Banken mit/ohne MobileTAN-Zwang?

Banken mit/ohne MobileTAN-Zwang? (145 Beiträge, 1731 Mal gelesen)

Du bist nicht angemeldet. [ Login/Registrieren ]

Gibt es noch Banken, die nicht MobileTAN mittels lächerlicher Limits erzwingen wollen (anstelle von TAN-Briefen)? Die BA meint gerade, während ich gerade ca. eine Größenordnung mehr überweisen muss:

Die Unterschrift von Aufträgen ist derzeit auf 1.000,00 EUR (EUR-Gegenwert bei Auslandsaufträgen) pro iTAN limitiert. Bitte teilen Sie Ihre Aufträge, wenn möglich, auf mehrere Aufträge unter EUR 1.000,00 auf und unterschreiben Sie diese separat.
Alternativ dazu können Sie auch unser mobileTAN Verfahren verwenden, für das dieses Limit nicht gilt.
Bei Fragen steht Ihnen die OnlineBanking-Hotline unter 050505 - 26100 (ohne Vorwahl aus ganz Österreich) rund um die Uhr zur Verfügung.

Ist wohl wirklich endlich an der Zeit, zu wechseln - nur wohin?

ACTA wird Menschen töten | wikileaks.geizhals.org

„Ich habe den Verdacht, dass sich alle Terrorismen, egal, ob die deutsche RAF, die italienischen Brigate Rosse, die Franzosen, Iren, Spanier oder Araber, in ihrer Menschenverachtung wenig nehmen. Sie werden übertroffen von bestimmten Formen von Staatsterrorismus“ (Helmut Schmidt)

"Ermittlungen in großen Wirtschaftsstrafsachen unterliegen wegen der Berichtspflichten der Ermittler zum Innen- und Justizministerium vollends dem politischen Würgegriff" (N. Haslhofer, ehem. StA)

das limit kannst dir ja im ebanking selbst (zu bestätigen via mobile-tan

) raufsetzen!

iwantsomefun.com - Humor at its best
http://ads-vs-reality.com

Nein, kann man nicht. Mein Überweisungslimit ist bereits viel höher, nur gilt nun zusätzlich dieses Limit bei Überweisung ohne MobileTAN.

hab dich ... hab' ich überlesen.

spezieller grund warum du keinen mobile-tan willst?

iwantsomefun.com - Humor at its best
http://ads-vs-reality.com

nur gilt nun zusätzlich dieses Limit bei Überweisung ohne MobileTAN.

Jep, ich schreib meinem Bankmenschen immer, aufesetzen des Limit für den Tag dann geht es auch

Lästig ist, jedoch sind es die Doddln denen wir es zu verdanken haben!

Da war eine einmal im TV(eh RTL) die hat alle 100 TAN abgetippt und denen geschickt.

Das war für die Verbrecher wie ein Elfer mit einem blinden Torwart

--------------------------------------------------------------------------------
Gott fragte die Steine: Wollt ihr RC-Helis fliegen?
Und die Steine antworteten: NEIN!!! Dafür sind wir nicht hart genug......

ich würd ned alles glauben was im tv, insbesondere auf RTL, gezeigt wird.

lg,
Justin

Yep, gerade auf RTL findet sich fast nur mehr Scripted Reality Nonsens...

"Those who would sacrifice a little privacy for more security, deserve neither privacy nor security."
(c) Benjamin Franklin

Was spricht gegen einen Wechsel zu Mobile TAN?

Dass mobiler Datenverkehr nicht nur vom ISP, sondern auch von Dritten leicht umgelenkt und mitgeschnitten werden kann (http://www.gulli.com/news/6871-handys-abhoeren-leicht-gemacht-gsm-knacken-fuer-jedermann-2008-02-22 ), was durch die zusätzlichen Schwachstellen durch die VDS (mehr Leute in entsprechende Schnittstellen / Protokollierung involviert) noch verschärft wurde. TAN-Bögen auf Papier werden zumindest versiegelt und sind nicht zig Personen leicht zugänglich und den Empfänger kann man auch nicht so leicht mit einem IMSI-Catcher fälschen.

TAN-Bögen auf Papier werden zumindest versiegelt

Und dann in die neuen, tollen Postkästen geworfen, wo sie jeder rausfischen kann

TAN-Bögen auf Papier werden zumindest versiegelt und sind nicht zig Personen leicht zugänglich und den Empfänger kann man auch nicht so leicht mit einem IMSI-Catcher fälschen.

Dafür kann ein Angreifer den TAN bei der Eingabe abfangen und für eigene Zwecke missbrauchen. Wenn jemand den mobilen TAN abfängt, kann er damit genau gar nix anfangen. Also was bringt ihm das?

22.06.2012, 10:35 Uhr - Editiert von hellbringer, alte Version: hier

dieser mythos wird wohl auch ewig leben..

lg,
Justin

Dieser Beitrag bezieht sich auf eine ältere Version des beantworteten Postings!

in den letzten jahren sind bei mir nachweislich 3 itan sets per post nicht angekommen. blöd halt nur, dass man das erst merkt wenn man buchen will.

da bleib ich bei dem "ach so unsicheren" mobile-tan verfahren.

Die helfen demjenigen allerdings nicht viel, da du die neue TAN Liste mit einem TAN der letzten aktiven Liste freischalten musst. (Ist zumindest bei der Raika so)

bei der bawag war das nie so. bei der easybank vermutlich auch nicht. kann ich jetzt bei letzterer aber nicht sagen, da ich nur noch m-tan verwende.

