Pixelio.de / Gerd Altmann
N58KSTSQ2XN7
Aus Sicherheitsgründen stellen Banken die bisherigen Legitimationsprüfungen im Online Banking um. Dabei bleiben mitunter Komfort und Kundenzufriedenheit auf der Strecke. Ein Fallbeispiel, geschildert mit der Brille des kritischen Kunden.
Partner des Bank Blogs
Neues TAN Verfahren wird eingeführt
Nun ist es also soweit: Meine Bank hat mich darüber informiert, dass das bisherige iTAN Verfahren abgelöst wird und ich nun bitte ganz schnell wählen soll zwischen SMS TAN oder Chip TAN. Außerdem sollen die neuen Verfahren nun sogar etwas kosten, während das bisherige Online-Banking kostenlos war. Dabei wurde und wird das von mir genutzte Kontomodell als „kostenloses Girokonto“ beworben.
Das kann doch wohl nicht sein, habe ich mir also gedacht. Zum einen würde ich gerne weiterhin das iTan Verfahren nutzen, zum anderen will ich für ein mir als kostenlos verkauftes Online Konto auch weiterhin nichts bezahlen, zumal, wenn ich das für meine Bank kostengünstige Online Banking nutze.
Meine Reaktion und die Antwort meiner Bank
Also flugs eine Mail an die Bank geschrieben und meinen Unmut kundgetan.
Eine Antwort kam postwendend. Vermutlich war ich nicht der erste Kunde, der in der Sache nachgehakt hat. Allerdings tat sich die Stelle meiner Bank schwer damit, eine passende Antwort auf meine Beschwerde zu finden. Hier einige (anonymisierte) Auszüge aus der Antwort:
Ihren Unmut über die Umstellung des Systems bedauern wir sehr.
Schöne Standardfloskel, aber die gehört halt dazu;-)
Wir können verstehen, dass Sie über den damit für Sie verbundenen Aufwand – und auch den Preis – unzufrieden sind.
Na immerhin.
Grundsätzlich ist das bisher genutzte Verfahren natürlich sicher – sonst hätte unser Haus dies nicht im Einsatz.
Ich hatte bislang nie das Gefühl, dass meine Bank mir unsichere Überweisungsverfahren anbietet. Scheinbar aber doch. Denn was bedeutet denn „Grundsätzlich sicher“? Das heißt doch im Endeffekt „unsicher“, oder?
Dennoch ist es in der Vergangenheit vermehrt zu Phishing und Trojaner Attacken Dritter auf Computer von Homebanking-Nutzern gekommen.
Ja, darüber habe auch ich viel gelesen und gehört. Mich selbst hat es zwar noch nicht getroffen, ich bin aber auch vorsichtig. Ich weiß aber auch, dass nur sehr wenige Banken hier wirklich aktiv sind. Die meisten nehmen das einfach in Kauf.
Daher haben sich sehr viele Kreditinstitute – im Interesse unserer Kunden auch unser Haus – zur Erhöhung der Sicherheit dazu entschieden, auf das für den Endanwender deutlich sicherere SMS-TAN-Verfahren bzw. Chip-TAN-Verfahren umzustellen.
Schäden aus solchen Vorfällen müssen ja von den Banken getragen werden. Also zu wessen Vorteil wird das neue Verfahren eingeführt?
SMS-TAN-Verfahren bzw. Chip-TAN-Verfahren bieten Ihnen optimale Sicherheit für Ihr Online-Banking, da zwei Kommunikationsmedien (Computer und Handy bzw. Computer und TAN-Generator) eingesetzt werden. Jede TAN wird daher individuell erzeugt und kann nicht anderweitig verwendet werden.
Auch über die neuen Verfahren konnte man schon viele Bedenken lesen. Also ist es nur eine Frage der Zeit, bis auch diese wieder durch andere ersetzt werden. Und der Komfort ist dahin: Bei fünf Überweisungen muss ich zukünftig fünf SMS lesen, statt einfach in einer Liste Nummern abzuhaken.
