Sicherheit Banking App Trade Republic (4-stellige-Pin)

[Computerlein47]

Hallo,

ich nutze neben diversen anderen Banking Apps auch Trade Republic.
Das Angebot von TR gefällt mir gut, nicht so sehr gefällt mir aber die "gefühlte" Sicherheit bei dieser App.

Mein Smartphone ist mittels Fingerabdruck gesichert, zusätzlich verlangt TR beim Einloggen entweder nochmals den Fingerabdruck (Biometrie-Einstellung) oder eben einen PIN. Und Letzeres gefällt mir nicht.

Denn es wird hier nur ein 4-stelliger Pin (!) verlangt. Bei einem Brute-Force-Angriff bietet eine 4-stellige Pin ja gar keine Sicherheit, wäre in Millisekunden geknackt.
Nun ist so ein Angriff natürlich nicht möglich, weil bei mehrfacher Falscheingabe entsprechende Wartezeiten festgesetzt werden.
Aber angenommen das ließe sich irgendwie aushebeln...

Andere Anbieter nutzen zumindest ein Passwort (meist auch länger als 4 Stellen) aus einer Kombination von Buchstaben und Zahlen als alternativen Login zur Biometrie.

Wie findet ihr die Absicherung mittels 4-stelliger Pin im Jahr 2025?

 

[seyfhor]

HAt man da GAR KEIN Passwort? Oder mußt Du erstmal die App am Handy einrichten mit Passwort und hast dann für den späteren Gebrauch nur noch die Pin? Das wär ja okay.

 

[frazzlerunning]

Ausreichend, da ja nur zweiter Faktor.

 

[TheGhost31.08]

Für den "Brute-Force-Angriff" müsste der Angreifer schon dein Handy in der Hand halten. Zum Anmelden am Rechner brauchst du zusätzlich einen Bestätigungscode der auf die App gesendet wird.

 

[CoMo]

Aber angenommen das ließe sich irgendwie aushebeln...

Und was verleitet dich zu der Annahme, du könntest das serverseitige Rate Limiting mit deinem Client aushebeln?

 

[40l0so]

Naja, also zu erst musst man die richtige Rufnummer eingeben. Dann den korrekten Pin und dann noch den 2FA den die TR App übergibt.
Also "nur" der 4 stellige Pin ist es nicht

 

[Computerlein47]

Wo ist denn der 2. Faktor, wenn ich nur die App auf dem Smartphone nutze?

Sagen wir mal, ich verliere mein Handy und habe dummerweise keine Displaysperre gesetzt. Nun bin ich noch leichtsinnig und habe als PIN mein Geburtsdatum hinterlegt (mache ich natürlich nicht) und schon kann sich der Finder schön die Beträge überweisen? So einfach darf das doch nicht gehen, auch wenn der Nutzer ein totaler Vollhorst ist.

Dadurch, dass man TR auch als Girokonto nutzen kann, sind Überweisungen auf alle möglichen Konten möglich.

 

[frazzlerunning]

Wo ist denn der 2. Faktor, wenn ich nur die App auf dem Smartphone nutze?

Wie bei der debit-Karte ist das Smartphone (bzw. die verifizierte App darauf) der erste Faktor.

 

[SaxnPaule]

Erstmal musst du die Smartphone Sperre aushebeln. Danach erst die App Pin.

Wird für jede Transaktion auch nur eine 4 stellige Pin benötigt?

Die ING-Diba App hat auch nur eine 5 stellige Pin, oder Fingerprint.

 

[frazzlerunning]

Sagen wir mal, ich verliere mein Handy und habe dummerweise keine Displaysperre gesetzt.

Dann ist das fahrlässig.

Sicherheit oder Komfort. Beides zugleich ist halt... schwierig.

 

[Precide]

So einfach darf das doch nicht gehen, auch wenn der Nutzer ein totaler Vollhorst ist.

So ist es aber und das macht auch nicht nur Trade Republic so. ING genau das gleiche (wobei es dort ein 5-stelliger PIN ist) und die Consorsbank führt jetzt gerade auch App-Wechsel durch, wo deren separate 2FA-App mit der Banking-App verschmolzen werden und dadurch beides mit einem PIN geöffnet werden kann.
Finde ich das toll? Nein. Ist es mir egal? Ja, denn ich habe all meine Banking-Apps mittlerweile auf mein Couch-Ipad ausgelagert.

 

[Computerlein47]

Nein, bei der Transaktion selbst verlangt das Smartphone Biometrie. Hier lässt sich der Pin nicht als alternative auswählen.

Aber warum dann beim Login?

 

[Kristatos]

Normalerweise wird doch bei den Banken nach 3 falschen PIN Eingaben gesperrt, da bringt Brute-Force wenig, außer vielleicht man nimmt Zahlen wie 1234

 

[CoMo]

Sagen wir mal, ich verliere mein Handy und habe dummerweise keine Displaysperre gesetzt.

Sagen wir mal, ich verlasse mein Haus und lasse die Tür offen stehen.

Nun bin ich noch leichtsinnig und habe als PIN mein Geburtsdatum hinterlegt

Nun bin ich noch leichtsinnig und habe auf Facebook geschrieben, dass ich jetzt eine Woche in den Urlaub fahre.

und schon kann sich der Finder schön die Beträge überweisen

Und schon kann jeder in mein Haus reinspazieren und sich bedienen.

So einfach darf das doch nicht gehen, auch wenn der Nutzer ein totaler Vollhorst ist.

Doch, so einfach geht das. Ein Minimum an gesundem Menschenverstand wird zur Bewältigung des Alltags vorausgesetzt. In beiden Fällen würde dir deine Versicherung zu Recht jegliche Regulierung verweigern.

 

[frazzlerunning]

Nein, bei der Transaktion selbst verlangt das Smartphone Biometrie.

Dann ist das doch alles kein Ding?

 

[Computerlein47]

Naja aber die Sicherheit bei einer PIN steigt ja bei jeder Stelle exponentiell an. 10.000 Möglichkeiten sind halt schlechter als 100.000 Möglichkeiten. Daher verstehe ich nicht, warum man heute immer noch auf 4-stellige Pincodes setzt.

Ergänzung (31. Juli 2025)

Sagen wir mal, ich verlasse mein Haus und lasse die Tür offen stehen.

Du wirst nicht glauben, wie viele Leute Alter 60+ ich kenne, die Banking Apps nutzen und teiweise nicht einmal wissen, ob und wie ihr Gerät abgesichert ist.

 

[ildottore]

Stimmt aber nicht, man kann nur entweder Biometrie oder PIN auswählen. Finde ich selten dãmlich: Ich hätte gern Biometrie fürs Öffnen der App und PIN on top für Transaktionen. Darf dann auch gern mehr als 4 Stellen haben. Weniger wegen Brute Force und mehr wegen "leicht zu merken wenn man jemanden bei der Eingabe beobachtet".

 

[SP1D3RM4N]

Um auf deine Anfängliche Frage zu antworten. Mir reichts.
Ich habe erst Biometrie ins Handy, danach dann den 4 Stelligen Pin. Für mich genug. Ich verstehe aber Leute die das nicht mögen. Dann find ichs nur immer lustig wenn die ihre Push Tan App auf ihrem Handy haben Am besten dann noch mit Biometrie aktiviert.

 

[Toastman_deluxe]

Wie viele Stellen hat denn der PIN deiner Kreditkartr?

 

[CoMo]

Ich habe dafür ein separates Gerät, das zuhause liegt. Dort sind alle Banking Apps installiert. Auf meinem Carry-On Phone mache ich kein Banking; das kann in der Regel warten, bis ich zuhause bin.