Postbank schafft chipTan ab

[linuxlooser]

D. h. die Bank will mir damit vorschreiben, welches OS ich für Online-Banking benutzen soll.

Ist bei dem App-Müll nicht anders.
Geht nach Auskunft der Bank auf einem Nitrophone auch nicht - muß eins nehmen, das von Google oder Apple kontrolliert wird und schön brav Bewegungsprofile und Aktivitäten nach Hause telefoniert ...

[neanderthaler]

Hallo linuxlooser,

ich habe mir inzwischen so ein Teil von Seal One besorgt. Bei meinem aktuellen Debian 11 bin ich so ein Fall wie du schreibst:

... bei denen aus irgendwelchen Gründen die SW nicht vom Gerät zu starten geht (ich hab dazu eine udev schreiben müssen).

Könntest du mir bitte erklären, wie ich das mit der udev-Regel machen muss. Ich brauche wohl ein ganzes Wochenende um mich da einzulesen, mir fehlt dazu leider nur im Moment die Zeit.

Herzliche Grüße

Neanderthaler

[rockyracoon]

Hallo linuxlooser,

ich habe mir inzwischen so ein Teil von Seal One besorgt. Bei meinem aktuellen Debian 11 bin ich so ein Fall wie du schreibst:

... bei denen aus irgendwelchen Gründen die SW nicht vom Gerät zu starten geht (ich hab dazu eine udev schreiben müssen).

Könntest du mir bitte erklären, wie ich das mit der udev-Regel machen muss. Ich brauche wohl ein ganzes Wochenende um mich da einzulesen, mir fehlt dazu leider nur im Moment die Zeit.

Herzliche Grüße

Neanderthaler

Man muß keine UDEV-Regel oder Sonstiges schreiben.
Man öffnet den Ordner des Geräts und aktiviert es, indem man der einfachen Anweisung des Benutzerhandbuchs folgt: https://www.seal-one.com/documents/A4_2200_DE.pdf ("4.3 Seal One 2200 unter Linux verwenden").

[debilian]

@linuxlooser und niemand

natürlich habt ihr Recht, SMS ist nicht sicher aber dass jemand meinen Linux-PC hackt und dann meine Sim kopiert, das sehe ich so erstmal nicht.
Habe das eher im Vergleich zu Smartphone APP und Co gesehen, was auch falsch sein kann.

Das optische Verfahren mit dem TAN-Generator mag sicher sein aber für mich sehr stressig, da es in 4 von 10 Fällen nicht funktioniert und so, eine Überweisung zum Lotto wird...

gruss

[mat6937]

Das Interessante ist: es gibt auch ein moderneres Verfahren, das die größten Nachteile des ChipTAN-Verfahrens mit Flickercode beseitigt, aber ansonsten das Gleiche bietet: PhotoTAN hieß es, glaube ich.

BTW: Photo-TAN ist für mich nicht besser als Chip-TAN, weil man beim Photo-TAN-Verfahren für jedes Konto ein eigenes Gerät benötigt und dieses Gerät nur von der Bank, bei der man das Konto hat, bekommt.
Beim Chip-TAN reicht ein Gerät für alle Konten bzw. alle Karten und man kann es beim namhaften Hersteller im Internet, bestellen bzw. kaufen.
Den Flickercode beim Chip-TAN habe ich noch nie benutzt und werden diesen auch nicht benutzen. Ich generiere die TAN immer manuell.

[DeletedUserReAsG]

BTW: Photo-TAN ist für mich nicht besser als Chip-TAN,

Hat sich ja nun schon geklärt, dass PhotoTAN nicht nur eine andere Art ist, die Daten zu übertragen (wie ich es anfangs dachte). Wünschenswert wäre aber genau das: ein Gerät, das im Wesentlichen die Mechanismen des ChipTAN-Verfahrens nutzt, bei dem die Daten aber nicht über eine Zeitspanne via Flickercode reinkommen, sondern auf einmal via zweidimensionalem Muster erfasst werden können (ob nun QR-Code oder buntes Bild, oder was auch immer, wäre dann egal). Hätte die gleichen Vorteile wie ChipTAN mit dem Flickercode: der zweite Faktor wäre die Karte, das Gerät wäre austauschbar. Technisch wäre sowas problemlos und billig machbar, aber derzeit dreht sich ja leider alles darum, das Zahlvieh zur Datenabfisch-App mit Extra-Bloat zu drängen.

