ANZEIGE

Sicherheitsaspeke bei Kreditkarten und Banking

ANZEIGE
ali2 meinte:
Na dann schönen Dank dafür.
Zum Vergrößern anklicken....
Ich glaube, du bist hier völlig unnötig beleidigt.
Du hast geschrieben, das sei "ganz einfach", und ich habe dir abseits der technischen Aspekte darlegen wollen, dass es für einen potentiellen NFC-Betrüger eben nicht so einfach ist. Der muss irgendwo registriert sein, kann seine Beute nicht irgendwo anonym erhalten. Klar kann er die Wege und Identitäten irgendwie verschleiern usw, aber es ist eben nicht "ganz einfach".
 
Zuletzt bearbeitet:
Hermann meinte:
Wenn ich von solchen Betrügereien höre, frage ich mich immer: Wie schwer ist es für die Ermittlungsbehörden heraus zu finden, wohin das Geld gegangen ist?
Wenn mir Jemand einen Geldschein aus der Tasche zieht, dann ist der weg.
Aber der Betrag, der von meinem Konto verschwunden ist, ist ja nicht bei einem anonymen Betrüger gelandet, sondern auf irgendeinem Konto, das irgendeinem gehört.
Mir ist bewusst, dass nicht immer der eigentliche Empfänger ausfindig gemacht werden kann, aber der Aufwand für einen "Betrüger per NFC" ist deutlich höher, als für den klassischen Taschendieb, und Ermittlungsbehörden haben im Gegensatz zum Taschendiebstahl zumindest einen ersten Hinweis, wohin das Geld gegangen ist.
Zum Vergrößern anklicken....

bevor Ermittlungsbehörden erst mal anfangen zu arbeiten, sind Betrüger und deren Accounts über alle Berge.

Ein KK-Betrugsfall aus dem Umfeld:
Prüfung Sachverhalt bei Händler, 10 Tage,
zwischendurch sicherheitshalber Anzeige erstattet,
nach 4 Wochen meldet sich eine Person der POL,
ob die KK-Nr. stimme, sei zu kurz....(AX und DC haben weniger Stellen als VISA/MC). Da war schon klar, das wird nix.
Die POL macht dann erst eine Anfrage an den Händler, wer, was, wann.

6 Monate später Brief Staatsanwaltschaft: Täter nicht ermittelbar.

Nun gut, Schaden war sehr gering, dennoch, bei anderweitigen Hacks weiß man nach bereits 2h, der Russe wars....
 
Anfang des Jahres einer Bekannten passiert: die DKB Kreditkarte hat kontaktlos in einem gängigen Geschäft in Süfafrika (Pick'n'Pay Cloth) nicht funktioniert, also hat sie die Karte in das Terminal gesteckt und mit PIN gezahlt.
Monate später(!) meldet sich die DKB mit einer Kartensperre: auf der Kreditkarte ist eine Online-Zahlung aus Südafrika(!) versucht worden und direkt von der Fraud Detection abgewiesen worden. Also Karte gesperrt und neue bekommen.

Ich hab das versucht anhand der Auszüge nachzuvollziehen: die Kreditkarte ist tatsächlich nur dort zum Einsatz gekommen, also vermute ich ein manipuliertes Terminal mit deaktivierten NFC und einem kleinen Skimming-Einsatz im Terminal.

Kannst nix machen ausser extensiv das Card Control zu nutzen und auf eins gute Betrugserkennung der Bank zu hoffen.
 
Der Endkunde kann einfach der Rechnung widersprechen und mitteilen, dass er diese Zahlungen nicht autorisiert hat. Das ist an sich nichts neues; sowas gab's schon vor 25 Jahren.
Mir wurde auch vor knapp 10 Jahren eine KK in den USA mutmaßlich kopiert (vermutlich der Magnetstreifen), und einen Monat später bezahlte jemand damit in Florida an der Tanke, in Burgerläden, Supermärkten usw. Die Bank konnte sehen, dass die Zahlungen angeblich alle an Terminal mit Magnetstreifen abgewickelt wurden. Sie haben die Beträge mir wieder gutgeschrieben.
 
Zuletzt bearbeitet:
geos meinte:
Leider spart der folgende Artikel sehr mit Informationen:

www.heise.de

Lücke in Online-Banking: BKA deckt Millionenschäden auf

Eine Gruppe Krimineller soll Bankkunden um Millionen betrogen haben. Ermittler aus Deutschland und Brasilien nahmen nach Durchsuchungen Verdächtige fest.
www.heise.de www.heise.de
Zum Vergrößern anklicken....
Ich glaub das war der maestro-Betrug vor einigen Jahren, da gab es wohl eine Lücken bei einem Zahlungsdienstleister. Erster Treffer:
Oder
www.it-finanzmagazin.de

Bankraub via Karte: Kriminelle stehlen Geld von Commerzbank-Konten

Einen Bankraub der modernen Art gab es offenbar bei Commerzbank-Kunden. Dabei soll ein zweistelliger Millionenbetrag gestohlen worden sein.
www.it-finanzmagazin.de www.it-finanzmagazin.de
 
