DKB: ChipTAN parallel zu den Handy-Apps

[Matthias Hanft]

Hallo,

seit Jahren verwende ich für die DKB diese beiden Apps aufm Handy.
Für den Fall, dass das mal kaputt ist, wollte ich jetzt parallel
dazu noch ChipTAN einrichten, bin aber katastrophal gescheitert :-)

Hab schon an die DKB gemailt, aber nachdem das vermutlich ein
paar Tage (Wochen? Monate? Jahre?) dauern wird, bis Antwort kommt,
weiß ja vielleicht hier jemand, wie das geht:

- wenn man (via Handy-Apps) eingeloggt ist, kann man ja unter
"Service / Sicherheit" auf die Seite "ChipTAN-Verwaltung"
gehen. Dort steht seltsamerweise schon "aktiviert", aber
das Feld "Aktive Karte" ist leer. Anklicken kann man da
nix, außer "ChipTAN deaktivieren" (was nochmal bestätigt
werden müsste und offenbar manuell am nächsten Bankarbeits-
tag ausgeführt würde). Hab ich mal nicht gemacht - ich wills
ja verwenden...

- die einzige Möglichkeit, überhaupt was mit ChipTAN zu machen,
ist anscheinend, sich mit _c statt mit _p einzuloggen. Da
bin ich mir aber schon nicht im Klaren drüber, welches Pass-
wort man da verwenden muss: Das gleiche wie beim _p-Login
(das man ja selbst gewählt hat), oder (nachdem man den _c-
Login ja noch nie benutzt hat) die ursprüngliche Start-PIN
aus dem damaligen Brief? Also ist das Passwort immer synchron
zwischen _p und _c oder nicht?
Ich habe beides probiert: Mit dem aktuellen _p-Passwort kommt
"Login falsch" und irgendwann sperrt man sich dann aus; mit
der ursprünglichen Start-PIN kommt "es ist ein Fehler auf-
getreten, Server-ID we38h4nv4t987a3vh9478974" oder so.

Auf den Hilfeseiten hab ich auch nix gefunden, was in dieser
Situation weiterhelfen würde.

Jetzt bin ich etwas ratlos, wie man da weiter vorgehen müsste...
hab schon überlegt, ChipTAN tatsächlich zu "deaktivieren" und
am nächsten Tag wieder zu "aktivieren" - vielleicht fragt er
dann ja "welche Karte hätten's denn gern?" und man könnte
seine aktuelle Girocard auswählen oder so?! Etwas anderes
fällt mir momentan nicht ein, was man noch machen könnte.

Weiß hier zufällig jemand, wie's *wirklich* funktioniert?

Danke & Gruß Matthias.

[Franklin Schiftan]

Ich habe hier solche grundsätzlichen Sachen immer per Browser gemacht.

Hier war es so, dass man als Benutzername - so ist es jedenfalls bei
meiner Frau - <Kontonummer>_p_c bei ChipTAN zu verwenden hat - also
nicht nur einfach 'c' anstelle von 'p', sondern eben den App-Benutzer
ergänzt um '_c'.

Und beim ersten Mal musste dann auf jeden Fall die Start-PIN verwendet
werden. Die kann man dann später natürlich auch wieder ändern.

> Danke & Gruß Matthias.

.... und tschüss

Franklin

[Matthias Hanft]

Franklin Schiftan schrieb:

>>
> Ich habe hier solche grundsätzlichen Sachen immer per Browser gemacht.

Ja, natürlich mach ich das im Browser. Das ganze Handy-Zeug
verwende ich eh nur für die f***ing 2FA.

> Hier war es so, dass man als Benutzername - so ist es jedenfalls bei
> meiner Frau - <Kontonummer>_p_c bei ChipTAN zu verwenden hat - also
> nicht nur einfach 'c' anstelle von 'p', sondern eben den App-Benutzer
> ergänzt um '_c'.

Huch? Interessant. Ich hab hier noch den ursprünglichen Brief
von damals, da stand explizit 1234567890_p und 1234567890_c
drauf zum Einloggen.

Gestern (Samstag) kam sogar netterweise eine Mail von der DKB
"wir haben Ihren Zugang wieder entsperrt". Auf "wie soll ich
ChipTAN einrichten" sind sie aber nicht eingegangen. Naja,
vielleicht war das auch nur das "Wochenend-Notfall-Entsperr-
Team" oder so...

