Sicherheitsaspeke bei Kreditkarten und Banking

ANZEIGE

Hermann

Erfahrenes Mitglied
13.08.2015
404
514
ANZEIGE
Na dann schönen Dank dafür.
Ich glaube, du bist hier völlig unnötig beleidigt.
Du hast geschrieben, das sei "ganz einfach", und ich habe dir abseits der technischen Aspekte darlegen wollen, dass es für einen potentiellen NFC-Betrüger eben nicht so einfach ist. Der muss irgendwo registriert sein, kann seine Beute nicht irgendwo anonym erhalten. Klar kann er die Wege und Identitäten irgendwie verschleiern usw, aber es ist eben nicht "ganz einfach".
 
Zuletzt bearbeitet:

Grieszkram

Aktives Mitglied
15.07.2020
122
117
Wenn ich von solchen Betrügereien höre, frage ich mich immer: Wie schwer ist es für die Ermittlungsbehörden heraus zu finden, wohin das Geld gegangen ist?
Wenn mir Jemand einen Geldschein aus der Tasche zieht, dann ist der weg.
Aber der Betrag, der von meinem Konto verschwunden ist, ist ja nicht bei einem anonymen Betrüger gelandet, sondern auf irgendeinem Konto, das irgendeinem gehört.
Mir ist bewusst, dass nicht immer der eigentliche Empfänger ausfindig gemacht werden kann, aber der Aufwand für einen "Betrüger per NFC" ist deutlich höher, als für den klassischen Taschendieb, und Ermittlungsbehörden haben im Gegensatz zum Taschendiebstahl zumindest einen ersten Hinweis, wohin das Geld gegangen ist.

bevor Ermittlungsbehörden erst mal anfangen zu arbeiten, sind Betrüger und deren Accounts über alle Berge.

Ein KK-Betrugsfall aus dem Umfeld:
Prüfung Sachverhalt bei Händler, 10 Tage,
zwischendurch sicherheitshalber Anzeige erstattet,
nach 4 Wochen meldet sich eine Person der POL,
ob die KK-Nr. stimme, sei zu kurz....(AX und DC haben weniger Stellen als VISA/MC). Da war schon klar, das wird nix.
Die POL macht dann erst eine Anfrage an den Händler, wer, was, wann.

6 Monate später Brief Staatsanwaltschaft: Täter nicht ermittelbar.

Nun gut, Schaden war sehr gering, dennoch, bei anderweitigen Hacks weiß man nach bereits 2h, der Russe wars....
 

eham

Erfahrenes Mitglied
22.03.2023
1.926
2.181
NRW
Anfang des Jahres einer Bekannten passiert: die DKB Kreditkarte hat kontaktlos in einem gängigen Geschäft in Süfafrika (Pick'n'Pay Cloth) nicht funktioniert, also hat sie die Karte in das Terminal gesteckt und mit PIN gezahlt.
Monate später(!) meldet sich die DKB mit einer Kartensperre: auf der Kreditkarte ist eine Online-Zahlung aus Südafrika(!) versucht worden und direkt von der Fraud Detection abgewiesen worden. Also Karte gesperrt und neue bekommen.

Ich hab das versucht anhand der Auszüge nachzuvollziehen: die Kreditkarte ist tatsächlich nur dort zum Einsatz gekommen, also vermute ich ein manipuliertes Terminal mit deaktivierten NFC und einem kleinen Skimming-Einsatz im Terminal.

Kannst nix machen ausser extensiv das Card Control zu nutzen und auf eins gute Betrugserkennung der Bank zu hoffen.
 
  • Like
Reaktionen: knauserix und Hermann

geos

Erfahrenes Mitglied
23.02.2013
15.761
9.728
Der Endkunde kann einfach der Rechnung widersprechen und mitteilen, dass er diese Zahlungen nicht autorisiert hat. Das ist an sich nichts neues; sowas gab's schon vor 25 Jahren.
Mir wurde auch vor knapp 10 Jahren eine KK in den USA mutmaßlich kopiert (vermutlich der Magnetstreifen), und einen Monat später bezahlte jemand damit in Florida an der Tanke, in Burgerläden, Supermärkten usw. Die Bank konnte sehen, dass die Zahlungen angeblich alle an Terminal mit Magnetstreifen abgewickelt wurden. Sie haben die Beträge mir wieder gutgeschrieben.
 
