Hallo,

nach langer Zeit der Abwesenheit in diesem Forum möchte ich einmal folgendes Thema zur Diskussion stellen.

"Giropay Überweisungen bis 30 € ohne TAN Eingabe."
Mit großer Verwunderung nahm ich dieser Tage zur Kenntnis, dass meine Sparkasse offenbar seit einigen Monaten das oben genannte Verfahren anbietet.

Still und leise wurde somit die Möglichkeit geschaffen, zu Lasten eines Girokontos, angestoßen durch Giropay, ohne den Einsatz eines "personalisierten Sicherheitsmerkmals" (Gemeint ist eine TAN) eine Überweisung zu generieren.
Ich finde das ganz und gar nicht in Ordnung, allein mit Legitimations ID und Passwort eine Überweisung zu ermöglichen.

Diese Daten können schließlich durch Keylogger (Trojaner per Drive by Download), Phishing und dergleichen gestohlen werden.

Meine sofortige Anfrage bei meiner Sparkasse ergab folgendes:

Das Verfahren ist obligatorisch, ich als Kontoinhaber kann weder die Funktion "30€ ohne TAN" noch die Giropay Nutzung als ganzes deaktivieren lassen.
Lediglich die Abmeldung von ChipTan oder mTan wäre möglich um das Konto von dem Verfahren auszunehmen.

Dies könnte ich dank meines HBCI Chipkarte Zugangs zwar tun, halte es aber für unverhältnismäßig.

In den Bedingungen für das Online Banking der Sparkasse (Punkt 4.1) finde ich keinen Passus der das neue Verfahren legitimieren würde.
Hier ist vielmehr von der obligatorischen Eingabe der TAN zur Erzeugung eines gültigen Überweisungsauftrages die Rede.

Ich möchte weiterhin ChipTan und Giropay nutzen, aber nur mit TAN Eingabe.
Wo kommen wir denn da hin, wenn heutzutage wieder Überweisungen ohne zweiten, unbestechlichen Faktor versendet werden?

Wie ist die Meinung des Forums?

kragenbär

du hast vergessen dir eine Frage zu stellen, nämlich wer bei Missbrauch haftet ... und dies dürfte die Bank sein und somit gilt es als Komfortmerkmal mehr über Online (bzw. Karte*) zu bezahlen.
*=Girocard kontaktlos wird je ebenfalls in Kürze eingeführt und bis 25 Euro bedarf es keiner separaten Autorisierung.

Selbst im Onlinebanking wurde im Sinne der Verbraucher schon öfters sehr kulant entschieden bzw. die Banken geben sogar entsprechende Garantien.
Commerzbank - Sicherheitsgarantie für onlinebanking
alternativ könntest auch eine Versicherung abschließen - Versicherungen entdecken den ONLINE/mobile-Markt für sich

Ich sehe diese "Vereinfachung" auch sehr kritisch. Allerdings wird man als Einzelner wenig Chancen haben, den Sparkassen-Apparat zu verändern.

Allerdings würde ich gegen Überweisungen, die nicht ich selbst veranlasst habe, rigoros vorgehen und die Wieder-Gutschrift verlangen. Die Sparkasse wird das letztendlich sicher bezahlen, da der ggf. entstehende öffentliche Wirbel in keinem Verhältnis zu den max. 30 Euro stehen wird (das ist bei dem Verfahren sicherlich von vorneherein eingepreist worden). Außerdem wird die Sparkasse sicher nicht nachweisen können, daß nicht ein Trojaner, Keylogger oder sonstwas beteiligt war. Allerdings sollte man ein "ich habe das nicht gemacht" nicht behaupten, wenn es nicht wirklich so ist. Denn es wird im Falle dieser Behauptung sicher nachgeprüft, wer den Betrag wofür erhalten hat. Und wenn es dann für irgend eine Bestellung war, die an Deine Adresse ausgeliefert wurde... dumme Sache, dann wäre das Betrug.

Wobei mich jetzt noch interessieren würde, wie es in Deinem speziellen Fall zu der Buchung ohne Dein Wissen gekommen ist. Wurde die wirklich von außerhalb für etwas mit dem Du garnichts zu tun hast veranlasst oder gab es jemanden - z.B. in der Familie - dem Du - unerlaubterweise - Deine PIN zur Verfügung gestellt hast?

