Author Archives: Raimund

Wer viele Buchungen mit der Signaturfunktion eines Chipkartenlesers macht, möchte wommöglich nicht jede Buchung und jede Empfänger-IBAN einzeln am Kartenleser kontrollieren und mit OK bestätigen. Ich halte das Verfahren zwar für das sicherste und auch noch komfortabler als die TAN-Techniken, aber in Firmen mit gut abgesicherter IT wird das schon sehr lästig. Die Sicherheit wird dann auch nicht besser, wenn man sich das OK-Durchklicken einfach angewöhnt.

Mit Umstellung des Systems der Genossenschaftsbanken wird die Secoderfunktion automatisch aktiv (siehe hier).

In windata und sicherlich auch in allen Programmen, die auf der ddbac Lösung von b+s basieren, das düften Quicken/Lexware und buhl-Produkte (Wiso) sein,  lässt sich das Verfahren über die homebanking-Kontakte (de)-aktivieren.

In GLS eBank / windata gehen Sie bitte so vor:

Starten Sie den Administrator für FinTS/HBCI über Stammdaten:

Markieren Sie den Chipkarteneintrag und wählen Sie „Bearbeiten“.

Klicken Sie auf „Sicherheitsverfahren auswählen“ …

… und stellen Sie dort auf das gewünscht Verfahren um. „Secoder“ kennzeichnet die aufwändigere, aber sicherere Kontrollmöglichkeit im Display des Chipkartenlesers.

Bestätigen Sie mit „Weiter“.

Der Zugang wird synchronisiert.

Schließen Sie mit „Fertig stellen“ ab.

Beenden Sie anschießend die Homebanking-Kontakte.

Beim „Aktualisieren“ bzw. „Synchronisieren“ wird der Bankzugang mit dem Banksystem abgeglichen. Die Software lernt dadurch neue Berechtigungen und Freigaben kennen.

Löschen Sie am besten vorher alle Aufträge aus dem Ausgang, damit die Umstellung nicht blockiert wird. Ich würde zusätzlich eine Datensicherung empfehlen.

Klicken Sie in der Kontenliste auf ein Konto mit der rechten Maustaste (für Rechtshänder) (1). Wählen Sie im neuen Menü (Kontextmenü) „Details“ an.

Es sollte sich eine Karteikarte mit HBCI oder HBCI mit PIN/TAN anbieten.

Wählen Sie oben den Button „Aktualisieren“ an.

Danach sollte die Software die neuen Berechtigungen gelernt haben.

Wenn Sie Probleme erleben, können Sie auch über die Konto-Neueinrichtung gehen, dies funktionert seit Urzeiten in Starmoney auch mit widerspenstigen Kontozugängen.

Mit der PSD2 (Payment Services Directive 2) müssen Banken anderen Dienstleistern Zugriff auf die Kunden- und Kontendaten geben, sofern ihre Kunden*innen dies erlauben. Im Gegenzug werden diese Dienstleister ebenfalls reguliert, sie dürfen nicht einfach mehr die geheimen Zugangsdaten und die vorhandenen Schnittstellen (FinTS oder Webbanking) nutzen, bzw. aus der Sicht der Banken: missbrauchen. Wer sich für die Problemfeld interessiert, kann ja mal „Sofortüberweisung“ und „Kritik“ in den Lieblingssuchdienst eingeben.

Möglich ist dies natürlich nur mit einer entsprechenden Steuerung die sich bei Genossenschaftsbanken im Onlinebanking findet. Hier am Beispiel GLS Bank:

Klicken Sie auf „Service“ …

.. und dann auf Zugriffsverwaltung.

Es öffnet sich ein neues Menü mit mehreren Auswahlmöglichkeiten, hier im Design der GLS Bank.

Bei den Verfügbarkeits- und Kontoinformationsabfragen handelt es sich um Dienstleister, die mit den Kontodaten und Kontoständen z.B. Online-Shops versorgen oder einfach auch Dienstleistungen rund ums Geld anbieten. Am häufigsten dürften meiner Einschätzung nach hier Firmen anzutreffen sein, die z.B. regelmäßige Buchungen verwalten und optimieren, z.B. Versicherungen, Strom- und Gasverträge, Abo-Verwaltungen und ähnliches.

Dazu kann die Bonität beim Online-Einkauf einfacher geprüft werden, z.B. ob für den Shopbetreiber das Lastschriftverfahren ein großes Risiko darstellt (Verfügbarkeit) und auch ob die Versandadresse stimmt (Kontoinformation).

Bei Zahlungsauslösungen kann man im Nachinein die erteilten Freigaben kontrolieren, wo hat man über welchen Zahlungsdienstleister gezahlt. Hier sind dann Firmen wie klarna („Sofortüberweisung“) zu finden.

Leider kann ich kein Beispiel zeigen – als Berufsparanoiker versuche ich, genau solche Dienstleister zu vermeiden. Ich nutze Paydirekt und Giropay als Bankangebot selbst.

