Online-Banking (ING) - Auto Logout verhindern?

[revx]

Hallo zusammen,

ich bin zur ING mit meinem Banking umgestiegen.
Webseite und App sind ja sogar Mal recht modern.

Was mich jedoch aufregt, ist der automatische Logout nach 5 Minuten Inaktivität.
Gerade wenn ich z.B. bzgl. ETF recherchiere, etc. darf ich mich andauernd wieder neu anmelden.

Kann man das irgendwie umgehen?

 

[azereus]

das ist ein sicherheitsmerkmal deiner bank
meine hat 15minuten

und es ist gut so. ja es nervt ab und an hat aber aus sicht der bank und des sicherheitsgedanken mehr positives als negatives (meine menung)

 

[madmax2010]

Bitte keine Sicherheitsfeatures aushebeln.

 

[Gamer20]

man muß ja nur die seite aller 5 minuten mal neu laden "F5". daher evtl. ein plugin verwenden, für einen auto refresh?

https://chrome.google.com/webstore/detail/easy-auto-refresh/aabcgdmkeabbnleenpncegpcngjpnjkc?hl=de

 

[ntloader]

Nervt mich auch ungemein bei der ING. Ich habe aber zumindest keine Einstellung gefunden, das höher einzustellen.

 

[revx]

Was heißt Sicherheitsmerkmal der Bank. Dazu wurden die Banken auch nur von Politikern genötigt, welche irgendwelche neuen Richtlinien als Arbeitsbeschaffungsmaßnahme beschließen. Genauso wie der ganze Cookie-Consent-Schwachsinn.

Ich beende die Session wenn ich fertig bin, brauche kein Auto-Logout.

 

[Rickmer]

Ich beende die Session wenn ich fertig bin, brauche kein Auto-Logout.

Das sagt jeder bis er mal von irgendwas plötzlichem abgelenkt wird und dann steht der PC da mit eingeloggtem Banking und das möglicherweise auf Stunden.

Ein Depp der glaubt, da passiert schon nichts.

 

[x.treme]

ING macht es einem Dank dem Refresh-Button zum Glück einfach.
Einfach ein Tapermonkey-Script erstellen, das alle 2-3 Minuten ein Click-Event ausführt.
Nur eine Zeile Code.

Und für den DAU-Schutz werde ich hier nicht das Script posten

Finde den Auto-Logout auch absolut unnötig, der Grund warum ich fast nur noch via Mobile Banking mache (via Fingerprint entsperren Dauert dort halt nur eine Sekunde).

Jegliche Überweisung/Änderung muss ja eh nochmal freigeschaltet werden, und auf meinem PC zu Hause arbeite nur ich, niemand anders hat physischen Zugriff.

15 Minuten wäre ein großer Gewinn für die Usability. Letztens wollte ich einen Antrag via Online-Formular schreiben, und wurde einfach ausgeloggt, bevor ich es absenden konnte. Nach dem Login war natürlich alles weg

 

[ghostwriter2]

Ich beende die Session wenn ich fertig bin, brauche kein Auto-Logout.

Du vielleicht. Ich auch. Und 30 Mio deppen in D nicht. 30 Mio Leute die irgendwelche Probleme bekommen könnten (und ich will jetzt nicht diskutieren, was man außer einer Überweisung noch alles beim Onlinebanking machen kann ^^ )
Wenn ich (früher, vor langer Zeit) mal bei Weiterbildungen am PC war, konnte ich mich in k.a. 20-30 Fbook, Emüll usw. Accounts einloggen da alles gespeichert war. Viele User sind entweder überfordert oder sehen/kennen die Gefahren nicht.

Ich meine, du brauchst ja beim Autofahren auch keinen Sicherheitsgurt, Airbag, ABS/ESP usw. da du ja "Sicher" fährst? Vielleicht verstehst du jetzt was ich meine.

 

[revx]

Dann sollen sie mich halt nicht entmündigen, und eine bewusste Entscheidung treffen lassen.

Problem für mich: Trading via ING ist bei 5 Minuten absolut unbrauchbar.
Das lustige ist ja, das reine Broker von der Regelung ausgeschlossen sind, da sie kein aktiven Zahlungsverkehr haben.

Ist Depot-Handel nun weniger Sicherheitsrelevant als ein Girokonto? Da sieht man wieder die Absurdität solcher EU-Richtlinien.

Klar, ist super für Tech-Startups wie Trade Republic oder Vivid, die mit ihrer Mobile-First-Strategie hier nicht betroffen sind.

Und mir kann keiner erzählen, das Entsperren Smartphone + Entsperren App + Bestätigung Überweisung mit einem simplen Fingerprint auf dem selben Gerät hier sicherer ist. Das Gerät, das übersät ist mit meinen Fingerprints.

