I think it's a really important security layer for riscofull actions, like transferring all money out of creating an API-key. But since todays update, it's sufficient to know the login code of the bunq app.

@Jakob-Y#195398 Ik heb juist het idee dat de beveiliging hierdoor omlaag is gegaan. Op een nieuw toestel heb ik alleen toegang nodig tot mail + inlogcode. Denk aan een grootschalige Hotmail-phishing campagne zoals die van een tijdje terug. Zodra de toegang hebben tot je mail kunnen de immers zo verder en bijvoorbeeld een hele legitieme phishing mail van bunq sturen, waar alleen de vijf-cijferige code benodigd is (zoals je ook inlogt op bijvoorbeeld bunq.app).

Daarnaast heb ik nergens gelezen (en ervaren) dat betalingen 24 uur worden tegengehouden. Waar heb je die info vandaan?

Daarnaast mis ik de algehele fail-over. Als ik nu bijvoorbeeld iets gebeurt waardoor de vingerafdruklezer van mijn telefoon alle vingers accepteert (denk aan de bug op de Samsungs een tijd terug) kan diegene mijn hele rekening leegtrekken, zonder extra beveiliging.

@Jakob-Y#195401 In het lijstje staat niets over geld overboeken? Wel kaartlimieten maar dat heeft er niet veel mee te maken.
En daarnaast las ik op Tweakers een ander valide punt - mijn mail zit standaard ingelogd op mijn telefoon. Dus als iemand toegang krijgt tot mijn telefoon heeft hij die factor direct omzeild. Daarnaast zijn er (helaas) voldoende mensen welke hun mail account niet als "kingdom keys" zien, en deze dus niet adequaat beveiligen met o.a. MFA.

Als ik bunq was, had ik in ieder geval de passphrase gehouden. Eventueel alleen voor de power users, die hun geld extra willen beschermen.

Daarnaast nog een andere valide vraag - wat gebeurt er met de biometrische data die nu is opgeslagen? Wordt deze verwijderd en op welke termijn?

@Jakob-Y#195404 I am not talking about software security, my phone is for example enrolled in the Google Advanced Protection-program and is protected by Android Security Updates by the Android One-program. Apart from that, my data is encrypted at rest and a new device logging in in my account needs to complete a FIDO2-challenge. I think I am quite safe.
So I still think this is not a good (security-wise) decision. bunq themselves told us that the five-digit code was not safe enough and that's why they implemented hand recognition, and for people who couldn't use it, the passphrase would come out handy. I don't know why they changed this, since it's an important step in the security defense of bunq. They are the ones that told us we don't need those fancy code generators like Dutch Banks ABN AMRO and the Volksbank have.