Was ist „Sofortüberweisung“ und wie funktioniert das Bezahlsystem?

SOFORT Überweisung (SOFORT GmbH) ist ein Online-Zahlungssystem zur bargeldlosen Zahlung im Internet.

Der Kunde, der bei seinem Online-Einkauf SOFORT Überweisung als Zahlungsmöglichkeit auswählt, wird automatisch auf die verschlüsselte sofort.com-Zahlmaske weitergeleitet. Alle Bestelldaten werden automatisch übernommen und übermittelt, sodass der Zahlende anschließend die Bankleitzahl seiner Bank und die gewohnten Zugangsdaten, wie beim Online-Banking, eingeben muss (Identifikation). Anschließend muss die Überweisung mit dem gewählten TAN-Verfahren freigegeben werden (Authentifizierung).

Beim gesamten Zahlungsprozess fungiert die SOFORT GmbH als zwischengeschalteter technischer Dienstleister, der die Daten, die der Kunde in das gesicherte Zahlformular eingibt, verschlüsselt an sein individuelles Online Banking-Konto übermittelt. Der Onlinehändler erhält im Anschluss eine Echtzeitbestätigung über die Erstellung der Überweisung innerhalb des Online-Bankingbereichs des Kunden. Dank dieser Transaktionsbestätigung kann der Händler sicher sein, dass eine entsprechende Eingabe mit erfolgreicher PIN- und TAN-Übermittlung stattfand. Er kann daher die Bestellung umgehend bearbeiten und ggf. direkt verschicken.

Die SOFORT GmbH spricht von mehr als 35.000 Anbietern in 13 europäischen Ländern (Stand 03/2017), die das Verfahren zur Zahlung für ihre Kunden zur Verfügung stellen.

Sicherheit und Kritik

Die Nutzung der SOFORT Überweisung unterscheidet sich erst einmal nicht vom eigentlichen Online-Banking bei der jeweiligen Hausbank. Der Zahlende gibt alle erforderlichen Zugangsdaten ein, wie wenn er beispielsweise den Kontostand abruft, Daueraufträge bearbeitet oder Depotbestände einsieht. Diese Eingabe erfolgt jedoch nicht auf der Internetseite der jeweiligen Bank, sondern auf der sofort.com-Zahlmaske der SOFORT GmbH.

Darin liegt eine zentrale Kritik gegen diese Möglichkeit der Online-Zahlung. Frank-Christian Pauli vom „Verbraucherzentrale Bundesverband“ kommentierte dazu: „Der Kunde muss wissen, wozu er seine Einwilligung gibt, und das ist hier womöglich nicht gegeben“.

Ein weiterer Kritikpunkt bezieht sich nicht erst auf die Gefahr der unerlaubte Nutzung des Online-Banking-Zugangs, sondern setzt bereits einen Schritt zuvor an. Allein schon die Eingabe der kompletten Online-Banking-Zugangsdaten sehen Kritiker problematisch, da bei jeder Eingabe theoretisch die Möglichkeit eines Hackerangriffs besteht.

Ein dritter und letzter Kritikpunkt hinsichtlich der Sicherheit zielt auf eine mögliche Herabsetzung der Hemmschwelle von Internetnutzern im Bezug auf die Weitergabe von PINs und TANs ihrer Online-Banking-Zugangsdaten ab.

Gerichtsurteile zur „Sofortüberweisung“

Der Verbraucherzentrale Bundesverband (vzbv) klagte in einem Musterverfahren gegen die Deutsche Bahn-Tochter DB Vertrieb GmbH. Die Verbraucherschützer wollen verhindern, dass die Onlinezahlmethode SOFORT Überweisung als einziges kostenfreies Zahlverfahren (im Sinne des § 312a Abs. 4, Nr. 1 BGB) in Webshops angeboten werden kann.

Vor dem Landgericht (LG) Frankfurt im Juli 2015 gewann zunächst der vzbv. Das Gericht urteilte der Zahlungsdienst „SOFOT Überweisung“ sei ein gängiges, aber „kein zumutbares“ Verfahren im Sinne des § 312a IV, Nr. 1 BGB.

Am 24.08.2016 kassierte das Oberlandesgericht (OLG) Frankfurt die Entscheidung der ersten Instanz und entschied nun, dass das Zahlungsmittel SOFOT Überweisung „zumutbar und gängig“ i.S.d. § 312a IV, Nr. 1 BGB sei.

