OT: Kreditkarten-Zahlung im Internet / Zwei-Faktor-Authentifizierung mit Hardware von Seal One
Liebe Fachleute,
seit einiger Zeit muß man Kreditkartenzahlungen im Internet zusätzlich autorisieren. Die Postbank bietet dazu u. a. ein Verfahren mit dem Namen BestSign und dazu wiederum Hardware von Seal One an.
Hat jemand Erfahrung mit dieser Authentifizierungs-Methode?
Viele Grüße Jakob
Hi,
On 19/05/2022 17:23, Jakob Mendel wrote:
seit einiger Zeit muß man Kreditkartenzahlungen im Internet zusätzlich autorisieren. Die Postbank bietet dazu u. a. ein Verfahren mit dem Namen BestSign und dazu wiederum Hardware von Seal One an.
zum Vergleich: Sparkasse hat eine Handy-App, die aufpopt wenn eine Transaktion bestätigt werden muss (Provisionierung der App ist halbwegs sicher und man muss eine Pin eingeben). Aber eigentlich ist es völlig egal.
Hat jemand Erfahrung mit dieser Authentifizierungs-Methode?
Nein. Aber:
Egal welches Verfahren benutzt wird: es wird sehr selten passieren dass es gebraucht wird, es sei denn Du kaufst nur in Deutschland mit Kreditkarte ein - dann passiert es dauernd, auch bei trivialen Beträgen. Die meisten Leute die ich kenne benutzen die Karte aber eher im Ausland...
Der Händler bestimmt ob er die zusätzliche Sicherheit will, nicht Du und auch nicht Deine Bank. Denn der Händler muss dazu eine komplexere Web-Transaktion durchführen und muss das auch sofort machen - nicht erst morgen nacht wenn die Leitung frei ist und die Gebühren bei seiner Bank niedriger sind.
Die üblichen Verdächtigen benutzen es nicht: Amazon (egal welches Land), eBay (egal wo der Verkäufer sitzt), Paypal (egal wo es hingeht), AliExpress (und ich vermute die anderen Alibaba-Zweige genauso), etc. Jedenfalls kann ich mich nicht erinnern dass es mal bei einem von denen aufgepopt ist und ich kaufe dort viel mit Kreditkarte.
Im nicht-EU-Ausland werden die meisten kleineren Händler es auch nicht einsetzen, weil dort weniger Zwang ausgeübt wird.
Bei mir passiert es ungefähr einmal im Jahr dass ich eine Zahlung authentifizieren muss - üblicherweise wenn ich krank zu Hause liege und online nur eine Briefmarke für die Krankschreibung kaufen wollte. Machen solltest Du es trotzdem weil sonst die Bank trotzt und Du es genau dann brauchen wirst wenn es Dir mies geht und Du es einfach nur hinter Dich bringen willst...
Wie man oben erkennen kann bringt es null Sicherheit (für Dich), weil die Kreditkarten-Daten-Diebe ihre Transaktionen schön dort machen werden wo nicht geprüft wird.
Pro-Tipp: frag' die Bank ob Du den Code auch auf dem Handy erzeugen kannst (z.B. Google-Auth auf Android oder besser eine Bank-App) - die Sicherheit durch diese optionale Prüfung ist so niedrig dass es sich nicht lohnt deswegen zusätzliche Hardware herumzuschleppen. Wenn die App eine Pin will ist das auch sicherer als ein Dongle am (gestohlenen) Schlüsselbund.
Im Gegensatz dazu: wenn die Hardware den Zugang zum Online-Banking absichern soll, dann wäre es eine gute Idee das nicht auf dem potentiell angreifbaren Handy zu haben. (Und das auch so zu lagern dass es nicht geklaut wird.)
Die Sicherheit einer Kreditkarte liegt nach wie vor in der Art und Weise wie Transaktionen im Nachhinein rückgängig gemacht werden können - Du kannst Dich auf der Kreditkarten-Webseite einloggen und einzelne Transaktionen stornieren. Bzw. kannst Du das auch nach der Abrechnung noch für ein paar Wochen machen. Du musst in jedem Fall prüfen ob alles mit rechten Dingen zugeht. Händler und Bank sind gegen solche Fälle versichert. Bei Dir ist Schweigen gleich Zustimmung.
Diese Authentifizierung setzt bei der Bank nur einen Haken, dass die Transaktion bereits genehmigt ist und damit ist es etwas schwieriger diese spezielle Transaktion rückgängig zu machen. Auf all die vielen unauthentifizierten Transaktionen hat das keinerlei Einfluss. Auch nicht auf die, die ein Datendieb mit Deiner Kreditkartennummer in der hintersten Ecke von Vietnam oder Columbien durchführt.
Konrad
Hi!
