Transport PIN und Karte im gleichen Postkasten

[#1]

Servus Community,

am 04.12. habe ich eine neue Karte für meine bessere Hälfte bestellt.

Lieferscheindatum 08.12.

Datum auf dem Brief mit der Transport PIN 08.12.

Nur mal so in die Runde. Ist das bei uns jetzt ein Einzelfall, sicherheitstechnisch schon bedenklich genug, oder haben Andere diese Erfahrung auch schon gemacht.

Nach dem sich die Deutsche Post auch mit Sub Sub Unternehmen aushilft weiß ich nicht ob und in wie weit dort alles sauber läuft. Vertrauen geht irgendwo gegen Null. 

In diesem Fall zum Glück nichts passiert, beide Briefe sind wohl behalten angekommen. Lagen aber zeitgleich im Postverteilzentrum, im gleichen Fahrrad des Briefboten,.... und ich lagere den Brief und die Karten an getrennten Orten....

[#2]

Unerhört! Wir müssen zu den guten, alten Zeiten aus 1980 zurück! Das darf nicht passieren! Zur Not muss die Post sicherstellen, dass beide Briefe niemals zusammen kommen! Das muss geprüft und kontrolliert werden. Sofort! 

[#3]

Wenn man (Datev) sich schon Sicherheitsgedanken und die Mühe macht, Karte und PIN getrennt zu versenden, empfiehlt sich ein zeitlicher Abstand. Und zwar beim Verlassen des Hauses, nicht beim Drucken des Lieferscheins. 😅

Sonst kann man (Datev) sich auch das zusätzliche Porto sparen.

[#4]

---

@Gelöschter Nutzer  schrieb:

Unerhört! Wir müssen zu den guten, alten Zeiten aus 1980 zurück! Das darf nicht passieren! Zur Not muss die Post sicherstellen, dass beide Briefe niemals zusammen kommen! Das muss geprüft und kontrolliert werden. Sofort! 

---

Sie haben aber jetzt den Ironie-Smiley vergessen, oder?

Sich tagsüber 43mal (habe heute mit den Cloud-Lösungen von DATEV Personal gearbeitet) erneut anmelden zu müssen passt nicht so recht in den lässigen Umgang mit Hardware-Sicherheitslösungen.

[#5]

Sind wir mal ehrlich: hätte ich mich auf SmartCard-Klau spezialisiert, dann wäre das für meinen Business-Käs' völlig unerheblich, ob die DATEV den Stick heute und die Transport-PIN übermorgen versendet. Denn wenn ich heute, weil ich Briefzusteller bin oder im Verteilzentrum schaff, Zugriff auf den einen Brief habe, dann fällt es mir nicht schwer, morgen, übermorgen oder wann auch immer Zugriff auf den anderen Brief zu erhalten. Daher ist der getrennte Versand von Stick und Transport-PIN auch keine wirkliche Absicherung gegen diese Art des Angriffs. Konsequent wäre, würde DATEV zwei UNTERSCHIEDLICHE Transportmedien wählen… Alles andere ist Schönwetter-Security.

[#6]

Sie mögen ja Recht haben, wenn es wirklich jemand darauf anlegt. Ich halte den Aufwand dafür aber schon für recht groß. Anyway, die Transport-PIN per DATEV Mitteilung, im MyDATEV-Portal oder sonstwo papierlos zur Verfügung zu stellen wäre sicherer.

Hier geht es aber sicherlich um "Gelegenheit macht Diebe". Und darum, dass DATEV auf der einen Seite mit allerlei Sicherheits-Hokuspokus Arbeitsabläufe stört, andererseits aber keinen großen Wert darauf legt, Briefe zeitlich von einander angemessen zu trennen. 

[#7]

Jammern auf hohem Niveau, denn wer sagt denn, daß die DATEV die Briefe nicht getrennt haben könne? Lag halt die eine Sendung noch ein paar Tage im Verteilzentrum oder hat irgendwo eine Extrarunde gedreht ... 

Beispiel: Letzte Woche Freitag nachmittag sagt die Sendungsverfolgung, mein Paket sei in der Filiale, ich könne es bald abholen. Ich also am Samstag da hin, aber nachweislich eigenen Augenscheins war kein Paket für mich da. Am folgenden Montag sagt die Sendungsverfolgung, das Paket sei abgeholt worden. Und seit gestern Mittag soll es wieder im Verteilzentrum liegen (das ist ja nur 25 km weg von hier) und demnächst mal zur Zustellbasis transportiert werden. Fragt sich nur, zu welcher. Also seid froh, solange bei Euch überhaupt noch Post ankommt.

[#8]

---

@dtx  schrieb:

Jammern auf hohem Niveau, denn wer sagt denn, daß die DATEV die Briefe nicht getrennt haben könne?