Der vzbv legte jedoch Rechtsmittel gegen das Urteil des OLG Frankfurt ein. Schlussendlich hatte nun der Bundesgerichtshof (BGH) über die Frage zu entscheiden, ob die SOFORT Überweisung als einziges kostenfreies Zahlungsverfahren im Onlineshop angeboten werden darf, um den Anforderungen des § 312a gerecht zu werden.

Am 18. Juli 2017 (KZR 39/16) kam das oberste deutsche Zivilgericht zu folgendem Urteil:

Fazit

Am Ende einer jeden Online-Shopping-Tour gilt es die immer gleiche Frage zu beantworten: „Mit welchem Zahlungsmittel möchten Sie bezahlen?“.

Die SOFOT Überweisung erscheint zumeist neben den „klassischen“ Bezahlmethoden wie Lastschrift, Kreditkarte oder Rechnung. Fraglich ist also, warum sie den anderen Zahlungsmöglichkeiten vorzuziehen oder aus welchen Gründen die SOFOT Überweisung abzulehnen ist.

Nach Angaben der SOFORT GmbH kam es seit der ersten Anwendung des Zahlungsverfahrens im Jahr 2005 bisher (03/2017) zu keinem Betrugsfall zu Lasten eines Kunden, der seine PIN und TAN in die Systeme der SOFORT GmbH eingegeben hat.

Jedoch wiegt das Argument schwer, dass die Hemmschwelle in Bezug auf den Umgang mit hochsensiblen Online-Banking-Daten abzusinken drohe. Anfangs schlossen einige Banken deshalb auch die Eingabe der Zugangsdaten zum Online-Banking auf fremden Seiten in ihren Allgemeinen Geschäftsbedingungen (AGB) aus. Kurz darauf schaltete sich allerdings das Bundeskartellamt ein und verbot einen derartigen Ausschluss, da hierdurch ein Wettbewerbsnachteil zu anderen Zahlungsdiensten entstehen würde.

Abschließend zeigt sich – gerade im Lichte der BGH-Entscheidung – ein sehr klares Bild, nach welchem sich deutlich mehr Argumente finden lassen, den Zahlungsdienst Sofortüberweisung nicht den anderen Zahlungsmethoden vorzuziehen.

Wichtig erscheint dabei aber auch, dass sich bei der Benutzung dieser und anderer Online-Zahlungsdienste eine gesunde Skepsis einstellt und Situationen vermieden werden, die überhaupt eine Gefahr für Online-Kriminalität eröffnen, etwa indem man auf die Bezahlart „per Nachnahme“ zurückgreift (hier können Beträge in bar beim Paketboten bezahlt werden) – denn auch hier gilt der Grundsatz: „Gelegenheit macht Diebe“.

Dieser Artikel wird stets aktualisiert. Zuletzt am 2. Dezember 2017.

Hier der Beitrag von Deutschlandfunk Nova.

__

Lesen Sie ebenfalls meine Artikel zu EU-Zahlungsdiensterichtlinie PSD II, NFC-Bankkarten, PayPal und Paydirekt.

__

Titelbild (CCO Public Domain)

__

Wie funktioniert PayPal?

Die Grundlage für das kalifornische Online-Bezahlsystem bildet das sog. PayPal-Konto. Hierbei handelt es sich allerdings um ein virtuelles Konto. Es gibt keine Kontonummer oder IBAN – vielmehr wird die Identität des PayPal-Kontos durch die E-Mail-Adresse des PayPal-Mitglieds definiert. Analog zu einem herkömmlichen Bankkonto, werden auch beim PayPal-Konto Zahlungen an Dritte getätigt oder Geldanweisungen empfangen. Dabei fungiert PayPal als Dienstleister für den (Geld-) Transfer.

Der elementare Vorteil bei diesem Verfahren liegt darin, dass die über PayPal getätigten Zahlungen sofort beim Zahlungsempfänger gutgeschrieben werden. Aus diesem Grund entfällt die sonst bei Überweisungen übliche Banklaufzeit. Im Ergebnis führt die Verwendung von PayPal zu einer Verkürzung der Lieferzeit – da im Onlineshop getätigte Käufe schnell bezahlt und die Ware direkt nach der Zahlung versendet werden kann. Dadurch verkürzt sich für den Käufer die Lieferzeit und der Verkäufer erhält schneller als bei einer gewöhnlichen Banküberweisung die Kaufpreiszahlung.

