SecurePlus - Zukunft der TAN-Verfahren

[Sebastian256]

Guten Tag,

leider finde ich die heute angekündigten Änderungen im Bezug auf SecurePlus wenig aufschlussreich (neuer Link: https://www.consorsbank.de/ev/Service-Beratung/secureplus). Wenn ich das richtig verstanden habe, schafft die Consorsbank das bisherige SMS-Tan Verfahren ab und führt als Ersatz diese neue App ein. Die App gibt es wohl ab 9. September, die angekündigten AGB-Änderungen (und damit der Wegfalll von SMS-Tan?) greifen ab dem 14. September. Das sind keine 8 Wochen mehr, daher möchte ich möglichst bald folgende Fragen geklärt wissen, damit ich einen ggf. für mich nötig werdenden Kontoumzug organisieren kann:

1. Ich nutze ein gerootetes Android Smartphone. Warum ich das gerootet habe geht die Bank eigentlich nichts an, aber es gibt genug Banken, die ihre Apps nicht auf gerooteten Geräten laufen lassen. Kann man die neue SecurePlus App auf gerooteten Geräten nutzen?
2. Was ist, wenn sich am 9. September herausstellt, dass die neue App nicht auf meinem Gerät läuft? Wie lange habe ich Zeit, bevor SMS-Tan nicht mehr geht? Ohne funktionierendes Tan-Verfahren ist ja ab 14.9. dank PSD2 wohl nichteinmal mehr die Umsatzanzeige verfügbar, das wäre bei einem Zahlungsverkehrskonto extremst ärgerlich.
3. Apps schön und gut, aber ein Smartphone kann immer mal kaputt gehen. Wird es eine Möglichkeit geben, kurzfristig wieder ans Konto zu kommen, also ohne auf einen neuen Brief warten zu müssen? Ein praktikables und von anderen Banken auch so umgesetztes Beispiel wäre hier, wenn man eine Aktivierungsgrafik daheim im Tresor liegen hat, mit der man in Verbindung mit der Onlinebanking-Pin jederzeit ein neues Gerät aktivieren kann.

Vielen Dank im Voraus für die Klärung der Fragen!

Edit: Bereits zusammengetragene Informationen:

• Der Hardware Generator (SecurePlus Generator) kostet 23,90€  inkl. Versand (Quelle)
• Bei der Verwendung des kostenpflichtigen Hardware-Geräts benötigt jeder Kontoinhaber/Bevollmächtigte ein eigenes Gerät (Quelle), man kann sich also nicht wie mit dem Chip-TAN Verfahren anderer Banken ein Gerät teilen (da muss man dann ja die personalisierte Kontokarte reinstecken, das scheint bei der Consorsbank nicht der Fall zu sein)
• Die Consorsbank kocht zumindest bei dem kostenpflichtigen Hardware-Gerät ihr eigenes Süppchen und ist mit nichts anderem kompatibel (Quelle). Damit ist anzunehmen, dass die App-basierte Lösung auch nicht mit der photo-TAN von der großen gelben Bank kompatibel ist.
• Einige weitere Infos sind in dieser Antwort

[Audioralf]

Große Klasse! 
Es funktionioniert wunderbar!
Sogar auf meinem gerootetem Mate 9.  Applaus!

Ist starte die Consors App 

muss wie bisher mein Pin eingeben

Drücke "SecurePlus App öffen"

Lege meinen Finger auf den Sensor

Drücke auf Freigeben
Dücke auf "Login bestägtigen" .... und bin drin.

Also nicht von dem befürchteten hin und herkopiere ....

Auch das Login über die Webseite läuft 
Eingabe von Kontonummer 
Eingabe der Pin (wie bisher)
Auforderung die Tan zu genieren in einem Fenster das keinen Focus hat.
Secure ID App starten

Finger auflegen
Mausklick in das Fenster--- > bitte nach bessern , da der Mausklick in das Fenster überflüssig ist
Eingabe der vom Smartphone abgelesenen TAN 

Soweit ok. 
Es ist umständlicher als früher, aber es erhöht die Datensicherheit, da es nun erheblich schwieriger sein dürfte ein OnlineBanking Zugang zu missbrauchen. Das ist in unserer Zeit halt möglich und daher müssen wir einfach die Schlösser besser und sicherer machen. 