Ah ok, das wußte ich nicht. Verwende inzwischen auch m-tan, aber damals war das bei mir so. Dann ist das wohl ein (in meinen Augen sinnvolles) Sicherheitsfeature der Raika

Bei der Easybank hat man über das Internet-Portal die Möglichkeit, die im Umlauf befindlichen TAN-Briefe selektiv zu aktivieren/deaktivieren. Wenn man also nur den aktuellen im Besitz befindlichen TAN-Brief als aktiv setzt, dann sollte eigentlich bei einem automatisch zugesandten und von einem Fremden abgefangenen TAN-Brief theoretisch auch nichts passieren.

ja ich weiss. bei mir bei der bawag war das aber damals so, sowie die neue tan sets verschickt haben wurde das alte set deaktiviert und das neue eingestellt. blöd halt, wenn du das neue tan set nie erhalten hast. steht ja auch bei den beiden tan sets dabei an welchem tag die versendet wurden.

Die helfen demjenigen allerdings nicht viel, da du die neue TAN Liste mit einem TAN der letzten aktiven Liste freischalten musst. (Ist zumindest bei der Raika so)

Ist das neu? Kann mich nicht erinnern jemals eine TAN-Liste freigeschalten zu haben.

Du musst sie auch nicht freischalten, du kannst selektiv sperren.
⎝⏠⏝⏠⎠ -> Try it sometimes!

Also zu meinen TAN Zeiten bei der Raika (bis vor ca. 4 Jahren) war es so daß die neue TAN Liste automatisch mal gesperrt war, und ich sie mit einem TAN der alten Liste aktivieren musste.

ACK

"Those who would sacrifice a little privacy for more security, deserve neither privacy nor security."
(c) Benjamin Franklin

Ja wie gesagt, ich bin bei der Bawag
⎝⏠⏝⏠⎠ -> Try it sometimes!

Die wurden dir aber sicher nicht ausn Postkasten gestohlen.
Die chance ist doch recht recht gering, dass ein böser Menschen genau an dem Tag wo der Brief ankommt, seine Finger im Spiel hat.

lg,
Justin

Und was fängt er mit einem abgefangenen TAN (der ja mit Absenden praktisch nicht mehr gültig ist, weil Transaktion abgeschlossen) an??

Und was fängt er mit einem abgefangenen TAN (der ja mit Absenden praktisch
nicht mehr gültig ist, weil Transaktion abgeschlossen) an??

Wenn jemand einen TAN abfangen kann, kann er auch die komplette Transaktion abfangen. Der Benutzer bekommt dann irgendeine gefakete Fehlermeldung (zB. "Es ist ein Verbindungsfehler aufgetreten, bitte wiederholen sie den Vorgang mit dem nächsten TAN.", o.ä.). Entweder lässt man den nächsten Vorgang dann seinen gewohnten Weg gehen, oder man greift noch ein paar zusätzliche TANs ab

das gilt aber nur für Papier-TANs

mfg
AVS

das gilt aber nur für Papier-TANs

Ja eh.

Dafür kann ein Angreifer den TAN bei der Eingabe abfangen und für eigene
Zwecke missbrauchen. Wenn jemand den mobilen TAN abfängt, kann er damit genau
gar nix anfangen. Also was bringt ihm das?

Wenn der Computer einmal derart verseucht ist, kann weder ein mobileTAN noch ein TAN irgendwas machen.

Der mobileTAN wurden in der Praxis bereits mit einfachen Mitteln hintergangen ...
durch die Leichtgläubigkeit des Providers dass man die eigene Tel. auf den neuen Vertrag übernimmt ...
Die Zugriffsdaten auf das Bankkonto war vorher bereits bekannt ... dort war den Settings die Telefonnummer angezeigt ... auf ein Mehrwerttelefon wurde dann einfach die Telefonummer übernommen und abkassiert.
Tatort: Australien

Wenn man jetzt bedenkt, dass nach heutigen Stand der Technik, für das abhören der SMS nicht mal mehr die kooperation der Provider von nötgen ist ... es also ausreicht benutzer, telefonnumer und passwort zu kenne ...

Ich verstehe nicht, was die Banken im mobileTAN sehen.
Es kann die Sicherheit nicht heben.
Bleibt also nur die Möglichkeit das die Haftung sich ändert.

Naja- aber was fängt ein eventueller Lauscher mit der mTan alleine an? Das System lebt ja vom dualen Zugang Computer und Handy. Eine TAN auf dem Papier kann man für jede Überweisung benutzen (wenn man sie abfängt)- die mTan ist ja der jeweiligen Überweisung zugeordnet?

Was fängst du mit der mTAN des Hackers an wenn du in der Schnellbahn sitzt?

Wie bitte? Versteh ich jetzt nicht. Warum sollte ich die mTan eines Hackers haben?

Annahme:
- Hacker kann auf dein eBanking zugreifen (user und passwort bekannt)
Nun ist das ja der Zustand in welchen der TAN Sicherheit geben soll.
In den Settings kann er nun nachsehen, welche Tel. du hast ...
Mit den entsprechenden equipment deine SIM im Netz simulieren, einen Auftrag eingeben und mit mTAN zeichnen sagen ...
Du sitzt gerade in der Schnellbahn und wunderst dich, warum du einen TAN zugesendet bekommst ... welcher der Hacker auch gerade empfängt ...

=> du bekommst die TAN die der Hacker angefordert hat ...
Habe ja nie behauptet, dass der Hacker die TAN für sein konto angefordert hat.

Ich hab ja nicht behauptet, eine mTan sei der Weisheit letzter Schluss- nur bei einer mTan muss er PC UND Handy (Sim kopieren) knacken- bei einer Papier-Tan reicht es, wenn er meinen PC unter Kontrolle hat und bei der Eingabe die Tan abfängt. Also geh ich mal davon aus das beide Verfahren nicht sehr sicher sind (wenn man seinen Computer nicht unter Kontrolle hat) aber mTan bequemer ist.

dann weiss ich ja zumindest, dass etwas nicht stimmt und ruf die bank an. lässt sich bestimmt alles relativ leicht rückgängig machen.

korrigiere mich falls ich jetzt komplett daneben liege.

bg w

Das System lebt ja vom dualen Zugang Computer und Handy

so gut wie jede bank hat ein ebanking app. wenns blöd hergeht und die ebankinganwendung gerade aktiv ist, kommt der tan gleich aufs selbe gerät - auch praktisch.