Konrad sprach die Bestätigung durch den Kunden bereits an als "Haken". Der Haken der App ist allerdings recht groß, nämlich eine Haftungsumkehr. Nicht nur der Händler lässt sich um Vorfeld die Zahlung von dir bestätigen, sondern auch die Bank. Das heißt, jeder Betrüger, der die App simuliert, bekommt das Geld, und du zahlst. Kreditkartenfirmen steckten viel Aufwand in die Verfolgung von Betrugsfällen, den sie mit der App nun an dich abgeben. Viel Spaß als Privatmensch in Nigeria deine Rechte durchzusetzen.
Ich habe mich entschieden keiner Kreditkartenfirma Vollzugriff auf mein Geld zu geben und daher keine App.
Thomas
Hi,
On 20/05/2022 09:39, Thomas Schmidt wrote:
Konrad sprach die Bestätigung durch den Kunden bereits an als "Haken". Der Haken der App ist allerdings recht groß, nämlich eine Haftungsumkehr. Nicht nur der Händler lässt sich um Vorfeld die Zahlung von dir bestätigen, sondern auch die Bank.
Soweit korrekt.
Genau genommen: der Händler leitet Dich auf die Webseite der Kreditkartenfirma weiter und die tut was auch immer vereinbart ist um die Bestätigung einzuholen (kann eine Passwort- oder Code-abfrage sein oder die Seite zeigt solange Sanduhren an bis Deine Handy-App ein Ja oder Nein bekommen hat). Danach hat die Kreditkartenfirma das okay und sagt dem Händler dass das Geld jetzt sicher ist. Deine Bank (von der Du die Karte erhalten hast) hat mit der Kreditkartenfirma einen Vertrag der besagt, dass bestätigte Transaktionen nicht rückabgewickelt werden können (es sei denn es gibt ein Gerichtsurteil gegen Bank oder Händler).
(Vorsicht: IANAL, ich nix Rechtsverdreher, ich nix legal Ahnung. Ich hatte nur ein bisschen Grundlagen des Vertragsrechts im Informatik-Studium.)
Das heißt, jeder Betrüger, der die App simuliert, bekommt das Geld, und du zahlst.
Zwei Denkfehler:
a) die App muss die Anforderungen von PCIDSS erfüllen und kann damit nicht mal eben "simuliert" werden - man braucht schon einiges an Schlüsselmaterial und Energie um die Verbindung zur App zu fälschen, am einfachsten wäre Dein Handy zu klauen, aber man muss dann auch den Pin-Code wissen und schneller agieren als Du die Karte sperren kannst; alternativ muss man in Dein Handy hacken und die verschlüsselten Kreditkartendaten abgreifen, knacken und misbrauchen - wir sind nicht bei StarTrek wo Mr. Data das in ein paar Sekunden macht
b) Der Betrüger braucht die App nicht um das Geld zu bekommen und den meisten Betrügern geht es auch nicht darum Dir zu schaden, sondern darum selbst reich zu werden. Der einfachste Weg ist es den Transfer irgendwo durchzuführen wo die App gar nicht involviert wird. Zum Beispiel auf dem Idumota Market in Lagos oder so.
Meistens läuft ein Betrug so:
1) Betrüger A erbeutet eine ganze Datenbank voll Kreditkartennummern, nebst 3-stelliger "Security Codes" von irgendeinem großen online-Händler, der die Sicherheitslücke des Jahres verschlafen hat und demnächst Ärger mit der Finanzaufsicht seines Landes bekommt
2) Betrüger A verkauft diese Datenbank in tausender-Tranchen im Darknet
3) Betrüger B kauft eine handvoll Tranchen für relativ wenig Geld
4) Betrüger B gibt jeweils eine Handvoll Nummern oder "Karten-Clone" an eine Schar von "Mules", die damit Luxusgüter online oder offline kaufen sollen
5) Die Luxusgüter werden an weitere "Mules" weitergegeben, die sie dann auf eBay oder dem lokalen Bazar verscherbeln (mit Verlust, aber der Verlust wird ja von jemand anderes bezahlt)
6) Vom Erlös bekommen die Mules einen Teil ab und der Großteil wird (per Post oder Western Union) an den Betrüger B geschickt
7) Betrüger B kauft sich einen Porsche und ein paar von den Mules werden erwischt und gehen in den Knast, Betrüger A kauft sich einen besseren Laptop und hackt weiter
8) falls bei 4 die App aufgepopt ist und Du den Haken setzt bist Du selber schuld, wenn sie nicht aufpopt und Du auch nicht der Abrechnung widersprichst auch selber schuld, ansonsten trägt der Händler oder seine Bank die Kosten
8b) eigentlich tragen wir alle die Kosten, weil wir ja Gebühren und/oder Zinsen für Kreditkarten bezahlen - das ist schon eingerechnet
8c) wenn das ein paar mal mit vielen Karten passiert wird bei der Polizei eine Akte angelegt und man versucht herauszufinden was das Muster ist, manchmal hat man Glück und kann ein paar Mules verhaften oder herausfinden welcher Server-Einbruch dazu geführt hat und kann die Karten sperren, B ärgert sich nur ein bisschen weil er neue Tranchen kaufen muss
8d) wenn es ein paar Mal mit Deiner Karte passiert wird Dir Deine Bank ganz schnell eine neue Kartennummer geben wenn Du nicht schon selber auf diese Idee gekommen bist
Ein richtig dummer B ist sein eigener Mule und wird ein paar Monate später erwischt. Manchmal sind A und B Teil der selben professionellen Bande und sie haben genug Cops gekauft um das jahrelang ungestraft zu machen.
