen und mit dem erhaltenen Challenge die hinterlegte TAN-Liste nach der passenden TAN abzusuchen und diese automatisch einzusetzen.

Hallo Andreas,

sorry, aber die Challange ist und bleibt ein Freitext (mit bis zu 999 Zeichen), der Individuell gestaltet werden kann!

Damit ist der Aufwand aus diesen informationen ggf. einen bankenindividuellen Index für die TAN zu ermitteln durchaus entsprechend hoch. (Das dies kein Hexenwerk ist, ist klar!) Da aber zur individuellen Ausgabe, für die Ermittlung der TAN auch noch eine entsprechende Verwaltung der TANbögen und eine Sicherstellung der entsprechenden Eingabe gehört, sit das ganze Aufwendiger als bei der einfachen TAN und bleibt dennoch fehleranfälliger.

Klar solange die Bank als Challange nur 112 oder Index 17 zurückliefert, ist das ganze noch trivial und die Zuverlässigkeit nur von der Eingabe und Pflege des Anwenders abhängig. Aber wie geschrieben, die Banken sind frei in der Gestaltung der Challange! Der Aufwand der Softwarehersteller fängt dann an, wenn unterschiedliche Indexe verwendet werden und die Challange diverse male zur besseren Verständlichkeit angepasst wird. Machbar aber mit entsprechendem Pflegeaufwand.

Gruß

Holger

Hallo,

stimmt schon, es KANN individuell gestaltet werden. Wird aber nicht. Aktuell liefern alle iTAN-Institute (Spardas, Sparkassen, Postbank) nur die nackte Indexnummer in diesem Feld. Es ist auch unwahrscheinlich, dass im Challenge etwas wie "Index 17" kommt, denn die lesbare Bezeichnung des Challenges (z.B. "TAN-Index") wird in den BPD festgelegt und von der Anwendung vor dem Challenge angezeigt (wenn überhaupt etwas angezeigt wird).

Natürlich funktioniert die Automatik nur beim "klassischen" iTAN-Verfahren.

Wenn Tobias (OutBank) und ich (FinPocket und FinPhone) das ganze in unseren "Progrämmchen" für die "kleinen" Handys schon können, dann sollte das auch mit den großen Anwendungen auf dem Desktop PC machbar sein.

Finde ich persönlich gar nicht so unwahrscheinlich... Es gibt doch eine Unmenge von Möglichkeiten und vor allem durch Individualität steigt zusätzlich noch die Sicherheit.

Ansonsten zerstört die Speicherung doch wieder jeden Sinn der iTAN oder auch TAN, also warum immer das machbare realisieren, wenn es zu lasten der Sicherheit geht. Und wer darüber jammert immer seine TAN-Liste "mitschleppen" zu müssen, also den kann ich nun wirklich nicht mehr wirklich ernst nehmen.... 10 Gramm mehr sind nun wirklich nicht der Auslöser für Rückenprobleme

Ich sehe das eigentlich ganz genau so. Leider wird man ohne integrierte TAN-Listenverwaltung von den Kunden und den Medien regelrecht gesteinigt. In meiner ersten Version von FinPocket hatte ich noch keine TAN-Listenverwaltung drin. Hier ein Zitat aus einem Testbericht des Pocket PC Magazins von dieser Version:

"Keine TAN-Listen?

So intensiv wir auch gesucht haben: Wir konnten keine Möglichkeit finden, in dem Programm TAN-Listen zu speichern. Das hat zur Folge, dass man bei jeder Überweisung von Hand eine TAN (Transaktionsnummer) eingeben muss.
Auf den ersten Blick mag das ja löblich sein. Denn gespeicherte TAN-Listen erhöhen das Risiko des Missbrauchs, insbesondere bei einem mobilen Gerät.
Andererseits aber: Will man unterwegs Überweisungen tätigen, dann muss man ja ohnehin einige TANs mit sich führen. Und wären diese TANs nicht besser geschützt, wenn man sie in einem kennwortgesicherten Programm wie FinPocket speichert, statt sie in einen Pocket Word Text oder gar auf ein Stück Papier zu schreiben?
So weit hergeholt ist unser Wunsch zudem nicht. Online-Banking-Programme für Desktop-PCs bieten durchaus die Möglichkeit, TAN-Listen zu speichern."

