Authentifizierung Onlinebanken

  • Als jemand, der angeblich beruflich damit zu tun hat, solltest du wissen, dass die Übertragung E2E-verschlüsselt erfolgt und das Auslesen nur nach Authentisierung möglich ist.

    Als jemand, der tatsächlich beruflich damit zu tun hat, kenne ich das Store now-decrypt later-Problem.

    Fände ich nicht gut. Banken sollen schon unmittelbar wissen dürfen, mit wem sie es zu tun haben. Alles andere öffnet Betrug Tür und Tor.

    Inwiefern? Im Regelfall darf ich nur vom Referenzkonto ein- und Auszahlen. Dort weiß man, wer ich bin. Die Banken müssten also nur untereinander den -ohnehin vorhandenen- Check machen, ob der Kontoinhaber identisch ist.

    Klar könnte man jetzt Szenarien konstruieren, in denen man sich Zugriff auf fremde Konten verschafft usw, das ist ja aber ein eher unwahrscheinlicher Fall.

    Was machst Du denn beruflich mit IT-Sicherheit?

    Ich bin Baköv-zertifizierter Informationssicherheitsbeauftragter

    NFC ist doch nur für Übertragung, die muss hier nicht sicher sein. Es wird nichts geheimes übertragen.

    Naja, es werden Namen, Geburtsdaten und Staatsangehörigkeit übertragen. Jetzt nicht hochkritisch, aber auch nicht nichts.

    Taxation is not charity. It is not voluntary. As we shrink the state and make government smaller, we will find that more and more people are able to take care of themselves.

    Grover Norquist

  • Als jemand, der sich beruflich mit Informationssicherheit beschäftigt: Bevor ich das unsichere NFC verwende, übermittle ich lieber über eine verschlüsselte App der Bank ein Foto des Personalausweises.

    Warum stellt das ein Problem dar? Die Reichweite von NFC dürfte sich auf wenige Zentimeter beschränken.

    Ich bin weder Finanzprofi noch gebe ich Anlageberatungen.
    Meine Beiträge sind als Impulse zu verstehen, um sich selbst zu informieren.

  • NFT ist ein sicheres Verfahren, da die Kreditkarte oder der Perso unmittelbar an das Lesegerät gehalten werden muss. Das ist erprobt und wird von wirklich Millionen Kunden jeden Tag an der Supermarktkasse praktiziert.

    Wer Sorgen hat, dass der Chip irgendwo ausgelesen wird kann ja so eine Briefcase aus Alu verwenden.

    Ich war von REVOLUT ziemlich begeistert, um mal auf das eigentliche Thema zurück zu kommen. Es ist etwas gewöhnungsbedürftig, weil wirklich alles auf eine Handy App verlagert wurde, aber sowohl Bedienung als auch das Onboarding vom Kunden haben sie technisch ziemlich gut gemacht.

  • Warum stellt das ein Problem dar? Die Reichweite von NFC dürfte sich auf wenige Zentimeter beschränken.

    https://kanzlei-herfurtner.de/nfc-betrugsmasche/

    Wer Sorgen hat, dass der Chip irgendwo ausgelesen wird kann ja so eine Briefcase aus Alu verwenden.

    Was ich definitiv empfehlen kann.

    Taxation is not charity. It is not voluntary. As we shrink the state and make government smaller, we will find that more and more people are able to take care of themselves.

    Grover Norquist

  • Aber deshalb ist die Identifikation mit Personalausweis und Smartphone ja nicht schlecht. Und wenn man Angst hat, dass unbemerkt der Ausweis ausgelesen wird, dann einfach ein Geldbeutel mit RFID Blocker nehmen.

    Ich bin weder Finanzprofi noch gebe ich Anlageberatungen.
    Meine Beiträge sind als Impulse zu verstehen, um sich selbst zu informieren.

  • Meinst du ernst? Im Artikel geht es um NFC-Bezahlfunktion vom Bezahlkarten ohne PIN-Eingabe.

    Außer dass nPA und Bezahlkarten NFC verwenden, gibt es keine Gemeinsamkeiten. Du kannst einen nPA nicht einfach so oder im Vorbeigehen auslesen. Stichwort PACE. Ohne PIN oder CAN kannst du dem Chip im nPA keine Informationen entlocken.

    Und wenn man Angst hat, dass unbemerkt der Ausweis ausgelesen wird, dann einfach ein Geldbeutel mit RFID Blocker nehmen.

    Wie gesagt, für den Ausweis ist das nicht notwendig. Dieser kann nicht einfach ausgelesen werden. Und für Bezahlkarten gilt: Oft reicht es schon als Schutz, wenn man mindestens zwei solcher Karten im Portemonnaie hat, weil durch die Kollisionen (beide bzw. mehr Karten antworten), keine Übertragung mehr stattfinden kann.

  • Du kannst einen nPA nicht einfach so oder im Vorbeigehen auslesen. Stichwort PACE. Ohne PIN oder CAN kannst du dem Chip im nPA keine Informationen entlocken.

    Eintrittswahrscheinlichkeit sehr unwahrscheinlich und Schadenshöhe existenzbedrohend ergibt nunmal immer noch mittleres Risiko. Zumal der technische Fortschritt ja leider auch auf der dunklen Seite weitergeht.

    Außerdem liegt beim nPA das Risiko ja nicht nur im auslesen selbst, sondern auch in der Übertragung.

    Taxation is not charity. It is not voluntary. As we shrink the state and make government smaller, we will find that more and more people are able to take care of themselves.

    Grover Norquist

  • Außerdem liegt beim nPA das Risiko ja nicht nur im auslesen selbst, sondern auch in der Übertragung.