Den Flickercode beim Chip-TAN habe ich noch nie benutzt und werden diesen auch nicht benutzen. Ich generiere die TAN immer manuell.

Welchen Vorteil versprichst du dir davon?

[mat6937]

Welchen Vorteil versprichst du dir davon?

Kein Vorteil, das hat praktische Gründe, weil es manuell auf Anhieb funktioniert (... wenn ich mich nicht vertippe). Ich habe den Flickercode am Anfang probiert und das hat nicht funktioniert (... evtl. sind die Bildschirme die ich benutze zu billig).

[DeletedUserReAsG]

Ich habe den Flickercode am Anfang probiert und das hat nicht funktioniert (... evtl. sind die Bildschirme die ich benutze zu billig).

Meiner Erfahrung nach liegt es meist nicht an den Bildschirmen, der Takt liegt bei um die 10Hz, das sollte selbst das billigste Display hinbekommen. Solange kein sichtbares Tearing auftritt (sprich: die weißen Balken werden sichtbar zerrissen dargestellt) und schwarz und weiß sich deutlich voneinander unterscheiden, ist die Darstellung ausreichend. Die häufigste Problemquelle wäre Fremdlicht, insbesondere aus Leuchtstoffröhren oder eher billigen LED-Lampen mit deutlich ausgeprägtem Flimmern.

Hab gerade noch eine gute Übersicht zum Aufbau dieses Codes gefunden, als ich nach der Frequenz gesucht habe: https://6xq.net/flickercodes/

[neanderthaler]

Hallo rockyracoon,

vielen dank für den Link. Nach dieser Anleitung hat es problemlos funktioniert. In der Readme meines Sticks werden für diesen Fall nur Kommandozeilenbefehle aufgeführt. Die möchte ich eigentlich erst dann verwenden, wenn ich weis was ich damit tu.

Was habt ihr eigentlich für Probleme mit dem flackernden Barcode von chipTan? Ich habe damit kein einziges Mal Probleme gehabt.

Lg

Neanderthaler

[mat6937]

Ich habe damit kein einziges Mal Probleme gehabt.

Das freut mich für dich. Aber das schöne und gute beim Chip-TAN ist doch, dass man auch eine Alternative zum Flickercode hat. Bei all den anderen Verfahren, gibt es so eine Alternative nicht.

[Tintom]

Was habt ihr eigentlich für Probleme mit dem flackernden Barcode von chipTan? Ich habe damit kein einziges Mal Probleme gehabt.

Möglich, dass es an meinem Gerät liegt, aber mir ist folgendes aufgefallen: Mein Gerät ist

• empfindlich bei der Flickerfrequenz: Frequenz zu hoch -> Code kann nicht gelesen werden, Frequenz zu niedrig -> Zeitbedarf zum Codelesen steigt an und damit auch das Risiko, dass man versehentlich mit der Hand wackelt und der gesamte Code erneut gelesen werden muss.
• energiehungrig: Bei ausschließlichem Betrieb mit Flickercode reicht die Batterie für etwa 6 Monate, danach erscheint die Meldung „Batterien leer“ und Flickerbetrieb ist nicht mehr möglich. Der „händische“ Betrieb hingegen schon, so tippe ich jetzt mit derselben Batterie seit drei Jahren manuell ein und frage mich, wann die Batterie endgültig schlapp macht

Persönlich habe ich bei mehreren Banken den Flickercode im Einsatz gehabt und empfand die manuelle Eingabe dabei immer weniger fehleranfällig, weil die Implementierung des Flickercodes abhängig von der Bankwebseite mal mehr, mal weniger sinnvoll umgesetzt wurde.

[uname]

Bei meiner Bank kann man die Daten auch manuell eingeben.

Warum man die Daten nicht einfach über QR-Code bereitstellt (ähnlich Corona-App) erschließt sich mir nicht.
Zudem hängt die Sicherheit des Internet-Bankings nur indirekt von den übertragenen Daten ab.
Die Bank könnte die Daten auch bei Twitter oder Facebook posten.
Ohne die zugehörige EC-Karte wird niemand die korrekte TAN jemals errechnen können.