Naja- es gibt auch Leute, die ihre Pin auf die Karte schreiben oder sich von Mails verleiten lassen, 20 Tannummern einzugeben...ggg

das eine ist dummheit, die sache mit dem handy eine tatsache inkl unglücklichem umstand.

Find ich nicht- wenn man e-banking betreibt dann sollte man nicht übers gleiche Handy Internet und SMS-Empfang betreiben.

wenn die itans nie den weg in den briefkasten finden, sind sie auch relativ nutzlos. blöd wenn man erst bei der eingabe bemerkt, dass man längst neue bekommen hätte sollen.

was hilft der der imsi catcher, wenn du nur einen tan und keine zugangsdaten hast? vor allem ist der tan einer buchung zugeordnet, den kannst nicht einfach für was anderes verwenden. zudem ist er nach kurzer zeit wieder ungültig. ausserdem kannst ja dynamisch die limits für deine buchungen setzen.

man sollte halt immer abschätzen können ob da eine reale gefahr besteht oder ob der crack eher nur theoretischer natur ist.

nachdem ja alles irgendwo lücken hat, dürfte man eigentlich ja nur noch mit bargeld einkaufen gehen und sollte sämtliche überweisungen vor-ort in der bank erledigen. und selbst da könnt es dann nach zu problemen kommen.

..... dürfte man eigentlich ja nur noch mit bargeld einkaufen gehen .....

...und da fladern sie Dir das Geldbörsl.....
__________________________________________________________________________________
Alkohol ist keine Lösung, sondern ein Destillat

Datenverkehr ... auch von Dritten leicht
umgelenkt und mitgeschnitten werden kann

Empfänger kann man auch nicht so leicht mit
einem IMSI-Catcher fälschen.

Du bist der EDV-Experte, nicht ich, aber meinst du wirklich, das sei so viel einfacher und v.a. realistischer, als einfach den TAN-Bogen aus dem Postkastl zu fischen? Oder den TAN abzufangen?

Der mobile-TAN hat doch weit mehr Vorteile und Sicherheitsfeatures als die Papierbögen:
es gibt immer nur 1 gültigen TAN (nicht 50 oder 100)
der verfällt nach 10min
er gilt auch nur für diese EINE Transaktion
er wird vom Bankserver für diese eine Transaktion in exakt dieser Höhe an exakt dieses Empfängerkonto kreiert. Selbst wenn der Tan abgefangen würde, wird er ungültig, wenn 10min vorüber sind oder man versucht, Betrag oder Empfänger zu ändern.

mfg
AVS

Du bist der EDV-Experte, nicht ich, aber meinst du wirklich, das sei so viel einfacher und v.a. realistischer, als einfach den TAN-Bogen aus dem Postkastl zu fischen? Oder den TAN abzufangen?

Im einen Fall merke ich es und führe keine Transaktionen durch, im anderen nicht...

Im einen Fall merke ich es und führe keine Transaktionen durch, im anderen nicht...

Ändert jetzt genau was? Der Angreifer fängt selbst mit 100 abgefangen mobilen TANs nix an.

Im schlimmsten Fall hast du die Bezahlung nicht getätigt. Bringt dem Angreifer nix und du ärgerst dich ein bisschen. Aber wo ist jetzt der Schaden?

22.06.2012, 11:07 Uhr - Editiert von hellbringer, alte Version: hier

bis du merkst, daß ein TAN-Bogen verschwunden ist, können Tage vergehen und zahlreiche Aktionen dein Konto geleert haben.

Mobil-TAN kann aber nur EINER verschwinden, der sich für nix anderes als DIESE EINE Aktion verwenden läßt. Und welche genau steht sogar in der SMS drinnen.
Der Tan kann maximal ungültig werden, aber mir ist nicht klar, wie man den auch nur theoretisch zweckentfremden wollte.

mfg
AVS

+1
Find das System eigentlich auch mit geringem Aufwand relativ sicher (verglichen mit Papier TANs). Meine gelten sogar nur 5min, hab im Ausland teilweise mehrmals anfragen müssen weil die SMS verzögert zugestellt wurden (Zensur in gewissen Ländern dauert halt seine Zeit

)

den einen mtan kannst einfach nicht zweck entfremden. vor allem was nützt er ohne login?

aber klar kann man mit irgendwelchen scannern irgendwelche sms umleiten oder mit trojanern am handy verhindern, dass der benutzer eine sms bekommt. in der theorie ist das alles immer wieder sehr schön was die jünger vom CCC da bringen. blos ob es in der praxis relavant ist, darüber denkt keiner nach.

genau das meine ich:

1. man muß sich bei der Bank mit User+Pin einloggen
2. man gibt die Überweisung(en) ein und speichert sie am Server der Bak
3. man startet die Unterschrift
4. der Server der Bank scjickt mir die Überweisungsdaten (mit BLZ, Konto und Betrag) und einen zeitlich begrenzten TAN nur für diese angeführten Transaktionen
5. ich gebe den Tan an
6. TAN wird geprüft, Transaktion durchgeführt.

Man müßte PC UND das Hendi GLEICHZEITIG übernehmen, um mir die Aktion abnehmen zu können. Was aber noch nichts an meiner Zahlung/dem Empfänger ändert.

Um die auch noch umzuleiten, müßte man mir auch noch die Bank vorgaukeln, wo ich meine Summe und Empfängerdaten eingebe. Zeitgleich müßte man mit meinen Daten am echten Bankserver einloggen, dort die betrügerische Überweisung beginnen, und mit dem TAN, den ich aufs Hendi bekomme, signieren. Das alles in Echtzeit und so echt, daß ich überzeugt bin, wirklich auf der originalen https-HP der Bank zu sein.
Das erscheint mir als nicht PC-Experten etwas sehr SEHR aufwändig um nicht zu sagen: zumindest derzeit technisch unmöglich.
Ich kenne auch keinen Fall, wo das schon gelungen wäre.

