SecurePlus - Zukunft der TAN-Verfahren

[Sebastian256]

Guten Tag,

leider finde ich die heute angekündigten Änderungen im Bezug auf SecurePlus wenig aufschlussreich (neuer Link: https://www.consorsbank.de/ev/Service-Beratung/secureplus). Wenn ich das richtig verstanden habe, schafft die Consorsbank das bisherige SMS-Tan Verfahren ab und führt als Ersatz diese neue App ein. Die App gibt es wohl ab 9. September, die angekündigten AGB-Änderungen (und damit der Wegfalll von SMS-Tan?) greifen ab dem 14. September. Das sind keine 8 Wochen mehr, daher möchte ich möglichst bald folgende Fragen geklärt wissen, damit ich einen ggf. für mich nötig werdenden Kontoumzug organisieren kann:

1. Ich nutze ein gerootetes Android Smartphone. Warum ich das gerootet habe geht die Bank eigentlich nichts an, aber es gibt genug Banken, die ihre Apps nicht auf gerooteten Geräten laufen lassen. Kann man die neue SecurePlus App auf gerooteten Geräten nutzen?
2. Was ist, wenn sich am 9. September herausstellt, dass die neue App nicht auf meinem Gerät läuft? Wie lange habe ich Zeit, bevor SMS-Tan nicht mehr geht? Ohne funktionierendes Tan-Verfahren ist ja ab 14.9. dank PSD2 wohl nichteinmal mehr die Umsatzanzeige verfügbar, das wäre bei einem Zahlungsverkehrskonto extremst ärgerlich.
3. Apps schön und gut, aber ein Smartphone kann immer mal kaputt gehen. Wird es eine Möglichkeit geben, kurzfristig wieder ans Konto zu kommen, also ohne auf einen neuen Brief warten zu müssen? Ein praktikables und von anderen Banken auch so umgesetztes Beispiel wäre hier, wenn man eine Aktivierungsgrafik daheim im Tresor liegen hat, mit der man in Verbindung mit der Onlinebanking-Pin jederzeit ein neues Gerät aktivieren kann.

Vielen Dank im Voraus für die Klärung der Fragen!

Edit: Bereits zusammengetragene Informationen:

• Der Hardware Generator (SecurePlus Generator) kostet 23,90€  inkl. Versand (Quelle)
• Bei der Verwendung des kostenpflichtigen Hardware-Geräts benötigt jeder Kontoinhaber/Bevollmächtigte ein eigenes Gerät (Quelle), man kann sich also nicht wie mit dem Chip-TAN Verfahren anderer Banken ein Gerät teilen (da muss man dann ja die personalisierte Kontokarte reinstecken, das scheint bei der Consorsbank nicht der Fall zu sein)
• Die Consorsbank kocht zumindest bei dem kostenpflichtigen Hardware-Gerät ihr eigenes Süppchen und ist mit nichts anderem kompatibel (Quelle). Damit ist anzunehmen, dass die App-basierte Lösung auch nicht mit der photo-TAN von der großen gelben Bank kompatibel ist.
• Einige weitere Infos sind in dieser Antwort

[odirk]

@Schlupfine:

"Die neue Verfahren werden durch BSD2 vorgeschrieben."

Das ist nicht so. Das mTAN-Verfahren ist nach BSD ebenso zulässig.

"Dafür macht sich bei mir das Gefühl von sichererem Onlinebanking breit."

Sicheres online-Banking mit Android oder iOS???

Von Edward Snowden hast Du aber schon mal gehört?

[SCHLUMPFINE777]

@odirk 

Ich gehe mal davon aus Sie haben meine Beiträge aus denen Sie zitieren gelesen.

Also wissen Sie auch das ich im ersten Beitrag die Frage beantwortet habe warum der alte Tan Generator durch ein neues Verfahren ersetzt wird. Da die Consorsbank auf mTan verzichtet erschien es mir nicht sinnvoll das in diesem Zusammenhang zu erwähnen.

Im zweiten Beitrag beziehe ich mich ausschließlich auf den neuen PhotoTan Generator.

Und ja, Edward Snowdon kenne ich. Deshalb bin ich froh dass die Consors endlich (wenn auch unter Zwang) ein dynamisches Verfahren wie PhotoTan zur Verfügung stellt.

Desweiteren bin ich sicher (auch wenn ich es nicht nutzen werde) das die App Lösung (Sandboxing, Verschlüsselung) immer noch vertrauensürdiger ist als unverschüsselte SMS (mTan).

Um das Argument "ich habe eine normales Handy" vorweg zu nehmen:

Die meisten Menschen empfangen SMS auf einem mehr oder weniger gut abegesicherten Smartphone.

Ich hoffe ich konnte die Unklarheiten bezüglich meiner beiden Beiträge zumindest teilweise ausräumen.

[immermalanders]

@odirk 

[...] Das mTAN-Verfahren ist nach BSD ebenso zulässig. [...]

