Sicherheit von App-Banking/TAN-Apps in iOS/iPadOS 18

Hallo zusammen,

ich möchte drauf aufmerksam machen, dass es im gestern final erschienenen iOS/iPadOS 18 die neue Funktion gibt jede beliebige App mit Face-ID (biometrische Gesichtserkennung) zu sperren - alternativ (also wenn das fehl schlägt) wie immer der normale PIN oder das alphanummerische Entsperrpasswort des Geräts, je nachdem wofür man sich entschieden hat. Man kann im gleichen Zuge auch Apps verstecken, wodurch sie nur in einem gesonderten Ordner angezeigt werden, nachdem die "zusätzliche Entsperrung" erfolgt ist.

Wer möchte hier eine Quelle zum Nachlesen: https://www.macwelt.de/article…-apps-auf-dem-iphone.html

Nun kann ich nicht sagen, wie das in der Android-Welt ist. Gerne Erfahrungen hierzu teilen! Das muss nun keine Android vs. iOS Diskussion werden

Zusätzlich wollte ich mal meine Gedanken teilen und das Thema zur Diskussion stellen, ob sich durch so etwas die Sicherheit erhöhen lässt.

Ich würde diese Neuerung bezüglich App-Banking und/oder 2FA-/TAN-Apps aber als Schritt einschätzen, mit dem man die Sicherheit für manche Szenarien schon erhöhen kann. Es bestehen besonders von App-Skeptikern nachvollziehbare Sicherheitsbedenken. Stichwort "das ganze Vermögen in der Hosentasche, alles mit einem vierstelligen PIN geschützt". Face-ID, die in die jeweiligen Banking-Apps integriert wurde, kann regelmäßig durch eine solche PIN "umgangen" werden. Durch die Anforderung von Face-ID auf OS-Seite, also eine Ebene drüber, kann eine solche App also trotz recht unsicherer vier-, fünf- oder sechsstelliger PIN zusätzlich geschützt werden, also zumindest dieser Punkt sicherer gestaltet werden.

Natürlich kommt es auf das gewählte Entsperrpasswort an. Die meisten wählen hier vermutlich eine einfache sechsstellige PIN. Auch für diese Fälle könnten die zwei Stufen, also zwei PINs (oder eben Face-IDs) hintereinander eventuell ein bisschen mehr Sicherheit bieten. Ich persönlich nutze ohnehin ein komplexeres alphanummerisches Passwort zum Entsperren, weil Face-ID inzwischen fast immer funktioniert und ich das Passwort selten eingeben muss, mich das längere Passwort also nicht stört.

Zweimal Face-ID hintereinander hat an sich natürlich keinen Sicherheitsgewinn, der Gewinn könnte wie gesagt in den zwei unterschiedlichen Passwörtern/PINs hintereinander liegen, die man immer alternativ nutzen kann. Eine weitere Möglichkeit wäre es hier das in der jeweiligen Banking-App integrierte Face-ID zu deaktivieren und den kurzen Code jedes Mal selbst aus dem Kopf heraus einzugeben. Damit hätte man einen echten zusätzlichen Faktor, wenn ich mich nicht irre, weil diese (zweite) PIN dann eben nicht mit Face-ID umgangen werden könnte. Das Ausschalten von Face-ID war natürlich auch bisher möglich und es ist fraglich, ob das letztlich einen Sicherheitsgewinn bedeutet, zumal jede Eingabe einer PIN auch wieder ausgespäht werden kann.

Grundsätzlich stellt sich die Frage für welche Szenarien sich hier etwas verbessert. Wenn Jemand ohnehin den PIN, das Passwort zum Entsperren des Geräts hat, oder dich dazu zwingt dein Gesicht reinzuhalten oder dir den PIN zu nennen, bringt es natürlich nichts. Den Fall kann man aber wohl nicht verhindern. Man kann sich nicht gegen alles schützen, absolute Sicherheit gibt es nie, auch nicht bei der aussterbenden Nutzung von Chip-TAN oder der Nutzung eines separaten Geräts, das nur zuhause liegt. Aber für Fälle, in denen das Gerät bereits entsperrt wurde und dann in fremde Hände gerät, kann es ein zusätzlicher Schutz sein.