Das will ich doch bei diesem selbstbewussten Auftreten doch hoffen.

Lag halt die eine Sendung noch ein paar Tage im Verteilzentrum oder hat irgendwo eine Extrarunde gedreht ... 

Kann sein, kann nicht sein. Die Regel ist es aber nicht.

Beispiel: Letzte Woche Freitag nachmittag sagt die Sendungsverfolgung, mein Paket sei in der Filiale, ich könne es bald abholen. Ich also am Samstag da hin, aber nachweislich eigenen Augenscheins war kein Paket für mich da. Am folgenden Montag sagt die Sendungsverfolgung, das Paket sei abgeholt worden. Und seit gestern Mittag soll es wieder im Verteilzentrum liegen (das ist ja nur 25 km weg von hier) und demnächst mal zur Zustellbasis transportiert werden. Fragt sich nur, zu welcher. Also seid froh, solange bei Euch überhaupt noch Post ankommt.

---

Bitte nicht die wild gewordene App mit der physischen Zustellung verwechseln. Es geht hier auch nicht um Jammern, sondern einzig um die Feststellung der Tatsache, dass einerseits softwareseitig die Sicherheitseinstellungen immer mehr werden, andererseits die Hardwareseite durch unsichere Zustellungen kompromittiert wird.

[#9]

Die DATEV stellt nichts zu. Die Post (oder die Truppe, die das früher mal war) hat ihren Einfluß auf die letzte(n) Meile(n) längst dem Profit geopfert. Und das neue Postgesetz ließe es durchaus zu, daß der Bote im Einzelfall nur noch einmal in der Woche vorbeikäme: https://www.verbraucherzentrale-niedersachsen.de/themen/kaufen-reklamieren/produkte-kaufen/aenderungen-durch-das-neue-postgesetz Bei immer noch zehn Milliarden Briefen per anno ist das letzte Prozent, welches auch fünf oder mehr Werktage nach der Aufgabe ankommen darf, deutlich mehr als nur einer. 

[#10]

---

@dtx  schrieb:

Die DATEV stellt nichts zu. 

---

Toll, dass Sie mich hier aufgeklärt haben!

Mal im Ernst, glauben Sie wirklich, dass ich das nicht wüsste? Trotzdem bestimmt DATEV den Transportpartner. Und selbst hier könnte man schon ansetzen, in dem man zwei Logistiker beauftragt. Aber belassen wir es jetzt dabei, 'nuff said.

[#11]

Einfach die Berechtigungen erst setzen, wenn die Karte eingetroffen ist. Mit Karte/PIN ohne Berechtigung kann man dann nichts anfangen.

[#12]

(Wird das "Sicherheitsniveau" an allen anderen Stellen (mindestens mal) genau so hoch gelegt? :-))

[#13]

Warum man überhaupt noch PINs mit der Post versenden muss, weiß auch nur die DATEV.

Zig neue Methoden einführen (DATEV-Konto, verknüpft mit Zugangsmedien), die entscheidenden Infos dann aber noch per Post und Papier.

Altbacken, nicht mehr zeitgemäß. DATEV Standard im Jahre 2025. demnächst 2026.

[#14]

... und ich dachte, es gäbe nur ein "Sommerloch" 😎

Vielleicht hat das ja auch wieder mit dem Klimawandel zu tun 😎

[#15]

Hallo @jjunker,

der Versand erfolgt zeitversetzt um genau das möglichst zu vermeiden. Hier ging es deswegen als Beispiel ins andere Extrem: SmartCard PIN Versand - DATEV-Community - 524811

[#16]

---

@ulli_preuss  schrieb:

... Trotzdem bestimmt DATEV den Transportpartner. Und selbst hier könnte man schon ansetzen, in dem man zwei Logistiker beauftragt. ...

In den Neunzigern kamen die Lohn- und Fibuauswertungen noch per UPS. Die Zusammenarbeit mit denen scheint mit der Zeit wohl nicht mehr so toll gewesen zu sein. Die DATEV wird also wissen, weshalb sie auf den - zumindest dem Volumen nach - Marktführer setzt.

@andreashofmeister  schrieb:

Warum man überhaupt noch PINs mit der Post versenden muss, weiß auch nur die DATEV.

Zig neue Methoden einführen (DATEV-Konto, verknüpft mit Zugangsmedien), die entscheidenden Infos dann aber noch per Post und Papier. ...

Weil das ein hübscher Kontrast zur sich immer mal wieder verziehenden, sprich ausfallenden Wolke ist?

https://www.pluralsight.com/resources/blog/cloud/what-to-do-cloud-outages

Wenn demnächst dann nicht nur ChatGTP, sondern auch die DATEV-Software unerreichbar ist, bleibt einem dann immer noch - als Tagesbeschäftigung sozusagen - der Gang zum Hausbriefkasten.

