Beiträge von Kvasir

Hallo Flosse08,

Zitat von Flosse08

Mehrere Passkeys sollten möglich sein. Dazu aus der FAQ:

Ja, steht so in der Doku.

Aus dem eingangs von mir zitierten Thread Passkeys verwalten geht aber hervor, dass die FAQ an der Stelle veraltet ist und eigentlich hätte aktualisiert werden sollen.

Vor ca. März diesen Jahres, wenn ich mich da richtig an den langen Thread erinnere, ging es. Da kamen mehrere unterschiedliche Passkeys zustande. Dann wurde das dort adressierte Problem gefixt und seit dem gibt es nur noch einen Passkey.

Zitat von Flosse08

Wichtig unter Android ist Chrome als Standardbrowser zu verwenden und eine Gerätesoerre eingerichtet zu haben.

Das habe ich gelesen und auch so umgesetzt, aber trotzdem bekomme ich auf meinem Androiden keine Offerte mehr zum Wechsel auf Passkey. Bleibt da halt bei Passwort + SMS Bestätigungscode.

Gruß,
Kvasir

Zitat von harob

Als "Sicherheitsmerkmal" kann der Support aber nur auf das Kundenkonto zugreifen, wenn entweder eine Ausweiskopie vorgelegt wird oder die Legi-PIN genannt wird.

Zitat von zedtea

Es müsste ja entweder auch beim neuen Anbieter ein Vertrag unter gleichem Namen angelegt werden, damit das durchgeht (auch dort muss man sich in irgendeiner Form legitimieren mittels Ausweis) oder aber die Rufnummer auf einen neuen Inhaber überschrieben werden, wobei der ursprüngliche Inhaber dann auch noch in irgendeiner Form das ganze autorisieren muss.

Zitat von Linda

Deswegen ist es wichtig die Legitimations-PIN geheim zu halten, genauso wie natürlich das Passwort für die App.

Alles richtig, was Ihr schreibt. Die Zeiten ändern sich aber. Vor 10 Jahren gab es einige der Rahmenbedingungen noch nicht. Die Legi-PIN gibt's z. B. wohl ab ca. 2016 und Pflicht wurde Sie erst 2022. Die Methoden der Kriminellen werden gleichzeitig immer ausgefuchster und Datenleaks kommen alle Tage immer zahlreicher hinzu. Insofern ist es auch nicht mehr völlig abwegig, dass die andere Seite an eine Ausweiskopie kommt. Überlegt mal, bei welchen Gelegenheiten ihr oder jemand schon euren Perso kopiert oder gefilmt hat. Etwa aber nicht nur für Legitimierung bei einer Kontoeröffnung. Oder bei Behörden. Oder ganz frisch Reisebuchungsportale. Alle diese Bereiche sind dieses Jahr schon von Datenleaks betroffen gewesen. Der ursprüngliche Inhaber wird das im Fall eines Identitätsdiebstahls vielleicht gar nicht mehr gewahr werden, wenn so etwas im Gange ist. Selbstverständlich hüte ich die Legi-PIN und das Passwort sorgfältigst. Einfach so kommt da keiner dran. Diese Informationen kommen jedoch nicht ausschließlich auf Nutzerseite abhanden, sondern auch auf Anbieterseite. Als Konsequenz erleben wir den immer heftigeren Zwang zur obligatorischen Umstellung auf 2FA. Es geht doch letztlich um die nicht-einfach-so Wege. Die dicht zu bekommen. Und an der Stelle bin ich dann wieder bei Passkey und der Frage, warum trotz Entscheidung für Passkey immer noch Passwort + SMS Bestätigungscode möglich bleibt? Passkey ist bei congstar relativ neu und darf sicher auch als eine Reaktion von congstar auf die wachsenden Cyberrisiken gesehen werden. Warum nicht konsequent?

Also, danke für eure Beiträge.

Ich möchte mit einem Vote für eine Option 'Passkey only' und 'mehr als ein Passkey' hier abschließen.

Gruß,
Kvasir

Hallo Christian,

Zitat von Christian

Was genau meinst du mit einer Portierungssperre?