Ich will damit keine App-Skeptiker überzeugen. Risiken bestehen immer, ich persönlich halte Szenarien, in denen ich von App-Banking profitiere, für wichtiger. Aber das muss und wird für andere nicht gelten. Ich kann Jeden verstehen, der es für sich anders sieht und entscheidet. Ich selbst habe lange Zeit kein App-Banking genutzt.

Man hat immer noch die Möglichkeit ein zweites Gerät (Tablet/iPad oder ein altes Smartphone/iPhone, solange die Sicherheitsupdates haben) zuhause zu halten, sodass man den Punkt "das ganze Vermögen in der Hosentasche" nicht hat. Das halte ich dann nicht für unsicherer als Chip-TAN, im Gegenteil, weil man die für Chip-TAN benötigte Karte in der Regel mit sich rum trägt und anders als manch einer denkt nicht an das eigene Chip-TAN-Gerät gekoppelt ist.

Die Situation halte ich für nicht optimal was das Thema zweiter Faktor von Online-Banking angeht, bin aber auf der anderen Seite auch Pragmatiker. Sicherheit kann man auch übertreiben, sie bleibt individuell. Letztlich sollte sich Jeder subjektiv wohl fühlen, die objektive Sicherheit wiederum wird wohl bei praktisch allen geläufigen Banken auf einem ordentlichen Niveau sein. Wer das alles nicht möchte, der hat noch genügend Alternativen (Bank mit Chip-TAN suchen, oder eben das zusätzliche Gerät zuhause).

Den Schritt in iOS/iPadOS 18 finde ich jedenfalls zumindest interessant, hab aber noch kein abschließendes Urteil darüber gefällt, ob es auch wirklich sinnvoll ist. Meint ihr, dass es einen wirklichen Sicherheitsgewinn bringen könnte? Oder ist es eher etwas fürs Sicherheitsgefühl?

Zitat von michael_d

In meinen Augen ist Online-Banking durchaus sicher genug, auch auf dem Smartphone.

Sehe ich auch so. Aber es gibt eben immer wieder Bedenken.

Zitat von michael_d

Angriffe aufs Online-Banking finden im Normalfall ganz einfach durch abgreifen von Passwörtern statt, und indem man die Leute dazu bringt, ihre TANs rauszurücken (durch Vorspielen falscher Tatsachen).

Dagegen hilft auch keine weitere Sicherheitsebene mit nochmal einem Passwort mehr.

Da hast du völlig recht. Von solchen:

Zitat von michael_d

Alles in allem ist das für mich ein Szenario, das ich als absolut unwahrscheinlich einstufen würde. Und ich habe auch noch nie von Fällen gehört, wo über ein gestohlenes Smartphone in die Banking-App des Opfers eingebrochen wurde.

Fällen hab ich auch noch nicht gehört bisher. Dennoch ist das ja ein häufiges Argument. Vielleicht ein Gefühl? Das kann ich schon nachvollziehen. Subjektives Sicherheitsgefühl spielt eben eine Rolle.

Zitat von michael_d

Mein Handy ist per Passwort geschützt. Das wäre also die Erste Hürde, die ein Dieb überwinden müsste.

Danach müsste er in meiner Banking-App die sechsstellige PIN erraten und das innerhalb von 3(?) Versuchen, bevor der Zugang gesperrt wird. Das ist eigentlich schon absolut unmöglich.

Guter Punkt, dass es in der Regel nur wenige Versuche gibt die PIN zu erraten. Für den Fall, dass das Handy schon entsperrt ist (z.B. aus der Hand gerissen), sollte das tatsächlich genügen.

Zitat von michael_d

Und nehmen wir an, er schafft auch diese Hürde, dann würde er zwar mein Banking sehen, könnte aber immer noch keine Transaktionen ausführen, da er dazu die TAN-App öffnen müsste, die ebenfalls durch ein Passwort geschützt ist, das er auch erraten müsste.

