@odirk "Was spricht denn überhaupt gegen das mTan-Verfahren?" -> Kosten fürs Verschicken der SMS. Viele Banken verlangen da inzwischen auch Geld, also z.B. 9ct pro verschickte TAN. Andere schaffen es einfach ab.
@SCHLUMPFINE777 "Wann wird die TAN aus einem QR Code erzeugt und wann per "Knopfdruck"?" -> Ich tippe mal drauf, dass der QR Code bei transaktionsbezogenen Vorgängen wo es Empfänger, Betrag, IBAN gibt zum Einsatz kommt. Dann wird man diese Transaktionsdaten in der App / auf dem Gerät bestätigen müssen. Für andere Vorgänge (z.B. Freistellungsauftrag oder der von der PSD2 demnächst geforderten TAN beim Login) gibt es ja keine solche Daten, da kommt dann wohl das "Knopfdruck"-Verfahren zum Einsatz. Zumindest ist das aktuell beim alten Generator so unterschieden (APPL1 vs. APPL2).
"Kann ich die App mit einem alphanumerischen Passwort sichern oder nur mit einer numerischen PIN (wie viele Stellen)?" -> Das dürfte hier relativ unrelevant sein. Die App-Pin ist ja lediglich ein zusätzlicher Schutz. Ein Smartphone-Dieb muss ja erst noch das Gerät selbst entsperren, und damit hätte er auch schon Zugriff auf die per SMS verschickten mobileTANs im jetzigen Verfahren. Wichtiger wäre, die Pin fürs Onlinebanking endlich mal länger als 5 Zeichen zu machen.
@Ano_Nymer "warum gibt es zwar für Smarthpones Apps, wohl aber keine Anwendung für den Windows-PC (und Linux - das wär's natürlich)!" -> Die mobilen Platformen (Android/iOS) erlauben es, die einzelnen Apps viel besser voneinander abzuschotten und haben auch einen speziell gesicherten Speicherbereich, auf dem geheime Daten abgelegt werden können. Unter Windows und Linux ist es deutlich schwieriger bis unmöglich, eine Anwendung derart zu schützen. Aus der offline Funktionsweise lässt sich ableiten, dass die App bei der Aktivierung intern wohl ein Schlüsselpaar generiert, wobei der öffentliche Teil auf den Consorsbank-Server geladen wird und der private Teil sicher im Smartphone verstaut wird, nochmal geschützt mit der App-Pin bzw. der Fingerabdruck/Face-ID Komponente des Betriebssystems. Um eine Transaktion freizugeben, müssen die Daten dann mit dem geheimen Schlüssel signiert werden. Das macht natürlich die App für dich, sobald du die Daten bestätigt hast. Du erfüllst damit den Sicherheitsfaktor "Besitz", d.h. du hältst das eingerichtete Smartphone physisch in deiner Hand. Sollte dieser geheime Schlüssel irgendwie ausgelesen werden können, dann kann jeder der ihn hat beliebig Transaktionen für dein Konto freigeben, auch ohne dein Smartphone zu haben. Der Besitz-Faktor wäre somit umgangen. Es ist also absolut wichtig, dass der Teil geheim bleibt und niemals ausgelesen werden kann.
