Thread
Menü

Kein Vorteil für den Kunden


25.08.2009 10:27 - Gestartet von Mobilfunk-Experte
Mit den 3-D-Secure-Verfahren gewinnt der Kunde keine zusätzliche Sicherheit; zumindest solange es noch genügend Händler gibt, wo man auch "ohne" bezahlen kann. Im Gegenteil: Die Vorteile des Zusatzpassworts hat in erster Linie der Händler.

Das geprüfte Passwort ist ein einigermaßen guter Beweis, dass der Karteninhaber selbst die Transaktion ausgeführt hat. Der Kunde kann einer Belastung dann nicht mehr einfach widersprechen indem er behauptet, ein Fremder hätte seine Kartendaten missbraucht. Dadurch kommt der Händler relativ sicher zu seinem Geld, weil die Banken unter diesen Voraussetzungen auf einen Teil der sonst nahezu unbegrenzten Storno-Möglichkeiten verzichten.
Menü
[1] garfield antwortet auf Mobilfunk-Experte
25.08.2009 12:13
Benutzer Mobilfunk-Experte schrieb:
Mit den 3-D-Secure-Verfahren gewinnt der Kunde keine zusätzliche Sicherheit; zumindest solange es noch genügend Händler gibt, wo man auch "ohne" bezahlen kann. Im Gegenteil: Die Vorteile des Zusatzpassworts hat in erster Linie der Händler.
Meine Güte. Das ist nun mal so, dass sich ein neues Sicherheitsmerkmal erst allmählich durchsetzt.
Natürlich ist das eine deutliche Verbesserung.
Davon abgesehen, dass ich auch die ec-Bezahlung mit Unterschrit nicht so toll finde, da die meisten Händler die Unterschrift nur halbherzig vergleichen (dann haben DIE aber das Risiko), war die fehlende Passwort-Absicherung von Kreditkarten (jeder Finder konnte damit lustig im Internet bestellen) genau der Grund, warum ich die nur im Notfall einsetze.

Das geprüfte Passwort ist ein einigermaßen guter Beweis, dass der Karteninhaber selbst die Transaktion ausgeführt hat. Der Kunde kann einer Belastung dann nicht mehr einfach widersprechen indem er behauptet, ein Fremder hätte seine Kartendaten missbraucht.
Wer als rechtmäßiger Kartenbesitzer macht sowas? Denn so eine Behauptung ist nur mit gleichzeitiger Sperrung der "verlorenen oder entwendeten" Karte glaubwürdig.

Dadurch kommt der Händler relativ sicher zu seinem Geld, weil die Banken unter diesen Voraussetzungen auf einen Teil der sonst nahezu unbegrenzten Storno-Möglichkeiten verzichten.
Eine Stornomöglichkeit ist was anderes als eine Schadensfreihaltung des Kunden bei Verlust oder Diebstahl und hat somit mit dem neuen Sicherheitsmerkmal nichts zu tun.
WAS hingegen sein kann, ist, dass die Schadensfreihaltung des Kunden eingeschränkt wird. Aber damit kann man leben, falls man nicht das Passwort auf die Karte schreibt.
Menü
[1.1] Mobilfunk-Experte antwortet auf garfield
25.08.2009 12:53
Benutzer garfield schrieb:

Benutzer Mobilfunk-Experte schrieb:
>
Mit den 3-D-Secure-Verfahren gewinnt der Kunde keine zusätzliche Sicherheit; zumindest solange es noch genügend Händler gibt, wo man auch "ohne" bezahlen kann.
>
Meine Güte. Das ist nun mal so, dass sich ein neues Sicherheitsmerkmal erst allmählich durchsetzt. Natürlich ist das eine deutliche Verbesserung.

Für den Händler durchaus. Solange ich genauso ohne Zusatzcode zahlen kann, sehe ich für mich als Kunden jedoch keinen Vorteil. Oder bekomme ich irgendwo Vergünstigungen, wenn ich 3-D Secure verwende?

[...] die fehlende Passwort-Absicherung von Kreditkarten [...war...] genau der Grund, warum ich die nur im Notfall einsetze.

