Mrtn17 März 28, 2021 vor 18 Minuten von oktavian: ja zwei apps wären nett. Das wäre fürchterlich. Ich habe schon genug Apps auf dem Smartphone. Warum sollte ich von einem Unternehmen zwei verschiedene Apps installieren wollen, mit doppelten Pflegeaufwand? Entweder ich vertraue dem Smartphone und deren Softwareumgebung und nutze es für Bankingtransaktionen und -authorisierung oder ich traue dem Gerät nicht und nutze es dann für keins von beiden. Es ist auf den letzten Seiten ja schon wirklich mehr als genug zu verschiedenen Sicherheitsaspekten und sehr theoretischen Hackingmöglichkeiten geschrieben wurden. Hier kommen wohl zwei deutsche Eigenschaften zusammen: die German Angst und das Liebe Geld. Ich meine, wir leben in den 2020ern, Smartphones werden heute mehr genutzt als PCs und sind keine experimentellen Geräte mehr. Diese Diskussion, solche furiosen Apps aus diesem Internet seinen ein einziges Sicherheitsrisiko erinnert mich eher daran: Zitat „Auf der eisernen Straße heran kam ein kohlschwarzes Wesen. Es schien anfangs stillzustehen, wurde aber immer größer und nahte mit mächtigem Schnauben und Pfustern und stieß aus dem Rachen gewaltigen Dampf aus.“ Und: „Schrecklich schnell ging's, und ein solches Brausen war, dass einem der Verstand stillstand. Das bringt kein Herrgott mehr zum Stehen!“ So schrieb Peter Rosegger über sein erstes Erlebnis mit der Eisenbahn: der Semmeringbahn. Den Zeitgenossen war die neue Technik suspekt. Zu groß und auf jeden Fall zu schnell war die Eisenbahn – nach den damaligen Maßstäben, in denen das Pferd das Maß der Dinge war. Alles über 30 km/h war undenkbar. Die Sorge über das ungewohnte Tempo war jedenfalls groß: Als der englische Dampflockerfinder George Stephenson 1825 die erste Eisenbahnstrecke (zwischen Manchester und Liverpool) beantragte, holte das britische Unterhaus ein Gutachten ein, die Pariser „Académie des science“ schrieb, dass die schnelle Bewegung der Reisenden eine Gehirnerkrankung, das sogenannte „Delirium furiosum“, hervorrufen könnte. Diesen Beitrag teilen Link zum Beitrag
th23 März 28, 2021 vor einer Stunde von JimmyG: Das wäre fürchterlich. Ich habe schon genug Apps auf dem Smartphone. Amen! (endlich mal jemand mit ner realistischen Brille...allen anderen sei Gerd Giegerenzers Buch Risiko empfohlen ;-) ) Diesen Beitrag teilen Link zum Beitrag
Wn2hp1 März 28, 2021 Hier treffen einfach zwei Denkweisen aufeinander: KISS-Prinzip (für jemanden der nur das Depot ohne Daytrading benutzt, der braucht keine ausgewachsene Banking-App) vs. komfortabel alles in einer App zu haben. Persönlich find ichs gut wenn ich die Wahl habe und tendiere dann einfach zum KISS-Prinzip. Pflegeaufwand ist auch nicht viel höher. Man loggt sich ja eher über seine Biometrische Daten ein. Gab dazu auch eine Dissertation die frei verfügbar. Link der Uni Erlangen/Nürnberg. Ab Seite 120 werden die einzelnen TAN-Verfahren relativ kompakt nochmal verglichen. Diesen Beitrag teilen Link zum Beitrag
Staatenverbund März 29, 2021 vor 12 Stunden von kleinerfisch: Ich weiß nicht, worüber Du hier redest, aber ich habe das Problem bisher so verstanden, dass ein Betrüger meinen Bankzugang kapert und mein Geld entweder ins Ausland verschiebt oder auf ein mit falschem Namen eröffnetes Konto in D und sofrt abhebt/weiterverschiebt. Da reicht dann in meinem Modell ein (fristgerechter) Anruf bei der Bank und das Geld kommt zurück. Da widerspricht Du Dir jetzt selbst!? Mein vorheriger Einwand war, dass bei Rückbuchungsmöglichkeit der Zahlungsempfänger ggf. den Ablauf der "Sperrfrist" vor Erbringung einer Gegenleistung abwarten müsste, wenn er das Risiko vermeiden möchte, auf einer offenen Forderung sitzen zu bleiben. Deine Gegenargument dagegen war, dass Du eben nur eine Sperrfrist meintest, in der das Geld nicht verfügbar ist, dass damit aber ja keine Rückbuchungsmöglichkeit verbunden sein müsste?! Jetzt schreibst Du aber wieder davon, dass Du mit einem Anruf bei der Bank das Geld zurückbekommen würdest - also eine Rückbuchungsmöglichkeit. Also, keine Ahnung, vielleicht habe ich Dich vorher irgendwie falsch verstanden, aber das Grundproblem ist doch, dass eine Überweisung entweder zurückbuchbar ist, dann hat der Zahlungsempfänger ein Risiko, wenn er eine Gegenleistung erbringt, solange die Überweisung zurückgebucht werden kann, oder sie ist nicht zurückbuchbar, dann hat der Zahler das Risiko, wenn eine Überweisung unberechtigt ausgelöst wird. Beide Situationen sind im Prinzip genau das gleiche Problem, denn eine Rückbuchung ist am Ende ja nichts anderes als eine Verfügung über das Konto des Zahlungsempfängers, und wenn diese durch einen Anruf bei der Bank ausgelöst werden kann, dann können auf diese Weise offensichtlich unberechtigte Verfügungen vorgenommen werden (also die Rückbuchung von Überweisungen, mit denen eine tatsächlich bestehende Forderung beglichen wurde). Die Bank wird ja in der Regel nicht in der Lage sein, zu beurteilen, ob es zu einer Zahlung eine berechtigte Forderung gab, die mit dieser beglichen wurde, oder nicht - das ist etwas, das im Zweifel zur Entscheidung ein Gericht braucht, das beide Seiten