Gratulation an das Team bei Consors. Wenn dann noch die HBCI Schnittstelle wieder läuft bin ich zufrieden.
LG 

Ralf 

[erich12]

Ja, das sehen Sie völlig richtig. In Deutschland sind gegenwärtig 94 Mio. Smartphones im Umlauf. Also mehr Smartphones als Menschen. Es macht daher absolut Sinn das Online Banking über ein Gerät abzuwickeln, von welchem fast jeder mindestens eines hat. Auch im Sinn der von Ihnen angesprochenen Nachhaltigkeit. Es ist damit faktisch Teil der technischen Grundausstattung in Deutschland

Für jene kleine Minderheit unter unseren Kunden, die aus verschiedenen Gründen keinen Zugriff auf diese Technologie hat oder will, bieten wir als Ersatz die(Kostenpflichtige) Lösung mit dem Secure plus Generator an.

@CB_Kai 

Ich gehöre zu der kleinen Minderheit, die kein Smartphone hat und will.

Ich habe kein Problem damit gehabt , einen kostenpflichtigen Tan Generator zu kaufen.

Ich habe aber ein Problem damit, dass ich jetzt diesen bei mir haben muss, wenn ich nur ins Depot oder ins Forum schauen will.

Auch wenn 200 Millionen Menschen per Smartphone ihre Bankgeschäfte machen, muss das nicht bedeuten, dass ein solches Tun richtig und sicher ist.

An der Börse gilt der Spruch: Die Masse liegt immer falsch.

Ich mache meine Börsengeschäfte immer zu Hause. Und der Tan Generator liegt dort an einem sicheren Platz.

Wenn ich aufgrund von "Neuerungen" nicht mehr unterwegs ins Depot , ins Forum schauen kann, es sei denn ..... dann werde ich mir andere Lösungen suchen.

Die neuen Sicherheitsstandards halte ich für mich unsicherer als vorher.

Wie gesagt, ich habe kein Smartphone und will auch keins, da ich über diese Schiene aus Sicherheitsgründen keine Orders aufgeben will.

Von mir aus schreien jetzt 300 Millionen Menschen :

Das Smartphone ist  sicher. Es wird auch nicht geklaut, versprochen.

[Herrman_55]

@Enron,

... ... ... das kennen wir ja schon: Wer keine echten Argumente vorbringen kann, der ergeht  sich gerne in Beleidigungen a-la "Keller und Aluhüte".

Viele Dank dafür, das ist wirklich bemerkenswert in diesem, bisher recht sachlich, wenn auch kontrovers geführten Forum.

b.t.w. ich bin "vom Fach", habe aber kein PRIVATES Smartphone, denn ich gönne mir PRIVAT meine Auszeit.

[Audioralf]

