Das ist einfach nur Polemik. Es geht mir nicht darum, den Komfort zu reduzieren. Alle Sicherheitsfunktionen, die es hier gibt, sind freiwillig - jeder von uns kann sie einfach deaktivieren, wenn sie einem zu viel Komfort kosten. Und das ist gut so. Daran möchte ich nichts ändern. Aber es gibt einfach eine offensichtliche Lücke in dieser Sicherheit. Ein potentieller Angreifer, der die Grundsicherheit durchbrochen hat, müsste also nur folgende Reihenfolge einhalten: Login in das ConsorsBank-Depot des Opfers mittels PIN und TAN, auf die er Zugriff gelangt hat Die SMS-Einstellungen bearbeiten: Hier schaltet er die SMS-Einstellungen vorsichtshalber mit zwei Klicks aus. Wäre nicht mal nötig, weil er später auf ein Referenzkonto überweist, aber ist eben ein vorsichtiger Angreifer. Das Online-Tageslimit auf das ConsorsBank-weite Maximum von 50.000 setzen. Ein neues Referenzkonto anlegen. Hier kann er einfach irgendein Konto auf seinen eigenen Namen eintragen. Alle Wertpapiere verkaufen. 50.000€ auf sein privates Konto überweisen. Den Schritt hier kann er jeden Tag wiederholen, bis das Konto leer ist. Eine Benachrichtigung bekommt der Kunde nicht. Das führt dazu, dass alles, was hier mühsam als tolle, optionale Sicherheitsfunktionen aktiviert wurde, nicht greift. Die gesamte Implementierung ist schlicht umsonst gewesen. Oder übersehe ich irgendwas? Das ganze ließe sich ziemlich leicht ändern bzw. drastisch erhöhen: Wenn eine Sicherheitsfunktion geändert wird, gibt es eine Benachrichtigung via E-Mail. Wenn ich meine E-Mail-Adresse ändere, muss ich natürlich auch eine E-Mail an meine alte Adresse erhalten. Das ist übrigens auch im Non-Banking-Bereich (z. B. Gmail-Konto) Standard. Diese minimale Änderung würde zu keinerlei Komforteinbußen führen, aber es würde die ganzen tollen Funktionen deutlich aufwerten. (Ich persönlich fände es noch toller, wenn man die Änderung der Referenzkonten online sperren könnte, ich mir also aussuchen könnte, ob ich Referenzkonten auch online oder nur via Formular / Unterschrift aktualisieren könnte. Das wäre ebenfalls keine Komforteinbußen, da optional, aber ein riesiges zusätzliches Improvement.) Aber gut; eine E-Mail-Benachrichtigung wäre auch schon mal was. 🙂
... Mehr anzeigen
