Re: Ihr solltet euch mal selber hören? - Bankkundin haftet nach ec-Karten-Diebsta...

5. Oktober 2004 20:57

> Fakt ist: Man suggeriert den "Verbraucher" ein sicheres System -- das
> in letzter Zeit immer mehr unter Beschuss gekommen ist. Z.B. gibt es
> eine Menge Moeglichkeiten, die PIN bei der Eingabe auszuspaehen. Die
> Methode mit der versteckten Mini-Kamera am Automaten ist nur eine
> davon.


Der Punkt ist doch einfach der das dies bei den betreffenden Fall
völlig abwegig ist. Wer eine PIN per Kamera ausspäht der kann auch
gleich einen Aufsatz mit drauf packen um die Karte zu kopieren. Und
selbst wenn dies der Fall gewesen wäre das die PIN so gestohlen
wurde, würde das zumindest bedeuten das die Klägerin kurz vorher Geld
abgeholt hat. Oder meinst du da spioniert jemand eine PIN per Kamera
aus, überwacht dann die Ganze Zeit das Opfer um dann an einem
Stadtfest endlich zuzugreifen und die Karte an sich zu bringen? Und
wenn die PIN kurz vorher ausspioniert wurde, dann sollte man sich
doch wundern wieso anscheinend trotzdem das maximale Tageslimit der
Karte nach dem Diebstahl 2mal ausgenutzt wurde. Sorry, aber das
klingt alles vollkommen unglaubwürdig. Es ist bestimmt wesentlich
effektiver an einem gut besuchten Stadtfest einfach so die Geldbörsen
von Leuten zu klauen. Dann hast du Bargeld und bestimmt genug
notierte PINs um nochmal eine Runde abzuräumen.

Ein 100% sicheres und vor allem bedienbares System gibt es nicht.
Wenn man es zulassen würde das PINs frei wählbar sind, dann hast du
gleich massig 1234 PINs die Bankkunden wählen. Und wenn die sich dann
wundern warum das aus Sicherheitsgründen abgelehnt wird, werden halt
die Geburtstage des Kindes, der Frau oder des Hundes genommen. Und da
liegt das eigentliche Sicherheitsproblem.
Es ist vollkommen egal wieviel Möglichkeiten es gibt eine 4stellige
PIN durch Zufall zu finden. Nach 3 Versuchen ist die Karte gesperrt
und niemand würde so bescheuert sein dies bei einer nicht gesperrten
EC-Karte zu versuchen. Wenn die Karte nicht funktioniert wird lieber
versucht beim Einkaufzentrum in der Ecke mit Unterschrift zu zahlen.
Da ist der Erfolg quasi garantiert und haften tut in dem Fall der
Händler und nicht das Opfer des Diebstahls.

Die Kosten für neue Sicherheitssystem sind auch hoch, da müssen
Schnittstellen angepasst werden, Karten und Zugangsdaten gewechselt
werden und neue Hardware installiert werden. Da sind die paar
Betrugsfälle die auftauchen ein Klacks gegen und zum grössten Teil
handeln die Banken hier sehr kulant und schreiben die meisten
Schadensfälle auch wieder gut. Ausnahmen gibt es immer und man weiss
nicht was vielleicht noch bei der Klägerin vor dem Diebstahl so
vorgefallen ist.

Ist derselbe Grund warum die meisten Banken gar kein HBCI Chipkarten
System anbieten. Es ist zu teuer und schwerer zu bedienen. Und mit
teuerer meine ich nicht die Schnittstelle oder die Server sondern das
Ganze drum herum. Ein sicherer Chipkartenleser, die Chipkarte selber
und entsprechende Software für die ein Grossteil der Kunden gar nicht
bereit ist Geld auszugeben. Der Trend geht dahin möglichst alles
kostenlos zu bekommen. Dazu zählen Überweisungen, Kontoführung und
auch das Online-Banking. Mal eben auf eine Webseite zu gehen von
jeden beliebigen Rechner ist halt einfach als umständlich Soft- und
Hardware zu installieren und dafür auch noch Geld auszugeben.

Und entsprechende Statistiken in dem Bereich zeigen das nunmal
einfache Systeme gewünscht sind. Und ein 128 Bit SSL Verfahren über
eine Homepage ist sicher, es gibt keinen einzigen bekannten
Schadensfall wo hier Geld jemals beim Angreifer angekommen sind. Die
paar Einzelfälle die bekannt wurden bei der Postbank wurden sofort
gestoppt. Und wenn man keine Überweisungen ausserhalb der EU zulässt
ist man sowierso auf der sicheren Seite.