Category Archives: Allgemein

Festplatte kaputt oder Cryptotrojaner eingefangen und kein Backup? Von ITlern hört man dann schnell: „Daten ohne Backup sind nicht wichtig!“

Es gibt aber natürlich auch 1000 andere Gründe, warum man gerade keine Datensicherung gemacht hat, von Unwissenheit über Bequemlichkeit bis hin zu Zeitmangel.

Ich teste gerade ein tolles Programm, das viele Nachteile nicht hat. „Duplicati“ in der Beta 2.0. Dies wg. der grafischen Oberfläche und einer ziemlich einfachen, nahezu intuitiven Bedienung. Das erste Backup mit Upload auf einen SFTP-Server konnte ich nach 10 Minuten von meinem Linux-Rechner aus fertigstellen.

Mir war dabei wichtig:

• Backup auf Wechseldatenträger und in der „Cloud“
• starke Verschlüsselung bereits vor dem Upload auf meinem Rechner
• Testmöglichkeit
• Linux und Windows-Unterstützung
• einfache Bedienung
• automatische, zeitgesteuerte Backups
• quelloffen (Lizenz ist LGPL)

Das .net (Windows) und Mono (Linux) eingesetzt wird, stört mich dabei nicht großartig.

Das Tool ist auch für kommerzielle Nutzung kostenfrei:  www.duplicati.com

Warum Duplicati bereits so lange „Beta“ ist, kann man hier nachlesen:
https://forum.duplicati.com/t/when-is-duplicati-expected-to-come-out-of-beta/9063

Wichtig: Was bei mir läuft, muss nicht woanders auch so funktionieren. Daher bitte immer testen, ob das Tool wie gewünscht funktioniert. Bei einer Sicherung gehört auch die Prüfung dazu, ob die Daten Notfall wieder lesbar gemacht werden können.

Dazu gehört je nach Einsatzzweck und Wichtigkeit der Daten auch eine Dokumentation für andere Menschen: Wo liegen die Backups, wie lauten die Passwörter, wo gibt es das Programm (Backup vom Backup-Tool), wie werden Updates gemacht.

Wenn die Meldung

Zielcomputer verweigert die Verbindung

in meinem Fall unter GLS eBank „garniert“ mit IP-Adresse 194… und Portangabe 3000 erscheint, bedeutet dies nicht unbedingt, dass der Bankrechner erreicht wurde und selbst die Verbindung verweigerte.

Wahrscheinlicher ist es, dass eine Firewall oder gesperrte Ports die Verbindung nicht zulassen, in meinem Fall meine FritzBox. Mein Rechner war zufälligerweise und von mir unbemerkt in unserem eingeschränkten Gast-Netzwerk angemeldet, das ich für „nicht so“ vertrauenswürdige Geräte (TV mit Internet-Zugang) und eben Gäste eingerichtet hatte.

Den genauen Fehlertext werde ich bei Gelegenheit einmal nachreichen.

 

Durch die Feiertage und den dazwischenliegenden Wochenenden wird es zum Jahreswechsel für Lastschrifteinreicher terminlich enger, soll im alten Jahr noch die Buchung erfolgen.

Denn Sylvester ist schon lange in Deutschland kein Buchungstag mehr, eine Lastschrift mit der „erlaubten“ Fälligkeit 31.12. wird also erst am 02. Januar gebucht.

Die Buchung muss also spätestens am Freitag, 27.12. bei allen Banken vorliegen, wor die Konten der Zahlungspflichtigen geführt werden. soll die Belastung und/oder Gutschrift noch im alten Jahr am Montag, 30.12.2019, erfolgen.

Entsprechend müssen bei den meisten Banken am frühen Vormittag am Freitag  27.12. auf den Weg gebracht worden sein und dies funktioniert auch nur, wenn die Buchungssoftware dieses beherrscht und die Formate auch so eingestellt sind und die Banken auch ausreichend Zeit zur Verarbeitung vorgesehen haben.

Wer sich also hier unsicher ist, sollte am Montag, 23.12. noch den Buchungslauf durchführen.

Bei den meisten Genossenschaftsbanken (ich kenne keine Ausnahme) wird ab Mittwoch die Anmeldung durch eine TAN-Eingabe zumindest im Browserbanking nötig werden. Zumindest für Kund*innen, die vor dem 14. September Ihr Onlinebanking freigeschaltet hatten.

Nach der „Pflichterfüllung“ ist dann wieder für 90 Tage „Ruhe“.

Der zweite Faktor ist nötig, um die PSD2-Regeln zu erfüllen. Die Sparkassen hatten die Aktivierung am Sonntag gemacht, daher sind die Menschen dort bereits etwas früher betroffen.

Es versteht sich sicherlich von selbst, dass für eine gǘltige TAN auch ein gültiges TAN-Medium notwendig ist. Da dies nicht unmittelbar erkennbar ist, wird vermutlich auf die Banken und Sparkassen einiges an Arbeit zukommen.

er-/bekannte Probleme:

• die TAN-Aktivierung per mobileTAN geht schief, wenn das Banksystem einen mobilen Browser erkennt. Das kann auch irrtümlich aktiv sein, wenn der Browser dies meldet.

letzte Änderung: 10.01.2020

Wenn im Chrome-Browser der „Lite-Modus“ aktiviert ist, scheinen die Datenspar-Funktionen zu einem Fehler bei der Webseiten-Interpretation zu führen.