anhört, bevor es ggf. einen Titel ausstellt, der die zwangsweise Durchsetzung der Rückforderung ermöglicht. Eine Frist, innerhalb derer einseitige Rückbuchungen möglich sind, beseitigt nicht das Problem, dass unberechtigte Verfügungen stattfinden können, sondern verschiebt lediglich das Risiko vom Zahler zum Zahlungsempfänger. Der Zahlungsempfänger könnte dieses Problem dann halt dadurch lösen, dass er mit der Erbringung einer Gegenleistung wartet, bis die Rückbuchungsfrist abgelaufen ist - was aber für den Wirtschaftsverkehr eher hinderlich wäre, da das halt ibs. den Online-Handel unattraktiv machen würde. Alternativ kann der Zahlungsempfänger das Risiko halt in Kauf nehmen, aber das würde die Schäden am Ende natürlich auf alle Kunden umlegen, oder der Zahlungsempfänger müsste, ähnlich wie heute häufiger bei Lastschriften (die ja das gleiche Problem haben), bei Zahlung per Überweisung eine Bonitätsauskunft einholen und bei Kunden mit geringer Bonität die zeitnahe Belieferung auf Vorkasse verweigern. Was genau das Angriffsszenario ist, war bisher nicht so ganz klar spezifiziert, aber ich denke, das Kernproblem ist, dass eine vorläufige Verfügungssperre vermutlich nicht sehr dicht wäre, eben weil Geld fungibel ist. Man muss ja auch immer davon ausgehen, dass Kriminelle etwaigen Hindernissen, die man ihnen in den Weg stellt, ausweichen, wenn es eine Möglichkeit dazu gibt. Wenn Geschäftskonten von den Verfügungssperren oder Rückzahlungen ausgenommen sind, dann eröffnet man halt ein Geschäftskonto unter falschem Namen? Wenn die direkte Abhebung nicht möglich ist, dann bucht man eben über Zwischenkonten anderer kompromittierter Opfer, bei denen es den Anschein macht, dass sie die verdächtige Buchung icht rechtzeitig mitbekommen? Ich behaupte ja nicht, dass Verzögerungen und Rückbuchungsfristen nicht bestimmte Angriffsszenarien erschweren könnten, aber ich habe den starken Verdacht, dass sie zum einen wesentlich weniger wirksam wären als sie auf den ersten Blick scheinen, weil ein Ausweichen einfacher ist als es auf den ersten Blick scheint, während gleichzeitig die Kosten durch Behinderung des Wirtschaftsverkehrs oder Verlagerung des Risikos auf andere Parteien nicht unerheblich wären - und wenn man die Ausweichmöglichkeiten abdichten wollte, würden die Kosten nur noch höher, und es würde sich damit am Ende nicht mehr lohnen. vor 13 Stunden von kleinerfisch: Bei Verschiebungen mit gleichem Kontoinhaber muss das ja nicht gelten, ebenso für Bagatellzahlungen. Und was ist, wenn ich, sagen wir, zum gleichen Zweck einem anderen Familienmitglied kurzfristig Liquidität leihen möchte? Erlauben wir auch schnelle Verschiebungen zwischen verschiedenen Kontoinhabern, wenn sie zur gleichen Familie gehören? Aber was ist, wenn mein Bruder ein Betrüger ist und ich erwarte, dass meine Bank mich vor unberechtigten Verfügungsversuchen durch ihn schützt, während ich gleichzeitig meinem besten Freund vertraue und diesem kurzfristig mit einem Kredit aus der Patsche helfen möchte? Ich denke, es ist keine schlaue Idee, der Bank hier irgendwelche Zuständigkeiten zuzuweisen. Eine Bank kann kaum sinnvoll darüber entscheiden, welche andere Partei in Bezug auf mein Vermögen als vertrauenswürdig einzustufen ist und würde am Ende entweder Verfügungen zulassen, die auf keinen Fall passieren sollten, oder sie würde mir im Wege stehen, wenn ich über mein Vermögen verfügen will. vor 14 Stunden von kleinerfisch: Für größere Beträge könnte es ein abgestuftes System geben und eine OptOut-Möglichkeit mit Risikoübernahme durch den Kunden wäre auch denkbar. Und wie sollte das gehen? Also, wie würde der Kunde das Risiko übernehmen? Und außerdem: Warum sollte der Kunde das Risiko übernehmen, anstatt es einfach durch ordentliche Authentifizierung zu umgehen? vor 13 Stunden von kleinerfisch: Klar, ist längeres Warten eine Last. Gesteigerte Angst vor Betrug ist aber auch eine und sich alle paar Jahre mit einem neuen System und/oder neuer Technik auseinanderzusetzen ebenfalls. Ja, klar. Aber es ist ja weder die Möglichkeit von Betrug noch sich alle paar Jahre mit neuer Technik auseinanderzusetzen notwendig. Dass die Banken alle paar Jahre die Authentifizierungsverfahren wechseln, liegt ja nicht daran, dass wir vor 20 Jahren nicht wussten, wie man sichere Authentifizierungsverfahren baut, sondern dass Banken dieses Wissen mehr oder weniger systematisch ignoriert haben und Verbraucherschützer und Co. unter den existierenden Verfahren auch keine brauchbare Orientierung geliefert haben. Es wäre überhaupt kein Problem gewesen, vor 20 Jahren ein Authentifizierungsverfahren einzuführen, das auch heute noch sicher wäre. Ich will jetzt nicht vorbehaltlos das chipTAN-Verfahren loben (man hätte es auch zum Zeitpunkt der Einführung des Verfahrens schon besser machen können, und einige schräge Details der Konstruktion legen nahe, dass bei der Entwicklung kein Kryptograph beteiligt war, und außerdem sind einige kritische Teile des Verfahrens halt auch gar nicht öffentlich dokumentiert), aber Wikipedia sagt, es wurde 2006 vorgestellt: