Online Bank Festgeld eventuell auch Tagesgeld/Kreditkarte bei guten Konditionen

[HeadsetKauf]

Ich habe gerade mein C24 Bank Konto geschlossen nachdem mir der Telefonsupport (verpackt in jede Menge Marketing) bestätigt hat das die keinerlei unabhängigen 2. Faktor anbieten.
Ich dachte erst ich seh nicht richtig, ist das überhaupt legal? Tja Das Internet ist halt #Neuland...

Da das hier ein IT Forum ist muss ich vermutlich nicht erläutern warum alles was unter dem selben Betriebssystem läuft kein unabhängiger 2. Faktor ist. Der Support Mitarbeiter wollte das nämlich nicht einsehen. Gut, klar selbst wenn er es verstanden hätte Firmenpolitik ist Firmenpolitik...

Wie sieht das bei anderen Online Banken aus?

Konkret würde ich mich für Credit Plus interessieren: Creditplus Bank

Mir geht es aktuell um Festgeld. C24 Vertgleich dazu kenne ich, daher die Geschichte mit der c24 Bank. Damit wäre alles einfacher, aber sowas geht halt garnicht.

 

[Zoldan]

Was verstehst Du denn genau unter "keinerlei unabhängigen 2. Faktor" bzw. wie ist das denn genau bei der C24 Bank realisiert?

 

[HeadsetKauf]

Irgendetwas das nicht mit der selben Sicherheitslücke die Speicherzugriff auf dem einen Gerät ermöglicht abgefangen werden kann.

Übliche Ansätze wären:

RFC 6238: TOTP: Time-Based One-Time Password Algorithm

This document describes an extension of the One-Time Password (OTP) algorithm, namely the HMAC-based One-Time Password (HOTP) algorithm, as defined in RFC 4226, to support the time-based moving factor. The HOTP algorithm specifies an event-based OTP algorithm, where the moving factor is an event...

datatracker.ietf.org

Email TAN
SMS Tan auf einer anderen Nummer (hier ginge das vielleicht wenn man es einrichtet und dann die Sim Karte in eine anderes Gerät einsetzt. Aber die App hat während meiner 2 Tägigen Nutzung schon eine Rufnummer re-validierung angefordert. Also denke ich nicht das sowas in der Praxis funktionieren wird.)

Bei der C24 Bank läuft alles direkt über die App und man kann keine zusätzliche Sicherheit einstellen. Die App ist KEIN Zusatz zum regulären Online Banking, das geht auch nur über die App.

Die Ist-Situation bedeutet also das man nur Systemzugriff auf einem Smartphone bekommen muss und dann frei über alles verfügen kann. Und ein derartiges Vertrauen verdienen die mobilen Betriebssystem meiner Meinung nach nicht. Beim regulären Online Banking tut meine Hauptbank das nicht mal bei einem richtigen Betriebssystem (unbegrenzt, kleine Überweisungen gehen teilweise ohne TAN, aber dort kann ich Limits festlegen die eine separate TAN benötigen...). Es ist einfach grob fahrlässig.

Ja das wäre der nächste Punkt, man kann dort auch keine Limits festlegen die eine zusätzliche Bestätigung außerhalb der App erfordern. Damit sind die halt reines Placebo.
Irgendein separater TAN würde das Problem lösen. Selbst eine antike TAN Liste wäre besser. Natürlich nach heutigen Maßstäben Inakzeptabel weil es ja rfc6238 gibt. Ich war ehrlich schockiert das es Banken gibt die das nicht nutzen in irgendeiner Form. Die Fidor Bank zB hat das auch genutzt, auch wenn es dort glaube ich nur Optional war, aber wäre ja in Ordnung.

Karten TAN Geräte nutzen zum Beispiel sowas wie rfc6238 falls dir das nichts sagt. Da liegt das Geheimnis dann in der Karte und der Rest kommt aus dem Code den du scanst (Zeit/Transaktionsdetails). Daher brauchen die Geräte keine (interne) Uhr.

 

[BurnerR]

Wie sieht das bei anderen Online Banken aus?

Bei DKB benutze ich das "ganz normale" ChipTAN Verfahren.

