Haben die Banken noch Interesse an sowas wie "Kunden" oder geht das alles an Apple?

[Jörn]

Wenn ich derzeit, im glorreichen Zeitalter der Technik, meine Kontoauszüge an meine Steuerberaterin senden möchte, verlangt meine Bank folgendes:

- Eingabe der PIN beim Aufrufen der Webseite, zur generellen Überprüfung und Freischaltung alle 90 Tage.

Dazu muss ich ein kleines Gerät an einen flackernden Barcode auf dem Monitor halten, dann eine Zahl ablesen, und diese Zahl eintippen. Danach erhalte ich Zugang zum Online-Banking.

- Eingabe einer weiteren PIN, wenn ich auf "Kontoauszug" klicke, mit der eben beschriebenen Prozedur.

- Ich wähle eins von drei Konten. Erneut muss ich eine neue PIN generieren und eingeben. Dann wird das Konto angezeigt.

- Ich wähle Zeitraum der Umsätze (letzter Monat). Bevor diese angezeigt werden, muss ich erneut eine PIN generieren und eingeben.

- Ich klicke auf "Exportieren", und muss, mahn ahnt es bereits, erneut meinen Apparat an den Monitor halten, den Flacker-Code abwarten, die PIN ablesen, eingeben und bestätigen.

Diese Prozedur muss ich dreimal durchlaufen, weil ich drei Konten habe: privat, geschäftlich und Kreditkarte, sozusagen die Mindestausstattung eines Selbständigen.

Für den ganzen Vorgang habe ich 15 Mal eine PIN generiert und eingegeben, und vielleicht erinnere ich mich auch falsch und es waren nur 10 Mal.

Vielleicht möchte mir die Bank damit mitteilen, dass ich nicht erwünscht bin und nur die digitalen Abläufe störe? Allerdings, die digitalen Abläufe bestanden in meinem Fall aus einem flackernden Code, der mich fatal an BTX erinnert, falls das noch jemand kennt.

Auf der anderen Seite: Seit bei mir endlich Apple Pay freigeschaltet wurde, habe ich nur noch so bezahlt. Es funktioniert schnell, reibungslos, nutzerfreundlich, durchschaubar, angenehm, sicher und vertrauenswürdig. Es macht sogar Spaß!

[mleis]

Hallo Jörn,

kann ich nachvollziehen, nach der Umstellung auf die PSD2-Zahlungsrichtlinie im September (leider gesetzlich vorgeschrieben), habe ich mich auch sehr geärgert, ständig TANs eingeben zu müssen. In meiner Bankingsoftware, in der alle Konten zusammenlaufen, war das tatsächlich auch bei jeder Umsatzabfrage der Fall. Mittlerweile hat sich das bei mir aus zwei Gründen wieder normalisiert.

1. Die VR-Bank hatte anscheinend ein Einsehen und fordert nun keine TANs mehr zur Umsatzabfrage, sondern nur noch bei Überweisungen und anderen Aktionen, die vorher auch schon eine TAN erfordert haben. Vermutlich muss ich dann nach Ablauf der 90 Tage wieder mal was eingeben, aber damit kann ich leben.

2. Massiv den Komfort erhöht hat bei mir die Umstellung des TAN-Verfahrens auf die SecureGo-Variante. Anstelle des umständlichen Flackerkastens, der gerne auch mal je nach Lichtverhältnissen mehrere Anläufe gebraucht hat, bekomme ich nun bei jeder benötigten TAN eine Push-Nachricht, worauf sich die SecureGo-App öffnet und ich nur mit FaceID kurz authentifiziert werde. Danach wird direkt die TAN angezeigt. Falls ich die App der VR-Bank benutzen würde, ließe sich die TAN auch mit einem Tap direkt in die andere App übertragen. Vielleicht bietet deine Bank ja mittlerweile auch ein moderneres bzw. komfortableres TAN-Verfahren an.

Es hat vielleicht nicht den Zauber von Apple Pay, aber den katastrophalen Zustand, wie du ihn beschreibst, habe ich zum Glück nicht mehr.

[smiling-mac]

Bei der ING sind Überweisungen mit der eigenen Homebanking-Software auf dem Mac/PC überhaupt nicht mehr möglich. Nur noch die Umsatzabfrage funktioniert. Ansonsten muss man auf die Webseite gehen. Zum "Ausgleich" werden aber ab Mai Kontoführungsgebühren eingeführt. Man fragt sich wirklich, ob die Banken sich mit den Telekommunikationsunternehmen darum streiten wollen, wer den schlechtesten Kundenservice hinbekommt...

