ANZEIGE
...das muss man allerdings wissen!Man könnte sogar denken, das ist gar nicht das Urteil um das es geht, aber ich unterstelle jetzt einfach mal, du hast das sauber recherchiert.
Sicherheitsaspeke bei Kreditkarten und Banking
- Starter*in geos
- Datum Start
ANZEIGE
...das muss man allerdings wissen!Man könnte sogar denken, das ist gar nicht das Urteil um das es geht, aber ich unterstelle jetzt einfach mal, du hast das sauber recherchiert.
Ja, völlig richtig.
Aber es sagt offenbar etwas zur Beweislast bzw. wer sich auf einen Anscheinsbeweis berufen kann oder nicht und wer ggf. diesen widerlegen muss. Und gerade das kann im Zivilprozess entscheidend sein.
Da stimme ich im Grundsatz durchaus zu.
Aber bei der konkreten Frage der aktuellen Sicherheitsvorkehrungen der Banken gegenüber Mißbrauch bin ich nach wie vor der Meinung, dass die derzeit üblichen Sicherheitssysteme deutlich verbesserungsfähig sind, gerade wenn es um die Verifizierung eines Handys als generell akzeptiertes 2FA-Medium geht.
Auch da stimme ich Dir zu.
Aber es ist das Problem von Leuten, die ein bisschen sehr verwöhnt in Sachen Banking zu sein scheinen.
Ich selbst habe auch noch Zeiten erlebt, da musste man froh sein, wenn eine Geldüberweisung quer durch die Republik noch in der gleichen Woche angekommen ist. So etwas will ich auch nicht mehr erleben. Und Echtzeit-Überweisungen sind schon toll. Aber sie bergen halt auch höhere Sicherheitsrisiken als die althergebrachten -z.B. wegen scheller Verschiebemöglichkeiten über Ländergrenzen hinweg- und sind gerade deshalb das bevorzugte Ziel von Kriminellen.
Ja, aber so wie es heutzutage ist, ist das nichts Neues, da hat @wizzard recht.
Beim Online-Banking werden Bequemlichkeit und Sicherheit gleichzeitig wohl immer Gegenpole sein.
Die ING z.B. warnt aktuell übrigens ausdrücklich vor solchen Phishing -Briefen:
Nein, wer die Beweislast trägt, daran hat sich nichts geändert. Das einzig Neue ist: Bisher musstest du das Geld von der Bank zurückfordern. Jetzt muss es die Bank von dir einfordern.
Äh, nö.
Die Bank hat nach wie vor unverzüglich zu erstatten (bei nichtautorisierter Zahlung).
Dass der EuGH hier (auch bei grober Fahrlässigkeit des Kunden) überhaupt eine Möglichkeit für die Bank sieht, das zunächst von der Bank erstattete Geld doch noch vom Kunden zurückzufordern, stärkt wenn man genau hinsieht sogar eher die Bank.
In diesem Fall hat aber die Bank von vornherein die Erstattung verweigert, mit vorhersehbarem Ausgang.
Die Beispiele der Apobank finde ich eine ganz interessante Übersicht, was tatsächlich so passiert:
www.apobank.de
sicherheit
www.apobank.de
das (Bank muss die Klage erheben; nicht mehr der Kunde) führt aber idR dazu, dass sich bei manchen Aspekten die Beweislast verlagert.
Lag denn die Beweislast nicht schon immer bei der Bank? Der Kunde sagt: "Ich habe nichts falsch gemacht" und die Bank muss beweisen, dass diese Behauptung falsch ist?
Wenn es überhaupt eine gab.
Das meinte ich mit "Urteil hat sogar eher noch die Bank gestärkt".
Im nationalen umgesetzten Recht BGB §675u hat der Zahlungsdienstleister unverzüglich den Stand des Kontos wieder herzustellen, so als hätte es die Zahlung nicht gegeben.
Einzige Ausnahme: der Kunde selbst ist der Betrüger.
