mTan vs (z.B.) chipTan

#1

Hi :slight_smile:
Erstmal vorweg: Ich bin mit euch echt total zufrieden. – Funktionsumfang finde ich völlig ausreichend, die App ist ansprechend! und, weswegen ich überhaupt erst zu euch gewechselt bin: Fokus auf ethisch und ökologische Korrektheit! :slight_smile:

Nun aber zu meinem Kritikpunkt oder auch allgemeine Frage in die Runde.
Das mTan verfahren ist zwar total bequem: In der App die Überweisung “anlegen”, SMS bekommen und mit der enthaltenen Tan bestätigen. Jedoch resultiert daraus auch ein Sicherheitsrisiko:
Man bekommt nun beide “Faktoren” der 2-Faktor-Autorisierung auf ein und das selbe Gerät. Sichere wäre dann z.B. das chipTan-Verfahren bei dem man dann tatsächlich die Tan auf einem komplett anderen Gerät angezeigt bekommt.

Gibt es hier schon Ideen oder Ansätze, das chipTan-Verfahren auch anzubieten? :slight_smile:

Noch ein Link:
https://www.bsi-fuer-buerger.de/BSIFB/DE/DigitaleGesellschaft/OnlineBanking/SoFunktioniertDasOnlineBanking/Sicherheit/PIN-TAN-Schutzverfahren.html?cms_pos=3

#2

Hey paratoxin,

aktuell ist der Einsatz von Chip-TAN kein Bestandteil unserer Roadmap. Es ist auch in naher Zukunft nicht geplant, dass Verfahren einzusetzen. Jedoch wird das Thema Sicherheit natürlich sehr Ernst genommen und ggf. in weiter Zukunft könnte eine chip-TAN ähnliche Verifizierungsmethode kommen (aufjeden Fall aber nicht dieses/nächstes Jahr, lt. aktueller Prognose).

Aktuell würde ich aber nicht behaupten, dass dies “sehr unsicher” ist und man muss natürlich immer zwischen Benutzerfreundlichkeit und Sicherheit abwägen. Tomorrow hat den Punkt “chip-TAN” auf dem Zettel.

Wohlgemerkt verstehe ich deine Bedenken und bin ebenso deiner Meinung, dass in Sachen Sicherheit durch das mTAN-Verfahren ein wichtiger Bestandteil verloren geht.
Viele Banken sind aufgrund der “Strong Customer Authentication” zurückgerudert und bieten mTAN teilweise gar nicht mehr an, da große Bedenken bestehen.

Jedoch müsste Person X bei Kompromittierung, sowohl dein Fingerabdruck/Gesicht/Passwort als Zugang zur App haben, selbstverständlich das Handy mit Device Binding, und dann durch mTAN die Überweisung bestätigen. Wobei die Banken, dann beim Punkt Fingerabdruck/Gesicht/Passwort auf dich zurückkommen würden und sich die Frage stellt, wie solche sensiblen Daten in die Hände des Kompromittierenden kommen.
Viele Banken setzen natürlich auf den Bequemlichkeitsfaktor bzw. die Nutzerfreundlichkeit.

Naja, grundsätzlich würde ich chip-TAN befürworten, dem gegenüber stehen aber viele Nachteile bzgl. Bequemlichkeit und Nutzerfreundlichkeit.

Als kleiner Tipp:
So macht es tatsächlich meine Oma :smile::
App auf Smartphone mit Online Banking
und die Simkarte mit SMS-TAN in einem 10 Euro Handy, so dass falls mal das Handy geklaut werden sollte, da keiner Schabbernack treiben kann :smiley:

Grüße aus dem regnerischen Wuppertal!

#3

Hey Tobias,

vielen Dank für die schnelle und ausführliche Antwort. :slight_smile:
Die Idee bzgl. des Zweithandys hatte ich auch schon, war mir aber bisher dann auch zu aufwendig (neue Nummer oder 2. Simkarte + neues Handy) :smiley: .

LG

#4

Chip-TAN halte ich für unwahrscheinlich.

Die dazu nötige Anwendung wird in Deutschland meist auf Chips der Girocards installiert. Die technischen Spezifikationen der Chips für Visa erlauben zwar grundsätzlich die Installation von Chip-TAN, allerdings sind mir von deutschen Banken bzw. Card-Issuern hier bislang keine Karten bekannt.

Man kann nun freilich dedizierte Karten herausgeben, die nur für Chip-TAN gut sind (wie das manche Sparkassen z.B. für Firmenkonten tun). Aber einer der Nachteile wäre, dass im Verlustfall dann auch immer eine neue Karte versendet werden muss usw. – In Zeiten, in denen Verbraucher immer alles sofort gelöst haben wollen, sind Verfahren, die man “instant” aus der Ferne freigeben kann, auch aus administrativer Sicht der Bank interessanter.

