Sicherheitslücken Online-Banking

Ärgerlich, daß auch heise nur nachbetet, was alle Offiziellen von sich geben.

Für das Banking brauche ich also einen 2. Key - das ist - bei manchen Banken zwangsweise - das Handy.
Wenn ich kein Apple-Jünger bin, hab ich ein Android-Handy - ich dachte, Android ist aus Prinzip immer gehackt? So wie Windows immer als gehackt gilt?
Es gibt die von den Banken fabrizierten Apps - die sind bestimmt ganz ganz sicher. Bei bekannten deutschen Banken braucht man eine Pin, um in die App rein zu kommen, und dann auch als Bestätigung für jede Transaktion - diese Pin besteht aus 5 (!) Ziffern - das ist ganz sicher, eine Stelle mehr als die Pin für den Geldautomaten!
Allerdings kann man die App nicht nur als zweiten Faktor benutzen, sondern auch als Banking-App. dann wird der zweite Faktor auf demselben Gerät und in derselben App abgefragt, mit der auch die Bankgeschäfte getätigt werden. Wenn ich meine Überweisungen bequem am Computer machen will, brauch ich schon noch Login und Passwort als einen Faktor, die App als zweiten - aber ich kann ja auch alles mit der App machen, und da brauche ich für alles nur diese eine 5stellige Pin.

Andere Banken verwenden Variationen der BestSign - App. Die kann man mit einem echten Passwort absichern - ich kann z.B. keepass nach einem guten Passwort dafür fragen.
Natürlich hat das den Nachteil, daß man dieses Passwort dann nicht mehr eingeben kann - 20 beliebige Zeichen auf dem Handy, zum Einloggen, zum Bestätigen,...
Biometrie ist nicht bei BestSign - dabei scheint der wie wir wissen absolut fälschungssichere Fingerabdruck für die heise-Sicherheitsspezialisten akzeptabel zu sein, die finden ja sogar die Redmond-Biometrie gut.
Also lieber doch eine 4-stellige Pin für BestSign...