[rockyracoon]

Info: Heute kam beim Online-Banking die Benachrichtigung durch die Postbank, dass im Mai 2021 das Chip-Tan-Verfahren beendet wird.

Rat: Wenn man beim Postbank-Online-Banking bleiben will, sollte man sich spätestens jetzt ein Best-Sign-Gerät beschaffen, um es mit dem alten Tan-Verfahren noch freischalten zu können.

Meinung: Ich habe mit dem Best-Sign-Verfahren gute Erfahrungen gemacht. Ich finde es wesentlich einfacher als das Chip-Tan-Verfahren.

[thinkofant]

Tagchen

Wenigstens gibt es "Smart"-freie Lösungen! Habe mir mal fix die SealOne Gerätchen angeschaut, sehe dass ich ein Shellscript per wget laden und ausführen soll...
Hat schon jemand Erfahrungen mit diesen Dingern und kann aus der Praxis berichten? Geht's auch anders?

Edit: weitere Lektüre der Bedienungsanleitung des Geräts legt nahe dass sich die Anwendung auch auf dem Gerät selbst befindet und auch dort aktualisiert werden kann.
Bedingung ist aber eine GTK-Oberfläche oder entsprechende - in einer README.txt erläuterte - Handarbeit per CLI.

Grüße
tof

[mat6937]

Ich finde es wesentlich einfacher als das Chip-Tan-Verfahren.

BTW: Das Chip-Tan-Verfahren kann ich mit jedem Betriebssystem benutzen, das Best-Sign-Verfahren kann man (bis jetzt) nur mit Linux und Windows benutzen.

[DeletedUserReAsG]

Meinung: Ich habe mit dem Best-Sign-Verfahren gute Erfahrungen gemacht. Ich finde es wesentlich einfacher als das Chip-Tan-Verfahren.

Joa … wem’s egal ist, solchen Kram über Mobildevices, über die man selbst keine Kontrolle hat, laufen zu lassen, oder eine Anwendung, über die man selbst keine Kontrolle hat, am Paketmanagement vorbei auf seinen Rechner zu packen und dort laufen zu lassen, für den ist dieser BestSign-Kram sicher ganz toll.

Ironie am Rande: sie zwingen’s einem mit dem Hinweis auf, dass es ja soviel einfacher und weniger aufwendig zu nutzen wäre. Also ich halte es für einen deutlich höheren Aufwand, deren Software in eine VM zu sperren, oder ein Extragerät für deren Spyware anzuschaffen, um nicht die Kontrolle über den Rest zu verlieren. Vermutlich meinten sie, dass es einfacher und weniger aufwendig für sie selbst wäre – weil sie den Vorgang an einen Drittanbieter outsourcen können, der selbstverständlich dann auch Zugriff auf meine persönlichen Daten hat – ohne, dass ich sie freigegeben hätte, oder ausdrücklich darauf aufmerksam gemacht worden wäre …

Wie sieht’s eigentlich aus, wenn sie mal beschließen: „Für die 0,0021% des Zahlviehs, die Linux nutzen, rechnet es sich nicht, die Software anzubieten“. Diese Pseudo-Standalone-Geräte benötigen die Software aber, und die alternativ zu verwendende App läuft wohl nicht auf befreiten (auch genannt: gerooteten) Smartphones – und was mache ich dann?

Meine Meinung: sehr dreister Zug des Ladens – leider gibt es keine Alternativen, die langfristig sichere, technologieneutrale Verfahren anbieten.

[thinkofant]

und was mache ich dann?

Meine Meinung: sehr dreister Zug des Ladens – leider gibt es keine Alternativen, die langfristig sichere, technologieneutrale Verfahren anbieten.

Hallo nessuno

Edit: Nach lesen der anderen 3 Seiten dieses Threads wird mir peinlich bewusst daß an mir völlig vorbeiging daß es schon die ganze Zeit um BestSign ging! Man streiche meine Nachfrage zu mehr Input! Ich hatte den Thread vor ein paar Wochen schonmal gelesen, aber anders einsortiert! Passiert mir sonst nicht...


