Ich kapiere nicht, wie Online-Banking funktioniert

[so_la_la]

Hallo,
um es gleich zu sagen: ich bin nicht zu blöd es zu bedienen. Aber ich verstehe nicht, auf welche Weise der von mir bei MM gekaufte TAN-Generator TANs generieren kann, die dann von der Bank-Homepage als 'richtig' oder 'falsch' erkannt werden. Außerdem verstehe ich nicht, wofür die Eingabe des Beitrags im TAN-Generator erforderlich ist, denn dieser ist ja mangels Schnittstelle an nichts angeschlossen und die eingesteckte EC-Karte geht nicht ins Netz.
Wer kann das denn erklären?

 

[Tiu]

Link

 

[AlanK]

An meiner Bank gibt es dazu einen Crashkurs, der richtet sich zwar primär an Senioren, aber vielleicht solltest du bei einer örtlichen Bank vorbei schauen.
Somit gehe ich davon aus, dass sowas ähnliches auch jede "bessere" Bank anbieten wird.

Wenn du kein Digital Native / kein Digital Nomade bist, oder zumindest technisch affin, ist eine Bank ohne örtliche Ansprechpartner nicht die Richtige für dich.

 

[FSKCypher]

Ohne es sicher zu wissen aber aus den von dir genannten Punkten kann ich mir folgendes vorstellen.

Tan wird aus folgenden Komponenten ermittelt:

1. Kontonummer/Name des Inhabers/ Betrag + ein cleverer Algorithmus,

Bank hat diese Infos und weiß somit wie die Tan auszusehen hat.
Deinem Tan generator gibst du mit dem einschieben der Karte alle relevanten Daten + den Betrag den du eingibst. Et voila korrekte Tan.

 

[Sgt.Seg]

Die berechnen einen Hash aus deinen Eingaben und deine Kartendaten.

Bzw. kommt auf deinen TAN Generator an:
https://praxistipps.chip.de/so-funktioniert-ein-tan-generator-einfach-erklaert_99957

 

[majusss]

Er hat nen Telefon mit CM und nen Pi, also ich glaube hier geht es nur um die technischen Aspekte, aber wie gesagt, kann ja einfach gegoogelt werden TL: DR: Der Generator ist ein Keygen, der mit Hilfe deine EC überall gültige Schlüssel generiert.

 

[Nilson]

Was für ein TAN Generator hast du denn genau gekauft?
Da gibt es verschiedene Verfahren. Z.B wie von @FSKCypher beschrieben eine Berechnung über Daten die dir und der bank bekannt sind. Es gibt auch welche, die die Daten optisch über den Monitor übertragen etc.

 

[Jasmin83]

ich achte bei der auswahl der bank schon inzwischen sehr darauf welches TAN verfahren anwendung findet. bin jetzt bei der commerzbank gelandet und halte das photo-tan verfahren (auch qr-tan genannt) für ziemlich sicher, weil mehrere faktoren erfüllt sein müssen..

 

[neofelis]

... Der Generator ist ein Keygen, der mit Hilfe deiner EC überall gültige Schlüssel generiert.

Wenn ich ergänzen darf.
Nur durch die Kontrolle von Überweisungssumme bzw. IBAN am TAN-Generator, ist wirklich sichergestellt, dass die generierte TAN auch die Überweisung startet, die man möchte.
Dass manche Banken bei ihren Verfahren zur EINGABE und nicht nur zur Kenntnisnahme der Überweisungssumme auffordern, liegt darin begründet, dass man den Kunden zur Kenntnisnahme zwingen will. Er soll sich nicht einfach nur durchdrücken bis zur TAN-Anzeige am Generator.
Denn: es ist durchaus noch im Bereich des Möglichen, dass die generierte TAN zu einer anderen Summe bzw. IBAN passt. Dann wird die Überweisung natürlich trotzdem ausgeführt, obwohl der Betrug am (quasi nicht kompromittierbaren) TAN-Generator eigentlich aufgeflogen wäre.

... bin jetzt bei der commerzbank gelandet ...

Mein Beileid. Ich frage mich, wann die endlich wieder die bei JEDEM Login notwendige TAN-Authenifizierung abschalten. Aller 90 Tage reicht ja anderen Banken auch zum nur-mal-gucken.
Oder gibts da einen Workaround von dem ich nix weiß?