Zuletzt bearbeitet:
Die Transaktionen wurden mit echten und gefälschten POS-Terminals aus Brasilien ausgelöst, über die in enorm hoher Zahl und mit geratenen Kreditkartendaten – höchstwahrscheinlich automatisiert und über einen kurzen Zeitraum – die Bank bombardiert wurde (Kartentyp und BIN/IIN blieben gleich, Prüfziffer wurde errechnet, die CVC wird am POS nicht gebraucht).

www.it-finanzmagazin.de

OLB Bankraub: Kein Hack, sondern eine Brute-Force auf DMC-Kreditkartennummern per Fake-POS-Terminals

OLB-Raub: Angreifer (Brasilien) ließen über gefälschte POS-Terminals eine Brute-Force-Attacke gegen DMC-Kreditkartennummern laufen.
www.it-finanzmagazin.de www.it-finanzmagazin.de
 
dieterich meinte:
Die Transaktionen wurden mit echten und gefälschten POS-Terminals aus Brasilien ausgelöst, über die in enorm hoher Zahl und mit geratenen Kreditkartendaten – höchstwahrscheinlich automatisiert und über einen kurzen Zeitraum – die Bank bombardiert wurde (Kartentyp und BIN/IIN blieben gleich, Prüfziffer wurde errechnet, die CVC wird am POS nicht gebraucht).

www.it-finanzmagazin.de

OLB Bankraub: Kein Hack, sondern eine Brute-Force auf DMC-Kreditkartennummern per Fake-POS-Terminals

OLB-Raub: Angreifer (Brasilien) ließen über gefälschte POS-Terminals eine Brute-Force-Attacke gegen DMC-Kreditkartennummern laufen.
www.it-finanzmagazin.de www.it-finanzmagazin.de
Zum Vergrößern anklicken....
Die CVC1 vom Magnetstreifen wird am POS schon gebraucht, ist aber meines Wissens nach auch maximal dreistellig und kann ggf. erraten werden.

Aber generell sollte doch bei einem solchen Betrugsfall ein Chargeback mangels EMV-Chipdaten relativ erfolgsversprechend sein, oder?
 
Ja, den Kunden wurde m.W. letztlich der Verlust ersetzt. Die Bank bzw. ihr technischer Dienstleister hatte wohl keine ausreichende Absicherung gegen Brute-Force Angriffe.
 
Beim Chip‑TAN‑Verfahren wurde offenbar der Startcode verwendet und nicht der Überweisungscode. Normalerweise müssen zur Erzeugung einer gültigen TAN der Betrag und ein Teil der Kontonummer in das Chip‑TAN‑Gerät eingegeben werden. In diesem Fall hat jedoch bereits der Startcode ausgereicht, um eine gültige TAN zu generieren.
 
vlugangst meinte:
Interessanter Unsicherheitsaspekt im Zusammenhang mit ChipTAN bei der DKB.
Zum Vergrößern anklicken....

Die allererste Frage ist, die ich dazu hätte, ob Hibiskus das über die HBCI-Schnittstelle ausführt, oder auf anderem Weg (z.B. Webscraping).

Und sollte es über HBCI laufen, sollte sich niemand wundern, wenn die DKB es dann bald so mancht wie die ING und die 1822direkt, und die Überweisungs-Funktion via HBCI einfach abschaltet, weil ihnen die Implementierung in ihr System zu aufwändig ist.
 
"Betrüger schickten ihm einen Brief zu, der aussah wie von seiner Bank und einen QR-Code enthielt. Wolter scannte den Code - und am Ende hoben Betrüger mehr als 100.000 Euro von seinem Konto ab."


Ja klar QR Code gescannt und plötzlich war das Geld weg. Wer das glaubt?

Wenn das Urteil publik wird, werden die Banken noch häufiger als bisher Zahlungen blockieren. Vielen Dank!
 
dorin meinte:
"Betrüger schickten ihm einen Brief zu, der aussah wie von seiner Bank und einen QR-Code enthielt. Wolter scannte den Code - und am Ende hoben Betrüger mehr als 100.000 Euro von seinem Konto ab."


Ja klar QR Code gescannt und plötzlich war das Geld weg. Wer das glaubt?
Zum Vergrößern anklicken....

Das gab es tatsächlich schon, z.B. bei der Commerzbank (und wer weiß wieviel anderen Instituten; die Banken halten das ja gerne -so gut es geht- 'unter dem Deckel' und scheuen bei diesem Thema die Öffentlichkeit).
[automerge]1792148695[/automerge]
dorin meinte:
Wenn das Urteil publik wird, werden die Banken noch häufiger als bisher Zahlungen blockieren. Vielen Dank!
Zum Vergrößern anklicken....

na ja, viel mehr Öffentlichkeit als Tagesschau, SPIEGEL & Co. kann es ja kaum geben.
 
knauserix meinte:
Da hat der EuGH endlich mal auch wieder etwas Vernünftiges ausgeurteilt
Zum Vergrößern anklicken....
Naja...
dorin meinte:
"Betrüger schickten ihm einen Brief zu, der aussah wie von seiner Bank und einen QR-Code enthielt. Wolter scannte den Code - und am Ende hoben Betrüger mehr als 100.000 Euro von seinem Konto ab."