Den "klassischen" Betrug gibt es nur noch selten wo ein Händler nach Deiner Transaktion mit Deinen Kartendaten nochmal irgendwo einkauft. Selten, weil man es leicht entdecken kann und diese Händler dann recht schnell in den Knast wandern. Diese Art von Betrüger müsste dann auch Dein Handy oder Token klauen, damit Du auf den Kosten sitzen bleibst. Lohnt sich nicht.
Kreditkartenfirmen steckten viel Aufwand in die Verfolgung von Betrugsfällen, den sie mit der App nun an dich abgeben.
Korrekt, das war die Idee hinter der App oder dem Token oder whatever. Aber eigentlich soll die App das Problem abfangen bevor es zum Betrug kommt. Es machen dummerweise nur nicht genug Händler und Banken mit.
Bisher habe ich die App durchschnittlich 1 bis 2 Mal im Jahr gebraucht. Wahrscheinlich müsste ich mehr Briefmarken bestellen, damit ich mir endlich mal die Pin merke...
Als meine Bank mir das aufgezwungen hatte, hatte ich das Schlimmste befürchtet, aber was ich bisher gesehen habe war ein erstaunlich robustes Design. Leider ist das Marketingmaterial für nicht-Informatiker geschrieben die man mit Worten wie "X.509" oder "Enrollment" nur verschrecken würde.
Viel Spaß als Privatmensch in Nigeria deine Rechte durchzusetzen.
Brauchst Du nicht. Du hast keinen Vertrag mit irgendwem in Nigeria. Du hast einen Vertrag mit Deiner Bank und der Kreditkartenfirma. Das sind diejenigen mit denen Du Dich im Zweifelsfall vor Gericht triffst. Es muss schon richtig viel schiefgehen damit die App Deine Bank vor der Haftung rettet ohne dass Du selber Mist gebaut hast - und selbst dann greifen noch Limits und andere Mechanismen (siehe unten) bevor es zur Katastrophe kommt.
Ich habe mich entschieden keiner Kreditkartenfirma Vollzugriff auf mein Geld zu geben und daher keine App.
Das ist natürlich Deine freie Entscheidung.
Nur aus Spass, schauen wir mal was am "Vollzugriff" dran ist:
Also die Firma hinter meiner Kreditkarte hat sehr begrenzten Zugriff auf mein Konto: sie dürfen jeden Monat automatisch meine Kreditkartenschulden per Lastschrift abbuchen. Ich könnte auch selber überweisen, aber dann kostet es potentiell Zinsen wenn ich zu langsam bin. Meine Bank begrenzt das auf einen (monatlichen) Betrag den ich mit der Bank abgesprochen habe (die Bank agiert als Agent für die Kreditkartenfirma) und den ich jederzeit anpassen kann. Wenn meine Karte höher belastet wird schlägt die Kreditkartenfirma automatisch Alarm und Heerscharen von Bänkern rufen mich erstmal an um zu erfahren ob meine Karte geklaut wurde (ist noch nicht passiert, aber so habe ich meinen Berater verstanden). Ich habe die Karte auf einem Limit stehen mit dem ich bequem einkaufen kann, aber das nicht so hoch ist dass ich gleich pleite bin.
Die Kreditkartenfirma hat keinen Zugriff auf mein Sparbuch, meine Anlagen, etc. Es gibt also genug Geld neben dem Girokonto von dem ich weiter existieren kann, selbst wenn es zur finanziellen Kreditkartenapokalypse kommen sollte. Kreditkartenfirma ist nicht gleich Bank, die können nicht einfach zugreifen.
Die Firma hat auch ein Interesse daran keine Transaktionen zuzulassen die nicht von mir stammen und dazu hat sie recht gute Vorhersagemodelle. Sollte mal etwas passieren was vollkommen ausserhalb meiner Gewohnheiten liegt (z.B. Einkauf eines Luxusparfüms in Lagos), dann werden sie (laut meinem Berater) anrufen. Bisher scheine ich recht gut vorhersagbar zu sein (ich habe meine Bank aber auch immer wissen lassen wenn ich in ungewöhnlich weit entfernte Gegenden fahre).
Bei Datendiebstahl im Internet kann ich innerhalb der Fristen (ein paar Wochen) den Abbuchungen widersprechen. Die Bank erinnert mich recht penetrant daran meine Abrechnung runterzuladen. In dem Fall würde ich dann auch die Karte sperren. Ab Sperre kann wirklich nix mehr passieren.
