SecurePlus - Zukunft der TAN-Verfahren

[Sebastian256]

Guten Tag,

leider finde ich die heute angekündigten Änderungen im Bezug auf SecurePlus wenig aufschlussreich (neuer Link: https://www.consorsbank.de/ev/Service-Beratung/secureplus). Wenn ich das richtig verstanden habe, schafft die Consorsbank das bisherige SMS-Tan Verfahren ab und führt als Ersatz diese neue App ein. Die App gibt es wohl ab 9. September, die angekündigten AGB-Änderungen (und damit der Wegfalll von SMS-Tan?) greifen ab dem 14. September. Das sind keine 8 Wochen mehr, daher möchte ich möglichst bald folgende Fragen geklärt wissen, damit ich einen ggf. für mich nötig werdenden Kontoumzug organisieren kann:

1. Ich nutze ein gerootetes Android Smartphone. Warum ich das gerootet habe geht die Bank eigentlich nichts an, aber es gibt genug Banken, die ihre Apps nicht auf gerooteten Geräten laufen lassen. Kann man die neue SecurePlus App auf gerooteten Geräten nutzen?
2. Was ist, wenn sich am 9. September herausstellt, dass die neue App nicht auf meinem Gerät läuft? Wie lange habe ich Zeit, bevor SMS-Tan nicht mehr geht? Ohne funktionierendes Tan-Verfahren ist ja ab 14.9. dank PSD2 wohl nichteinmal mehr die Umsatzanzeige verfügbar, das wäre bei einem Zahlungsverkehrskonto extremst ärgerlich.
3. Apps schön und gut, aber ein Smartphone kann immer mal kaputt gehen. Wird es eine Möglichkeit geben, kurzfristig wieder ans Konto zu kommen, also ohne auf einen neuen Brief warten zu müssen? Ein praktikables und von anderen Banken auch so umgesetztes Beispiel wäre hier, wenn man eine Aktivierungsgrafik daheim im Tresor liegen hat, mit der man in Verbindung mit der Onlinebanking-Pin jederzeit ein neues Gerät aktivieren kann.

Vielen Dank im Voraus für die Klärung der Fragen!

Edit: Bereits zusammengetragene Informationen:

• Der Hardware Generator (SecurePlus Generator) kostet 23,90€  inkl. Versand (Quelle)
• Bei der Verwendung des kostenpflichtigen Hardware-Geräts benötigt jeder Kontoinhaber/Bevollmächtigte ein eigenes Gerät (Quelle), man kann sich also nicht wie mit dem Chip-TAN Verfahren anderer Banken ein Gerät teilen (da muss man dann ja die personalisierte Kontokarte reinstecken, das scheint bei der Consorsbank nicht der Fall zu sein)
• Die Consorsbank kocht zumindest bei dem kostenpflichtigen Hardware-Gerät ihr eigenes Süppchen und ist mit nichts anderem kompatibel (Quelle). Damit ist anzunehmen, dass die App-basierte Lösung auch nicht mit der photo-TAN von der großen gelben Bank kompatibel ist.
• Einige weitere Infos sind in dieser Antwort

[SCHLUMPFINE777]

Ich mutmaße jetzt mal.
Bisher war der Tan Generator personengebunden.

Das heißt ich habe ein Gerät und kann damit alle meine Konten (ein Girokonto und mehrere Tagesgeldkonten) bearbeiten.

Daran wird sich garantiert nichts ändern.

Siehe dazu auch:
https://wissen.consorsbank.de/t5/Girokonto-Zahlungsverkehr/SecurePlus-Generator/m-p/84572#M6950

Ich hoffe das beantwortet deine Frage.

[SCHLUMPFINE777]

Nachtrag:
Lies in meinem Beitrag oben:

Tan Generator meint sowohl den SecurePlus Generator wie auch die Smartphone App.

[SmithA1]

Entweder verstehe ich dich nun falsch oder du mich.

