Kontaktloses Bezahlen ohne Pin: 50-Euro-Limit von Visa wurde geknackt

@Annettekrum: auch bei mehreren Karten mit NFC Funktion funktioniert das auslesen einer Karte aufgrund der Protokolle ohne Probleme.

Siehe z.B. hier: https://www.youtube.com/watch?v=2Gl4xtHcAYY

@0711:
Ich kenne das auch nur so, dass die Banken erst in Haftung nach der Meldung kommen. Vorher haftest du vollumfänglich selber.

@0711: Die persönliche Haftung durch Kreditkartenmissbrauch ist seit Januar 2018 gesetzlich auf insgesamt 50€ begrenzt, sofern keine grobe Fahrlässigkeit vorlag. Daher ist es vollkommen unerheblich, wenn einem irgendwelche AGBs versuchen die Haftung für die Transaktionen bis zur Sperrung aufzudrücken.
Selbst im worst case, wenn die Bank dir eine Haftung zuschieben will, ist diese gesetzlich auf 50€ begrenzt, da kann die Bank sagen was sie will. Notfalls gehst du damit eben zum Anwalt.

Und auch diese 50€ gelten nur für den Fall, dass du es nicht sofort gemeldet hast, sondern dir damit zu viel Zeit gelasssen hast, siehe (2) 1. in der unten zitierten Quelle.
Und wenn der Händler/Kassierer nicht ausreichend dem Betrug vorgebeugt hat, gilt (4). Das erschlägt nehme ich mal an auch den Fall eines geklauten oder mit falschen Daten registrierten Terminals.

Paragraph 675v BGB:
https://www.gesetze-im-internet.de/bgb/__675v.html

(1) Beruhen nicht autorisierte Zahlungsvorgänge auf der Nutzung eines verloren gegangenen, gestohlenen oder sonst abhandengekommenen Zahlungsinstruments oder auf der sonstigen missbräuchlichen Verwendung eines Zahlungsinstruments, so kann der Zahlungsdienstleister des Zahlers von diesem den Ersatz des hierdurch entstandenen Schadens bis zu einem Betrag von 50 Euro verlangen.

(2) Der Zahler haftet nicht nach Absatz 1, wenn

1.
es ihm nicht möglich gewesen ist, den Verlust, den Diebstahl, das Abhandenkommen oder eine sonstige missbräuchliche Verwendung des Zahlungsinstruments vor dem nicht autorisierten Zahlungsvorgang zu bemerken, oder
2.
der Verlust des Zahlungsinstruments durch einen Angestellten, einen Agenten, eine Zweigniederlassung eines Zahlungsdienstleisters oder eine sonstige Stelle, an die Tätigkeiten des Zahlungsdienstleisters ausgelagert wurden, verursacht worden ist.

[...]

(4) Abweichend von den Absätzen 1 und 3 ist der Zahler seinem Zahlungsdienstleister nicht zum Schadensersatz verpflichtet, wenn

1.
der Zahlungsdienstleister des Zahlers eine starke Kundenauthentifizierung im Sinne des § 1 Absatz 24 des Zahlungsdiensteaufsichtsgesetzes nicht verlangt oder
2.
der Zahlungsempfänger oder sein Zahlungsdienstleister eine starke Kundenauthentifizierung im Sinne des § 1 Absatz 24 des Zahlungsdiensteaufsichtsgesetzes nicht akzeptiert.

@JTRch: Was zutiefst illegal wäre nach §675v BGB. Wenn die Bank darauf besteht, am besten direkt zum Anwalt. Siehe [re:2] von mir direkt hierüber.

Wenn die Bank da ungünstigere Haftungsbedingungen in ihren AGBs formuliert, ist das schlicht unseriös. Das Gesetz ist jedoch recht eindeutig und einer der Gründe, warum Kreditkarten mit zu den sichersten Zahlungsmitteln zählen.

@0711: Und hier z.B. der entsprechende Abschnitt aus den AGB der comdirect, der korrekt formuliert ist:

"Kommt es vor der Sperranzeige zu einer nicht autorisierten Verfü­gung und hat der Karteninhaber in betrügerischer Absicht gehandelt oder seine Sorgfaltspflichten nach diesen Bedingungen vorsätzlich oder grob fahrlässig verletzt, trägt der Karteninhaber den hierdurch entstan­denen Schaden in vollem Umfang. Grobe Fahrlässigkeit des Karteninha­bers kann insbesondere dann vorliegen, wenn
• er den Verlust oder den Diebstahl der Karte oder die missbräuchliche Verfügung der comdirect bank AG oder der Visa­Repräsentanz schuld­haft nicht unverzüglich mitgeteilt hat, nachdem er hiervon Kenntnis erlangt hat,
• die persönliche Geheimzahl auf der Karte vermerkt oder zusammen mit der Karte verwahrt war (zum Beispiel im Originalbrief, in dem sie dem Karten inhaber mitgeteilt wurde),
• die persönliche Geheimzahl einer anderen Person mitgeteilt und der Missbrauch dadurch verursacht wurde."

