Hallo,

neulich las ich in einer Ausgabe der Zeitschrift "gi geldinstitut" ein Interview mit einem "hohen Tier" der VR-Banken. Dabei ging es um die neuen Debitkarten, welche seit Ende letzen Jahres ausgegeben werden. Unter anderem ging es dabei auch um digitale Signatur und den Chip der auf diesen Karten verwendet wird.

Was meine Aufmerksamkeit erregte, war die Tatsache, dass es angedacht ist, dass der Kunde sich selber TAN´s für Onlinebanking mit PIN/TAN erzeugen kann. Ich finde dies eine prima Sache. Das Kreditinstitut spart sich die kostenintensive Anfertigung von TAN-Verzeichnissen - vom personellen Aufwand ganz zu schweigen. Und der Kunde profitiert von der schnellen Verfügbarkeit der neuen TAN´s.

Frage: Ist dieses Verfahren auch schon bis in die Filialen vorgedrungen oder nur eine fixe Idee welche schon wieder in der Versenkung verschwunden ist?

Nur wie das ganze in der Praxis funktionieren soll wurde nicht erläutert. Aber irgendwie muss der Kunde dennoch in die Filiale, da er i.d.R. ein "PIN/TAN Kunde" ist und somit in der Regel kein Kartenlesegerät (was für die Legitimierung erforderlich ist) für die Karte besitzt.

Schöne Grüße
Daniel

Ja, ich kann das ganze auch soweit bestätigen, bin aber mit einer Voraussage, was den Einführungszeitpunkt angeht, vorsichtig.

Die Selbstgenerierung setzt ein entsprechendes Chipkarten-Lesegerät mit Display voraus (sieht aus wie ein Geldkartenleser mit Taste) und eine dazu geeignete Smart-Card (als Allgemeinbegriff). Die zukünftigen Bank-Karten mit Chip werden die Funktion integriert haben.

Da die dazugehörige Karte ja eh nur gegen Quittung oder mit getrennten Init-PIN herausgegeben wird, ist die Erst-Legitimation gesichert.

Bei der Bank muss - zumindest soweit ich weiß - eine Umstellung in der EDV erfolgen von klassischer TAN-Bogen-Zuordnung zur Chipgenerierten TAN-Verwaltung.

Funktionieren tut ´ s prima - gesehen hab ich es auf der Cebit.

Die ersten VR-Banken werden die Einführung hoffentlich bald zusammen mit dem zyklischen Kartenwechsel (sogen. Hauptausstattung) vornehmen können. Allen Eiligen bleibt wohl auch die Möglichkeit, Spezialkarten zu bestellen.

Hallo Raimund,

der Kunde geht also in die Filiale schiebt seine Karte in das Terminal und bestätigt das ganze mit seiner PIN. Anschließend bekommt es einen neuen TAN Block ausgedruckt.

Frage: Ist diese Verfahren nur für die Filialen gedacht oder besteht auch die Möglichkeit sich zu Hause (mit entsprechender Hardware) TAN zu generieren?

Gruß
Daniel



<!--EDIT|hochexplosiv|13.04.2003-->

Hallo Daniel,

der Witz an der ganzen Sache ist, dass kein TAN Bogen ausgedruckt wird.
Die ganz normale EC Karte (mit Chip) wird eine Zusatzanwendung auf dem Chip haben, der sogenannte TAN Generator. Der Anwender geht also - wenn er eine TAN braucht - hin, steckt die Karte in ein geignetes Lesegerät und bekommt eine TAN angezeigt.

Die (Mathematische) "Kunst" ist es , dass das Rechenzentrum prüfen kann, ob diese TAN gültig ist.

Bei den VR-Banken ist es geplant, dass ab Ende des Jahres, die ersten Karten mit TAN Generator ausgegeben werden. Dies soll übrigens dann die gleiche Karte sein, auf der parallel die Signaturfunktion läuft und eine HBCI Anwendung und EMV und Geldkarte..........

Wir werden demnächst also einen kleinen hochleistungs Rechner in der Brieftasche haben.


Gruß

Holger



<!--EDIT|Holger Fischer|13.04.2003-->

hallo Holger,

das mit dem TAN Generator habe ich soweit verstanden. Muß der Kunde nun dennoch in die Filiale gehen (wegen dem Kartenleser mit Display), um sich die TAN anzeigen zu lassen? Bekommt der Kunde nur "eine" TAN angezeit? Muß er sich die TAN abschreiben (es wird kein TAN Bogen ausgedruckt).

Von der Logisik (von Kundenseite) her habe ich das noch nicht so richtig verstanden...

Oder kann der Kunde ein entsprechenden Leser erwerben, wo man man sich zu Hause die TAN´s generieren kann?