Diverse Sparkassen haben das wohl schon eingeführt. Die meiner 87jhr. Mutter hat es und hat das mit der automatischen Aufladung bei Benutzung "Sie müssen garnichts tun, das Geld wandert vollautomatisch von Ihrem Konto weg " (Zitat dem Sinne nach aus dem Kundenanschreiben) bereits vor einiger Zeit eingeführt. Ich habe daraufhin scharf protestiert und gesagt, daß ein alter Mensch damit hoffnungslos überfordert ist und absolut nicht einschätzen kann, was da im Hintergrund passiert.

Auf den Protest hin hat man die automatische Aufladung für das Konto meiner Mutter und ihre Karte deaktiviert. An dieser Stelle ist das offenbar möglich.

ich habe den Post am Anfang nochmal geändert.

Meine Formulierung war mißverständlich. Es ist keine mißbräuchliche Überweisung geschehen.
Nur die Schaffung der Möglichkeit ohne TAN zu überweisen war gemeint.
Sorry,
Kragenbär

Bist du dir sicher, dass wir das gleiche meinen, ich gehe davon aus, dass es sich bei deinem Beispiel um die Geldkarten-Funktion / girogo (Chip auf Girocard) handelt. Hier war es ja notwendig eine Aufladung vorzunehmen und dieser Vorgang konnte automatisiert werden.

Bei Girocard kontaktlos also NFC, die bei den VR seit ca. Mitte des Jahres (Beispiel) und bei den Sparkassen ab 4.Quartal (ca. 2 Wochen glaub das erstemal gelesen zu haben) im rollout sind.
Diese muss nicht aufgeladen werden, sondern diese verhält sich wie eine normale Girocard bzw. "weitestgehend wie eine Kreditkarte".
Bisher haben Girocard NFC nur wenige aktiv, glaub dm-Drogerie bspw. - jedoch wird dies Standard werden, sprich Aldi/Lidl usw. die benötigen nur noch Software-Update (Freigabe) - auch Vodafone ist aktuell im Test

siehe 15.10. bzw. 28/29.10 . klick

die NFC-Funktion wird bei der 1. TAN Benutzung freigschalten





@Kragenbär
du kannst dich grundsätzlich entspannen wie o.e., die Freischaltung bei giropay wird für alle freigeschalten und man kann dies werde beschleunigen noch vorhindern.

Ja, ich bin mir eigentlich recht sicher.

Nachfolgend die Mitteilung im Kontoauszug April 2016.



Hochinteressant finde ich auch, daß es die da genannte Adresse auf der neuen Website im Teletubbies-Style nicht mehr gibt und die Suche nach "girogo" zu keinem sinnvollen Ergebnis führt. Das Einzige, was da gelistet wird, ist ein älteres PDF mit girogo-Akzeptanzstellen im gesamten Landkreis. Was girogo ist - kein Wort darüber.

hm, jetzt hab ich das o.g. teilweise missverständlich formuliert (als selbst ins Knie geschossen)
ich mach es mal kürzer. (wobei das mit dem giropay sowieso nichts zu tun hat) also

- Geldkarte (Aufladung) - https://geldkarte.de/
- girogo (nur an bestimmten Verkaufsstellen und mit Aufladung) - http://girogo.de/

- Girocard NFC bzw. kontaktlos (NEU)

Ja. Aber in letzter Konsequenz war das eine Freischaltung für sowohl eine Aufladung als auch eine Bezahlung, ohne die Karte irgendwo reinstecken zu müssen. Allein durch "Nähe". Und das war mir für eine 87 jährige zu intransparent. Sie selbst wollte das übrigens auch, dass sowas nicht geht. Zumal die die Karte im Prinzip eh nur genutzt hat, um Kontoauszüge zu drucken. Achja, und neuerdings zur Abhebung "via Schalter". Man hat bei einem Umzug der Zentrale die Kassentresore am Schalter am neuem Standort eingespart. Der Kunde bringt den Wunsch nach Geld (samt Stückelung) am Schalter vor, die Bedienkraft bucht das auf die Karte (entweder auf die eigene Girocard oder auf eine temporäre "weiße Karte"). Mit der muß der Kunde dann an den Geldautomaten gehen, die Karte reinstecken und das Geld kommt ohne weitere Bedienung raus. Die eigene Karte kommt natürlich auch wieder raus, eine temporäre "weiße Karte" wird einbehalten.

