Probleme mit Tan-Verfahren am Handy

Das ist ein komischer Fehler:

Die TAN2go-App funktioniert bei mir (eben sicherheitshalber noch einmal versucht) völlig unabhängig von der DKB Banking-App - ich will damit sagen, dass ich beliebig zwischen den beiden Apps (und anderen) wechseln kann, ohne dass sich eine schließt. Hierfür tickt ja im Hintergrund der Timer.

Ich würde folgendes versuchen:

- alle Antivirus-Programme schließen (sofern vorhanden)

- Tan2go manuell öffnen

- Anmeldung bei der Banking-App

- Überweisungsversuch

Ich bin mir nicht sicher, ob das wirklich eine hilfreiche Lösung ist. Man kann natürlich auch beide Apps löschen und neu installieren. Ob die Hotline helfen kann, da bin ich überfragt. Man trifft da durchaus auf nette Menschen, die einfach Ahnung auch von solchen Sachen haben.

Viel Erfolg

Gerrit

PS

Die App funktioniert nicht mit einem Nokia 6210 - ich habe es probiert, das Handy ist zu anspruchsvoll...

hmmm. Irgendwann (als ich das Konto dort eröffnet habe) gab es den Hinweis, dass ich die TAN-App auf einem anderen Gerät nutzen muss als die Banking-App. Und so habe ich das auch immer gemacht. Daher muss ich die TAN auch immer manuell eingeben.

Ihr macht das also am gleichen Gerät? Ich habe schon immer Probleme, die Überweisungsdaten vom gleichen Gerät in die Banking App zu kopieren, da kommt immer eine Zwischensequenz als ob die App kurz ausgehen würde und manchmal kommt das Kopierte gar nicht erst an.

Alfgard das klingt am ehesten danach, dass dein Smartphone zu wenig freien Speicher (RAM) hat. Wenn das der Fall ist beendet das Betriebssystem auch schon mal Apps die gerade nicht sichtbar sind.

Grundsätzlich ist es aber grundsätzlich unsicher Banking App und TAN App auf dem selben Gerät zu nutzen, dann ist der Vorteil des zweiten Unabhängigen Faktors verloren.

Zitat von theSealion

Grundsätzlich ist es aber grundsätzlich unsicher Banking App und TAN App auf dem selben Gerät zu nutzen,

dies ist ein äußerst wichtiger Hinweis

Zitat von Klaus_Knechtskern

Zitat von theSealion

Grundsätzlich ist es aber grundsätzlich unsicher Banking App und TAN App auf dem selben Gerät zu nutzen,

dies ist ein äußerst wichtiger Hinweis

...aber ein falscher

Sinn und Zweck der getrennten Banking- und PushTan-Apps ist ja das Ermöglichen von vollumfänglichen Banking auf einem Endgerät; die Zwei-Faktor-Authentifizierung bleibt dabei erhalten (idealerweise durch zwei unterschiedliche Passwörter für die beiden Apps).

Zitat von Alfgard

gerade weil das doch die tolle Lösung sein soll

Ist es ja auch, wenn es klappt.

auch wenn ich es könnte verwende ich die Bankingapp am Handy nicht. Ich bin ja immer noch ein Anhänger der guten alten Tan-Liste

Zitat von Alfgard

Zitat von Beezle

...aber ein falscher

Sinn und Zweck der getrennten Banking- und PushTan-Apps ist ja das Ermöglichen von vollumfänglichen Banking auf einem Endgerät; die Zwei-Faktor-Authentifizierung bleibt dabei erhalten (idealerweise durch zwei unterschiedliche Passwörter für die beiden Apps).

Das dachte ich auch, dass das ja die "Innovation" sei.

Vorher hatte ich das Banking am PC und die TAN-App am Handy....dann kam beides am Handy, gerade weil das doch die tolle Lösung sein soll, dass man keine zwei "Endgeräte" mehr braucht.

Alles anzeigen

...und das ist es ja auch. Nach dem aktuellen Stand der Dinge sind PushTan und ChipTan die sichersten Möglichkeiten zum Erhalt einer TAN; die PushTan-App ermöglicht eben Banking auf dem Smartphone. Das alte SMS-Tan-Verfahren ist nicht mehr zu empfehlen (und diebalten Listen gibt es ja hoffentlich nirgendwo mehr)

Zitat von Klaus_Knechtskern

auch wenn ich es könnte verwende ich die Bankingapp am Handy nicht. Ich bin ja immer noch ein Anhänger der guten alten Tan-Liste

...ups (siehe oben)

Zitat von Beezle

Nach dem aktuellen Stand der Dinge sind PushTan und ChipTan die sichersten Möglichkeiten zum Erhalt einer TAN

Ich bin immer noch überzeugt, dass die alte Tan-Liste immer noch die sicherste Möglichgkeit wäre. Aber die kostet die Bankinstitute natürlich mehr Geld

