ING (DiBa) - Die Bank für mich?

[tsubbi]

Jeden Login per Handy freigeben, das ist ja unfassbar nervig. EU Regulierung at its best, machen die anderen Banken das auch?

[odensee]

vor 28 Minuten von tsubbi:

Jeden Login per Handy freigeben, das ist ja unfassbar nervig. EU Regulierung at its best, machen die anderen Banken das auch?

Es geht noch schlimmer. Bei der Targobank muss man alle x-mal noch ein Captcha lösen :-( und zusätzlich mtan eingeben.

[Schlumich]

vor 35 Minuten von tsubbi:

Jeden Login per Handy freigeben, das ist ja unfassbar nervig. EU Regulierung at its best, machen die anderen Banken das auch?

Mein Gott Leute.... regt euch doch nicht künstlich über solchen Peanuts auf. Wie oft am Tag loggst Du dich denn dort ein? Gehen wir mal davon aus, dass es der Sicherheut dient
 

[kariya]

vor 10 Stunden von Schlumich:

Gehen wir mal davon aus, dass es der Sicherheut dient
 

Primär dient es dem Wettbewerb, nämlich insofern, dass Zahlungsanbietern wie paydirekt, google- und applepay und ungezählten fintechs Markteintritt und Kontozugang geebnet werden sollen. Das ist der Hintergund von psd2. 

 

Spätestens alle 90 Tage müssen alle Banken, die Zahlungsverkehrskonten führen, beim login die Verifizierung eines zweiten Sicherheitsmerkmal sicherstellen. Dass es die Diba bei jedem login verlangt ist eine freie Entscheidung dieser Bank. Mich nervt es auch und noch mehr nervt, dass diese Bank die Erweiterung von hbci/finTS um eben dieses 2. Merkmal vernachlässigt hat. Jetzt will man schnell nachbessern....

[trush]

13 hours ago, tsubbi said:

Jeden Login per Handy freigeben, das ist ja unfassbar nervig. EU Regulierung at its best, machen die anderen Banken das auch?

Es ist nicht nötig, jeden Login freizugeben. Wenn ich es richtig verstanden habe, fragt die ING nur jedes Mal, damit du nicht genau dann, wenn es mal wieder nötig wäre, vergessen hast, wie es geht oder dein Handy nicht dabei hast. Wenn du dich ganz normal einloggen willst, klick mal auf dieser "Log-in bestätigen" Seite auf "Smartphone nicht zur Hand" und zumindest bei mir (nutze derzeit noch mTAN) gibt es dort dann: "Direkt weiter zum Banking".

[saibottina]

vor 3 Minuten von trush:

Es ist nicht nötig, jeden Login freizugeben. Wenn ich es richtig verstanden habe, fragt die ING nur jedes Mal, damit du nicht genau dann, wenn es mal wieder nötig wäre, vergessen hast, wie es geht oder dein Handy nicht dabei hast. Wenn du dich ganz normal einloggen willst, klick mal auf dieser "Log-in bestätigen" Seite auf "Smartphone nicht zur Hand" und zumindest bei mir (nutze derzeit noch mTAN) gibt es dort dann: "Direkt weiter zum Banking".

Danke für die Info. 

[Cai Shen]

vor 18 Minuten von west263:

also das finde ich nicht. Steht doch relativ gross und fett in der Mitte des PC Bildschirmes.

Da hatte ich eher Probleme bei Flatex diese Aufstellung auf Anhieb zu finden. 

Ein gefühlt 3 Pixel großes Dreieck zum anklicken? 

So unterschiedlich können Wahrnehmungen sein. 

 

Wenn die ING wollte, dass man die Gebühren vorab transparent erfährt, könnte man die Angaben auch direkt anzeigen anstatt sie hinter einem Popup zu verstecken. 

Manchmal ist Bankenregulierung doch zum Wohle des Anlegers, ziemlich offensichtlich dass hier versucht wird, eine Pflichtangabe möglichst zu verbergen. 

[west263]

vor 10 Minuten von Cai Shen:

Wenn die ING wollte, dass man die Gebühren vorab transparent erfährt, könnte man die Angaben auch direkt anzeigen anstatt sie hinter einem Popup zu verstecken.

da sind sie aber alle gleich. Bei der comdirect stecken sie auch hinter einem Popup. und da versinkt die "Informationen zu Kosten und Nebenkosten" zu einer Nebensächlichkeit, da nicht gleich zu erkennen.

Bei der ING ist es aber tatsächlich gleich zu erkennen. Links relativ gross "Kosten" und daneben in Fett "Kosten und Renditeauswirkung". Das ist nun wirklich nicht zu übersehen.

[kariya]

vor 3 Stunden von trush:

Wenn du dich ganz normal einloggen willst, klick mal auf dieser "Log-in bestätigen" Seite auf "Smartphone nicht zur Hand" und zumindest bei mir (nutze derzeit noch mTAN) gibt es dort dann: "Direkt weiter zum Banking".