Hallo Daniel

nein, der Kunde holt sich ein Lesegerät, welches in der Lage ist, die TAN anzuzeigen. Lesegeräte wird es in der Form eines kleinen Taschenlesers geben - ähnlich dem Geldkartenleser "minijack" von Reiner. Diese Leser sollen für wenig Geld erhältlich sein. Ich schätze aber, dass auch die üblichen HBCI Kartenleser die TAN entsprechend abfragen werden können. Der Anwender steckt dann nur noch seine Karte in den Leser, drückt auf das Knöpfchen und bekommt eine TAN angezeigt. Drückt er wieder auf das Knöpfchen erscheint eine neue TAN usw. usw.

Wie gesagt, die Kunst ist es hierbei, zu wissen, dass die eingereichte TAN für den Kunden gültig ist. ( Vorallem dürfte der Anwender, wenn er den Leser und die Karte erhält mal probieren, ob die Kombination funktioniert.)

Gruß

Holger

Hallo Holger,

so weit so gut.

Frage: Wenn mit einem HBCI Kartenleser; muß der Kunde dann einen Leser mit Display haben oder zeigt die Software dann die generierte TAN auf dem Computerbildschrim an?

Für mich hat die Sache jedoch einen entscheidenden Nachteil aus Banksicht. Man kann nicht mehr überprüfen, welche TAN der Kunde eingegeben hat, wenn es zu einer Ablehnung seitens des Bankrechers kommt (und ob diese gültig war). Die Bank kennt schließlich nicht die generierten TAN, solange nichts am Bankrecher ankommt.

Folge: Der Kunde kann mit der Bank rumdiskutieren welche TAN er eingegeben hat und ob es wirklich die war, welche er sich generiert hat.

Man kann bei einigen Banken online in den Online-Protokollen nachsehen



Tja, die Diskussion bleibt einem doch eh nicht erspart. Im Zweifelsfall hat der Kunde immer recht und dar TAN-Generator einen Stromausfall gehabt oder das Display ist kaputt und eh schlecht lesbar...

Hallo Daniel,

beide Varianten sind denkbar. Wobei die Variante des Kartenlesers mit eigenem Display die erste Lösung sein wird. Den gleichen Kartenleser - nur mit anderer Elektronic - habe ich derzeit am Schlüsselbund, um meine Geldkarte jederzeit prüfen zu können - wichtig, da wir in unserer Kantine sonst nix zum Essen erhalten!

Wenn ich mich recht erinnere, wird der Leser um die 5 Euro kosten, also nicht die Welt!



Der Nachteil ist aber nur unwesehntlich größer als er zur Zeit schon ist. Der Vorteil ist, dass der Anwender nicht zweimal die gleiche TAN eingibt, weil er vergessen hatte eine zu streichen. Der Tanbogen entfällt. Wenn ich in den Urlaub fahre und im Internetcafe eine Überweisung tätigen möchte, habe ich meinen "TAN Bogen" immer dabei.

Sicherlich gibt es viele Punkte die dagegen sprechen. Ich denke aber, die Vorteile auf Bank und auf Kundenseite überwiegen.

Gruß

Holger

Hallo zusammen!

Ich kann das Verfahren nur begrüssen, denn dann hat die lästige TAN-Bogen-Verwalterei wirklich mal ein Ende. Für den Kunden und für die Bank wird´s einfacher.
Technisch wird das wie schon geschrieben zum Jahresende 2003 mit der Ausgabe der neuen EC-Karten möglich sein. Die Umsetzung in den Volksbanken wird wahrscheinlich erst 2004 erfolgen. Wir warten einfach ab und sobald sich in dieser Richtung wieder etwas tut wird man hier sicherlich wieder etwas darüber lesen können.

Interessant ist ganz nebenbei, dass uns hier eine Sache als technische Innovation verkauft wird, die für unsere orangen Nachbarn (NL) mit einer etwas anderen Lösung schon lange tägliches Praxis ist. In Deutschland dauert vieles halt etwas länger...

Gruss
Thomas

Hi Thomas,

ständige Bemerkungen in dieser Richtung hat am DG-Verlag-Stand den Programmierer etwas geärgert und er hat auch einige technische Informationen dazu herausgerückt, warum wir das in D alles besser machen.

Wahrscheinlich bedeutet das, daß wir dazu noch einen Verein gründen, einen Dachverband der TAN-Nutzer aufbauen und natürlich einige Tonnen Papier ( :deal: ) in Form neuer Kundenvereinbarung in x-facher Ausfertigung schwarz machen...

Holger Fischer, 14.04.2003


Ich habe heute mit Herrn Sommer von Reiner-SCT telefoniert. Genau diese Möglichkeit ist geplant. Also eine weitere Nutzungsmöglichkeit der Chipkartenleser. Ob allerdings ein Kartenleser "NUR" für diese Funktion sinnvoll ist, bleibt dahingestellt.

Udo

Was mir mit dem Verfahren bis jetzt noch nicht ganz klar ist, bzw. seinerzeit vergessen habe zu fragen:
Kann ich damit auch TANs auf Vorrat produzieren und die dann aus Bequemlichkeitsgründen in meiner Software eingeben oder verfallen die generierten TANs sofort, bzw. nach Eingabe einer aktuelleren (dann spielt die Reihenfolge eine Rolle).