Die größte Gefahr bei SMS-TAN ist auch nicht, dass ein Dieb dein Gerät klaut. Die größte Gefahr ist SIM-Swapping. Alle mir bekannten Betrugsfälle basieren darauf: Per Phishing-Angriff bekommt ein Dieb Zugriff auf deinen Konto-Login. Dann wird eine Ersatz-SIM für die Handynummer bestellt und SMS auf diese neue SIM umgeleitet.

Ein extra Handy für SMS-TAN erhöht zwar die Sicherheit, schützt aber vor diesem Angriffs-Szenario, bei dem es in der Vergangenheit tatsächlich zu erfolgreichen Angriffen kam, auch nicht.

3 Like
#5

Sehe ich das richtig, dass ein Betrug nach bekanntem Muster durch die Device-Bindung gar nicht möglich ist? Dann wäre es also sozusagen eine “theoretische” Angst, weil Betrüger bisher keine Möglichkeit gefunden haben, das zu knacken? :thinking:

#6

Der Regulator fordert, dass die beiden Verbindungswege zur Kommunikation bei Überweisungen technisch getrennt sein müssen. Wenn also ein Lauschangriff auf einen Kanal stattfindet, dürfen nicht die Auftragsdaten für eine Überweisung und die PIN-Übertragung auf einmal kompromittiert sein.

Jeder Angriff aufs Konto, der Betrug per Überweisung zum Ziel hat, muss also immer beide Kommunikationskanäle übernehmen können.

Device-Binding sichert lediglich den Log-in ab. Für Mobile-only-Banken ist das ein Weg, die durch PSD2-nötige Strong-Customer-Authentication benutzerfreundlicher zu gestalten, weil sie einen 2. Faktor darstellt: Mein (identifizierbares) Gerät ist Faktor 1, das Passwort/Fingerprint dann Faktor 2.

N26 nutzt ebenfalls Device-Binding. Angreifern war es aber gelungen, diese Verbindung aufzuheben und ein neues Gerät zu verknüpfen. Ironischerweise auf einem Weg, den viele sich wünschen: übers Web-Interface. Via Phishing wurden Log-in-Daten abgegriffen. Damit konnte dann übers Web-Interface die Verknüpfung zum Handy des Besitzers aufgelöst werden. Theoretisch ist das auch bei N26 nicht so ohne Weiteres möglich und genaue Informationen darüber sind nicht öffentlich. Aber erst dadurch war es möglich, Überweisungen freizugeben.

Also: Device-Binding ist vor allem ein Weg, SCA nutzerfreundlicher zu gestalten. Und es sichert in der Tat Mobile-only-App-Bankinganwendungen besser ab. Es ist außerdem typisch bei App-TAN-Verfahren, um das private Handy gegenüber der Bank als TAN-Generator zu identifizieren. Entscheidend für die Sicherheit ist aber auch das Verfahren zur Bindung, Lösung und Neuverbindung. Wenn hier wieder SMS-TAN zum Einsatz käme, wäre es wieder anfällig für SIM-Swapping.

4 Like
#8

Bitte bitte bitte bitte bitte chipTAN einführen es ist das einzige System was bisher noch nicht geknackt werden konnte und laut Computer Chaos Club auch das sicherste ist wenigstens optional solange ihr kein chipTAN Verfahren einführt kann ich euch als Beta Tester leider nur mein Spielkonto zur Verfügung stellen mein Hauptkonto habe ich weiterhin bei einer anderen Bank ich würde mich wirklich freuen wenn endlich chipTAN einführt

1 Like
#9

Hallo lara1,

ich muss dir die Hoffnungen bezüglich Girocard/EC-Karte leider nehmen.

chipTAN ist aufjeden Fall kein Bestandsteil der Roadmap und hat gravierenden Einfluss auf den Impact seitens Tomorrow und deren Kunden und zwar negativ, dadurch das die Interchange-Fee deutlich kleiner ausfällt als bei Visa Debit.

Tut mir Leid deinen Wunsch abzudreschen, aber dies entspricht bis dato nicht dem Plan von Tomorrow und ich werde diesbezüglich auch keine falschen Hoffnungen deinerseits hegen.

Wir würden uns natürlich freuen, wenn du uns trotzdem weiter als Kunde erhalten bleibst :blush:

#10

ChipTAN finde ich persönlich für Mobile Banking zu unkomfortabel. Ich benutze schließlich Banking-Apps, um meine Bankgeschäfte schnell nebenbei am Handy machen zu können. Die TAN dann über ein zusätzliches Gerät generieren zu lassen torpediert das ganze dann wieder. Meine Hausbank kommt sogar ganz ohne TAN aus, da werden die Überweisungen lediglich über den Fingerabdruck bestätigt.

ChipTAN würde hier sicherlich nicht als Default kommen, aber als digitale Bank, die für Komfort und Innovation steht, ChipTAN einzuführen klingt für mich wie ein Rückschritt.