Ich hab die Überschrift nochmal erweitert, weil die Themen ja doch durcheinander gehen. Giropay, Paydirekt, Girogo, NFC, payment to go, etc, ja irgendwann werden der Branche die schmissigen Namen ausgehen, befürchte ich.
Zur Ergänzung: Bei den genossenschaftlichen Banken werden die Geldautomaten ebenfalls umgerüstet, so dass man dort die Kontaktlos-Funktion deaktivieren kann.

Weil der Zahlvorgang wirklich nur in unmittelbarer Nähe zu einem geeigneten Terminal funktioniert - der Chip hat ja keine eigene Stromversorgung und auch Schutzfunktionen - muss eigentlich niemand vor Betrugsversuchen Angst haben. Machbarkeitsstudien mag es geben, aber lohnend dürfte der Aufwand eines echten Betrugsversuches für niemanden sein.

Gruß
Raimund

Das hat BMW (und natürich andere KFZ-Hersteller) auch gesagt. Die Wirkichkeit schaut anders aus. Da sind es mit entsprechenden Antennen und Verstärkern eine ganze Anzahl von Metern.


Damit hast Du zweifellos recht. Ein BMW (der Klasse, in der derart moderne Technik verbaut ist) ist da ein anderes Kaliber als 30 EUR von der Girogo-Karte. Allerdings... wenn man es wieder auf die Masse bezieht (irgendwo wo entsprechender Publikumsverkehr herrscht eine entsprechende Antenne aufstellen und allen, die vorbeikommen die Daten von der Karte - so vorhanden - saugen) könnte vielleicht doch lurativ werden? Ganz freiwillig werden doch Sparkassen's und VR's die Umrüstung zum Deaktivieren nicht machen? Wär ja das erste Mal, daß man sowas macht, nur weil einige Kunden kalte Füße beommen. Sonst hieß das doch immer "is so, kann man nicht ändern, Sie können ja das Konto kündigen".

@msa
du hast vergessen, dass bei Fahrzeugen mit keyless go, der Diebstahl ohne verfolgbare Historie erfolgt - sollte kein online-Diebstahlsystem/GPS-Tracker vorhanden sein usw.

bei der Girocard kontaktlos NFC, wird ja eine Lastschrift ausgeführt - Zahlungsfluss somit nachvollziehbar.
erschwerend kommt hinzu, dass bei mehr als 1 Karte im Portemonnaie, die Funktion auch nicht funktioniert, da das Erfassungsgerät nur bei eindeutiger Identifizierung/Zuweisung, tätig wird.

abschließend nochmals der Hinweis auf den Auszug einer Bank in #6, nämlich dass die Funktion nicht deaktiviert werden soll, da es sonst zu Problemen kommt, welche diese im Detail sind, wurde nicht aufgeführt.

das ist "Verschwörungstheorie". Die Abschaltbarkeit war von Anfang an in der Diskussion der Fachleute, man kennt seine Kunden. Dazu gibt es auch Erfahrungen aus anderen Ländern, deshalb ist es auch früh in das Design aufgenommen worden, damit man das in Deutschland doch glücklicherweise wahrnehmbare Sicherheitsbedürfnis bedienen kann.
Gruß
Raimund

die Headline hierzu:

Quelle: http://www.handelsblatt.com/fi…90966.html
auch Bluecode bspw. wird thematisiert

Also wenn das so einfach wie hier beschrieben gehen würde und ohne große Vorgaben über Hersteller und speziellen Typ für das Handy (klar, NFC muß das Handy naürlich dafür können) und den Mobilfunkanbieter im Prinzip jede kotaktlos operierende Karte hinterlegt werden kann, dann könnte das ja sogar mal was massentaugliches werden, was sich sehr schnell durchsetzen könnte? Und sowas von einer Bank? Gratuliere!!

https://www.heise.de/security/…04715.html

Abbrechen - und das darf natürlich nicht passieren. UMSATZ UMSATZ

Aber Spaß beiseite. Warum brechen so viele Leute ab? Weil sie überfordert sind. Vieles ist recht kompliziert und vorallem ÜBERALL ANDERS. Das ist die Krux. Wenn ich mir meine Umgebung so anschaue, allein was Onlinebanking betrifft. Wenn die es mal für EINE Institutsgruppe begriffen haben, dann aber bei einem anderen Institut was machen müssen, dann wollen sie es instinktiv immer so machen wie bisher. Dass ein gleicher oder ähnlicher Vorgang bei einer anderen Institutsgruppe evtl. nach einer anderen Logik abläuft, sehr problematisch. So ist es mit den Kreditkartensicherheitsgeschichten auch.