Bin im Kern der Sache voll bei dir! Besonders der Punkt "Wie lange kann ich DAS nutzen?" falls ich es denn nutzen würde.
Ich freute mich ja schon darüber dass es das wenigstens GIBT! Andere Banken meinen "App oder stirb!" ohne je was anderes anzubieten.
Besonders dreist ein ungenanntes Finanzinstitut dass zwar anbietet ein Foto-TAN-Gerät zu nutzen, dieses kann ich aber nur per (nicht vorhandener) Kreditkarte oder PAYPAL bezahlen wenn ichs denn kaufen wollte Man akzeptiert keine direkte Überweisung von der Bank für die man das Ding erwirbt!!

Weiterer Punkt: Selbst wenn man sich entschließt die Kröte zu schlucken und ein BestSign-Dings anschafft: So hat man ein Gerät für eine Sache (Es sei denn man ist auch noch bei der Deutsche Bank Polska ). Schon eine zweite Bank o.ä. kocht ein anderes Süppchen und man fängt von vorne an. Mein ChipTAN Gerät funktioniert(e) auch bei der Bank meiner Partnerin und sogar dem Kollegen bei der übernächsten Bank kann ich es geben und es funzt.

Wie also geht es weiter? Apps auf Mobiltelefonen (für mich vollkommen ausgeschlossen) vs. Sieben dampfende Suppentöpfe mit jeweils anderem hauseigenem Gebräu... (auch ausgeschlossen) So kann doch die Zukunft nicht aussehen...? Lebst du auf dem Lande dann kannst du dir gerade Live anschauen wie aus Jahrzehnte alten Bankfilialen nach und nach entweder Dönerbuden oder im besten Fall noch Automatenhäuschen werden

*bevor jemand Steine wirft: Ich mag Dönerbuden und deren Betreiber nicht weniger als jeden beliebigen anderen Gastronomiebetrieb. Es geht allein um die Absenz der Bank. (schlimm genug dass ich das noch drunterpinnen muss )


Grüße
tof

[KP97]

Es geht allein um die Absenz der Bank. (schlimm genug dass ich das noch drunterpinnen muss :P)

Hättest Du nicht gemußt, hier darfst Du das noch sagen...

Zu BestSign:
Entweder wechselst Du zur Sparkasse, die bieten ChipTan und ChipTan USB an, und Du kannst Dein Gerät weiter benutzen.
Oder Du bleibst bei der Postbank und kaufst ein weiteres Gerät. Es gibt einen interessanten Beitrag im Onlinebanking Forum:
https://homebanking-hilfe.de/forum/topic.php?t=25012

Etwas OT:
Hibiscus kann ich ohnehin empfehlen, das direkte Webbanking sagt mir eher nicht so zu.
Ich nutze Hibiscus schon seit vielen Jahren mit einer HBCI-Chipkarte und einem ReinerSCT Kartenleser.
Leider hat die 1822direkt den Chipkartenzugang zum Ende 2021 abgekündigt.
Da ich _kein_ Smartphone besitzen will, habe ich mich für smsTan entschieden. Ich besitze ein altes Handy, das ich nur für diesen Zweck einschalte, alle 90 Tage die Tan ablese,
diese anschließend lösche und das Handy wieder ausschalte.
Obwohl die 1822 zur Sparkasse Frankfurt gehört, bieten die leider kein ChipTan USB an. Ich hatte auch überlegt, mit meinen Konten zur örtlichen Sparkasse zu wechseln, aber für meine Nutzung reicht mir dieser Ablauf vollkommen aus. Und ich bin mit der 1822direkt seit Jahren sehr zufrieden, daher lasse ich das erstmal so.

[Skeptiker]

mat6937 schrieb:
>>Welche Rolle spielen die Server von SealOne bei einer Transaktion (beim Online-Banking), die ich mit einem Gerät von SealOne mache? Wird (und wenn ja warum?) SealOne jedesmal in eine Transaktion involviert? Ich denke, das sind Fragen die SealOne und/oder die Bank von sich aus, schon im Vorfeld beantworten sollte.<<

In einem Interview in einer Finanzmagazin sagt der Seal One Inhaber:

>>Seal One betreibt auch die Systemkomponenten für die Multibanking-Fähigkeit der Seal One Devices.

Wie funktioniert das?