> Und beim ersten Mal musste dann auf jeden Fall die Start-PIN verwendet
> werden. Die kann man dann später natürlich auch wieder ändern.

Also *keine* automatische Synchronisierung der _c und _p PIN?
Die können grundsätzlich unterschiedlich sein?

Gruß Matthias.

[Franklin Schiftan]

Am 2022-08-21 um 09:42 schrieb Matthias Hanft:
> Franklin Schiftan schrieb:
>>>
>> Ich habe hier solche grundsätzlichen Sachen immer per Browser gemacht.
>
> Ja, natürlich mach ich das im Browser. Das ganze Handy-Zeug
> verwende ich eh nur für die f***ing 2FA.
>
>> Hier war es so, dass man als Benutzername - so ist es jedenfalls bei
>> meiner Frau - <Kontonummer>_p_c bei ChipTAN zu verwenden hat - also
>> nicht nur einfach 'c' anstelle von 'p', sondern eben den App-Benutzer
>> ergänzt um '_c'.
>
> Huch? Interessant. Ich hab hier noch den ursprünglichen Brief
> von damals, da stand explizit 1234567890_p und 1234567890_c
> drauf zum Einloggen.

Hmm, komisch ... bei mir, der ich zuerst per ChipTAN und erst später
zusätzlich die App verwendet / freigeschaltet hatte, hieß der
ursprüngliche User *_c und der App-User folglich *_c_p

>> Und beim ersten Mal musste dann auf jeden Fall die Start-PIN verwendet
>> werden. Die kann man dann später natürlich auch wieder ändern.
>
> Also *keine* automatische Synchronisierung der _c und _p PIN?
> Die können grundsätzlich unterschiedlich sein?

Auf jeden Fall - sollten sie vielleicht sogar auch .... ;-)
[Trainiert doch nur Dein Gedächtnis ... oder Deinen Passwort-Manager.]

[Franklin Schiftan]

Am 2022-08-21 um 11:27 schrieb Franklin Schiftan:
> Am 2022-08-21 um 09:42 schrieb Matthias Hanft:
>> Franklin Schiftan schrieb:
>>>>
>>> Ich habe hier solche grundsätzlichen Sachen immer per Browser gemacht.
>>
>> Ja, natürlich mach ich das im Browser. Das ganze Handy-Zeug
>> verwende ich eh nur für die f***ing 2FA.
>>
>>> Hier war es so, dass man als Benutzername - so ist es jedenfalls bei
>>> meiner Frau - <Kontonummer>_p_c bei ChipTAN zu verwenden hat - also
>>> nicht nur einfach 'c' anstelle von 'p', sondern eben den App-Benutzer
>>> ergänzt um '_c'.
>>
>> Huch? Interessant. Ich hab hier noch den ursprünglichen Brief
>> von damals, da stand explizit 1234567890_p und 1234567890_c
>> drauf zum Einloggen.
>
> Hmm, komisch ... bei mir, der ich zuerst per ChipTAN und erst später
> zusätzlich die App verwendet / freigeschaltet hatte, hieß der
> ursprüngliche User *_c und der App-User folglich *_c_p

Aber vielleicht haben sie ja das Benamsungs-Schema inzwischen auch
generell geändert .... oder verwenden die kompliziertere Version nur bei
"Südländern" .... <g,d&r>

[Matthias Hanft]

Franklin Schiftan schrieb:

>
> Hmm, komisch ... bei mir, der ich zuerst per ChipTAN und erst später
> zusätzlich die App verwendet / freigeschaltet hatte, hieß der
> ursprüngliche User *_c und der App-User folglich *_c_p

Meine Briefe (explizit mit _c und _p) von der Kontoeröffnung
waren vom April 2016.

Ich könnte mir allerdings auch vorstellen, dass sie einfach
das nehmen, was "ganz hinten" steht, und das vorher ignorieren.

Hast du's denn schon mal mit einfach nur _p für die App probiert?
Vielleicht ist dein _c vor dem _p überflüssig (und wird ohnehin
ignoriert)?