Hier kann entgegen gehalten werden, dass es immer weniger dedizierte TAN-Apps gibt bzw. immer mehr Banken auf eine einzelne App setzen. Die Schritte von zuvor müssten aber auch genügen, sodass es recht unwahrscheinlich ist, dass ein Dieb wirklich im App-Banking aktiv werden kann. Über institutionelle Hacker reden wir mal nicht.

Zitat von monstermania

Die Frage ist dann nur: Wo bewahre ich meine ganzen PINs auf? Weil nur eine PIN für Alles ist dann ja auch wieder Panne.

Ich benutze seit Jahren KeePass zur Verwaltung meiner Passwörter/PINs auf PC und Smartphone. Und dafür braucht es aktuell entweder Fingerabdruck oder die Eingabe eines entsprechend komplexen Kennworts (kein PIN ).

Einer der wichtigsten Punkte überhaupt. Einen guten Passwortmanager sollte heute eigentlich Jeder nutzen. Ich kenne jedoch durchaus auch gerade Personen älteren Semesters, die damit nicht richtig zurecht kommen, oder am Ende dann doch gerne ein Standardpasswort/-PIN nehmen, um es dann abtippen zu können.

Zitat von monstermania

Ach ja,

das ganze 'geappe' heutzutage geht mir auch gehörig auf den Keks. Mir würde auch ein vernünftig am Smartphone zu bedienendes Online-Banking völlig ausreichen (Webbrowser).

Verständlich! "geappe" ist gut, muss ich mir merken. Für an das jeweilige Gerät gebundene Apps ist es natürlich schon sinnvoll. Irgendwie muss man ja den zweiten Faktor (das was man hat, das Gerät) definieren. Für das reine Onlinebanking fände ich auch eine universelle Web-App ausreichend. In anderen Bereichen ohnehin, das nur am Rande... aber da ist die Entwicklung wohl eine andere.

Zitat von monstermania

Ich frage mich schon lange, warum man nicht einfach eine Standard-2FA-App wie den Google Authenticator oder den Microsoft Authenticator nutzen kann.

In so einer App kann ich auch Konten von diversen anderen Anbietern per 2-FA absichern (z.B. paypal). Auch für die Anmeldung in der Firma kann ich so eine 2 FA-Lösung nutzen.

Aber beim Online-Banking setzt jede Bank Ihre eigene App voraus.

Das ist eine gute Frage bzw. ein berechtigter Einwand. Vermutlich weil dann bestimmte Vorgaben an Sicherheit nicht durchgehend eingehalten bzw. kontrolliert werden können. So haben die Banken eben die volle Kontrolle. Aus dieser Sicht verständlich. Ich persönlich fände es schön, wenn zumindest zusätzlich oder alternativ solche anderen 2FA-Lösungen angeboten würden. FIDO2-basierte Multi-Faktor-Authentifizierung. Das könnten die Banken ja auch für alle die es wollen optional über das vorhandene Sicherheitssystem stülpen. Wem also die Sicherheit seiner App mit PIN nicht genügt, der nutzt das. Passkeys kommen auch immer weiter auf und sind vielleicht eine Alternative. Aber vermutlich können wir lange darauf warten.

Und wie gesagt: ich halte Online- und auch App-Banking für in der Praxis sicher genug. Nur gibt es eben Leute, die es nicht so sehen. Und da finde ich es interessant sich von Zeit zu Zeit darüber auszutauschen welche Möglichkeiten es gibt für mehr subjektive oder objektive Sicherheit. Das unter iOS ist jetzt eine zusätzliche Option, die aber in der Praxis vermutlich dann doch nur Nischenfälle etwas sicherer abfangen wird. Wen die extra Sekunde nicht stört, der kann es aktivieren.

Zitat von ika

Wo möglich, nutze ich auch den Authenticator.

Dito. Also bei Nicht-Banking bisher.

Zitat von ika

Lt. ChatGPT (ungeprüft) gibt es die Möglichkeit bei:

Zitat von ika

Vielleicht kommt da noch mehr.

Ach spannend. Das war mir nicht bewusst, dass es tatsächlich Banken gibt, bei denen es möglich ist. Das war es bei den von mir bisher "verwendeten" Banken nicht und hatte ich auch noch nicht von gehört. Dann besteht ja doch Hoffnung, dass das von mehr eingeführt wird.