Zitat von Klaus_Knechtskern

Zitat von Beezle

Nach dem aktuellen Stand der Dinge sind PushTan und ChipTan die sichersten Möglichkeiten zum Erhalt einer TAN

Ich bin immer noch überzeugt, dass die alte Tan-Liste immer noch die sicherste Möglichgkeit wäre. Aber die kostet die Bankinstitute natürlich mehr Geld

Ob das so viel teurer wäre glaube ich gar nicht; was sicherlich teurer weil aufwändiger gewesen ist, war das ständige "ich weiß nicht mehr, welche Tan ich schon benutz habe, ich brauche eine neue Liste" oder (noch schlimmer) "ich weiß nicht mehr, wo ich meine Liste gelassen habe, ich brauche eine neue" (womit dann auch die Sicherheit der Liste komplett für den Eimer war).

Aber wenn du noch die Liste hast und das alles klappt, ist es ja gut.

Nö oich habe keine Listen, die gibt es ja seit Jahren nicht mehr. Ich verwende halt mein Mobiltelefon als Tan-Generator

Ah, ok, das hatte ich falsch verstanden (ich hatte mich schon gefragt, welche Bank noch Listen ausgibt).

Der Hinweis auf Sicherheit und nicht beides am selben Gerät zu nutzen ist in jedem Fall angebracht.

CCC Talk - Vincent Haupert: (Un)Sicherheit von App-basierten TAN-Verfahren im Onlinebanking

In dem Showteil haben sie nachträglich noch die Summe verändert, nachdem die TAN generiert wurde, das hätte aber auch mit der Kontonummer geklappt

Alle großen Banken nutzen die selbe hardening Software als Framework, die hat Bugs .. uiuiui

Selbst wenn das inzwischen (ja wohl hoffentlich) gefixed wurde .. 2FA funktioniert per se nur mit 2 Geräten sicher.

Zitat von Beezle

Ob das so viel teurer wäre glaube ich gar nicht; was sicherlich teurer weil aufwändiger gewesen ist, war das ständige "ich weiß nicht mehr, welche Tan ich schon benutz habe, ich brauche eine neue Liste" oder (noch schlimmer) "ich weiß nicht mehr, wo ich meine Liste gelassen habe, ich brauche eine neue" (womit dann auch die Sicherheit der Liste komplett für den Eimer war).

Aber wenn du noch die Liste hast und das alles klappt, ist es ja gut.

Die Listen - iTAN oder TAN - wurden überwiegend im Zuge der Umstellung PSD2 abgeschafft. Anscheinend gibt es aber noch Altbestände und genug Lücken in der Richtlinie.

Ich habe früher immer meine Liste abfotografiert und damit das System ad absurdum geführt. Ich habe es ja auch nicht so mit Zahlen - bin deshalb ja auch Banker geworden...

Ist das Ursprungsproblem schon etwas weiter? Das mit dem Arbeitsspeicher ist ein guter Hinweis gewesen!

Zitat von messy

Der Hinweis auf Sicherheit und nicht beides am selben Gerät zu nutzen ist in jedem Fall angebracht.

Selbst wenn das inzwischen (ja wohl hoffentlich) gefixed wurde .. 2FA funktioniert per se nur mit 2 Geräten sicher.

Es ist aus Sicherheitsgründen zwingend NOTWENDIG, zwei verschiedene Geräte zu verwenden. Das hat damit zu tun, dass, falls ein Gerät kompromittiert ist, das andere noch die Sicherheit aufrecht erhält. Das gilt natürlich nicht mehr, wenn BEIDE Geräte kompromittiert sind.

Aber selbst das Verfahren hat theoretisch Lücken, falls per "Man in the Middle"-Angriff eine zuvor angeforderte TAN abgefangen wird.

Firkin Das sehen Banken aber anders; hier z.B. DKB: "

Was ist TAN2go?

Beim TAN2go-Verfahren erzeugen Sie TANs in der passwortgeschützten DKB-TAN2go-App auf Ihrem Smartphone oder Tablet. Ein weiteres Gerät ist nicht nötig. Wenn Sie einen TAN-pflichtigen Auftrag auslösen (z.B. eine Überweisung), wird in der DKB-TAN2go-App automatisch eine TAN generiert. Öffnen Sie die App und übertragen Sie die angezeigte TAN in Ihr Internet-Banking. Dies geschieht sogar automatisch, wenn Sie für Ihre TAN-pflichtigen Aufträge die DKB-Banking-App nutzen. Schneller geht es nicht." DKB-Homepage, Hervorhebung von mir.

Ich gebe Dir aus technischer Sicht aber recht. Ich nutze die App meist zusammen mit dem PC.

Die Banken wissen, dass der Quatsch mit beiden Faktoren auf einem Endgerät unsicher ist. Ihnen ist die Bequemlichkeit der Kunden bloß wichtiger als Sicherheit. Wenn man es sicher will, kommt man zum ein zweites Medium nicht herum.