Der "Zeitverlust" beim Einloggen kann in dem Fall "kompensiert" werden, wenn ich etwas überweisen will.
Dann brauche ich jetzt nicht mehr die letzten 6 Ziffern der Kontoverbindung in den alten TAN Generator eingeben. Den musste man früher auch dabei haben wenn man etwas überweisen wollte. Das entfälllt jetzt. --- Das gefällt mir ---
Die SMS TAN war sicherlich eine gute Sache. Man musste aber auch da den Inhalt der SMS aus der SMS Applikation kopieren und dann einfügen. Das geht jetzt erheblich schneller und komfortabler. 
Es wird berichtet dass es vorgekommten ist, dass sich Gauner den Verlust der SIM Karte melden oder eine 2. beantragten und in deren Besitz gelangt sind. Wenn man dann die SMS auf die neue Karte lenkt, dann kann man vom Konto des Opfers abbuchen. Der Aufwand ist sicherlich groß aber ích habe davon gelesen und finde es daher konsequent richtig die unverschlüsselte SMS Tan auch abzuschaffen. In Zeiten wo ein Soft SIM eingeführt wird, ist es sogar schon gelungen diese zu kopieren und zu missbrauchen.
Sicherlich die Spitzbuben werden auch versuchen dieses PSD2 Verfahren zu knacken, aber im Hase Igel Spiel haben wir damit erstmal nach meiner Einschätzung die Nase vorn.
Ich hoffe, dass das so bleibt. Nach geschätzen 30 Jahren Homebanking (damals noch mit BTX und CEPT) bin ich zum Glück nie gehackt worden. Daher begrüße ich das neue Verfahren ausdrücklich. 
Gut dass man sich druchgerungen hat auch gerootete Smartphones durchzwinken. Es ist völlig unbegründet diese auszuschließen. Gerade durch den "Superuser" wird dem Anwender ja gemeldet wenn eine App versucht root Rechte zu erlangen. Nur ein völlig unbedarfter Mensch gibt einer App diese Rechte. Es ist auch Sache des  Entwickers einer sicherheitsrelevanten App dafür zu sogen, dass seine Dateien verschlüsselt abgelegt werden. Wenn das Fall ist kann auch ein App mit Root Rechten nichts mit den verschlüsselten Daten anfangen. Wenn eine App den Betrieb bei Root ableht, dann ist das ein Zeichen dafür, dass sich der Entwicker wenig Gedanken über den Schutz der Benutzerdaten gemacht hat. Das scheint bei der Consors Secure App der Fall zu sein. Daher auch noch mal Danke !


... übrigens während ich dies hier tippe erhielt ich oben eine Meldung 

Authentifizierung fehlgeschlagen. 

• Authentifizierungsticket stimmt nicht überein, Authentifizierung fehlgeschlagen.
  
  Ich habe den Text kopiert und musste mich wieder neu anmelden.
  Bitte verlängert das Timeout!

[mars]

Eine Testüberweisung intern (Ref.konto nach Girok.) mit QR-TAN hat bei mir nun auch problemlos funktioniert, die "Grundfunktionen" sind also soweit zugänglich.

Die SecurePlus App ließe sich sicher noch optimieren, z.B. daß bei erwarteter PIN-Eingabe gleich die Zifferntastatur angezeigt wird und nicht erst, wenn man auf das Eingabefeld tippt.

Gruß

[FrankW]

Umstellung hat bei mir problemlos funktioniert, auch für ein Konto auf mehrere Geräte und mit einem Gerät für mehrere Konten.

Dass der Login-Prozess jetzt etwas langwieriger ist, liegt an PSD2, weniger an der Consorsbank. Wie eine Bank die kleinen Freiheitsgrade nutzt, die es da noch gibt, muss sie selbst entscheiden. Auch Banken sind Unternehmen, die einfach überlegen müssen, wo sie Kosten oder Risiken in Kauf nehmen und wo nicht. Schliesslich wollen wir alle hier ja weiterhin kostenlose Konten, Depots und Karten haben, und alles Online erledigen können. Früher oder später bekommen aber in der Branche alle Dinge ihren Preis, auch wenn es die letzten Jahrzehnte eben nicht wo war, weil Banken andere einfache Einnahmequellen hatten. Die Menschen haben sich an "alles kostenlos" gewöhnt, aber das ist es nicht.

Bei anderen Banken wird es dadurch auch aufwändiger, im Detail möglicherweise anders, aber eben auch sicherer, es bleibt nicht wie es war! Am Ende muss man eben wechseln, wenn das alles zu unträglich hier ist und es andere so viel besser machen, so wie man ein anderes Auto kauft, wenn einem das eine nicht mehr passend erscheint.

[Audioralf]

[quote]@mars Die SecurePlus App ließe sich sicher noch optimieren,[/quote]

z.B. daß bei erwarteter PIN-Eingabe gleich die Zifferntastatur angezeigt wird

und nicht erst, wenn man auf das Eingabefeld tippt.