In der endgültigen Bewertung dieses Testberichts findet sich dann noch ein dickes rotes Minus für "Keine TAN-Listen-Verwaltung".

Ich möchte keine technische Diskussion anstoßen, aber das ist nicht der Fall. In den BPD können zwar verschiedene Felder zur Beschreibung des Verfahrens belegt werden (Name des Verfahrens, beschreibender Text, etc.), eindeutiges Element zur Identifikaton des Verfahrens ist aber das Feld "technische Identifikation". Dessen Belegung ist nirgends definiert und den Banken völlig freigestellt. Wenn einige Banken, die das iTAN-Verfahren nutzen, dieses Feld mit "iTan" belegen, so ist das reiner Zufall. Dort könnte ebenso gut "indiz. Tan", "Iiih, Tan" oder "Verfahren 42" stehen.
Eine automatische Identifiaktionsmöglichkeit durch ein Kundenprodukt gibt es nicht. Nur das Ein_Schritt-Verfahren ist sicher an "Sicherheitsfunktion kodiert" = 999 erkennbar, ist aber hier nicht das Thema.


Warum? Da kann und sollte zum besseren Verständnis auch stehen "Bitte geben Sie die 23. TAN ein!"


§7 der Vereinbarungen für den ganzen Onlinekrams...; dieser Testbericht sollte mal getestet werden.

Sorry. Schon passiert



Leider ist es nicht definiert. Ich halte das für ein schweres Versäumnis seiten der Spezifikation die sich sowieso mehr mit dem "unspezifizieren" und werfen von Nebelgranaten als dem eigentlichen spezifizieren befasst.

Gott sei Dank verwenden alle iTAN-Institute bislang hier den Text "iTAN". Abgesehen davon habe ich in meiner Zugangsdatentabelle - die sowieso gepflegt werden muss - für jedes Institut die für das iTAN-Verfahren verwendete "technische Identifikation" hinterlegt.



Bei den meißten Programmen und gemäß dem Beispiel der HBCI PIN/TAN Spezifikation würde das an der Benutzerschnittstelle dann ungefähr so aussehen:

Indiziertes TAN-Verfahren
TAN-Nummer: Bitte geben Sie die

Um den Rest zu lesen müsste der Benutzer erst in der Textbox nach rechts scrollen. Halte ich jetzt nicht unbedingt für besser. PS: Nicht immer annehmen dass Online Banking nur auf PC's gemacht wird. Es gibt da auch noch Handys, PDAs, iPODs die einen wesentlich kleineren Bildschirm haben.

Jepp, es ist immer wieder trauig, wie sogenannte "Fachzeitschriften" berichten. Wahrscheinlich war dann aber wieder auf der nächsten Seite ein Bericht über Phishing und wie unsicher doch Onlinebanking ist Vor allem die unbeantwortete Frage mit dem Sicherheitsvergleich finde ich genial lächerlich...

@stoney hallo!
ich sehe das genauso wie du

lach gut das ich das Tan_verfehren für z.B überweisungen nutze!!!!

Hallo,


Die ITAN ist unsinnig. Deshalb kann man sie genausogut speichern. Wenn Du höchste Sicherheit willst, gehe zu der Dir persönlich bekannten Banktante und drücke ihr den unterschriebenen Zettel in die Hand. Die ganze Sicherheitsdiskussion grenzt m.E. schon an Hysterie.