Die Fehlermeldung besagt sinngemäß, dass im Browser Javascript aktiviert werden müsse.

Als Besitzer eines Smartphones mit notorisch knappem Datenvolumen empfehle ich statt der Deaktivierung der Lite-Funktion lieber die Nutzung einer App. Erstmal ist eine spezialisierte App für Betrüger schwieriger zu hacken als ein veraltetes Mobilgerät und dann ist die Datenübertragung über FinTS/HBCI um einiges datensparender als eine komplette Bankseite zu laden.

Ein herzliches Dankeschön an Stefan, aka pi² für die Lösung.

---

Mac mit Safari-Browser beklagen sich über fehlendes Javascript:

Haken zur Javascript-Akzeptanz im Safari entfernen, Cache löschen, Haken  neu setzen

Bitte kein Lesezeichen auf das Onlinebanking direkt verwenden, sondern über die Bankseite starten.

App zurücksetzen?
Das 5 mal in Folge falsch anmelden führt zu einem Zurücksetzen des Zugangs, der Anmeldeprozess muss neu durchlaufen werden (Neuregistrierung).

Keine Netzwerkverbindung Fehler -1005:
Die Bankleitzahl konnte nicht aufgelöst werden, der Bankname wird nicht angezeigt.

• iphone: Die App erfordert mindestens iOS V13. Wenn Sie ein altes iPhone einsetzen, das keine Updates von Apple mehr erhält, ist der Betrieb nicht mehr möglich. Version abfragen
• Die Meldung kann bei einer schlechten und langsamen Datenverbindung auftreten: kein WLAN, LTE, UMTS?
• Eine sichere TLS 1.2 Verbindung ist zwingend notwendig. Beherrscht ein zu altes System diese Verschlüsselung nicht, dann wird auch kein Update zum Download angeboten. Der Betrieb eines so alten Smartphones ist vermutlich generell unsicher.
• Wenn die direkte Verbindung durch ein Security-Tool oder VPN verhindert wird, kann Secure Go Probleme haben
• Der Fehler tritt auch nach Wechsel von SecureSign zu SecureGo auf oder bei einem Gerätewechsel.

---

Bitte prüfen Sie die Verbindung und ob die App auch die Erlaubnis hat, online Daten zu übertragen:

Unter Android:
Einstellungen, Apps, Apps, App auswählen, Datennutzung, Internet-Zugang erlauben (mobileDaten zugelassen)
(abhängig von Hersteller und Version können die Menüs anders heißen)

Apple iPhone:
Einstellungen -> Mobiles Netz -> VR-SecureGo

---

Wie installiert man am besten neu?
Es muss der Zwischenspeicher (Cache) auch in der Cloud/im Backup gelöscht werden, die App verwendet sonst womöglich falsche Daten. Zusätzlich sollte man die App besser komplett neu installieren nach 5-maliger Fehleingabe der PIN.  Achtung bei der App Suche: Die SecureGo plus App ist nicht direkt kompatibel zur SecureGo App. Sie wird zwar die Nachfolgeapp sein/werden, sie kann aber nicht mit dem Freischaltcode freigeschaltet werden und muss vom Banksystem aktiv unterstützt werden.

Die Bankleitzahl wird bei der Einrichtung abgefragt. Funktioniert die Datenübertragung nicht oder nicht schnell genug, dann erhalten Sie diese Fehlermeldung. Prüfen Sie auch unbedingt, ob Sie eine aktuelle Version der App einsetzen.

https://vr-infoforum.i1936.pb.in.gad.de:16613/wps/myportal/topic_Q-F-DownAnwDoku?_sdID=1437538

Im Verwendungszweck der Buchung wird angezeigt, ob die Buchung mit einer TAN freigegeben wurde.

Freitag der 13. und spätestens morgen wird PSD2 bei allen Banken Pflicht…

Folgendes ist oder wird wichtig, wenn man eine App oder Zahlungsverkehrssoftware einsetzt.

PIN & TAN:

Wer diese Art Zugang nutzt, benötigt eine Software, die die neuen „Befehle“ beherrscht, also TAN dann abfragt, wenn die Bank diese benötigt. Das können weitestgehend nur frisch aktualisierte Versionen, also Programme, die noch in der Wartung sind. Es müssen „erlaubte“ Verfahren sein. Und man muss auch überhaupt ein freigeschaltetes TAN-Medium haben, sonst kann es nicht funktionieren.

nicht mehr erlaubt: TAN-Listen

Geduldet: mobileTAN (SMS), ist/wird aber bei einigen Banken bereits abgeschaltet
gesicherte Verfahren: Push-TAN (App oder auch Hardware), ChipTAN/Sm@rtTAN (Chipkarte erzeugt die TAN),

HBCI-Signaturdatei und -Chipkarte:

Diese Zugänge erfüllen bereits die Bedingungen der neuen Richtlinien. Aber es gibt bei einigen Bankengruppen Änderungen bei der Verschlüsselung. Es wird vom potentiell unsichereren RDH auf RAH gewechselt. Zum Teil sind sogar neue Karten nötig, obwohl dies gar nicht nötig wäre, weil die aktuellen Chipkarten dafür genutzt werden könnten. Einige Banken verabschieden sich bei der Gelegenheit ganz von der Signaturdatei, die nicht an Software oder den Rechner gebunden ist, also kopiert werden kann.