Konkret würde ich mich für Credit Plus interessieren

Die gehören ja anscheinend zu einer riesigen französischen Bank. Welche Verfahren die anbieten - findest du bestimmt raus. Würde mich persönlich aber wundern, wenn die kein ChipTAN o.ä. anbieten.

 

[HeadsetKauf]

Ja, gewundert habe ich mich. So kann man das formulieren.

Deswegen dachte ich ich frage hier mal nach ob so ein Blödsinn jetzt üblich ist oder ob C24 einfach besonders scheisse ist. Und das klingt jetzt nach einfach besonders Scheisse und ich kann bedenkenlos die nächste testen. Denn Separate TAN Systeme sind durchaus die Norm (auch bei anderen online Banken) und ich muss sowas nicht nochmal erwarten.

Ganz im ernst am Telefon war ich unter Schock: Das kann doch nicht sein? Wie kann eine Bank schlechtere Security haben als irgendwelche Online Games? Das muss doch ein Missverständnis sein oder? Vielleicht muss ich nur was anderes Fragen? Aber was? Ich habe ja schon nach einem separaten TAN gefragt.

Also habe ich dann nach ein paar Sekunden nur noch gefragt wie ich das Konto schließe und bin dieser Anweisung dann gefolgt.

Was kommt als nächstes? Aktivierte Karten verschicken damit die Postboten damit schon bezahlen können ohne sie aus dem Umschlag zu nehmen?

Ich habe mir die DKB angesehen:
Die wäre so wie es aussieht auch von den Festgeld Konditionen Okay für 2 Jahre. Wie funktioniert das Bonus System bei der Visa? Gibts das auch bei der kostenlosen? Ich habe noch nie einen Debit Karte benutzt, aber ich denke die wird wohl auch überall akzeptiert wo die Visa Charge Karten gehen oder?

Charge war mir bisher auch lieber weil ich Gebühren auf Lastschriften zahle. Und dann kommt halt nur eine im Monat. Aber da wäre das wohl kostenlos oder?

 

[BurnerR]

Deswegen dachte ich ich frage hier mal nach ob so ein Blödsinn jetzt üblich ist oder ob C24 einfach besonders scheisse ist.

Ehrlich gesagt ist das nicht mehr unüblich heute. Menschen wollen halt "einfach einfach einfach" und da Menschen heute sehr viel am Smartphone machen soll halt alles da "ohne Probleme" funktionieren. Ich hatte in den letzten Jahren die Erkenntniss, dass das lustig machen über den Spruch "Neuland Internet" sehr oft Ablenkung von der unangenehmen persönlichen Wahrheit ist.

 

[Zoldan]

Ehrlich gesagt ist das nicht mehr unüblich heute. Menschen wollen halt "einfach einfach einfach" und da Menschen heute sehr viel am Smartphone machen soll halt alles da "ohne Probleme" funktionieren. Ich hatte in den letzten Jahren die Erkenntniss, dass das lustig machen über den Spruch "Neuland Internet" sehr oft Ablenkung von der unangenehmen persönlichen Wahrheit ist.

Da ist sicher auch (sehr viel) was Wahres dran, was Du schreibst. Als Anbieter eines solchen Service (Online Banking) sollte man sich auch der Frage stellen, was unter dem Strich besser, sowohl für das Unternehmen, als auch für den Konsumenten ist.

Wenn man ein sehr sicheres System aufbaut, was aber für den User zu umständlich ist bedient zu werden, dann bringt es im Endeffekt auch nichts.
Ein Beispiel wäre aktuell für mich die Einrichtung der ePA. Aus meiner Sicht eine absolute Katastrophe, die technisch nicht affine Leute in die Verzweiflung treiben wird!

