zwei wege verifizierung mit TOTP/google authenticator

[maxkun]

hallo

ich wuerde mich sehr freuen, wenn moderne zwei wege verifizierung im TOTP/google authenticator stile eingefuehrt werden koennte.

ich benutze diese variante fuer alle meine wichtigen internet dienste, bis auf banken, die ja ihre eigene suppe kochen...

wenn bestimmte bitcoin internet kontenanbieter auch TOTP anbieten, dann sehe ich keinen grund, wieso banken das nich auch koennen. immerhin ist bei diesen diensten auch ein geldversand und eine aufladung mit wenigen klicks, direkt vom traditionellen, einmalig verifiziertem bank konto/kredit karte moeglich.

ich verstehe einfach nicht, warum die internet dienste der banken, meist so schlecht im UI/UX sind, im vergleich zu anderen internet diensten.

links:

https://de.wikipedia.org/wiki/Google_Authenticator

[CB_Sonja]

Hallo @maxkun,

vielen Dank für Ihre interessante Anregung!

Die verantwortliche Abteilung hat uns signalisiert, dass sie Ihren Verbesserungsvorschlag sehr gut findet, auch aus Sicherheitsaspekten.

Leider würde er aber auch starke Einschränkungen für die mobile Nutzung bedeuten. Aktuell ist daher keine Umsetzung geplant.

Herzliche Grüße aus Nürnberg,

Sonja

Community Moderator

[sowirdsgemacht]

Warum sollte eine TFA (two factor authentication) Einschränkungen bei der mobilen Nutzung bedeuten?
Diesem Argument kann ich nicht folgen. Andere Dienste kann ich mobil mit TFA nutzen.

Ein 5-stelliges rein numerisches Passwort entspricht meiner Meinung nach bei weitem nicht den Anforderungen nach dem BSI IT Grundschutz.

https://www.bsi.bund.de/DE/Themen/ITGrundschutz/ITGrundschutzKataloge/Inhalt/_content/m/m02/m02011.h...

[immermalanders]

@sowirdsgemacht, wieso darf die PIN nur numerisch sein? Die PIN kann, zumindest hier, auch alphanumerische Zeichen enthalten. Und ausprobieren geht eh nicht. Nach ein paar wenigen Versuchen wird der Zugang automatisch gesperrt und kann nur nach erfolgreicher Legitimation wieder freigegeben werden.

[nnv]

Die Idee finde ich ebenfalls Klasse. 

Weil ich im Ausland lebe nutze ich TAN Generator statt mobilen TAN service. Es wäre Klasse wenn man den TAN Generator ersetzen wurde durch Google Authenticator App, so musste man dann keinen zusätzlichen Gerät beihaben um Überweisungen zu tätigen.

[matthiask]

> Leider würde er aber auch starke Einschränkungen für die mobile Nutzung bedeuten. Aktuell ist daher keine Umsetzung geplant.

Bitte was? Sicherheit ist gut und toll, wird aber gerne geopfert wenn die IT-Abteilung nicht so richtig weiß wie man das modern umsetzt ohne Abstriche bei der Usability? (Designer & Entwickler bei Berliner Startups hier, ich kann Ihnen gerne weiterhelfen)

Bitte dringend überdenken oder Sie sind ganz schnell der einzige Dienst, der keine 2FA anbietet.

[HerrSchabulski]

Auch wenn die Eröffnung des Eintrags hier schon 3 Jahre her, so ist das Thema immer noch aktuell und die damals von @CB_Sonja gelieferte Antwort war alles andere als logisch oder befriedigend. 

Also ist zum Thema 2FA noch etwas geplant?

[rene-]

Auch wenn ich die Erklärung von @CB_Sonja auch dürftig finde, dann denke ich doch dass das IT-Team meint dass Google Authenticator die Sicherheit der Mobilen Nutzung reduziert. Sobald das Handy des Kunden geklaut wird, hat man mittels der APP + Google Authenticator keine 2 getrennten Kommunikationskanäle mehr. 

Unabhängig davon würde ich mir den Google Authenticator bei der CB auch wünschen und hoffe darauf, dass das IT-Team sich hierfür eine Lösung einfallen lässt

[artifact4727]

Auch wenn die Diskussion schon älter ist, ich würde mir auch den Google Authenticator wünschen. Vor kurzem habe ich mir eine Online Bitcoin Wallet zugelegt und war überrascht von den tollen Sicherheitsmechanismen.

Die Online Bitcoin Wallet bietet:

1. Bei Wechsel der IP muss diese erst durch einen Authentifizierungslink bestätigt werden, der an die hinterlegte eMail Adresse geschickt wird.

2. Für den Login kann ein beliebig komplexes Passwort verwendet werden. Der erstmalige Login innerhalb von 24h muss zusätzlich mit dem Google Authenticator bestätigt werden.

3. Bei einer "Überweisung" muss ein zweites komplexes Passwort angegeben werden und auch immer mit dem Google Authenticator bestätigt werden.

[dickerpulli]

@rene- "Sobald das Handy des Kunden geklaut wird, hat man mittels der APP + Google Authenticator keine 2 getrennten Kommunikationskanäle mehr" Dieses Argument gilt auch für das mTAN-Verfahren und das bietet consorsbank auch an. Desweiteren ist ein Login mit 2FA immer sicherer als ohne, egal ob das Mobilgerät verloren geht oder nicht. Ich denke auch, dass Banken hier etwas flexibler in der Technologie-Integration handeln sollten. Mehr Sicherheit ist immer besser.