Sicherheit von App-Banking/TAN-Apps in iOS/iPadOS 18

Zitat von itschytoo

Dann musst Du aber hoffen, dass Dein Passwort nirgends Rückverfolgbarkeit gespeichert wird. Sonst hat man das Muster ja schnell erkannt.

Ich kann diesen Satz noch nichtmal verstehen. Was soll das bedeuten, daß "Paßwort Rückverfolgbarkeit gespeichert wird"?

Zitat von Impidimpi

Da wäre ich auch vorsichtig mit. Klar, mit zweitem Faktor ist das nicht ganz so schlimm. Aber wenn ein Passwort irgendwo geleaked wird dann ist es wohl wirklich einfach auch andere zu erraten bzw. das Muster zu erkennen.

Der böse Bube will mir ans Geld, nichts sonst. Was interessiert den mein Konto selbst in diesem Konto? Sollte einer dieses Konto hacken und unter meinem Namen plötzlich massenweise Werbung für Finanzprodukteverkäufer posten, würde das ja jeder merken, daß das nicht echt sein kann.

Meine Konten sind für mein Empfinden viel zu stark vernagelt. Das behindert in erster Linie mich selbst und nicht irgendwelche bösen Buben.

Erfolgreiche Phishzüge sind meistens einfach gewesen, etwa indem man Leuten TANs aus dem Kreuz geleiert hat (als es diese noch gab). Wie schon geschrieben, macht mir ein ganz anderer Typ Angriff Gedanken.

Zitat von Achim Weiss

Ich kann diesen Satz noch nichtmal verstehen. Was soll das bedeuten, daß "Paßwort Rückverfolgbarkeit gespeichert wird"?

Der böse Bube will mir ans Geld, nichts sonst. Was interessiert den mein Konto selbst in diesem Konto? Sollte einer dieses Konto hacken und unter meinem Namen plötzlich massenweise Werbung für Finanzprodukteverkäufer posten, würde das ja jeder merken, daß das nicht echt sein kann.

Meine Konten sind für mein Empfinden viel zu stark vernagelt. Das behindert in erster Linie mich selbst und nicht irgendwelche bösen Buben.

Erfolgreiche Phishzüge sind meistens einfach gewesen, etwa indem man Leuten TANs aus dem Kreuz geleiert hat (als es diese noch gab). Wie schon geschrieben, macht mir ein ganz anderer Typ Angriff Gedanken.

Alles anzeigen

Da hat die Autokorrektur zugeschlagen.

Kurz gesagt; Wenn das Passwort im Klartext leakt (statt gesalzen+gehasht), ist das Muster schnell erkannt.

Ich stimme Dir zu, dass 90% denjenigen, die an die Daten kommen, einfach automatisiert die Login-Daten woanders probieren. Da hilft dann sogar beim selben password eine andere E-Mail-Adresse zu verwenden.

Aber ich mag es nicht, meine Sicherheit von der Unfähigkeit oder Faulheit anderer abhängig zu machen. Das sehe ich daher etwas anders als Du.

Zitat von Impidimpi

Da wäre ich auch vorsichtig mit. Klar, mit zweitem Faktor ist das nicht ganz so schlimm. Aber wenn ein Passwort irgendwo geleaked wird dann ist es wohl wirklich einfach auch andere zu erraten bzw. das Muster zu erkennen. Ich schätze, dass sowas durch KIs (oder einfache Algorithmen reichen vielleicht) auch nich einfacher wird.

Verwende ich nur dort wo es nicht um viel geht.

Sollte mein Passwort irgendwo geleaked worden sein, dann erzählt mir das vielleicht mein iPhone und dann ändere ich es.

Ich habe z.b. in 20 bis 30 Opernhäusern einen Account ..... meine Angst, dass ein Betrüger es darauf abgesehen haben könnte, sich in meinem Namen eine Opernkarte zu kaufen, hält sich in Grenzen

Kleine Nebenschauplatz:

Bei mir hat sich im Nachhinein der haupt-benefit des passwortmanagers gar nicht (nur) in sicheren Passwörtern manifestiert, sondern in einer super Informations-Datenbank.

- Ich weiß bei welchem Popel-Shop ich einen Account eingerichtet habe (und kann ein paar Jahre später, wenn ich sicher bin dort nicht mehr zu bestellen, diesen ordentlich schliessen).

- Ich habe neben Passwörtnern auch z.B. meine Vertragsinfos oder Daten meiner Familie. ich kann also jederzeit auf der Arbeit den Stromanbieter wechseln (weil Zählernummer und Vertragsnummer dabei) oder meiner Mutter sagen wie ihre Steuer-ID lautet.

