Ausgangssituation – die Technologie und ihre Anwendung in der Praxis

Zunächst ist eine kurze Begriffsklärung nötig, um die Gefahren, die sich aus der Benutzung einer Kredit- oder Girokarte ergeben, richtig einordnen zu können. NFC steht für „Near Field Communication“ (Nahfeld-Kommunikation) und bezeichnet eine Funktechnologie, bei der Daten über kurze Strecken kontaktlos übertragen werden. NFC ermöglicht den Datenaustausch in zwei Richtungen: Das Lesegerät kann einerseits Daten auslesen und andererseits auch zurück an die Karte übermitteln. Neben dem bargeldlosen Bezahlen bei neuen Bankkarten oder mit dem Smartphone kommt die NFC-Technik zum Beispiel bei elektronischen (Jahres- und Monats-)Fahrscheinen im öffentlichen Personennahverkehr zum Einsatz.

Der Einzelhandel stellte seine Bezahlterminals bereits um. Aldi Nord, Edeka, Galeria Kaufhof, Netto, Rewe und viele weitere haben ihre Kassensysteme seit letztem Jahr mit NFC aufgerüstet. Der neue, seit 2011 ausgegebene Personalausweis unterstützt ebenfalls diese Technologie. Theoretisch könnte er als Geldkarte oder digitaler Schlüssel genutzt werden, doch es gibt noch keine praxisrelevante Anwendung.

Die NFC-Bankkarte im Einsatz

Wird der Bezahlvorgang mit Hilfe einer NFC-Bankkarte abgewickelt, fallen dabei erst einmal nicht mehr Daten an als beim herkömmlichen Einsatz der Bankkarte mit PIN oder Unterschrift. Die Karte muss nicht mit einem bestimmten Betrag aufgeladen werden, sondern die Summe wird direkt vom (Kreditkarten-)Konto abgebucht. Der einzige Unterschied besteht in der kontaktlosen Auslesemöglichkeit: Ausgelesen werden kann die Karte in einem Abstand von bis zu 4 Zentimetern zum Lesegerät, womit ein versehentliches Zahlen ausgeschlossen werden soll. Mit der CVC-Prüfziffer oder der normalen Karten-PIN kann der Händler betrügerische Zahlungen ausschließen. Sie wird aber nicht immer abgefragt. Bei einem Bezahlvorgang bis zu 25 Euro fällt die Eingabe einer PIN völlig weg. Der Kartenherausgeber haftet grundsätzlich für die Zahlungen wie bei einer Kreditkarte. Das heißt, dass Kunden ihre Kontoauszüge regelmäßig kontrollieren und ggf. nicht autorisierte Abbuchungen melden müssen. Ebenfalls besteht für den Kunden jederzeit die Möglichkeit der Kartensperrung. Einige Banken verlangen eine PIN, wenn Zahlungen unter 25 Euro schnell aufeinander folgen. Auf den NFC-Karten werden nicht mehr Daten gespeichert als auf der herkömmlichen Bankkarte. Gespeichert werden beispielsweise die letzten fünfzehn Zahlungsvorgänge mit der Terminalnummer des Händlers sowie Datum und Betrag des Kaufs. Überdies können das Jugendschutzmerkmal „unter/über 18 Jahre“, der Kartentyp und die Kartennummer ausgelesen werden.

Kritik

Die Grundidee besteht in der Vereinfachung der Zahlungsvorgängen für den Kunden (denn dieser muss bei Beträgen von weniger als 25 Euro keine PIN mehr eingeben) und einer Beschleunigung für den Händler (denn eine Bezahlung ohne PIN-Eingabe und Überprüfung geht wesentlich schneller). Es klingt gut, doch die Nebenwirkungen aus Gesichtspunkten des Datenschutzes sind alarmierend. Drei Punkte sind dabei besonders problematisch:

1. Ein grundsätzliches Problem ergibt sich aus der Tatsache, dass bei kleineren Beträgen (bis 25 Euro) keinerlei Authentifizierung stattfindet. Es genügt die physische Gewalt über die Bankkarte mit NFC. Wer diese in seinem Besitz hat, kann shoppen gehen. Ob es sich um den rechtmäßigen Besitzer der Karte handelt, wird wohl nur selten (durch Überprüfung eines Ausweises) nachgewiesen; denn wenn bei jeder Bezahlung mit NFC-Bankkarte der Ausweis überprüft werden würde, wäre der zeitliche Vorteil gegenüber der klassischen EC-Zahlung mit PIN-Eigabe obsolet.
2. Das zweite gravierende Problem ergibt sich aus der Technologie selbst. Während immer mehr Geschäfte mit NFC aufrüsten, wird dieser Standard auch bei Smartphones immer verbreiteter. Dass bereits Apps existieren, die über NFC den gesamten Datenbestand der Bankkarten mit dieser Funktion auslesen können, überrascht also nur wenig. Einige Fernsehbeiträge illustrieren sehr deutlich, wie einfach es geht: App installieren, NFC aktivieren, Handy auf die Karte oder die Geldbörse legen (denn 4 cm Abstand genügen), kurz warten und schon zeigt das Smartphone alle Daten der Karte – inkl. der sensiblen Kartennummer sowie dem Ablaufdatum der Karte. Diesen beiden Angaben genügen bereits, um sich beispielsweise bei Amazon auf Shoppingtour begeben.
3. Der letzte Kritikpunkt richtet sich an die Kreditinstitute, die die Karten (mittlerweile im großen Stil) ausgeben. Die Gefahren der unberechtigten Benutzung oder kriminellen Auslesung der Daten sind bekannt. Gegenmaßnahmen lassen sich jedoch nicht erkennen. Dabei würde es schon helfen, wenn man bei jeder NFC-Kartenzahlung unter 25 Euro eine kurze SMS und/oder E-Mail bekäme – auf diese Weise könnte ein Missbrauch der Karte und/oder der Kartendaten wenigstens frühzeitig bemerkt und die Karte gesperrt werden. Des Weiteren findet eine unzureichende Informationspolitik über die Gefahren seitens der Geldhäuser statt.

Schutzempfehlung und Fazit

Wer sich weiterhin an den Vorteilen der NFC-Kartenzahlung erfreuen will, der sollte seine Karte – insbesondere im Lichte des zweiten Kritikpunktes – schützen. Es werden bereits angeboten, die ein unberechtigtes Auslesen verhindern, indem sie die physische Übertragung der NFC-Technik abschirmen und damit im Ergebnis einen Datenaustausch unterbinden.

Momentan haben diese Hüllen noch einen stolzen Preis. Wenn man sich aber überlegt, wie einfach sich die Daten mithilfe einer App und einem dazugehörigen Smartphone auslesen lassen, dann sollten Sie in den Schutz Ihrer Bank- und Zahlungsdaten investieren. Schlussendlich könnte auch eine Nachfrage bei Ihrer Bank dazu führen, dass Ihnen eine solche „Abschirmhülle“ zur Verfügung gestellt wird.

Benutzen Sie NFC-Bankkarten? Bietet Ihre Bank eine entsprechende Hülle zum Schutz vor unberechtigten Dritten an?

Ich bin auf Ihre Erfahrungen gespannt. Kommentieren Sie einfach diesen Beitrag.

__

Titelbild (CCO Public Domain)

Ausgangssituation

Dem Bundesverband Versandhandel (bevh) zufolge nutzten Ende vergangenen Jahres 43 Prozent der Deutschen bei Käufen im Internet PayPal, Sofortüberweisung oder Giropay. Ein Jahr zuvor waren es noch 39 Prozent. Am beliebtesten ist allerdings „per Rechnung“ zu bezahlen – diese Variante wählten 30 Prozent der Kunden. Der Markt, von dem Paydirekt etwas abbekommen möchte, ist also bereits schon gut umworben. Dies wird auf vielen Internetseiten von Onlinehändlern deutlich, die mit den Symbolen der Zahlungsmöglichkeiten überzeugen wollen. Die Schriftzüge von Visa, Mastercard & Co erschlagen den Kunden fast. In diesem hart umkämpften Feld versucht nun schon seit einiger Zeit Paydirekt Fuß zu fassen.

Was steht hinter dem Namen „Paydirekt“ und wie funktioniert der Zahlungsdienst

Paydirekt ist ein Online-Bezahlverfahren deutscher Banken und Sparkassen. Es wird von der Paydirekt GmbH betrieben und wurde 2014 gegründet.

Um sich für Paydirekt erstmals registrieren zu können, benötigen die Kunden ein Girokonto bei einer teilnehmenden Bank oder Sparkasse sowie einen Onlinebanking-Zugang. Durch diese Voraussetzungen wird der Benutzerkreis möglicherweise eingeschränkt. Nicht jeder wird wohl ein Konto bei einer Bank besitzen, die Paydirekt anbietet und/oder das erforderliche Onlinebanking benutzen.