Sollte meine App mal unvermittelt aufpoppen ohne dass ich gerade auf die Kaufbestätigung von einem Händler warte, dann werde ich natürlich nicht meine Pin eingeben, sondern die Bank anrufen und fragen was los ist.
Wenn meine Karten weg sind oder mein Handy geklaut wird werde ich mir das nächste Telefon suchen und bei der Hotline anrufen um eine ganze Reihe von Sachen zu sperren - nicht nur die Kreditkarte.
Das Risiko dass die App geknackt wird ist relativ gering und Betrüger würden eher auf eine der anderen tausend geklauten Kartennummern ausweichen und hoffen dass keine App gebraucht wird. Selbst wenn das passieren sollte ist mein Schaden auf das monatliche Limit begrenzt (die App kann wirklich nur fragen "X will Y Euros, ja/nein?", sie kann keine anderen Zugriffe machen). Da ich dann garantiert nicht der Einzige bin kann ich gemeinsam mit der Verbraucherzentrale und vielen anderen vor Gericht ziehen und feststellen lassen dass die App wertlos ist (kein großer Trost, aber man hat es der Bank mal gezeigt...).
Sollte ich im Dschungel gekidnappt werden und die Kidnapper erpressen meine Kreditkartendaten, dann hatte ich schon viel größere Probleme als ich Trottel in den Dschungel wollte... ;-)
Vergleichen wir das mal mit anderen Methoden oder Plattformen:
EC-Karte: eine Transaktion, die passiert ist kann nicht mehr rückgängig gemacht werden. Egal ob per App bestätigt oder nicht. Eine geklaute EC-Karte ist unsicher bis sie gesperrt ist. Wenn Du einen Überziehungskredit hast (den hast Du wenn Du nicht explizit widersprichst) dann hast Du bei Diebstahl recht schnell Probleme, die über Deinen Kontostand hinausgehen.
Lastschrift: Rückabwicklung ist innerhalb von Europa möglich, macht Aufwand und kostet Geld. Ausserhalb ist es meistens schwer bis unmöglich das überhaupt zu machen, Rückabwicklung kannst Du vergessen. Da Du dem Händler Zugriff auf Dein Konto gibst solltest Du genau überlegen wem Du das gibst.
"Sofortüberweisung": Du gibst einer Dienstleistungsfirma, die weniger gut reguliert ist als Deine Bank, die Vollmacht Dich bei Deiner Bank zu vertreten. Hmm, was ist an diesem Bild falsch?
Paypal: schlecht regulierter Finanzdienstleister mit Lastschrifterlaubnis. Kann funktionieren, tut es meistens auch, kann aber auch schiefgehen. Rückabwicklung liegt im Ermessen von Paypal. Rückabwicklung der Lastschrift kannst Du als Backup verwenden, aber dann brauchst einen guten Anwalt.
Überweisung: macht Aufwand, aber ist relativ sicher. Solange Du Dich nicht vertippst. Wenn Du Dich vertippst, dann ist das Geld weg. Ohne Rückabwicklung. Auch wenn Du erst überweist und der Händler dann nix schickt ist das Geld weg.
Barzahlung: funktioniert nur in physischen Geschäften. Das Risiko wird minimiert indem man nicht gleich tausende Euros rumschleppt. Rückabwicklung ist ein lächerlicher Gedanke. Weg ist weg.
eBay & Amazon & Amazon Pay: siehe Paypal.
Alibaba Pay: wie Paypal, aber China hat die Aufsicht
Bleibt bei Kreditkarte natürlich noch der Aufwand die Abrechnung zu prüfen. Das kann man minimieren indem man die Karte nur dort einsetzt wo es wirklich nötig ist. Mit dieser Strategie fahre ich jetzt seit mehr als 10 Jahren recht gut. Ich will Dir nichts einreden, aber das Risiko ist nicht so hoch wie man am Anfang glaubt.
"nötig": Einkäufe im nicht-EU Ausland (z.B. USA ohne Kreditkarte bereisen ist blödsinnig; online in USA oder den meisten anderen Ländern bestellen geht auch nur mit Kreditkarte); Plattformen und Händler wo ich der Meinung bin dass ich die Widerspruchsmöglichkeit brauche, weil ich der Plattform nicht über den Weg traue und definitiv meine Kontodaten nicht rausrücken will (z.B. Alibaba) - Kreditkarte sperren ist auch weniger schmerzhaft als eine neue Kontonummer und sie hat ein Limit was noch enger ist als das vom Konto an dem sie hängt
Du wirst mich nicht dabei erwischen wie ich eine Tüte Äpfel im Aldi mit Kreditkarte bezahle. Die Pudelmütze vom Weihnachtsmarkt werde ich bar bezahlen.
Ergebnis: meine monatliche Abrechnung ist ca. 5 Einträge lang und ich kann sie bequem prüfen während ich mit dem anderen Auge Star Trek gucke. Falls ich im Ausland bin ist die Abrechnung natürlich etwas länger, aber da sammel ich halt meine Belege.