Wir sind ja „bereits“ in der Einführungsphase zur PSD2-Aktivierung und der Live-Test am offenen Konto hat schon begonnen. Das ermöglicht insbesondere den Dritt-Dienstleistern den Test mit Echtdaten. Bis zum 14.09. wird ja die Nutzung der FinTS/HBCI-Schnittstelle noch geduldet und nicht bestraft.

Das bedeutet aktuell:
Je nach Art des Abrufs von Kontoumsätzen wird nun eine TAN-Abfrage erzeugt. Eigentlich akut ab 11. September kann die Abfrage aber auch schon jetzt bei der Nutzung von App, ZV-Software und DIenstleister mit dem PIN&TAN-Zugang kommen.

Bei HBCI mit Signaturdatei oder -Chipkarte kommt das natürlich nicht. Die Software muss allerdings aktuell sein, siehe hier.

So schalten Sie das gewünschte Sm@rtTAN Verfahren (auch Chip-TAN genannt) ein und aktivieren den richtigen Lesertyp.

Diese Anleitung gilt für genossenschaftliche Banken mit Folgesystem (agree21). >>> wie kann man herausfinden, welches System die Bank nutzt?

Hier am Beispiel der GLS Bank:

Starten Sie im „normalen“ Onlinebanking.

Wählen Sie Service, TAN-Verwaltung aus.

Stellen Sie einmal die Karte ein, wenn Sie mehrere Bankkarten oder Onlinebanking-Karten besitzen.

Den Lesertyp stellen Sie über die Funktion am Leser ein, siehe Beschreibung.

Wenn Sie einen Photo-Leser einer Genossenschaftsbank besitzen, können Sie auch die Nummer 1A440882214B eintragen, das sollte passen.

Lesen Sie die Sonderbedingungen (1) und setzen Sie den Bestätigungshaken (2) und klicken Sie den Button „Eingaben prüfen“ an (3).

Das Verfahren muss mit einer TAN bestätigt werden.

„Zahlungspflichtig“ ist für Banken gedacht, die für diesen Zugang Geld berechnen. Ich kenne keine.

Am Ende sollten Sie eine Bestätigungsseite sehen.

Meine Empfehlung: Das bevorzugte Verfahren einstellen: Wählen Sie Service, My eBanking an…

…und dort können Sie das gewünschte Sm@rtTAN Verfahren voreinstellen.

Bei der manuellen Erfassung muss die Tastatur verwendet werden.

Wenn Sie mit einer Software arbeiten, sollten Sie dort Ihren Bankkontakt aktualisieren/synchronisieren.

Javascript hat – zu Recht! – den Ruf, gefährlich zu sein und der Missbrauch der Sprache gehört zu den häufigsten Techniken, um Schadsoftware einzuschleusen.

Die Programmiersprache ist aber inzwischen so immens wichtig für die Gestaltung moderner Webseiten geworden, dass nichtmal Mozilla in der Standardversion die Deaktivierung in der „normalen“ Userkonfiguration ermöglicht. Das Onlinebanking der Genossenschaftsbanken kann inzwischen nicht mehr ohne Javascript genutzt werden.

Möglich und meines Erachtens auch sinnvoll ist das gezielte Nachladen von Javascript von unsicheren oder ungewollten Servern durch Javascript-Blocker, z.B. Plugins wie Noscript. Plugins dieser Art können gezielt das Nachladen von Scripten von Servern steuern.

Es ergibt meines Erachtens keinen Sinn, Javascript bei den Seiten zu deaktivieren, denen man eh vertrauen muss, also z.B. den Bankseiten oder beim E-Mail Portal. Denn woher soll hier ein Schadscript kommen? Sollte der unwahrscheinliche Fall eintreten, dass der Bankrechner gehackt wurde, dann wäre mir auch mit einem Scriptblocker schon nicht mehr geholfen. Ist mein Browser oder Betriebssystem unterwandert, nützt mir auch ein Scriptblocker nichts mehr, dann ist es eh zu spät.

Wichtig bei der Betrachtung ist: Man muss sich vergewissern, dass man mit dem richtigen Server verbunden ist, also die Zertifikate prüfen. Dazu finden sich Unmengen an Anleitungen im Internet.

zuletzt geändert 08.08.2019

Wenn die Anmeldung im Browserbanking als solche funktioniert, also VR-NetKey oder VR-Kennung bzw. Alias und PIN korrekt sind, dann fehlt eine Freischaltung oder Sie sind in der falschen Anmeldung Portal gelandet.

Für das spezielle „Erweiterte Onlinebanking“, vom Rechenzentrum eBanking Business Edition ist eine zusätzliche Freischaltung des Bankzuganges notwendig.

Am Beispiel der GLS Bank: Onlinebanking entspricht dem „normalen Onlinebanking“ mit Überweisungen etc. Für Firmen mit z.B. Gehaltsbuchungen über Service-Rechenzentren (DATEV) oder Datei-Upload benötigt das Konto eine spezielle Berechtigung, die im Banksystem gesetzt werden muss. Das kann aber jede Bank individuell einstellen.