TAN-Wahnsinn beim Einloggen - Secure Plus App

[Schakal_911]

Bei jedem schlichten Einloggen aufs Konto soll man nun umständlich eine TAN eingeben??? Also nun Kontonummer ausfüllen, PIN dazu, Secure App starten, nochmal ne PIN, TAN erstellen, TAN übernehmen, Einloggen: GEHTS NOCH, CONSORS???

Das Verfahren nervt total und macht entspanntes OB uninteressant, wenn man eben mal nur schnell seinen Kontostand oder die Watchlist checken möchte und dafür gefühlte 10 PINs, TANs und Super-Sicherheits-TANs aus fünf verschiedenen Apps eingeben muss... zumal die ständige TAN-Eingabe beim Einloggen nichtmal vom Gesetzgeber so gefordert ist. Was soll also diese Gängelei??? Und nein, ich kann das ewige Sicherheits-Gejammer nicht mehr hören. Wer so Angst hat soll halt kein Onlinebanking machen und sich mit seinem Geld in nem Tresor einschließen. Wenn man die bisherigen Verfahren sinnvoll und gemäß Anleitung nutzte, war die Sicherheit auch gewährleistet. Ich nutze OB seit 20 Jahren und hatte noch nie ein Sicherheits-Problem.

Werde zukünftig noch öfter auf andere Bezahlvarianten wie Paypal und Co. zurückgreifen. Einfach und unkompliziert in der Nutzung und ebenso zuverlässig.

[CB_Stephanie]

Liebe Community,

wir freuen uns immer über rege Aktivität und konstruktiven Austausch in unserem Forum. Ebenso verstehen wir, dass die Einführung des SecurePlus Verfahrens Anlass für Diskussionen bietet.

Nun müssen wir jedoch feststellen, dass einige Beiträge in diesem Thread von gutem Ton und gepflegten Umgangsformen abweichen, weswegen wir noch einmal darauf hinweisen, die Netiquette zu wahren und auf die Einhaltung unserer Nutzungsbedingungen zu achten.

Vielen Dank und viele Grüße

CB_Stephanie
Community-Moderatorin

[onra]

Hallo @all,

.....villeicht hiflt die Lektüre der anhängenden Prosa zu "Netiquette" für den ein oder anderen ein bischen weiter....;).

https://wb-web.de/material/medien/die-netiquette-eine-vorlage-fur-regeln-zur-legalen-und-fairen-komm...

Grüße

onra

[anansi]

Hallo @CB_Stephanie ,

schön, dass sich mal wieder ein Offizieller zu Wort meldet. Könnten Sie vielleicht (endlich) auch etwas zu der bereits zitierten Aussage aus dem Handelsblatt-Artikel sagen?

Quelle: https://www.handelsblatt.com/finanzen/banken-versicherungen/psd2-vorgaben-banken-kommen-bei-neuen-ko...

"Inzwischen hat die Bafin aber mit Verweis auf eine Einschätzung der europäischen Bankenaufsicht Eba eine Klarstellung gemacht: Demnach müssen kontoführende Institute die Möglichkeit schaffen, dass Kunden auf Wunsch beim Kontozugriff via Drittanbieter nur alle 90 Tage eine starke Kundenauthentifizierung durchlaufen müssen.

Die meisten Banken haben das inzwischen berücksichtigt, sagt Peter Glowick, Geschäftsführer der App Finanzblick, dem Handelsblatt. Nach seiner Beobachtung verlange momentan nur noch eine Bank bei jeder Umsatzabfrage eine TAN."

[immermalanders]

@anansi 

[...] Inzwischen hat die Bafin aber mit Verweis auf eine Einschätzung der europäischen Bankenaufsicht Eba eine Klarstellung gemacht: Demnach müssen kontoführende Institute die Möglichkeit schaffen, dass Kunden auf Wunsch beim Kontozugriff via Drittanbieter nur alle 90 Tage eine starke Kundenauthentifizierung durchlaufen müssen. [...]

Gibt es einen Link zu der Klarstellung der Bafin? Wer fällt unter "Kontozugriff via Drittanbieter"? Sind das "nur" alle XS2A-Anbieter, bei denen alles über einen "Fremden" Server läuft oder fällt auch Software darunter, die der Kunde auf dem eigenem System installiert und diese Software die Daten direkt bei der Bank abruft?

Meine Interpretation der Aussage "... Kunden auf Wunsch beim Kontozugriff via Drittanbieter ..." ist, dass dies nur Zugriffe über XS2A (PSD2-Schnittstelle) betrifft, da die klassische Finanzsoftware direkt mit der Bank kommuniziert. Darum würde mich interessieren, was die BaFin tatsächlich geschrieben hat.

[anansi]

@immermalanders ich kenne leider auch nur den HB-Artikel, deshalb wäre ja eine offizielle Reaktion ganz nett. 

Edit: Auch der Anbieter einer externen Banking-Software ist streng genommen ein Drittanbieter. Deshalb: Bitte um offizielle Klarstellung.

[Fildertrader]

@anansi,

@CB_Stephanie 

Ich begrüße ihre offizielle Anfrage an die Moderation!