Da wäre es doch viel viel einfacher, einen Papier-TAN als man-in-the-middle abzufangen und den dann später zu verwenden. DAS ist ja schon passiert.

mfg
AVS

Ich weiß nicht warum das so schwer zu verstehen ist.

Egal ob man einen iTAN oder einen MobileTAN klauen kann, man braucht in jedem Fall auch den Kontozugang. Da es angeblich iTAN-Missbrauch gab, wird das nicht daran gescheitert sein.

Nehmen wir also an, der Angreifer kann auf mein Konto zugreifen.

Er stellt sich in seinem IMSI-Catcher-Mobil irgendwo hin, loggt sich ein, startet eine Transaktion, der MobileTAN wird von seinem IMSI-Catcher abgefangen und er unterschreibt damit. So einfach geht das.

„Ich habe den Verdacht, dass sich alle Terrorismen, egal, ob die deutsche RAF, die italienischen Brigate Rosse, die Franzosen, Iren, Spanier oder Araber, in ihrer Menschenverachtung wenig nehmen. Sie werden übertroffen von bestimmten Formen von Staatsterrorismus“ (Helmut Schmidt)

"Ermittlungen in großen Wirtschaftsstrafsachen unterliegen wegen der Berichtspflichten der Ermittler zum Innen- und Justizministerium vollends dem politischen Würgegriff" (N. Haslhofer, ehem. StA)

wozu so umständlich?

ein iTAN reicht aus um eine beliebige handynummer für mtan freizuschalten. bei vielen ebanking seiten bekommst nichtmal mit ob mtan freigeschalten ist oder nicht. da man so oder so immer per itan, mtan oder signaturkarte zeichnen können und man erst beim absenden darauf aufmerksam gemacht wird das bspw. mtan gar nicht aktiv ist.

insofern schaust du bei dir jedesmal im ebanking nach ob mtan aktiv ist?

insofern schaust du bei dir jedesmal im ebanking nach ob mtan aktiv ist?

Wenn man MobileTAN aktiviert, geht iTAN gar nicht mehr bei der BA, also ist das einfach.

bei easybank und bawag geht immer alles.

Sicher, ohne Risiko ist keins der beiden Verfahren aber in beiden Fällen muss der Angreifer zugriff auf dein E-Banking Konto haben. Wie er dann an die Tans kommt ist beim Mobilen Tan weitaus aufwändiger als einen Tan Brief abzufangen.

Schlussendlich ist es also wurscht welches Tan Verfahren du verwendest solange du deine Zugangsdaten schützt.

Mord, Erpressung & Raub since 800 b.C
f.u

Wie er dann an die Tans kommt ist beim Mobilen Tan weitaus aufwändiger als einen Tan Brief abzufangen.

Nein, eben nicht. Es ist viel einfacher (kein physischer Zugriff nötig) und vor allem kann der Angreifer sich einen geeigneten Zeitpunkt aussuchen statt monate- bis jahrelang den Briefkasten durchsuchen zu müssen.

Sicher aber glaubst du wirklich das sowas gezielt gemacht wird bzw. ist es echt so einfach eine SMS abzufangen?

Mord, Erpressung & Raub since 800 b.C
f.u

Sicher aber glaubst du wirklich das sowas gezielt gemacht wird

Ich kann es mir vorstellen - ist jedenfalls weitaus weniger dumm und erfolgsversprechender als ein Bankraub und der passiert sehr häufig (http://blogs.wsj.com/ideas-market/2012/06/13/bank-robbery-doesnt-pay-much/ ).

ist es echt so einfach eine SMS abzufangen?

Ja! Wird doch von Ermittlern andauernd gemacht - und einen Anruf vorzutäuschen ist genauso einfach, leider.

=> http://www.interceptors.com/intercept-solutions/Passive-GSM-Interceptor.html

Außerdem: diese "billigen" IMSI-Catcher wurden bereits 2008 demonstriert. Seitdem sind sicher zig Hobbyisten und vermutlich auch einige Kriminelle am Experimentieren mit so etwas, das ist ja kein Geheimnis und keine Hexerei mehr.

22.06.2012, 16:48 Uhr - Editiert von mjy@geizhals.at, alte Version: hier

man braucht in jedem Fall auch den Kontozugang.

das immer.
Das spricht aber weder für noch gegen eine Methode, das ist bei beiden gleich.

Er stellt sich in seinem IMSI-Catcher-Mobil irgendwo hin

dazu muß er aber doch in deiner Nähe sein und auch noch wissen, an welche Nummer die SMS geht. Denn die Nummer wird in den Einstellungen NICHT vollständig angezeigt.

weiß nicht warum das so schwer zu verstehen ist.

ich versteh dich schon.
Ich versteh nur nicht, warum du diese Bedrohung als größer und gefährlicher ansiehst als die bei anderen Methoden.

mfg
AVS

wenn der tan bogen nicht mit einer tan eines "alten" bogens aktiviert ist, kannst damit gar nix machen
ist zumindest bei meiner raiba in oö so

brauchte man bei der BACA nicht!

mfg
AVS

ja dann ist das system der BACA nicht sehr sicher
ebenso bei der BAWAG, wie weiter oben jemand geschrieben hat

Also bei der Raiffeisen ist der Mobile Tan 5 Minuten gültig und auch nur für die Anweisung/en für die der mTan angefordert worden ist.

