Giropay ohne TAN bis 30 €, Girogo und kontaktlose Karte

Hallo,

nach langer Zeit der Abwesenheit in diesem Forum möchte ich einmal folgendes Thema zur Diskussion stellen.

"Giropay Überweisungen bis 30 € ohne TAN Eingabe."
Mit großer Verwunderung nahm ich dieser Tage zur Kenntnis, dass meine Sparkasse offenbar seit einigen Monaten das oben genannte Verfahren anbietet.

Still und leise wurde somit die Möglichkeit geschaffen, zu Lasten eines Girokontos, angestoßen durch Giropay, ohne den Einsatz eines "personalisierten Sicherheitsmerkmals" (Gemeint ist eine TAN) eine Überweisung zu generieren.
Ich finde das ganz und gar nicht in Ordnung, allein mit Legitimations ID und Passwort eine Überweisung zu ermöglichen.

Diese Daten können schließlich durch Keylogger (Trojaner per Drive by Download), Phishing und dergleichen gestohlen werden.

Meine sofortige Anfrage bei meiner Sparkasse ergab folgendes:

Das Verfahren ist obligatorisch, ich als Kontoinhaber kann weder die Funktion "30€ ohne TAN" noch die Giropay Nutzung als ganzes deaktivieren lassen.
Lediglich die Abmeldung von ChipTan oder mTan wäre möglich um das Konto von dem Verfahren auszunehmen.

Dies könnte ich dank meines HBCI Chipkarte Zugangs zwar tun, halte es aber für unverhältnismäßig.

In den Bedingungen für das Online Banking der Sparkasse (Punkt 4.1) finde ich keinen Passus der das neue Verfahren legitimieren würde.
Hier ist vielmehr von der obligatorischen Eingabe der TAN zur Erzeugung eines gültigen Überweisungsauftrages die Rede.

Ich möchte weiterhin ChipTan und Giropay nutzen, aber nur mit TAN Eingabe.
Wo kommen wir denn da hin, wenn heutzutage wieder Überweisungen ohne zweiten, unbestechlichen Faktor versendet werden?

Wie ist die Meinung des Forums?

kragenbär

Ich sehe diese "Vereinfachung" auch sehr kritisch. Allerdings wird man als Einzelner wenig Chancen haben, den Sparkassen-Apparat zu verändern.

Allerdings würde ich gegen Überweisungen, die nicht ich selbst veranlasst habe, rigoros vorgehen und die Wieder-Gutschrift verlangen. Die Sparkasse wird das letztendlich sicher bezahlen, da der ggf. entstehende öffentliche Wirbel in keinem Verhältnis zu den max. 30 Euro stehen wird (das ist bei dem Verfahren sicherlich von vorneherein eingepreist worden). Außerdem wird die Sparkasse sicher nicht nachweisen können, daß nicht ein Trojaner, Keylogger oder sonstwas beteiligt war. Allerdings sollte man ein "ich habe das nicht gemacht" nicht behaupten, wenn es nicht wirklich so ist. Denn es wird im Falle dieser Behauptung sicher nachgeprüft, wer den Betrag wofür erhalten hat. Und wenn es dann für irgend eine Bestellung war, die an Deine Adresse ausgeliefert wurde... dumme Sache, dann wäre das Betrug.

Wobei mich jetzt noch interessieren würde, wie es in Deinem speziellen Fall zu der Buchung ohne Dein Wissen gekommen ist. Wurde die wirklich von außerhalb für etwas mit dem Du garnichts zu tun hast veranlasst oder gab es jemanden - z.B. in der Familie - dem Du - unerlaubterweise - Deine PIN zur Verfügung gestellt hast?

ich habe den Post am Anfang nochmal geändert.

Meine Formulierung war mißverständlich. Es ist keine mißbräuchliche Überweisung geschehen.
Nur die Schaffung der Möglichkeit ohne TAN zu überweisen war gemeint.
Sorry,
Kragenbär

Ja, ich bin mir eigentlich recht sicher.

Nachfolgend die Mitteilung im Kontoauszug April 2016.



Hochinteressant finde ich auch, daß es die da genannte Adresse auf der neuen Website im Teletubbies-Style nicht mehr gibt und die Suche nach "girogo" zu keinem sinnvollen Ergebnis führt. Das Einzige, was da gelistet wird, ist ein älteres PDF mit girogo-Akzeptanzstellen im gesamten Landkreis. Was girogo ist - kein Wort darüber.

Ja. Aber in letzter Konsequenz war das eine Freischaltung für sowohl eine Aufladung als auch eine Bezahlung, ohne die Karte irgendwo reinstecken zu müssen. Allein durch "Nähe". Und das war mir für eine 87 jährige zu intransparent. Sie selbst wollte das übrigens auch, dass sowas nicht geht. Zumal die die Karte im Prinzip eh nur genutzt hat, um Kontoauszüge zu drucken. Achja, und neuerdings zur Abhebung "via Schalter". Man hat bei einem Umzug der Zentrale die Kassentresore am Schalter am neuem Standort eingespart. Der Kunde bringt den Wunsch nach Geld (samt Stückelung) am Schalter vor, die Bedienkraft bucht das auf die Karte (entweder auf die eigene Girocard oder auf eine temporäre "weiße Karte"). Mit der muß der Kunde dann an den Geldautomaten gehen, die Karte reinstecken und das Geld kommt ohne weitere Bedienung raus. Die eigene Karte kommt natürlich auch wieder raus, eine temporäre "weiße Karte" wird einbehalten.