Disclaimer: mit dieser Strategie hatte ich auch noch nie irgendwelche seltsamen Transaktionen, die ich nicht selbst veranlasst hatte. Kann sein dass ich mehr als 10 Jahre Glück hatte. Ich habe von einigen Bekannten gehört, die ständig Kreditkarte für alles einsetzen, dass die Rückabwicklung recht problemlos funktioniert - das sind allerdings amerikanische Bekannte/Karten, ich kenne keine Europäer die Äpfel mit Kreditkarte bezahlen würden (höchstens Äpfel mit Alugehäuse).
FAQ:
Brauchst Du eine Kreditkarte? Wenn Du nur in Deutschland oder der EU einkaufst dann nicht. Die meisten großen Händler in Deutschland sind vertrauenswürdig genug für EC/Lastschrift, die meisten kleineren bieten Dir an zu überweisen oder über Proxies wie Paypal oder Amazon Pay zu gehen (falls Du dort sowieso einen Account hast, bei Paypal geht auch spontan ohne Account). Wenn Du außerhalb der EU online oder offline unterwegs bist, dann kann es sein dass Du ohne Kreditkarte nicht weiter kommst.
Wenn Du eine Kreditkarte hast - brauchst Du dann ein Token/Code/App? Ja, Deine Bank wird Dich dazu zwingen. Warum weiß nur ein Beamter in Brüssel, der die Regulierung geschrieben hat.
Ist es so schlimm wie es klingt? Nein. Ich hatte auch mit schlimmerem gerechnet, aber man braucht es erstaunlich selten und es ist erstaunlich sicher designt wenn man es mal braucht.
Aber Kreditkarte ist doch die schlechteste Bezahlmethod von allen!? Nein, es gibt reichlich dümmere Ideen. Aber natürlich auch ein paar bessere.
Ich will nur Bargeld!? Ich bewundere Deine Unterstützung für lokale Ladengeschäfte, Deine Bereitwilligkeit höhere Preise zu bezahlen und auf bestimmte Produkte komplett zu verzichten. ;-)
Welche Bezahlmethoden Du benutzt musst Du selbst entscheiden. Im Wesentlichen ist es davon abhängig welche Kompromisse Du bereit bist einzugehen und welche Einkaufsmöglichkeiten Du benutzen willst. Keine Methode ist perfekt, kein Händler ist unersetzlich, kein Preis ist universell gültig, keine Transaktion ist komplett ohne Risiko. Es ist immer eine Balance zwischen Komfort, Sicherheit und Kosten - Du musst entscheiden wo Dein Kompromiss liegt.
Konrad
Vielen Dank an Thomas und vor allem Konrad für ihre freundliche und lehrreiche Auskunft!
Jakob
Am 20.05.22 um 22:56 schrieb Konrad Rosenbaum:
Hi,
On 20/05/2022 09:39, Thomas Schmidt wrote:
Konrad sprach die Bestätigung durch den Kunden bereits an als "Haken". Der Haken der App ist allerdings recht groß, nämlich eine Haftungsumkehr. Nicht nur der Händler lässt sich um Vorfeld die Zahlung von dir bestätigen, sondern auch die Bank.
Soweit korrekt.
Genau genommen: der Händler leitet Dich auf die Webseite der Kreditkartenfirma weiter und die tut was auch immer vereinbart ist um die Bestätigung einzuholen (kann eine Passwort- oder Code-abfrage sein oder die Seite zeigt solange Sanduhren an bis Deine Handy-App ein Ja oder Nein bekommen hat). Danach hat die Kreditkartenfirma das okay und sagt dem Händler dass das Geld jetzt sicher ist. Deine Bank (von der Du die Karte erhalten hast) hat mit der Kreditkartenfirma einen Vertrag der besagt, dass bestätigte Transaktionen nicht rückabgewickelt werden können (es sei denn es gibt ein Gerichtsurteil gegen Bank oder Händler).
(Vorsicht: IANAL, ich nix Rechtsverdreher, ich nix legal Ahnung. Ich hatte nur ein bisschen Grundlagen des Vertragsrechts im Informatik-Studium.)
Das heißt, jeder Betrüger, der die App simuliert, bekommt das Geld, und du zahlst.
Zwei Denkfehler:
a) die App muss die Anforderungen von PCIDSS erfüllen und kann damit nicht mal eben "simuliert" werden - man braucht schon einiges an Schlüsselmaterial und Energie um die Verbindung zur App zu fälschen, am einfachsten wäre Dein Handy zu klauen, aber man muss dann auch den Pin-Code wissen und schneller agieren als Du die Karte sperren kannst; alternativ muss man in Dein Handy hacken und die verschlüsselten Kreditkartendaten abgreifen, knacken und misbrauchen - wir sind nicht bei StarTrek wo Mr. Data das in ein paar Sekunden macht
b) Der Betrüger braucht die App nicht um das Geld zu bekommen und den meisten Betrügern geht es auch nicht darum Dir zu schaden, sondern darum selbst reich zu werden. Der einfachste Weg ist es den Transfer irgendwo durchzuführen wo die App gar nicht involviert wird. Zum Beispiel auf dem Idumota Market in Lagos oder so.
