Mobile Connect: Telekom, Telefónica und Vodafone starten Login ohne Passwort
von André Westphal | 21 Kommentare
Selten, dass die großen Mobilfunkbetreiber mal alle an einem Strang ziehen, aber es kommt vor. So ist Mobile Connect ein neues Login-Verfahren, das sowohl Telekom und Telefónica als auch Vodafone anbieten. Dabei kommt ihr ohne ein Passwort aus. Gänzlich neu ist Mobile Connect natürlich nicht, denn es wurde auch nicht von Telekom und Co. entwickelt, sondern von der Mobilfunkorganisation GSM Association (GSMA). Eigentlich rechnete man mit der Einführung in Deutschland schon für 2018.
Es hat aber doch eine Weile länger gedauert. Im Grunde verzichtet Mobile Connect auf ein Passwort, weil euer Smartphone bzw. eure Telefonnummer quasi eure Identität nachweist. Mobile Connect könnte künftig auch digitale Behördengänge ermöglichen, aktuell ist das aber noch Zukunftsmusik. Als Partner nutzen die drei Provider übrigens die Identitätsplattform Verimi. Bereits heute können sich Verimi-Nutzer nach vorhergehender Registrierung im Verimi-Portal via Login mit Handynummer authentifizieren.
Mobile Connect will man als deutschlandweiten Standard im E-Commerce aufbauen. 70 Netzbetreiber in rund 40 Ländern nutzen Mobile Connect bereits. Eine wichtige „Sicherheitslücke“ entfällt eben bei dieser Login-Methode: das Passwort. Denn das viele Anwender schwache Passwörter nutzen oder sich bei vielen Diensten mit dem selben Kennwort anmelden, ist allseits bekannt. Passwörtern wie „12345“ und Co. soll Mobile Connect also den Kampf ansagen.
Besonders aufregend ist die Authentifizierung bei Mobile Connect sonst nicht: Ihr gebt eure Mobilfunknummer an und via SMS bestätigt ihr jene für unterschiedliche Internetportale. So enthalten die SMS dann einen Bestätigungs-Link. Dadurch kann der Netzbetreiber die verschlüsselte Übermittlung einer „pseudonymisierten Kundenreferenznummer“ an den Portalbetreiber anstoßen. So kann der Betreiber den Kunden immer wieder zuordnen und gewährt auch ohne Passwort Zugang zum Onlineshop.
Shops, die trotzdem beim Passwort bleiben wollen, können Mobile Connect aber für 2FA nutzen, also als zusätzliche Authentifizierungsmethode, was immerhin schon die Sicherheit erhöht. Nicht nur die Sicherheit hatte man bei der Entwicklung von Mobile Connect aber im Auge, denn man tönt auch, dass Kunden so schneller Käufe tätigen könnten, was den Händlern mehr Umsatz einbringe. Deutsche Telekom, Telefónica und Vodafone wünschen sich nun, dass im Idealfall alle Mobilfunkmarken und virtuellen Netzbetreiber ohne eigenes Netz Mobile Connect unterstützen.
Werdet ihr Mobile Connect so schnell wie möglich nutzen? Oder wollt ihr lieber, so weit wie möglich, bei anderen Login-Verfahren bleiben?
Wird geladen ...
Hatte ich das nicht bei Vf CallYa nicht schon vor mehr als einem Jahr??
Ja, gibt es schon länger.
Hört sich gut an.
Diese Methode, „Sign in with Apple“ und per NFC mit dem Personalausweis wären meine drei bevorzugten Authentifizierungsmethoden.
„So kann der Betreiber den Kunden immer wieder zuordnen“
Prima. Eine neue Tracking-Quelle. Je mehr Webseiten mitmachen, desto mehr Trackingpunkte kann man erheben. Es tut sich hier also ein weiteres Geschäftsfeld für die notleidende Mobilfunkbranche auf. Und die Onlinewerber werden es dankbar annehmen, nimmt doch dank Cookie-Richtlinie, bald e-Privacy-Verordnung und Tracking- und Cookie-Blockierung im Browser die Erfassungsqualität und -quantität beim Tracking ab.
Auch Facebook oder Google bieten völlig uneigennützig solche zentralisierten Login-Dienste an. Ein Passwortmanager ist für mich die bessere Antwort.
Genau so ist es. Die eigentliche Nachricht hier ist Verimi: gemeinsames Datensammel- und Werbenetzwerk von Daimler, VW, Axel Springer, Allianz, Lufthansa, Samsung, Deutsche Bank, Bahn, Telekom, Postbank etc. Bravo, wo kann ich unterschreiben?
Man kann natürlich auch jede neue Technologie schlecht finden und ablehnen. Was ist mit deinem Virenscanner oder Windows Defender der dann ebenfalls deinen Passwortmanager scannen muss weil er ja dafür konzipiert wurde? Somit auch Schrott?
Altes Problem. Wer überwacht die Überwacher? Besser man organisiert sich so, dass man das nicht nötig hat. Z.B. mit macOS.
