Nö, wüsste nicht, dass das verboten ist.
Bei der Sparda Hessen gibt es beim Login 2FA nur alle 90 Tage oder so.
Ist es ja auch nicht. Und gesetzlich gefordert sind es genau alle 90 Tage. Und für Umsätze, die länger als 90 Tage zurückliegen ist einmalig je Sitzung 2FA nötig, was auch durch 2FA beim Einloggen schon erfüllt werden kann.
Mag zwar sein, das man ohne Freigabe von Aufträgen keine Überweisungen oder Apple Pay/Google Pay nutzen kann, aber es reicht für Betrüger so aus einmalig Zugangsdaten abzufischen um dann per Telefon, SMS oder Post mit persönlichen Daten (Social Engineering) das Vertrauen der potentiellen Opfer zu erschleichen.
Da hast du absolut Recht. Das mag mit ein Grund sein, warum manche Banken von Anfang an über das gesetzlich geforderte (PSD2) hinausgehen.
Wobei ich gerade beobachte, dass alle (mir bekannten) Banken diese Lücke schließen.
Wobei die bequeme Variante hier die ist, als 2. Faktor den Besitz eines bekanntes Gerätes nutzen. Das fühlt sich für den Nutzer so an, als wäre es ohne 2FA, ist es aber nicht. Nur für die Auftragsfreigabe, Apple/G-Pay Einrichtung usw. benötigt man dann die TAN App/Generator.
Bisher die schlechtmöglichste Umsetzung von PSD2 war/ist übrigen fürs Einloggen nur alle 90 Tage 2FA zu benötigen, aber für jede Suche in den Umsatzdaten älter als 90 Tage den 2. Faktor erneut abzufragen (einmal je Sitzung wäre ja ausreichend). Was in einer Sitzung auch mal dreißig mal die Abfrage des 2FA bedeuten kann. - Für den legitimen Nutzer schon (fast) Gängelung, und für Phisher ein Geschenk.