Am Ende werden die Nutzer vom sichereren Online-Banking am PC mit getrennter 2-FA-Lösung auf Mobile-Lösung getrieben, mit zweifelhafter Transaktionsabsicherung. Toll gemacht EU

 

[SpamBot]

Du vielleicht. Ich auch. Und 30 Mio deppen in D nicht. 30 Mio Leute die irgendwelche Probleme bekommen

Ob diese ständigen Passwort abfragen aber Sicherheit bringen? Ich Wette vielen kann man so auch einfach eine fishing Seite unterschieben, man ist so im Passwort Eingabe Automatismus....

In öffentlichen Umgebungen sollte man das online Banking vielleicht auch einfach lasen.

 

[conf_t]

g. Toll gemacht EU

Dann schreib doch mal was genau die EU Richtlinie besagt. Denn Richtlinien werden erst durch nationale Gesetze umgesetzt und zwar nicht 1:1 sondern jedes Land nach seinem Gusto. Nur im Groben gibt die EU was vor. Und die 5 Minuten sind auch in keinem Gesetz beschlossen. Es ist Sache der Bank ob 5 oder 10 oder 15 Minuten. Wenn es dich nervt Wechsel halt.

 

[madmax2010]

Dann sollen sie mich halt nicht entmündigen, und eine bewusste Entscheidung treffen lassen.

Das ist bestimmt machbar, wenn du das Risiko und die Haftung vollstaendig uebernimmst. Wenn du das tust, kannst du aber auch damit rechnen nirgendwo mehr ein Konto eroeffnen zu koennen und Einen kredit bekommst du in der Zukunft auch nicht mehr.
Falls du das der ING anbieten moechtest kann ich dir da gern Mustervertraege zukommen lassen. Wenn kunden mich beauftragen, was massiv gegen security best practices erstößt lasse ich sie immer eine Risikoübernahme unterschreiben

 

[revx]

Und die 5 Minuten sind auch in keinem Gesetz beschlossen. Es ist Sache der Bank ob 5 oder 10 oder 15 Minuten. Wenn es dich nervt Wechsel halt.

https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=celex:32018R0389
COMMISSION DELEGATED REGULATION (EU) 2018/389

"the maximum time without activity by the payer after being authenticated for accessing its payment account online shall not exceed 5 minutes."

Steht genau so in der Richtlinie.

 

[conf_t]

shall not exceed 5

Und es heißt „shall“? Ah, „soll“. EU Richtlinine sind Handlunsempfehlungen und keine Handlungsanweisung. Die nationalen Gesetze müssen dieser nicht zu 100% folgen. Dennoch hat keine meiner Banken diese 5 Minuten umgesetzt. Die eine hat 8, die andere 10.

 

[revx]

https://eur-lex.europa.eu/legal-content/DE/TXT/PDF/?uri=CELEX:32018R0389&from=EN

Interpretationsfehler, hier die offizielle deutsche Übersetzung:
"Die maximale Zeitspanne ohne Aktivität, nachdem der Zahler für den Online-Zugriff auf sein Zahlungskonto authentifiziert wurde, darf nicht mehr als fünf Minuten betragen."

Die meisten Banken, welche längere Zeiten ermöglichen (e.g. Comdirect),können dies nur, indem sie nachdem erstmaligen Login nur limitierten Zugriff auf die Funktionen geben (e.g. nur Umsätze der letzten 90 Tage).

Die meisten Bank halten sich an die 5 Minuten aufgrund von Haftungsrisiken.

 

[madmax2010]

Streitet ihr gerade wirklich darueber, ob es sinnvoll ist, dass sinnvolle Sicherheitspraktiken in einer EU Richtlinie stehen. Und ja. @conf_t hat da recht

Wenn eine Website bei der registrierung sagt, dass man mehr buchstaben odeer Sonderzeichen nutyen soll, oder die Polizei sagt, dass man im Supermarkt bitte eine Hose anziehen soll ist das doch auch irgenwie OK

 

[revx]

Ist doch eine valide Frage? Die 5 Minuten in der Richtlinie führt zu Risiken für Banken im Falle eines Rechtsstreites, deswegen legen die meisten es strikt aus - obwohl es die User Experience zerstört.

Egal, ich habe nun mein Script auch hinbekommen
Genauso wie ein Chrome-Plugin, was automatisiert alle Cookie-Banner akzeptiert (um danach das Tracking via uBlock trotzdem zu unterbinden ^^)

 

[madmax2010]

Schau nur, dass die bank in ihren logs nicht mitbekommt, dass du die Seite automatisch refreshst. Sobald du mit sowas anfaengst sehen die das schon in ihren logs und wenn dann mal geld weg kommt haben sie einen Super Aufhaenger nicht haften zu muessen

 

[revx]

Ist ja kein Seiten-Reload (wäre ja auch dämlich, dann gehen ja die Infos auf der aktuellen Seite ggf. verloren) sondern nur ein Click-Event. Könnte noch ein Randomizer im Script hinzufügen, dass nicht exakt alle 3 Minuten der Refresh-Button geklickt wird, sondern der Click-Parameter variiert wird.

Wobei, vlt. mache ich einfach ein Opt-Out zum Tracking, damit sie es nicht loggen dürfen