> Aber vielleicht haben sie ja das Benamsungs-Schema inzwischen auch
> generell geändert .... oder verwenden die kompliziertere Version nur bei
> "Südländern" .... <g,d&r>

Söder hat ja grad erst öffentlich gemault, dass wir Bayern von
Berlin (=DKB!) benachteiligt werden - vielleicht betrifft das
ja auch die unmögliche ChipTAN-Konfiguration... oder man braucht
den Passierschein A38 dazu?! https://www.youtube.com/watch?v=VCmWuav86CI

Hach, das waren noch Zeiten, als man sich einfach mit Kontonummer
und PIN einloggen konnte - hat auch funktioniert, und mir hat
auch nie jemand was vom Konto geklaut. Demnächst wird man noch
einen Iris-Scan oder eine Blutprobe zum Einloggen brauchen... :-(

>> Also *keine* automatische Synchronisierung der _c und _p PIN?
>> Die können grundsätzlich unterschiedlich sein?
> Auf jeden Fall - sollten sie vielleicht sogar auch .... ;-)

Ah, dann wäre die Start-PIN für _c wohl doch richtig gewesen -
und "es ist ein Fehler aufgetreten" war ein "Bank Error"...

Gruß Matthias.

[Hans Crauel]

Matthias Hanft schrieb

> seit Jahren verwende ich für die DKB diese beiden Apps aufm Handy.
> Für den Fall, dass das mal kaputt ist, wollte ich jetzt parallel
> dazu noch ChipTAN einrichten, bin aber katastrophal gescheitert :-)

> [...]

Bei mir war es andersrum. ChipTAN lief, TAN2Go sollte eingerichtet
werden. Web-Zugang für ChipTAN war 123456789, ohne _p oder _c.
Für TAN2Go kam _p dazu, ChipTAN-Zugang blieb unverändert.

Es brauchte einen längeren Kampf, dessen Details ich nur noch
bruchstückhaft erinnere. Ein Detail: Auf der Webseite erschien
einmal ein "Registrierungs-Code" (oder so). Gut, zur Kenntnis
genommen und weiter. Im weiteren Verlauf sollte dann der
Registrierungs-Code eingegeben werden - aber der war weg.
Aufgeschrieben oder anders gesichert hatte ich ihn nicht.

> Weiß hier zufällig jemand, wie's *wirklich* funktioniert?

Nein. Nicht wirklich.
Ich hatte letztlich die DKB angerufen, dort wurde dies und
das unternommen, ich bekam noch einen weiteren Zugangs-Code
geschickt und irgendwann ging es dann, nach etwas weiterem
Hin und Her.

Ich hatte insgesamt den Eindruck, dass es bei dem Verfahren
noch Optimierungspotenzial gibt.

Hans

[Franklin Schiftan]

Am 2022-08-21 um 13:37 schrieb Matthias Hanft:
> Franklin Schiftan schrieb:
>>
>> Hmm, komisch ... bei mir, der ich zuerst per ChipTAN und erst später
>> zusätzlich die App verwendet / freigeschaltet hatte, hieß der
>> ursprüngliche User *_c und der App-User folglich *_c_p
>
> Meine Briefe (explizit mit _c und _p) von der Kontoeröffnung
> waren vom April 2016.
>
> Ich könnte mir allerdings auch vorstellen, dass sie einfach
> das nehmen, was "ganz hinten" steht, und das vorher ignorieren.

Auch möglich ...

> Hast du's denn schon mal mit einfach nur _p für die App probiert?

Nee, noch nicht getraut ... ;-)

> Vielleicht ist dein _c vor dem _p überflüssig (und wird ohnehin
> ignoriert)?

>>> Also *keine* automatische Synchronisierung der _c und _p PIN?
>>> Die können grundsätzlich unterschiedlich sein?

>> Auf jeden Fall - sollten sie vielleicht sogar auch .... ;-)
>
> Ah, dann wäre die Start-PIN für _c wohl doch richtig gewesen -
> und "es ist ein Fehler aufgetreten" war ein "Bank Error"...

Vermutlich ...

[Matthias Hanft]

Frank Graf schrieb:
>
> Du kannst das Chip-TAN Verfahren nur dann vollständig verwalten (z. B.
> neue Girocard aktivieren für das Verfahren), wenn Du dich auch mit
> diesem Verfahren eingeloggt hast. Das gilt auch anders rum.