Ich würde gerne die Smartphone Variante für den Login und/oder Überweisungen nutzen. Da man sich ja nun auch beim Login spätestens alle 90 Tage legitimieren muss, ist die Frage, ob ich das mit der App sowohl für Konto 1 als auch für Konto 2 (anderer Kontoinhaber) machen kann. Aber wenn ich mir das so recht überlege, sollte das wohl möglich sein. 

[CB_Michael]

Liebe Community,

vielen Dank für eure offenen Worte. Schon aus eigenem Interesse ist uns eine unkomplizierte und zügige Umstellung gemäß der gesetzlichen Vorgaben wichtig. Wir haben verstanden, dass einige Punkte zu Missverständnissen und teils Unmut geführt haben.

Sicherheit und Kosteneffizienz haben neben hohen Qualitätsstandards bei vielen unserer Kunden ebenso wie bei uns einen hohen Stellenwert. Wir sind davon überzeugt, dass wir mit dem gewählten Verfahren eine einfache und benutzerfreundliche Umsetzung der Vorgaben implementieren werden.

Wir haben die Beiträge in diesem Thread als Anlass dazu genommen, die offenen Fragen aufzugreifen, intern zu klären und zu beantworten. Die aktuellsten Informationen sowie FAQs zum SecurePlus Verfahren findet ihr dauerhaft bei uns auf der Webseite https://www.consorsbank.de/secureplus.

Funktionsdauer des mTAN Verfahrens

Mit der Umstellung des eigenen Kontozugangs auf das neue SecurePlus Verfahren, wird das aktive mTAN Verfahren abgelöst. Bis zur erfolgreichen Umstellung bleibt während einer Übergangszeit das mTAN Verfahren für den eigenen Konto-/Depotzugang aktiviert. Stand heute, ist diese Übergangszeit bis längstens 15. November angesetzt.

Aktivierung zusätzlicher Geräte

Generell kann die App auf bis zu drei Geräten (iOS und/oder Android) aktiviert werden. Neben dem ersten können zwei weitere Geräte selbständig direkt online registriert und aktiviert werden.

Unser Tipp: Sofern ein Gerätewechsel stattfindet, solltet ihr sicherstellen, immer erst das neue Gerät zu aktivieren und erst im Anschluss daran das alte Gerät löschen. Dazu gibt es ab September eine Funktion in den Sicherheitseinstellungen im Konto-/Depotzugang, um das alte Gerät zu deaktivieren. Dieser Vorgang ist eigenständig online möglich (bis maximal drei Geräte gleichzeitig).

Aktivierung eines neuen Gerätes ohne verifiziertes Verfahren

Ohne aktives Verfahren ist es nur möglich, den Aktivierungsbrief anzufordern. Die Anforderung erfolgt telefonisch und nach erfolgreicher Legitimation beim Kundenservice. Alternativ kann die Anforderung zukünftig auch postalisch über das Formular „Bestellung Zugangsdaten“ in Auftrag gegeben werden. Dieses Formular wird mit Umstellung auf das SecurePlus Verfahren in unserem Formularcenter hinterlegt.

Der neue Aktivierungscode wird per Post an die bei uns hinterlegte Adresse versendet. Eine andere Variante ist zur Gewährleistung der Sicherheit nicht möglich!

TAN Anforderung von HBCI Anwendungen

Der Drittanbieter (Anbieter Homebanking-Software) muss rechtzeitig nötige Anpassungen seiner Software vornehmen. Über diese Anpassungen liegen uns keine Informationen vor. Eine Aussage zur jeweiligen Umsetzung der gesetzlichen Regelungen durch Drittanbieter können wir deshalb nicht treffen.

Generell benötigt jeder Drittanbieter eine ausdrückliche Zustimmung des Kontoinhabers, um auf Kontoumsätze zugreifen zu können. Diese Zustimmung ist maximal 90 Tage gültig.