Dass der Kunde bei grober Fahrlässigkeit haftet (was ich persönlich absolut richtig finde) ergibt sich m.E. daraus nicht.
Nur hatte sich der Fall für mich anfangs eher danach angehört, als hätte der Kunde die Zahlung dich selbst autorisiert, wenn auch aufgrund einer Täuschung.
Aber anscheinend ist es anders passiert.
Auf der einen Seite super Urteil für die grob fahrlässig handelnden Kunden. Auf der anderen Seite sorgt dieses Urteil wohl jetzt dann nach und nach auch dafür, dass die Banken jetzt noch mehr schauen werden, dann Transaktionen die irgendwie nach möglichen Betrug aussehen erstmal blockieren, wie die DKB. Oder mehr Banken blocken erstmal die Überweisungslimitänderung für 4 Stunden wie die ING.Da hat der EuGH endlich mal auch wieder etwas Vernünftiges ausgeurteilt:
Banken müssen bei Kontobetrug Geld erstatten
EuGH-Urteil: Banken müssen bei Kontobetrug Geld erstatten
Maschen, mit denen Betrüger Zugriff auf die Konten ihrer Opfer bekommen, werden immer besser. Der EuGH hat jetzt mit einem Urteil die Rechte betroffener Verbraucher gestärkt. Von Antonetta Stephany.www.tagesschau.de
Also wird vermutlich die Fraud Erkennung schärfer geschaltet. Oder man baut im Hintergrund noch mehr Protokolle ein, damit man im Falle von grob fahrlässigen Handlungen gleich ausreichend Beweise da hat um solche Erstattungs-Forderungen der Kunden direkt ablehnen zu können.
So oder so zahlen indirekt die Kunden so ein großzügiges Urteil mit indem vielleicht noch weniger Zinsen auf dem Tagesgeldkonto gegeben werden, Konditionen verschlechtert werden oder man vielleicht Kunden die große Summen an Betrüger überweisen direkt das Girokonto kündigt.
Das ist jetzt bloße Theorie.
In der Praxis wurde von den Banken nur verlangt darzulegen, dass sie ein allgemein sicheres System verwenden (z.B. dasjenige der Sparkassen -Organisation). Und dagegen musste der Kunde dann bislang darlegen und beweisen, selbst keinen Fehler bei dessen Nutzung gemacht zu haben (und wenn es dabei irgendwelche kleinen Widersprüche in seinen Angaben gab, wurde es schwierig für den Kunden).
Wenn sich hingegen die Bank auf der Klägerseite befindet, kann der Kunde sich -meine Einschätzung für künftige solcher Fälle- hinstellen und erklären, alles richtig gemacht zu haben. Und dann muss die Bank den Fehler finden und darlegen.
Es wäre ja vielleicht schon geholfen, wenn dieser Smartphone -Unsinn, damit meine ich: Authentifizierung des Abverfügens auch größerer Beträge allein mit einem einzigen Gerät -und das auch noch Hosentaschen-tauglich, von den Banken überdacht werden würde.
Dass die DKB und die ING solche Einschränkungen machen, liegt -nach meinen Informationen- vor allem an ganz erheblichen Betrugsschäden bei denen, und zwar eben gerade wegen dieser 1-Smartphone-für-alles-Umsetzung.
Und meine Kritik daran geht dahingehend, dass meiner Meinung nach niemand 100.000, 500.000 oder Millionen Euro einfach mal geschwind mit einem Handy-Klick abverfügen können muss. Das ist zwar bequem, lädt aber halt jede Menge Kriminelle ein, da mit Tricks anzusetzen.
Für das Abverfügen solcher Beträge kann eine Bank auch bessere Sicherheits-Systeme vorab festlegen, z.B. Nutzung eines vorab registrierten PC's plus Smartphone, HBCI-Chipkarten-Nutzung o.dgl. ...