Die Registrierung selbst erfolgt im Onlinebanking-Bereich des Nutzers durch Festlegung von Nutzernamen und einem sicheren Passwort. Anschließend kann Paydirekt als Bezahlverfahren verwendet werden. Vor Abschluss eines Kaufs müssen Nutzername und Passwort eingegeben werden. Schlussendlich wird die Bezahlung mittels TAN-Abfrage überprüft.

Im Unterschied zu anderen Bezahldiensten ist Paydirekt kein Drittanbieter, sondern eine Zusatzfunktion des Girokontos. Die Zahlung wird direkt über das Girokonto des Käufers abgewickelt und an das Konto des Händlers gesendet. Diese positive Tatsache war bereits ursächlich für die Namensgebung des Zahlungsdienstes.

Die Konto-Informationen werden dabei weder an den Händler noch an einen Drittanbieter weitergegeben. Dadurch grenzt sich die Zahlungsvariante deutlich von ihrer im Ausland ansässigen Konkurrenz ab und vermindert damit die Datenübergabe von hochsensiblen Bankinformationen.

Bei der Zahlungsabwicklung erhebt Paydirekt jedoch Transaktionsdaten, die über den Umfang einer normalen Überweisung hinausgehen. Dazu gehören beispielsweise die angegebene Lieferadresse und möglicherweise die einzelnen Positionen eines Warenkorbs (sofern der Shopbetreiber diese an Paydirekt übermittelt).

Da das System in Deutschland betrieben wird, gelten der deutsche Datenschutz und das deutsche Bankgeheimnis. Alle Zahlungen werden auf dem Kontoauszug, im Onlinebanking und der Paydirekt-App angezeigt. Bei entsprechender Kontodeckung erhält der Händler nach der Eingabe eine sofortige Bestätigung der Zahlung und kann die Ware verschicken. Dies sorgt im Ergebnis für Rechtssicherheit, Transparenz und Kundenfreundlichkeit.

Fazit

Paydirekt hebt sich in puncto Datenschutz von der Konzeption und Umsetzung deutlich positiv von den ausländischen Mitbewerbern ab. Das Problem hier liegt in einem anderen Bereich – in der Bekanntheit und Akzeptanz. Nach eigenen Angaben nehmen (Stand Februar 2017) über 620 Akzeptanzstellen teil. Darunter zählen mittlerweile zwar auch große Namen wie die Metro-Unternehmen Media Markt und Saturn sowie Deichmann und dm. Trotzdem verläuft die Entwicklung eher schleppend. Das mag an der teilweise stiefmütterlichen Werbung allein auf Seiten der Banken liegen. An der Grundkonzeption liegt es jedenfalls nicht. Es ist ein begrüßenswerter Ansatz, dass bei einem Onlinekauf nur zwei Parteien beteiligt werden: die Bank des Kunden auf der einen und der Händler mit seinem Kreditinstitut auf der anderen Seite. Verschwiegen darf allerdings nicht werden, dass natürlich die gleich allgemeinen Risiken bestehen, die auch sonst beim Onlinebanking auftreten können.

Für die Zukunft bleibt zu hoffen, dass auch weitere Händler Paydirekt ihren Kunden als einen Schritt zu mehr Sicherheit im digitalen Zahlungsverkehr anbieten und sich damit qualitativ von anderen Onlineshops abgrenzen.

Lesen Sie auch meine Artikel zu

(1) Sofortüberweisung und

(2) PayPal

Bietet Ihre Bank Paydirekt an und haben Sie sich schon registriert?

Ich bin auf Ihre Erfahrungen gespannt. Schreiben Sie einfach in die Kommentare.

__

Wie funktioniert PayPal?

Die Grundlage für das kalifornische Online-Bezahlsystem bildet das sog. PayPal-Konto. Hierbei handelt es sich allerdings um ein virtuelles Konto. Es gibt keine Kontonummer oder IBAN – vielmehr wird die Identität des PayPal-Kontos durch die E-Mail-Adresse des PayPal-Mitglieds definiert. Analog zu einem herkömmlichen Bankkonto, werden auch beim PayPal-Konto Zahlungen an Dritte getätigt oder Geldanweisungen empfangen. Dabei fungiert PayPal als Dienstleister für den (Geld-) Transfer.

Der elementare Vorteil bei diesem Verfahren liegt darin, dass die über PayPal getätigten Zahlungen sofort beim Zahlungsempfänger gutgeschrieben werden. Aus diesem Grund entfällt die sonst bei Überweisungen übliche Banklaufzeit. Im Ergebnis führt die Verwendung von PayPal zu einer Verkürzung der Lieferzeit – da im Onlineshop getätigte Käufe schnell bezahlt und die Ware direkt nach der Zahlung versendet werden kann. Dadurch verkürzt sich für den Käufer die Lieferzeit und der Verkäufer erhält schneller als bei einer gewöhnlichen Banküberweisung die Kaufpreiszahlung.