Meistens läuft ein Betrug so:
- Betrüger A erbeutet eine ganze Datenbank voll Kreditkartennummern,
nebst 3-stelliger "Security Codes" von irgendeinem großen online-Händler, der die Sicherheitslücke des Jahres verschlafen hat und demnächst Ärger mit der Finanzaufsicht seines Landes bekommt
Betrüger A verkauft diese Datenbank in tausender-Tranchen im Darknet
Betrüger B kauft eine handvoll Tranchen für relativ wenig Geld
Betrüger B gibt jeweils eine Handvoll Nummern oder "Karten-Clone" an
eine Schar von "Mules", die damit Luxusgüter online oder offline kaufen sollen
- Die Luxusgüter werden an weitere "Mules" weitergegeben, die sie dann
auf eBay oder dem lokalen Bazar verscherbeln (mit Verlust, aber der Verlust wird ja von jemand anderes bezahlt)
- Vom Erlös bekommen die Mules einen Teil ab und der Großteil wird (per
Post oder Western Union) an den Betrüger B geschickt
- Betrüger B kauft sich einen Porsche und ein paar von den Mules werden
erwischt und gehen in den Knast, Betrüger A kauft sich einen besseren Laptop und hackt weiter
- falls bei 4 die App aufgepopt ist und Du den Haken setzt bist Du
selber schuld, wenn sie nicht aufpopt und Du auch nicht der Abrechnung widersprichst auch selber schuld, ansonsten trägt der Händler oder seine Bank die Kosten
8b) eigentlich tragen wir alle die Kosten, weil wir ja Gebühren und/oder Zinsen für Kreditkarten bezahlen - das ist schon eingerechnet
8c) wenn das ein paar mal mit vielen Karten passiert wird bei der Polizei eine Akte angelegt und man versucht herauszufinden was das Muster ist, manchmal hat man Glück und kann ein paar Mules verhaften oder herausfinden welcher Server-Einbruch dazu geführt hat und kann die Karten sperren, B ärgert sich nur ein bisschen weil er neue Tranchen kaufen muss
8d) wenn es ein paar Mal mit Deiner Karte passiert wird Dir Deine Bank ganz schnell eine neue Kartennummer geben wenn Du nicht schon selber auf diese Idee gekommen bist
Ein richtig dummer B ist sein eigener Mule und wird ein paar Monate später erwischt. Manchmal sind A und B Teil der selben professionellen Bande und sie haben genug Cops gekauft um das jahrelang ungestraft zu machen.
Den "klassischen" Betrug gibt es nur noch selten wo ein Händler nach Deiner Transaktion mit Deinen Kartendaten nochmal irgendwo einkauft. Selten, weil man es leicht entdecken kann und diese Händler dann recht schnell in den Knast wandern. Diese Art von Betrüger müsste dann auch Dein Handy oder Token klauen, damit Du auf den Kosten sitzen bleibst. Lohnt sich nicht.
Kreditkartenfirmen steckten viel Aufwand in die Verfolgung von Betrugsfällen, den sie mit der App nun an dich abgeben.
Korrekt, das war die Idee hinter der App oder dem Token oder whatever. Aber eigentlich soll die App das Problem abfangen bevor es zum Betrug kommt. Es machen dummerweise nur nicht genug Händler und Banken mit.
Bisher habe ich die App durchschnittlich 1 bis 2 Mal im Jahr gebraucht. Wahrscheinlich müsste ich mehr Briefmarken bestellen, damit ich mir endlich mal die Pin merke...
Als meine Bank mir das aufgezwungen hatte, hatte ich das Schlimmste befürchtet, aber was ich bisher gesehen habe war ein erstaunlich robustes Design. Leider ist das Marketingmaterial für nicht-Informatiker geschrieben die man mit Worten wie "X.509" oder "Enrollment" nur verschrecken würde.
Viel Spaß als Privatmensch in Nigeria deine Rechte durchzusetzen.
Brauchst Du nicht. Du hast keinen Vertrag mit irgendwem in Nigeria. Du hast einen Vertrag mit Deiner Bank und der Kreditkartenfirma. Das sind diejenigen mit denen Du Dich im Zweifelsfall vor Gericht triffst. Es muss schon richtig viel schiefgehen damit die App Deine Bank vor der Haftung rettet ohne dass Du selber Mist gebaut hast - und selbst dann greifen noch Limits und andere Mechanismen (siehe unten) bevor es zur Katastrophe kommt.
Ich habe mich entschieden keiner Kreditkartenfirma Vollzugriff auf mein Geld zu geben und daher keine App.
Das ist natürlich Deine freie Entscheidung.
