Liebe Community und Consorsbank,
vergebt mir, wenn dieses Thema vielleicht schon mehrfach angesprochen wurde.. aber ich mache mir ein wenig Gedanken zum Thema Sicherheit der Bankguthaben und habe mich gefragt, ob ich ggf. Mißverständnissen unterliege.
Also.. ich nutze einen TAN-Generator und habe "ein paar Konten" bei der Consorsbank (Giro, Tagesgeld, Depotverrechnung). Ich habe auch noch externe Tages- bzw. Festgeldkonten, um - sofern man das so nennen kann - immer mal wieder günstige Zinsangebote wahrzunehmen.
Hinsichtlich der Sicherheit gibt es m.E.
-Login mit Kontonummer (nicht besonders geheim) und 5-stelliger PIN (sehr geheim),
-TAN aus kundenindividuellem Generator (Parameter: Zielkontonummernkomponente),
-Überweisungslimits je Konto (ohne weiteres nur nach unten änderbar) und
-Referenzkonten je Konto (zur Beschränkung der Zahlungsempfänger).
Zusätzlich wäre ggf. die SMS-Info zu nennen.
Nun gibt es aus Kundensicht natürlich "konfliktige" Zielansprüche, nämlich
-höchstmögliche Sicherheit und
-einfachste Handhabung,
wobei meine Priorität auf ersterer liegt. Eine Bank hat es also nicht ganz leicht, zugegeben.
Wenn ich über die verschiedenen Angriffsszenarien nachdenke, sehe ich natürlich Computerattacken - wobei in meinem Fall höhere Beträge fast ausschließlich auf meine eigenen Konten laufen, wo ich die Kontonummer kenne (Angriff vermutlich schwierig, da die Nummer ja in den TAN-Generator eingegeben wird). Von daher kann ich so halbwegs damit leben, daß der Überweisungsbetrag nicht in die TAN-Berechnung mit eingeht. Wäre aber gut, es wird niemals die Sicherheit reduzieren - und kommt es nicht auf höchstmögliche Sicherheit für die Kunden an..?
Dann wäre da sicher ein Szenario, in dem ein Angreifer den TAN-Generator erbeutet. Es soll ja immer mal wieder eingebrochen werden.. jedenfalls ist nicht auszuschließen, daß der TAN-Generator in fremde Hände fällt. Dann ist da "nur" noch die 5-stellige PIN, die ich glücklicherweise selbst ändern kann. Hier bin ich durchaus kritisch, was Länge und Aufbau angeht. Es wurde ja ausgiebig argumentiert - aber kann die Möglichkeit einer längeren PIN die Sicherheit reduzieren? Wohl nicht - und kommt es nicht auf höchstmögliche Sicherheit für die Kunden an? Warum wird wohl bei so ziemlich jedem Account Großbuchstaben, Kleinbuchstaben, Sonderzeichen etc. gefordert - bei Länge von mindestens 8 Zeichen?
Beim rein numerischen Code von maximal 5 Stellen sehe ich in jedem Fall die Möglichkeit, diesen direkt mitzulesen oder unauffällig abzufilmen. Unmöglich ist das jedenfalls nicht. Klar, daß man nicht vor allen Leuten seine Bankgeschäfte machen muß, aber.. allgegenwärtige Kameras usw.
Ein Mitbewerber bietet übrigens einen ähnlichen TAN-Generator wie die Consorsbank, der aber mit einer zusätzlichen PIN gesichert ist. Finde ich gut.
So - nehmen wir an, ein Angreifer gerät tatsächlich in den Besitz von PIN und TAN-Generator. Sicher der Super-GAU, aber wohl nicht unmöglich. Wie sieht es dann aus?
Schauen wir auf die Kontenlimits und die Referenzkonten. Hier habe ich ein wenig Schwierigkeiten, denn.. wenn ein Unberechtigter nicht PIN und TAN-Generator hat, kann er keine Transaktionen tätigen.. egal auf welches Konto und über welchen Betrag - in dem Fall greifen Kontenlimits und Referenzkonten nicht. WENN er aber über PIN und TAN-Generator verfügt - was sollen dann Limit und Referenzkonten? Er kann dann doch eigene Referenzkonten anlegen und 50 Überweisungen über 1.000 EUR erfassen.. vorausgesetzt, er hat die Zeit dazu. Oder verstehe ich da etwas nicht? Ein Tageslimit habe ich nicht gefunden. Auch wenn es je TAN 2-3 Minuten erfordert, sollte das Super-GAU-Szenario besser gesichert sein, die Ansätze dazu bestehen ja.
Mit den Limits habe ich noch weitere Probleme: die gelten offenbar auch innerhalb des eigenen Kontenverbundes. Was soll denn das? Das können sogar die Sparkassen.. heißt dort "Umbuchung" im Gegensatz zu "Überweisung" und geht natürlich ohne Limit. Bedeutet.. ein geringes Limit macht dem Kunden selbst das Leben schwer und schützt ihn vor Angreifern nicht. Wo ist mein Denkfehler?
Was ich - wohl im Gegensatz zu anderen Kunden - sehr begrüße, ist die ausschließlich schriftliche Möglichkeit, die Kontenlimits anzuheben. Weil genau das ja einem Angreifer verwehrt bleiben soll. Dumm nur, daß die Kontenlimits insofern unwirksam sind, als daß sie je Überweisung wirken, die wiederum in unbegrenzter Zahl möglich sind.
Danke fürs Lesen schonmal :-). Ich würde praktische Hinweise zum Sicherheitskonzept im Bezug auf meine Ausführungen sehr begrüßen - hoffend, daß ich einigen Mißverständnissen aufgesessen bin.
Konkrete Fragen auch an die Bank:
1.
Welcher Umgang mit dem TAN-Generator wird empfohlen? Eher auf Dienstreisen zu Hause lassen und gut verstecken - oder besser mitnehmen? Gibt es die Möglichkeit, diesen zusätzlich mit einer PIN zu sichern (s. Mitbewerber) - meiner ist wohl noch einer der ersten?
2.
Welche effektiven Möglichkeiten, sich vor Diebstahl zu schützen, gibt es außer der Sicherung von PIN und TAN-Generator? Kontenlimits und Referenzkonten zählen aus meiner Sicht nicht dazu (ohne PIN/TAN nicht nötig und mit PIN/TAN wirkungslos).
3.
Gibt es eine wirksame Möglichkeit, Verfügungen beispielsweise auf EUR 10.000 täglich zu begrenzen und höhere im Bedarfsfall ausschließlich schriftlich (z.B. per Fax, jedoch ohne EUR 20,00 Gebühren) zu tätigen? Müßte ja mit Tageslimits und kurzfristiger schriftlicher Anhebung des Limits zu erreichen sein (danach Limit per TAN wieder senken).
Vielen Dank für die freundliche Unterstützung!
PowerFritz