Was hat denn bitte die Gerätegröße mit dem Sicherheitsniveau zu tun? Zweiteres ist auf den allermeisten Smartphones deutlich besser als auf jedem Computer. Sollte meine Bank ernsthaft überdenken, mich meine Transaktionen nicht mehr mit dem Smartphone durchführen zu lassen, wäre ich weg.
Was deutlich wichtiger wäre als die eigentliche Bestätigungsmethode ist eine intelligente Betrugserkennung. Es sollte z.B. ein anderes Niveau an Bestätigung brauchen, um hohe Beträge auf ein bisher unbekanntes Konto in fremdem Namen zu beauftragen als eine Überweisung gleicher Höhe auf mein eigenes, bekanntes Tagesgeldkonto.
Die Betrugsschäden gibt’s nicht wegen der 1-Smartphone-für-alles Umsetzung, sondern weil es genug Kunden gibt die alle Daten auf Phishing Seiten eingeben und dann dem „netten Betrüger“ noch TANs oder Freigaben erteilen. Ob die Freigabe da durch Smartphone oder Chiptan erfolgt ist zweitrangig. Bei beiden Verfahren sieht man was man tut.
Da sind Computer durchaus das größere Problem, ich sag mal nur Stichwort Windows und Screenreader, Trojaner usw. - das alles gibts jetzt auf Smartphone deutlich weniger, vor allem auf iOS. Ich erinnere nur mal an den Beitrag über einen DKB Scam, bei denen das Opfer dem Betrüger Vollzugriff auf den Rechner gegeben hat per Anydesk und der Kunde hat scheinbar Chiptan verwendet.
Sicher sollte jede Bank bei großen Summen beispielsweise ab 20.000€ mehr Verlangen. Das kann beispielsweise ein zusätzlicher Code per SMS, Einmalcode (2FA App z.B. Authy, etc.) sein. Dann muss der Kunde am besten noch per SMS, E-Mail informiert werden das er gerade eine große Summe authorisiert hat und wenn er das nicht war soll er sofort auf die Email antworten. Das bedeutet, dass Echtzeitüberweisungen in so einem Fall einfach z.B. 30 Minuten dauern, wenn die „Sicherheitsprüfung“ zuschlägt.
Es geht nicht um die physische Größe des Gerätes, sondern um die im Alltag übliche Art der Nutzung.
Und da auf den Smartphones ständig herumgetippt und -gewischt wird, ist es für manipulativ intendierte Aktionen ein relativ gut geeignetes Medium; die beim PC üblichen Eingabegeräte (Tastatur, Maus) sind dafür schon etwas weniger anfällig.
Es muss die Smartphone -2FA-Variante auch gar nicht gänzlich wegfallen, für Kleinbeträge ist die ja durchaus o.k., schon allein deshalb weil es Betrüger i.d.R. nicht darauf abgesehen haben, Bankkunden hier und da ein paar Euro abzuluchsen.
Bei größeren Beiträgen halte ich es aber für angezeigt, die Sicherheitsvorkehrungen auszubauen, und dafür nicht lediglich einen einzigen Klick oder Wisch auf dem Handy als ausreichend zu betrachten.
Ich sehe es auch so, dass eine intelligente Betrugserkennung wichtig wäre.
Aber darüber hinaus totzdem ein weitaus "höheres Niveau" an Bestätigung
für Transaktionen in vier- oder gar fünfstelliger Höhe (und dann natürlich
ganz besonders, wenn dann solch hohe Beträge auf ein bisher unbekanntes
Konto eines "fremdem Inhabers" in Auftrag gegeben werden) erforderlich wäre.
Über die angebliche "Anfälligkeit" des Laptops als Banking Gerät und die "tolle
Sicherheit" der stets verfügbaren "mobilen Wanze" in der Hosentasche
braucht man mit vielen Nutzern hier leider nicht mehr zu diskutieren.
Den grundsätzlichen Zielkonflikt zwischen Sicherheit und Bequemlichkeit in
der IT (wie in vielen anderen Bereichen des Lebens auch) will man nie
erkennen.