Das ist eigtl. sehr eindeutig formuliert. Bei nicht autorisierten Verfügungen VOR der Sperranzeige hat der Karteninhaber die Haftung, wenn er in BETRÜGERISCHER ABSICHT oder GROB FAHRLÄSSIG gehandelt hat.

@mh0001: "sofern keine grobe Fahrlässigkeit vorlag."
Genau das ist doch das Problem bei der Sache hier, die PIN kann eigentlich fast nur durch Fahrlässigkeit an dritte gelangen...das ist im wesentlich auch das was in den Bedingungen der DKB steht

Hier noch wie gerichte das aktuell handhaben
https://www.haufe.de/steuern/rechtsprechung/diebstahl-und-verlust-der-ec-karte-wer-kommt-fuer-den-schaden-au_166_74004.html

@0711: Aber es ging ja hier eigtl. im Wesentlichen um die Szenarien, die ohne Mitwirkung des Karteninhabers auskämen, nämlich a) Diebstahl der Karte und der Dieb nutzt dieses Gerät, um eben ohne PIN das Zahlungslimit zu umgehen, oder b) heimliches Abbuchen mit diesem Gerät im Vorbeigehen.

In beiden Fällen ist grobe Fahrlässigkeit des Karteninhabers ausgeschlossen, wenn man es sofort meldet sobald es auffällt.

@mh0001: Nun die Problematik sehe ich vor allem darin dass die Zahlung hoher Beträge ohne PIN seither als ausgeschlossen galt, sprich man durfte von Gerichtswegen davon ausgehen wenn es um ein Szenario geht bei dem man eigentlich eine PIN benötigt diese fahrlässig in die Hände dritter gelangte. Und da ist auch im Falle eines Diebstahls der Karte Fahrlässigkeit unterstellt (siehe haufe link) wenn hier Zeitnah etwas "bezahlt" wird wo eigentlich eine PIN Abfrage im Spiel sein sollte.
Hier detailierter https://winfuture.de/comments/thread/#3347968,3347980

Die Bekanntmachung dieser Lücke ändert hier vermutlich die Sichtweise/Erfolgschancen vor gericht aber genau das ist die zugrundeliegende Problematik an der Lücke.

@mh0001: Mit der Apple Watch kann ich nach dem zweimaligen Drücken der Seitentaste jeden Betrag bezahlen. Die Apple Watch ist authentifiziert, da ich sie angelegt und mit dem entsprechenden PIN oder dem iPhone entsperrt habe. Sobald ich sie ablege, sperrt sie sich sofort von selbst und lässt keine Zahlungen mehr zu.

@TobiasH: Ich habe mein iPhone immer dabei ... und leer ist es den Tag über noch nie geworden. Also für meinen persönlichen Fall ein nicht zutreffendes konstruiertes Problem.
Zahle sowieso mit der Watch, die muss ich nirgendswo raussuchen und immer einsatzbereit und damit handlicher als jede dumme Plastikkarte. :P

@TobiasH: Weil du dein Handy für viel mehr benutzt als nur zum zahlen. Du bist sowieso drauf angewiesen, den Akku zu laden. Ansonsten brauchst du gar kein Handy und die Diskussion ist dann eh erledigt.

@Gast87878: ich nutze mein Handy zur Unterhaltung unterwegs, bspw Musik hören, News lesen usw. nur weil ich nicht auf das Handy angewiesen bin, muss ich ja nicht gleich drauf verzichten.. Du hast ja bestimmt auch einen Fernseher, den du zur Unterhaltung nutzt und nicht weil du darauf angewiesen bist..

@nicknicknick: Es war der Geldkarten-Standard mit dem entsprechenden Logo. Auch die normale Geldkarte ist mittlerweile NFC fähig und wird unter dem Namen "girogo" beworben.

@floerido: Ich glaube, da verwechselst du etwas. Girogo ist eine NFC-Erweiterung der Girocard (früher: EC-Karte). Geldkarte war ein System (IMO mittlerweile von keiner Bank mehr unterstützt und auch aus den Zigaretten- und Briefmarkenautomaten entfernt) welches Kleingeld ersetzen sollte. Ist aber auch verwirrend, da das in der EC-Karte integriert war.

@nicknicknick: Es ist eine Erweiterung der Geldkarte. Von der girogo-Webseite: "Finden Sie neben dem girogo-Logo auch ein GeldKarte-Logo auf Ihrer Karte, können Sie aus dem gleichen geladenen Guthaben bezahlen."

Besonders nervig ist das, wenn die Bankkarte mehrere Standards unterstützt und das Terminal auch. Hier muss man dann entsprechend immer wählen.

