Apple Pay, Banken, Kreditkarten - Smalltalk und Spekulationen

[echo.park]

Ah. Danke dir. Wie sieht das bei N26 aus?

 

[Misto]

Ah. Danke dir. Wie sieht das bei N26 aus?

Keine Ahnung. Bankenintern geht es bei PSD2 ja auch um die europaweite Regulierung der Schnittstellen/APIs. In wie weit jetzt N26 da schon mit drinsteckt oder ob sie da noch andere Authentifizierungen benötigen (ist ja bereits ne "App-Bank") - da bin ich überfragt. Bin ja auch nicht bei denen.

 

[echo.park]

Vielleicht gibt es dazu dann noch eine entsprechende Mitteilung.

 

[MichaNbg]

Keine Ahnung. Bankenintern geht es bei PSD2 ja auch um die europaweite Regulierung der Schnittstellen/APIs. In wie weit jetzt N26 da schon mit drinsteckt oder ob sie da noch andere Authentifizierungen benötigen (ist ja bereits ne "App-Bank") - da bin ich überfragt. Bin ja auch nicht bei denen.

N26 unterliegt natürlich der PSD2 und auch den Anforderungen von SCA.

Ob die „alles in einer App, Besitz ist das Smartphone, Wissen ist das Kennwort“-Strategie, wie bei N26 oder bunq, wirklich compliant ist an dieser Stelle werden wir wohl erst herausfinden. Da würde ich jetzt nicht ausschließen aber auch nicht als garantiert hinnehmen.

Da sind auch alle Experten noch am Zweifeln, wie bsp Vincent Haupert, der da zwar Zweifel hat aber es auch nicht mit Bestimmtheit einschätzen kann. Da müssen wohl erste Urteile und Interpretationen abgewartet werden.

Ganz ohne Grund werden die großen Banken aber vermutlich nicht auf verschiedene TAN-Verfahren und weiteren Besitz setzen, wenn es sicher auch anders ginge. Die einen werden da auf Nummer sicher gehen und die anderen am anderen Ende ausprobieren, was zulässig ist.

 

[rootie]

Nach Betrugsfällen. Volksbank sperrt Zahlungen an Direktbanken.

https://www.n-tv.de/wirtschaft/Volksbank-sperrt-Zahlungen-an-Direktbanken-article21088638.html

 

[MichaNbg]

Nach Betrugsfällen. Volksbank sperrt Zahlungen an Direktbanken.

https://www.n-tv.de/wirtschaft/Volksbank-sperrt-Zahlungen-an-Direktbanken-article21088638.html

Das ist schon echt gut .... Angreifer nutzen Schwächen im von der VoBa immer noch genutzten mTAN-Verfahren und daraufhin sperren Sie den Zahlungsverkehr zu bestimmten Instituten, statt mTAN sofort zu deaktivieren.

Der zweite Wahnsinn ist dann, dass die Medien das zwar aufgreifen, jedoch nicht das eigentliche Problem erkennen sondern berichten, bunq&co wären unsicher.

Ok, machen wir uns nichts vor. Durch das einfache On Boarding und die sofortige Funktion sind die Banken N26, fidor, bunq, Revolut usw lohnenswerte schnelle und vor allem billige Wege für Betrüger an Konten im
SEPA-Raum zu kommen.

In diesem Fall aber liegt das Problem eher bei der VoBa.

 

[echo.park]

Sehe ich auch so. Da fragt man sich was schlimmer ist. Die, die diesen schwarzen Peter weiterreichen, also die Banken, oder die, die das ohne zu hinterfragen aufgreifen, also die Medien.

 

[rootie]

Ja ich habe das ohne Vorbehalte gepostet. Aber ab September ist es ohnehin vorbei mit mTAN oder?

 

[MichaNbg]

Ja ich habe das ohne Vorbehalte gepostet. Aber ab September ist es ohnehin vorbei mit mTAN oder?

Jupp. Kann man aufgrund der Beschaffenheit eben kaum „strong authentication“ nennen.

 

[Misto]

Ja ich habe das ohne Vorbehalte gepostet. Aber ab September ist es ohnehin vorbei mit mTAN oder?

