Postbank Thread: News, Infos, Änderungen, Fragen usw.

Spannender ist die Frage, wieso offenbar keiner der Faktoren von den Details der konkreten Transaktion abhängt. Ob das PSD2-konform ist...?

Es ist an das Endgerät gebunden.
Trotzdem finde ich es unsicher.

Wenn man ein Smartphone ohne Fingerabdruckscanner besitzt oder dieser defekt ist, wird alternativ eine selbst festgelegte immergleiche PIN abgefragt.

Wenn jemand diesen PIN kennt, reicht es wohl zu, sich mal kurz Zugang zu dem Smartphone zu verschaffen...?

Also ich meine, für mich ist das derzeitige Verfahren äußerst bequem, aber für einen Dieb wahrscheinlich ebenso.

Man sollte sich überlegen, ob ein Smartphone ein geeigneter Gegenstand für ein Sicherheitsmerkmal Besitz ist. Aber wie hier ja gesagt wird, ist es für den Kunden bequem, und das zählt für viele Kunden über allem anderen. PSD2-konform bedeutet übrigens nicht zwingend sicher oder sinnvoll.

Zitat von geos

Man sollte sich überlegen, ob ein Smartphone ein geeigneter Gegenstand für ein Sicherheitsmerkmal Besitz ist. Aber wie hier ja gesagt wird, ist es für den Kunden bequem, und das zählt für viele Kunden über allem anderen. PSD2-konform bedeutet übrigens nicht zwingend sicher oder sinnvoll.

Genau darauf hat der Kunde ja keinen Einfluss. Die Bank hat hier festlegt das ein Smartphone ein Sicherheitsmerkmal ist.

Deshalb schrieb ich ja ursprünglich das ich dieses Sicherheitsverfahren für einen Witz halte.

Ändern kann dies nur die Postbank selbst.

Der Kunde braucht nicht das Smartphone als Besitzmerkmal zu verwenden; die Postbank bietet auch andere PSD2-konforme Verfahren. Und schließlich kann und sollte der Kunde die Bank danach wählen, was ihm wichtig ist; zum Glück gibt es ja Auswahl.

Zitat von geos

Der Kunde braucht nicht das Smartphone als Besitzmerkmal zu verwenden; die Postbank bietet auch andere PSD2-konforme Verfahren. Und schließlich kann und sollte der Kunde die Bank danach wählen, was ihm wichtig ist; zum Glück gibt es ja Auswahl.

Wenn man die Postbank App verwendet hat man eben nicht die Auswahl.

Das Smartphone in Verbindung mit der App ist das erste Merkmal (Besitz).
Der Fingerabdruck ist das biometrische zweite Merkmal.
Kann der Fingerabdruck nicht gelesen werden bzw. ist der "falsche" Finger am Sensor dann wird nach paar Fehlversuchen die selbst festgelegte PIN (Merkmal Wissen) abgefragt.

Also alles PSD2 konform...

Woher hast du die Information das der Kunde dies ändern kann?

Bei anderen Banken sind die Verfahren ähnlich, da ist auch das Smartphone Besitzmerkmal.

Ich habe nicht behauptet, dass der Kunde dies ändern kann; ich habe geschrieben, dass der Kunde das Verfahren auswählen kann (und natürlich die Bank).

Dann eben, wie kann der Kunde das Verfahren auswählen?

Und schreib jetzt Bitte nicht, das der Kunde die Wahl zwischen Bestsign oder ChipTan hat.

Besser wäre, man könnte wie früher (vor PSD2) gar keine Überweisung o.ä. durchführen, so lange alles auf ein und demselben Gerät stattfindet.
Man konnte sich zum Beispiel keine SMS TAN auf das Smartphone senden lassen, wenn man aus der App heraus einen Auftrag starten wollte.

Damals waren wirklich zwei getrennte Faktoren notwendig.
Jetzt hält man zwei Mal den Finger dran oder gibt die PIN ein und schon ist fertig.

doch, das meinte ich in Bezug auf die Postbank (mTAN geht aktuell auch immer noch, aber wohl nicht mehr ewig). Ansonsten kann der Kunde natürlich die Bank wählen, deren Verfahren usw. ihm zusagt.

Die mTAN geht nur noch zum aktivieren von Bestsign.
Für das freigeben von Aufträgen brauchst du Bestsign oder ChipTan, mTAN geht nicht.