[#17]

Bei den letzten beiden bestellten Karten kamen die beiden Briefe zeitversetzt.

[#18]

@dtx Jammern auf hohem Niveau, denn wer sagt denn, daß die DATEV die Briefe nicht getrennt haben könne? Lag halt die eine Sendung noch ein paar Tage im Verteilzentrum oder hat irgendwo eine Extrarunde gedreht ... 

Wäre das Datum, auf Lieferschein und TransportPin Brief unterschiedlich würde ich das gelten lassen. Die waren aber identisch.

Und ja Jammern auf hohem Niveau alle Mal. DATEV wirbt mit hohem Sicherheitsniveau, dann muss sich DATEV auch daran messen lassen.

[#19]

Da Folgekarte hoffe ich doch, dass ich keine Berechtigung vergeben muss. Inzwischen sind wir eh bei der Person als Rechteträger. 🤗

[#20]

@jjunker in anderen DATEV-Anwendungen setzt man ja auch auf neue Standards und zwängt sich auf die Smartphones der Anwender...

"DATEV nutzt für die Identifizierung Ihres DATEV-Kontos einen externen Dienstleister namens Verimi.
Die Weiterleitung zu Verimi ist beabsichtigt, denn darüber läuft die Online-Ausweisfunktion (eID-Ident).
Ein Verimi-Konto müssen Sie nicht zwingend anlegen – das Kontrollkästchen „Identität speichern“ ist optional und dient nur zur Beschleunigung künftiger Identifizierungen."

Warum also noch Papier? Portale, Portale...!

[#21]

Guten Tag Herr Bär,

es ist immer ein Abwägen mehr zeitlicher Versatz = mehr Sicherheit = mehr "Stress" wenn Karte dringend gebraucht wird.

Zumindest augenscheinlich gab es hier beim Versand keinen zeitlichen Versatz. (identische Datierung Lieferschein und TransportPIN-Brief) Das ist der Punkt der mich stutzig machte und mich veranlasste hier zu Posten.

Wir hatten schonmal TransportPin und Karte zeitgleich im Postkasten. Mit Feiertag dazwischen und über das Wochenende hatte der PIN-Brief die Karte eingeholt. --> **bleep** happens.

Danke, dass Sie sich hier zu Wort melden.

MFG,

JJUNKER

[#22]

---

@andreashofmeister  schrieb:

...

"DATEV nutzt für die Identifizierung Ihres DATEV-Kontos einen externen Dienstleister namens Verimi.
Die Weiterleitung zu Verimi ist beabsichtigt, denn darüber läuft die Online-Ausweisfunktion (eID-Ident).

...

Warum also noch Papier? Portale, Portale...!

---

Die dann alle mit einer der drei Wolken verschwinden, die wir am Datenhimmel haben. Dabei interessiert es mich nicht die Bohne, ob die Online-Ausweisfunktion geht oder jemand nicht schlafen kann, weil sich mangels Internet die  "smarte" Matratze nicht einstellen läßt. Jede(r) muß selber wissen, worauf sie/er im Zweifel verzichten kann ...

[#23]

Ein Gelegenheitsdieb wird mir einer SmartCard (und ggf. der Transport-PIN) dazu vermutlich wenig anfangen können. Ich denke eher, wenn jemand SmartCards abfangen würde, dann passiert das gezielt. Ich glaube aber auch, dass dieser Business-Case tatsächlich Käs ist - wer macht sich so eine Arbeit, und mit welchem Ziel?

Dennoch: ich würde auch denken, dass die DATEV gut beraten wäre, aus Kosten- und Sicherheitsgründen die Transport-PIN zukünftig einfach per SMS zuzustellen. Optional, für die Handyverweigerer, halt noch per Post. Und die Transport-PIN auch einfach für die Kanzlei sichtbar machen, ähnlich wie beim Registrierungs-Code vom SmartLogin.

Spart Zeit, Geld, Bäume, CO2 und ist sicher auch sicherer als der Postversand (egal ob am gleichen Tag, oder drölf Tage später).

[#24]

---

@seb_ms  schrieb:

..

Dennoch: ich würde auch denken, dass die DATEV gut beraten wäre, aus Kosten- und Sicherheitsgründen die Transport-PIN zukünftig einfach per SMS zuzustellen. Optional, für die Handyverweigerer, halt noch per Post. Und die Transport-PIN auch einfach für die Kanzlei sichtbar machen, ähnlich wie beim Registrierungs-Code vom SmartLogin.

S..