Der Preis für das SMS-TAN-Verfahren beträgt lediglich rd. 0,42 € monatlich, also 5€ jährlich, für das Chip-TAN-Verfahren erwerben Sie einmalig den TAN Generator für nur 11,95 € (zzgl. Versand). Wir denken, dass Sicherheit diesen Preis wert sein darf und hoffen, Sie mit unseren Argumenten überzeugen zu können.
Klingt preiswert, aber bisher war Online-Banking aus guten Gründen kostenfrei und auch so beworben. Nun soll ich für etwas bezahlen, was nicht nur komplizierter ist sondern was ich auch gar nicht will?!
Was machen andere Banken?
Demgegenüber z.B. die ING DiBA auf ihrer Webseite
Mobile TAN
Die ING-DiBa plant für das dritte Quartal die Einführung der mobilen TAN (auch „mTAN“ oder „SMS-TAN“ genannt). Wenn es soweit ist, informieren wir Sie an dieser Stelle über die Einrichtung und Nutzung dieses kostenlosen Service.
Hier bleibt es also bei der Kostenfreiheit, wie übrigens auch bei vielen anderen Banken, Sparkassen oder Volksbanken, die das neue System einführen.
Mit meiner Bank habe ich jetzt erst mal für ein Jahr Kostenbefreiung ausgehandelt. Ich hoffe, dass in dieser Zeit Einsicht bei den Verantwortlichen einkehrt, dass man Kunden nicht vom Online Banking verprellen sollte und damit die Bepreisung zurück genommen wird.
Nachsatz:
Ich habe jetzt die Umstellung im Internet veranlasst. Auch hier muss jeder Kunde selbst aktiv werden (Service?). Dabei wurde u.a. ein Einverständnis mit den Geschäftsbedingungen für das Online-Banking abgefragt. Besonders interessant fand ich den folgenden ausdrücklichen Zusatzhinweis:
Hiermit stimme ich den Bedingungen für das Online-Banking zu und stelle sicher, dass der Empfang der smsTAN und deren Eingabe im Online-Banking nicht über dasselbe Endgerät (z.B. internetfähiges Handy) erfolgen.
Wie bitte? Ich darf mein Handy nicht mehr für Online-Banking benutzen? Wozu bietet mir meine Bank dann ein App dazu an? Ob das so wirklich bis zu Ende durchdacht wurde?
Da wird ein Vertriebskanal in den die gesamte Bankenlandschaft derzeit munter investiert und von dem täglich zu lesen ist, dass es der Kanal mit Zukunft sei einfach so nebenbei dicht gemacht. Handy-Banking? Das war gestern. Ab morgen dürfen Sie nicht mehr!
Das kann doch wohl nicht so gemeint sein, oder?
17 Kommentare
Sehr schön aus dem Alltag gegriffen und leider nicht ungewöhnlich. Dies unterstreicht einmal mehr, wie wenig Gedanken man sich in den Instituten macht, um eine wirklich kundenfreundliche Usability zu realisieren. Im Zweifel wird dann (oft freilich nachvollziehbar) das Sicherheitsargument gezogen.
Hallo Herr Elsner
danke für Ihren Kommentar. Banken (aber nicht nur die) sollten sich halt angewöhnen, eine Aktion auch mal bis zum Kunden durchzudenken…
Beste Grüße
Hansjörg Leichsenring
Der neue Sicherheitswahn hat mich vergangene Woche erreicht, als mir meine Mutter verzweifelt ihr Leid mit dem neuen Chip-TAN-Verfahren geklagt hat. Bei der dortigen Genossenschaftsbank belaufen sich die Kosten auf lediglich 6 Euro für das Gerät. Ich erinnere mich, dass bereits vor vielen Jahren, ein Kartenleser für das Login nötig war. Zwischenzeitlich kam von solchen aufwendigen Verfahren glücklicherweise wieder ab.Generell dürfte auch das neue Verfahren nicht auf Dauer 100% sicher sein, da sowohl EC-Karten, als auch Lesegeräte sicherlich nicht unmanipulierbar produziert werden. Im übrigen halte ich das Verfahren mit dem Ablesen eines hochfrequenten Codes vom Monitor nicht unbedingt für alle Menschen gesundheitsförderlich…Chip-TAN-Verfahren
Hallo Herr Schmidt
besten Dank für das zusätzliche Beispiel.