Gerootete Android-Geräte

Die Consorsbank SecurePlus App wurde für iOS und Android Geräte entwickelt und von Apple bzw. Google für die jeweiligen App Stores freigegeben. Eine Nutzung auf gerooteten Geräten ist nicht vorgesehen. Die SecurePlus App wurde weder dafür konzipiert noch entsprechend getestet.  

Ich hoffe, wir können mit diesem Beitrag die wichtigsten Fragen klären. Natürlich werden wir auch weiterhin die Diskussionen rund um das Thema aufmerksam verfolgen und offene Themen ins Haus tragen.

An dieser Stelle verweise ich gerne noch einmal auf unsere Informationsseite zum SecurePlus Verfahren. Neben einer grafischen Schritt-für-Schritt-Anleitung werden auch die hier gegebenen FAQs regelmäßig erweitert.

Ich wünsche euch einen tollen Tag,

viele Grüße aus Nürnberg

Michael Herbst

Community Manager

[Koelle]

Gerootete Android-Geräte

Die Consorsbank SecurePlus App wurde für iOS und Android Geräte entwickelt und von Apple bzw. Google für die jeweiligen App Stores freigegeben. Eine Nutzung auf gerooteten Geräten ist nicht vorgesehen. Die SecurePlus App wurde weder dafür konzipiert noch entsprechend getestet.

Danke für die klaren Aussagen. Einzig zum Thema Root bleibt Ihr schwammig. Was genau soll "Nutzung ist nicht vorgesehen" bedeuten? Dass es trotz Root möglich ist oder von Euch aktiv bekämpft wird?

Edit: Wie zitiere ich in diesem Forum korrekt?

[SCHLUMPFINE777]

Da man sich ja nun auch beim Login 
spätestens alle 90 Tage legitimieren muss, ist die Frage, 
ob ich das mit der App sowohl für Konto 1 als auch für 
Konto 2 (anderer Kontoinhaber) machen kann. 
Aber wenn ich mir das so recht überlege, sollte das wohl 
möglich sein. 

Ich denke das geht so nicht.

Jeder Kontoinhaber muss sich selbst identifizieren. Und das eben mit dem eigen Generator/App

[Sebastian256]

Lieber @CB_Michael,

vielen Dank für das zeitnahe Beschaffen dieser Informationen. Insbesondere die zweimonatige Übergangsfrist, mit der alle die noch keins der neuen Verfahren aktiviert haben ihr Konto per mTAN noch bis zum 15. November nutzen können, finde ich sehr fair. Das gibt eine gewisse Planungssicherheit, falls das mit der App nicht so klappt wie erhofft. Bitte verkürzt diesen Zeitraum daher nicht doch noch.

Für mich haben sich noch folgende Rückfragen ergeben:

Aktivierung eines neuen Gerätes ohne verifiziertes Verfahren

Besteht die Möglichkeit, sich einen Aktivierungsbrief auf Vorrat anzufordern und daheim in den Tresor zu legen? Also für den Fall, dass ich nur ein einziges kompatibles Gerät habe und das mal zurückgesetzt werden muss, ohne dass vorher ein anderes Gerät aktiviert werden kann. Hierzu wäre es gut zu wissen, ob der Aktivierungsbrief mehrmals verwendet werden kann und ob er eine unbegrenzte zeitliche Gültigkeit hat. Beispielsweise bei der Commerzbank gilt der photoTAN Aktivierungsbrief zeitlich unbegrenzt und kann beliebig oft zur Aktivierung eines neuen Geräts verwendet werden. Falls dies bei der Consorsbank nicht möglich ist würde mich interessieren, wie ich auf mein Konto zugreifen kann, bis der Aktivierungsbrief bei mir angekommen ist. Kann ich in dieser Zeit ausnahmsweise den telefonischen Kundendienst nutzen, um meine Umsätze abzufragen und ggf. eine Überweisung in Auftrag zu geben?