Bei mir kommt das Fenster für den Fingerabdruck. Wenn ich dieses mit Abbrechen schließe, ist gleich der Ziffernblock aktiv.

Oder meinst Du die Consorsbank App?
Da muss ich in der Tat auch erst den Ziffernblock aktivieren.
Warum man hier nicht konsequent auch das Entsprerren über Fingerabdruck implementiert hat, würde ich gerne wissen. Es ist in der Tat sicherer, da es ja mit entsprechendem Auffand sogar möglich sein soll einen Fingerabdruck von einer Fingerattrappe abzunehmen, die eine Kopie meines Fingers darstellt.

... warum kann dieses Forum nicht den QUOTE Tag ordentlich verarbeiten?

[vaikl]

"Dass der Login-Prozess jetzt etwas langwieriger ist, liegt an PSD2, weniger an der Consorsbank"

Das ist falsch. Die Richtlinie lässt Banken die freie Wahl, ob sie ein 2FA-Login bei jeder Anmeldung oder nur alle 90 Tage einmal verlangen. Die deutschen Großbanken handhaben dies sehr unterschiedlich, haben dann allerdings auch nicht diese extra kurzen Session Timeouts, die Consors jetzt definiert.

[Hillbilly]

Wollte gerade Secure Plus installieren. Das Programm will aber IOS 10.0. Da aber für meine Bedürfnisse ein Iphone 4s bisher völlig ausgereicht hat, kann ich mir wohl jetzt nur wegen Consors ein neues Iphone kaufen. Iphone 4s bietet nur IOS 9.3.6.

Also echt, schlimmer geht`s nimmer. 

[Brokeronline]

Sehr geehrtes Consorsbank,

es gibt unzählige Nachrichten und Mitteilungen über die Unzufriedenheit mit dem Neuen Authentifizierungsverfahren mit App und oder dem neuen TAN Generator

Ich kann es aber leider auch nicht ganz verstehen warum es den  Kunden plötzlich so schwer gemacht wird, seinen Konto-Status ab zu fragen oder eine Überweisung zu tätigen. Natürlich muss man immer auf die Sicherheit beim Onlinebanking achten, aber was die EU und nun auch noch die CB veranstaltet ist echt der Wahnsinn. Eine App, TAN Generator und was kommt als nächsten, der Besuch in der Filiale? Seit Jahren gibt es einen TAN Generator bei der CB, warum war dieses Verfahren nicht mehr sicher? Wenn man Sich heute den neuen TAN Generator holt, ist das Funktionsprinzip immer noch das Gleiche, oder nicht, ich bekomme eine TAN generiert. Wenn ich diese APP nutze möchte/muss, muss ich ein Smartphone / Tablet PC besitzen, welches evtl, nicht jeder besitzt. Und was ist wenn mein Tablet PC oder Smartphone geklaut wird, und meine Zugangsdaten herausgefunden werden?

Neue Verfahren sind nicht immer die Besten, besonders in ihrem Fall aber auch im Fall von anderen Banken werden diese Verfahren immer komplizierter.

Meiner Meinung nach waren die Verfahren vorher auch sicher denn wenn jemand an eine TAN Liste gekommen ist, konnte er noch keine Überweisung oder ähnliches tätigen, denn er benötigte ja auch die anderen Zugangsdaten. Aber es muss ja alles digital sein, dass wenn es ausfällt, keiner mehr etwas tun kann.

Nur hat es für mich eine Erleichterung, wenn ich um eine Überweisung tätigen möchte, eine TAN benötige um eine TAN anzufordern, in dem ich eine PIN benötige die ich bekomme, wenn ich eine TAN mit einer PIN anfordere indem ich meine Zugangsdaten mit einer PIN gefolgt von einer TAN eingebe. Hierfür muss ich aber erst einmal die PIN mit einer App mit einer TAN bestätigen.