Es gibt auch Verfahren, die eine hohe Sicherheit bieten, bei denen aber nicht all zu viel Komfort verloren geht. Mein Favorit ist z.B. NFC-TAN.

5 Like
#11

Chiptan ist nicht notwendigerweise an die Girocard gebunden.

Auch Visakarten können eine entsprechende Applikation auf dem Chip haben.

#12

Stimmt nicht notwendigerweise.

ChipTAN wird über den Smartcard Chip der girocard abgesichert.
Genauer durch das dieser Bankkarte zu Grunde liegende SECCOS Betriebssystem. Da aber selbst Banken, die ihre Kreditkarten mit dem SECCOS Betriebssystem ausstatten, chipTAN dort nicht implementiert haben, ist der Einsatz de facto auf die girocard begrenzt.

Aber da möchte ich mich auch gar nicht streiten.
Ziel meiner Antwort war, klare Worte zu senden, und zwar das chipTAN erstmal kein Bestandteil der Roadmap ist, auch wenn es theoretisch möglich wäre.

Und das sollte chipTAN in ferner Zukunft als Thema aufkommen, dann wohl eher in Verbindung mit der Herausgabe von girocards

#13

Naja, es gibt schon zahlreiche Banken im europäischen Ausland, die Chip-TAN mit MC/Visa-Debitkarten einsetzten. Ich halte es nicht für sinnvoll, dass mit der Diskussion um die Girocard zu verknüpfen. Wenn man sich die technischen Vorteile von Chip-TAN ansieht und warum es denn überhaupt sichererer ist, dann kommt man schell auf eine Reihe von weiteren Technologien, die man alternativ anbieten kann. (Der Chip auf der Karte ist ja im Grunde nichts weiter als der private Schlüssel des Krypografie-Verfahrens, das kann z. B. auch ein Chip im Generator selbst erledigen.)

Der legitime Kundenwunsch nach einem sichereren TAN-Verfahen als SMS-TAN sollte von Tomorrow meines Erachtens ernst genommen werden. Es gibt viele Kunden bei anderen Banken, die für dieses Extra an Sicherheit auch bereit sind, z.B. die Kosten für den Generator selbst zu tragen.

1 Like
#14

Ja, NFC-TAN ist im Grunde Chip-TAN 2.0 – bei beiden Verfahren dient eine Applikation auf dem Chip der Karte als privater Schlüssel.

Die Benennung der Verfahren ist leider nicht besonders hilfreich. Manche Banken benennen das Verfahren nach der Übertragungsart, manche danach, was als Schlüsselelement zum Einsatz kommt. Auch Chip-TAN der Sparkassen ist Photo-TAN, weil auch hier per Photo die Datenübertragung auf den Generator stattfindet. Auch Photo-TAN der Comdirect ist irgendwie Chip-TAN, nur ist der Chip hier halt im Gerät verbaut.

NFC-TAN ist sicher eine interessante Option, weil es auch hier der Bank offen stünde, sowohl eine App dafür bereitzustellen wie auch externe Generatoren für Kunden mit höherem Sicherheitsbedürfnis anzubieten. Es kombiniert die Optionen, die man mit App- oder Chip-TAN hat.

1 Like
#15

Genau, das Prinzip ist das gleiche. Mehrere TAN-Verfahren bereitzustellen wäre natürlich super, damit würden dann auch keine potentiellen Kunden abgeschreckt werden, da sowohl die Sicherheitsliebenden (ChipTAN, NFC-TAN) als auch die Komfortliebenden (SMS-TAN) zufrieden gestellt werden können.

Da mit der Implementierung von anderen TAN-Verfahren auch ein großer Aufwand einher geht vertraue ich aktuell einfach darauf, dass Tomorrow das auf dem Schirm hat und das Portfolio mittelfristig erweitert wird.

1 Like
#17

Das Forum sollte gerade auch dazu dienen, dass Feature Requests von Nutzern diskutiert werden. Es ist in Tomorrows eigenem Interesse zu sehen, wie Nutzer zu bestimmten Themen stehen. Dass nicht alles, was hier angesprochen wird, kurzfristig umgesetzt wird, sollte jedem klar sein.

SMS-TAN ist aus vielerlei Gründen eines der anfälligsten TAN-Verfahren der Branche, und eine Diskussion zum Thema, auch aus Gründen der Aufklärung, meiner Meinung nach zu jedem Zeitpunkt sinnvoll, völlig unabhängig, wann Tomorrow alternative TAN-Verfahren anbieten wird.

#19

Aus aktuellem Anlass:

Sicheres TAN Verfahren?
#20

Du sprichst mir aus dem :heartpulse: hast du twitter würde dir sehr gene folgen

1 Like
#21

=) das stimmt einfach auf so vielen Ebenen