Freundliche Grüße
Hansjörg Leichsenring
Da bleibt mir nur noch mit einer Prise undeutschem Humor zu bemerken, der Kunde ist die Killerapplikation und nicht umgekehrt….
Hallo Herr Lochmaier
naja, der Kunde sollte letztlich im Mittelpunkt bei Banken stehen, oder?
Beste Grüße
Hansjörg Leichsenring
Der Artikel ist interessant, bewußt provokant in Richtung Kreditinstitut geschrieben und läßt in meinen Augen eine gewisse Aufklärung und Beleuchtung der Hintergründe vermissen (das wäre sicherlich gut für einen weiteren Artikel).Ja, ich arbeite für ein Kreditinstitut und Ja, es ist meine Aufgabe den Kunden nicht immer nur neue Sicherheitsverfahren und Preise zu präsentieren, sondern in meinen Augen ist es insbesondere wichtig aufzuklären. Aufzuklären über die rechtlichen Rahmenbedingungen, aufzuklären über die technischen Rahmenbedingungen und was ein Nutzer eines Systems tun muß, damit wirklich nichts passiert.Sie können 100%ig davon ausgehen, dass alle Banken liebend gerne noch immer mit TAN-Bögen arbeiten würden, wenn dieses Sicherheitsverfahren nach dem heutigen Stand der Technik (insbesonder bei den Betrügern) als sicher anzusehen ist. Die heutigen Zwei-Schritt-TAN-Verfahren binden den Kunden in den Sicherheitsprozess mit ein. Er selber hat´s in der Hand die Daten zu kontrollieren, die im Zusammenhang mit seiner TAN erforderlich sind – unterläßt er diese Kontrolle wäre das genauso, alsob ich ein Hochsicherheitsschloß einbauen lasse und gleichzeitig den Schlüssel stecken lasse.In der kürze der Zeit kann ich leider nicht auf alle Aspekte des Artikels eingehen, freue mich jedoch auf eine Fortsetzung, die die Hintergründe der Vorgehensweisen vieler Banken beleuchtet und damit Verständnis oder Unverständnis erzeugt – ich bin gespannt.
Freundliche Grüße
Thomas Albrecht
Lieber Herr Albrecht
Herzlichen Dank für Ihre Hinweise. Ja, ich gebe zu, hier bewusst etwas provoziert zu haben. Sie haben mit Ihren Anmerkungen natürlich recht, dass Sicherheit wichtig und notwendig ist.
Der Kunde bleibt hier zumindest teilweise auch das „schwache“ Glied in der Kette und die ist halt nur so stark, wie das schwächste Glied…
Ziel sollte es sein, Sicherheit und Convenience miteinander zu kombinieren. Beim letzteren sehe ich bei den Banken derzeit noch Raum für Verbesserungen. Ein Stichwort, das mir spontan einfällt heißt „Biometrie“.
Da Sie ja geschrieben haben, dass Sie an einer der Schnittstellen tätig sind, lade ich Sie herzlich ein, einen Gastbeitrag zum Thema hier im Blog zu publizieren.
Wie wär’s?
Beste Grüße
Hansjörg Leichsenring
One Time Password per Anruf
In Italien hat die smsTAN nie Fuß gefassen, eher noch die ChipTAN mit
dem Zusatzgerät. Letztere ist durch das zwingende Mitführen des
TAN-Generators nicht wirklich „mobil“ (wer schleppt schon den Generator
immer mit sich rum?).