---

Allgemeine Tipps, falls Probleme auftreten:

• Backup erstellen
• täglich auf Updates prüfen. Die Software sollte einen Stand August/September 2019 haben.
• Bankzugänge synchronisieren und ggf. neu einrichten.
• Bei einigen Programmen Bankparameterdaten aktualisieren oder initialisieren.

Einige Banken scheinen noch zu „basteln“, bzw. die Systeme arbeiten noch nicht stabil.

---

Was ist jetzt normal?

ZV-Programme und Apps: Updates, Updates, Updates…

TAN-lose Buchungen dürfen für Umbuchungen und Buchungen auf sogenannte Referenzkonten genutzt werden. Auch geringe Summen (30,00 Euro) können vereinfacht freigegeben werden, z.B. auch bei kontaktlosen Kartenzahlungen ohne PIN-Eingabe. Maximal 5x hintereinander am Tag ist das erlaubt.

Umsatzabruf und Anmeldung mit TAN
Umsatzabrufe, die mehr als 90 Tagen abrufen, erfordern bei diesem Verfahren in jedem Fall eine TAN. Eigentlich muss diese jedes Mal eingegeben werden, aber die Banken dürfen dies auf 90 Tage ausdehnen.

Anmeldung mit TAN: Darf auch auf 90 Tage ausgedehnt werden, dann reicht die PIN.

 

Mit der nächsten Phase der Umsetzung der PSD2 wird man als Homebanking-User mit einem PIN & TAN Zugang nun häufiger mit einer TAN-Abfrage an „ungewohnten Stellen“ konfrontiert werden. Gleichzeitig ermöglicht die Regelung aber auch den TAN-Verzicht bei risikoarmen Buchungen, also z.B. Umbuchungen auf die eigenen Sparkonten oder bei geringen Summen.

Man kann viel über Sicherheit und Vor- und Nachteile diskutieren, daran vorbei kommt man jedenfalls nicht.

Denn wer trotzig der TAN-Eingabeaufforderung nicht nachkommt, sperrt nach wenigen Abfragen ohne Antwort vorläufig den Zugang! Der Zugang muss wieder freigeschaltet werden, unter Umständen muss man sogar einen Freischaltbrief abwarten, der bei den meisten Genossenschaftsbanken erst in der Nachtverarbeitung erstellt wird und am nächsten Arbeitstag auf den Postweg gebracht werden kann.

Wann wird denn nun üblicherweise beim Abruf der Umsätze nach einer TAN gefragt?

In jedem Fall müssen alle Banken eine TAN abrufen, wenn Kontoumsätze >90 Tage abgerufen werden. Das gilt für Zahlungskonten, das sind also in der Regel Girokonten und Tagesgeldkonten.

Dann merkt sich aber die Bank die Autorisierung und fordert die nächste TAN wieder frühestens nach 90 Tagen an. Damit ist auch klar, dass dies nicht pro Softwareinstallation gilt, sondern pro Zugang. Eine signifikante Sicherheitsverbesserung ist dies also nicht.

Dieses Vorgehen dürfte für die meisten Banken und Zugänge zutreffen, denn kaum eine Bank wird die Nerven ihrer Kundschaft über Gebühr strapazieren wollen. Man kann diese Option aber abschalten lassen. Empfehlen würde ich dieses aber nur unter bestimmten Ausnahmen, bei echten Gründen zur Paranoia würde ich unbedingt empfehlen, das Verfahren zu wechseln.

 

Nerv – und Stolperstellen:

Die Abfrage „alles was da ist“ erfordert auch eine TAN-Bestätigung. Merkt sich z.B. eine App nicht den letzten erfolgreichen Abruf, dann wird bei jeder Nutzung oder auch automtischem Abruf eine TAN nötig werden.

Programme, die die FinTS/HBCI-Schnittstelle nutzen, erhalten beim Abrufen der Userparameterdaten (UPD) Informationen, ob neue Kontoumsätze vorliegen. Das kann helfen, unnötige Abrufe zu ersparen, sofern die Software/App diese Daten interpretieren kann.

Handlungsbedarf bei den Programmierern

Die früher hilfreiche Abfrage-Methode: „gibt mir die Umsatzdaten seit dem letzten Buchungstag“ ist nicht mehr „angenehm“. Jetzt ist es besser, wenn die Software in der eigenen Datenbank nach dem letzten erfolgreichen Abruftermin schaut, nach der Methode: Ich hab am 01. schon erfolglos nach Umsatzdaten gefragt, gibt es seitdem etwas neues?