https://de.wikipedia.org/wiki/ChipTAN#chipTAN_manuell,_Sm@rtTAN_plus_bzw._SecureTAN_plus1 chipTAN kann, trotz aller Detailkritik, die man daran anbringen kann, nach wie vor als ziemlich sicher gelten, vor allem im Vergleich zu anderem Zeug wie mTAN, was zwischenzeitlich schwer in Mode war, und die Grundidee dahinter ist auf jeden Fall ein sehr guter Ansatz, der bei korrekter Implementation auch noch lange sicher bleiben wird. vor 14 Stunden von kleinerfisch: Für mich ist schon das Smartphone eine Last - ohne Online-Banking würde mir ein normales Handy reichen, das ich auch nur im Urlaub bräuchte. Man braucht auch heute fürs Online-Banking kein Smartphone - oder Handy überhaupt ;-) vor 14 Stunden von kleinerfisch: Weil jede Software fehlerbehaftet ist und die Fehler irgendwann gefunden und ausgenutzt werden. Ja, das ist leider so ein bisschen ein Allgemeinplatz. Also, zum einen stimmt es natürlich einfach nicht: Nicht jede Software ist fehlerbehaftet. Fehler in Software sind einfach nur sehr verbreitet. Zum anderen ist es aber auch irgendwie relativ egal, ob jede Software fehlerbehaftet ist. Also, nicht, dass es nicht wünschenswert wäre, wenn Software keine Fehler hätte - aber es gibt eben doch ein weites Spektrum zwischen "ein Haufen Gammel, der nur aus Sicherheitslücken besteht" und "ein solides Stück Software, das eine gute Chance hat, keine Sicherheitslücken zu haben, auch wenn man sich nicht 100% sicher sein kann". Somit ist es natürlich wörtlich genommen korrekt, dass man keine Lösung finden wird, bei der man sich 100% sicher sein kann, das Problem endgültig gelöst zu haben. Das heisst aber nicht, dass nicht ein öffentlich dokumentiertes Verfahren, am besten auch mit einer öffentlich einsehbaren Implementation, das nach aktuellem Stand der Technik konstruiert ist, schon eine extrem geringe Wahrscheinlichkeit der Exploitbarkeit erreichen könnte. Vor allem, wenn man die eine goldene Regel zur Reduktion der Wahrscheinlichkeit von Sicherheitslücken befolgt: Die Minimierung von Komplexität. So ein Smartphone hat aufgrund der riesigen Menge an Software und der vielen Kommunikationsschnittstellen eine regelrecht gigantische Angriffsoberfläche. Ein chipTAN-Lesegerät sowie die Hashfunktionen in der Chipkarte dazu sind im Vergleich dazu um viele Größenordnungen simpler mit um Größenordnungen weniger Möglichkeiten für Datenexfiltration. vor 14 Stunden von kleinerfisch: Dein Vorschlag mit einem bankübergreifenden System klingt auf den ersten Blick gut (da für alle Seiten vereinfachend) aber hat den grundlegenden Nachteil, dass ein Fehler in diesem System gleich alle Konten bei allen Banken betreffen würde. Das Problem der Skalierbarkeit eines Angriffs würde also vervielfacht und die Attraktivität für Hacker massiv gesteigert. Dieser Nachteil würde aber mehr als aufgewogen dadurch, dass sich alle "White Hats" bei der Fehlersuche darauf konzentrieren könnten, und dass die Fehlersuche durch öffentliche Dokumentation erheblich erleichtert würde, sodass Mängel wahrscheinlich nicht zuerst durch Kriminelle gefunden würden, und mit hoher Wahrscheinlichkeit sogar, bevor das System überhaupt flächendeckend zum Einsatz kommt (sinnvollerweise würde man die Spezifikation mit reichlich Vorlauf vor der Implementation veröffentlichen). Das ist ein Einwand, der immer wieder mit Bezug auf IT-Sicherheitssysteme vorgebracht wird - aber die praktische Erfahrung ist, dass die offenen Standards, die viel genutzt werden, im Regelfall den besseren Security-Track-Record haben als proprietäre Erfindungen einzelner Entwickler oder Unternehmen. Das klassische Beispiel wären z.B. kryptographische Algorithmen. Immer mal wieder erfinden irgendwelche Unternehmen eigene Algorithmen. Und regelmäßig fallen die komplett auseinander, wenn sich das erste mal ein externer Kryptograph das Verfahren näher anguckt. Auf der anderen Seite setzen die ganzen großen interoperablen verteilten Systeme im Internet auf wenige standardisierte kryptographische Algorithmen, die öffentlich dokumentiert sind. Mit diesem Forum hier kommuniziert mein Browser z.B. verschlüsselt mit AES, einem Algorithmus, der im Jahr 2000 als Ergebnis eines öffentlichen Wettbewerbs, in dem alle interessierten Kryptographen des Planeten die Kandidaten zerpflückt haben, ausgewählt wurde. Ja, wenn jemand AES brechen würde, wäre das ein ganz gehöriges Problem für die gesamte IT. Aber die Realität ist, dass das Ergebnis dieser schonungslosen öffentlichen Prüfung nun seit 20 Jahren bestens seinen Dienst tut, und dass trotz der massiven Aufmerksamkeit (welcher Kryptograph will nicht seinen Lebenslauf damit schmücken können, AES geknackt zu haben?) keine praktikablen Angriffe bekannt sind. Billionenwerte werden faktisch erfolgreich durch AES geschützt. vor 15 Stunden von kleinerfisch: Was ihr Jüngeren Euch mal klarmachen müsst, ist das große Teile der Bevölkerung schlicht abgehängt werden. In meinem Bekanntenkreis sind viele totale Smartphone-Analphabeten (können telefonieren und vielleicht gerade noch SMS) und auch etliche Computer-Verweigerer. Davon gibt es, glaube ich, noch sehr viele in der Altersgruppe >50, also durchaus noch im Arbeitsleben und auch die Gruppe mit den höchsten Privatvermögen. Mir ist nicht so klar, was da jetzt der Zusammenhang ist?! Also, mein Vorschlag bezieht sich natürlich auf Online-Banking - wer Filialbanking machen will, kann das meinetwegen natürlich weiter ganz ohne eigene Elektronik tun. Diesen Beitrag teilen Link zum Beitrag