[woreich]

Als "schon immer"-Sparkassenkunde will ich mich nicht so sehr beschweren.
Erstens gibt es immer noch viele Filialen und Automaten in den Stadtteilen, es gibt die Hauptstelle hier. Ich habe einen persönlichen Ansprechpartner, der mich bei Projektgeschäften unterstützt und flexibel reagieren kann. Obendrein kann man bei Problemen mit der Bankingsoftware einen kompetenten Mitarbeiter erreichen und für Geschäftskunden kommt dieser auch in den Laden Und richtet die Bankingsoftware z.B. ein.

Leider bricht den Filialbanken durch die Nullzinspolitik eine Einnahmequelle weg und zwangsläufig werden die Kontoführungs- und Dienstleistungskosten für die Kunden teurer.

Gut, weiche ich also auf was Modernes aus. N26 z.B. Da kosten weder Privat- noch Geschäftskonto Gebühren, ich kann Bargeld einzahlen und am Automaten (der Sparkasse!) oder im Geschäft abheben. Es gibt Kreditkarten, eine App und ein Webinterface. Frage ich mich: Wie wird das finanziert? Durch mich direkt wohl nicht. Durch Provisionen seitens der Kreditkartengesellschaft? Durch meine Daten?

Der Gesichtspunkt der Bedienerfreundlichkeit kollidiert aber immer mit Sicherheitsgesichtspunkten. Spätestens seit Einführung von 2-Faktor-Lösungen mit Rückkanal wird das eher noch schwieriger und man wird zunehmend abhängig von zusätzlichen Gerätschaften wie Chipkarten, PIN-Generatoren, bis hin zum PC selbst und womöglich iPhone und iWatch. Alles Super und funktioniert. Selbst ich habe mir das Zahlen mit iPhone/Watch schon angewöhnt. Der Zeitgewinn liegt aber nur im Sekundenbereich und das Prüfen meiner Kontoauszüge oder der Zahlungshistorie bleibt trotzdem und die Kassenzettel sind mittlerweile meterlang.

Geschäftszahlungen wickelt man ja eher über eine lokale Bankingsoftware ab und nicht etwa via Webinterface. Bei mehreren Überweisungen am Stück wird dann nur eine PIN/TAN benötigt und es klappt entsprechend schneller.

Und ja - den "Apparat" muss man immer hinhalten oder wie bei N26 eben das Smartphone samt App zur Bestätigung einsetzen. Daran wird sich auch nicht so schnell was ändern. Eher kommt die 12-Faktor-Auth .

[QWallyTy]

Moin,

die ersten Tage nach der PSD2 Umstellung waren auch hier (Money Money mit comdirect) etwas frickelig.

Mitlerweile hat die comdirect da aber auch die 90 Tage Regel eingeführt und ich brauche nur TANs für Überweisungen, automatischer Download der pdf Kontoauszüge, …

Comdirect nutzt schon recht lange PhotoTAN womit auch ich Blindfisch recht gut klar komme. Wird eine TAN benötigt wird ein QR Code angezeigt den ich mit der QR App "fotografieren" muss. Das funktioniert mit der Kombi 4k Monitor und iPhone 11 erstaunlich gut wenn man den QR Code / macOS ein bisserl zoomt.

[Slonterius]

Ahoi,

ich bin bei der Norisbank. Dort scheint es relativ unproblematisch zu sein. Beim 1. Mal einloggen seit der Umstellung, konnte ich auswählen, ob ich diesem Computer (iMac) vertrauen möchte. Seit dem muss ich zum Einloggen keine Tan mehr eingeben. Ich kann mir vom Girokonto die Umsätze laden, bis sich die Balken biegen, alles kein Problem.

Einzig, wenn ich die Kreditkartenumsätze sehen möchte, fragt er mich nach einer TAN. Habe das aber inzwischen auf Push-Tan oder so ähnlich umgestellt. Damit braucht man in der App auf dem iPhone nur kurz sein OK geben und schon bin ich drinnen, ohne TAN Eingabe.
Bei Überweisungen muß ich natürlich eine TAN eingeben. Das geht per Photo-Tan recht schnell über das iPhone. Müsste mal gucken, ob man das nicht auch auf Push umstellen kann.

Wenn ich eine Überweisung auf dem iPhone oder iPad direkt vornehme, geht das noch schneller, da die Banking-App sich die TAN automatisch aus der Tan-APP zieht und eine Eingabe meinerseits nicht von Nöten ist.