Ah, ok. Deswegen konnte ich da nix anklicken, als ich mich per
Push-TAN angemeldet hatte (außer "deaktivieren" - das geht aus
Sicherheitsgründen wohl immer, z.B. wenn man seine Girocard
verloren hat oder so).

> Es gibt unterschiedliche Benutzerkennungen für jedes TAN-Verfahren.
> (Früher gab es noch die iTAN Listen) Jede Benutzerkennung hat ihr
> eigenes Kennwort.

Gut zu wissen, danke.

> In dem jeweiligen initialen Brief für die Aktivierung des jeweiligen
> TAN-Verfahrens wird dir die (neue, zusätzliche) Benutzerkennung mitgeteilt.
> Für Chip-TAN ist/war es Kontonummer_c
> Für Push-TAN ist/war es Kontonummer_p
> Auch das initiale Kennwort wurde in einem weiteren Brief mitgeteilt.
> Das Kennwort ist für jede Kennung unterschiedlich.

Ja, den Brief hab ich noch. Und nachdem ich mich mit _c bisher nie
eingeloggt hatte (ging ja nicht ohne ChipTAN), ist es dann wohl noch
das initiale Kennwort aus diesem Brief.

> Suche den initialen Brief der DKB mit der Kennung für das Chip-TAN
> Verfahren und versuche dich anzumelden.

[X] Done.

Resultat:

"Es ist ein Fehler aufgetreten. Server-ID: 98wvhnrz09q348vqz397b45z034bz"

(nicht wörtlich wiedergegeben)

> Ich hoffe die DKB ist intelligenter als eine/die Genossenschaftsbanken.
> Bei einer Genossenschaftsbank habe ich auch beide TAN Verfahren aktiviert,
> um eines als Backup zu haben. Durch einen eigenen Fehler hatte ich mir das
> Chip-TAN Verfahren gesperrt. Allerdings wurde automatisch auch das
> Push-TAN Verfahren gesperrt.

Da ist die DKB wirklich intelligenter. Nachdem ich hilfloserweise beim
_c-Login ein paarmal das _p-Passwort eingegeben hatte, war nur der _c-
Login gesperrt - der _p ging nach wie vor. (Und den _c haben sie nach
ein paar Stunden von selbst wieder entsperrt bzw. ich hatte gefragt,
wie man _c denn einrichten soll - das haben sie zwar nicht beantwortet,
aber vielleicht war meine Mail trotzdem der Auslöser für die Entsperrung.)

Was würde denn passieren, wenn der erstmalige _c-Login gelänge? Wie
ginge es dann weiter?

Gruß Matthias.

[Matthias Hanft]

Frank Graf schrieb:
>
> Dann wirst Du aufgefordert den TAN Zähler der Girocard (ATC) mit dem Bank
> Server zu synchronisieren:
> https://www.dkb.de/DkbTransactionBanking/content/security/SynchronizeChipTANGenerator/process/SynchronizeChipTANGeneratorProcess.xhtml
> Dann sollte das TAN Verfahren einsatzbereit sein.

Ah, der Link ist gut - hebe ich mir gleich mal auf :-)

> Hast Du seit Du den initialen Brief für das ChipTAN Verfahren erhalten hast
> eine neue Girocard erhalten? Dann wirst Du ohne Unterstützung der Bank
> vermutlich nicht weiter kommen.

Ja, sicher. Ich weiß das zwar nicht mehr so ganz genau, aber die aktuelle
Karte ist bis 2024 gültig - die werde ich sicher nicht damals 2016 bei
der Kontoeröffnung gekriegt haben.

> Es kann auch sein dass zwischen Versand des Briefes und Aktivierung nicht
> beliebig viel Zeit vergehen darf.

Auch möglich. Wäre aber nett gewesen, wenn sie das dann reingeschrieben
hätten.

Ich tippe eher auf "Problem wegen neue Karte". Denn in der ChipTAN-
Verwaltung steht ja hinter "Aktive Karte:" gar nix. Vielleicht war
da bei der Kontoeröffnung die erste Karte schon vorbelegt, und ich
hätte sie gleich in Betrieb nehmen können. Nach Ablauf ist die dann
dort wohl verschwunden - und die neue haben sie nicht automatisch
eingefügt.

Naja, Supportanfrage ist raus (*). Vielleicht krieg ich ja noch
dieses Jahr eine Antwort...