Eine Sperre, dass meine Rufnummer nicht durch z. B. widrige Versuche einer Rufnummernmitnahme zu einem anderen Anbieter portiert werden kann.

Aber ich sehe schon bei weiterer Recherche, dass so etwas in DE nicht vorgesehen ist und hierzulande andere Mechanismen greifen sollen.

Ich lese zu dem Thema aber u. a. auch folgende Empfehlungen:

• starkes Passwort & 2FA ... ersteres ja, letzteres, na ja, darum geht es mir hier; sieht für mich so aus, dass Passkey eben nicht wirklich 2FA ohne Fallback auf SMS mit Bestätigungscodes abbildet.
• keine SMS für sensible Konten ... eben und das gerne explizit mit nur noch Passkey und um im Fall eines Falles nicht ausgeschlossen zu sein, gerne auch ein zweiter Passkey, den man auf einem zweiten Device vorhält. Notfall-Codes als Reserve, wie hier im Forum, wären auch ok.
• Kunden-PIN ... habe ich natürlich gesetzt

Gruß,
Kvasir

Hallo harob und zedtea,

danke für eure beiden Antworten mit Anregungen.

Nun, es ist ein Android und ein iOS. Das mit dem Transfer des Passkey dürfte daher scheitern, da der Passkey zwar iOS-seitig exportiert aber ziemich sicher auf Android-Seite nicht wieder importiert werden kann. Wie so viele dieser Dinge, die nicht systemübergreifend möglich sind, weil sie sehr integriert im jeweiligen Biotop sind. Außerdem wäre der gleiche Passkey auf zwei Geräten auch nicht meine Vorstellung von Redundanz. Bei z. B. Geräteverlust und Vorgehen über 'Passwort vergessen' bin ich gleich beide Devices los.

Auf das in meinen Augen größere Problem seid ihr gar nicht eingegangen. Wie verhindert man, dass doch wieder SMS mit Bestätigungscodes versendet werden? Das ist der Punkt. Eigentlich dachte ich, Passkey und damit sind SMS mit Bestätigungscodes passé. Leider ist dem nicht so.

Ich habe SIM Swapping im Hinterkopf und möchte mich dagegen besser schützen. Zumindest möglichen Schaden weiter begrenzen. Es soll jedenfalls nicht mehr möglich sein, einen Account wg. des Rückgriffs auf die Mobilnummer kapern zu können, wenn jemand wie auch immer es geschafft hat, sich eine SIM mit meiner Mobilnummer zu organisieren. Betrifft so gesehen auch nicht nur 'meincongstar'.

By the way, bietet congstar eigentlich eine Portierungssperre?

Gruß,
Kvasir

Hallo,

ich bin über diesen recht langen Thread hierher gekommen:

https://forum.congstar.de/thread/70519-passkeys-verwalten/

Auch für mich war es alles andere als transparent, dass man den Passkey nur über 'Passwort vergessen' zurücksetzen kann.

Weiter treibt mich auch das Thema 'mehr als 1 Passkey erforderlich' um.

Vor ein paar Monaten wäre ich wohl auch genauso gestrandet wie chri-s . Über die zwischenzeitliche 'Korrektur' freue ich mich also auch nur bedingt.

Aktuell ist mein Problem mit der Passkey-Implementierung, dass sie eben nicht den Rückgriff auf SMS mit Bestätigungscodes verhindert. Das gilt zwar für das erste Smartphone, wo das soweit zu funktionieren scheint, aber es verhindert überhaupt nicht, sich ein zweites Smartphone mit der congstar-App einzurichten und dort dann mittels Benutzername und Passwort über SMS Bestätigungscodes reinzukommen. Da kommt auch kein Angebot zur Umstellung auf Passkey. Da ich mehrere Nummern bei congstar habe, kann ich auch noch auswählen, an welche der Nummern die SMS rausgehen soll. Das kann eigentlich nicht im Sinne des Erfinders sein.

Wie stellt man es an, den Weg über SMS mit Bestätigungscodes zu unterbinden?

Was ist Stand der Dinge in Sachen 'mehr als 1 Passkey' für zumindest ein weiteres Device?

Gruß,
Kvasir