Daran ändert sich ja vorerst nichts. Ein Gauner kann weiterhin ohne Passwort mit deiner Kreditkarte einkaufen.

Das geprüfte Passwort ist ein einigermaßen guter Beweis, dass der Karteninhaber selbst die Transaktion ausgeführt hat. Der Kunde kann einer Belastung dann nicht mehr einfach widersprechen indem er behauptet, ein Fremder hätte seine Kartendaten missbraucht.
>
Wer als rechtmäßiger Kartenbesitzer macht sowas?

Das macht entweder einer, der es sich hinterher anders überlegt, oder einer, der die Zahlung wirklich nicht selbst veranlasst hat.

Denn so eine Behauptung ist nur mit gleichzeitiger Sperrung der "verlorenen oder entwendeten" Karte glaubwürdig.

Künftig ist so eine Behauptung von vornherein nicht mehr glaubwürdig, wenn das Passwort geprüft wurde.

Dadurch kommt der Händler relativ sicher zu seinem Geld, weil die Banken unter diesen Voraussetzungen auf einen Teil der sonst nahezu unbegrenzten Storno-Möglichkeiten verzichten.
>
Eine Stornomöglichkeit ist was anderes als eine Schadensfreihaltung des Kunden bei Verlust oder Diebstahl und hat somit mit dem neuen Sicherheitsmerkmal nichts zu tun.

Das hat jede Menge mit dem (nicht mehr ganz so) neuen "Sicherheitsmerkmal" zu tun. Ein Versandhändler, der heute eine Kreditkartenzahlung einreicht, bekommt das Geld nur unter Vorbehalt; die Gutschrift kann recht einfach storniert werden, wenn der Kunde der Belastung widerspricht. Diese Stornomöglichkeiten fallen teilweise weg, wenn die Zahlung mit 3-D Secure bestätigt wurde.
Menü
[1.1.1] garfield antwortet auf Mobilfunk-Experte
25.08.2009 16:57
Benutzer Mobilfunk-Experte schrieb:
Meine Güte. Das ist nun mal so, dass sich ein neues Sicherheitsmerkmal erst allmählich durchsetzt. Natürlich ist das eine deutliche Verbesserung.

Für den Händler durchaus. Solange ich genauso ohne Zusatzcode zahlen kann, sehe ich für mich als Kunden jedoch keinen Vorteil. Oder bekomme ich irgendwo Vergünstigungen, wenn ich 3-D Secure verwende?
Ich schrieb bereits, dass ein neues Sicherheits nicht dadurch entwertet ist, nur weil es nicht schlagartig gleich überall verfügbar ist.

Daran ändert sich ja vorerst nichts. Ein Gauner kann weiterhin ohne Passwort mit deiner Kreditkarte einkaufen.
Aber nur bei der vermutlich schnell abnehmenden Zahl von Anbietern ohne das neue Merkmal Siehe eben.
Mit Deiner Argumentation wäre KEINE aufgerüstete Sicherheitsmaßnahme je IRGENDWO sinnvoll, denn sowas läßt sich nicht von heute auf morgen ÜBERALL implementieren.

Wer als rechtmäßiger Kartenbesitzer macht sowas?

Das macht entweder einer, der es sich hinterher anders überlegt, oder einer, der die Zahlung wirklich nicht selbst veranlasst hat.
Letzteres kann ja nur der Mißbrauch sein und tangiert eine kulante Stornoregelung nicht.
Das ist ja völlig in Ordnung und Sinn der Sache. Daran ändert auch die neue Sicherheitsmerkmal nichts, sofern das Passwort nicht auf der Karte steht.
Und wie ich ebenfalls schrieb, gibt es einen Unterschied zwischen Stornomöglichkeit für den Kunden (was unabhängig von Sicherheitsmerkmalen ist und eine Kulanz des Anbieters) und einer Schadensfreihaltung bei Diebstahl. Und in letzterem Falle kann der Dieb bei Anbietern, die das Merkmal bereits nutzen nichts anfangen.

Denn so eine Behauptung ist nur mit gleichzeitiger Sperrung der "verlorenen oder entwendeten" Karte glaubwürdig.