Wenn nein, dann muss ich meinen TAN-Producer immer griffbereit haben.

Wenn ja, dann muss ich genauso höllisch auf die Kombi Chip/Leser wie auf den alten Bogen aufpassen, weil mir ja sonst jeder relativ unbemerkt einen TAN abkupfern kann.


Bei der Methode kann kann ich einen überflüssigen TAN-Bogen nicht löschen, oder? Kann ich als Kunde meinen TAN-Generator (online) sperren?

Ach - btw: Schön das du wieder da bist, Udo!



<!--EDIT|Raimund Sichmann|15.04.2003-->

Moin moin,

so wie ich das System verstanden habe, wird die TAN vom HBCI-Teilsystem der dann einheitlichen ZKA-Signaturkarte (normale ec-Karte mit RSA-Unterstützung der neuen Generation) erzeugt. Bei uns zumindest, kann man die HBCI-Funktion unabhängig vom Rest der Karte deaktivieren (ist aber noch keine der neuen Karten). Somit wäre die Möglichkeit der Sperre theoretisch gegeben....

Hallo Cap,
wird die Sperre bankseitig oder auf der Karte selbst eingerichtet?

Die Sperre wird bankseitig eingerichtet. Ich kann einfach die HBCI-Funktion unserer ausgegeben Karten deaktivieren. Das bedeutet nicht anderes, als das der HBCI-Host die Karte während der Dialoginitialisierung ablehnt (Kriterium ist die Kartennummer). Genausogut kann ich aber auch den HBCI-Vetrag (die Benutzerkennung) sperren. Die Karte selber wird dabei nicht verändert oder benötigt.

Ach ja... die Sperre von Karte und HBCI-Vertrag kann der Kunde genausogut selber auslösen, dazu dient ja der GVV HKSSP. Der Sperrgrund ist dann natürlich nicht die Bank sondern es ist eine Kundensperre. Eine automatische Sperre von Karte und Vertrag gibt es auch noch, wann die auftritt weiss ich aber nicht wirklich. Eine falsche PIN führt ja nur zur endgültigen Selbstsperre der HBCI-Funktion innerhalb der Karte. Warum sonst sollte das System sperren? Vielleicht weil ein Kunde ständig versucht, über seinem eigenen Limit Überweisungen abzusenden oder ständig ohne vorhandene Kontodeckung überweisen will?

Aber wie gesagt, das sind noch nicht die ZKA-Chipkarten mit Signaturfunktion, sondern die derzeit bei uns üblichen DDV1-Chipkarten aka kontogebundene oder kontoungebundene Geldkarte mit HBCI-Funktion.



<!--EDIT|Captain FRAG|28.07.2003-->

Ich glaube nicht, dass so oft eine Sperre notwendig sein wird. Im Zweifel wird die Karte halt gesperrt. Aber der Kunde kann sich einfacher VORHER absichern.

Denn er kann entscheiden, ob seine Karte bzw. sein Chip beim TAN-Generieren eine PIN verlangen soll. Dazu soll es gesonderte Taschen-Kartenleser mit Nummernblock geben.

Der Mißbrauch ist damit mehrfach ausgeschlossen. "Kriminelle" bräuchten die Karte, die freiwählbare "TAN-PIN" der Karte UND die PIN zum Onlinebanking.

Die Lösung mit einem TAN-Generator nutzen sogar heute schon einige Banken, z.B. die Neue Aargauer Bank.

Hier wird aber keine TAN von einem Chip auf einer Karte generiert, sonder ein Token im Chipkartenformat ausgegeben, der ständig neue TAN generiert. Am Bankrechner ist der gleicher Algorythmus hinterlegt.

Funktioniert alles wunderbar. Nachteil, der Token ist nur für eine Lebensdauer von ca. drei Jahren ausgelegt.

Hier der Link der Herstellerfirma: <a href='http://www.rsasecurity.com' target='_blank'>http://www.rsasecurity.com</a>

Gruß Peppone :bigok:

Hallo,

das System soll mit den Seccos-Karten funzten. Das wird gerade vom SIZ entwickelt. Die Firma Reiner entwickelt dafür gerade einen Token dafür. Der Klasse 2 und 3 Leser sollen das auch stationär können.
Auf der Cebit im letzten Jahr hatte Kobil ein solches System schon vorgestellt und der Kobil Standart soll schoch mit einer Seccos-Karte eine Tan generieren können!

Es wird eine Kartesperre geben, die sowohl vom Kunden als auch vom KI ausgeführt werden kann. Der Kunde wird dann die Möglichkeit haben die Karte für jeden Zugangsweg zu sperren.

Über die Sicherheit würde ich mir keine Gedanken machen, solange es noch Disketten-HBCI gibt

Das System ist allerdings nicht neu sondern wird zum Beispiel auch schon länger in Holland eingesetzt.

Soweit ich mich erinnere hatte Reiner am Stand des DG-Verlags auf der diesjährigen Cebit ein funktionsfähiges Gerät.