Da kann mitlesen oder umlenken wer will, wenn der/die diesen einen mTan hat, muss er erst noch einloggen in "mein" Internet Banking und dann kann er mit dem gestohlenen Tan meine eingegebenen Anweisungen freigeben

Ist mir persönlich allemal lieber als die Papierliste ...
______________________________________________________________________________
Rechtschreibflehr sinnd nur zu Eurer Belustigung und dürven behalten werten

imo ist das risiko einer man in the browser attacke bei statischen tans wesentlich höher als das jemand deinen (an die transaktion gebundenen) mobile tan kommt.

Dass mobiler Datenverkehr nicht nur vom ISP, sondern auch von Dritten leicht umgelenkt und mitgeschnitten werden kann ( ),...

das mag sein, dass ein "Dritter" den Tan abfängt, aber dann kann er genau DIE Überweisung unterschreiben, die du selbst unterschreiben wolltest - und keine andere.

aber dann kann er genau DIE Überweisung unterschreiben, die du selbst
unterschreiben wolltest - und keine andere.

Wie schon woanders geschrieben: der Angriff setzt wie bei entwendeten iTANs voraus, dass er Zugang zum Konto hat. Dann kann er selbst beliebige Überweisungen starten und die MobileTANs dafür abfangen und sie unterschreiben.

Sicherheit war für mich ein Grund bei der BA auf mTans umzusteigen. Die Kasperln haben damals die Verfügernummer auf den TAN Zettel gedruckt, weiß nicht ob das immer noch so ist, aber das war für mich sicherheitstechnisch ein wenig katastrophal.

Also von meinem Easybank-Girokonto hab ich Anfang April 100 Riesen per TAN über MS-Money zu einer anderen Bank überwiesen. Ich musste davor natürlich das Überweisungs-Limit im Internet-Portal raufsetzen. Dies funktioniert aber auch mittels TAN. Ich glaube, dass die Easy da auch keinen grossen Unterschied zwischen Tan UND iTAN macht.

Etwas lästig ist es, dass das Überweisungslimit nach Ablauf des gewünschten Zeitraumes für die Erhöhung nicht wieder auf den vorherigen Normalzustand zurückschaltet, sondern auf die lächerlichen 1000 Euro. Wenn man beim nächsten mal nicht daran denkt, hat man gleich wieder eine Verweigerung und einen unnütz verbrauchten TAN. Vergebührt wird das aber wenigstens nicht.

bei meinem konto bei BAWAG P.S.K. koennt's noch gehen, hab aber schon lang nichts mehr in der von dir gewuenschten groessenordnung ueberwiesen.

hi,
http://www.easybank.at
lg,
hariw

Zahlen versperren uns die Sicht aufs Wesentliche

Aktuell: Suche Beratertätigkeit für 5-stelligen Eurobetrag!

kann ebenfalls die easybank empfehlen. das überweisungslimit kann individuell festgelegt werden, überweisungen mit itan sind problemlos möglich. hab erst heute einen fünfstelligen betrag überwiesen.

MuHrLy.

Bei der BAWAG habe ich bezüglich Limit nach wie vor die freie Auswahl! Egal ob TAN, Signaturkarte oder mobileTAN, das Limit ist separat einstellbar.

100k hab ich zwar noch nicht überwiesen aber 5-stellig zuhauf.
⎝⏠⏝⏠⎠ -> Try it sometimes!

22.06.2012, 07:56 Uhr - Editiert von cwa, alte Version: hier

Bei der DKB hab ich mit den TAN Bögen auch noch nie ein Problem gehabt, wobei ich jetzt auf die schnelle aber kein Limit finden konnte.

Bawag PSK

raiffeisenbank in oö zumindest

Alternativ dazu können Sie auch unser mobileTAN Verfahren verwenden, für das
dieses Limit nicht gilt.

warum verwendest du nicht die mobileTAN's? gibts dafür einen speziellen grund?
____________________________________________________________________

Only the Dead have seen the end of the War

(Plato)

weil die angeblich so unsicher sind und jeder die sms abfangen könnte. zumindest behaupten das diverse sicherheitsexperten so

auf die straße gehen is auch unsicher, könntest ja überfahren werden

Und was machst mit der SMS? Du musst zuerst noch Zugang zum online Banking erhalten. Und dann kannst du mit dem online TAN nur innerhalb von wenigen Minuten eine bestimmte Überweisung bestätigen. Für neue oder geänderte Aktionen brauchst du erst wieder einen neuen TAN.
Da sind offline TANs gefährlicher, weil hier ein Angreifer gleich eine lange Liste an gültigen TANs erhält und der Benutzer kein Feedback erhält bis der Kontoauszug kommt.

das sehe ich genauso. nur gibt es halt leute, die das anders sehen.

diverse sicherheitsexperten so

naja eher "experten"

würd mich interessieren was bei einem temporären TAN der nur einen einzigen überweisung zugeordnet ist und nur ~5min gültig ist unsicher sein sollte?
selbst wenn mittels zugriff durch einen IMSI catcher die sms mitgelesen wird hilft einem das noch gar nix weil ich ja 1.) noch keinen zugang zum konto habe und 2.) ich eh nur die eine Überweisung zu der der mTAN generiert wurde durchführen kann
____________________________________________________________________

Only the Dead have seen the end of the War

(Plato)

selbst wenn mittels zugriff durch einen IMSI catcher die sms mitgelesen wird hilft einem das noch gar nix weil ich ja 1.) noch keinen zugang zum konto habe
und 2.) ich eh nur die eine Überweisung zu der der mTAN generiert wurde
durchführen kann

MITM - wie auch mit dem Papierbogen braucht ein Angreifer natürlich Zugang zu meinem Online-Banking-Login (per Trojaner o.ä.).

Wenn er das hat, kann er zu einem beliebigen Zeitpunkt eine andere Transaktion starten, per IMSI-Catcher den MobileTAN abfangen und die Transaktion durchführen.