Nein, die mTAN bleibt weiterhin erlaubt, nur die PapierTAN-Listen werden verboten.

Der Grund ist, dass bspw. bei iTAN-Listen naturgemäß nicht der Betrag und Teile der IBAN angezeigt werden können und die Listen daher beliebig anwendbar und kopierbar sind. Der Besitz also nicht nachweisbar ist.

Bei den mTANs werden ja in der SMS die Zahlungsdaten zum Vergleich mit übermittelt. Und das Mobiltelefon gilt als Besitznachweis, egal ob mTAN, PhotoTAN oder was auch immer.

 

[echo.park]

Ich dachte die Papierlisten seien schon seit Jahren verboten.

 

[Franziska]

Nö, ich hatte die selbst noch bis vor 4 Wochen [emoji4]

 

[MichaNbg]

Nein, die mTAN bleibt weiterhin erlaubt, nur die PapierTAN-Listen werden verboten.

Der Grund ist, dass bspw. bei iTAN-Listen naturgemäß nicht der Betrag und Teile der IBAN angezeigt werden können und die Listen daher beliebig anwendbar und kopierbar sind. Der Besitz also nicht nachweisbar ist.

Bei den mTANs werden ja in der SMS die Zahlungsdaten zum Vergleich mit übermittelt. Und das Mobiltelefon gilt als Besitznachweis, egal ob mTAN, PhotoTAN oder was auch immer.

Da wäre ich mir später in der Interpretation und den ersten Urteilen zur Implementierung von SCA nicht so sicher

Wenn ich mich richtig erinnere, sind Anforderungen zur SCA ja u.a. dass die Komponenten und bsp TANs nur dem Kunden und dem Dienstleister bekannt und unveränderlich sein dürfen. Das trifft auf SMS als unverschlüsseltes Transportmedium und der Einfachheit der Kompromittierung des Wegs wohl in keinem Fall zu.

Nicht umsonst schaffen fast alle Banken in Deutschland die mTAN via sms wieder ab.

 

[Misto]

Ich dachte die Papierlisten seien schon seit Jahren verboten.

Nein, die iTANs gibt es bislang immer noch. Nur die alten TAN-Listen-Verfahren (also beliebige TAN eingeben) wurden längst verboten.

 

[Misto]

Da wäre ich mir später in der Interpretation und den ersten Urteilen zur Implementierung von SCA nicht so sicher

Wenn ich mich richtig erinnere, sind Anforderungen zur SCA ja u.a. dass die Komponenten und bsp TANs nur dem Kunden und dem Dienstleister bekannt und unveränderlich sein dürfen. Das trifft auf SMS als unverschlüsseltes Transportmedium und der Einfachheit der Kompromittierung des Wegs wohl in keinem Fall zu.

Nicht umsonst schaffen fast alle Banken in Deutschland die mTAN via sms wieder ab.

Mag alles sein, aber die mTAN wird im September nicht durch PSD2 abgeschafft. Nur die iTAN als letzter Vertreter der Papier-Listen. Nichts anderes habe ich gesagt.

 

[MichaNbg]

Mag alles sein, aber die mTAN wird im September nicht durch PSD2 abgeschafft. Nur die iTAN als letzter Vertreter der Papier-Listen. Nichts anderes habe ich gesagt.

Gut, du hast natürlich recht, dass sie nicht wörtlich abgeschafft wird. In der Praxis läuft es aber letztendlich darauf hinaus. Und das ist gut so.

 

[echo.park]

Fehlt ja nur noch, dass man die TANs per Fax bekommt.

 

[MichaNbg]

Das wäre vermutlich die sicherere Variante

 

[echo.park]

Ich bin ja froh, dass sich da was tut.

 

[floriano]

Hat jemand den Vgl. DKB vs. comdirect?
Würd gern mal die DKB ausprobieren, die haben ja ab heute Apple Pay.

comdirect bucht nicht in Echtzeit bzw. merkt nicht in Echtzeit vor und das nervt mich sehr.

Herzlichen Dank.