ich nutze iOS und vermisse die Möglichkeiten, Touch ID zu deaktivieren (und nur ein Passwort zu nutzen) und auch Touch ID durch die Eingabe meines Passwortes zu ergänzen (zur Erhöhung der Sicherheit). Es wäre wünschenswert dies auch wahlweise für den Zugang zur App oder für Überweisungen konfigurieren zu können.
Ausschließlich die Abfrage des Fingerabdrucks ist nicht sicher genug für mich, besonders für Überweisungen. Es ist zwar etwas Aufwand, aber wie mehrfach gezeigt, lassen sich Fingerabdrücke kopieren und somit sind Überweisungen durch Besitz meines Handys möglich (denn auf diesem befinden sich viele Abdrücke meines Daumens). Die SMS TAN erhöht in diesem Szenario die Sicherheit nicht.
Für den Zugang zur App würde mir der Fingerabdruck ausreichen, aber nicht für Überweisungen.
Ich vermisse hier, dass man dem User die Entscheidung überlässt, welche Sicherheitsstufe er/sie bevorzugt. Aktuell werde ich dazu gezwungen die Authentifizierung allein über den Fingerabdruck zu akzeptieren.
Bin gespannt auf Rückmeldung und sage danke für dieses tolle Projekt und eure Arbeit!
Wenn ich dein Anliegen richtig verstanden habe, möchtest du dich nur mit Eingabe deines Passwortes einloggen können und nicht mit Abfragen der Touch-ID, korrekt?
Ich denke, hier ist ein wenig mehr Kontext notwendig. Die Toch-ID sorgt nicht etwa dafür, dass deine App direkt entsperrt wird, sondern trägt lediglich dein im Passwort Manager des Telefons hinterlegtes Passwort für die Tomorrow App automatisch ein. Du musst also per Touch-ID den Passwort Manager aktivieren, damit auch das Autofill greift. Wenn du dies umgehen möchtest, dann musst du lediglich dein Tomorrow-Passwort aus dem Passwort Manager entfernen. So kannst du es in Zukunft immer händisch eingeben.
Ich kenne mich nicht genug mit iOS aus um zu wissen, ob sich das automatische Öffnen des Passwort-Managers und somit die Abfrage des Fingerabdrucks bei Apps, welche die Eingabe eines Passworts benötigen, deaktivieren lässt aber im Zweifel müsstest du zukünftig beim Öffnen der Tomorrow App dann auf „Passwort“ klicken, und kannst es dann manuell eingeben. Es wäre dann ja so oder so nicht mehr im Passwort Manager gespeichert.
Das war nun ganz schön viel Text, aber ich hoffe, ich konnte dir das einigermaßen verständlich erklären und somit weiterhelfen!
@Milena unter iOS tritt nach erfolgreicher Gerätebindung der iOS-Systemdialog anstelle des Logins via E-Mail und Passwort. Öffnet man dann die App, erfolgt der gesamte Login über den iOS-Systemdialog, je nach Model Touch-ID oder Face-ID.
Was man aber tun kann ist, in den Systemeinstellungen der App die Berechtigung for Touch-/Face-ID zu entziehen. Dann erfolgt der Login über die PIN des Telefons – das ist die zuletzt von Apple entwickelte Fallback-Variante, weil permanentes Maskentragen Face-ID ausgehebelt hat.
Nicht ganz die gewünschte Wahl, auf Nutzername + Passwort zurückgreifen zu können, aber immerhin eine Variante, die die Nutzung eines Passcodes ermöglicht. Eine Abfrage des eigentlichen Passworts fürs Tomorrow-Konto würde erst wieder erfolgen, wenn man sich ausloggt, und damit dann auch die Gerätebindung löst.
Moment mal, verstehe ich hier etwas falsch? Es gibt unter iOS nicht in den Tomorrow-App-Einstellungen die Option, Biometrie zu (de-)aktivieren? Beziehungsweise führt das Abbrechen / Auflegen eines falschen Fingers nicht zur Passworteingabe von Tomorrow, sondern zur Eingabe der Systempin?
2 Sätze weiter: „Die SMS TAN erhöht in diesem Szenario die Sicherheit nicht.“.
Da gehe ich mit, weil ja Zugriff aufs Gerät besteht im gedanklichen Fall und der Angreifer die SMS dementsprechend einfach lesen kann.