Das wird aber nur bis zum 14.09. der Fall sein. Danach ist login nur noch per Tan Eingabe (per app oder mTAN oder Generator) möglich. So steht es offiziell auf den Diba Infoseiten zu psd2.

Allerdings ist derzeit seitens Bafin im Gespräch die Übergangsfrist über den 14.09. hinaus zu verlängern.

[odensee]

vor 16 Stunden von Schlumich:

Mein Gott Leute.... regt euch doch nicht künstlich über solchen Peanuts auf. Wie oft am Tag loggst Du dich denn dort ein?

Sehe ich auch so. Wenn ich mich anmelde, dann in der Regel nicht, um nachzusehen, ob mein Geld noch auf dem Konto ist, sondern um irgendeine Transaktion zu tätigen. Und dann brauche ich das Handy sowieso. off-topic: aber das Targo-Captcha ist wirklich nervig. Kommt aber gefühlt nur jedes 10te mal.

[Gast231208]

vor 20 Minuten von odensee:

Sehe ich auch so. Wenn ich mich anmelde, dann in der Regel nicht, um nachzusehen, ob mein Geld noch auf dem Konto ist, sondern um irgendeine Transaktion zu tätigen. Und dann brauche ich das Handy sowieso. off-topic: aber das Targo-Captcha ist wirklich nervig. Kommt aber gefühlt nur jedes 10te mal.

 

Ich nicht, denn ich verwende weiter meine iTANS , dafür darf ich halt kein Girokonto bei ING führen - verschmerzbar.

[domkapitular]

Ich begreife es nicht : Wo ist jetzt die Sicherheitsverbesserung ?

 

Bislang habe ich mich auf PC eingeloggt mit Kontonummer, "Internetbanking PIN" und 5-stelliger Zusatzzahl. Faktor 1 = Kenntnis

Transaktionen habe ich freigegeben früher per TAN-Liste, dann mit mTan. Faktor 2 = Besitz

 

 

Jetzt hab ich die App, logge mich mit einem 5-stelligen Nümmerchen ein und habe damit Zugriff auf alle Konten und Transaktionen. Ists Paranoia, dass ich das für unsicherer halte ?

Wieso ist das Gerät, das ich benutze das gleiche, das mich autorisiert ?

 

[Mangalica]

vor 18 Minuten von domkapitular:

Jetzt hab ich die App, logge mich mit einem 5-stelligen Nümmerchen ein und habe damit Zugriff auf alle Konten und Transaktionen. Ists Paranoia, dass ich das für unsicherer halte ?

Der Unterschied ist, dass Smartphones und deren Betriebssysteme spezielle Frameworks (und teilweise Hardware-Chips) bereitstellen, mit denen Apps Security-Tokens so abspeichern können, dass man die nicht aus dem Telefon herausbekommt. Deine App ist daher fest mit dem lokalen Telefon verbunden, was den 2. Faktor darstellt. Es kann sich also niemand anderes die App woanders installieren, deine Zugangsdaten eingeben und Geld wegüberweisen (da man neue Geräte mit der iTAN bestätigen muss), der Angreifer muss schon physischen Zugriff auf genau dein Telefon haben. Warum die ING sich dann aber mit einem 5-stelligen Zahlencode zufrieden gibt, erschließt sich mit nicht. Man hätte ja trotzdem beliebig lange Passwörter erlauben können.

 

Diesen 2. Faktor könnte man übrigens auch in Web-Browsern über TLS-Client-Zertifikate (am besten noch in Verbindung mit einem TPM-Chip) wunderbar umsetzen, aber die sind für die meisten Benutzer unmöglich einzurichten (viel zu kompliziert)...

[domkapitular]

Danke für die Erklärung, die ich grob verstanden habe.

Darf ich dazu nochmal 2 Fragen stellen (Du kennst Dich da offensichtlich sehr gut aus):

1. Kann man theoretisch im Fall eines Diebstahls / sonstigen Abhandenkommens die eingegebenen Zugangsdaten zur App ermitteln  ?

2. Es ist dann sicherheitstechnisch ein gewaltiger Unterschied, ob ich auf dem Samrtphone per Internetbrowser oder per App herumbanke, weill Chrome oder firefox diese Token nicht herstellen und die Zugangsdaten eventuell im Cache oder wo auch immer stehen können?

 

Die Frage, warum jede Bank eine eigene Lösung hat, stelle ich mal nicht ...

[Belgien]

vor 5 Stunden von domkapitular:

 

1. Kann man theoretisch im Fall eines Diebstahls / sonstigen Abhandenkommens die eingegebenen Zugangsdaten zur App ermitteln  ?

2. Es ist dann sicherheitstechnisch ein gewaltiger Unterschied, ob ich auf dem Samrtphone per Internetbrowser oder per App herumbanke, weill Chrome oder firefox diese Token nicht herstellen und die Zugangsdaten eventuell im Cache oder wo auch immer stehen können?

 

 

1. Wenn die Zugangsdaten auf einem gelben Post-it-Zettel stehen, der auf das Smartphone geklebt wurde, oder in einer ungesicherten Notizdatei auf dem Smartphone abgelegt wurden, dann „Ja“, ansonsten ist diese Gefahr eher theoretischer Natur.