Um dasselbe mit einem iTAN zu erreichen, muss er den Papierbogen schon stehlen und das ist etwas umständlicher, da er nicht weiß, wann ich ihn per Post bekomme und auch verhindern muss, dass ich vom Diebstahl erfahre (meine Bank informiert mich ja über neue TAN-Bögen bzw. manche wollen den Erhalt bestätigt haben).

etwas umständlicher, da er nicht weiß, wann ich ihn per Post bekomme

und wie meinst du weiss ein angreifer WANN du die SMS bekommst?
____________________________________________________________________

Only the Dead have seen the end of the War

(Plato)

und wie meinst du weiss ein angreifer WANN du die SMS bekommst?

Gleich nachdem er die Transaktion einträgt und unterschreiben will. Am besten dann, wenn ich eher schlafe.

Gleich nachdem er die Transaktion einträgt und unterschreiben will

dann müsste er immer in der gleichen funkzelle sein wo du auch angemeldet bist

____________________________________________________________________

Only the Dead have seen the end of the War

(Plato)

Nein, nicht immer. Nur dann, wenn er das machen will. Also stellt er sich um ca. 4 Uhr nachts neben meiner Wohnung auf die Straße und macht das. Wo liegt das Problem?

Wo liegt das Problem?

das erstmal deine IMEI+IMSI gefiltert werden muss um dein handy eindeutig zu identifizieren was in der stadt durchaus zur monatsaufgabe werden kann...

weiters könnte es ja möglich sein dass du 2 handy benutzt(firma+privat) die TANS lässt dir an dein privates schicken welches du über den tag nicht mitführst => erschwert die identifizierung deines handy per IMSO catcher da ja nur die IMSI deines firmenhandy's mitwandert
____________________________________________________________________

Only the Dead have seen the end of the War

(Plato)

das erstmal deine IMEI+IMSI gefiltert werden muss um dein handy eindeutig zu identifizieren was in der stadt durchaus zur monatsaufgabe werden kann...

Ach was, solche Angriffe wurden doch schon mehrmals demonstriert.

Edit: gut möglich, dass das auch mit einer einzigen malware-Mail oder -SMS/-MMS möglich ist, Android & Co hatten ja schon genug Schwachstellen.

weiters könnte es ja möglich sein dass du 2 handy benutzt(firma+privat) die TANS lässt dir an dein privates schicken welches du über den tag nicht
mitführst => erschwert die identifizierung deines handy per IMSO catcher da ja
nur die IMSI deines firmenhandy's mitwandert

Was alles noch sein könnte und im Normalfall nicht ist, ändert aber wenig an dieser Schwachstelle. Solange der SMS-Empfang so unsicher ist und auch von Behörden regelmäßig umgeleitet wird, ist das kein adäquater Mechanismus um einen TAN zu übertragen.

22.06.2012, 15:21 Uhr - Editiert von mjy@geizhals.at, alte Version: hier

Was alles noch sein könnte und im Normalfall nicht ist, ändert aber wenig an
dieser Schwachstelle. Solange der SMS-Empfang so unsicher ist und auch von
Behörden regelmäßig umgeleitet wird, ist das kein adäquater Mechanismus um
einen TAN zu übertragen.

Und der Briefträger ist natürlich 100% vertrauenswürdig? Genauso wie die neuen, offenen Postkastl?

Dieser Beitrag bezieht sich auf eine ältere Version des beantworteten Postings!

Und der Briefträger ist natürlich 100% vertrauenswürdig? Genauso wie die
neuen, offenen Postkastl?

Wie bereits geschrieben: wenn der TAN-Brief gar nicht ankommt oder geöffnet wurde, dann merke ich das im Normalfall. Und um den abzufangen muss man (bei mir) ca. 1 Jahr lang jeden Tag in den Briefkasten schauen, denn häufiger bekomme ich sie nicht.

das garantiert aber noch immer nicht, dass er in der gleichen funkzelle ist.

Dann probiert er es halt so lange bis es hinhaut. Ich schlafe ja in der Zwischenzeit...

ist halt die frage ob die bank dann nicht vorher was sperrt. ich meine zig mtan anfragen und keine wird dann quitiert da hat es ja was. wenn ich beim login 3 oder 5 mal das falsche pw eingebe ist ja auch gleich mal schicht im schacht.

. ich meine zig mtan anfragen und keine wird dann quitiert da hat es ja was.

Ganz normaler Fall wenn mal ein Mobilfunknetz ausfällt / überlastet ist und der User es deshalb mehrmals probiert weil er ungeduldig ist.

wenn ich beim login 3 oder 5 mal das falsche pw eingebe ist ja auch gleich mal schicht im schacht.

Falsche Eingabe und Übermittlung verzögert oder nicht erfolgreich, sind 2 paar Schuhe. Ist ja auch nicht so dass dein Konto gesperrt wird wenn du 3 Minuten lang kein Passwort eingibst.

wenn du schon opfer einer mitm attacke bist, wird er deinen statischen tan abfangen und damit eine überweisung druchführen und dir vorspielen das deine ok gegangen ist.

Vor einer MITM-Attacke bei https warnt mich http://perspectives-project.org/

Gegen einen Angriff mit einem IMSI-Catcher um ~1000 EUR kann ich nichts ausrichten, ich bemerke ihn nicht.

und wenn dein browser infiziert ist und das ganze vor dem ssl handshake abgreift.
siehe z.b. browserplugins ala tamper im firefox

wennst einen keylogger auf deiner kistn hast bist so oder so eine arme sau

kommt darauf an. wenn du den user mit autocomplete einsetzt bzw. bei einigen bankings musst du einen teil der credentials zusammenclicken kommt der keylokgger nicht weit.

das mag schon stimmen. aber was machst bei online shopping etc? das teil loggt auch kreditkartendaten etc. mit

Davor kann ich mich ebenfalls schützen.

Vor einem IMSI-Catcher nicht, der liegt außerhalb meines Einflussbereichs.

welcher schaden soll dir durch einen imsi catcher entstehen wenn du kein opfer einer midm attacke bist?