Gruß Matthias.

(*) eigentlich sogar zwei - meine Frau und ich haben separate Anfragen
gestellt, weil jeder einen eigenen Zugang hat. Mal sehen, wer
gewinnt und zuerst eine Antwort kriegt :-)

[Matthias Hanft]

Frank Graf schrieb:
>
> Wenn ich mich mit Push-TAN einlogge steht dort auch keine Kartennummer,
> obwohl mein ChipTAN Verfahren freigeschaltet ist und funktioniert. Das
> hat also keine Bedeutung. Die Kartennumer sieht man nur wenn man sich mit
> ChipTAN Verfahren einloggt.

Ah, ok. Dann sieht diese Seite bei mir wohl "normal" aus.

> Wenn man eine neue Girocard erhält, muss man diese mit der alten Girocard
> freischalten.

Ja, das konnten wir natürlich nicht, nachdem wir das Verfahren
gar nicht erst in Betrieb genommen hatten.

Na, mal sehen, was sie antworten. Vielleicht schicken sie ja
sogar per Post einen Brief mit neuen/aktuellen Login-Daten
und/oder aktivieren intern die Karten, die wir gerade haben.

Danke jedenfalls für die ganzen Infos - das war alles sehr
lehr- und hilfreich.

Ich werde berichten, wie's weiterging...

Gruß Matthias.

[Matthias Hanft]

Matthias Hanft schrieb:

>
> Ich werde berichten, wie's weiterging...

Antwort der DKB auf eine erneute Anfrage (bei der ersten haben
sie den _c-Zugang lediglich entsperrt):

> Gern habe ich Ihr Anliegen geprüft und festgestellt, dass für
> das chipTAN-Verfahren keine Girokarte hinterlegt war.
>
> Bitte nutzen Sie ab der nächsten Anmeldung die Girokarte mit der
> Endziffer 652.

Und damit hat's dann funktioniert.

Jetzt müssen wir dasselbe Spiel bloß noch mit dem Account meiner
Frau hinkriegen...

Was mich allerdings wundert: Ich habe weder die Seite
https://www.dkb.de/DkbTransactionBanking/content/security/SynchronizeChipTANGenerator/process/SynchronizeChipTANGeneratorProcess.xhtml
gebraucht noch die TAN-Taste lang für die ATC-Anzeige drüclen
müssen (noch den ATC auf irgendeiner Seite eingeben). Das
scheint so zu funktionieren (dafür muss man für jede TAN
einen "Startcode" entweder QR-scannen oder manuell eingeben),
aber warum ist das so, und warum braucht man den ATC nicht?

Gruß Matthias.

[Matthias Hanft]

Frank Graf schrieb:
>
> Die Synchronisation des ATC ist nicht zwingend nötig, nur wenn er eben
> nicht mehr synchron mit dem Zähler des Bankservers ist.
> Da deine Girocard noch nie für das Chip-TAN Verfahren genutzt wurde, ist
> der Zähler bei 0.

Naja, ich hatte ein paarmal die TAN-Taste gedrückt, so dass der
ATC schon vor der ersten Verwendung auf 4 oder 5 war oder so.
Hat aber trotzdem funktioniert.

> Es gibt nur dann ein Problem wenn TANs generiert werden ohne dass diese
> für eine Transaktion nötig sind. Ein paar (vielleicht fünf, je nach
> Einstellung auf dem Bankserver) kann man ohne Aufforderung generieren,
> viel mehr TANs wird der Bankserver (mit inkrementiertem ATC) nicht probieren.

Und wozu ist dann dieser "Startcode", den man bei jeder TAN-
Erzeugung eingeben oder QR-scannen muss? Nachdem es mit "ver-
stelltem" ATC funktioniert hat, hatte ich angenommen, dass
der "Startcode" den ATC irgendwie "ersetzt"...

Gruß Matthias.

[Matthias Hanft]

Peter Richter schrieb:
>
> - Muss man die neue Karte im Banking freischalten?

Meines Wissens ja (habs noch nicht selber durchgespielt, stand
aber IIRC irgendwo auf der DKB-Website).

> - Erhält man eine neue PIN oder ist die alte weiter gültig?

Ich hab inzwischen die zweite Girocard, und die hat noch die-
selbe PIN wie die erste.

