@o2_Anna 

immerhin ein weiterer Schritt in die richtige Richtung.

da werden dann einige Leute mal die persönliche Kundenkennzahl suchen gehen.

daher

@poales wenn die Gauner dann mit ihren Fake-Seiten nach ziehen, wird's "lustig"...

So ein Nonsens! Das ist doch nicht mehr Sicherheit, sondern nur noch kundenfeindliche Schikane. Wozu hier 2FA? Das smartphoneunabhängige Einloggen von unterwegs wird damit verunmöglicht.
Wir sind hier nicht beim Onlinebanking, das hier ist nur schnöde Vertragsverwaltung…

Erst die fürchterliche, neue App und jetzt das? Ist euch langweilig? Habt ihr nichts Besseres zu tun als solche Sinnlosprojekte?

Habt ihr gerade noch mehr grenzdebile Pseudo-”Innovationen” in der Pipeline? Ich frage mich, was als Nächstes kommt.

@hnikar Abwarten bis nette Menschen mit Deinem Account bei O2 Handy‘s bestellen und Verträge mit E-SIM und dann fröhlich damit „Unfug“ treiben.

@hnikar 

nette Wortwahl.

du kannst dir auch eine Mail schicken lassen.

Ich finde das einen guten Schritt!

Wenn es Dir um das Forum geht, dann lege Dir einen Interessentenaccount an und da gibt es keine Verknüpfung zu einer SIM.

Eigentlich ist die Absicherung der Vertragsaccounts in diesem Stil bei vielen Firmen bereits Standard. Nervt mich bisweilen auch, aber die Verursacher sind die Kriminellen und nicht die Firmen wie o2. 

Hallo @hnikar,

deine Polemik bringt hier niemanden weiter. Wenn dich was stört, kannst du das gerne in einer anderen Tonalität äußern und begründen.

VG
Dennis

für die nächste App😉

Vielleicht könnten ja einige Infos / Optionen nur mit lesen-Rechten versehen werden?

ohne komplettes login mit zusätzlicher Pin

optimal wäre, wenn der Kunde das auswählen kann.

Beispiel: Verbrauchsanzeige

damit kann man nur als Nutzer was anfangen,

der USSD-code *140#  tut ja auch noch immer bei Mobilfunk zur Verbrauchsübersicht

und Tarif anzeigen

@poales Schon tausend mal angefragt, auch für Partnerkarten. Es wird einfach ignoriert.

@Sandroschubert 

ich weiß, deshalb hier zum 1001. mal.

(da hätte ich noch mehr Themen...)

Guter Schritt, falsche Richtung.

Eine Authentifizierung über eine App wäre eigentlich Stand der Technik. SMS ist aus besagten Gründen insbesondere durch Phishing eher rückläufig. 

Sowas hab ich geschäftlich nutzen müssen @bielo dann war das Gerät defekt, welches  für die App freigeschaltet war und nix ging mehr. Den Stress möchte ich kein zweites Mal mehr haben.

Sicherheit geht aber vor Stress.

Hat alles vor und nachteile. Ein nachteil bei sms ist es können diverse Programme auslesen und nutzen... zum Beispiel wenn ich mich anmelde und die SMS senden lasse fragt jedes mal mein Browser ob er die selbständig auslesen darf...

Und so alte Leute wie ich haben doch nur ein Seniorenhandy mit Tasten. Wie soll ich da ne APP installieren. Mein Handy hat weder WLAN noch Glasfaser.   �Ironie OFF]

Jede Lösung hat eben Vor- und Nachteile. Da sind sehr viele Aspekte zu berücksichtigen.

Naja Leute. Ob eine App die absolute Sicherheit bedeuten kann, wage ich zu bezweifeln. Und mein Stress damals hat nicht nur Zeit und Nerven gekostet. Es kam auch kein Geld rein, weil ich die App zum Login brauchte und keine Rechnungen schreiben konnte. 

Das ist einfach meine Erfahrung und Meinung. Wir müssen das nicht weiter diskutieren.

Grüße und einen schönen Feiertag für euch!