---

An der Smartphonenutzung kommt man doch auf absehbare Zeit nicht mehr herum. Allenfalls durch "Hardware-Authentifikator-Token"...

Siehe DATEV-Konto-Umstellung, E-Rechungsplattforn-ANO.

Man schiebt das höchstens vor sich her. Um dann ein paar (?) Jahre später einzuknicken....

[#25]

---

@andreashofmeister  schrieb:

An der Smartphonenutzung kommt man doch auf absehbare Zeit nicht mehr herum. Allenfalls durch "Hardware-Authentifikator-Token"...

---

Da bin ICH bei Ihnen. Aber Sie kennen doch sicher auch diese Mandanten, die kein Handy haben oder das Handy nicht für Online-Banking nutzen möchten... Die muss man ja auch irgendwie noch einfangen - dann halt für die weiterhin Transport-PIN auf dem Postwege.

[#26]

---

@seb_ms  schrieb:

---

@andreashofmeister  schrieb:

An der Smartphonenutzung kommt man doch auf absehbare Zeit nicht mehr herum. Allenfalls durch "Hardware-Authentifikator-Token"...

---

Da bin ICH bei Ihnen. Aber Sie kennen doch sicher auch diese Mandanten, die kein Handy haben oder das Handy nicht für Online-Banking nutzen möchten... Die muss man ja auch irgendwie noch einfangen - dann halt für die weiterhin Transport-PIN auf dem Postwege.

---

Alles ein Frage der Zeit. Bin mal gespannt. Wie gesagt, es gibt ja auch Hardware-Token. Selbst dazu (welche Art, Modell, Funktionsumfang) gibt es hier einen wunderbaren Beitrag.

[#27]

Was Hardware-Token bei dem Thema für eine Rolle spielen, erschließt sich mir nun nicht.

Ich habe lediglich festgestellt, dass es sicher einige Mandanten geben wird, die eine Zustellung der Transport-PIN per SMS ablehnen werden. Warum ich mir da so sicher bin: ich blicke auf eine große Anzahl abgerechneter Löhne und sehe dazwischen eine beachtliche Anzahl an Personen, die Arbeitnehmer Online genau mit der Begründung (kein Handy, oder „möchte ich nicht“) ablehnen. Und für genau diese Personen hat DATEV ja heute schon eine - vielleicht nicht ganz optimal (was das Timing angeht) - funktionierende Lösung: Transport-PIN per Post 😉

Aber wird sind uns doch einig dass die DATEV den Postversand zumindest mal überdenken könnte, oder? 🙂

[#28]

Hallo zusammen,

in der Vergangenheit wurden alternative Möglichkeiten bezüglich PIN/PUK geprüft. Das ist vor allem aufgrund der ETSI-Zertifizierung alles nicht so einfach. Die SmartCard wird kein Anmeldeverfahren der Zukunft sein. Daher würde ich ausschließen, dass das Thema nochmal neu angegangen wird. Es wird also bei der Postzustellung bleiben.

Wo es möglich ist, sollte stattdessen SmartLogin genutzt werden. Da können die Daten in der SmartLogin-Administration eingesehen werden und es muss nicht auf den Brief gewartet werden.

[#29]

Hallo in die Runde,

ich glaube ein schwieriges Thema und mich würde eher auch die rechtliche Lage interessieren.

Ich weiß halt nicht ob DATEV das auf einen anderen Weg überhaupt senden darf, da Post nun mal der offizielle zustellweg ist.

Hätte oder würde sich sowas wie die "De-Mail" durchsetzen, kann man es sicher auch über diesen Weg zustellen.

Ich glaub aber nicht, dass die Zugangsdaten auf einen nicht verifizierten weg zugestellt werden können/dürfen.

Die Banken und auch öffentliche Stellen/Behörden machen es sicher deswegen auch nicht anders.

Meines Wissens macht es halt nun mal jeder so in Deutschland.

Daher kann man hier der DATEV auch nicht irgendwie einfach mal sagen ... schick mal sms oder an xy@t-online...

Beispiel eines Zustellweges von Zugangsdaten, könnte ich mir vorstellen:

https://www.bmi.bund.de/DE/themen/moderne-verwaltung/e-government/de-mail/de-mail-node.html

schöne Grüße

-chris

[#30]

---

@cms  schrieb:

Hätte oder würde sich sowas wie die "De-Mail" durchsetzen, kann man es sicher auch über diesen Weg zustellen.

Beispiel eines Zustellweges von Zugangsdaten, könnte ich mir vorstellen:

https://www.bmi.bund.de/DE/themen/moderne-verwaltung/e-government/de-mail/de-mail-node.html

---

A bissle OT: Die De-Mail wird zum 31.12.2026 eingestellt; das Pferd muss man nicht mehr satteln und das ist auch gut so.