TAN Anforderung von HBCI Anwendungen

HBCI ist nicht für Drittanbieter gedacht, sondern für die direkte Kommunikation von Software auf meinem Rechner mit der Bank. Daher muss ich auch keinem Drittanbieter eine Zustimmung erteilen (das wäre bei der PSD2-Schnittstelle der Fall, die ich hier aber ausdrücklich nicht meine). Stattdessen gebe ich in meiner Software die Zugangsdaten zum Onlinebanking ein. Selbstverständlich muss die Software dann die TAN-Abfrage beim Abruf der Umsätze hinbekommen, das ist ja ab Mitte September neu im Vergleich zum aktuellen Zustand. Meine Frage war, ob die Consorsbank diese Abfrage einer TAN dann bei jedem Abruf der Umsätze verlangt, oder nur alle 90 Tage. Das Gesetz fordert, dass die TAN mindestens alle 90 Tage angefordert wird. Manche Banken haben durchblicken lassen, dass sie jedes Mal die TAN abfragen werden (erfüllt ja die Vorgabe und ist leicht zu programmieren), anderen Banken ist der Komfort etwas wichtiger und sie nutzen die Zeitspanne voll aus und fordern nur alle 90 Tage eine TAN an. Ich würde mich freuen, wenn Sie diese Information noch nachliefern können.

Gerootete Android-Geräte

Leider haben Sie etwas um den heißen Brei herum geredet, aber vielleicht war meine Frage auch ungünstig formuliert. Deshalb versuche ich es erneut: Beinhaltet die SecurePlus App der Consorsbank Maßnahmen, die den Einsatz der App auf gerooteten Geräten verhindern sollen, zum Beispiel das SafetyNet von Google?

Vielen Dank!

[immermalanders]

@Sebastian256 

[...] HBCI ist nicht für Drittanbieter gedacht, sondern für die direkte Kommunikation von Software auf meinem Rechner mit der Bank. [...]

Und wer bringt diese Software raus? Die Bank selbst oder eine "Fremdfirma" (aus Sicht der Bank)? Eine kurze Erläuterung, was ein Drittanbieter ist, findet man bei Wikipedia. Wenn ich mich richtig erinnere, werden die meisten Programme zur Finanzverwaltung, die auch HBCI nutzen, nicht von der jeweils Kontoführenden Bank herausgebracht.

Wenn ich mich richtig erinnere, muss man nach PSD2 bei einem Login ins Girokonto spätestens alle 90 Tage zusätzlich eine PIN eingeben, oder habe ich das falsch in Erinnerung? Somit wäre es doch egal, ob ich mich direkt auf der Webseite der Bank anmelde oder über eine andere Software, nach spätestens 90 Tagen muss man zusätzlich eine TAN eingeben.

[stocksour]

...Dass es trotz Root möglich ist oder von Euch aktiv bekämpft wird?

@Koelle :

Die Frage ist letztlich unerheblich:

s. AGB, Teil B, 7.2 Sicherheitshinweise der Bank
Der Teilnehmer muss die Sicherheitshinweise auf der Online-Banking Seite der Bank, insbesondere die Maßnahmen zum Schutz der eingesetzten Hard- und Software (Kundensystem), beachten.

Diese Sicherheitshinweise lauten u. a.:

Sicherheit für Ihr Smartphone:

• Achten Sie darauf, dass die Software Ihres Smartphones regelmäßig aktualisiert ist
• Eingriffe wie „Jailbreaken“ oder „Rooten“ sind ernsthafte Eingriffe in die Gerätesicherheit, verwenden Sie daher solche Geräte nicht für Online-Banking
• Installieren Sie nur Software aus sicheren Quellen (Appstores).

Davon abgesehen wird kein gerootetes Android einer der vor- bzw. freigegebenen Android-Versionen entsprechen.

[Koelle]

@stocksourJa, das ist interessant, beantwortet meine und @Sebastian256s Frage nach dem tatsächlich zu erwartenden Verhalten der App aber nicht.