Kritik – sicher oder nicht sicher?

Gerade im Vergleich mit anderen Zahlungsmöglichkeiten – wie der Sofortüberweisung – zeigt sich PayPal auf den ersten Blick als verhältnismäßig sicher. Beispielsweise wird bei jedem Bankkonto, welches zum ersten Mal bei PayPal hinterlegt wird, zunächst eine Testüberweisung mit einem speziellen Code durchgeführt. Hierdurch soll ausgeschlossen werden, dass bei PayPal fremde Bankkonten als Referenzkonto eingetragen werden.

Allerdings muss aber auch bei PayPal auf Probleme hinsichtlich der Datensicherheit hingewiesen werden.

Grundsätzlich können bei PayPal neben Bankkonten auch alle bekannten Kreditkarten (Visa, Mastercard …) hinterlegt werden. Daraus folgt nur logisch – wer Zugang zum PayPal-Konto (E-Mail-Adresse und Passwort) besitzt, dem ist ebenso der Zugriff auf alle hinterlegten Konten und Kreditkarten gewährt. In einem aktuellen Fall berichtet der Sicherheitsexperte Brian Krebs, dass sich Unbefugte Zugriff auf sein PayPal-Konto verschafften. Hierfür wandten sich die Hacker direkt an den PayPal-Support und gaben vor, Brian Krebs zu sein. Der Mitarbeiter wurde aufgefordert das Passwort zu ändern, da der vermeintliche Brian Krebs es vergessen habe. Um das Passwort ändern zu lassen, musste der Hacker nicht mehr als die letzten vier Ziffern von dessen Sozialversicherungsnummer und die letzten vier Ziffern eines älteren Kreditkartenkontos nennen. Diese Angaben fanden sich mit etwas Aufwand in den Weiten des Internets. Doch dieser Vorgang hätte sich nicht ereignet, wenn PayPal auf Authentifizierungsverfahren mit mehreren Faktoren und persönlichen Merkmalen setzen würde. Ebenso könnte auf ein ähnliches Verfahren, wie es beim Online-Banking eingesetzt wird – mobilTAN – zurückgegriffen werden, um zu verhindern, dass Dritte unbefugten Zugriff auf ein PayPal-Konto bekommen. Gerade eine Kombination aus mehreren Verfahren oder sogar mehreren Geräten, die schon einzeln als relativ sicher eingestuft werden, würde in der Summe die Sicherheit erhöhen.

Krebs fragte den Paypal-Manager beim Support, warum das Unternehmen seine Identität nicht einfach durch eine an sein Mobiltelefon gesandte Textnachricht oder ein besonderes Signal an eine mobile Paypal-App identifizieren könnte. Er erfuhr, dass der Bezahldienst über keine Technologien für mobile Authentifizierung verfüge.

Fazit und Empfehlungen – in drei Schritten zu mehr Sicherheit

Am Ende wird also auch PayPal zum Verhängnis, dass sobald ein dritter Dienstleister am digitalen Zahlungsverkehr beteiligt wird, auch eine Gefahr der Cyberkriminalität droht.

Daher sollten Sie die folgenden drei Hinweise beachten:

1. Sorgen Sie für einen gesicherten Zugang zu Ihrem PayPal-Konto. Hierfür sollten Sie zunächst ein sicheres Passwort verwenden und keine E-Mail-Adresse, die Sie im Internet mit anderen Konto in Verbindung bringt (z.B. bei Sozialen Netzwerken).
2. Wählen Sie sorgfältig und nicht inflationär Ihre Referenzkonten. Hinterlegen Sie so wenig Kreditkarten und Konten, wie möglich – nur dadurch können Sie einen Überblick behalten und nicht autorisierte Zahlungen entdecken.
3. Überwachen Sie stets Ihre Kontoaktivität. Dies können Sie am besten, wenn Sie die beim PayPal-Konto hinterlegte E-Mail-Adresse regelmäßig – beispielsweise auf Ihrem Smartphone – abrufen. Bei Unregelmäßigkeiten (wie unautorisierten Zahlungen oder fremden Passwortänderungen) können Sie auf diesem Wege direkt eingreifen und im schlimmsten Fall – wie bei Brian Krebs – Ihr Konto oder Ihre Kreditkarte sperren.

__

Lesen Sie auch meinen Artikel zu den Risiken der „Sofortüberweisung“ und „Paydirekt„.

__

Bildquelle

Pixabay (CCO Public Domain)

__