Ich brauche nicht warten, da das mit an absoluter Sicherheit grenzender Wahrscheinlichkeit zu meinen Lebzeiten nicht passieren wird.

Du hast das resultierende Kernproblem gar nicht erfasst oder?

Wie viel wahrscheinlicher ist es (statt der Account-Kaperung), das 2FA-Gerät zu verlieren, zu zerstören oder einen leergesaugten Akku zu habe, wenn man dich einloggen möchte. Denn hat man eine Situation, dass erstmal gar nichts mehr geht. Und dann gibt's eine richtige Kugelfuhr und Stress, das den o2-Helden erstmal zu verklickern.

Das Einzige was hier praktisch und rechtlich passiert ist, dass o2 die Sicherheitslast, die o2 sowieso zu tragen hätte, wenn es einen Account-Einbruch mit auffälliger Fehlnutzung gibt, auf die Kunden abwälzt.

Es ist praktisch nicht möglich, bei einem Account-Einbruch einen Fehler auf der Userseite nachzuweisen. Künftig wird sich o2 zumindest mit 2FA zu exkulpieren versuchen. Dann muss der User nachweisen, dass er nicht die 2FA-Authentisierung ausgelöst hat. Das ist gewiss ein Heidenspaß und easypeasy, wenn man gar keinen Plan hat was abgeht, weil man ja nicht mehr in den Account kommt?

2FA alleine ist kein Sicherheitgewinn und ganz gewiss auch kein Gewinn bei der Haftung der User. Und wenn es auch no so dilletantisch und MITM-anfällig ausgestaltet ist wie hier, dann ist nur ein Ärgernis für die Tonne.

Die denkbar schlimmste Form der Sicherheit ist übrigens FALSCHE SICHERHEIT. Aber wem sag' ich das... Perlen vor die...

Es ist jedenfalls besser als vorher, wo abgephishter Username und Passwort alleine ausreichten, um seinen Account an Ganoven zu verlieren, wie man ja tagtäglich hier im Forum lesen konnte. Ich sehe das als längst überfällige Maßnahme, die aber sicher noch großes Verbesserungspotential hat.

Da SMS nun auch zuverlässig per WLAN im Funkloch oder auch im deutlich verbesserten o2 Mobilfunk ankommen habe ich kein Problem damit meinen PC und meine Handys dauerhaft zu beglaubigen.

Wenn ich sehe aus was für Quellen mache ihre Apps installieren wird mir sowieso schlecht.

Ich hätte jetzt nicht gedacht,das wenn einem die Möglichkeit gegeben,wird Sein Konto doch etwas sicherer zu machen,doch wieder negativ aufgefasst wird.Obwohl das bereits vorausgesagt wurde.Recht machen kann man es niemanden.Und auch wenn der Netzbetreiber nicht das online Banking ist,hängt das online Banking aber mit der Rufnummer mit drin.

Wenn ich im Duden nachschaue bedeutet ignorieren “nicht beachten, nicht zur Kenntnis nehmen”.

Das ist aber mitnichten so  Wir nehmen *alles* zur Kenntnis. Nur weil ein Vorschlag nach Nennung nicht umgehend umgesetzt wird, bedeutet es ja nicht, das wir diesen nicht beachtet haben. Ich finde einige von euch urteilen auch immer sehr schnell und abschließend, ohne Kenntnisse der Hintergründe, oder der technischen Umstände die bestehen und mit denen wir arbeiten müssen.  

Wir leben leider IT-technisch nicht im “Wünsch dir was Land”, wo wir immer gerne so können wie wir wollen. Das ganze ist und bleibt eine Sisyphusarbeit und oft (und das ist nicht nur im Mobilfunkbereich so) sind einem die Gauner zusätzlich immer einen Schritt voraus. Dennoch stimme ich @salov bei und bin da komplett seiner Meinung... 

