hallo Holger Fischer
so ganz korrekt sind deine Infos nicht
erstmal hat jeder Tan Generator bereits eine eigene Serienummer hinten dran,
die ist einmalig, genau die könnte man sehr wohl zum freischalten fürs eigene Online Banking benutzen, warum das extra kosten sollte erschließt sich mir nicht den diese Nummer existiert ja schon ,
und die Herstellung einer Pinaktivierung am Generator wird wohl - wenn überhaupt, so gut wie keine Extrakosten entstehen lassen, man betrachte sich doch nur einmal was das kleine Kästchen bereits kann und wieviel Tasten darauf angebracht sind, da ist jede menge Spielraum integriert,
eine Nummer mehr zur Aktivierung tut da keiner Bank weh
eine Kontoeröffnung gelingt ja auch nur durch eine Freischaltung durch eine Pin, warum also hier drauf verzichten ? Sicherheit geht doch vor !
da so ein Generator die Empfängerdaten anzeigt wie z.B. Kontonummer, Geldbetrag bis 2 Stellen hinterm Komma sowie eine Tannummer kommts auf eine einzige Nummer mehr eh nicht mehr an
außerdem hat sich z.B. eine Sparkassen Bank ein Riesen Geschäft durch die Finger gleiten lassen,
als Beispiel : eine 5 Köpfige Familie ,welche jedes Familienmitglied bei ein und derselben Bank ein eigenes Konto hat kann mit einem einzigen Tan Generator alle ihre Bankgeschäfte abwickeln, so hat man sich als Familie 40€ gespart
was mir auch suspekt ist : eine Tannummer ist 6 stellig, das bedeutet das nur 999999 Zahlen möglich sind, meine Prognose ist das innerhalb von 1 Woche alle Tannummern BRDweit benutzt worden sind, warum ? es gibt ja Millionen von Kunden bei ein und der selben Bank, irgendwann wirds da ja wohl eng werden, das das dann einfach so von vorne bei null beginnt ist aberwitzig
denn, so ein Tan generator kennt ja nicht die Anzahl an Kunden, deren namen und die Anzahl an Bankkarten, das 2 Kunden die selbe Tannummer benutzen klingt nicht nach Sicherheit
auch kann man jetzt nur noch mit großem Bildschirm arbeiten, ob da das Display eines handys oder IPhons groß genug ist ??????!!!!!!!!
weiterhin ist da aktuell keine Sicherheits Verbesserung gegeben, da braucht einer nur deine Karte reinzustecken und schon kanns losgehen, sich die Zugangscodes zu besorgen ist immer noch leider sehr einfach, geht nur mal an öffentliche Plätze an welchen sich geldautomaten befinden, diese Zugangspin ist sehr leicht abzulesen, aus der Entfernung via Fernglas z:B.
oder die Vorrichtung am Geldautomaten die per Attrappe ersetzt wurde...........
wie bereits erwähnt, die einmalige Freischaltung mit einer 4 bis 6 Stelligen Zahl um den Tan Generator freizuschalten hätte Pflicht sein müssen, entweder durch die Seriennummer des Generators, einer Pin oder durch die Individuelle einmalige Bankkartennummer die jeder von uns bereits hat
bin mir sehr sicher das dies irgendwann so kommen wird samt dem Zwang das jeder Kunde eine neue Bankkarte beantragen muß die zum neuen Generator paßt, , noch ists günstig, knapp 10€ ist zwar schon ne Frechheit aber was will man machen wenn man Online Banking attraktiv findet
schönen Tag euch allen
Alex
Zitat geschrieben von Holger Fischer
Hallo Nachteule,
vorweg kurz eine Einordnung als was Sm@rt TAN eigentlich gedacht ist, da dann auch die Einordnung der Sicherheit sinnvoller ist: Als Ersatz des papierhaften TAN Bogens.
Zu deinen Fragen:
Das Lesegerät, ist wie Du schon richtig angemerkt hast, ein Lesegerät. Der TAN Generator selber ist auf Deiner VR-Bankcard. Wie bei allen anderen TAN Verfahren auch liegt die Grundlegende Sicherheit in der Kenntnis eines Geheimnisses (PIN) und einer begrenzten Anzahl von Legitimationsdaten für die Freigabe eines Auftrags (TAN).
Das Einbringen einer Seriennummer des Lesegerätes in die Berechnung einer TAN, wäre von der Verwaltung erheblich aufwendiger (jeder TAN Kunde müßte sein Gerät registrieren lassen!), ohne das es einen echten Sicherheitsmehrwert bringen würde.
Wenn ich in der Lage bin die PIN auszuspähen/in Erfahrung zu bringen, bin ich sicherlich auch in der Lage in den Besitz dieses Lesers zu kommen und würde mir so vorab ein paar gütige TANs generieren können. Ohne dass es sofort bemerkt wird! Bei der papierhaften TAN funktioniert das genau so! Wenn ich den TAN Bogen irgendwo liegen sehe, kann ich mir auch die TANs abschreiben!
Die TANs mit einem Zeitstempel zu versehen, würde die Sicherheit in der Tat erhöhen, wenn es darum geht, dass jemand heimlich sich ein paar TANs hat generieren lassen oder heimlich generiert hat. Aber auch hier steht der Nutzen nicht in einem sinnvollen Verhältnis zur erhöhten Sicherheit. Derzeit gibt es mehr als 1.000.000 Sm@rt TAN Leser bei den Anwendern (Sm@rt TAN plus nicht mit gezählt). D.h. Man müsste sicherstellen, dass diese alle eine Uhr enthalten, die synchron mit der Uhr im Rechenzentrum läuft und ggf. nachgestellt werden kann. Dies würde das Verfahren und die Geräte deutlich teurer machen und würde dennoch nicht vor dem Ausspähen der TANs und direkter Nutzung schützen. Wenn Du also ein Trojaner auf deinem PC hättest, der die TAN bei der Eingabe abfängt und direkt benutzt, ist die TAN genauso (un)sicher wie die einer Sm@rt TAN oder eine Papier TAN, oder einer indizierten TAN (wenn der Trojaner das geschickt "anfängt"). Das heißt im Vergleich mit der papierhaften TAN ist Sm@rt TAN sicherer (begrenzte Gültigkeit der generierten TAN und es ist nur eine bestimmte Anzahl von TANs gleichzeitig gültig), wenn Du einen echten Sicherheitsmehrwert haben möchtest und bei der TAN bleiben möchtest, bringt Dir nur ein Verfahren etwas, bei der die TAN einen Bezug zum Auftrag hat, den Du auf einem unabhängigen Weg kontrollieren kannst. Dies sind derzeit die mobile TAN und die Sm@rt TAN Weiterentwicklung Sm@rt plus. Bei der fließen immer Daten des Auftrags in die TAN Berechnung ein, den Du grade verschickt hast. Aber vor einem Diebstahl der Karte und dem gleichzeitigen Ausspähen der PIN schützt das verfahren natürlich auch nicht. (Dir nutzt eine Alarmanlage im Auto auch nichts, wenn Dir der Autoschlüssel gestohlen wird.....)
Gruß
Holger