Das hat BMW (und natürich andere KFZ-Hersteller) auch gesagt. Die Wirkichkeit schaut anders aus. Da sind es mit entsprechenden Antennen und Verstärkern eine ganze Anzahl von Metern.


Damit hast Du zweifellos recht. Ein BMW (der Klasse, in der derart moderne Technik verbaut ist) ist da ein anderes Kaliber als 30 EUR von der Girogo-Karte. Allerdings... wenn man es wieder auf die Masse bezieht (irgendwo wo entsprechender Publikumsverkehr herrscht eine entsprechende Antenne aufstellen und allen, die vorbeikommen die Daten von der Karte - so vorhanden - saugen) könnte vielleicht doch lurativ werden? Ganz freiwillig werden doch Sparkassen's und VR's die Umrüstung zum Deaktivieren nicht machen? Wär ja das erste Mal, daß man sowas macht, nur weil einige Kunden kalte Füße beommen. Sonst hieß das doch immer "is so, kann man nicht ändern, Sie können ja das Konto kündigen".

das ist "Verschwörungstheorie". Die Abschaltbarkeit war von Anfang an in der Diskussion der Fachleute, man kennt seine Kunden. Dazu gibt es auch Erfahrungen aus anderen Ländern, deshalb ist es auch früh in das Design aufgenommen worden, damit man das in Deutschland doch glücklicherweise wahrnehmbare Sicherheitsbedürfnis bedienen kann.
Gruß
Raimund

Also wenn das so einfach wie hier beschrieben gehen würde und ohne große Vorgaben über Hersteller und speziellen Typ für das Handy (klar, NFC muß das Handy naürlich dafür können) und den Mobilfunkanbieter im Prinzip jede kotaktlos operierende Karte hinterlegt werden kann, dann könnte das ja sogar mal was massentaugliches werden, was sich sehr schnell durchsetzen könnte? Und sowas von einer Bank? Gratuliere!!

Abbrechen - und das darf natürlich nicht passieren. UMSATZ UMSATZ

Aber Spaß beiseite. Warum brechen so viele Leute ab? Weil sie überfordert sind. Vieles ist recht kompliziert und vorallem ÜBERALL ANDERS. Das ist die Krux. Wenn ich mir meine Umgebung so anschaue, allein was Onlinebanking betrifft. Wenn die es mal für EINE Institutsgruppe begriffen haben, dann aber bei einem anderen Institut was machen müssen, dann wollen sie es instinktiv immer so machen wie bisher. Dass ein gleicher oder ähnlicher Vorgang bei einer anderen Institutsgruppe evtl. nach einer anderen Logik abläuft, sehr problematisch. So ist es mit den Kreditkartensicherheitsgeschichten auch.

Anderes Beispiel: Ich habe mein Handy gewechselt - also galt es, die pushTAN-Verbindungen zu übertragen. Ich hab drei verschiedene. DiBa, Sparkassen und VR-Lager.
Bei der DiBa ging es direkt, gut beschrieben, sofort durchführbar, direkt online abzuwickeln. Wunderbar.
Bei den Sparkassen ist es auch gut beschrieben, funktioniert auch problemlos, aber man muß auf einen Papierbrief warten. Die (ich hab ne gewisse Anzahl Sparkassen) waren allerdings am nächsten Tag ALLE da.
Problematisch ist es bei Fiducia. Der Vorgang ist nirgends ernsthaft beschrieben, man findet nichts, und auch die Banken selbst - auch die Onlinebankingspezialisten - wissen nicht wirklich, wie es geht und müssen dafür extra in Karlsruhe ein Ticket aufmachen. Die Probleme sind übrigens einheitlich bei einer Land-Raiffeisenbank und einer großen VR-Bank einer Großstadt. Rätsels Lösung: Bei Sparkassen's muß man den Prozeß im Onlinebanking beginnen, bei VR's in der App im neuen Handy. Anders gehts nicht, ist aber so auch nirgends klar beschrieben. Gleicher Vorgang, völlig anderer Ablauf.

Bei Kreditkartensicherungssystemen ist sowas noch problematischer, weil sich der Kunde beim Einkauf nicht erst damit vertraut machen mag, wie es denn nun gehen soll. Vielleicht brechen die Kunden ja auch nur deswegen ab, weil sie sich erst informieren müssen, wie es geht, und kommen dann später wieder? Aber man ist ja wohl mit diesen Apps, in denen eine Push-Nachricht kommt und man die Transaktion einfach bestätigen kann auf einem sehr guten Weg, würde ich sagen...

Hallo nochmal,

eine positive Nachricht wie ich meine...
Nach Rücksprache kann meine Sparkasse es nun doch veranlassen, dass mein Konto auf meinen Wunsch nicht am Giropay Verfahren ohne TAN teilnimmt.
Bei mir wird Giropay also, wie früher auch, ab sofort wieder unabhängig von der Kaufsumme immer mit TAN abgewickelt!
Offenbar ist zwischenzeitlich auch anderen Kunden unwohl bei dem Verfahren geworden...
Es lohnt sich also mit seinem Institut im Gespräch zu bleiben.

kragenbär