Sichere PIN setzen

[Zaphod1]

Hallo,

wollte gerade die PIN ändern und da wurde mir angezeigt, dass ich nur eine fünfstellige(!) PIN verwenden kann, die auch nicht einmal Sonderzeichen oder Umlaute enthalten darf.

Ist das tatsächlich ernst gemeint? Nur 5 Stellen?

[as_no5]

Wenn es denn so dasteht... 😉

[Buntili]

Hallo @Zaphod1,

@as_no5 hat es bereits erwähnt. Die PIN darf nur fünfstellig sein (ohne Umlaute und Sonderzeichen). Jedoch wird nach dreimaliger Falscheingabe der Kontozugang gesperrt. Insofern ist die Sicherheit auch mit nur fünf Stellen gegeben.

Ich persönlich fände es auch besser, wenn man Umlaute und Sonderzeichen miteinbeziehen könnte und vielleicht sogar mehr als fünf Stellen möglich wären. Ich glaube aber eher, dass hier das gefühlte Sicherheitsgefühl eine sehr große Rolle spielt und man mit nur fünf Stellen einfach ein etwas ungutes Gefühl hat. Technisch gesehen spricht wohl wenig gegen die aktuelle Handhabung der Consorsbank.

Was ich aber als als sehr störend empfinde, ist die Tatsache, dass man bei telefonischem Kontakt zur erfolgreichen Legitimierung zwei seiner fünf Stellen der PIN mitteilen muss. Meiner Erfahrung nach funktioniert die Spracherkennung noch nicht besonders gut und ich fühle mich jedes Mal unwohl dabei, wieder zwei Stellen meiner PIN preiszugeben. Theoretisch gesehen könnte man so bei drei Anrufen seine komplette PIN preisgegeben haben. In Zeiten von Abhörskandalen unter Berücksichtigung aller technischen Möglichkeiten, finde ich dieses Vorgehen bei der Consorsbank etwas unverständlich. Vielleicht möchte sich hier mal ein Moderator dazu äußern. 🙂

Ich persönlich kommuniziere mit der Consorsbank aufgrunddessen nur noch in schriftlicher Form! So hat man auch gleich immer einen Nachweis der Kommunikation auf dem PC. 🙂

Viele Grüße

Buntili

[Zaphod1]

Accounts werden doch praktisch nie online über eine Web-Oberfläche geknackt; diesbezüglich reichen die 5 Stellen natürlich aus. Das Problem liegt doch eher darin, dass auch Consors mal kompromittiert werden könnte. Bei ordentlich verschlüsselten Passwörtern würde das Knacken jedes einzelnen den Angreifer ordentlich Rechenleistung kosten. Bei fünfstelligen Passwörtern mit reduziertem Zeichensatz dürfte es eine Sache von wenigen Stunden sein, bis dem Angreifer eine komplette Liste sämtlicher Zugangsdaten vorliegt. Natürlich kann sich Consors auf den Standpunkt stellen, dass die Systeme derart sicher sind, dass sie niemals gehackt werden. Aber diesbezüglich haben sich schon ganz andere Firmen geirrt (von Yahoo über diverse Kreditkartenfirmen bis hin zu lastpass, deren ganzes Geschäftsmodell auf der sicheren Verwaltung von Passwörtern beruht). Auf der anderen Seite: Die Tatsache, dass man sich mit einzelnen Stellen der PIN online authentifiziert, zeigt, dass die PINs im System im Klartext vorliegen müssen! Insofern würden auch längere Passwörter wohl nicht wirklich helfen. State of the art ist das alles jedenfalls nicht. Ich betrachte das als grob fahrlässig, und sollte es bei Consors jemals zu einem virtuellen Einbruch kommen, wird der Schaden erheblich größer sein als wenn zeitgemäße Sicherheitskonzepte verwendet würden. Von daher diente meine Ausgangsfrage vor allem auch dazu, den aktuellen Stand zu dokumentieren. Sollte was passieren, können die Verantwortlichen jedenfalls sich nicht darauf berufen, nichts von der Problematik gewusst zu haben.

[jb4711]

Hallo @Zaphod1,

der Schluß, dass die Online-PIN im Klartext vorliegen muß, ist nicht zwangsweise richtig. Vergleiche auch meinen Beitrag hier. In diesem Threat wurde die Thematik schon mal beleuchtet.

Viele Grüße JB4711

[Haggi]

Der Zeichenumfang bei Großbuchstaben, Kleinbuchstaben und Ziffern ergibt 2*26 + 10, also 62 Zeichen. 62^5 ergibt 916.132.832 mögliche PINs. Ich mache mir da wenig Sorgen. Meine bisherige Bank hatte sechsstellige PINs, aber nur aus Ziffern bestehend, also nur 1.000.000 mögliche PINs.

[immermalanders]

@Buntili, es ist auch nach 1.000 Legitimationen nicht möglich, dass ein Zuhörer die komplette PIN kennt. Bei den Abfragen wird jeweils eine Stelle der PIN niemals abgefragt. Wer es genauer wissen will, kann bei Betreuungsteam nachfragen... Man kann ja auch bei der Abfrage der Kontonummer schweigen und dann bei der Legitimierung durch das Team statt der PIN eine TAN vom TAN-Generator verwenden (man ruft ja in vielen Fällen vom Handy aus an, auf das die mTAN geschickt wird).

Etwas anderes ist es aber, wenn diverse Kunden bei der Frage nach zwei Stellen der PIN sofort die komplette PIN sagen. 

Aha und die Kommunikation per Post ist wirklich sicherer? Aus meiner Sich hat die Kommunikation per Post einen riesigen Nachteil, man wird es nie schaffen die First bei einem Mistrade einzuhalten...

Grüße

immermalanders