Ein Kollege von mir, der mir Tomorrow empfohlen hat, hat kürzlich eine interessante Feststellung nach der Änderung seiner Handynummer in der Tomorrow App machen müssen. Da ich vermutlich demnächst auch meine Handynummer wechseln werde und es sicher den ein oder anderen vor einer mittleren Katastrophe bewahren wird, teile ich das hier mal.
Nummer geändert, mit mTAN bestätigt, sowohl auf alter als auch auf neuer Nummer
soweit alles gut
kurz darauf werden alle Tomorrow-Karten gesperrt, evtl. sogar das ganze Konto
man erhält eine Nachricht, dass man einen Nachweis über den Besitz der Mobilfunk-Nummer einreichen soll, z.B. den Vertrag.
Wenn dies nicht möglich ist, z.B. bei Prepaid Nummern, dann sollte man das Dokument mit dem PIN/PUK einschicken, zusammen mit einer Ausweiskopie.
Es ist ja legitim, dass Missbrauch vorgebeugt wird, doch eine derartige Prozedur zu durchlaufen, ist alles andere als professionell und kundenfreundlich. Noch dazu ist das Datenschutzrechtlich problematisch, da man bei Vertragskopien oder PUK-Fotos personenbezogene Daten außer Hand gibt, die wiederum missbraucht werden können. Man stelle sich vor, das E-Mail Postfach eines Kunden wird gehackt, dann hat der Angreifer gleich den PIN und den PUK für das Handy parat und kann damit ggf. weitere Passwörter zurücksetzen oder gar Transaktionen per mTAN auslösen.
Wie seht ihr das? Habt ihr solch eine Anfrage auch schon erhalten? Gibt es im sinne der Service-Verbesserung Ideen, wie man das kundenfreundlich und sicher handhaben kann?
Ich kann dir da nur zustimmen, dass dieses Vorgehen absolut problematisch zu sehen ist und eine andere Lösung dafür gefunden werden muss.
Man könnte ja einen Einmalcode an die hinterlegte E-Mail und eine TAN an das Mobiltelefon schicken. Erst nach Eingabe beider Codes wird die Änderung akzeptiert.
Wenn die Mailadresse verifiziert ist, ginge es vielleicht. Wobei ich nicht weiß, ob das in Deutschland den regulatorischen Auflagen genügt. Die sind einen Zacken schärfer als anderswo.
Vermutlich wird der Zugang zur E-Mail nicht als starke Kundenauthentifizierung angesehen - denn ein E-Mail Account kann ja mal schnell abhanden kommen, wenn der PC infiziert ist oder man für den Zugang zum Account ein zuvor geleaktes Kennwort verwendet.
Wenn man davon ausgeht, dass die mTAN sicher ist - denn sie bestätigt ja auch Transaktionen - dann müsste die Eingabe eines mTAN Codes normalerweise für die Änderung ausreichend sein. So ist es bei den meisten anderen Banken auch.
Als weiteres Authentifizierungsmerkmal könnte man dann noch einen Code auf der VISA-Karte oder ein speziellen PIN-Code abfragen, den man entweder bei der Kontoeinrichtung per Post erhalten hat oder sich selbst aussuchen konnte. Bei Fidor ist das z.B. die FIN oder bei Revolut der Secure Code.
Das geht mal gar nicht. Sperrung vom Konto ist sowieso immer übel. Auch in Bezug auf die DSGVO ist das etwas fragwürdig und Dokumente mit PIN/PUK zu versenden, ist in etwas so bescheuert wie Passwörter im Klartext zu versenden. Was ist denn hier los.
Ich vermute, dass der Bericht des Kollegen nicht den Standard Fall beschreibt, sondern da etwas „besonders“ war. Der Kollege sollte sich meiner Meinung nach an den Support wenden.
@integrator Wenn Du da jetzt selbst verunsichert bist würde ich Dir auch empfehlen, dazu einmal beim Support nachzufragen. Ggf können sie den regulären Ablauf ja auch in die FAQ aufnehmen.
Er ist bereits mit dem Support in Kontakt und es läuft darauf hinaus, dass die Identität mit einem Selfie + Ausweis + DIN A4 Blatt geprüft wird. Ist noch das kleinere Übel, aber wenn dann mal dieses Material öffentlich leakt, weil es auf einem ungeschützten Amazon S3 Bucket gesichert wurde, dann ist das Kind schon in den Brunnen gefallen.
Ich selbst werde meine Nummer erst mal nicht ändern, bin von solchen Prozeduren etwas abgeschreckt, denn Kontosperrungen - vor allem wenn sie das Hauptkonto betreffen und Lastschriften oder Daueraufträge platzen - sind nicht sehr spaßig.