Das ist korrekt. Ist zwar ungewöhnlich, aber ich finde das tatsächliche besser. Nun muss man dazu sagen, dass ich kein PIN sondern ein richtiges Passwort beim Handy nutze (was ich grundsätzlich jedem empfehle).
Die Einleitung lies darauf schließen, dass das möglich sei. Ich habe es nur klarer dargestellt - unabhängig davon ob der Ersteller das gut findet oder nicht.
Nein, nicht ganz. Ich würde gerne per Touch ID die App öffnen können (weil nicht so sicherheitskritisch), aber Überweisungen zusätzlich mit der Eingabe meines Tomorrow Passworts sichern (also Überweisung per SMS TAN, Touch ID und Passwort Eingabe).
Von dem Fallback habe ich gehört, jedoch scheint dies auf älteren iPhones ohne Face ID nicht als Option angeboten zu werden. Ich verwende ein iPhone 7 mit der aktuellsten iOS Version (14.6) und finde in den iOS-Systemeinstellungen zur Tomorrow App keine Möglichkeit dieser App den Zugriff auf Touch ID zu entziehen. Auch die Deaktivierung des automatischen Ausfüllens von Passwörtern per Touch ID (d.h. Entsperren des Passwort Managers) in den iOS-Systemeinstellungen zu Touch ID hilft leider nicht (was Frnk schon erklärt hat, da der iOS Systemdialog anstelle des Logins via e-Mail und Passwort tritt - das hatte ich auch schon erfolglos ausprobiert).
Mir scheint, es fehlt hier von Seiten der Tomorrow App die entsprechende Möglichkeit dies zu konfigurieren. Selbst mit einem iPhone mit Face ID und der Möglichkeit dies zu Deaktivieren (aufgrund der Corona Masken-Situation) ist die Lösung an Apple gebunden. Und dies wäre auch nicht wirklich die gewünschte Lösung. Theoretisch sollte es doch möglich sein, Touch ID und Tomorrow Passwort zu kombinieren um die Sicherheit zu erhöhen. Und weiterhin, auch genauer zu konfigurieren für welchen Vorgang ich mir welche Sicherheit wünsche (wie zu Anfang gesagt: Öffnen der App per Touch ID, Überweisungen per Touch ID, Passwort und SMS TAN).
Danke für eure schnellen und ausführlich-hilfreichen Reaktionen!
bleibt dieses Thema für euch interessant? Bin etwas verwirrt, weil zunächst nach wenigen Minuten lauter Antworten auftauchten, nun aber seit 5 Tagen nichts weiter kommt.
Für mich bleibt es ein sehr wichtiges, sicherheitskritisches Thema. Darüber hinaus auch eines von Nutzerorientierung (weil ich aktuell nicht die Wahl habe; auch der Workaround den @Frnk vorgeschlagen hat geht auf dem iPhone 7 wie gesagt nicht).
Außerdem scheint es auch nicht stringent zu sein. Die Android Version scheint dem User die Wahl zu überlassen. So konnte ich das jedenfalls bei einem guten Freund nachfragen und auch @Turbotomate wundert sich darüber, dass dies unter iOS nicht geht.
Danke für eine kurze Rückmeldung, ob ihr das als wichtig erachtet und eventuell auch demnächst mit in die iOS App integrieren werdet.
Ansonsten wird Tomorrow aus besagten Sicherheitsbedenken erstmal leider nicht meine Bank bleiben und das fänd ich echt schade.
Meine Verwunderung liegt hier aber eher in Apples Umsetzung im OS begründet. Ob Tomorrow das anders lösen könnte, weiß ich nicht. Ich finds nur erstaunlich, dass dementsprechend bei iOS die Anmeldedaten zu 100% bei Apple bzw. im OS zu liegen scheinen und die Nutzer dementsprechend bei aktivierter Biometrie vollkommen bevormundet werden. Bei Android kann ich ja jederzeit die biometrische Authentifizierng abbrechen und mein Passwort selbständig eingeben. Aber vielleicht habe ic auch grad einen Denkfehler.
Ja genau, so habe ich es auch verstanden.
Statt Face-ID wird das App-Passwort bei dieser Bank angezogen. Wobei das App-Passwort ein 6-stelliger Zahlencode ist, aber da sollte dann ja auch ein Text-Passwort machbar sein.
Dachte die Bank ist offensichtlich aufgrund des Akzentes. ING
Das ist nicht der Fall. So funktioniert Face-/Touch-ID nicht. Das ist kein „Passwortmanager“. Es ist ein alternativer Weg, der anstelle eines anderen Log-ins treten kann. Nicht muss.
