Sicherheit der 5-stelligen PIN

[Dalton]

Ich plädiere für eine PIN mit mehr als 5 Stellen!

Die Erklärung der Consorsbank dazu, wie gering das Risiko ist, ist zwar rein inhaltlich nachvollziehbar. Aber warum wird bei meinen anderen ca. 50 Online-Accounts ein mindestens 8-stelliges Passwort gefordert und ausgerechnet von meiner Bank eine kürzere PIN? DAS ergibt KEINEN Sinn! Und: Warum überlässt man nicht dem Kunden die Entscheidung und legt 5 Stellen als minimale Anzahl fest? Wer will, richtet eine längere PIN ein. Dadurch hat doch niemand einen Nachteil!?

[MrDausend]

Aber warum wird bei meinen anderen ca. 50 Online-Accounts ein mindestens 8-stelliges Passwort gefordert und ausgerechnet von meiner Bank eine kürzere PIN? DAS ergibt KEINEN Sinn!

Hier muss ich leider widersprechen: Das macht sehr wohl Sinn. Der entscheidende Unterschied ist der, dass der Kontozugang nach drei PIN-Fehlversuchen gesperrt wird. Das ist bei den ca. 50 Online-Accounts nicht der Fall. Hier könnte ein Computer also alle theoretisch alle denkbaren Kombinationen ausprobieren. Deshalb gibt es in so einem Fall andere Anforderungen an ein Passwort. Die PIN zum Geld abheben hat sogar nur 4 Ziffern und trotzdem gibt es quasi kein Risiko, dass jemand mit einer gefundenen oder geklauten Karte Geld abheben kann.

Warum überlässt man nicht dem Kunden die Entscheidung und legt 5 Stellen als minimale Anzahl fest? Wer will, richtet eine längere PIN ein. Dadurch hat doch niemand einen Nachteil!?

Den Punkt kann ich nachvollziehen - allerdings ist das wohl nicht auf Knopfdruck zu ändern, sondern die IT muss es "einbauen". Insofern entstehen zumindest intern Kosten - wie viel oder wenig das auch sein mag.

[frascha01]

dem kann ich mich nur anschließen! bei meinem letzten tagesgeldkto. konnte ich mehr als 8 stellen/zeichen in kombination sowie in groß-kleinschreibung eingeben. zusätzlich gab es nach dem benutzer-id und der pin-eingabe noch eine sicherheitsabfrage, die per zufall von zuvor drei generierten antworten gestellt wurde.

zudem frage ich mich was das soll, wenn bei telefonanfragen zur legitimierung, nach zwei zeichen aus der pin gefragt wird, alternativ eine tan übermittelt werden muss?! wirkt alles etwas zu locker im umgang mit sensiblen daten im finanzgebaren in dieser zeit.

hier sollte sich zügig was tun!

[CB_Sonja]

Hallo @Dalton,

vielen Dank für Ihre Anregung. Allerdings wurde dieses Thema bereits mehrfach in der Community diskutiert. Bitte finden Sie hier unser offizielles Feedback dazu.

Da das Thema bereits abschließend geklärt wurde, habe ich Ihre Idee in den Feedback-Bereich umgezogen.

Beste Grüße,

Sonja

Community Moderator

[Dalton]

Ihr Vorgehen kann ich leider nicht nachvollziehen:

Nur weil Sie das Verfahren für sicher halten, bedeutet dies ja nicht, dass Ihre Kunden die 5-stellige PIN sicher finden. Das Thema einfach zu unterbinden kann für uns Kunden keine zufriedenstellende Lösung sein.

Ich wüsste wenigstens gern, welches die genauen Gründe dafür sind, dass Sie keine längeren PINs zulassen! Einen echten Grund dafür nennen Sie auch in den FAQs leider nicht.

[CB_Sonja]

Hallo @Dalton,

wir verstehen natürlich Ihre Bedenken bzgl. der Sicherheit unserer PIN und nehmen diese ernst. Das Thema Sicherheit ist für die Consorsbank ebenso wichtig wie für unsere Kunden.