    Aber Daten werden doch nur übertragen, nachdem du die PIN eingegeben hast. Ich nutze die eAusweis Funktion üblicherweise zu Hause und eher nicht in der überfüllten U-Bahn. Wenn man nun die Reichweite von NFC von einigen Zentimetern betrachtet, wo genau besteht die Gefahr bei der Datenübertragung?

  • Eintrittswahrscheinlichkeit sehr unwahrscheinlich

    Bzw. praktisch nicht möglich.

    Zitat

    Eintrittswahrscheinlichkeit sehr unwahrscheinlich und Schadenshöhe existenzbedrohend ergibt nunmal immer noch mittleres Risiko.

    Du übermittelst also lieber das Foto von deinem Ausweis, auf welchem viel mehr Daten sichtbar sind, als im Zweifelsfall nötig sind und wo du nicht weißt, wie dieses Foto weiterarbeitet wird? Beispielsweise ob irgendwo ein Remote-Worker in Osteuropa dieses Foto vom Ausweis vorgelegt bekommt und dieses manuell überprüfen muss?

    Beim nPA siehst du zumindest, welche Daten angefordert und übertragen werden. Und das sind rein strukturierte Daten und auch nicht das Foto von dir.

    Zitat

    Außerdem liegt beim nPA das Risiko ja nicht nur im auslesen selbst, sondern auch in der Übertragung.

    Nein. Das habe ich ja schon mehrmals versucht zu vermitteln. Hör' bitte einfach auf, irgendwelchen Unsinn zu behaupten, der einfach nicht stimmt.

  • Gibt auch kleine RFID- Blocker Hüllen für Karten, Pass, Perso.

    Reine Geldmacherei. Rund um dieses Thema wird schon seit Jahren eine riesige Sau durch's Dorf getrieben und Ängste geschürt, während in der Realität solche Angriffe praktisch inexistent sind.

    Zudem: Wer seine Geldbörse so exponiert trägt (z.B. hinten in der Hosentasche), dass man einfach Geld via NFC abbuchen könnte, der sollte eher Angst davor haben, dass Taschendiebe gleich die ganze die Geldbörse klauen.

    Die Wahrscheinlichkeit ist immer noch viel höher, dass man beispielsweise an einem manipulierten Geldautomaten betrogen wird oder Falschgeld untergejubelt bekommt.

  • Das ist doch ein völlig anderes Szenario, Zitat "Dazu muss der Kriminelle nur in die Nähe der Karte kommen, den Datenaustausch abfangen und schon hat er die NFC Betrugsmasche durchgeführt.".

    Bei der Identifzierung per Ausweis halte ich zu Hause meinen Ausweis an mein Handy und muss die richtige PIN eingeben, damit überhaupt irgendwelche Daten fließen.

    Das ist ziemlich offensichtlich was anderes. Wäre m.E. eine Stunde in diesem Sicherheitskurs wert, zu vermitteln, dass man nur gleiches mit gleichem vergleichen kann.

  • Die Gefahr ist eher theoretisch.

    Zum einen verlangt der Chip den PIN wenn versucht wird eine grössere Summe abzubuchen. Üblicherweise ist die Grenze 100€, hängt aber vom Anbieter und dem Reiseland ab. Das begrenzt den Schaden schon mal.

    Was auch möglich ist: ne virtuelle Kreditkarte in der Wallet App vom Handy hinterlegen.

    Mit NFT bezahlen funktioniert an der Supermarktkasse dann mit dem Handy, aber nur solange die App auf ist und per Fingerabdruck entsperrt wurde. Zusammen mit der Möglichkeit, die Karte per App zu sperren hat sich da in den letzten Jahren viel modernes getan. Handies sind inzwischen biometrisch ziemlich gut geschützt, muss man natürlich auch aktiviert haben das ganze.

  • Handies sind inzwischen biometrisch ziemlich gut geschützt, muss man natürlich auch aktiviert haben das ganze.

    Biometrische Sperren bieten kaum Sicherheit. Man kann Leute eben dazu zwingen, den Finger auf den Sensor zu legen oder mal freundlich in die Kamera zu schauen. Das ist für Zeitgenossen mit hinreichender krimineller Energie vorteilhaft und auch für Ermittlungsbehörden. Für Letztere ist dies sogar höchstrichterlich abgesegnet:

    https://www.brak.de/newsroom/news/…es-smartphones/

    Interessant hierbei: der BGH erstmals grundsätzlich klargestellt:

    • Biometrische Sperren (Fingerabdruck, Face-ID) können gegen den Willen des Beschuldigten überwunden werden.
    • PINs und Passwörter hingegen dürfen nicht erzwungen werden, da sie vom Schweigerecht geschützt sind.

    Auch hier gilt: was bequem ist (Fingerabdruck, Face-ID), ist nicht sicher. Dann doch lieber PIN eingeben oder Muster zeichnen. Ich habe Biometrie auf meinem Smartphone komplett deaktiviert.

  • Die Gefahr ist eher theoretisch.

    Zum einen verlangt der Chip den PIN wenn versucht wird eine grössere Summe abzubuchen. Üblicherweise ist die Grenze 100€, hängt aber vom Anbieter und dem Reiseland ab. Das begrenzt den Schaden schon mal.

    Und was gerne vergessen geht: Man braucht ja auch noch ein Zahlungsterminal, welches man eigentlich nicht anonym kaufen und verwenden kann und ein Bankkonto, auf welches die Zahlungen gehen. Und sofern man nicht wie von gewissen Usern gewünscht die Kriterien zur Identitätsprüfung bei der Kontoeröffnung aufweicht, hat man also sehr schnell Konten und Personen identifiziert, die zum Missbrauch verwendet werden.

Passende Ratgeber für Dich

Von Finanztip-Experten fundiert recherchiert

Was Finanztip ausmacht
Finanztip Bewertungen