Zuletzt bearbeitet:

eham

Erfahrenes Mitglied
22.03.2023
1.926
2.181
NRW
Leider spart der folgende Artikel sehr mit Informationen:

Ich glaub das war der maestro-Betrug vor einigen Jahren, da gab es wohl eine Lücken bei einem Zahlungsdienstleister. Erster Treffer:
Oder
 
Zuletzt bearbeitet:
  • Like
Reaktionen: dieterich und geos

dieterich

Neues Mitglied
15.08.2026
2
3
Die Transaktionen wurden mit echten und gefälschten POS-Terminals aus Brasilien ausgelöst, über die in enorm hoher Zahl und mit geratenen Kreditkartendaten – höchstwahrscheinlich automatisiert und über einen kurzen Zeitraum – die Bank bombardiert wurde (Kartentyp und BIN/IIN blieben gleich, Prüfziffer wurde errechnet, die CVC wird am POS nicht gebraucht).

 
  • Like
Reaktionen: knauserix und geos

penamba

Erfahrenes Mitglied
26.11.2015
1.012
245
Die Transaktionen wurden mit echten und gefälschten POS-Terminals aus Brasilien ausgelöst, über die in enorm hoher Zahl und mit geratenen Kreditkartendaten – höchstwahrscheinlich automatisiert und über einen kurzen Zeitraum – die Bank bombardiert wurde (Kartentyp und BIN/IIN blieben gleich, Prüfziffer wurde errechnet, die CVC wird am POS nicht gebraucht).

Die CVC1 vom Magnetstreifen wird am POS schon gebraucht, ist aber meines Wissens nach auch maximal dreistellig und kann ggf. erraten werden.

Aber generell sollte doch bei einem solchen Betrugsfall ein Chargeback mangels EMV-Chipdaten relativ erfolgsversprechend sein, oder?
 

geos

Erfahrenes Mitglied
23.02.2013
15.761
9.728
Ja, den Kunden wurde m.W. letztlich der Verlust ersetzt. Die Bank bzw. ihr technischer Dienstleister hatte wohl keine ausreichende Absicherung gegen Brute-Force Angriffe.
 
  • Like
Reaktionen: eham

Pfote

Reguläres Mitglied
10.01.2026
74
59
Beim Chip‑TAN‑Verfahren wurde offenbar der Startcode verwendet und nicht der Überweisungscode. Normalerweise müssen zur Erzeugung einer gültigen TAN der Betrag und ein Teil der Kontonummer in das Chip‑TAN‑Gerät eingegeben werden. In diesem Fall hat jedoch bereits der Startcode ausgereicht, um eine gültige TAN zu generieren.
 

knauserix

Erfahrenes Mitglied
25.02.2024
1.686
1.106

Die allererste Frage ist, die ich dazu hätte, ob Hibiskus das über die HBCI-Schnittstelle ausführt, oder auf anderem Weg (z.B. Webscraping).

Und sollte es über HBCI laufen, sollte sich niemand wundern, wenn die DKB es dann bald so mancht wie die ING und die 1822direkt, und die Überweisungs-Funktion via HBCI einfach abschaltet, weil ihnen die Implementierung in ihr System zu aufwändig ist.
 

knauserix

Erfahrenes Mitglied
25.02.2024
1.686
1.106
Da hat der EuGH endlich mal auch wieder etwas Vernünftiges ausgeurteilt:

Banken müssen bei Kontobetrug Geld erstatten

 

dorin

Erfahrenes Mitglied
21.01.2025
395
347
"Betrüger schickten ihm einen Brief zu, der aussah wie von seiner Bank und einen QR-Code enthielt. Wolter scannte den Code - und am Ende hoben Betrüger mehr als 100.000 Euro von seinem Konto ab."


Ja klar QR Code gescannt und plötzlich war das Geld weg. Wer das glaubt?

Wenn das Urteil publik wird, werden die Banken noch häufiger als bisher Zahlungen blockieren. Vielen Dank!
 
  • Like
Reaktionen: ali2

knauserix

Erfahrenes Mitglied
25.02.2024
1.686
1.106
"Betrüger schickten ihm einen Brief zu, der aussah wie von seiner Bank und einen QR-Code enthielt. Wolter scannte den Code - und am Ende hoben Betrüger mehr als 100.000 Euro von seinem Konto ab."


Ja klar QR Code gescannt und plötzlich war das Geld weg. Wer das glaubt?

Das gab es tatsächlich schon, z.B. bei der Commerzbank (und wer weiß wieviel anderen Instituten; die Banken halten das ja gerne -so gut es geht- 'unter dem Deckel' und scheuen bei diesem Thema die Öffentlichkeit).
Beitrag automatisch zusammengeführt:

Wenn das Urteil publik wird, werden die Banken noch häufiger als bisher Zahlungen blockieren. Vielen Dank!

na ja, viel mehr Öffentlichkeit als Tagesschau, SPIEGEL & Co. kann es ja kaum geben.
 

Barquero

Erfahrenes Mitglied
10.04.2020
2.957
1.378
Da hat der EuGH endlich mal auch wieder etwas Vernünftiges ausgeurteilt
Naja...
"Betrüger schickten ihm einen Brief zu, der aussah wie von seiner Bank und einen QR-Code enthielt. Wolter scannte den Code - und am Ende hoben Betrüger mehr als 100.000 Euro von seinem Konto ab."

