@rschoepe schrieb: Ich nutze einen Hardware-TAN-Generator, daher kann ich zur pushTAN-App nichts sagen, aber wenn die Ausführungen im Artikel so stimmen: In der pushTAN-App seien ihm keine konkreten Angaben zu Empfängern oder Beträgen angezeigt worden, führte der Kläger dazu aus. Ihm seien lediglich unbestimmte "Aufträge" zur Freigabe vorgelegt worden. Trotzdem sprach das OLG der Sparkasse ein Mitverschulden von 20 Prozent zu. Dies begründete es mit einem Verstoß gegen aufsichtsrechtliche Vorschriften: Die Sparkasse habe es versäumt, eine "starke Kundenauthentifizierung" im ZAG-Sinne beim Login in das Online-Banking zu verlangen, obwohl dort "sensible Zahlungsdaten" einsehbar waren. Dann kann ich das Urteil schon nachvollziehen. Ja, du kommst einfach mit Username und PIN ins Online-Banking der Sparkassen. Und die PIN muss nicht einmal besonders komplex sein, meine hat nur fünf Stellen (sollte ich auch mal ändern …). Alle Jubeljahre wird dann mal eine aktuelle TAN abgefragt. Starke Authentifizierung sieht in der Tat anders aus. Und der TAN-Generator zeigt mir zwar nochmal Empfänger-Kontonummer und Betrag ab - die Webseite in dem Moment aber nicht mehr, da sehe ich das nur im Schritt davor und danach. Ich habe nicht nachgesehen, wann das genau passiert ist. Ich bin allerdings seit 2 / 2,5 Jahren Kunde bei der Sparkasse und musste mich von Tag 1 an mit 2FA (von "unbekannten" Geräten) anmelden. Die Option, einen zweiten Faktor für die Anmeldung zu hinterlegen gab es sicherlich schon länger. Wenn man das nicht tut, nunja. Ich sehe in der s-push-TAN den Betrag und die IBAN bzw. sinngemäß, dass es ein "Verwaltungsauftrag" ist, im Fall von Limit Änderung. An der Stelle wurde ja sogar zweimal die s-pushTAN völlig blind abgesegnet.. Wir brauchen hier scheinbar dann auch besser Hinweise, dass der Hamster nicht in die Mikrowelle gehört und so. 🙂
... Mehr anzeigen