Du wirst dich wohl oder übel an modernere Mechanismen gewöhnen müssen. Papier-TANs werden immer weiter reduziert und spätestens 2014 komplett aussterben.

Raiffeisen bietet seinen Kunden cardTAN an. Vielleicht ist das ja etwas für dich.

lg
Gott

Du wirst dich wohl oder übel an modernere Mechanismen gewöhnen müssen.
Papier-TANs werden immer weiter reduziert und spätestens 2014 komplett
aussterben.

Sieht wohl so aus ... Dafür weiß jetzt mein Mobilfunkanbieter immer wann ich wieviel an welche BLZ überweise und wo ich zu dem Zeitpunkt bin. Völlig unnötiges Datenleck.

Das müßte sich mit einem anonymen Zweithandy umgehen lassen das nur für diesen Zweck verwendet wird.

Also zumindest bei der Easybank ist es so, dass innerhalb der SMS weder die BLZ noch der Betrag enthalten ist.

Es stehen darin lediglich die letzten 7 Stellen der Empfänger-Kontonummer (davor sind Sternchen) und die fünfstellige mTAN.

Edit: Die betreffende Bank wird sich der Provider aber bestimmt auch anders ermitteln können.

22.06.2012, 15:24 Uhr - Editiert von Thing, alte Version: hier

versuchs doch mal mit der bürgerkarte. auf der e-card kostenlos freischaltbar.
(k.a., ob das alle banken anbieten.)

lg

matrox

Dann such dir eine Bank die cardTAN anbietet oder frag nach ob sie das nicht schon selbst machen.

Dabei steckst du deine Bankomatkarte in einen Kartenleser mit Scanner der in Kombination mit einem Flickr am Bildschirm eine TAN generiert die nur auf diese eine Überweisung passt. Sollte derzeit ziemlich sicher sein das Verfahren.
________________________________________________________________________________

"Besiege die Angst und lebe Frei!" - Ich ´08

und wieviele dieser lösungen funktionieren fernab von windows? ich kauf mir doch keinen windows rechner, nur damit mein online banking angeblich sicherer wird.

und wieviele dieser lösungen funktionieren fernab von windows?

AFAIK hat der Generator der Raiffeisen eine optische Schnittstelle → OS-unabhängig.

Bin bei der steirischen Landesbank und da funktioniert das problemlos. Hab noch nie in meinem Leben einen mobilen TAN Code benutzt!

mfg
Andy
______________________
Meinungen sind wie Ar***löcher, jeder hat eines!
______________________

Sei froh - in Deutschland zahlt man bei den meisten Banken auch noch für die SMS (etwa bei den Stadtsparkassen 9 Cent).

Habe mein ELBA kürzlich auf CardTAN umstellen lassen, dass sollte auch für deine Ansprüche genügen!

Da bekommst einen kleinen Generator, wo du deine Bankomatkarte reinstecken musst. Im ELBA wird dann ein optischer Code (ich glaub das nennt sich FLicker in der Fachsprache) angezeigt den die Kamera einfängt und einen TAN generiert.

Das Gerät ist nicht größer als eine Bankomatkarte und funktioniert super!
OÖ und Bayern 4 ever

nunja wir alle wissen aber auch wie sicher bspw. secureid tokens sind.

Ähm, ich brauche meine Bankomatkarte - muss meinen PIN eingeben UND der Flicker muss den richtigen Code übermitteln, wie willst das bitte knacken??

Abgesehen davon, dass der "Hacker" noch die Zugangsdaten deines Online Banking benötigt...
OÖ und Bayern 4 ever

warum kann man bankomatkarten einfach duplizieren und im ausland damit abheben?

irgendwo im system gibt es immer eine schwachstelle. mag sein, dass dieses system etwas mehr sicherheit bietet, aber das es nicht knackbar wäre, davon würde ich nicht ausgehen.

warum kann man bankomatkarten einfach duplizieren und im ausland damit
abheben?

das geht gar nicht - hat die Bank gesagt

mfg
AVS

25.06.2012, 10:53 Uhr - Editiert von AVS_reloaded, alte Version: hier

Natürlich kann man immer alles irgendwie knacken, aber ich denke, dass dieses CardTAN Verfahren das derzeit sicherste am "Markt" ist.
OÖ und Bayern 4 ever

Hier im Thread wurde ja von diversen Ahnungslosen versucht, die Gefahren von Mobile-TAN kleinuzreden.

Tja, so sieht das heute aus: http://www.berlin.de/polizei/presse-fahndung/archiv/377949/index.html

"Ermittlungen in großen Wirtschaftsstrafsachen unterliegen wegen der Berichtspflichten der Ermittler zum Innen- und Justizministerium vollends dem politischen Würgegriff" -- N. Haslhofer, ehem. StA

"I'm a great believer in luck, and I find the harder I work, the more I have of it." -- Thomas Jefferson

Dass es nicht besonders schlau ist am selben Gerät, wo ma auch die Überweisung tätigt, die SMS zu empfangen, hat eigentlich niemand bestritten, oder?

Nein, es funktioniert anders: Ein Trojaner am PC checkt ob eine Online-Banking Webseite offen ist. Wenn ja, wird ein Fenster gezeigt wo steht das es ein 'Sicherheitsupdate' fürs mTAN gibt, und der Bitte Handymodell und -Nummer ein zu geben. Dann kommt ein SMS aufs Handy, mit einen Link zum 'Sicherheitsupdate'. Jetzt gibt es auch ein Trojaner am Android-Handy.
Jetzt können die Kriminellen selber Online-Banking machen, weil ankommende mTANs an sie weitergeleitet werden...

Save the Earth... it's the only planet with chocolate.
Sind Sie dämlich oder tun Sie nur so?