[woreich]

Uups. Dann hast Du also den TAN-Generator und die Banking App auf einem iPhone. Das ist dann aber wohl keine 2-Faktor-Auth mehr. So was ähnliches haben die Sparkassen ja auch gemacht. Bleibt im Zweifelsfall nur die Face-ID o.ä. zur Authentifizierung.

[QWallyTy]

Übrigens ist grad ein MoneyMoney Update rausgefallen das das Entsperren mit Touch ID oder Watch ermöglicht.

[mleis]

Uups. Dann hast Du also den TAN-Generator und die Banking App auf einem iPhone. Das ist dann aber wohl keine 2-Faktor-Auth mehr.

Nach den neuen Bestimmungen zählt das trotzdem als "Starke Kundenauthentifizierung". Hier mal ein Auszug aus einem Artikel des Bankenverbandes:

Was ist eine starke Kundenauthentifizierung?
Ab dem 14. September 2019 gilt die gesetzliche Pflicht zur starken Kundenauthentifizierung. Bankkunden müssen dann grundsätzlich jede Online-Überweisung oder Karten-Zahlung mit einer solchen starken Kundenauthentifizierung freigeben. Darunter versteht man eine Authentifizierung bei der mindestens zwei sogenannte „Faktoren“ zum Einsatz kommen. Grundsätzlich gibt es drei mögliche Faktoren:

den Faktor „Sein“ (biometrische Merkmale wie zum Beispiel der Fingerabdruck),
den Faktor „Wissen“ (zum Beispiel eine PIN),
den Faktor „Besitz“ (zum Beispiel ein Smartphone).
Darüber hinaus wird die Transaktionsbindung bei Zahlungsauslösungen verpflichtend. Das heißt, dass eine generierte „TAN“ jeweils nur für die ausgelöste Transaktion nutzbar ist. Statische Verfahren wie die iTAN-Liste, bei der die TAN schon vorher bekannt ist und nicht speziell für die Zahlung generiert wird, sind dann für die Freigabe von Zahlungen nicht mehr zulässig.

Doch nicht nur bei Zahlungen, auch für das Log-in in das Onlinebanking werden in Zukunft grundsätzlich zwei Faktoren erforderlich sein.

Auch wenn die TAN-App auf dem gleichen Gerät installiert ist (das wird ja normalerweise aufwändig freigeschaltet mit Codes, die per Post verschickt werden), sind immer noch 2 aus den 3 Faktoren gegeben. Der Besitzfaktor (es wird mit deinem Gerät durchgeführt) und entweder der Wissensfaktor (du hast eine PIN oder ein Passwort) oder der Seinsfaktor (wenn das ganze z.B. mit FaceID entsprerrt wird). Man kann sicher streiten, ob das sicherer oder unsicherer ist, als die Kombination aus Anmeldedaten und Bankkarte über Generator (was dann auch Wissen und Besitz wäre).

Ob sowas heutzutage leichter hackbar ist, wenn es auf einem Gerät läuft, kann ich nicht beurteilen. Das System der Sparkasse war ja vor ein paar Jahren beim CCC ziemlich unter die Räder gekommen, auch wenn es da dann schnell einen Fix gab (trotzdem immer noch sehr sehenswertes Video). Irgendwie muss man bei sowas ja immer irgendwelchen Leuten vertrauen, dass sie schlau genug sind und sich da entsprechend Gedanken gemacht haben. Das ist bei der Secure Enclave ja am Ende auch so. Selbst Geldautomaten sind ja schon manipuliert worden.

[Slonterius]

Bleibt im Zweifelsfall nur die Face-ID o.ä. zur Authentifizierung.

Das muß ich ja eh benutzen, um mich in die Banking-App einzuloggen.

Ich denke, die Authentifizierung mit dem iPhone per Fingerabdruck bzw., wie bei mir, per Face-ID wird als sehr sicher eingestuft. Da vertraue ich Apple auch voll und ganz. Die Banken vertrauen dem System letztendlich ja auch. Ich habe letztens 479 Euro per Apple Pay bezahlt und musste keine PIN eingeben. Wenn ich mal so überlege musste ich noch nie eine eingeben. Finde ich irgendwie auch logisch, FaceID oder einen Fingerabdruck halte ich für deutlich sicherer als eine 4-Stellige Zahl als PIN, die die nette Oma von nebenan womöglich auch noch auf die Rückseite der Karte geklebt hat.