Das Handy als stetigen Begleiter (das es heutzutage größtenteils ist)
als Zweitgerät zu nutzen ist von daher ein sinnvoller Grundgedanke. Dass
aber ein mobiles Banking auf ein und denselben Gerät nicht erlaubt (und
teilweise aufgrund fehlender Multitaskingfähigkeit technisch nicht
möglich) ist – lässt dieses Verfahren – insbesondere mit Blick auf den
Trend zum mobilen Banking – ausscheiden.
Als mobile, einfache und ebenso sichere Lösung, bietet sich ein System „OTP-GSM“ genannt an. Dabei wird ein Code bei online Auftragsbestätigung generiert (unabhängig
ob mobil am Smartphone oder am heimischen Rechner), welcher vom Kunden
per kostenlosem Anruf (bzw. beim Entgegennehmen des automatisierten
Anrufs vonseiten der Bank) per Eingabe mit der Handy-Tastatur (egal ob
touch oder physisch) bestätigt wird.
Die selben Vorteile wie die smsTAN (durch den direkten Verbindungskanal
prinzipiell sogar sicherer als SMS-Empfang), ohne deren Beschränkung
(und kostenfrei, wenn die Bank Spesen nicht auf die Kunden abwälzt).
Knackpunkt Roaming-Gebühren:
Aufgrund bestehender Datenschutzgesetze innerhalb Europas und
überstaatliche Verträge zwischen Mobilfunkanbietern, können im Ausland
Spesen anfallen (im europäischen Ausland durch EU-Richtlinien – endlich –
gedeckelt).
Ab da ist’s für den Kunden nicht mehr kostenfrei, wenn sich auch die
Roaming-gebühren im Cent-Bereich (innerhalb Europa) bewegen.
Als Lösung bietet so manche Bank den Verbleib bei traditionelleren
Autorisierungs-Verfahren an. Seriöse Banken werden (und müssen
großteils) bei eventuellen Schadensfällen den Kunden nicht hängenlassen.
Wieso aber wechseln?
Zum einen wird der Fehlerfaktor „Mensch“ eliminiert und Betrügern somit
der Wind aus den Segeln genommen (ohne jetzt auf Details von SIM-Karten
Sicherheit und Funktionsweise einzugehen).
Zum anderen ist das System erstaunlich komfortabel; skeptische Kunden
sind nach anfänglicher Ablehnung doch umgestiegen – das Handling dieser
Methode überzeugt im Selbsttest – sogar technikfremde Kunden.
Natürlich ist keines der Systeme der „Stein der Weisen“, doch auch
Banken müssen sich den Zeiten anpassen und Risiken minimieren, nicht
zuletzt, um die Kunden weiterhin attraktiv bedienen zu können.
Selbst anfänglich gegen obgenanntes Verfahren negativ eingestellt,
musste ich nach Tests feststellen, dass meine Skepsis unbegründet war
und dass OTP-GSM per Anruf sogar komfortabler als das Ablesen
irgendwelcher Zeichenfolgen von zwingend mitzuführenden Karten oder noch
schlimmer Generatoren im unmobilen Taschenrechner-Format ist.
Ich als Kunde (und Mitarbeiter einer Bank) wurde positiv überrascht –
was mir ansonsten im Bankbezug nur sehr selten passiert ist. Weitaus der
Großteil der Kunden-Feedbacks fällt ebenso positiv aus.
Manchmal können solche technischen Weiterentwicklungen (und
Notwendigkeiten) also doch mit einem spürbaren Mehrwert für den Nutzer
ausfallen.
Sehr geehrter Herr Wohlgemuth
herzlichen Dank für den ausführlichen Kommentar und die darin enthaltenen interessanten Informationen, die eine echte Bereicherung darstellen.
Beste Grüße ins schöne Südtirol
Hansjörg Leichsenring
Ich kämpfe seit 14 Tagen mit der BBBank, da ich nicht auf das sm@rt-Tan Verfahren bzw. das mTan Verfahren umstellen will! Ich möchte meine Papier ITAN-Liste behalten. Die habe ich sicher zu Hause und keiner kann auf die Daten zugreifen.