"Auch der Anbieter einer externen Banking-Software ist streng genommen ein Drittanbieter."

Leider ist das etwas differenzierter:

HBCI und Andere

1.Bank-eigene Zugänge, z.B. via Online-Banking oder über die Banking-App

2.Client-Apps/Services, die über den traditionellen „deutschen“ Online-Banking-Standard HBCI/FinTS oder per Screen Scraping (also über das Auslesen des Online-Kontos) direkt auf die Kontodaten zugreifen.

Wichtig zu wissen: Bei diesem Verfahren ist kein Drittdienstleister/Server eingeschaltet. Beispiele sind die Multibanking-Apps der Sparkasse, das VR Banking der Volks- und Raiffeisenbanken, Banking4, Outbank, Starmoney usw.. Hinzu kommt traditionelle Client-Software für Finanzbuchhaltung und Warenwirtschaft. (Wiso Mein Geld etc.)

PSD2:

Apps/Services, die über einen Drittdienstleister (z.B. Figo, FinTecSystems, BANKSapi oder finAPI) beziehungsweise serverseitig auf die Kontodaten zugreifen. Beispielsweise nutzen Multibanking-Apps wie Finanzguru, Numbrs oder die App der Deutschen Bank diesen Zugriffsweg. Darüber hinaus greifen auch cloudbasierte Fibu-/Warenwirtschafts-Lösungen über Drittdienstleister auf die Daten zu.

"Sofort Überweisung" wäre z.Bsp. der bekannteste, klassische Drittdienstleister.

Ich schließe mich der Meinung von @immermalanders an und würde auch vermuten, dass das nur die XS2A-Schnitttstelle betrifft.

Das würde aber bei dem HBCI/FinTS Standard nicht bedeuten, den aus Sicherheitsgründen nicht genauso anzupassen.

Bei den Skassen ist das auch so implementiert und bei der blauen Bank müßte es auch so sein, das habe das aber nicht mehr in Erinnerung.

[vibou]

@anansi  hat aus dem Handelsblatt zitiert:

[...]Die meisten Banken haben das inzwischen berücksichtigt, sagt Peter Glowick,[...]

und weiter

[...]Nach seiner Beobachtung verlange momentan nur noch eine Bank bei jeder Umsatzabfrage eine TAN."[...]

Die meisten Banken? Das ist wieder ein typisches oberflächliches, erbärmliches Blabla.

Nur noch eine Bank verlangt eine TAN? Ich bin nicht vom Fach, aber ich kenne schon 2 davon: Consors und die Bank mit den 3 blauen Buchstaben.

[Fildertrader]

Die tatsächliche Einschätzung im Wortlaut konnte ich noch nicht finden. Dazu müße man die Autoren beim HB anschreiben, was hier genau gemeint war.

Der Artikel ist teilweise holprig und wenig differenziert.

Ein paar Auszüge:

"APIs der Skassen erfüllen die spez. Datenschnittstellen"

"Dann dürfen Drittanbieter übegangsweise die bisherigen Schnittstellen HBCI/FinTS nutzen."
"Das hatte zwischenzeitlich auch die Nutzung von Multibanking-Apps unkomfortabel gemacht. Wer darin beispielsweise drei Bankkonten hinterlegt hatte, musste für ein Finanzupdate womöglich drei verschiedene TAN-Verfahren seiner Banken durchlaufen."

Das lese ich momentan so, dass hier nur die XS2A-Schnitttstelle angesprochen wurde.

@vibou 

Der Herr Glowick meinte wohl den Zugriff per Schnittstelle. Welche ist ja offen...

In der Tat ist es so, dass beide Webseiten eine Tan verlangen.

Per HBCI muss ich bei der Saldenabfrage im Gegensatz zur CB keine Tan generieren. Da ich meist über diese Schnittstelle arbeite, ist mir nicht mal aufgefallen, dass die Blaue Bank in letzter Zeit nicht ereichbar war.

Das habe ich auch erst aus dem HB erfahren.

So kann es gehen und so geht Bank auch!

[angry_user]

Kann man hier nur seinen Frust loswerden oder werden hier Beiträge auch durch die Bank kommentiert ?

[vibou]

@Fildertrader   [...]Per HBCI muss ich bei der Saldenabfrage im Gegensatz zur CB keine Tan generieren. [...]

Heute Abfrage mit AlfBanco über HBCI 3.0:

-Wenn ich ausschließlich den Saldo der Bank mit den 3 blauen Buchstaben abfrage, wird tatsächlich keine TAN verlangt. Hier steht im AlfBanco-Übertragungsprotokoll: Der Auftrag wurde ausgeführt.'HIRMS:########::Starke Kundenauthentifizierung nicht notwendig.'

-Wenn ich aber in einem Rutsch, die Salden aller meiner Banken abfrage, darunter auch die CB-Bank, so verlangt auch die Blaue Bank eine TAN für die starke Authentifizierung. Auch hier steht im Übertragungsprotokoll, das die Starke Kundenauthentifizierung nicht notwendig sei. Hier vermute ich einen Interpretationsfehler in der AlfBanco-Software. Ich werden dort nachfragen.