Das hat mich zum Nachdenken und Ausprobieren gebracht. Es stimmt, meine Vorgehensweise finde ich nicht. Das wäre ja „doppelt“, also eine Überweisung sowohl mit Touch ID, als auch mit Passwort zu schützen (so wie von mir im Thread-Titel vorgeschlagen).
Ich finde bei den zwei anderen Banken, bei denen ich aktuell noch bin, was @falko von der „ING“ Bank auch gepostet hat. Dort bekomme ich in der App die Möglichkeit Touch ID zu aktivieren oder zu deaktivieren. Bei deaktiviertem Touch ID muss ich dann das Passwort der App statt meinem Fingerabdruck eingeben.
Wenn ich es genauer betrachte, ist jedoch für mich im Praxisfall quasi immer gegeben, dass ich zunächst meinen Fingerabdruck eingebe (weil mein iPhone nie entsperrt irgendwo rumliegen lasse und es sich sonst nach 30Sek selbst sperren würde). Das bedeutet, möchte ich aktuell mit oben genannten Apps eine Überweisung tätigen, entsperre ich iOS zunächst mit Touch ID und gebe dann für die Banking-App das dafür festgelegte Passwort ein (nicht das iOS Passwort). Insofern wäre das quasi „doppelt“ bei den Apps die ich bisher nutze.
Wenn das kein Problem wäre, würde ich mich über die Wahlmöglichkeit freuen! Das heißt, Touch ID in der Tomorrow App wahlweise konfigurieren zu können, so wie im Screenshot von @falko, das heißt zu konfigurieren, ob ich für den Log-In Vorgang oder auch für Überweisungen Touch ID nutzen möchte oder stattdessen dann das App Passwort eigebe. Zwar wäre das dann nicht „doppelt“, so wie im Thread-Titel von mir angefragt wurde, aber wie weiter oben erwähnt, auch nicht unbedingt erforderlich. Im Anwendungsfall wäre das bereits „doppel“.
Deinen Kommentar finde ich leider richtig daneben. Ich habe versucht mein Anliegen hier ehrlich einzubringen und habe den Eindruck damit auf Interesse gestoßen zu sein und somit potentiell auf ein kleines Stückchen Mehrwert für die App aufmerksam gemacht zu haben. Wenn du meine Anfrage überflüssig findest, okay, dann sag das bitte, ist voll in Ordnung, oder wenn du magst bring Argumente vor oder beteilige dich einfach nicht weiter. Aber wenn du dich gerne über andere lächerlich machst, möchte ich nicht weiter mit dir über dieses Thema sprechen.
Moment. Du selber stellst eine Anforderung an Tomorrow und sagst gleich dazu, dass das so nicht mehr deine Bank sein kann. Dann stellst du auf einmal fest, dass keine Bank deine Anforderung erfüllt - nachdem man dich fragt welche Bank denn deine hohe Messlatte erfüllt.
Anstatt das einzusehen fühlst du dich angegriffen, obwohl das nicht mal böse von mir gemeint war. Das finde ich auch ziemlich daneben. Da habe ich selber keine Lust mehr mit dir zu kommunizieren.
Ich verstehe nicht, warum schreibst du solch einen Kommentar? Geht es hier darum, wer gewinnt und Recht hat und wer verliert und irgendetwas einsehen müsste? Oder geht es um den Inhalt, also Überlegungen zur Sicherheit von Online Banking? Wenn es für dich eine überzogene Anforderung ist, du eine andere Meinung dazu hast, oder weiteres Wissen hast / Argumente kennst, dann sag das doch bitte. Daran bin ich interessiert.
Natürlich sehe ich ein, dass ich keine Bank nennen konnte die genau das erfüllt was ich mir eigentlich wünsche. Genau darauf bin ich ausführlich in meinem letzten Beitrag eingegangen und habe dazu eine andere Position vertreten. Ich verstehe nicht, worum es dir in deinem Kommentar geht?
Deinem Kommentar konnte ich nur entnehmen, dass du meinen letzten Beitrag nicht wirklich gelesen hattest, daher fühlte ich mich angegriffen. In meinem letzten Beitrag beschreibe ich, dass ein Deaktivieren von Touch ID für die Tomorrow App letztlich meine Anfrage erfüllen würde (und dies bieten auch andere Anbieter).
wie 