 

[0-8-15 User]

Außerdem verstehe ich nicht, wofür die Eingabe des Beitrags im TAN-Generator erforderlich ist

Als Schutz vor Banking Trojanern, die sonst einfach im Hintergrund deine Überweisungsdaten (Empfänger und Betrag) manipulieren könnten.

 

[inge70]

wieso kauft man einen tan-generator bei MM? die erhält man doch von deiner Bank gegen ein geringes Entgeld. zudem muss der Generator bei der Bank für das Konto frei geschaltet sein, sonst wird das nix. der tan-generator geht nicht online. er ermittelt die tan aus den vorgegebenen Daten und der ec-karte. es wäre mal wissenswertes was das für ein Generator genau ist. zudem muss man sich bei der Bank erkundigen welche TAN-Verfahren dort unterstützt werden BEVOR man dich einfach was kauft.

 

[Schaby]

Naja, Tan-Generator ist eigentlich falsch, den die Tan wird von der Software der Bank generiert und verschlüsselt. Das Gerät liest einfach den Schlüssel aus.

Das Sichere daran ist, dass diese Nummer nur einmal generiert wird und nur ein paar Minuten Gültigkeit hat.

 

[FSKCypher]

Mein Beileid. Ich frage mich, wann die endlich wieder die bei JEDEM Login notwendige TAN-Authenifizierung abschalten. Aller 90 Tage reicht ja anderen Banken auch zum nur-mal-gucken.
Oder gibts da einen Workaround von dem ich nix weiß?

Den einen nervt es, der andere fühlt sich und sein Geld etwas sicherer damit

 

[no_clue]

Und zur allgemeinen Erheiterung, wie uns das mit den 90-Tage-Tans eingebrockt worden ist....

https://media.ccc.de/v/36c3-10717-was_hat_die_psd2_je_fur_uns_getan

 

[krong]

Mein Beileid. Ich frage mich, wann die endlich wieder die bei JEDEM Login notwendige TAN-Authenifizierung abschalten. Aller 90 Tage reicht ja anderen Banken auch zum nur-mal-gucken.
Oder gibts da einen Workaround von dem ich nix weiß?

Mein Workaround ist es, Kontobewegungen mit dem Smartphone zu checken.
Würde ich mehrere Überweisungen pro Monat am PC tätigen müssen, würde mich das ständige authentifizeren via phototan aber auch extrem stören...

 

[Jasmin83]

Mein Beileid. Ich frage mich, wann die endlich wieder die bei JEDEM Login notwendige TAN-Authenifizierung abschalten. Aller 90 Tage reicht ja anderen Banken auch zum nur-mal-gucken.
Oder gibts da einen Workaround von dem ich nix weiß?

ja mobile banking, da wird nur die faceid gescannt. das ist mein workaround. mich hats anfangs auch echt genervt, aber inzwischen sehe ich es als notwendige sicherheitsfunktion.. hinterher ist sonst wieder das geschrei groß, wenn etwas passiert..
Ich bin mir nur noch nicht ganz sicher, ob ich die push funktion von photo-tan nutzen soll oder nicht, denn damit wird es eigentlich wieder zur schlechteren push-tan, eigentlich.. naja, mit faceid fühle ich mich noch recht gut abgesichert. ansonsten fühle ich mich gut aufgehoben bei der commerzbank. bei der ING muss man sich schließlich auch, wenn man pc banking benutzt per ing app identifizieren. grundsätzlich finde ich 2-faktor/mehrfaktor authentifizierung gut, auch wenn ich es in einigen bereichen noch zu wenig nutze

 

[krong]

Ich finde eine 2-Faktor Authentifizierung dort gut, wo sie auch Sinn macht. Bei Google, FB und co kommt die 2FA immer dann ins Spiel, wenn man sich auf einem neuen Gerät/Browser, aus dem Ausland o.ä. anmeldet. Das finde ich zielgerichtet und gut.
Im Onlinebanking der Commerzbank ist man imo etwas übers Ziel hinausgeschossen.
Ein finanzieller Schaden konnte vorher ohne 2FA auch nicht passieren, da jede Überweisung ohnehin nochmal per Phototan freigegeben werden muss.
Entsprechend ist die reine Lesenansicht der Kontostände nun unnötigerweise stark abgesichert...