Staatenverbund März 29, 2021 · bearbeitet März 29, 2021 von Staatenverbund vor 16 Stunden von oktavian: Wie gesagt, du kannst dein Android selbst kompilieren und ohne google dienste, sim dienste, blutooth etc. betreiben. Ja ... und? Was hilft das all den Leuten, die das nicht können? Und was hilft mir das, wenn die Banking-App dann wahrscheinlich den Dienst verweigert, weil ich Admin-Rechte auf meinem Telefon habe? Mal ganz davon abgesehen, dass das bei weitem nicht alle unnötigen Angriffsoberflächen beseitigt. vor 16 Stunden von oktavian: Du kannst die IP des Bankservers abgreifen und allen anderen traffic explizit sperren (bei wechsel der ip von hand oder per script anpassen). Ja ... und? Das ich das alles machen kann, ist schön, und mehr oder weniger eine Wiederholung dessen, was Du in Deinem vorherigen Post geschrieben hast - aber zu welchem Zweck, und was hilft das Leuten, die nicht ich sind? Zumal das halt auch wieder alles nur halb durchdacht klingt. Wie sollte ich z.B. die IP per Script anpassen? Im DNS nachgucken? Auf dass jemand dann mit DNS-Spoofing das Script dazu bringt, die Adresse seines Angriffs-Servers zuzulassen? Und wie schützt mich ein IP-Filter überhaupt vor IP-Spoofing? ... vor 16 Stunden von oktavian: Du kannst auch nur bei Laufen der banking app Internet laufen lassen. Ja ... und? Was wäre der Sinn dabei? Und woher weiß ich, ob die Internetanbinding tatsächlich down ist? Du wiederholst die ganzen Punkte, die Du in Deinem vorherigen Post geschrieben hast, gehst aber irgendwie überhaupt nicht darauf ein, was ich dazu geschrieben habe, weshalb das alles zu kurz gedacht ist. vor 16 Stunden von oktavian: NS brauchst du nur, wenn sich die Ip Adressen der Bank ändern und kannst deinen eigenen DNS-server aufsetzen mit aktueller Bank ip. Ja ... und wieder: Was hilft das anderen Anwendern? vor 16 Stunden von oktavian: Firewall bedeutet nur angeforderten inbound traffic durchlassen. Nein, Firewall bedeutet "irgendwas, das Datenverkehr filtert". Wenn Du spezifisch die Verhinderung von Inbound-Connections meinst, OK, ja, kann man machen ... aber wofür sollte das jetzt auf einem Smartphone wieder gut sein? vor 16 Stunden von oktavian: Nenne ein einziges konkretes Beispiel einer automatisierten Attacke mit Standard Android CVE und aktuellem Sicherheitsupdate und aktueller banking app irgendeiner deutschen Bank, oder gebe zu über ein rein theoretisches Problem zu sprechen Warum sollte ich das tun? Und was wäre daran "zugeben", wenn wir über ein theoretisches Problem sprechen, und was wäre daran "rein", wenn wir über ein theoretisches Problem sprechen? Also, erstmal hast Du anscheinend auch hier ignoriert, was ich über Telefone ohne verfügbare Sicherheitsupdates geschrieben habe. Das ist ein ganz unmittelbar reales Problem. Zum anderen: Alle Sicherheitsprobleme sind "rein theoretisch" bis zu dem Zeitpunkt, zu dem sie das erste Mal ausgenutzt werden. Die Lösung von Sicherheitsproblemen für unnötig zu erklären, weil bisher nur Fachleute die Risiken erklärt haben, aber noch keine Schadensfälle bekannt sind, ist so sinnvoll wie die Behebung von Statikproblemen eines Brückenbauwerkes für unnötig zu erklären, weil bisher nur Fachleute die Risiken vorgerechnet haben, die Brücke aber ja noch nicht eingestürzt ist. Das ist genau die Einstellung, die dazu führt, dass Banken alle paar Jahre neue Authentifizierungsverfahren einführen, weil ganz überraschend Kriminelle angefangen haben, die Sicherheitsprobleme auszunutzen, vor denen Fachleute mit reichlich Vorlauf gewarnt hatten. edit: ... zumal natürlich die realen Angriffe meistens erst dann kommen, wenn alle einfacheren Angriffsvektoren geschlossen wurden. Solange man haufenweise iTANs mit Phishing einsammeln konnte, hat sich natürlich niemand die Mühe gemacht, Smartphones zu kompromittieren. Das sagt wenig darüber aus, was in der Zukunft passieren wird. vor 16 Stunden von oktavian: Ohne bluetooth und ohne fremdes Wlan (ohne Personal vor Ort) und ohne explizite Installation einer fremd app oder authorisierung durch user. Warum? Warum sollten wir vollkommen unrealistische Voraussetzungen annehmen? Real setzen Leute Smartphone-basierte TAN-Verfahren auf Smartphones ein, auf denen Bluetooth eingeschaltet ist, und auch in fremden W-LANs, und Leute installieren auch andere Apps als die App ihrer Bank auf ihrem Telefon, also sind das alles Angriffsvektoren, die man bei der Sicherheitsbeurteilung solcher Apps/Verfahren für den Durchschnittsanwender berücksichtigen sollte. (Und nicht nur tun Leute das, das entspricht auch dem vorgesehenen Einsatzszenario seitens der Bank. Wenn die Bank sagen würde "diese App nur auf Telefonen ohne Bluetooth und nur im heimischen W-LAN und ohne jedwede andere App einsetzen", dann wäre das *vielleicht* ein Argument - aber natürlich halt auch vollkommen unrealistisch.) vor 16 Stunden von oktavian: Bei welcher wesentlich sicherereren Bank bist du denn Staatenverbund? Ich bin bei verschiedenen Banken, bei der ING noch mit iTAN (nur Depot), sonst für Zahlungsverkehr mit chipTAN. Diesen Beitrag teilen Link zum Beitrag
