mTan in mobiler App erlaubt?

[_christian]

Die mobile App der Consorsbank erlaubt (funktional) anscheinend die Nutzung von mTans um unterwegs Überweisungen durchzuführen, was ich auch als ein tolles Feature ansehe.

Gemäß AGB ist dies an einem Gerät aber wohl verboten: 

7.2 (2) "Der Teilnehmer darf zur Autorisierung, z.B. eines Auftrags, der Aufhebung einer Sperre, nicht mehr als eine TAN verwenden. Beim Mobile-TAN-Verfahren darf das Gerät, mit dem die TANs empfangen werden (z.B. Mobiltelefon), nicht gleichzeitig für den Online-Dienst genutzt werden."

Eine sinnvolle mobile Nutzung der App und insb. der Überweisungsfunktion ist aber in der Praxis nur gegeben, wenn ich auch die mTans am gleichen Gerät empfange. Wer schleppt in der Realität schon ein zweites Handy oder iPad dafüer herum? 

Hier im Wissensbereich habe ich einen Beitrag gelesen iSv "Für erhöhte Sicherheit verwenden Sie zwei verschiedene Geräte.", was auch nicht nach einem klaren Verbot klingt. Leider habe ich eben den Beitrag nicht mehr gefunden.

Was ist nun Stand der Dinge? Man darf es nicht aber es wird technisch unterstützt? Welche Konsequenzen entstehen aus einer (verbotenen) Nutzung?

Wäre TouchID am iPhone ein ausreichender Schutz der die Gerätetrennung auch per AGBs möglich machen könnte?

Ich würde mich sehr über ein Feedback, insb. durch das CB-Team freuen.

Vielen Dank!

[Arminius]

Völlig richtig, dass die Sicherheit der mobilen TAN auf der Trennung von Erfassungs- und Autorisierungssystem beruht. Dies sollte aber von CB auch technisch sichergestellt werden, was grundsätzlich ja möglich ist. Schließlich helfen die AGB dann nicht, wenn das Gerät in die Hände eines Angreifers gelangt, der dann faktisch mit einer fünfstelligen PIN das Konto leerräumen kann. Das Verfahren soll es doch nicht dem Kunden unnötig kompliziert machen, sondern ein wirksamer Schutz für den Fall der Fälle (Diebstahl des Smartphones) sein.

[frankbernhard]

Ein Haken an der Sache ist, dass man mit fünfstelliger PIN und gestohlenem Smartphone, das für SMS-TAN eingerichtet ist, die App gar nicht braucht: Mit jedem Smartphone hat man so vollen Zugriff auf das Online-Banking via Website. Da hilft nur ein anderes Freigabeverfahren. Und ein komplexeres Passwort anstelle der fünfstelligen PIN. 

[Jimi_HendrixRip]

@frankbernhardhat vollkommen recht, dass macht diese Diskussion, doch im Grunde vollkommen sinnlos.
Man kann auch ohne die App auf das Online Banking zugreifen und zwar einfach über die Consorsbank Internetseite.

[Myrddin]

Und ich werde nie begreifen wieso immer noch jemand glaubt das hier ein komplexeres Passwort irgend einen auch nur minimalen Sicherheitsvorteil bringt!?

Wenn die das Passwort ausspähen ist es unerheblich ob das 5, 50 oder 500 Stellen hat!

Ein geklautes Smartphone ist ja wohl ein deutlich anderes Angriffsszenario wie ein Online-Angriff. In so einem Fall können die Dir auch genauso den TAN-Generator klauen. Alternativ je nach krimineller Energie wäre natürlich auch möglich das die Dir ein Messer an die Kehle halten und sich höflich bitten die gewünschten Transaktionen einfach für sie zu erledigen.

Der Punkt ist doch gerade das beim SMS-TAN Verfahren in Verbindung mit einem Smartphone gar kein Klauen, sondern nur eine Online-Übernahme/Trojaner nötig ist. Darum sollte man eben kein SMS-TAN mit einem Smartphone machen, APP hin oder her.

Gruß

Myrddin

[merrill_lyncht]

Wenn ich mich recht erinnere, funktionierte das mTAN-Verfahren in der alten "Cortal Consors" App aus den genannten Sicherheitsgründen nicht! Kann das jemand bestätigen? In der neuen Consorsbank App gibt es diese Sicherheitssperre nicht mehr, stattdessen hat die Bank möglicherweise die AGBs geändert und das Problem auf den Kunden abgewälzt.

[Leo94]

Wie ist denn der aktuelle Stand?

Kann man inzwischen die mTAN Funktion oder auch allgemein Überweisungen in der App sperren?

Hat man nämlich TouchID als Identifikation in der App eingestellt (das ja bekanntlich schon kurz nach Erscheinen geknackt wurde) und mTAN aktiviert steht einer unautorisierten Überweisung ja eigentlich nichts mehr im Wege.

[CB_Kai]

Hallo @Leo94

Gut Ding will Weile haben, bitte entschuldigen sie die verspätete Antwort.

Wir können Ihre Bedenken gut nachvollziehen und empfehlen, sofern Sie die App nutzen, entweder die Deaktivierung des mobilen TAN-Services und die Nutzung des TAN-Generators oder die Verwendung eines zweiten Handys für den Service.

Sperrungen des Mobilen TAN-Services oder Überweisungen ausschließlich für die App sind nicht möglich. Entweder wird der Service generell, also auch z.B. für die Homepage, gesperrt oder nur nicht genutzt. Gleiches gilt für Überweisungen. Auch hier ist nur eine generelle Transaktionssperre des Kontos möglich. Ausnahme: Referenzkonten. Sofern diese eingerichtet sind, werden Überweisungen nur auf diese beschränkt. Die Einrichtung von Referenzkonten ist jedoch nur über die Homepage, nicht aber über die App möglich.

Beste Grüße

CB_Kai

[merrill_lyncht]

Das ist keine Antwort. Wie schon geschrieben: In der alten App gab es diese Sicherheitssperre, dass man das mTAN-Verfahren dort nicht anwenden konnte. Wieso wurde diese Sperre in der neuen App aufgehoben? Ich bitte um konkrete Beantwortung dieser Frage!

[immermalanders]

Wenn ich mich richtig erinnere, waren es die KUNDEN, die auf einem Tablet die mTan nutzen wollten. Da es eine App für beides gibt, kann man die Nutzung für alle sperren oder für alle erlauben. CB hat das den Kundenwünschen entspechend umgesetzt...

[frankbernhard]

Es gibt technische Möglichkeiten, zumindest bei iOS zwischen einem Funktionsumfang einer "Universal-App" zu unterscheiden, wenn sie auf einem Telefon oder auf einem Tablet läuft. Auch würde es sich technisch realisieren lassen, dass man für SMS-TAN und Banking über die App nicht das selbe Telefon nutzen kann, zum Beispiel über die Freischaltung der Banking-Funktion über eine SMS an eine Nummer, die nicht die SMS-TAN-Telefonnummer ist.

Klar, das ist aufwändig. (Vielleicht scheut die Consorsbank diesen Aufwand, weil sie längst intern an einer App-TAN-Lösung arbeiten?) Und wesentlich sicherer wird die Sache dadurch auch nicht. Denn egal wie man die App absichert, es ließe sich ja immer auch die Banking-Funktion über die Website im Browser des Smartphones nutzen.

Wer wirklich auf Nummer sicher gehen will, dem sei der TAN-Generator empfohlen. Klar, weniger bequem. Aber das ist der Preis für die derzeit sicherste Lösung.