Gruß Matthias.

[Marcel Logen]

Matthias Hanft in de.etc.finanz.banken+broker:

>Frank Graf schrieb:

>> Es gibt nur dann ein Problem wenn TANs generiert werden ohne dass diese
>> für eine Transaktion nötig sind. Ein paar (vielleicht fünf, je nach
>> Einstellung auf dem Bankserver) kann man ohne Aufforderung generieren,
>> viel mehr TANs wird der Bankserver (mit inkrementiertem ATC) nicht probieren.
>
>Und wozu ist dann dieser "Startcode", den man bei jeder TAN-
>Erzeugung eingeben oder QR-scannen muss? Nachdem es mit "ver-
>stelltem" ATC funktioniert hat, hatte ich angenommen, dass
>der "Startcode" den ATC irgendwie "ersetzt"...

Der Startcode bestimmt IMHO nur die *Art* der Transaktion.

Marcel
--
╭─╮ ╭──╮ ╭─╮ ╭──╮..67..
╭──╮ ╭─╮ ╭───╮ │ ╰────╮..44..│ │ ╭───╯ ╰─╯ ╰─╮
╭─╯ ╰──╮ ╭─╮ ╭──╮ ╭─╯ ╰───╯ ╰──╯ ╭───╯ ╭─╮ │ ╰─╯ ╭─────────╯
│ ╰─╯ ╰─╯ ╰──╯ ╰─────╯ ╰──╯ ..52..╰──────────────

[Matthias Hanft]

Marcel Logen schrieb:

>
> Der Startcode bestimmt IMHO nur die *Art* der Transaktion.

Dann ist es aber seltsam, dass der bei jeder Transaktion ein
anderer ist (meist der Form 80000xxxx oder so ähnlich).

Hab grad ein bisschen gegoogelt, aber nix wirklich brauchbares
gefunden. Auf
https://www.vr-memmingen.de/content/dam/f0203-0/webbank_/Privatkunden/OnlineBanking/Smarttan/haeufig_gestelltefragensmrt-tan.pdf
steht lediglich "Sie können eine TAN auch ohne Startcode
erstellen in dem Sie die "OK" Taste drücken." also scheint
der zumindest nicht in die Berechnung mit einzugehen...

Naja, egal - ist ja nur aus wissenschaftlichem Interesse...
grundsätzlich funktioniert das Zeug ja so wie es soll :-)

Gruß Matthias.

[Matthias Hanft]

Frank Graf schrieb:
>
> Der Startcode legt die Art der Transaktion (z. B. SEPA Überweisung,
> Terminüberweisung, Wertpapierkauf usw.) fest. Es ist aber letztendlich
> nur ein weiterer Wert der in die Berechnung der Transaktion einfließt.
> Hier ab Seite 55 im PDF ab der Zeile "Leere Visualisierungsklasse":
> https://www.hbci-zka.de/dokumente/spezifikation_deutsch/hhd/Belegungsrichtlinien%20TANve1.5%20FV%20vom%202018-04-16.pdf
> sind die möglichen Transaktionstypen aufgeführt. Ob die Banken alle
> Typen nutzen (implementiert haben) bezweifele ich.

Ah, danke, interessant (und kompliziert). Ich hab jetzt mal weiter
experimentiert:

- beim Einloggen in der DKB wird jedesmal ein anderer Startcode
angezeigt (immer 800xxxxx mit verschiedenen xxxxx). Müsste
der Startcode, wenn er nur die Art der Transaktion angibt
(hier also "Einloggen ins Online-Banking"), nicht immer gleich
sein?

- beim Überweisen wird nach dem QR-Scannen im Display Zielkonto-
nummer und Betrag angezeigt, den man mit OK bestätigen muss,
um die TAN zu kriegen. Ein Startcode kommt dabei nirgendwo
vor.

- die Taste "TAN" ist offenbar komplett überflüssig, außer wenn
man den ATC manuell mit der Bank synchronisieren will (was man
vielleicht tatsächlich gelegentlich machen sollte, falls man
versehentlich zu oft eine sinnlose TAN erzeugt).

Naja, jedenfalls funktioniert alles...