Xivender März 29, 2021 vor 15 Stunden von pillendreher: Geht jetzt nicht gegen dich @odensee - aber so einfach wäre es -zum Glück habe ich weiter meine iTAN-Liste. Wo ist bei manchen das Problem? Sind's die 30€ oder ist's reine Prinzipienreiterei? Ich selbst habe auch für das Banking bei comdirect (Photo-TAN-Generator)und NIBC direkt (Flicker-Code-Gerät) solche Generatoren (jeweils 2 Stück falls einer kaputt geht). Also mir persönlich ist das Ganze Geschäftsgebaren der ING etwas zu unbeständig. So viel wie in letzter Zeit verändert und umgekrempelt wurde, würde es mich nicht wundern, wenn ich heute für 30 € diesen TAN-Generator kaufe und der in ein oder zwei Jahren deaktiviert wird. Bzw das entsprechende Verfahren nicht mehr unterstützt wird. Diesen Beitrag teilen Link zum Beitrag
Staatenverbund März 29, 2021 vor 9 Stunden von JimmyG: Es ist auf den letzten Seiten ja schon wirklich mehr als genug zu verschiedenen Sicherheitsaspekten und sehr theoretischen Hackingmöglichkeiten geschrieben wurden. Hier kommen wohl zwei deutsche Eigenschaften zusammen: die German Angst und das Liebe Geld. Ich meine, wir leben in den 2020ern, Smartphones werden heute mehr genutzt als PCs und sind keine experimentellen Geräte mehr. Diese Diskussion, solche furiosen Apps aus diesem Internet seinen ein einziges Sicherheitsrisiko erinnert mich eher daran: Also, jeder darf ja seine Meinung haben, aber ... hast Du irgendwelches relevantes Fachwissen in dem Gebiet, oder wolltest Du einfach nur mal Dein Bauchgefühl zu etwas zum besten geben? Diesen Beitrag teilen Link zum Beitrag
Staatenverbund März 29, 2021 vor 6 Stunden von Wn2hp1: Gab dazu auch eine Dissertation die frei verfügbar. Link der Uni Erlangen/Nürnberg. Ab Seite 120 werden die einzelnen TAN-Verfahren relativ kompakt nochmal verglichen. Danke für den Link, die Arbeit hatte ich bisher nicht auf dem Schirm - nur die N26 auseinanderzunehmen war ihm wohl nicht genug ;-) (Und auch nur den Abstract auf der Seite zu lesen mag für den einen oder anderen hier erhellend sein ...) Diesen Beitrag teilen Link zum Beitrag
odensee März 29, 2021 vor 1 Stunde von Staatenverbund: vor 17 Stunden von kleinerfisch: Was ihr Jüngeren Euch mal klarmachen müsst, ist das große Teile der Bevölkerung schlicht abgehängt werden. In meinem Bekanntenkreis sind viele totale Smartphone-Analphabeten (können telefonieren und vielleicht gerade noch SMS) und auch etliche Computer-Verweigerer. Davon gibt es, glaube ich, noch sehr viele in der Altersgruppe >50, also durchaus noch im Arbeitsleben und auch die Gruppe mit den höchsten Privatvermögen. Mir ist nicht so klar, was da jetzt der Zusammenhang ist?! Also, mein Vorschlag bezieht sich natürlich auf Online-Banking - wer Filialbanking machen will, kann das meinetwegen natürlich weiter ganz ohne eigene Elektronik tun. online-Banking muss ja nicht notwendigerweise über eine Äpp abgewickelt werden. Wenn ich (auch nicht mehr der jüngste) am Notebook sitze: kein Problem. SmartPhone: da muss ich schon jetzt die Brille absetzen - mal schauen, wie das in 10 Jahren geht. Und ich kenne wirklich alte Menschen (Ü80), die für ihr Alter noch erstaunlich IT-affin sind und online-Banking machen, aber da macht sich dann altersbedingter Tremor doch negativ bemerkbar. Für solche Menschen ist eine Banking-App schlicht ungeeignet. Natürlich kann man sich als Bank und als WPFler auf den Standpunkt stellen, "sollen die doch sehen, wie sie klar kommen". Noch(!) bietet die ING ja herkömmliches online-Banking an. Noch. Diesen Beitrag teilen Link zum Beitrag
Staatenverbund März 29, 2021 vor 4 Minuten von odensee: online-Banking muss ja nicht notwendigerweise über eine Äpp abgewickelt werden. Öh ... ja!? Ich bilde mir ein, nichts von Apps geschrieben zu haben?! Ganz im Gegenteil schiene es mir deutlich vernünftiger, als Standard-Verfahren etwas in Richtung chipTAN zu etablieren, also mit separatem Gerät für die Kontrolle der Transaktionsdaten. Diesen Beitrag teilen Link zum Beitrag
oktavian März 29, 2021 Generell setzt ing wohl ein Zertifikat von Entrust, Inc. ein, was sich überprüfen lässt. DNS names: www.ing-diba.de ing-diba.de www.visa-secure.ing.de www.partner.ing.de www.partner.ing-diba.de www.kreditkarte.ing-diba.de www.ing.de www.diba.de partner.ing.de partner.ing-diba.de kreditkarte.ing-diba.de ing.de diba.de angebote.ing-diba.de Sollte man scripten können. Wenn die banking app dann die richtige ip bekommt, ist die auch vor ip spoofing sicher, da ing sicher Zertifikate einprogrammiert hat. Ich würde eben in offenem wlan noch vpn empfehlen, um schwerer vom wifi-Anbieter gehackt werden zu können. Theoretisch sollte die Verschlüsselung der banking app reichen, um normale hacker ohne Quantencomputer und starke personelle Ressourcen abzuhalten. Tatsächlich setze ich in Großstädten keine Bluetoothkopfhörer ein bzw. würde