Künftig ist so eine Behauptung von vornherein nicht mehr glaubwürdig, wenn das Passwort geprüft wurde.
Richtig, denn ein Mißbrauch ist dann nur noch MIT Passwort möglich und wenn das nicht auf der Karte steht... (Beende den Satz selbst).

Eine Stornomöglichkeit ist was anderes als eine Schadensfreihaltung des Kunden bei Verlust oder Diebstahl und hat somit mit dem neuen Sicherheitsmerkmal nichts zu tun.

Das hat jede Menge mit dem (nicht mehr ganz so) neuen "Sicherheitsmerkmal" zu tun. Ein Versandhändler, der heute eine Kreditkartenzahlung einreicht, bekommt das Geld nur unter Vorbehalt; die Gutschrift kann recht einfach storniert werden, wenn der Kunde der Belastung widerspricht. Diese Stornomöglichkeiten fallen teilweise weg, wenn die Zahlung mit 3-D Secure bestätigt wurde.
Wer sagt das? Nochmal: das Einräumen einer Stornomöglichkeit hat doch nichts damit zu tun, wie der Einkauf abgesichert ist.
Ich kann im Mediamarkt bar oder mit ec-Karte zahlen - die nehmen den Artikel (sofern nicht beschädigt) in jedem Fall in den nächsten Tagen zurück. Im ersten Fall kriege ich das Geld ausgezahlt, im zweiten rücküberwiesen - beides bereits selbst erfahren.
Menü
[1.1.1.1] Mobilfunk-Experte antwortet auf garfield
25.08.2009 19:05
Benutzer garfield schrieb:

Benutzer Mobilfunk-Experte schrieb:
>
[...] Ein Gauner kann weiterhin ohne Passwort mit deiner Kreditkarte einkaufen.
>
Aber nur bei der vermutlich schnell abnehmenden Zahl von Anbietern ohne das neue Merkmal [...]

Die 3-D-Secure-Verfahren gibt es schon einige Jahre. So rasend schnell scheinen sie sich nicht durchzusetzen.

Mit Deiner Argumentation wäre KEINE aufgerüstete Sicherheitsmaßnahme je IRGENDWO sinnvoll, denn sowas läßt sich nicht von heute auf morgen ÜBERALL implementieren.

Solange man eine Sicherheitsmaßnahme ganz einfach und offensichtlich umgehen kann, ist ihr Nutzen jedenfalls eher gering.

Wer als rechtmäßiger Kartenbesitzer macht sowas?

Das macht entweder einer, der es sich hinterher anders überlegt, oder einer, der die Zahlung wirklich nicht selbst veranlasst hat.
>
Letzteres kann ja nur der Mißbrauch sein und tangiert eine kulante Stornoregelung nicht.

Die Stornoregelung ist vor allem deshalb so kulant, weil man dem Karteninhaber in aller Regel ohnehin nicht nachweisen kann, dass er es doch selbst war, der die Karte benutzt hat. Durch das 3-D-Secure-Passwort könnte sich das durchaus ändern.

[...] ein Mißbrauch ist dann nur noch MIT Passwort möglich und wenn das nicht auf der Karte steht... (Beende den Satz selbst).

...dann hat der Karteninhaber ein *ziemliches* Problem, wenn der unberechtigte Nutzer doch irgendwie an das Passwort gekommen ist.

Ein Versandhändler, der heute eine Kreditkartenzahlung einreicht, bekommt das Geld nur unter Vorbehalt; die Gutschrift kann recht einfach storniert werden, wenn der Kunde der Belastung widerspricht. Diese Stornomöglichkeiten fallen teilweise weg, wenn die Zahlung mit 3-D Secure bestätigt wurde.
>
Wer sagt das?