Die Bank verbindet sich nicht direkt mit unseren Endgeräten, sondern die Nachrichten werden über Seal One Server weitergeleitet. Es handelt sich hierbei um eine Art „Postverteilzentrum“- in das verschlüsselte Pakete abgelegt und von den Endgeräten abgeholt werden. Seal One hat hierbei keinerlei Zugriff auf die Inhalte dieser verschlüsselten Nachrichten, da die Schlüssel zur Entschlüsselung und Signatur nur in den Geräten selbst sind. Dieser Punkt ist uns sehr wichtig, da wir selbst niemals Zugriff auf Daten von Endkunden unserer Partner haben wollen. Durch dieses Vorgehen ist dies technisch völlig ausgeschlossen. Wir sind mit diesem Service seit 2011 live und haben seitdem keinerlei Downtime!<<

Also geht es doch über den SealOne-Server statt direkt mit dem Postbank-Server!
Ob die wollen oder nicht, SealOne weiß dann einfach zuviel über Dich!
Die absolute Forderung ist: Es muss alles direkt mit dem Bank-Server abgewickelt werden.
Das würde ich von einer Bank erwarten!

[Christoph Franzen]

„Direkt mit der Bank“ findest Du fast nirgendwo mehr. Die Sparkassen haben ein zentrales Rechenzentrum und die Raiffeisens auch (Fiducia/GAD). Die Privaten machen, was ihnen gerade einfällt und können sich auch jederzeit einen neuen Dienstleister suchen, ohne Dir das unwichtige Detail aus ihrem unternehmerischen „Verantwortung“sbereich (nicht daß jemals einer von denen zur selbigen gezogen würde, sollte doch was schiefgehen) mitzuteilen. Die Postbank gehört inzwischen ja zur Deutschen Bank und die HABEN meines Wissens nach sogar was eigenes, aber den Postbank-Kunden wird's vorenthalten, bei der DB selbst und Noris gibt es immerhin Photo-TAN (auch eigenes Gerät, weil Schlüssel da drin statt in Chipkarte – „natürlich“ kann man den Generator nicht bei der Konkurrenz einsetzen). Was umweltschützerisch verwerflich ist, findet der gemeine Bankster halt ganz toll. Der will auch keine Sicherheit, der freidrehende Schlipsteräger will Kosten sparen und das bedeutet, daß die Dir die „beliebtesten“ Verfahren aufdrücken, auch wenn sie unsicherer sind. Die wollen auch gar nicht, daß Du Gnucash oder Hibiscus oder sowas zum überweisen nimmst, derweil kann der Marketing-Kokser Dich ja nicht auf der Webseite mit Werbung hirnwaschen. Meine Meinung: Privatbanken meiden und sich was aus dem genossenschaftlichen oder öffentlichen Sektor suchen, die machen es noch als Einäugige unter den Blinden halbwegs vertrauenswürdig und mit mindestens einem brauchbaren Verfahren. Für mich persönlich heißt brauchbar: ohne Mobilfunk-Zwang (ja – auch ohne SMS) und ohne institutsgebundenes Spezialgerät und erst recht ohne Server von Hinz oder Kunz.

[Christoph Franzen]

BTW: Photo-TAN ist für mich nicht besser als Chip-TAN,

Hat sich ja nun schon geklärt, dass PhotoTAN nicht nur eine andere Art ist, die Daten zu übertragen (wie ich es anfangs dachte). Wünschenswert wäre aber genau das: ein Gerät, das im Wesentlichen die Mechanismen des ChipTAN-Verfahrens nutzt, bei dem die Daten aber nicht über eine Zeitspanne via Flickercode reinkommen, sondern auf einmal via zweidimensionalem Muster erfasst werden können (ob nun QR-Code oder buntes Bild, oder was auch immer, wäre dann egal). Hätte die gleichen Vorteile wie ChipTAN mit dem Flickercode: der zweite Faktor wäre die Karte, das Gerät wäre austauschbar. Technisch wäre sowas problemlos und billig machbar,

… und es existiert genau so, wie Du es beschrieben hast: nennen sie hier „ChipTAN-QR“ und dort „Sm@rt-TAN photo“ und kannst Du für knappe 22 Münzen bei den Online-Hökern der Sparkassen und der Genossenschaftsbanken erstehen. Deren Rechenzentren können das auch, was leider nicht zwingend bedeutet, daß das wirklich alle Institute anbieten. Ich hatte da ein Konto bei so einer Klitsche, die später verkauft worden ist und die waren zwar bei der Fiducia „eingemietet“, meinten aber, nur Webkrams machen und von Papier-TAN auf nur SMS umsteigen zu müssen, nix FinTS- oder EBICS-Zugang.