Zugelassen ist die mTan nach der neuen Vorschrift schon, aber Mobile-TAN und sicher? Hast Du schon mal was von SS7-Hacks, Fakt-Cell-Towers oder doppelten SIM-Karten gehört? Es gab leider schon einige Vorfälle in denen unbefugte Zugang zu gesicherten Systen bekommen haben und die Firma eine SMS als 2. Faktor für den Login genutzt hatte.

Und sicher ist das auch nur, wenn der Nutzer des Gerätes die entsprechenden Maßnahmen ergreift (z.B. Tastensperre mit "Hindernis", keine SMS anzeigen sobald das Gerät gesperrt ist, usw.)

[Dopsiii]

Zitat: "Vielleicht weil die alten Versionen nicht mehr sicher genug sind? Am PC bist du doch auch immer auf dem aktuellen Stand."

Ja, am PC bin ich am neuesten Stand! Es steht aber nirgendwo geschrieben, dass man dieses TAN-Verfahren auch am PC nutzen kann.

Ich mache Online-Banking ausschließlich am PC und dass man - wie selbstverständlich - voraussetzt, dass jeder ein Android-Handy (ab Android 5.0) oder ein Iphone hat, ärgert mich.

Es gibt viele Leute, die entweder alte Handys nutzen (denen reicht es, wenn man telefonieren und SMS-schreiben kann), die weder Android noch IOS als Betriebssystem haben oder solche (wie mich), denen ein älteres Handy ausreicht (und die werden auch nicht bedient von dieser **bleep**-App!).

Für mich ist das Geldmacherei - man will Leute zum Handy zwingen bzw. bekommt man den TAN-Generator nicht wie das letzte Mal kostenlos, sondern muss einen hohen Preis für etwas bezahlen, das überflüssig ist, weil das bisherige Verfahren super funktioniert.

[stocksour]

Seit ein paar Stunden ist ein neues Blog-Thema online ...

Ob es das jetzt noch gebraucht hat, zumal in der wie immer überaus seichten Ausführung?

Immerhin:

Um Fragen zum Secure Plus - Verfahren wird ausdrücklich gebeten.

[hek-2]

Gibt es eigentlich irgendwo eine Statistik darüber, wie oft die jeweiligen bisherigen Authentifizierungsverfahren missbraucht wurden?

Ich persönlich vermute ja, dass mit der Secure-App der vielbeschworene Staatstrojaner unters Volk gebacht wird 😉

[SCHLUMPFINE777]

😂😂
Ich wäre beinahe drauf rein gefallen.

Für einen Moment dachte ich Sie meinen das im Ernst 😂👍

[hek-2]

Wieso gibt's die erst am 9.9.?

So hat man keine Zeit, das zu prüfen (Stichwort zero-day-exploit oder so).

Und wieso 9.9.2019? Damit der Seehofer sich das leichter merken kann?

Verschwörungstheorie macht richtig Spaß, hätte ich mal das studiert!

[immermalanders]

@hek-2 

[...] Wieso gibt's die erst am 9.9.? [...]

Weil vorher die notwendigen Systeme wohl noch nicht zur Verfügung stehen.

Am 07.09. finden, laut Consors, die letzten Wartungsarbeiten vor der Umstellung statt.

[SCHLUMPFINE777]

@Dopsiii 

Für mich ist das Geldmacherei - man will Leute zum Handy 
zwingen bzw. bekommt man den TAN-Generator nicht wie das 
letzte Mal kostenlos, sondern muss einen hohen Preis für 
etwas bezahlen, das überflüssig ist, weil das bisherige 
Verfahren super funktioniert.

Wie ich weiter oben schon mal erwähnt habe entspricht der alte Tan Generator nicht mehr den neuen Regeln (PSD2). Tans müssen jetzt dynamisch erzeugt werden. Das kann der alte Tan Generator schlicht nicht.

Damit enfällt das Argument Geldmacherei.

1. Verdient die CB sicher nichts daran wenn Sie sich ein aktuelles Smartphone kaufen.

2. Hat niemand (auch keine Bank) etwas zu verschenken. Wenn der Tan Generator also kostenlos für die Kunden angeboten werden würde, dann würden die Kosten auf alle Kunden umgelegt werden. Im Grunde müssten dann auch die Kunden die sich für die kostenlose App Lösung entscheiden für die Wenigen die sich für einen Tan Generator entscheiden mit bezahlen.

3. Wäre es für die Bank auch billiger alles beim Alten zu lassen. Auch wenn Sie als Kunde von der Umstellung nicht viel mitbekommen, so ist das für die Banken ein enormer finanzeller und personeller Aufwand.

Die PSD2 muss eben umgesetzt werden.

Und ob knapp 25 Euro ein"hoher Preis" ist liegt im Auge des Betrachters.

Für ein ordentliches Fahrradschloss zahle ich das auch. Und damit sichere ich vielleicht ein 2.000 Euro teures E-Bike.

Mit dem Tan Generator hingegen sichere ich mein gesammtes Vermögen und im Grunde sogar meine Identität gegenüber Kriminellen.

Ich denke einmalig 25 Euro sind gut investiertes Geld.