dann ein extra Gerät empfehlen. Ich habe auch mal einen älteren Bekannten um sein Telefon gebeten und gesehen, dass bluetooth an war und letztes Sicherheitsupdate war 5 Jahre alt und da habe ich auch nur den Kauf eines neuen Telefons empfehlen können. Selbst wenn die neuesten Sicherheitsupdates drauf bekommt durch open source custom rom, kann man auch die proprietäre firmware nicht updaten. Ich nutze nur qualcomm Prozessoren auf android, weil die mehr offen legen. Ich gebe auch zu das smartphones komplex sind und keine Sicherheitsgeräte. Daher wäre mir fido2 am liebsten. Da muss man den usb key von hand berühren, damit er aktiviert wird (Solokey / Yubikey). Das ist extrem schwer zu hacken. Ich selbst habe den Solo2 bestellt, aber keine Bank unterstützt das. ING bietet bei photo tan auch nur an ein Gerät zu registrieren und ich hätte am liebsten ~3 Fido2 keys registriert zusätzlich zum jetzigen Prozedere. Custom rom geht auch ohne root und mit selinux enforcing. Du meinst vermutlich bootloader entsperren. Also nichts root. Banking ginge da. Ich habe das so am Laufen. vor einer Stunde von Staatenverbund: Zum anderen: Alle Sicherheitsprobleme sind "rein theoretisch" bis zu dem Zeitpunkt, zu dem sie das erste Mal ausgenutzt werden. Die Lösung von Sicherheitsproblemen für unnötig zu erklären, weil bisher nur Fachleute die Risiken erklärt haben, aber noch keine Schadensfälle bekannt sind, ist so sinnvoll wie die Behebung von Statikproblemen eines Brückenbauwerkes für unnötig zu erklären, weil bisher nur Fachleute die Risiken vorgerechnet haben, die Brücke aber ja noch nicht eingestürzt ist. Das ist genau die Einstellung, die dazu führt, dass Banken alle paar Jahre neue Authentifizierungsverfahren einführen, weil ganz überraschend Kriminelle angefangen haben, die Sicherheitsprobleme auszunutzen, vor denen Fachleute mit reichlich Vorlauf gewarnt hatten. dem vorgesehenen Einsatzszenario seitens der Bank. Wenn die Bank sagen würde "diese App nur auf Telefonen ohne Bluetooth und nur im heimischen W-LAN und ohne jedwede andere App einsetzen", dann wäre das *vielleicht* ein Argument - aber natürlich halt auch vollkommen unrealistisch.) Ich kenne auch keine offen gelegte Sicherheitslücke, die einen automatisierten Angriff ohne Nutzereingriff/Telefon im standby und hinter Standard-NAT firewall theoretisch ermöglicht. Vielleicht weißt du da mehr? Diesen Beitrag teilen Link zum Beitrag
odensee März 29, 2021 vor 12 Minuten von Staatenverbund: Öh ... ja!? Ich bilde mir ein, nichts von Apps geschrieben zu haben?! Sorry, ich hatte dich da falsch verstanden in Richtung "wer kein Smartphone bedienen kann, soll halt zur Filialbank gehen". Diese Einstellung kommt bei einigen hier durch, und du bist dann in die falsche Schublade geraten. Diesen Beitrag teilen Link zum Beitrag
Gast231208 März 29, 2021 Könnte man bitte einen neuen Thread aufmachen? Thema: Onlinebanking - eine Gratwanderung zwischen Sicherheit und Bedienbarkeit oder "Was die Direktbanken so alles verkehrt machen und ich besser machen würde." Weil hier geht's um die ING. Danke Jungs Diesen Beitrag teilen Link zum Beitrag
Xivender März 29, 2021 · bearbeitet März 29, 2021 von Xivender vor einer Stunde von pillendreher: Könnte man bitte einen neuen Thread aufmachen? Thema: Onlinebanking - eine Gratwanderung zwischen Sicherheit und Bedienbarkeit oder "Was die Direktbanken so alles verkehrt machen und ich besser machen würde." Weil hier geht's um die ING. Danke Jungs Bist du marketingbeauftragter der ING und willst nicht dass ihr die Sicherheitsbedenken diskutiert werden? So kommt das ständige Gejaule nach der Abtrennung die der Sicherheit Diskussion nämlich rüber. Wie hier schon dargestellt wurde ist das ein ING - Problem, denn andere Banken kennen andere Lösungen wie z.b. chipTAN was eine echte zwei Faktor Autorisierung ermöglicht. Aber das scheinst oder willst du nicht so verstehen. vor 12 Stunden von JimmyG: Das wäre fürchterlich. Ich habe schon genug Apps auf dem Smartphone. Warum sollte ich von einem Unternehmen zwei verschiedene Apps installieren wollen, mit doppelten Pflegeaufwand? Entweder ich vertraue dem Smartphone und deren Softwareumgebung und nutze es für Bankingtransaktionen und -authorisierung oder ich traue dem Gerät nicht und nutze es dann für keins von beiden. Es ist auf den letzten Seiten ja schon wirklich mehr als genug zu verschiedenen Sicherheitsaspekten und sehr theoretischen Hackingmöglichkeiten geschrieben wurden. Hier kommen wohl zwei deutsche Eigenschaften zusammen: die German Angst und das Liebe Geld. Ich meine, wir leben in den 2020ern, Smartphones werden heute mehr genutzt als PCs und sind keine experimentellen Geräte mehr. Diese Diskussion, solche furiosen Apps aus diesem Internet seinen ein einziges Sicherheitsrisiko erinnert mich eher daran: Es geht hier um eine echte zwei Faktor Autorisierung, die bei der ING nicht wirklich gegeben ist, jetzt aber so verkauft wird. Diesen Beitrag teilen Link zum Beitrag
Gast231208 März 29, 2021 Wenn das ganze Fachidiotenzeugs von gewissen Usern hier die anderen nicht nervt dann macht's halt weiter - ich überlasse Euch gerne den Spielplatz. Diesen Beitrag teilen Link zum Beitrag