Mastercard:

| The authentication data, together with an authorization
| approval, gives the merchants a transaction that is
| guaranteed against the most common types of chargebacks
| - "cardholder not authorized" and "cardholder not
| recognized" chargebacks.

http://www.mastercard.com/us/merchant/pdf/SecureCode_Merchant_AUG2006_FINAL.pdf

Visa:

| Verified by Visa helps protect you from fraudulent claims
| from cardholders that they didn’t take part in, or
| authorise, a payment. Once you are up and running with
| Verified by Visa, you are no longer liable for chargebacks
| of this nature.

http://www.visaeurope.com/merchant/handlingvisapayments/cardnotpresent/verifiedbyvisa.jsp
Menü
[1.1.1.1.1] garfield antwortet auf Mobilfunk-Experte
25.08.2009 22:15
Benutzer Mobilfunk-Experte schrieb:
Die 3-D-Secure-Verfahren gibt es schon einige Jahre. So rasend schnell scheinen sie sich nicht durchzusetzen.

Nun, laut Beitrag scheinen die Sparkassen in Deutchland da sogar (erst) die ersten zu sein, die das hierzulande nutzen.
Aller Anfang ist schwer. Dieses zusätzliche Sicherheitsmerkmal scheint sogar wählbar zu sein, da sich der Sparkassenkunde dafür registrieren KANN. Alles was mehr Sicherheit im Zahlungsverkehr bringt, befürworte ich. Schade sogar, dass MEINE Bank das für die Kreditkarten nicht anbietet.

Solange man eine Sicherheitsmaßnahme ganz einfach und offensichtlich umgehen kann, ist ihr Nutzen jedenfalls eher gering.
Auch da liegt es am Kunden, der Internetshops auch DANACH auswählen kann, ob sie DIESES Sicherheitsmerkmal unterstützen. Ein klarer Punkt für die Betreiber, sich von der Konkurrenz abzuheben, würde ich meinen. Und damit schwinden die Schlupflöcher.

Letzteres kann ja nur der Mißbrauch sein und tangiert eine kulante Stornoregelung nicht.

Die Stornoregelung ist vor allem deshalb so kulant, weil man dem Karteninhaber in aller Regel ohnehin nicht nachweisen kann, dass er es doch selbst war, der die Karte benutzt hat. Durch das 3-D-Secure-Passwort könnte sich das durchaus ändern.
Hatten wir schon. Eine Stornoregelung hat nichts mit der berechtigten oder unberechtigten Nutzung der Karte zu tun. Übrigens gewährt nicht der Kartenemittent die Stornomöglichkeit, sondern ggf. der Händler. Der Emittent gewährt die einfache Rückbuchungsmöglichkeit bei Einspruch - eben bei Kartendiebstahl. Und wenn DIE durch das neue Sicherheitsmerkmal eingeschränkt wird, weil eben ein Dieb die Karte ohne Passwort (bei entsprechenden Shops) nicht nutzen kann, ist das akzeptabel.

[...] ein Mißbrauch ist dann nur noch MIT Passwort möglich und wenn das nicht auf der Karte steht... (Beende den Satz selbst).

...dann hat der Karteninhaber ein *ziemliches* Problem, wenn der unberechtigte Nutzer doch irgendwie an das Passwort gekommen ist.
Wie sollte er? Ist nicht anders als bei der ec-Karte mit PIN auch. Alles außer vorgehaltener Pistole ist Schuld des Kartenbesitzers.

Ein Versandhändler, der heute eine Kreditkartenzahlung einreicht, bekommt das Geld nur unter Vorbehalt; die Gutschrift kann recht einfach storniert werden, wenn der Kunde der Belastung widerspricht. Diese Stornomöglichkeiten fallen teilweise weg, wenn die Zahlung mit 3-D Secure bestätigt wurde.
>
Wer sagt das?

Mastercard:

| The authentication data, together with an authorization | approval, gives the merchants a transaction that is | guaranteed against the most common types of chargebacks | - "cardholder not authorized" and "cardholder not
| recognized" chargebacks.

http://www.mastercard.com/us/merchant/pdf/SecureCode_Merchant_A
UG2006_FINAL.pdf

Visa:

| Verified by Visa helps protect you from fraudulent claims | from cardholders that they didn’t take part in, or | authorise, a payment. Once you are up and running with | Verified by Visa, you are no longer liable for chargebacks | of this nature.

http://www.visaeurope.com/merchant/handlingvisapayments/cardnot
present/verifiedbyvisa.jsp