> Als Nutzer sollte man darauf achten was der TAN-Generator anzeigt. Wenn
> dort "Überweisung Ausland" steht, man aber eine Inlandsüberweisung
> ausführen will, dann stimmt etwas nicht. Die Bank könnte auch immer
> "Bankauftrag allgemein" als Transaktionstyp verwenden.

Da steht nur "IBAN 123874" und "Betrag 10,00". Ach so, hätte man
mit den Pfeiltasten noch rumscrollen können? Kann ich nächstes
Mal ja probieren :-)

Jedenfalls danke für all die Infos...

Gruß Matthias.

[Stefan Schmitz]

Am 05.09.2022 um 13:10 schrieb Matthias Hanft:
> Frank Graf schrieb:
>>
>> Der Startcode legt die Art der Transaktion (z. B. SEPA Überweisung,
>> Terminüberweisung, Wertpapierkauf usw.) fest. Es ist aber letztendlich
>> nur ein weiterer Wert der in die Berechnung der Transaktion einfließt.
>> Hier ab Seite 55 im PDF ab der Zeile "Leere Visualisierungsklasse":
>> https://www.hbci-zka.de/dokumente/spezifikation_deutsch/hhd/Belegungsrichtlinien%20TANve1.5%20FV%20vom%202018-04-16.pdf
>> sind die möglichen Transaktionstypen aufgeführt. Ob die Banken alle
>> Typen nutzen (implementiert haben) bezweifele ich.
>
> Ah, danke, interessant (und kompliziert). Ich hab jetzt mal weiter
> experimentiert:
>
> - beim Einloggen in der DKB wird jedesmal ein anderer Startcode
> angezeigt (immer 800xxxxx mit verschiedenen xxxxx). Müsste
> der Startcode, wenn er nur die Art der Transaktion angibt
> (hier also "Einloggen ins Online-Banking"), nicht immer gleich
> sein?

Wenn er immer gleich wäre, wäre das unabhängig von der aktuellen
Transaktion. Und der Code wäre komplett sinnlos. Ein Bösewicht könnte
dann einen früher irgendwann mal verwendeten Code für die gleiche Art
Transaktion verwenden.
Probier doch mal, was passiert, wenn du einen alten Startcode eingibst
oder scannst.

> - beim Überweisen wird nach dem QR-Scannen im Display Zielkonto-
> nummer und Betrag angezeigt, den man mit OK bestätigen muss,
> um die TAN zu kriegen. Ein Startcode kommt dabei nirgendwo
> vor.
>
> - die Taste "TAN" ist offenbar komplett überflüssig, außer wenn
> man den ATC manuell mit der Bank synchronisieren will (was man
> vielleicht tatsächlich gelegentlich machen sollte, falls man
> versehentlich zu oft eine sinnlose TAN erzeugt).

Schrieb hier nicht jemand, dass bei Verwenden dieser Taste auf den
Startcode verzichtet werden kann?

[Matthias Hanft]

Stefan Schmitz schrieb:

>
> Wenn er immer gleich wäre, wäre das unabhängig von der aktuellen
> Transaktion. Und der Code wäre komplett sinnlos. Ein Bösewicht könnte
> dann einen früher irgendwann mal verwendeten Code für die gleiche Art
> Transaktion verwenden.

Ich denke inzwischen auch, dass das einfach eine Art Zufallszahl
für den Login ist, die die Karte als Basis für die TAN-Generierung
verwendet.

> Probier doch mal, was passiert, wenn du einen alten Startcode eingibst
> oder scannst.

Einen Teufel werde ich tun :-) Dann sperre ich mich bloß wieder aus...

[Taste "TAN"]

> Schrieb hier nicht jemand, dass bei Verwenden dieser Taste auf den
> Startcode verzichtet werden kann?

Das könnte ich gewesen sein :-) (aber das war damals eine Vermutung)

Nein, inzwischen denke ich, dass die TAN-Taste lediglich dafür da ist,
von der Kamera auf Handeingabe (für den Startcode oder was auch sonst
immer auf dem Bildschirm angezeigt wird) umzuschalten. Denn dann er-
scheint die Eingabsaufforderung "Startcode:", was sonst halt per Kamera
und QR-Muster eingelesen wird.

Gruß Matthias.