Ich jammere nicht darüber, TAN-Listen mitzuschleppen, weil ich genausogut fünf Stück im geschützten Notizbuch-Bereich meines MobiFons hinterlegen konnte. So handhabe ich es mit den X Zugangsdaten, Passwörtern von Rechnern usw. meiner Kunden, oder soll man ständig einen Aktenordner herumtragen?

Außer eben bei ITAN, weil man da die ganze Liste samt Index eintippen müsste. "Bitte geben Sie TAN Nr. 152 von ihrer Liste ein" - Onlinebanking leichtgemacht. Ich werfe mich weg vor Lachen. Es wird nur noch ein Internetbrowser gebraucht, und die Liste. Die dreißig EUR für das aktuellere Programm hätte ich mir sparen können.

Hrmpf.

Dein Frust ist verständlich, aber deshalb solltest du von deiner Situation nicht auf andere schließen. Die iTAN liegt mir zwar auch nicht, ist aber eine relativ einfach funktionierende Krücke, die erstmal einiges an Schaden verhindern kann. Übrigens: Höchste Sicherheit ist imo das Chipkartenverfahren und bei weitem nicht der unterschriebene Überweisungsbeleg.

Warum ist die iTAN unsinnig? Begründe das doch mal und werfe es nicht nur so in den Raum. Die iTAN hat einige sicherheitsrelavante Vorteile gegenüber der normalen TAN und schließt so einige Angriffsszenarien aus. Wie kann also die iTAN unsinnig sein? Eigentlich nur wenn man sein eigenes Sicherheitsniveau soweit herabsetzt, dass TAN und iTAN beide gar keinen Sinn haben. Der Fall ist eben gegeben, wenn die Daten in einem Programm hinterlegt werden.



Dir scheint Sicherheit ja nicht allzu wichtig zu sein, bin mal gespannt wie du darüber denkst, wenn deine Daten mal mißbraucht werden....



Kannst doch immernoch machen, nur dann eben die ganze Liste. Ob 5 Tans oder 100 iTANs macht von der Sicherheit her ja kein Unterschied und der einmalige Mehraufwand ist ja auch sehr überschaubar.



Der Sinn und Zweck eine Bankingsoftware ist dir scheinbar noch nicht allzu klar, denn der liegt nicht darin Zugangsdaten dort speichern zu können, damit es bequemer ist... Wenn das natürlich für dich der einzige Grund für die Nutzung einer Bankingsoftware war, finde ich dreißig Euro aber ganz schön teuer Hat deine Bankingsoftware wirklich keine Vorteile gegenüber dem Browserbanking?

Hi,
wie immer das Übliche Sicherheits- VS Bequemlichkeits-Problem.
Um mal einen (allseits beliebten) Vergleich mit PKWs zu machen.
Anschnallen find ich auch irgendwie unbequem und lästig. Trotzdem sollte man es machen.
Wenn nicht kann es gut gehen, aber wenn's knallt.......
Und natürlich ist der Gurt nicht alles. Wenn die Karre nur noch breit ist nützt der auch nichts mehr.
Niemand kann erwarten das eine Lösung 100%ig alle Probleme löst.
Man kann nur die Latte etwas höher legen.

Gruß,
Vader

Hallo,

ich will keinem auf den Schlipz treten.


Haste bedingt recht. Meine Bemerkung bezog sich aber auf Unterschrift i.V.m. einem "Trusted Network" aka "Persönlich bekannt". Die Karte ist völlig unsicher. Letztes WE habe ich mit so einem Ding vom Konto einer anderen Person Geld abgehoben und der Mensch am Schalter hat nicht einmal gezuckt. Leider musste die Kohle zuhause bei der Freundin abgeliefert werden.

Hallo,

ich denke nicht das Raimund ne EC Karte gemeint hat.

Gruß,
Vader

Hi,

Wenn es einen Unterschied ausmacht, von welcher Karte man die PIN weiss, ist Dein Einwand völlig gerechtfertigt.