DarkBasti März 29, 2021 vor 4 Stunden von pillendreher: Wenn das ganze Fachidiotenzeugs von gewissen Usern hier die anderen nicht nervt dann macht's halt weiter - ich überlasse Euch gerne den Spielplatz. Willkommen im 21 Jahrhundert. IT ist nunmal wichtig geworden. Aber wir können auch nochmal hervorheben, das 800 ETFs kostenlos sein sollten aber es nur 799 sind und genau DER eine Super ETF fehlt. Im Sparkassenthread macht es wenig Sinn über die Ing Diba App zu diskutieren. Von Argumentation und Diskussion lebt das Forum! Diesen Beitrag teilen Link zum Beitrag
odensee März 29, 2021 vor 14 Minuten von DarkBasti: Willkommen im 21 Jahrhundert. IT ist nunmal wichtig geworden. Ganz schön arrogant. Versuche bitte folgendes zu verstehen. vor 6 Stunden von odensee: Und ich kenne wirklich alte Menschen (Ü80), die für ihr Alter noch erstaunlich IT-affin sind und online-Banking machen, aber da macht sich dann altersbedingter Tremor doch negativ bemerkbar. Für solche Menschen ist eine Banking-App schlicht ungeeignet. Natürlich kann man sich als Bank und als WPFler auf den Standpunkt stellen, "sollen die doch sehen, wie sie klar kommen". (altersbedingter Tremor nur als Beispiel). Ich habe übrigens schon im 20. Jahrhundert online-Banking genutzt. Seit 1998 bei der ING-Diba. Vorher und teilweise parallel 1822direkt und Advance-Bank. Diesen Beitrag teilen Link zum Beitrag
Mrtn17 März 29, 2021 Nunja, es ist halt die Entscheidung der Bank, ob sie dem Kunden eine Struktur bieten mit ChipTAN oder einem ähnlichen Gerät und für mobiles Banking eine separate App oder ob sie es wie die ING macht und dem Kunden eine App für Authentifzierung und mobiles Banking anbietet. Würde meine Bank mir mit ChipTAN kommen, wäre das für mich ein Kündigungsgrund, denn ich will unterwegs Zugriff haben ohne ein separates Gerät mitnehmen zu müssen. Von daher bin ich mit der von der ING angebotenen Lösung völlig zufrieden und finde sie gelungen. Sicher kann man da nun sagen, die All-in-One-App-Lösung mag man nicht - dann ist man sicher bei einer Bank besser aufgehoben, die ChipTAN oder ähnliche Lösungen anbietet. Zum Glück ist der Markt groß und man hat die Auswahl. Aber diese seitenlangen Diskussionen, warum das ein vermeintlich untragbares Sicherheitsrisko sei mit der App und welche Hackingangriffszenarien möglich sind, das ist hier im ING-Thread meiner Meinung nach tatsächlich offtopic - und da gebe ich Pillendreher recht - denn es gibt reichlich Anbieter, die Banking-Apps für ihre Kunden bereitstellen und deren Sicherheit ist ein allgemeines und kein ING-spezifisches Thema. Insofern lasst uns gerne über den 801. kostenlosen ETF reden Ist der neue Vanguard ESG Global All Cap ETF sparplanfähig? Diesen Beitrag teilen Link zum Beitrag
el_Mare März 29, 2021 Ich bin auch dafür, dass für die IT Sicherheit und die diversen Möglichkeiten, die es gibt unbedingt ein neuer Faden aufgemacht werden soll. Hier nervt die Diskussion zunehmend. Außerdem betreffen die Sicherheitsbedenken ja nicht nur die DiBa, sondern generell alle Banken, bei denen der Trend zur Single App geht. Diesen Beitrag teilen Link zum Beitrag
paradox82 März 29, 2021 Frage, die ich bisher nicht beantwortete gefunden habe: Bucht die ING eine Sparplanausführung (bspw. Vanguard All World) zu einer bereits bestehehende Position (Einmalkauf) dazu oder hat man dann für ein Wertpapier zwei Positionen und bekommt dann jeweils zwei Abrechnungen für Ausschüttungen/ Verkauf etc.? Diesen Beitrag teilen Link zum Beitrag
Peter23 März 29, 2021 Wenn man den Sparplan vom Verrechnungskonto abbuchen lässt, wann muss das Geld dann dort sein? Erst am 1. oder schon einen Tag vorher? Diesen Beitrag teilen Link zum Beitrag
Staatenverbund März 29, 2021 vor 4 Stunden von JimmyG: Sicher kann man da nun sagen, die All-in-One-App-Lösung mag man nicht - dann ist man sicher bei einer Bank besser aufgehoben, die ChipTAN oder ähnliche Lösungen anbietet. Zum Glück ist der Markt groß und man hat die Auswahl. Aber diese seitenlangen Diskussionen, warum das ein vermeintlich untragbares Sicherheitsrisko sei mit der App und welche Hackingangriffszenarien möglich sind, das ist hier im ING-Thread meiner Meinung nach tatsächlich offtopic - und da gebe ich Pillendreher recht - denn es gibt reichlich Anbieter, die Banking-Apps für ihre Kunden bereitstellen und deren Sicherheit ist ein allgemeines und kein ING-spezifisches Thema. Magst Du mal erklären, weshalb aus der Tatsache, dass Dir die Sicherheit Deiner Bank nicht besonders wichtig ist, und dass es Anbieter gibt, die ein sicherheitstechnisch besser aufgestelltes Produkt anbieten, folgt, dass man die Mängel des Produktes der ING nicht diskutieren sollte? Vor allem unter Berücksichtigung der Frage, wie ein Kunde, der keinen IT-Sicherheits-Hintergrund hat, eine informierte Entscheidung zwischen der ING und ihren Konkurrenten treffen sollte, wenn die Mängel der ING nicht diskutiert werden? Der Versuch, einer Seite die Behauptung eines "untragbaren" Risikos unterzuschrieben, um dann einen Strohmann umhauen zu können, ist