Sehr schön zitiert, nur steht da kein Wort drin, das eventuelle Stornoregelungen betrifft - geschweige denn, dass diese durch Nutzung dieses Sicherheitsmerkmals eingeschränkt werden, was Du oben behauptet hast.
Noch einmal: Du wirfst Stornoregelungen und Einsprüche gegen unberechtigte Kartennutzung durcheinander. Dass letztere durch das Sicherheitsmerkmal eingeschränkt werden könnten, ist akzeptabel, da wohl kein vernünftiger Mensch das Passwort auf die Karte schreibt. Ist mit ec-Zahlung auch nicht anders: Bei Zahlung per Unterschrift hat man gute Chancen, das Geld zurück zu bekommen (ist mir ebenfalls schon nach Diebstahl problemlos gelungen), bei Zahlung mit PIN sieht das wohl anders aus. Trotzdem mag ich gerade die Zahlung per Unterschrift nicht und schätze das sicherere Merkmal PIN. Das gleiche gilt für dieses neue Merkmal für die Kreditkarte.
Menü
[1.1.1.1.1.1] lagoon antwortet auf garfield
25.08.2009 22:42

einmal geändert am 25.08.2009 22:44
Benutzer garfield schrieb:
[...] ein Mißbrauch ist dann nur noch MIT Passwort möglich und wenn das nicht auf der Karte steht... (Beende den Satz selbst).

...dann hat der Karteninhaber ein *ziemliches* Problem, wenn der unberechtigte Nutzer doch irgendwie an das Passwort gekommen ist.
Wie sollte er? Ist nicht anders als bei der ec-Karte mit PIN auch. Alles außer vorgehaltener Pistole ist Schuld des Kartenbesitzers.
Das ist so nicht klar. Ich nehme stark an, dass wer die Karte mit PW akzeptiert, letzteres im Klartext vorliegen hat (das ist völlig anders als EC mit PIN!). Also kann auch das PW mit Kartennummer und ggf. CVC als Datensatz (unwissentlich oder vorsätzlich) weitergegeben werden. Wie sollte denn da, ähnlich dem PIN-System, eine verschlüsselte Kommunikation mit dem Kartenterminal möglich sein? Was nicht heißen soll, dass mit ensprechender krimineller Energie nicht auch das EC-PIN-System ausgehebelt bzw. angegriffen werden kann. Vorgehaltene Pistole ist da wohl das unwahrscheinlichste Szenario ...
Menü
[1.1.1.1.1.1.1] garfield antwortet auf lagoon
25.08.2009 23:54
Benutzer lagoon schrieb:
Das ist so nicht klar. Ich nehme stark an, dass wer die Karte mit PW akzeptiert, letzteres im Klartext vorliegen hat (das ist völlig anders als EC mit PIN!).
Allerdings. Dann müßte ja der Betreiber bei einer Online-Bestellung das Passwort sehen (was ja kein Problem wäre) und dies irgendwie mit der Sparkasse abgleichen.
Immerhin kann dies aber kein Dieb machen, denn selbst wenn er sich als Shopbetreiber ausgibt, kann er sich ja nicht irgend ein Passwort ausdenken und beim Kontakt mit der Sparkasse so lange raten, bis die Sparkasse sagt "ja, das ist es."
Dann wäre nur der Händler das Unsicherheitsrisiko. Aber selbst das ist weit besser als ohne Passwort.
Menü
[1.1.1.1.1.1.1.1] lagoon antwortet auf garfield
26.08.2009 18:30