Kritik – sicher oder nicht sicher?

Gerade im Vergleich mit anderen Zahlungsmöglichkeiten – wie der Sofortüberweisung – zeigt sich PayPal auf den ersten Blick als verhältnismäßig sicher. Beispielsweise wird bei jedem Bankkonto, welches zum ersten Mal bei PayPal hinterlegt wird, zunächst eine Testüberweisung mit einem speziellen Code durchgeführt. Hierdurch soll ausgeschlossen werden, dass bei PayPal fremde Bankkonten als Referenzkonto eingetragen werden.

Allerdings muss aber auch bei PayPal auf Probleme hinsichtlich der Datensicherheit hingewiesen werden.

Grundsätzlich können bei PayPal neben Bankkonten auch alle bekannten Kreditkarten (Visa, Mastercard …) hinterlegt werden. Daraus folgt nur logisch – wer Zugang zum PayPal-Konto (E-Mail-Adresse und Passwort) besitzt, dem ist ebenso der Zugriff auf alle hinterlegten Konten und Kreditkarten gewährt. In einem aktuellen Fall berichtet der Sicherheitsexperte Brian Krebs, dass sich Unbefugte Zugriff auf sein PayPal-Konto verschafften. Hierfür wandten sich die Hacker direkt an den PayPal-Support und gaben vor, Brian Krebs zu sein. Der Mitarbeiter wurde aufgefordert das Passwort zu ändern, da der vermeintliche Brian Krebs es vergessen habe. Um das Passwort ändern zu lassen, musste der Hacker nicht mehr als die letzten vier Ziffern von dessen Sozialversicherungsnummer und die letzten vier Ziffern eines älteren Kreditkartenkontos nennen. Diese Angaben fanden sich mit etwas Aufwand in den Weiten des Internets. Doch dieser Vorgang hätte sich nicht ereignet, wenn PayPal auf Authentifizierungsverfahren mit mehreren Faktoren und persönlichen Merkmalen setzen würde. Ebenso könnte auf ein ähnliches Verfahren, wie es beim Online-Banking eingesetzt wird – mobilTAN – zurückgegriffen werden, um zu verhindern, dass Dritte unbefugten Zugriff auf ein PayPal-Konto bekommen. Gerade eine Kombination aus mehreren Verfahren oder sogar mehreren Geräten, die schon einzeln als relativ sicher eingestuft werden, würde in der Summe die Sicherheit erhöhen.

Krebs fragte den Paypal-Manager beim Support, warum das Unternehmen seine Identität nicht einfach durch eine an sein Mobiltelefon gesandte Textnachricht oder ein besonderes Signal an eine mobile Paypal-App identifizieren könnte. Er erfuhr, dass der Bezahldienst über keine Technologien für mobile Authentifizierung verfüge.

Fazit und Empfehlungen – in drei Schritten zu mehr Sicherheit

Am Ende wird also auch PayPal zum Verhängnis, dass sobald ein dritter Dienstleister am digitalen Zahlungsverkehr beteiligt wird, auch eine Gefahr der Cyberkriminalität droht.

Daher sollten Sie die folgenden drei Hinweise beachten:

1. Sorgen Sie für einen gesicherten Zugang zu Ihrem PayPal-Konto. Hierfür sollten Sie zunächst ein sicheres Passwort verwenden und keine E-Mail-Adresse, die Sie im Internet mit anderen Konto in Verbindung bringt (z.B. bei Sozialen Netzwerken).
2. Wählen Sie sorgfältig und nicht inflationär Ihre Referenzkonten. Hinterlegen Sie so wenig Kreditkarten und Konten, wie möglich – nur dadurch können Sie einen Überblick behalten und nicht autorisierte Zahlungen entdecken.
3. Überwachen Sie stets Ihre Kontoaktivität. Dies können Sie am besten, wenn Sie die beim PayPal-Konto hinterlegte E-Mail-Adresse regelmäßig – beispielsweise auf Ihrem Smartphone – abrufen. Bei Unregelmäßigkeiten (wie unautorisierten Zahlungen oder fremden Passwortänderungen) können Sie auf diesem Wege direkt eingreifen und im schlimmsten Fall – wie bei Brian Krebs – Ihr Konto oder Ihre Kreditkarte sperren.

__

Lesen Sie auch meinen Artikel zu den Risiken der „Sofortüberweisung“ und „Paydirekt„.

__

Bildquelle

Pixabay (CCO Public Domain)

__