Zitat von Achim Weiss

Wie soll man sich etliche verschiedene PINs ohne Computerhilfe merken können? Wie macht Ihr das?

Mit Computerhilfe, also Passwortmanager

Allerdings einer, der nur lokal bei mir läuft und auf keinen öffentlichen Servern. Ohne ginge es bei mir nicht mehr was Passwörter angeht. Wobei ich mir die wichtigen vierstelligen Bankkarten-PINs auch so merken kann. Da hab ich einfach seit Ewigkeiten die gleichen. Man kann sie ja heutzutage recht einfach verändern, meist von zuhause aus, und ist nicht mehr auf die Ursprungs-PIN festgelegt.

Zitat von Achim Weiss

Ja, ja, und wenn Du dann im Urlaub Deine Kreditkarte zückst, klappst Du dazu gleichzeitig den Laptop auf. Das Verfahren scheint mir unterwegs etwas unpraktisch zu sein - und den Großteil der PIN-Karten-Zahlungen tätige zumindest ich unterwegs.

Nö, hab aber mein Smartphone immer dabei. Und in meiner "Residenz" dann tatsächlich vermutlich Tablet und/oder Notebook. Zudem habe ich nicht nur eine Karte. Wie wahrscheinlich ist es, dass mein Gehirn, Smartphone, meine Smart-Watch (ja hat nicht Jeder, geht aber um mich), alle drei Bankkarten ausgerechnet im Urlaub gleichzeitig ausfallen (bzw. ich die PINs nicht mehr weiß) und ich dann so darauf angewiesen bin, dass es nicht noch etwas warten kann bis ich den PIN auf einem anderen Gerät nachschauen kann?

Ich halte das (für mich!) für sehr unwahrscheinlich, zumal ich dann vermutlich nicht alleine unterwegs wäre und noch andere Möglichkeiten hätte zu zahlen oder Jemanden für mich zahlen zu lassen.

Dazu kommt im Übrigen, dass ich meinen PIN nur noch sehr selten eingeben muss. Bei der Zahlung an einem Terminal gar nicht mehr. Im Grunde genommen nur noch zur Bargeldabhebung mit der physischen Karte, was bei mir ebenfalls sehr selten nur noch vorkommt. Ich zahle in der Regel nur noch über meine Smart Watch, alternativ über das Smartphone. Damit hab ich zwei Systeme, die unabhängig voneinander ohne PIN-Eingabe funktionieren. Die physischen Karten hab ich zusätzlich dabei und für einen einfachen Restaurantbesuch wohl auch genügend Bargeld, das ich aber dann nur als letzten Ausweg einsetze.

Ich halte mein "System" für ausfallsicher genug. Für mich ist es klar, dass ich meinen Passwortmanager auf meinem Smartphone immer dabei hab, mal von den ganzen Optionen was den Karteneinsatz angeht abgesehen.

Ob sich das für Jeden genau so anbietet ist ein anderes Thema. Was man alles mit dem Smartphone machen kann/muss/sollte oder eben nicht, haben wir ja schon häufig diskutiert im Forum. Nicht Jeder will/kann das alles und das ist auch völlig in Ordnung. Hier geht es aber um einen Austausch unterschiedlicher, sicher auch teilweise generationsbedingter Unterschiede.

Zitat von Frohgemut

Derzeit drei fiktive Namen in meiner Telefonliste und die letzten Zahlen der fiktiven Telefonnummer sind die PINS. Zur Sicherheit, sollte ich sie wirklich mal vergessen.

Zitat von Achim Weiss

Das halte ich für eine gute Idee. Das gefällt mir. Es ist zwar etwas komplizierter als meine Methode, dafür brauchst Du aber nicht zu rechnen.

Ich würde wohl nie auf die Idee kommen so etwas in einer Telefonliste zu verstecken oder mir ein Berechnungssystem auszudenken - schließlich können auch diese abhandenkommen oder vergessen werden in welcher Form auch immer. Aber wenn das für euch funktioniert ists doch super. Da sieht man wieder, dass viele Wege nach Rom führen. Oder wo auch immer man Urlaub macht...