Anderes Beispiel: Ich habe mein Handy gewechselt - also galt es, die pushTAN-Verbindungen zu übertragen. Ich hab drei verschiedene. DiBa, Sparkassen und VR-Lager.
Bei der DiBa ging es direkt, gut beschrieben, sofort durchführbar, direkt online abzuwickeln. Wunderbar.
Bei den Sparkassen ist es auch gut beschrieben, funktioniert auch problemlos, aber man muß auf einen Papierbrief warten. Die (ich hab ne gewisse Anzahl Sparkassen) waren allerdings am nächsten Tag ALLE da.
Problematisch ist es bei Fiducia. Der Vorgang ist nirgends ernsthaft beschrieben, man findet nichts, und auch die Banken selbst - auch die Onlinebankingspezialisten - wissen nicht wirklich, wie es geht und müssen dafür extra in Karlsruhe ein Ticket aufmachen. Die Probleme sind übrigens einheitlich bei einer Land-Raiffeisenbank und einer großen VR-Bank einer Großstadt. Rätsels Lösung: Bei Sparkassen's muß man den Prozeß im Onlinebanking beginnen, bei VR's in der App im neuen Handy. Anders gehts nicht, ist aber so auch nirgends klar beschrieben. Gleicher Vorgang, völlig anderer Ablauf.

Bei Kreditkartensicherungssystemen ist sowas noch problematischer, weil sich der Kunde beim Einkauf nicht erst damit vertraut machen mag, wie es denn nun gehen soll. Vielleicht brechen die Kunden ja auch nur deswegen ab, weil sie sich erst informieren müssen, wie es geht, und kommen dann später wieder? Aber man ist ja wohl mit diesen Apps, in denen eine Push-Nachricht kommt und man die Transaktion einfach bestätigen kann auf einem sehr guten Weg, würde ich sagen...

Bei den Fiducia-Banken ist das ziemlich neu, daher weiß noch nicht jeder, wie es läuft.

Ich hatte mal einen sogenannten Palm, das Teil konnte ich in eine Docking-Station legen und auf einen Knopf drücken und das Gerät hat sich wunderbar mit allem synchronisiert, was ich wollte - auf allen meinen PCs konnte ich auf einfachste Weise Termine und Kontakte verwalten. Die Akkus funktionierten eine Woche, Abstürze gab es nicht, es sei denn, man hatte die Akkus vergessen zu laden.
Heute habe ich die Wahl zwischen Pest und Cholera, entweder Datenschutz und völlig komplexe Datenwege in einer owncloud oder gebe meine Daten in die Hände eines Konzerns. Die Akkus halten zwei Tage, obwohl sie eigentlich x-fache an Kapazität haben.
Warum hat sich Palm nicht am Markt durchgesetzt, die waren mal Marktführer?
Auch der Psion war eigentlich besser als viele andere Alternativen, der konnte sogar HBCI...
Ich kann nur vermuten: Man konnte z.B. nicht damit telefonieren, Spiele waren bestenfalls "naja" und es war nicht bunt und funktionierte mit einem Stift statt mit dem Finger.
Fazite mag jeder nach seiner Gusto ziehen.
Gruß
Raimund
edit: Sorry für den Kram, komme gerade vom Weihnachtsmarkt...

Hallo nochmal,

eine positive Nachricht wie ich meine...
Nach Rücksprache kann meine Sparkasse es nun doch veranlassen, dass mein Konto auf meinen Wunsch nicht am Giropay Verfahren ohne TAN teilnimmt.
Bei mir wird Giropay also, wie früher auch, ab sofort wieder unabhängig von der Kaufsumme immer mit TAN abgewickelt!
Offenbar ist zwischenzeitlich auch anderen Kunden unwohl bei dem Verfahren geworden...
Es lohnt sich also mit seinem Institut im Gespräch zu bleiben.

kragenbär

Danke für die Info
wobei halt immer die Frage ist, ob man das auch wirklich will und ob das einem persönlich was bringt - aus o.g. Gründen.

PS: per Papier-Überweisung hab ich dir schneller Geld abgezogen ... das Thema hatten wir aber schon x-mal und auch dass das wichtigste eigentlich die Prüfung des Kontoauszugs ist.