Weil die meisten Menschen von den Unternehmen (und natürlich auch der
Politik) zu "unkritischen Konsumenten" gedrillt werden und Nachdenken
eine durchaus "weniger wichtige" Priorität bei der Erstellung von Anforderungen
an Prozesse darstellt.
Aber darüber hinaus totzdem ein weitaus "höheres Niveau" an Bestätigung
für Transaktionen in vier- oder gar fünfstelliger Höhe (und dann natürlich
ganz besonders, wenn dann solch hohe Beträge auf ein bisher unbekanntes
Konto eines "fremdem Inhabers" in Auftrag gegeben werden) erforderlich wäre.
Über die angebliche "Anfälligkeit" des Laptops als Banking Gerät und die "tolle
Sicherheit" der stets verfügbaren "mobilen Wanze" in der Hosentasche
braucht man mit vielen Nutzern hier leider nicht mehr zu diskutieren.
Den grundsätzlichen Zielkonflikt zwischen Sicherheit und Bequemlichkeit in
der IT (wie in vielen anderen Bereichen des Lebens auch) will man nie
erkennen.
Weil die meisten Menschen von den Unternehmen (und natürlich auch der
Politik) zu "unkritischen Konsumenten" gedrillt werden und Nachdenken
eine durchaus "weniger wichtige" Priorität bei der Erstellung von Anforderungen
an Prozesse darstellt.
Das stimmt erstmal; dennoch ist das Design der Freigabe und was dabei angezeigt wird und wie, nicht unerheblich für die Erfolgsaussichten eines Betrügers.
Ich habe im Sparkassenfaden vor ein paar Monaten mal dargelegt, wieso ich z.B. das Design der Sparkassen Push-TAN-Lösung für sehr anfällig halte. Und das hat nichts mit der Technik an sich zu tun.
Beitrag automatisch zusammengeführt:
Auch da ist was dran; z.B. wenn Freigabeaufforderungen ankommen und bestätigt werden können, wenn der Kunde gar nicht aktiv und gezielt seine TAN-App gestartet hat, dann eröffnet es gewisse Betrugsmechanismen, die es andernfalls so nicht gäbe. Und damit meine ich jetzt nicht einen Angriff auf das Gerät, sondern Social Engineering.
Du darfst davon ausgehen, dass Du da bei Banken, schon aus eigenem Interesse, offene Türen einrennst.
Vermutlich wird Dir allerdings klar sein, dass es eine "intelligente" Betrugserkennung so leicht nicht gibt und dass grundsätzlich mit einer höheren Erkennungsrate zwangsläufig auch die False Positive Rate steigt.
Ja sieht man ja bei der DKB oder auch anderen Banken wie das laufen kann mit dem Betrugserkennungssystem.
ANZEIGE
![]()
Die DKB macht in der Hinsicht (also: generelles Design ihrer Sicherheits-Mechanismen) aber auch so ziemlich alles falsch, was man falsch machen kann.
Wenn ich nur an die mindestens 1x täglich (oder auch öfters) bei der DKB angeforderten 2FA-Abfragen beim bloßen Umsatz-/Kontostandsabruf via HBCI- Software denke, die nach den PSD2-Richtlinien nur alle 90 Tage erforderlich sind (und selbst das ist eigentlich übertrieben für diesen Anwendungsfall), sagt mir das, dass da niemand ernsthaft über die Folgen inflationär aufploppender Sicherheitsabfragen nachgedacht hat.
Denn in der Praxis führt so etwas ja nur dazu, dass diese Abfragen nicht mehr die Aufmerksamkeit erhalten, die bei wirklich wichtigen Vorgängen dann tatsächlich nötig sind/wären.
Und genau das kann dann zur Folge haben, dass mittels social engineering eben wirklich problematische Abfragen einfach mal so bestätigt werden (weil die dem Anwender bekannte Flut der Abfragen dazu geführt hat, dass man die gar nicht mehr ernst nimmt).