Bitwala deaktiviert 2fa wegen psd2 Richtlinien

[Arghlh]

Hab gerade ne Mail von Bitwala, sie würden wegen der EU psd2 Richtlinien meine 2fa via Google Authenticator deaktivieren.

Kann mir das jemand hier schlüssig erklären? Wo ist da der Sinn?

Update: hab eine Info Mail übersehen. Die Stellen aufgrund der Richtlinie auf mtan um. Das heißt also, ein sehr sicheres Verfahren ( Google Authenticator) wird durch ein weniger sicheres ersetzt (mtan).

Das wird lustige Diskussionen mit dem Support geben...

Bearbeitet 11. September 2019 von Arghlh

[triumvirat]

vor 9 Stunden schrieb Arghlh:

Hab gerade ne Mail von Bitwala, sie würden wegen der EU psd2 Richtlinien meine 2fa via Google Authenticator deaktivieren.

 

Ist bei bitwala 2FA auch mit einer normalen OTP App möglich oder ist Google Auth zwingend erforderlich?

Da ich nichts von Google nutze, war Google Auth immer das Ausschlusskriterium. Google und Banking geht mal gar nicht.

[Jokin]

vor 54 Minuten schrieb triumvirat:

 

Ist bei bitwala 2FA auch mit einer normalen OTP App möglich oder ist Google Auth zwingend erforderlich?

Da ich nichts von Google nutze, war Google Auth immer das Ausschlusskriterium. Google und Banking geht mal gar nicht.

Ähm, diese OTP-Geschichte hat recht wenig mit Google zu tun.

Der Standard ist offen und Du kannst jede beliebige App benutzen.

Die Google-Auth-App benötigt keine Internetverbindung, es werden keine Daten mit Servern ausgetauscht.

[Aktienspekulaant]

vor 4 Stunden schrieb Jokin:

Ähm, diese OTP-Geschichte hat recht wenig mit Google zu tun.

Der Standard ist offen und Du kannst jede beliebige App benutzen.

Die Google-Auth-App benötigt keine Internetverbindung, es werden keine Daten mit Servern ausgetauscht.

Stehe ich da auf dem Schlauch oder habe ich Dich falsch verstanden? Der Google authenticator benötigt keine Internetverbindung? D. h. der Google authenticator funktioniert auch, wenn das Handy offline ist? 

Rainer

[Jokin]

vor 17 Minuten schrieb Aktienspekulaant:

Stehe ich da auf dem Schlauch oder habe ich Dich falsch verstanden? Der Google authenticator benötigt keine Internetverbindung? D. h. der Google authenticator funktioniert auch, wenn das Handy offline ist? 

Rainer

Das hast Du richtig verstanden.

Der OTP-Standard berechnet aus dem 16-Zeichen-Key und dem aktuellen Zeitstempel (ohne Sekunden) den Code.

Dazu braucht es keinerlei Internetverbindung.

 

[Aktienspekulaant]

vor 59 Minuten schrieb Jokin:

Das hast Du richtig verstanden.

Der OTP-Standard berechnet aus dem 16-Zeichen-Key und dem aktuellen Zeitstempel (ohne Sekunden) den Code.

Dazu braucht es keinerlei Internetverbindung.

 

Wieder was gelernt, danke. Das wusste ich nicht

[battlecore]

vor 20 Stunden schrieb Arghlh:

Hab gerade ne Mail von Bitwala, sie würden wegen der EU psd2 Richtlinien meine 2fa via Google Authenticator deaktivieren.

Kann mir das jemand hier schlüssig erklären? Wo ist da der Sinn?

Update: hab eine Info Mail übersehen. Die Stellen aufgrund der Richtlinie auf mtan um. Das heißt also, ein sehr sicheres Verfahren ( Google Authenticator) wird durch ein weniger sicheres ersetzt (mtan).

Das wird lustige Diskussionen mit dem Support geben...

Wieso dasn?? mTAN mit SMS-Code aufs Handy soll doch ersetzt werden weil das veraltet ist. Die Sparkassen stellen das aus diesem Grund auch bald um. Das ist mein Kenntnisstand.

Bist du sicher das du das richtig gelesen hast??

https://www.focus.de/finanzen/news/was-sie-jetzt-wissen-muessen-sparkasse-schafft-naechstes-tan-verfahren-ab-viele-kunden-muessen-sich-umstellen_id_10725906.html

[koiram]

vor einer Stunde schrieb battlecore:

mTAN mit SMS-Code aufs Handy soll doch ersetzt werden weil das veraltet ist. Die Sparkassen stellen das aus diesem Grund auch bald um. Das ist mein Kenntnisstand.