Nein, es funktioniert anders: Ein Trojaner am PC checkt ob eine
Online-Banking Webseite offen ist. Wenn ja, wird ein Fenster gezeigt wo steht
das es ein 'Sicherheitsupdate' fürs mTAN gibt, und der Bitte Handymodell und
-Nummer ein zu geben. Dann kommt ein SMS aufs Handy, mit einen Link zum
'Sicherheitsupdate'. Jetzt gibt es auch ein Trojaner am Android-Handy.Jetzt
können die Kriminellen selber Online-Banking machen, weil ankommende mTANs an
sie weitergeleitet werden...

Aber warum sollte das mTAN-Verfahren hier unsicherer sein? Der "klassische" Anwendungsfall wäre eben, dass der Trojaner direkt am PC zur Eingabe des nächten TANs auffordert. Warum also überhaupt den Umweg über das Handy nehmen, wenn man den TAN auch direkt vom Benutzer bekommt? Ob er diesen von einem Zettel abtippt oder vom Handy ist ja dann auch schon egal.

Aber warum sollte das mTAN-Verfahren hier unsicherer sein?

Weils sichs der Chef einbildet

Das Tan abtippen gehts sinvoll nur mit Papiertans weil da gleich ein haufen Tans eingegeben werden.
__________________________________________________________________________________

Android ...

Den roten Balken verdanke ich meiner ehrlichen
Meinung der Firma Apple gegenüber!

an apple a day keeps the robber away..

+15.08.08 Sophie Louise du wirst auf immer in meinem Herzen bleiben
Neues Glück Amelie Nadine *11.01.10 (3710g/55cm)
Konstantin Elias *05.01.2012 (3900g/53cm)

Hey, nicht falsch verstehen ... mit einem Nokia wäre das auch nicht passiert!

Den roten Balken verdanke ich meiner ehrlichen
Meinung der Firma Apple gegenüber!

mit Android wärs auch nicht passiert wenn man net ohne nach zu denken irgendwo einfach seine Daten eingibt

+15.08.08 Sophie Louise du wirst auf immer in meinem Herzen bleiben
Neues Glück Amelie Nadine *11.01.10 (3710g/55cm)
Konstantin Elias *05.01.2012 (3900g/53cm)

Das einzige, was mir komisch vorgekommen wäre, wäre das anklicken eines Links in einer SMS!
Trojaner bekomme ich nicht mit am Computer und ein "Update" wäre doch auch legitim!

Den roten Balken verdanke ich meiner ehrlichen
Meinung der Firma Apple gegenüber!

das und das sie mein Handymodell wissen wollen und die Nummer wissen wollen.

+15.08.08 Sophie Louise du wirst auf immer in meinem Herzen bleiben
Neues Glück Amelie Nadine *11.01.10 (3710g/55cm)
Konstantin Elias *05.01.2012 (3900g/53cm)

Handymodell, weil sie der richtige Version der mTAN-Sicherheitsupdate einspielen müssen...

Save the Earth... it's the only planet with chocolate.
Sind Sie dämlich oder tun Sie nur so?

SMS ist SMS da ist das Handymodell wurscht.

+15.08.08 Sophie Louise du wirst auf immer in meinem Herzen bleiben
Neues Glück Amelie Nadine *11.01.10 (3710g/55cm)
Konstantin Elias *05.01.2012 (3900g/53cm)

Der Bank braucht ja das Modell um der richtige Version vom Update zuschicken zu können!

Save the Earth... it's the only planet with chocolate.
Sind Sie dämlich oder tun Sie nur so?

Nunja, OHNE Nummer KEINE SMS!

Den roten Balken verdanke ich meiner ehrlichen
Meinung der Firma Apple gegenüber!

schon, aber die Bank hat ja die Nummer eh schon

+15.08.08 Sophie Louise du wirst auf immer in meinem Herzen bleiben
Neues Glück Amelie Nadine *11.01.10 (3710g/55cm)
Konstantin Elias *05.01.2012 (3900g/53cm)

aber wenns doch ein Update machen müssen ...

Den roten Balken verdanke ich meiner ehrlichen
Meinung der Firma Apple gegenüber!

Eine Schadsoftware die sowohl auf Mobiltelefon und Computer installiert werden muss und aktive Mithilfe des Users mit einem auffälligen Popup erfordert?

Das kann doch nicht dein Ernst sein.

Jemandem der auf so etwas reinfällt gehört so und so der Internetführerschein entzogen.

IMHO ist aber der Papier-Tan sicher.

Selbst wenn meine Tan-Liste von wem kopiert wurde, kann er nicht wirklich was damit anfangen.

Jetz hab ich schon seit etlicher Zeit den i-Tan, aber früher wurde man beim Freigeben der Überweisung aufgefordert, den Tan mit der vorgestellten Ziffernfolge z.B. 69 xxxxx einzugeben.

Wobei die vorangestellten 2 Stellen auf der Tan-Liste nicht durchnumeriert sind, sondern willkürlich gewählt sind.

Ausserdem musste man die Eingabe innerhalt von 5 oder 10 ? Minuten tätigen, da ansonsten der Vorgang abgebrochen wird.

Natürlich ist nix 100%ig, aber um da gelinkt zu werden, muss man sich schon blöd anstellen.....
__________________________________________________________________________________
Alkohol ist keine Lösung, sondern ein Destillat

Easybank.

Nur liegt dann dein Geld halt beim Cerberus

Hab auch lange nichts davon gehalten, aber die Vorteile überwiegen dann doch. Extrakosten dürfen dafür halt nicht anfallen. Tun sie bei mir auch nicht.

Dieses Forum ist eine frei zugängliche Diskussionsplattform.
Der Betreiber übernimmt keine Verantwortung für den Inhalt der Beiträge und behält sich das Recht vor, Beiträge mit rechtswidrigem oder anstößigem Inhalt zu löschen.
Datenschutzerklärung