Ja klar QR Code gescannt und plötzlich war das Geld weg. Wer das glaubt?
Zum Vergrößern anklicken....
Das die Bank haftet, ist bei nicht autorisierten Zahlungen ohnehin klar.
Hier - und da gebe ich @dorin völlig recht, hört sich das ganz anders an.
dorin meinte:
Wenn das Urteil publik wird, werden die Banken noch häufiger als bisher Zahlungen blockieren. Vielen Dank!
Zum Vergrößern anklicken....
Völlig zu recht. Das würde ich auch nicht anders machen.
 
dorin meinte:
Betrüger schickten ihm einen Brief zu, der aussah wie von seiner Bank und einen QR-Code enthielt. Wolter scannte den Code
Zum Vergrößern anklicken....

Man kann sich natürlich fragen, woher die Betrüger die Kundendaten samt Adresse haben.

Allerdings:
Spy-Software kann da sicher in so manchen Fällen der Grund sein.
Banken haben aber auch Mitarbeiter, Azubis, externe Kräfte (z.B. bei der Reinigung), und darüber können zuweilen erstaunlich viele Daten in die Hände von Unbefugten gelangen ...
 
knauserix meinte:
na ja, warum wird man mittlerweile bei manchen Banken zu ca. 2-5 Extra-Klicks beim Aufgeben einer Überweisung gezwungen ?
Es ist genau diese Angst der Banken ...
Zum Vergrößern anklicken....
Klar. Und wie gesagt - nachvollziehbar.
Würdest du einen Autohersteller für Fahrfehler verantwortlich machen, würde sich die Kiste nachts um drei (=höheres Risiko) wahrscheinlich auch nicht auf Anhieb starten lassen...
 
Barquero meinte:
Klar. Und wie gesagt - nachvollziehbar.
Würdest du einen Autohersteller für Fahrfehler verantwortlich machen, würde sich die Kiste nachts um drei (=höheres Risiko) wahrscheinlich auch nicht auf Anhieb starten lassen...
Zum Vergrößern anklicken....

Natürlich führen -für den Kunden großzügige- Haftungsregelungen möglicherweise dazu, dass dies vermehrt ausgenutzt wird.

Auf der anderen Seite sind die Sicherheitsvorkehrungen beim Online-Banking vielleicht doch noch ausbaufähig, vor allem dann, wenn es um Verfügungen über größere Beträge oder ins Ausland geht.
Da wird sich in Zukunft wohl jeder darauf einstellen müssen, dass das schnelle Hin- und Herüberweisen von hunderttausenden Euro komplizierter werden wird.
 
knauserix meinte:
Natürlich führen -für den Kunden großzügige- Haftungsregelungen möglicherweise dazu, dass dies vermehrt ausgenutzt wird.
Zum Vergrößern anklicken....
Aber darum geht's doch gar nicht.
Ich finde es aber schlimm, dass den Menschen Eigenverantwortung regelrecht ab erzogen wird. Egal was passiert, es wird hier immer erst geguckt, wen anders kann man verantwortlich machen. Und an meiner Arbeitslosigkeit ist das Jobcenter schuld, weil die mich nicht vermitteln... so ungefähr.
knauserix meinte:
Auf der anderen Seite sind die Sicherheitsvorkehrungen beim Online-Banking vielleicht doch noch ausbaufähig, vor allem dann, wenn es um Verfügungen über größere Beträge oder ins Ausland geht.
Da wird sich in Zukunft wohl jeder darauf einstellen müssen, dass das schnelle Hin- und Herüberweisen von hunderttausenden Euro komplizierter werden wird.
Zum Vergrößern anklicken....
Du siehst doch, das Verständnis hier im Forum für solche Maßnahmen geht gegen null.
Da wird dann gleich von Wettbewerbsbehinderung der Filialbanken gegenüber den Neobanken und ähnlichem Schwachsinn fabuliert.
Vor kurzem schon den Blog eines Anwalts gelesen, wie man am besten die Bank angeht wenn man trotz "Empfänger stimmt nicht überein" dennoch die Zahlung autorisiert hat...
Solche Dinge meine ich.
"Schuld? Ich selbst? Aber nicht doch?"
 
ANZEIGE
Zunächst einmal muss man wissen, dass es im Falle des EuGH-Urteils C-70/25 um 3.000 PLN = ca. 700 EUR ging und nicht wie suggeriert um 100.000 EUR. Und zur Haftungsfrage sagt das Urteil gar nichts. Daran hat sich nichts geändert.
 
Um antworten zu können musst
du eingeloggt sein.
Zurück
Oben