Sparkasse geht z.Zt. noch bei Altkunden mit mTAN (SMS auf's Handy), bei Neukunden nicht mehr. Postbank hat mTAN abgeschaltet und es geht nur noch ChipTAN (mit Gerät was man vor den Bildschirm hält + EC-Karte da drin) oder SmartTAN (mit App auf Smartphone ab Android 5).

[Arghlh]

vor einer Stunde schrieb battlecore:

Wieso dasn?? mTAN mit SMS-Code aufs Handy soll doch ersetzt werden weil das veraltet ist. Die Sparkassen stellen das aus diesem Grund auch bald um. Das ist mein Kenntnisstand.

Bist du sicher das du das richtig gelesen hast??

https://www.focus.de/finanzen/news/was-sie-jetzt-wissen-muessen-sparkasse-schafft-naechstes-tan-verfahren-ab-viele-kunden-muessen-sich-umstellen_id_10725906.html

Aus der Mail von Bitwala:

du erhältst diese E-Mail, weil du die Zwei-Faktor-Authentifizierung via Google Authenticator für die Anmeldung bei deinem Bitwala Konto aktivierst hast.

Am 14. September 2019 treten in der EU im Rahmen der zweiten Zahlungsdienstleistungsrichtlinie (PSD2) neue Bedingungen für die Authentifizierung von Online-Zahlungen in Kraft.

Aufgrund dieser neuen Richtlinie werden wir die Verwendung von Authenticator-Apps für den Login ab dem 11. September 2019 automatisch deaktiveren. Du musst nichts weiter tun.

 

und die schwachsinnige Antwort vom Support auf meine Frage was das soll:

Wie unter der Richtlinie gefordert, wird es einen zusätzlichen Sicherheitsschritt beim Anmelden und bei Überweisungen geben. Dieser wird über einen ergänzenden Code einer SMS Tan durchgeführt werden

 

 

Bearbeitet 12. September 2019 von Arghlh

[wwurst]

vor 6 Stunden schrieb Jokin:

Das hast Du richtig verstanden.

Der OTP-Standard berechnet aus dem 16-Zeichen-Key und dem aktuellen Zeitstempel (ohne Sekunden) den Code.

Dazu braucht es keinerlei Internetverbindung.

Genau so isses.

Beim der alternativen App FreeOTPplus kannst du dir das auch im Sourcecode selber angucken, wenn man Google grundsätzlich nicht traut

https://github.com/helloworld1/FreeOTPPlus

Und bevor wieder einer fragt: das Geheimnis oder den QR-Code, der dir "für Google Authenticator" angezeigt wird, den nimmt auch jede alternative OTP-App genauso an - und liefert dann auch denselben Output.

[Serpens66]

ja gut, gibts ja nichts weiter zu sagen, außer dass das genau verkehrt herum ist. Offenbar haben die das nicht richtig gelesen/kapiert. Denn selbst WENN mtan nun zusätzlich gefordert WÄRE, dann wäre das kein Grund 2FA über OTP abzuschalten.

[Arghlh]

vor 8 Stunden schrieb Serpens66:

ja gut, gibts ja nichts weiter zu sagen, außer dass das genau verkehrt herum ist. Offenbar haben die das nicht richtig gelesen/kapiert. Denn selbst WENN mtan nun zusätzlich gefordert WÄRE, dann wäre das kein Grund 2FA über OTP abzuschalten.

Genau. Mal gucken, ob ich denen das klar machen kann...

[Arghlh]

Am 12.9.2019 um 21:12 schrieb Serpens66:

ja gut, gibts ja nichts weiter zu sagen, außer dass das genau verkehrt herum ist. Offenbar haben die das nicht richtig gelesen/kapiert. Denn selbst WENN mtan nun zusätzlich gefordert WÄRE, dann wäre das kein Grund 2FA über OTP abzuschalten.

Genau. Mal gucken, ob ich denen das klar machen kann...

[Arghlh]

Bin positiv überrascht. Hab eben folgende Mail von Bitwala bekommen:

wir möchten dir ein Update bezüglich der PSD2-Änderungen geben, zu denen wir dich Mitte dieser Woche in der Mail “Wir deaktivieren die Zwei-Faktor-Authentifizierung für den Login” informiert haben.

Wir haben viel Feedback von unseren Kunden bekommen, dass der Google Authenticator auch weiterhin für den Login gewünscht ist.

Auch wir begrüßen diese hohen Sicherheitsstandards und haben uns dazu entschlossen, den Google 2FA auch weiterhin als Sicherheitsmerkmal zu nutzen.

Die Entscheidung, die Google Authentifizierung (TOTP) zusammen mit der mTAN zu verwenden, obliegt nun dir selbst. Falls du diese zusätzliche Sicherheitsstufe nicht mehr nutzen möchtest, kannst du die Google Authentifizierung (TOTP) in den Einstellungen der Bitwala Web-Version jederzeit deaktivieren.