[Matthias Hanft]

Frank Graf schrieb:
>
> Selbstverständlich wird bei einer Überweisung der Startcode verwendet.
> Wenn Du die Daten optisch einliest siehst Du ihn nicht (er wird sehr wohl
> eingelesen). Wähle mal das manuelle Verfahren aus, dann mußt Du den Startcode
> eingeben.

Das ist bei der DKB etwas inkonsistent zwischen "Login" und "Überweisung":

- bei "Login" wird der QR-Code angezeigt *und* daneben der Startcode, z.B.
80012394, und die Anweisung "bitte abfotografieren oder von Hand ein-
geben; wenn abfotografiert, prüfen, ob der hier angezeigte Code ordnungs-
gemäß erkannt wurde"

- bei "Überweisung" wird ein Startcode weder angezeigt noch soll er über-
prüft werden; da werden statt des Startcodes dann eben IBAN und Betrag
angezeigt und überprüft.

Ok, wenn man's weiß... die TAN-Taste bräuchte man dann nur bei manueller
Eingabe (wenn die Kamera kaputt ist oder so) - das müsste man dann aber
vor der Überweisung im Online-Banking einstellen, weil man sonst keinen
Startcode (oder was-auch-immer) angezeigt bekäme, den man im Kartenleser
eingeben könnte.

So ganz langsam kapier' ich's dann auch... :-)

Gruß Matthias.

[Marc Haber]

Matthias Hanft <m...@hanft.de> wrote:
>Stefan Schmitz schrieb:
>> Wenn er immer gleich wäre, wäre das unabhängig von der aktuellen
>> Transaktion. Und der Code wäre komplett sinnlos. Ein Bösewicht könnte
>> dann einen früher irgendwann mal verwendeten Code für die gleiche Art
>> Transaktion verwenden.
>
>Ich denke inzwischen auch, dass das einfach eine Art Zufallszahl
>für den Login ist, die die Karte als Basis für die TAN-Generierung
>verwendet.

Ich würde erwarten dass das Teil der Information ist, die vom
Cryptoprozessor auf der Karte signiert wird, um eine Replay-Attacke
auszuschließen.

Grüße
Marc
--
-------------------------------------- !! No courtesy copies, please !! -----
Marc Haber | " Questions are the | Mailadresse im Header
Mannheim, Germany | Beginning of Wisdom " |
Nordisch by Nature | Lt. Worf, TNG "Rightful Heir" | Fon: *49 621 72739834

[Marcel Logen]

Frank Graf in de.etc.finanz.banken+broker:

>Matthias Hanft wrote:
>> Frank Graf schrieb:

>> Ah, danke, interessant (und kompliziert). Ich hab jetzt mal weiter
>> experimentiert:
>>
>> - beim Einloggen in der DKB wird jedesmal ein anderer Startcode
>> angezeigt (immer 800xxxxx mit verschiedenen xxxxx). Müsste
>> der Startcode, wenn er nur die Art der Transaktion angibt
>> (hier also "Einloggen ins Online-Banking"), nicht immer gleich
>> sein?
>

>Der Startcode ist nicht identisch je Transaktionstyp, das habe ich auch
>bei einer Genobank so beobachtet. Vielleicht legen die ersten drei
>Stellen den Transaktionstyp fest, der Rest ist vermutlich eine Zufallszahl.

Bei der Postbank war, als sie noch das chipTAN-Verfahren
anbot, (zumindest bei mir) der Startcode für eine SEPA-Über-
weisung immer gleich (IIRC "20932160") - und für das Login
auch ("100"). Vielleicht variierte das aber mit der Konto-
nummer - das weiß ich nicht.

Bei der Sparkasse hingegen wechselt der Startcode, er beginnt
aber AFAICS immer mit "80", "87" (?) oder "88".

Marcel
--
╭────────╮ ╭───────╮ ╭───╮ ╭───────╮ ╭───╮ ╭─╮ ..64..╭─╯
╰───╮ ╭─╯ ╰─────╮ │ ╰─╮ ╰─╮ ╰────╮ ╰───╮ ╭─╯ ╰──╯ │ ╭─╯
╭───╯ │ ╭──╮ │ │ ╭─╯ ╰───╮ │ ╭──╯ ╰───╮..56..│ ╭─╯
─╯ ╰───╯ ╰────╯ ╰──╯ ╰───╯ ╰──────────╯ ╰───╯..67..