Gerne gehen wir daher auf Ihre Rückfrage ein und möchten Ihnen noch einmal im Detail versichern, dass die im Rahmen unserer FAQ genannte – und von unseren Sicherheitsexperten gelieferte – Argumentation transparent erläutert, warum wir das gegebene Verfahren für eine sehr sichere Variante halten. Bitte finden Sie hier noch einmal die relevanten Punkte:

• „Die 5-stellige alphanumerische PIN schütz Ihren Kontozugang sehr effektiv. Die Kombination aus fünf Buchstaben (jeweils in Groß- oder Kleinschreibung) und Zahlen bedeutet, dass es über eine Milliarde verschiedener Möglichkeitengibt, die PIN zusammenzusetzen.“ 

• „Die Wahrscheinlichkeit, dass ein Angreifer die richtige PIN errät, ist außerordentlich gering. Zudem hat ein Angreifer nicht unendlich viele Möglichkeiten, um die richtige PIN zu finden. Nach drei Fehlversuchen wird der Konto-/ Depotzugang gesperrt, somit ist eine sogenannte ‘Brute-Force-Attack‚ bei der computerunterstützt einfach alle theoretisch denkbaren xxx Mio. Kombinationen ausprobiert werden, nicht möglich. “Die Wahrscheinlichkeit mit drei Versuchen unsere fünfstellige PIN zu erraten, liegt bei rund 1 zu 300 Mio.“ 

• „Mit der PIN alleine können keine Transaktionen ausgeführt werden. Für jede Überweisung etc. ist zusätzlich eine TAN notwendig. Und die Verwendung der mobilen TAN oder des TAN Generators erhöht die Sicherheit auf ein Maximum.“

Sofern Kunden dennoch Bedenken haben, akzeptieren wir das natürlich und somit auch die daraus evtl. resultierenden Konsequenzen.

Sicherlich ist das Thema immer aktuell. Unsere Sicherheitsexperten beschäftigen sich mit allen bestehenden und Möglichkeiten und drohenden Gefahren.

Mit besten Grüßen,

Sonja

Community Moderator

[Sparer0815]

Hallo,

also ich finde das ein 5 stelliges Passwort viel zu kurz ist. Selbst die einfachsten Shops haben bis zu 15 stellige Passwörter. Es wäre schön wenn man selbst die Länge so wählen kann wie man will.

Alleine bei e-bay habe ich schon ein 12 stelliges. 5 ist zu wenig und zu leicht zu knacken.

MFG

[immermalanders]

Hallo @Sparer0815,

aha... Also ein 5 stelliges Kennwort ist mit wenigen Versuchen leichter zu erraten als ein 12 stelliges? Bei langen Kennwörten besteht eine viel größere Gefahr, dass dann Nutzer ein Kennwort für alles verwenden, und dann ist es egal ob es kurz oder lang ist.

Ich behaupte nicht, dass ein längeres Kennwort nicht sicherer ist, aber es kommt auch auf die Begleitumstände an. Wie viele Internet-Shops haben schon ihre Userdaten inklusive Kennwörtern verloren? Zu viele und dort wurden die Kennwörter sicherlich nicht besonders geschützt (kostet CPU-Zeit und müsste individuell eingerichtet werden -> macht leider nicht wirklich jemand)...

Grüße

immermlanaders

[pib]

Wer nicht glaubt das fünfstellige Passwörter sehr leicht per Brute-Force ermittelt werden können, der sollte vielleicht mal ein paar Testpasswörter auf den folgenden Webseiten eingeben (bitte keine echten Passwörter eingeben):

https://password.kaspersky.com/

https://howsecureismypassword.net/

Von mir aus soll wer will weiterhin fünfstellige Passwörter verwenden.

Aber bitte gebt dem mündigen Anwender auch die Möglichkeit sich für längere Passwörter zu entscheiden.

MfG,

pib

[flaks]

Bitte nicht schon wieder...

Brute-Force ist für diesen Zugang kein Angriffsvektor, da nach 3 fehlgeschlagenen Versuchen gesperrt wird.

Fünf Zeichen sind dafür ausreichend sicher.