Nur aus Spass, schauen wir mal was am "Vollzugriff" dran ist:
Also die Firma hinter meiner Kreditkarte hat sehr begrenzten Zugriff auf mein Konto: sie dürfen jeden Monat automatisch meine Kreditkartenschulden per Lastschrift abbuchen. Ich könnte auch selber überweisen, aber dann kostet es potentiell Zinsen wenn ich zu langsam bin. Meine Bank begrenzt das auf einen (monatlichen) Betrag den ich mit der Bank abgesprochen habe (die Bank agiert als Agent für die Kreditkartenfirma) und den ich jederzeit anpassen kann. Wenn meine Karte höher belastet wird schlägt die Kreditkartenfirma automatisch Alarm und Heerscharen von Bänkern rufen mich erstmal an um zu erfahren ob meine Karte geklaut wurde (ist noch nicht passiert, aber so habe ich meinen Berater verstanden). Ich habe die Karte auf einem Limit stehen mit dem ich bequem einkaufen kann, aber das nicht so hoch ist dass ich gleich pleite bin.
Die Kreditkartenfirma hat keinen Zugriff auf mein Sparbuch, meine Anlagen, etc. Es gibt also genug Geld neben dem Girokonto von dem ich weiter existieren kann, selbst wenn es zur finanziellen Kreditkartenapokalypse kommen sollte. Kreditkartenfirma ist nicht gleich Bank, die können nicht einfach zugreifen.
Die Firma hat auch ein Interesse daran keine Transaktionen zuzulassen die nicht von mir stammen und dazu hat sie recht gute Vorhersagemodelle. Sollte mal etwas passieren was vollkommen ausserhalb meiner Gewohnheiten liegt (z.B. Einkauf eines Luxusparfüms in Lagos), dann werden sie (laut meinem Berater) anrufen. Bisher scheine ich recht gut vorhersagbar zu sein (ich habe meine Bank aber auch immer wissen lassen wenn ich in ungewöhnlich weit entfernte Gegenden fahre).
Bei Datendiebstahl im Internet kann ich innerhalb der Fristen (ein paar Wochen) den Abbuchungen widersprechen. Die Bank erinnert mich recht penetrant daran meine Abrechnung runterzuladen. In dem Fall würde ich dann auch die Karte sperren. Ab Sperre kann wirklich nix mehr passieren.
Sollte meine App mal unvermittelt aufpoppen ohne dass ich gerade auf die Kaufbestätigung von einem Händler warte, dann werde ich natürlich nicht meine Pin eingeben, sondern die Bank anrufen und fragen was los ist.
Wenn meine Karten weg sind oder mein Handy geklaut wird werde ich mir das nächste Telefon suchen und bei der Hotline anrufen um eine ganze Reihe von Sachen zu sperren - nicht nur die Kreditkarte.
Das Risiko dass die App geknackt wird ist relativ gering und Betrüger würden eher auf eine der anderen tausend geklauten Kartennummern ausweichen und hoffen dass keine App gebraucht wird. Selbst wenn das passieren sollte ist mein Schaden auf das monatliche Limit begrenzt (die App kann wirklich nur fragen "X will Y Euros, ja/nein?", sie kann keine anderen Zugriffe machen). Da ich dann garantiert nicht der Einzige bin kann ich gemeinsam mit der Verbraucherzentrale und vielen anderen vor Gericht ziehen und feststellen lassen dass die App wertlos ist (kein großer Trost, aber man hat es der Bank mal gezeigt...).
Sollte ich im Dschungel gekidnappt werden und die Kidnapper erpressen meine Kreditkartendaten, dann hatte ich schon viel größere Probleme als ich Trottel in den Dschungel wollte... ;-)
Vergleichen wir das mal mit anderen Methoden oder Plattformen:
EC-Karte: eine Transaktion, die passiert ist kann nicht mehr rückgängig gemacht werden. Egal ob per App bestätigt oder nicht. Eine geklaute EC-Karte ist unsicher bis sie gesperrt ist. Wenn Du einen Überziehungskredit hast (den hast Du wenn Du nicht explizit widersprichst) dann hast Du bei Diebstahl recht schnell Probleme, die über Deinen Kontostand hinausgehen.
Lastschrift: Rückabwicklung ist innerhalb von Europa möglich, macht Aufwand und kostet Geld. Ausserhalb ist es meistens schwer bis unmöglich das überhaupt zu machen, Rückabwicklung kannst Du vergessen. Da Du dem Händler Zugriff auf Dein Konto gibst solltest Du genau überlegen wem Du das gibst.
"Sofortüberweisung": Du gibst einer Dienstleistungsfirma, die weniger gut reguliert ist als Deine Bank, die Vollmacht Dich bei Deiner Bank zu vertreten. Hmm, was ist an diesem Bild falsch?
Paypal: schlecht regulierter Finanzdienstleister mit Lastschrifterlaubnis. Kann funktionieren, tut es meistens auch, kann aber auch schiefgehen. Rückabwicklung liegt im Ermessen von Paypal. Rückabwicklung der Lastschrift kannst Du als Backup verwenden, aber dann brauchst einen guten Anwalt.