Es ist jedenfalls besser als vorher.. 

und somit freue ich mich jetzt erstmal, dass die 2FA jetzt auch für Mein o2 aktiv ist  

Trotzdem gilt weiterhin: Habt ihr konstruktive sachliche Verbesserungsvorschläge sind wir immer offen für Anregungen 

VG Matze  

@o2_Matze

klar ist es kein “Wünsch dir was”

aber leider erhalten wir ja auch selten oder keine Rückmeldungen, warum es scheitert,

dass nur der Vertragspartner alle Infos, Zu- und Umbuchungen und Verlängerungen

vornehmen darf. Ärgerlich bleibt, wenn Infos nicht beim Inhaber landen.

Die jetzigen Änderungen mit den zusätzlichen Sicherungen find ich super wichtig,

und freue mich, dass es dort Veränderungen gegeben hat.

Ob das für mich unpraktisch oder ungewohnt ist,

bleibt erstmal  2.rangig.

Hauptsache es geht in die richtige Richtung.

Wie ich finde, ein notwendiger Schritt und etwas mehr Sicherheit für den Account. Ich hoffe, dass bald dieses Phishing Problem ein wenig Einhalt gebietet wird, kann demnach nicht nachvollziehen, warum so vielen negativ eingestellt sind auf diese Änderung.

Beste Grüße,

RhobarDerIII

Was sind gängige Systeme zur Zwei-Faktor-Authentisierung?

Grundsätzlich erhöht ein zweiter Faktor zwar immer die Sicherheit, es kommt dabei aber auch auf die Art der Umsetzung und Verwendung des zweiten Faktors an. Es lassen sich im Wesentlichen folgende Gruppen von Verfahren zur Zwei-Faktor-Authentisierung unterscheiden:

TAN/OTP-Systeme als zweiter Faktor nach einem Passwort: Eine TAN bzw. ein OTP ist ein Einmalkennwort, das als zweiter Faktor übermittelt werden kann. In der Vergangenheit wurden TANs vorab auf Papierlisten (iTAN) bereitgestellt. Dieses Verfahren gilt jedoch seit geraumer Zeit als nicht mehr sicher genug. Besser sind TAN-Generatoren (Hardware) bzw. Authenticator Apps (Software), die Einmalkennwörter zeit- oder ereignisbasiert stets neu generieren. Noch sicherer sind TAN-Generatoren, die in die Erzeugung der TAN auch Daten aus der Transaktion (z.B. Kontonummer und Betrag) einbeziehen (eTAN, chipTAN).

Alternativ wird die TAN der Benutzerin oder dem Benutzer vom Diensteanbieter auf einem anderen Übermittlungsweg bzw. an ein anderes Endgerät übermittelt. Gängig ist hier vor allem die Übermittlung per SMS (mTAN, smsTAN) ggf. mit Angabe zusätzlicher Transaktionsinformationen. Es ist jedoch davon abzuraten, für den Empfang der mTAN dasselbe Gerät zu verwenden wie für das Login bzw. die Nutzung des Dienstes (keine ausreichende Trennung der Faktoren).

Kryptographische Token: Ein kryptographisches Token speichert einen privaten kryptographischen Schlüssel. Die Authentisierung erfolgt durch das Senden einer Anforderung an das Token, die das Token nur mithilfe des privaten Schlüssels korrekt beantworten kann.

Der Schlüssel kann als Softwarezertifikat gespeichert werden (bekannt von ELSTER), sicherer ist aber die Speicherung in Hardware auf einer Chipkarte (HBCI, Signaturkarten) oder einem speziellen USB-Stick/NFC-Token (FIDO/U2F). Auch der Personalausweis und der elektronische Aufenthaltstitel enthalten einen sicheren Schlüsselspeicher und ermöglichen damit die Online-Ausweisfunktion.

Biometrische Systeme: Bei biometrischen Systemen wird das Vorhandensein eines zuvor erfassten einzigartigen körperlichen Merkmals überprüft (Fingerabdruck, Gesicht, Retina). Biometrische Merkmale sind im Normalfall nicht "geheim", sodass eine Lebenderkennung wichtig ist, damit die Systeme nicht z.B. mit einem Foto ausgetrickst werden können.

BSI - Zwei-Faktor-Authentisierung – mehr Sicherheit für Geräte und Daten (bund.de)