@integrator vielen Dank für den Anstoß dieser Diskussion. Das ist tatsächlich ein Thema, dass auch uns im Support beschäftigt. Grundsätzlich wird natürlich nicht direkt das Konto und die Karte geblockt. In der Regel passiert sogar gar nichts. Es gibt aber eben auch Fälle in denen compliance sicher stellen muss, dass die Nummer auch wirklich zu der Person gehört, die auch das Konto führt. Bis zu diesem Punkt sind wir uns wahrscheinlich einig, dass das in Ordnung geht. Was die Überprüfung der Nummer angeht scheiden sich dann die Geister. Die Solarisbank hat sich nun für diese Legitimierungsmethode entschieden. Dass da direkt Bedenken hinsichtlich der Sicherheit unverschlüsselter Kommunikation ist, ist absolut verständlich. Aus einer Support Perspektive ist das auch nicht immer ganz leicht zu kommunizieren. Dennoch kennen wir glaube ich Beispiele (andere Fintech Banken aus Deutschland), bei denen die Legitimierung der geänderten Rufnummer oder anderer Sicherheitsrelevanten Merkmale vielleicht etwas unverantwortlich konzipiert wurde und das dann zu einem riesen Aufschrei geführt hat. Ich denke das verdeutlicht, dass das Thema nicht ganz einfach so zu gestalten ist, dass immer jede Partei zufrieden ist. Vielleicht wird sich da ja aber bei Solaris langfristig der Vorgang ändern. Das Forum ist ja auch ein öffentlicher Platz. Vielleicht wird hier ja mitgelesen. Vorschläge also herzlich Willkommen!!
Zwei Dinge: Alle neuen Ausweise, die seit Monaten ausgegeben werden, unterstützen es, wie du sagst. Es ist nicht mehr optional. Und zweitens, warum soll man es für die Leute komplizierter machen als nötig, wenn die das nutzen können? Der Unterschied ist krass! 3 Minuten für eine volle Kontoeröffnung inkl. rechtsverbindlicher Identifizierung.
Euer ID-Partner bietet das an. Sagt ja niemand, dass es die alleinige Option sein muss. Dass das nicht geht, ist klar.
Uns dann gibt es Leute wie mich, die eID zwar gern Nutzen würden, aber leider den Brief mit der Transport-PIN verlegt haben und sich jetzt vor dem kostenpflichtigen Gang zum Bürgeramt drücken…
Funny thing: Gerade habe ich mitbekommen, dass eID Identifizierung kommen wird. Gut möglich, dass sich auch die Rufnummeränderung damit noch mal überarbeitet wird.
Hallo, ich habe gestern meine Nummer geändert und will hier kurz schreiben wie das abgelaufen ist um dem ein oder anderen die Angst zu nehmen.
Da ich den Beitrag hier vorher gelesen habe, dachte ich mir, dass es eine gute Idee wäre ein bisschen „Puffer“ einzuplanen und das ganze über den Support durchzuführen.
Also habe ich den Support im Chat kontaktiert, daraufhin sollte ich meine E-Mail-Adresse, meinen Geburtsort, meine alte Handynummer und eine kürzlich erfolgte Transaktion angeben. Weil es eine (ausländische) Prepaid-SIM ist, musste ich noch einen Screenshot aus der App des Anbieters schicken. Dabei war wohl wichtig, dass die neue Telefonnummer, meine Adresse und mein Name sichtbar war.
Danach ist dann erstmal nichts passiert, nach 2 Stunden habe ich mal wieder in die Tomorrow App geschaut und dabei gesehen (wurde mir über diesen roten Punkt deutlich gemacht), dass keine Nummer mehr eingetragen ist. Deshalb habe ich im Chat nachgefragt ob ich die neue Nummer selbst eintragen soll, oder ob der Support das macht. Ich musste sie dann selbst eintragen, mit per SMS erhaltenem Code bestätigen und fertig.
War also für mich überhaupt nicht problematisch, allerdings eben mit Umweg über den Support. Der einzige Kritikpunkt wäre, dass man mir noch deutlicher hätte mitteilen können, dass ich jetzt meine neue Nummer eintragen kann. Z.B. über eine Push-Benachrichtigung.
Außerdem habe ich mich ein bisschen gewundert, dass der Screenshot aus der App als Nachweis reicht. So etwas ist doch recht leicht fälschbar, bzw. hätte ich dort jede Adresse und jeden Namen eintragen können.
Hi @Joel danke für den Erfahrungsbericht. So läuft das auch in der Regel ab.
Kurz zu Deinem Feedback: Wir geben Dir in der Regel manuell bescheid, sobald Solaris uns bescheid gibt, dass die Rufnummer gelöscht wurde (das wird dort gemacht). In diesem Fall haben wir wahrscheinlich die Nachricht von Solaris schon vorliegen gehabt, sind nur noch nicht dazu gekommen, Dir bescheid zu geben. Dann hast Du es wahrscheinlich einfach schon schneller gesehen gehabt.
Gut möglich, dass sich auch die Rufnummeränderung damit noch mal überarbeitet wird.