Überweisung: macht Aufwand, aber ist relativ sicher. Solange Du Dich nicht vertippst. Wenn Du Dich vertippst, dann ist das Geld weg. Ohne Rückabwicklung. Auch wenn Du erst überweist und der Händler dann nix schickt ist das Geld weg.
Barzahlung: funktioniert nur in physischen Geschäften. Das Risiko wird minimiert indem man nicht gleich tausende Euros rumschleppt. Rückabwicklung ist ein lächerlicher Gedanke. Weg ist weg.
eBay & Amazon & Amazon Pay: siehe Paypal.
Alibaba Pay: wie Paypal, aber China hat die Aufsicht
Bleibt bei Kreditkarte natürlich noch der Aufwand die Abrechnung zu prüfen. Das kann man minimieren indem man die Karte nur dort einsetzt wo es wirklich nötig ist. Mit dieser Strategie fahre ich jetzt seit mehr als 10 Jahren recht gut. Ich will Dir nichts einreden, aber das Risiko ist nicht so hoch wie man am Anfang glaubt.
"nötig": Einkäufe im nicht-EU Ausland (z.B. USA ohne Kreditkarte bereisen ist blödsinnig; online in USA oder den meisten anderen Ländern bestellen geht auch nur mit Kreditkarte); Plattformen und Händler wo ich der Meinung bin dass ich die Widerspruchsmöglichkeit brauche, weil ich der Plattform nicht über den Weg traue und definitiv meine Kontodaten nicht rausrücken will (z.B. Alibaba) - Kreditkarte sperren ist auch weniger schmerzhaft als eine neue Kontonummer und sie hat ein Limit was noch enger ist als das vom Konto an dem sie hängt
Du wirst mich nicht dabei erwischen wie ich eine Tüte Äpfel im Aldi mit Kreditkarte bezahle. Die Pudelmütze vom Weihnachtsmarkt werde ich bar bezahlen.
Ergebnis: meine monatliche Abrechnung ist ca. 5 Einträge lang und ich kann sie bequem prüfen während ich mit dem anderen Auge Star Trek gucke. Falls ich im Ausland bin ist die Abrechnung natürlich etwas länger, aber da sammel ich halt meine Belege.
Disclaimer: mit dieser Strategie hatte ich auch noch nie irgendwelche seltsamen Transaktionen, die ich nicht selbst veranlasst hatte. Kann sein dass ich mehr als 10 Jahre Glück hatte. Ich habe von einigen Bekannten gehört, die ständig Kreditkarte für alles einsetzen, dass die Rückabwicklung recht problemlos funktioniert - das sind allerdings amerikanische Bekannte/Karten, ich kenne keine Europäer die Äpfel mit Kreditkarte bezahlen würden (höchstens Äpfel mit Alugehäuse).
FAQ:
Brauchst Du eine Kreditkarte? Wenn Du nur in Deutschland oder der EU einkaufst dann nicht. Die meisten großen Händler in Deutschland sind vertrauenswürdig genug für EC/Lastschrift, die meisten kleineren bieten Dir an zu überweisen oder über Proxies wie Paypal oder Amazon Pay zu gehen (falls Du dort sowieso einen Account hast, bei Paypal geht auch spontan ohne Account). Wenn Du außerhalb der EU online oder offline unterwegs bist, dann kann es sein dass Du ohne Kreditkarte nicht weiter kommst.
Wenn Du eine Kreditkarte hast - brauchst Du dann ein Token/Code/App? Ja, Deine Bank wird Dich dazu zwingen. Warum weiß nur ein Beamter in Brüssel, der die Regulierung geschrieben hat.
Ist es so schlimm wie es klingt? Nein. Ich hatte auch mit schlimmerem gerechnet, aber man braucht es erstaunlich selten und es ist erstaunlich sicher designt wenn man es mal braucht.
Aber Kreditkarte ist doch die schlechteste Bezahlmethod von allen!? Nein, es gibt reichlich dümmere Ideen. Aber natürlich auch ein paar bessere.
Ich will nur Bargeld!? Ich bewundere Deine Unterstützung für lokale Ladengeschäfte, Deine Bereitwilligkeit höhere Preise zu bezahlen und auf bestimmte Produkte komplett zu verzichten. ;-)
Welche Bezahlmethoden Du benutzt musst Du selbst entscheiden. Im Wesentlichen ist es davon abhängig welche Kompromisse Du bereit bist einzugehen und welche Einkaufsmöglichkeiten Du benutzen willst. Keine Methode ist perfekt, kein Händler ist unersetzlich, kein Preis ist universell gültig, keine Transaktion ist komplett ohne Risiko. Es ist immer eine Balance zwischen Komfort, Sicherheit und Kosten - Du musst entscheiden wo Dein Kompromiss liegt.
Konrad
lug-dd@mailman.schlittermann.de
-
Jakob Mendel -
jm.2009＠web.de
-
Konrad Rosenbaum -
Thomas Schmidt