Das sind alles Text-Infos, die keinen Platz belegen und ich habe so eine Stelle wo ich sowas strukturiert sammeln kann. Das finde ich inzwischen noch viel besser als die sicheren Passwörter.

Zitat von Impidimpi

Gegen Phishing bzw. Angriffe in denen der Mensch die Schwachstelle ist, kann man sich nicht schützen, außer die eigenen Zellen zwischen den Ohren anzuwerfen, was erstmal ein gewisses Maß an Wissen und Aufmerksamkeit für so etwas erfordert. Niemand kann immer komplett aufmerksam sein, 100%ige Sicherheit gibt es nicht, wie gesagt.

Unsere IT hat zu Jahresbeginn eine "Pishing"-Testmail zu Testzwecken versendet, über 10% haben den Anhang geöffnet (angeblich gab es eine Reise zu gewinnen) und diverse Daten eingegeben, trotz der vielen Schulungen die wir haben und trotz dem hohen Akademikeranteil.

Zitat von Frohgemut

Unsere IT hat zu Jahresbeginn eine "Pishing"-Testmail zu Testzwecken versendet, über 10% haben den Anhang geöffnet (angeblich gab es eine Reise zu gewinnen) und diverse Daten eingegeben, trotz der vielen Schulungen die wir haben und trotz dem hohen Akademikeranteil.

Ja, Dummheit/Unachtsamkeit ist die bei weitem größere Gefahr und das einfachere Einfallstor.

Nur sehr niedrig hängende Früchte (einfach die identische Kombination von Email+Passwort woanders probieren) werden in der Regel bei uns Normalos abgegriffen. Bei exponierten Opfern macht man dann aber auch gerne Handarbeit.

Ich verlange auch nicht von meiner Mutter, sich sehr um security zu kümmern. Mein eigener Anspruch ist da aber schon anders.

Zitat von Impidimpi

Stimmt das ist auch praktisch, damit hab ich nun auch vermehrt angefangen Zusatzinfos da zu speichern. Allerdings erst seitdem ich einen Passwortmanager nutze, der nur lokal bei mir läuft und auf keinem externen Server.

Das habe ich vorausgesetzt.

Bei mir Keepass(XC)

Zitat von Achim Weiss

Der böse Bube will mir ans Geld, nichts sonst. Was interessiert den mein Konto selbst in diesem Konto Forum? Sollte einer dieses Konto hacken und unter meinem Namen plötzlich massenweise Werbung für Finanzprodukteverkäufer posten, würde das ja jeder merken, daß das nicht echt sein kann.

Hoppala! Da hat einer geschrieben zu einer Zeit, in der er wohl besser im Bett gewesen wäre. Ich habe meinen Fehler korrigiert, so daß der Satz einen Sinn ergibt. Nein, das war nicht die Autokorrektur, das war ich selber, der da nicht aufgepaßt hat.

Zitat von Impidimpi

Es gibt ja nun auch Konten/Logins, bei denen es relevanter ist, wenn sich Jemand Zugang verschafft. Das ist sehr individuell. Und ja, ich persönlich würde schon ganz gern verhindern, dass jemand in meinem Namen Werbung postet, die ich nicht posten wollte. Vielleicht findet dann ja auch sekundär über mich Phishing statt.

Heute will jedermann von einem ein Login haben, sonst gibt es keinen Zugang. In meiner Paßwortliste finden sich massenweise irgendwelcher letztlich unbedeutender M*st.

Relevant sind ganz wenige Logins, das E-Mail-Konto, meinetwegen noch Ebay, ansonsten einige wenige Konten, bei denen es letztlich um Geld geht. Welcher böse Bube interessiert sich für den Zugang zum Kundenbereich meines aktuellen Stromversorgers?

Sollte hier im Forum eine Meldung unter meinem Namen auftauchen, in dem das Hohelied von tecis und Konsorten gesungen wird, dann weiß jeder, daß dieses Posting nicht von mir kommen kann. Letztlich bedeutsam ist das aber immer noch nicht. Würde mein finanztip-Kennwort gehackt, dann ginge die Welt davon nicht unter.

Was Sicherheit von Bank-Apps etc. angeht: Ich hätte es gern, daß ich bei allen Dingen, die Geld kosten, bei denen ich im echten Leben eine Unterschrift leisten müßte, im Einzelfall vorher gefragt werde. So funktioniert die Webseite meiner Bank (noch). Ich komme allein mit Nutzername und Kennwort auf die Webseite und kann mir dort ohne weiteres das anschauen, was ich am meisten abfrage, was mich am meisten interessiert: Den Kontoauszug mit den Buchungen der letzten z.B. 30 Tage. Diese Info darf eine Bank laut EU-Regulation ohne ständiges 2FA zugänglich machen, einmal in 90 Tagen muß eine TAN abgefragt werden.