einmal geändert am 26.08.2009 18:30
Benutzer garfield schrieb:
Dann wäre nur der Händler das Unsicherheitsrisiko. Aber selbst das ist weit besser als ohne Passwort.
Exakt so ist es. Wie es um die Datensicherheit bei manchen Internet-Shops bestellt ist, möchte ich lieber nicht genau wissen (vor dem Hintergrund, dass sensible Datensätze selbst bei großen Konzernen abhanden kommen können!). Wenn also meine Daten gestohlen werden oder veruntreut (auch fahrlässig) und die Bank mir im Zweifelsfall vorhält, die Buchung sei nicht anzweifelbar, weil unter Angabe des richtigen PW zustande gekommen - so wie bei EC mit PIN - habe ich einen echten Nachteil gegenüber dem alten Verfahren ... :-(
Menü
[1.1.1.1.1.1.1.1.1] garfield antwortet auf lagoon
26.08.2009 19:38
Benutzer lagoon schrieb:
Wie es um die Datensicherheit bei manchen Internet-Shops bestellt ist, möchte ich lieber nicht genau wissen (vor dem Hintergrund, dass sensible Datensätze selbst bei großen Konzernen abhanden kommen können!). Wenn also meine Daten gestohlen werden oder veruntreut (auch fahrlässig) und die Bank mir im Zweifelsfall vorhält, die Buchung sei nicht anzweifelbar, weil unter Angabe des richtigen PW zustande gekommen - so wie bei EC mit PIN - habe ich einen echten Nachteil gegenüber dem alten Verfahren ... :-(
Die absolute Sicherheit gibt es nirgends. Was ist wahrscheinlicher? Dass bei einem Internetshopbetreiber die Daten mißbraucht werden, oder dass ein Dieb, der eine Kreditkarte ohne separaten Passwortschutz findet, mit dieser einkaufen geht?

Übrigens ist bei einem Datenleck beim Shopbetreiber sowohl der Besitzer einer Kreditkarte ohne Passwort geliefert ist wie auch der einer Karte MIT Passwort. Denn ein erfolgreicher Hacker wird nicht nur eine Karte "nutzen".

Warum dann eigentlich eine PIN bei der ec-Karte? Am besten schaffen wir die gleich ab. Das kann es doch wohl nicht sein, oder?
Menü
[1.1.1.1.1.1.1.1.1.1] lagoon antwortet auf garfield
26.08.2009 20:22

einmal geändert am 26.08.2009 20:24
Benutzer garfield schrieb:
Die absolute Sicherheit gibt es nirgends. Was ist wahrscheinlicher? Dass bei einem Internetshopbetreiber die Daten mißbraucht werden, oder dass ein Dieb, der eine Kreditkarte ohne separaten Passwortschutz findet, mit dieser einkaufen geht?
Das ist so richtig. Aber es geht nicht um die Wahrscheinlichkeit, sondern was man im Ernstfall tun kann und mit welchen Chancen.
Übrigens ist bei einem Datenleck beim Shopbetreiber sowohl der Besitzer einer Kreditkarte ohne Passwort geliefert ist wie auch der einer Karte MIT Passwort. Denn ein erfolgreicher Hacker wird nicht nur eine Karte "nutzen".
Auch richtig - aber siehe oben.
Warum dann eigentlich eine PIN bei der ec-Karte? Am besten schaffen wir die gleich ab. Das kann es doch wohl nicht sein, oder?
Nein, so nicht! Es geht nur darum, dass das Mehr an Sicherheit bei Einsatz des Zusatz-PW nicht dazu führen darf, dass das Risiko deutlich stärker oder gar komplett auf den Kunden abgewälzt wird.

Klartext: wenn mir der Einwand, eine Zahlung sei nicht von mir initiiert und/oder autorisiert worden, allein durch das Argument entkräftet werden kann, das PW sei korrekt angegeben, will ich gern verzichten und finde die alte Regelung zwar grundsätzlich leichter missbrauchbar, aber wesentlich kundenfreundlicher. Entweder ich darf weiter so reklamieren wie bisher und man muss mir nachweisen, dass ich die Zahlung veranlasst habe oder ich verzichte gern auf das Zusatz-PW.
Menü
[2] Gar Kein Vorteil für den Kunden
fe rnwe h antwortet auf Mobilfunk-Experte
25.08.2009 21:15

2x geändert, zuletzt am 25.08.2009 21:17
denn es geht hier - ich weiss das begreift der Kunde=Schnäppchenjäger nicht - um verminderte Sicherheit und Geschäft und Betrug!
Mittels dieser Codes (CVC und "3D") ist der Karteninhaber quasi nicht mehr berechtigt, zu stornieren, was ihm belastet wird!
Der webship-Inhaber hat dann diese Daten, die er entweder mangels Sicherheitsvorkehrungen oder aus Gier weitergeben könnte, dann mit quasi 100% cash in.