 

[so_la_la]

Ohne es sicher zu wissen aber aus den von dir genannten Punkten kann ich mir folgendes vorstellen.
Tan wird aus folgenden Komponenten ermittelt:
1. Kontonummer/Name des Inhabers/ Betrag + ein cleverer Algorithmus,
Bank hat diese Infos und weiß somit wie die Tan auszusehen hat.
Deinem Tan generator gibst du mit dem einschieben der Karte alle relevanten Daten + den Betrag den du eingibst. Et voila korrekte Tan.

Es klingt plausibel, dass die Bank eine Liste möglicher TANs besitzt ,die dann mit der generierten abgeglichen werden. Um zu erklären, warum so etwas wie die IBAN des Empfängers oder der Betrag angegeben werden müssen, könnte man dann annehmen, dass diese Liste etwas komplexer ist und für bestimmte Fälle nur bestimmte TANs zulässt. Aber trotzdem muss doch irgendetwas vorher im TAN-Generator vorhanden sein?

Die berechnen einen Hash aus deinen Eingaben und deine Kartendaten.

Den Wiki-Artikel zu Hashtabelle habe ich nicht rihctig verstanden.

Was für ein TAN Generator hast du denn genau gekauft?

Einen Tanjack optic CX für 12,99.

Ergänzung (8. Januar 2020)

ja mobile banking, da wird nur die faceid gescannt. das ist mein workaround. mich hats anfangs auch echt genervt, aber inzwischen sehe ich es als notwendige sicherheitsfunktion.. hinterher ist sonst wieder das geschrei groß, wenn etwas passiert..

Im Onlinebanking der Commerzbank ist man imo etwas übers Ziel hinausgeschossen.
Ein finanzieller Schaden konnte vorher ohne 2FA auch nicht passieren, da jede Überweisung ohnehin nochmal per Phototan freigegeben werden muss.
Entsprechend ist die reine Lesenansicht der Kontostände nun unnötigerweise stark abgesichert...

Ich bin bei der DKB und verstehe nicht, warum ich mich am PC mit Nutzername + Kennwort + frisch erzeugter TAN anmelden muss, nur um meinen Kontostand überhaupt zu sehen.
Mobile Banking per Smartphone traue ich mich nicht, weil es ohne Google-Dienste ein ewiges Gefrickel werden dürfte.
Überdies bin ich ein großer Befürworter von analogem Bezahlen, weil es schön anonym ist - im Ggs. zum Telefon oder zum Smartphone.
Ein bisschen o.t.

 

[FSKCypher]

Da ist nix "hinterlegt" oder verbunden.

Aus den Daten berechnet dein Tan Generator eine Zahl. Deine Bank benutzt die gleichen Daten und den selben Algorithmus, erzeugt also die gleiche Tan. Die Bank geht davon aus, dass nur du als Besitzer in der Lage bist alle Daten notwendigen Daten in den Generator einzugeben (Karte, Betrag etc) und schlussfolgert aus der Übereinstimmung beider Zahlen das du Überweisung genehmigt/verifieziert ist.

 

[so_la_la]

Aus den Daten berechnet dein Tan Generator eine Zahl. Deine Bank benutzt die gleichen Daten und den selben Algorithmus, erzeugt also die gleiche Tan. Die Bank geht davon aus, dass nur du als Besitzer in der Lage bist alle Daten notwendigen Daten in den Generator einzugeben (Karte, Betrag etc) und schlussfolgert aus der Übereinstimmung beider Zahlen das du Überweisung genehmigt/verifieziert ist.

Hm, aber dann muss doch zumindest der Algorithmus auf dem TAN-Generator gespeichert sein? Ich meine das so, dass die jeweiligen Algorithmen als Abfolge von Berechnungsschritten dieselben Voraussetzungen einbeziehen müssen, um zu denselben Ergebnissen zu kommen. Es muss also ein Austausch auf Software-Ebene zwischen den Banken und ReinerSCT, die meinen Generator gemacht haben, stattgefunden haben.