 

2. Es ist ein enormer sicherheitstechnischer Unterschied, ob Onlinebanking per Browser oder per App betrieben wird, zumindest dann, wenn der User keine besonderen Vorkehrungen zum Schutz seines Smartphones trifft. Die App ist direkt mit dem eigenen Konto gekoppelt, so dass es für einen Angreifer nichts bringt, Zugangsdaten abzuphischen, er muss auch in den Besitz des Smartphones gelangen. Browser lassen sich nicht mit nur einem Konto koppeln, so dass man über infizierte Browser die Zugangsdaten ergaunern kann, die man dann auf einem anderen Device zur Plünderung des Kontos nutzen kann.

[domkapitular]

Vielen Dank.

Früher bin ich mit dem Drumbo-Sparelefanten  zur Bank, das war noch einfacher.

[sp4rki3]

ING bietet ab sofort Google Pay an: Google Pay - ING

 

UPDATE:

so, habe es gerade getestet. Google Pay funktioniert nur mit einem Screen Lock. Sowas verwende ich aber grundsaetzlich nicht, da ich nach kurzem Abschalten des Bildschirms (z.B. beim Navigieren) nicht jedesmal irgendeine PIN neu eingeben will.

 

=> Thema fuer mich gestorben

[sumka]

@sp4rki3 ich weiß nicht welche Navi App du nutzt, aber Google Maps "kapiert" das du gerade navigiert wirst und sperrt nicht den Bildschirm...

[magicw]

Ich gehe davon aus, dass sp4rki3 die Bildschirmsperre meint, dass diese nun mit PIN, Muster oder Fingerprint gesichert sein muss, damit GPay funktioniert. 

[phlp112]

vor 4 Stunden von sp4rki3:

ING bietet ab sofort Google Pay an: Google Pay - ING

 

UPDATE:

so, habe es gerade getestet. Google Pay funktioniert nur mit einem Screen Lock. Sowas verwende ich aber grundsaetzlich nicht, da ich nach kurzem Abschalten des Bildschirms (z.B. beim Navigieren) nicht jedesmal irgendeine PIN neu eingeben will.

 

=> Thema fuer mich gestorben

Off-topic, aber das ist wirklich nicht schlau keinen Lockscreen zu nutzen. Wenn das Handy mal verloren geht, hat jemand alle deine Daten auf dem Präsentierteller.  Und wenn du ein iPhone hast, ein Fingerabdruck oder Gesicht ist schnell erkannt (jaja, der böse Datenschutz > ich möchte hierzu keine Diskussion lostreten. Jeder kann das handhaben wie er/sie möchte).

[west263]

vor 16 Minuten von magicw:

Ich gehe davon aus, dass sp4rki3 die Bildschirmsperre meint, dass diese nun mit PIN, Muster oder Fingerprint gesichert sein muss, damit GPay funktioniert. 

Bis vor ein paar Wochen, habe ich zum bezahlen immer die App aufgemacht. Ist aber gar nicht nötig, es reicht, wenn der Bildschirm offen ist. 

Mit aktiver Bildschirmsperre habe ich GooglePay noch nicht probiert. Sollte mMn auch nicht funktionieren. Dann könnte nämlich jeder mit einem geklauten Handy ohne Probleme bezahlen. 

[sp4rki3]

vor 2 Stunden von stb112:

Off-topic, aber das ist wirklich nicht schlau keinen Lockscreen zu nutzen. Wenn das Handy mal verloren geht, hat jemand alle deine Daten auf dem Präsentierteller.

 

ich habe auf dem Smartphone prinzipiell keine wichtigen Daten. Weil ich dem Zeug sowieso nicht traue. Insofern ist eine globale Bildschirmsperre auch gar nicht erforderlich.

 

Die ING-App laeuft schliesslich auch (eben mit spezifischer PIN) ohne dass man gleich eine globale Sperre benoetigt. Nur Google-Pay hat das nicht hinbekommen. Ein No-Go fuer mich.

[sumka]

@sp4rki3 mit der ING App kannste aber nicht bezahlen oder? Mit Google Pay schon ... Du vergleichst Äpfel mit Birnen... 

Es wäre dumm wenn jeder mit deinem Handy einfach so ohne es zu entspeeren bezahlen könnte... oder?

[sp4rki3]

wieso 'ueberweisen' oder 'bezahlen', wo ist da hier der Unterschied? Google Pay unterstuetzt einfach kein Bezahlen mit PIN. Sie wollen, dass man zum Bezahlen nur sein Smartphone auf das Terminal auflegt (OHNE PIN)  - und fertig. Zum dem Preis, dass man in den 99% der anderen Benutzungsfaelle eines Smartphone ploetzlich eine PIN zum Entsperren des Bildschirms eingeben muss. Irgendwie be*********. Aber ist hier OT...

[troi65]

So ; meine Bestellung für den neuen photoTAN-Generator wurde an die ING losgeschickt.

Die zum Download angebotene Bedienungsanleitung  hat auch nur 23 Seiten.