übrigens nicht sonderlich überzeugend. Ist diese Argumentationsweise übrigens etwas, das Du auf andere Themen anwenden würdest? Wenn irgendwelche möglichen Nachteile der ING im Vergleich zu Produkten anderer Banken diskutiert würden (Kosten von Sparplänen, Angebot an Wertpapieren, Qualität des Kundenservice, ... was immer Leute so zwischen Banken vergleichen könnten, und ohne damit jetzt selber irgendetwas bewertet haben zu wollen, das sind einfach nur beliebige Beispiele) ... würdest Du dann auch sagen, das ist off-topic, weil Dich persönlich das jeweils nicht stört und es ja andere Banken gibt, die anders gestaltete Produkte anbieten? vor 14 Minuten von paradox82: Frage, die ich bisher nicht beantwortete gefunden habe: Bucht die ING eine Sparplanausführung (bspw. Vanguard All World) zu einer bereits bestehehende Position (Einmalkauf) dazu oder hat man dann für ein Wertpapier zwei Positionen und bekommt dann jeweils zwei Abrechnungen für Ausschüttungen/ Verkauf etc.? Für eine Gattung gibt es pro Depot eine Position, auf welche Weise die ins Depot gelangt sind, spielt keine Rolle. (Ausnahmen mag es geben, wenn Du von einer Gattung Stücke mit unterschiedlicher Verwahrart oder mit Sperrvermerken oder so hast, keine Ahnung, aber das dürfte Dich wohl eher nicht betreffen.) Diesen Beitrag teilen Link zum Beitrag
moonraker März 29, 2021 vor 32 Minuten von paradox82: Frage, die ich bisher nicht beantwortete gefunden habe: Bucht die ING eine Sparplanausführung (bspw. Vanguard All World) zu einer bereits bestehehende Position (Einmalkauf) dazu oder hat man dann für ein Wertpapier zwei Positionen und bekommt dann jeweils zwei Abrechnungen für Ausschüttungen/ Verkauf etc.? Im gleichen Depot werden alle Anteile "zusammengeschmissen". Diesen Beitrag teilen Link zum Beitrag
paradox82 März 29, 2021 · bearbeitet März 29, 2021 von paradox82 vor 23 Minuten von Staatenverbund: Für eine Gattung gibt es pro Depot eine Position, auf welche Weise die ins Depot gelangt sind, spielt keine Rolle. (Ausnahmen mag es geben, wenn Du von einer Gattung Stücke mit unterschiedlicher Verwahrart oder mit Sperrvermerken oder so hast, keine Ahnung, aber das dürfte Dich wohl eher nicht betreffen.) vor 5 Minuten von moonraker: Im gleichen Depot werden alle Anteile "zusammengeschmissen". Danke für die schnellten Antworten! Eine Position passt mir gut in den Kram Diesen Beitrag teilen Link zum Beitrag
Mrtn17 März 29, 2021 vor 23 Minuten von Staatenverbund: Magst Du mal erklären, weshalb aus der Tatsache, dass Dir die Sicherheit Deiner Bank nicht besonders wichtig ist, und dass es Anbieter gibt, die ein sicherheitstechnisch besser aufgestelltes Produkt anbieten, folgt, dass man die Mängel des Produktes der ING nicht diskutieren sollte? Vor allem unter Berücksichtigung der Frage, wie ein Kunde, der keinen IT-Sicherheits-Hintergrund hat, eine informierte Entscheidung zwischen der ING und ihren Konkurrenten treffen sollte, wenn die Mängel der ING nicht diskutiert werden? Also erstens, was soll die Unterstellung mir wäre die Sicherheit der Bank nicht besonders wichtig? Ich bin mit dem marktüblichen Sicherheitsniveau zufrieden (liegt vielleicht auch daran, dass ich iOS und nicht Android nutze) und habe keine darüber hinausgehenden zusätzlichen Sicherheitsanforderungen. Zweitens, wie kommst du auf die These das Produkt (die App) der ING hätte Mängel? Sie nutzt die üblichen Sicherheitsfunktionen und bietet ein gängiges Sicherheitsniveau. Ich muss doch nicht IT-Security studiert haben um eine Bankingapp nutzen zu dürfen. Um es vielleicht etwas anschaulicher darzustellen: sagen wir, ich möchte mit dem Auto in den Urlaub fahren und wir sind hier im Roadtrip-Forum. Leute diskutieren über Reiseziele und schöne Straßen. Ich will mit einem Kleinwagen fahren. Du sagst, das wäre ein hohes Sicherheitsrisiko, es gäbe viele Unfälle, Studien hätten gezeigt, dass man in einem großen SUV besser geschützt ist. Man diskutiert seitenlang über Blechstärken im Karosseriebau und Überlebenswahrscheinlichkeiten bei Frontalcrashs. Schließlich wird gefordert, man sollte Reisen nur noch in großen SUVs unternehmen. Kleinwagen hätte solche "Mängel", dass man Reisen damit unterlassen sollte. Dabei sollte es doch eigentlich darum gehen, welcher Abschnitt der deutschen Alleenstraße am lohnendsten ist. So kommt mir das hier vor. Welche Sicherheitsmängel sollte die ING-App denn haben? Sie nutzt übliche Funktionen und bietet ein angemessenes Sicherheitsniveau. Natürlich gibt es immer irgendwelche Restrisiken und Eventualitäten, wie etwas passierten könnte. Für den normalen Anwender ist das aber irrelevant, weil es hinlänglich sicher ist. Mir fallen da übrigens andere Apps ein, wo ich mir viel eher Sorgen machen würde - im Fintech-Bereich, oder gar im Kryptowährungsbereich. Wäre ich Hacker, würde ich viel eher dort als bei der ING-App angreifen wollen. Da Apps aber heute allgemeiner Standard sind, ist deren Sicherheit eben kein ING-spezifisches sondern ein allgemeines Thema. Deshalb hatte ich geäußert, dass diese allgemeine Sicherheitsdiskussion IMHO offtopic ist. Diesen Beitrag teilen Link zum Beitrag