[ThoRHam]

Fände es besser wenn es da einen gemeinsamen Standard für diese ganzen Hardware Lesegeräte der Banke gäbe, so dass man ein Gerät für alle Banken hat.

Was mich wundert ist das es bei den ganzen Banken kein OTP(one time password) gibt um Logins zusätzlich abzusichern. Dafür gibt es fertige Software die man auch als Paket installieren kann und für verschiedene Finanzinstitute wirklich sehr einfach verwenden könnte. OTP wird schon bei vielen Krypto-Börsen genutzt und ich habe nur eine Software für alle Krypto Börsen und bisher funktioniert es einfach und reibungslos.

[Christoph Franzen]

Fände es besser wenn es da einen gemeinsamen Standard für diese ganzen Hardware Lesegeräte der Banke gäbe, so dass man ein Gerät für alle Banken hat.

Mit EBICS gibt es immerhin erstmals was mehr oder weniger europaweit benutzbares, auf das sie sich entgegen alter Gewohnheiten geeinigt haben. Wie immer steht denen aber ihre Geldgier im Wege: die Sparkassen erheben dafür obszöne Geschäftskunden-Preise, die DKB, die hier gut als branchentypisches Negativbeispiel dienen kann, bietet es für Privatkonten gar nicht erst an (obwohl das technisch selbstverständlich problemlos ginge), die drängen einen zur Smartphone-App hin, zum grottigsten unter den als „halbwegs sicher“ geltenden Verfahren – das bekommt man als einziges nach Kontoeröffnung automatisch freigeschaltet, Chip-TAN muß man per Schneckenpost nachbestellen und bekommt es nicht ordentlich dokumentiert.

[…] OTP(one time password) […] Dafür gibt es fertige Software die man auch als Paket installieren kann und für verschiedene Finanzinstitute wirklich sehr einfach verwenden könnte. OTP wird schon bei vielen Krypto-Börsen genutzt und ich habe nur eine Software für alle Krypto Börsen und bisher funktioniert es einfach und reibungslos.

Interessant, was nimmst Du da? Ich hatte mir JAuth heruntergeladen und da kann ich schon verstehen, daß eine Bank das nicht einsetzt, weil es nicht mal ansatzweise Idioten-kompatibel ist: fast undokumentiert, die Uhr muß bei dem Zeugs ordentlich gehen (weiß nicht, ob nur „relativ“, falls nicht: schon ein Hindernis für Leute, denen es am Arsch vorbeigeht, wenn die BIOS-Batterie leer ist und täglich wieder der 1.1.2000). „Umständlich“ ist das aus der Sicht des Smartphone-Jüngers auch.

[ThoRHam]

Interessant, was nimmst Du da?

Nutze für OTP unter Debian den otpclient einfach von der Kommandozeile, habe für jede meiner Börsen einen Alias angelegt, so klappt das im vorbeigehen

Auf meinem Smartphone nutze ich SailOTP Dort lassen sich ebenfalls bequem mehrere Accounts hinterlegen. Auf f-droid gibts auch mehrere OTP Äpps die auch bei mir funktionieren, aber da ich ein Sailfish OS Phone habe nutze ich lieber einen der für meine Plattform gemacht ist, also direkt nativ ohne VM.

Find es ebenfalls sehr schade, das viele Banken einen zu einen Google Account zwingen. Mit ihren ganzen drecks-Äpps die dann nur im G-Playstore oder bei Äpple zu laden sind. Hatte schon bei manchen Banken gefragt wie man das denn nun nutzen soll, wenn man keinen Google Account hat. Da kam dann oft voller unverständnis zurück: "Dafür brauchen sie keine Google Accout, sie müssen die Äpp einfach in ihrem Playstore auf den Smartphone laden" Okay, und wem gehört dieser Playstore fragte ich? Dann kam der Bankmitarbeiter auch etwas im Grübeln und wusste vllt. wie tief die alle schon in Google drin stecken