Ein anderes Beispiel aus meinen Unternehmen: Unsere User waren angehalten alle 100 Tage sich selber ein neues Passwort zu vergeben um compliant zu bleiben. Schon lange hat das BSI von dieser Praktik abgeraten, weil unter dem Strich folgendes passiert:
1. Der User vergisst zu häufig sein aktuelles Passwort -> Anzahl der Support-Tickets erhöht sich
2. Der User vergibt ein leicht zu merkendes Passwort -> Risiko das Passwort zu "erraten" steigt
3. Der User schreibt sich das aktuelle Passwort irgendwo auf -> Trägt ebenso wenig zur Sicherheit bei

Stattdessen wurde dieses Jahr ein permanentes Passwort eingeführt, was nicht erneuert werden muss. Dafür muss das Passwort gewisse Bedingungen erfüllen (Sonderzeichen etc.). Allerdings scheint es so zu sein, dass die User sich solch ein Passwort besser merken können, denn die Anzahl der Support-Tickets ist deutlich zurückgegangen.
Natürlich wäre es sicherer auch ein solches Passwort regelmäßig zu ändern, aber es ist eben in der Breite einfach nicht machbar. Menschen und sich ständig veränderende Informationen nicht nicht kompatibel zu einander.

Mal sehen wie das Zeitalter von Passkeys die Sache verändern wird.

 

[one]

lange hat das BSI von dieser Praktik abgeraten

Eigentlich rät der BSI schon sehr lange etwas anderes. Ein Zwang zum häufigen Passwortwechsel hat nur eins zur Folge: unsichere Passwörter. Eigentlich rät man ins Gegenteil. Sicheres Passwort, fertig. Genau so, wie es scheinbar nun bei euch praktiziert wird.

 

[drfuture]

Der erste Faktor ist das Gerät an sich, das zweite der Pin.

Den Pin kann ich evtl mit vollem Systemzugriff anfangen. Diesen muss man aber auch erst einmal auf einem fremden Handy erlangen.
Eine normale App, auch mit Zugriff auf Dateisystem etc reicht hier ja erst einmal nicht.

Klar gibt es auch hier wie bei jedem Betriebssystem einmal Sicherheitslücken. Das diese aber beliebigen Code mit root ausführen ist aber schon sehr selten.

Das Gerät selbst ist soweit ich weiß eine Art Zertifikat das auf Basis von imei und anderen einmaligen Parametern des Systems erstellt wird und nur auf diesem Handy funktioniert - selbst wenn du es schaffst dieses zu klauen.
Ob dann auch das Handy voll Virtualisierung werden kann? Gute Frage....

Dann kommt aber noch dazu, das dann bei einem Diebstahl die Bank haftet und nicht der Verbraucher.

Das in Summe macht das Problem für mich zu einem rein akademischen Problem und nicht zu einem das mich als Verbraucher - egal ob IT Experte oder nicht - tangiert.

 

[one]

Bei einem Diebstahl müsste man das Smartphone aber auch erstmal entsperren können. Eigene Verantwortung?

 

[drfuture]

+ PIN-Code ja

 

[one]

Auf die Entschlüsselung meines Smartphones hat die SIM-PIN keinen Einfluss. Auch für das Banking gibt es keine PIN. Die PIN kannste gerne haben. Aber machen kannst du damit nix. Nicht mal das Display entsperren.

 

[drfuture]

Ich meinte einen Banking Pin. Außer Handy entsperren braucht man bei dir nichts um das Konto leer zu räumen?
Gut das finde ich dann auch etwas wenig.

 

[one]

Außer Handy entsperren braucht man bei dir nichts um das Konto leer zu räumen?

Ich glaube du hast mich falsch verstanden.

Das Handy entsperren wäre die erste Aufgabe, bei der keine SIM-PIN helfen kann. Es ist die Geräte-PIN oder ein Fingerabdruck erforderlich. Die Banking-App wiederum öffnet sich auch erst nach Fingerprint-Abgleich. Dann könnte man ganz toll meine Umsätze und den Kontostand angucken, Geld transferieren ist aber nicht möglich. Auch nicht mit einer Banking-PIN.

Ganz davon abgesehen: wenn ich den Verlust meines Handys bemerken würde, würde ich schauen, ob es an ist und unwiderruflich sperren. Wenn es sowieso aus ist, wäre mir das recht egal, denn dann braucht es zum Entschlüsseln noch mehr.

Sollte es jemand versuchen zu entsperren (bei eingeschaltetem Gerät) und scheitern, übermittelt es mir bei jedem falschen Versuch ein Bild der Frontkamera inkl. GPS-Daten.

Meine Aussage ist eher: du kannst mein Smartphone gerne haben. Mach was du willst, aber erreichen wirst du gar nichts. Du müsstest dann halt langsam anfangen zu beten, dass ich dich nicht finde.