Ich habe erst nach zweimal lesen deine Ironie erkannt!
Ist da irgendwo eine versteckte Ironie?
Nein, Verimi benutzt mobileConnect und nicht andersrum.
Ist doch nichts anderes wie 2 Faktor. Und die Banken nutzen es doch auch.
Ist nur wieder einer zwischengeschaltet : Verimi!
Wie implementiert man das denn in seinem Webdienst?
Per OpenID Connect?
verimi ist doch nur EIN Anwender von mobileConnect und nicht andersrum, oder?
https://developer.mobileconnect.io/ wäre die Basis
Sind beide vergleichbar. Mobile Connect ist ein Logindienst und Datensammelnetzwerk der GSMA, vorrangig für Netzbetreiber weltweit: https://www.gsma.com/identity/identity-programme
Verimi ist das selbe in grün, nur halt von meist deutschen Firmen.
Die deutschen Netzbetreiber bieten seit heute Mobile Connect an und Verimi hat den Dienst vom Start an integriert.
MobileTan wird bei der Postbank abgeschafft weil unsicher, da die Provider jedem Hinz und Kunz eine Ersatzsim schicken, und das hier soll jetzt sicher sein.
Andere stellen die SMS Verifizierung ein weil es zu unsicher ist und die wollen nun damit starten?? Oder gibt es hierbei einen zusätzlichen Sicherheitslayer der im Artikel nicht erwähnt wird?
Ich gehöre zu diesen Menschen die es gerne einfach und bequem haben. Wenn ich jetzt noch eine SMS bekomme, mir dann eine Nummer merken, bzw. kopieren, oder einem Link folgen muss… Finde das schon ziemlich unbequem. Ich meine, es funktioniert doch eh mit dem Smartphone, würde es nicht einfach reichen sich via PIN, Entsperrmuster, Fingerabdruck zu identifizieren?
Und wenn ich das jetzt richtig verstehe, dann kann ich bei einem Anbieter etwas kaufen oder ähnliches und der greift über meinen Mobilfunkanbieter auf meine Daten(Konto/Adresse)zu? Nein. will das nicht haben. Will selbst entscheiden welchem Anbieter ich welche Daten gebe. Gab zu viele Skandale wo Daten bekannter Unternehmen im Umlauf waren und wo es Sicherheitslücken gab und da hätte auch keiner mit gerechnet, dass das passieren kann.
Ne. Will ich nicht.
Ob man was tracked und mir dann Werbung einspielt finde ich unwichtig. Hab schon einige Male aus Interesse nach Produkten geschaut und dann Werbung mit sogar guten Angeboten bekommen und auch gekauft. Ist also nicht nur schlecht.
Für mich klingt es halt unnötig kompliziert.
Habe erst bei der DHL gefragt, warum die es nicht hinbekommen ihre Goldkarte in der APP zu integrieren. Wäre doch bequem, wenn man die Karte nicht mitschleppen müsste. Dazu gab es folgende Antwort:
„vielen Dank für Ihre Nachricht.
In der DHL Paket App ist der Barcode Ihrer Kundenkarte aus Sicherheitsgründen nicht hinterlegt. Dieser würde bei der Abholung der „Zwei-Faktor-Authentifizierung“ widersprechen und es Betrügern erleichtern, mit einem gestohlenen Telefon unberechtigt an Sendungen zu gelangen.“
Wäre diese Zwei-Faktoren-Authentifizierung nicht gegeben wenn man das Smartphone mit PIN oder Fingerabdruck sichert? Banking Apps, PayPal und co. funktionieren doch auch so. Auch irgendwie unnötig unbequem.
Habe meine GoldCard übrigens in der App Stocard hinterlegt. Klappt easy und die Karte liegt seitdem nur noch zuhause.
Ich werde es auf jeden Fall ausprobieren. Ich bin jetzt schon von meinem Chromebook verwöhnt, welches sich mittels Fingerprint des Smartphones entsperren lässt.
Da finde ich die Methode von Google aber einfacher und sicherer, zumal man da keinen dritten Dienst braucht, sondern nur den oft ohnehin vorhandenen Google-Account.
Hmm irgendwie versteh ich den Sinn auch nicht warum da jetzt noch ein Dienst wieder mit ins Boot geholt wird.. Weil Login mit Fingerabdruck ist doch Praktisch.. Was die 2 faktor anght so wird Android Q es ja ermöglicheen Codes aus den SMS automatisch auszulesen und einzufügen..
Anmeldungen im Web da geb ich einnigen hier Recht anstatt jetzt noch ein Dritten daten zugeben, dann lieber mit dem eh vorhandenen googleaccout. Dort wird ja drauf hingewiesen welche Dienste bzw. Daten der Anbieter haben will und mann ja sagen ja darf er oder eben nicht.. Auch läst sich ja übers googlekonto dorch recht einfach die Berechtigung wieder aufheben..
Wie das nun bei mobileconnect laufen soll ist mir noch nicht ganz klar.