Ich nutze Apps auf dem Smartphone nur für die Zustellung der Push-TAN, aber das Banking selbst mache ich nicht mobil, sondern nur auf dem Computer.

Zitat von Gerrit

Das sehen Banken aber anders; hier z.B. DKB:

1) Ist doch klar, dass eine Bank das anders kommuniziert.

2) Ich sehe im von dir zitierten Text keine Aussage über die den Grad der Sicherheit, alles auf einem Gerät zu machen. Insofern sieht die Bank das also offenbar nicht mal anders. Die schreiben nur, dass es auf einem Gerät möglich und schnell ist, aber eben nichts zur Sicherheit - aus gutem Grund.

Gerrit

Hier aber auch mal aus der FAQ der DKB:

"Dennoch besteht bei Verwendung der DKB-Banking-App und der DKB-TAN2go-App auf einem Endgerät ein Restrisiko, wenn das Endgerät durch Schadsoftware kompromittiert ist. In diesem Fall kann die Vertraulichkeit der Zugänge zur DKB-Banking-App und zur DKB-TAN2go-App gefährdet sein."

Es wäre mal interessant zu sehen, wie das dann in einem Schadensfall gehandhabt würde, also wer für den Schaden aufkommen muss. Ist ja noch alles Theorie, da mir kein Präzedenzfall einfällt, aber das ist alles wohl eine Frage der Zeit, bis irgend jemand mal versucht, das auszunutzen. Im Zweifelsfall, wenn dir Fahrlässigkeit vorgeworfen werden kann (wenn du z.B. Software aus unseriösen Quellen installiert hast), bist du wahrscheinlich zumindest anteilig mit dran.

Zitat von Alfgard

Hab sogar eine Kollegin die macht Überweisungen nur mittels Papier-Überweisungsträger...hat selbst Jahre in der Bank gearbeitet...wenn man fragt warum, sagt sie aber nichts..

naja wenn sie es sich leisten kann

Auch wenn ich mich wiederhole, guckt doch bitte zumindest weiter oben mal kurz in das von mir verlinkte Video rein (Showteil ab Minute 18), oder lest meinen Beitrag von weiter oben.

Das ist nicht nur theoretisch ein Angriffsvektor, das wurde auch schon mal gezeigt, wie leicht das funktioniert und wie gut durchdacht die hardening Frameworks sind, die den Banken angedreht werden im Glauben das wäre total sicher..

Klar, das war jetzt ein Einzelfall - aber alleine schon die Tatsache, daß fast alle großen deutschen Geldinstitute die (vermeintliche) Sicherheit bei der gleichen Firma einkaufen, hat mich stutzig gemacht. Es muss halt auch kosteneffizient sein, dazu gehört im Zweifel auch ein paar missbräuchliche Buchungen in Kauf zu nehmen.

EDIT: Stelle gerade fest, ich habe auch das veraltete Video vom Talk zwei Jahre vorher verlinkt, es geht viel mehr auch um:

Erklärung der Technogie (Promon Shield) ab Minute ~6:00, die ganzen Banken sieht man gut bei Minute 8:18, Demo ab Minute ~21:30

Zitat von Thygra

...

2) Ich sehe im von dir zitierten Text keine Aussage über die den Grad der Sicherheit, alles auf einem Gerät zu machen. Insofern sieht die Bank das also offenbar nicht mal anders.

Zur Sicherheit kann ich ja auch nichts sagen.

Die Mitteilung, dass es auf einem Gerät grundsätzlich geht, spricht bereits Bände. Ansonsten wären hier bereits mehr Warnhinweise, als auf einer Zigarettenpackung.

Firkin hat dankenswerterweise die Stelle zitiert, die ich zwar im Kopf hatte, aber nicht verlinkte. Es ist aber so, dass die Technik tatsächlich große Stücke auf die Verschlüssung hält. Wie gesagt, ich kann das nicht beurteilen.

Alfgard Deine Probleme klingen nach einem aggressiven Stromsparmodus. Ich würde mal schauen, ob du die DKB apps davon ausnehmen kannst.

Zitat von Beezle

Ah, ok, das hatte ich falsch verstanden (ich hatte mich schon gefragt, welche Bank noch Listen ausgibt).

Ich habe für die Ing-Diba noch eine TAN-Liste auf Papier im Einsatz. Das auch schon seit 10+ Jahren, was zeigt, wie häufig ich dort Aktionen durchführe.

Zitat von HRune

Ich habe für die Ing-Diba noch eine TAN-Liste auf Papier im Einsatz. Das auch schon seit 10+ Jahren, was zeigt, wie häufig ich dort Aktionen durchführe.

So selten, dass du nicht mal gemerkt hast, das der Trupp gar nicht mehr so heißt?!

naja die Firma heisst immer noch so nur der Markenauftritt ist ING