Für das Einzeichnen selbst ist EU-seits kein 2FA vorgeschrieben. Der Kundenbereich der Webseite der Baaderbank ist nicht 2FA "geschützt", Scalable Capital aber erzwingt es seit etlichen Wochen. Das ist deren Bier, die EU (auf die man das gern schiebt) verlangt das nicht.

Wenn ich bei meiner Bank dann mehr machen will, etwa irgendwas überweisen (passiert maximal 5 Mal im Monat), dann kann ich die Überweisung noch ohne weiteres eingeben. Für die Freigabe brauche ich dann eine TAN (in meinem Fall vom Tamagotchi oder auch von einer Bank-App, die nur TANs generieren kann).

Das paßt für mich.

Bei den neuen Depots ist das anders, und das paßt nicht für mich. Dort muß ich jedesmal die 2FA-Prozedur durchlaufen, auch wenn ich nur nachschauen will, ob sie die McD-Dividende nun endlich gebucht haben. Jedesmal muß ich das Popup quittieren, daß ich endlich den Fingerabdrucksensor einschalten soll, dann bliebe dieses Popup dauerhaft weg. Das Tablet hat aber keinen Fingerabdrucksensor.

Wenn ich einmal "drin" bin, erfolgt keinerlei weitere Abfrage. Ist klar: Die wollen, daß man handelt, am besten daytradet, und dafür ist die Einzel-TAN-Abfrage zu langsam. Aber ich will nicht daytraden und werde das auch niemals wollen. Es wäre für mich auch in Ordnung, daß ich ohne Zirkus schauen könnte und dann selektiv das Handeln freischalte, wenn ich das tatsächlich beabsichtige, meinetwegen dann auch per Session-TAN. Aber diese Option bieten sie halt nicht an. Ich halte das für ein Sicherheitsproblem, wobei in meinen Augen vor allem ein zu geringer Schutz gegen meine eigene Dummheit oder Schusseligkeit besteht.

Aber moderne Menschen wollen das wohl so.

Ich möchte auch nicht diese allmächtigen Apps. Eigentlich möchte ich das Banking nicht ständig in der Tasche herumtragen. Eine TAN-App ist ok, die nichts kann als eine TAN generieren. Damit allein kann keiner etwas anfangen, der mit oder ohne meine Mithilfe Zugang zu meinem Handy bekommt. Wenn aber TAN-Generator und All-Purpose-App eins sind, halte ich das für ein Sicherheitsproblem.

Die Finanzwelt wird sich nach mir nicht richten, das ist mir schon klar.

Ich möchte gerne noch einmal auf eine Ursprungsfrage in diesem Thread kommen. Und da wundert es mich echt, dass Apple diese Funktion erst jetzt implementiert hat (zumal Apple ja immer gerne als Vorreiter gesehen wird).

Zitat von Impidimpi

ich möchte drauf aufmerksam machen, dass es im gestern final erschienenen iOS/iPadOS 18 die neue Funktion gibt jede beliebige App mit Face-ID (biometrische Gesichtserkennung) zu sperren - alternativ (also wenn das fehl schlägt) wie immer der normale PIN oder das alphanummerische Entsperrpasswort des Geräts, je nachdem wofür man sich entschieden hat.

[...]

Nun kann ich nicht sagen, wie das in der Android-Welt ist. Gerne Erfahrungen hierzu teilen!

Also Android unterstützt die Sperre von Apps mit Fingerprint oder PIN seit mindestens Android 10. Habe so auch alle wichtigen Apps gesperrt und nutze bei den Banking-Apps auch keine automatische Anmeldung. Sprich zuerst muss die App per Fingerabdruck entsperrt werden und danach dann mit Benutzername und Passwort die Anmeldung durchgeführt werden.

Zitat von Impidimpi

Man kann im gleichen Zuge auch Apps verstecken, wodurch sie nur in einem gesonderten Ordner angezeigt werden, nachdem die "zusätzliche Entsperrung" erfolgt ist.

Diese Funktion ist mir bei Android bisher unbekannt und ist durchaus interessant. Damit kann man auch dem von Achim Weiss beschriebenen (in meinen Augen eher unwahrscheinlichen) Fall mit den "netten Fachkräften" begegnen, da die entsprechenden Apps auf dem Handy gar nicht sichtbar sind und man so sagen kann, dass man mit dem Handy kein Banking machen kann.

Zitat von Frohgemut

Derzeit drei fiktive Namen in meiner Telefonliste und die letzten Zahlen der fiktiven Telefonnummer sind die PINS. Zur Sicherheit, sollte ich sie wirklich mal vergessen.

So halte ich es bei ein paar wenigen Nummern, die ich nur sehr selten brauche, auch. Einfach schnell ins Telefonbuch gucken und schon ist man schlauer.