Ja klar QR Code gescannt und plötzlich war das Geld weg. Wer das glaubt?
Das die Bank haftet, ist bei nicht autorisierten Zahlungen ohnehin klar.
Hier - und da gebe ich @dorin völlig recht, hört sich das ganz anders an.
Wenn das Urteil publik wird, werden die Banken noch häufiger als bisher Zahlungen blockieren. Vielen Dank!
Völlig zu recht. Das würde ich auch nicht anders machen.
 

knauserix

Erfahrenes Mitglied
25.02.2024
1.686
1.106
Betrüger schickten ihm einen Brief zu, der aussah wie von seiner Bank und einen QR-Code enthielt. Wolter scannte den Code

Man kann sich natürlich fragen, woher die Betrüger die Kundendaten samt Adresse haben.

Allerdings:
Spy-Software kann da sicher in so manchen Fällen der Grund sein.
Banken haben aber auch Mitarbeiter, Azubis, externe Kräfte (z.B. bei der Reinigung), und darüber können zuweilen erstaunlich viele Daten in die Hände von Unbefugten gelangen ...
 

Barquero

Erfahrenes Mitglied
10.04.2020
2.957
1.378
na ja, warum wird man mittlerweile bei manchen Banken zu ca. 2-5 Extra-Klicks beim Aufgeben einer Überweisung gezwungen ?
Es ist genau diese Angst der Banken ...
Klar. Und wie gesagt - nachvollziehbar.
Würdest du einen Autohersteller für Fahrfehler verantwortlich machen, würde sich die Kiste nachts um drei (=höheres Risiko) wahrscheinlich auch nicht auf Anhieb starten lassen...
 
  • Like
Reaktionen: ali2 und knauserix

knauserix

Erfahrenes Mitglied
25.02.2024
1.686
1.106
Klar. Und wie gesagt - nachvollziehbar.
Würdest du einen Autohersteller für Fahrfehler verantwortlich machen, würde sich die Kiste nachts um drei (=höheres Risiko) wahrscheinlich auch nicht auf Anhieb starten lassen...

Natürlich führen -für den Kunden großzügige- Haftungsregelungen möglicherweise dazu, dass dies vermehrt ausgenutzt wird.

Auf der anderen Seite sind die Sicherheitsvorkehrungen beim Online-Banking vielleicht doch noch ausbaufähig, vor allem dann, wenn es um Verfügungen über größere Beträge oder ins Ausland geht.
Da wird sich in Zukunft wohl jeder darauf einstellen müssen, dass das schnelle Hin- und Herüberweisen von hunderttausenden Euro komplizierter werden wird.
 

Barquero

Erfahrenes Mitglied
10.04.2020
2.957
1.378
Natürlich führen -für den Kunden großzügige- Haftungsregelungen möglicherweise dazu, dass dies vermehrt ausgenutzt wird.
Aber darum geht's doch gar nicht.
Ich finde es aber schlimm, dass den Menschen Eigenverantwortung regelrecht ab erzogen wird. Egal was passiert, es wird hier immer erst geguckt, wen anders kann man verantwortlich machen. Und an meiner Arbeitslosigkeit ist das Jobcenter schuld, weil die mich nicht vermitteln... so ungefähr.
Auf der anderen Seite sind die Sicherheitsvorkehrungen beim Online-Banking vielleicht doch noch ausbaufähig, vor allem dann, wenn es um Verfügungen über größere Beträge oder ins Ausland geht.
Da wird sich in Zukunft wohl jeder darauf einstellen müssen, dass das schnelle Hin- und Herüberweisen von hunderttausenden Euro komplizierter werden wird.
Du siehst doch, das Verständnis hier im Forum für solche Maßnahmen geht gegen null.
Da wird dann gleich von Wettbewerbsbehinderung der Filialbanken gegenüber den Neobanken und ähnlichem Schwachsinn fabuliert.
Vor kurzem schon den Blog eines Anwalts gelesen, wie man am besten die Bank angeht wenn man trotz "Empfänger stimmt nicht überein" dennoch die Zahlung autorisiert hat...
Solche Dinge meine ich.
"Schuld? Ich selbst? Aber nicht doch?"
 

wizzard

Erfahrenes Mitglied
09.03.2009
10.286
4.849
ANZEIGE
Zunächst einmal muss man wissen, dass es im Falle des EuGH-Urteils C-70/25 um 3.000 PLN = ca. 700 EUR ging und nicht wie suggeriert um 100.000 EUR. Und zur Haftungsfrage sagt das Urteil gar nichts. Daran hat sich nichts geändert.