Nun bin ich mit dem BBBank – Konto handlungsunfähig. Ich kann keine Überweisungen mehr durchführen. Zum Glück habe ich noch ein DIBA – Konto, aber das Guthaben reicht nicht für alle fälligen Überweisungen.
Bei der Diba wurde mir bestätigt, dass die ITAN-Liste beibehalten wird. Also muss ich nun das BBBank Konto auflösen.
Ich muss nun irgendwie das Geld von der BBBank zur DIBA Bank bringen.
Ärgerlich ist, dass nach Kontoeröffnung in 2002 die BBBank-Filiale in unserer Stadt geschlossen wurde und ich 70 km weit zu eine BBBankf Filiale fahren muss. Dafür muss ich auch noch einen Tag Urlaub nehmen, damit ich während der Geschäftszeiten der Bank die Kontoauflösung veranlassen kann.
Ja, ein Bankwechsel ist nie leicht. Früher sagte man dreimal umgezogen ist wie einmal abgebrannt. Beim Bankwechsel hat man durchaus das Gefühl, als ob ein Umzug reichen würde …
Beste Grüße
Hansjörg Leichsenring
Sorry, wenn Du der Meinung bist, dass das so ist, dann wünsch´ ich irgendwann viel Spaß beim unfreiwilligen Geldverteilen an arme Cyberpiraten, die Deinen Rechner mit netter Software beglücken und Du nicht merkst was geschieht. iTAN ist mehr als out und die neuen Verfahren sind keine Willkür der Banken.
Hallo Herr Leichsenring,
ich vermisse in Ihrem Beitrag eine positive Aussage darüber, welches Sicherheitsverfahren Sie für angemessen halten und wer die Kosten dafür übernehmen soll. Des Weiteren frage ich Sie, ob Sie von Ihrer Bank ein Verfahren angeboten haben möchten, das nicht dem neuesten Stand der Technik entspricht.
PS: Sind Sie schon einmal über andere Sicherheitsmedien informiert worden?
AP
Hallo Herr Peter
aus meiner Sicht kommen z.B. biometrische Verfahren in Frage. Dazu gibt mein Artikel Biometrie: Neue Sicherheit für Bankkunden einen ersten Ein- und Überblick.
Beste Grüße
Hansjörg Leichsenring
Seit vielen Jahren im Web und mit dem Computer mehr als vertraut, komme ich mit dem neuen Online-Banking-Verfahren kaum klar- ein echter Zufall, wenn kurz vor der Sperrung die Überweisung klappt. Ich mache nicht so viele Überweisungen und so ist das Handling in dieser Sache nicht geläufig, auch nicht wirklich verständlich. Die Postbank hat mal eben fix die Freigabe der Karten vergessen und so muß alles nochmal und nochmal eingegeben werden- manchmal machen wir dieses Prozedere zu zweit..
Nun wurde wieder etwas umgestellt, was die erneute Eingabe von einer Grundziffer und wieder neuem Prozedere nötig macht, was alle Überweisungsdaten in die kleine fuzzelige Box eingeben muß (wobei das Komma nur durch Zufall entdeckt wurde) .. selbst das Portal ist so, daß ich eher an ein Pishing, denn an eine seriöse Bank denken muss und erst einmal dort angefragt habe, ob die ihren Auftritt verändert haben..
„Service“ ist das mit Sicherheit nicht. Sowie ich eine Möglichkeit entdecke, daß Onlinebanking einfacher geht oder eine Bank, die mir vertrauenswürdig scheint und die einen Schalter in der Nähe hat, werde ich -nach bald 40 Jahren- den Anbieter wechseln.
Vielen Dank für den Kommentar. So wie Ihnen geht es bestimmt vielen Kunden
Beste Grüße
Hansjörg Leichsenring