@floerido: Maximal verwirrend. Gibt es denn noch Banken, die Geldkarten ausgeben? Ich kenne jedenfalls keine, genausowenig wie Akzeptanzstellen. Ist ja auch irgendwie redundant, da die Girocard mit Girogo die gleiche Funktion anbietet, allerdings auch unter dem Akzeptanzstellenproblem leidet und dazu noch auf Deutschland beschränkt ist.

@0711: Die Pin wird doch garnicht benötigt.

@0711: Das ist nur ein Baustein von mehreren. Bei NFC Zahlungen ist ganz klar, wer der Empfänger ist und dieser Empfänger muss bekannt sein. Der muss mir dann schon er klären, für was er das Geld bekommen hat. Man ist da abgesichert. Aber der deutsche ist für Angst ja ziemlich empfänglich.

@FatEric: Der Empfänger ist bei Kreditkartenbetrügern häufig ein reguläres Geschäft das teure Technik verkauft. Der kann dir das schon sagen wofür das Geld geflossen ist.

@Cosmic7110: Das Weise mal der Bank nach wenn da Geld oberhalb der "Freigrenze" geflossen ist.

@Cosmic7110: Wenn jemand anderes deine PIN hat, dann hast du fahrlässig gehandelt. Die Bnak muss dir nicht zwingend nachweisen dass du die Zahlung getätigt hast, sie muss dir nur Fahrlässigkeit nachweisen um aus der Haftung zu sein.
Auch Zahlungen ohne PIN haben eine entsprechende Autorisierung, die lässt sich meines Wissens auch nicht von einer mit PIN unterscheiden

@Cosmic7110: Weil genau dass, das Problem ist weise ich dich zum dritten mal darauf hin. Betrag über Freibetrag -> Bank nimmt an dass da eine PIN Abfrage ist weil ihr System ja als sicher gilt (übrigens nimmt auch das Bezahlterminal an dass die zusätzliche Verifizierung stattgefunden hat)

@0711: JAAA und dann muss ich trotzdem vor Ort gewesen sein...

@Cosmic7110: Wie schon geschrieben, nein denn man geht davon aus dass dem Bösewicht (oder dem Bekannten) die PIN von dir ausgehändigt wurde...wie sollte er sonst an die PIN kommen?

@0711: Ich gebs auf, ich weiß nicht was für Gedankenschrauben du da drehst aber ich blick da nicht durch.

Ich geb meinen Pin nicht raus, wenn den jemand hat braucht er keine Lücken im System nutzen sondern gibt ihn einfach ein. Wenn Visa nicht in der Lage ist zwischen PIN und NFC Autorisierung zu unterscheiden ist das erstmal ihr Problem und nicht meins.

@0711: Warum nicht gleich so...

Wäre theoretisch möglich, gibt es vergleichbare Fälle wo es so gehandhabt wurde oder muss dir Bank dir erstmal nachweisen, dass du mit dem PIN nicht sorgsam umgegangen bist?

Zumal am Ende immernoch die Karte benötigt wird.

@Cosmic7110: Zumindest bei der Girocard ist das schon so abgelaufen https://www.kostenloses-konto.net/zeitnahe-barabhebung-mit-gestohlener-ec-karte.html
Da die dahinterstehenden Banken ja grundsätzlich mal dieselben sind denke ich dass auch deren verhalten bei einer Kreditkarte in so einem fall nicht davon abweicht.

Laut den Forschern gibt's es ja auch die Variante, "man ist in der nähe"

Und grundsätzlich lassen sich karten auch kopieren, inwieweit das auch für die nfc Funktion gilt weiß ich nicht
https://www.golem.de/news/security-auch-kreditkarten-mit-chip-und-pin-koennen-kopiert-werden-1601-118685.html
Skimming an Supermarktkassen oder Baumärkten wird durchaus auch hierzulande betrieben (z.B. https://www.haz.de/Hannover/Aus-der-Stadt/Uebersicht/Betrueger-pluendern-Konten-von-140-Baumarktkunden-in-Hannover ), das muss also der kunde oder Händler gar nicht direkt mitbekommen

@0711: Nun gibt es mit dem hier beschriebenen Verfahren (der Artikel da oben) Aber Grund zur Annahme, dass der Fehler nicht beim Kunden lag und somit dürfte man absolute Klarheit wohl erst nach dem ersten Präzedenzfall erhalten.

@Cosmic7110: Ja zum Glück gibt es diesen Artikel bzw den Fund der Forscher der einem eine gewisse handhabe gibt. Etwas sorge bereitet mir aber die Haltung von Visa die ja mehr oder minder sagt "wird den normalen kunden nicht treffen", wenn sich dieser Einschätzung auch die Banken anschließen ists halt n mühsamer und eventuell teurer weg über die Gerichte um zu seinem recht zu kommen.

@fazeless: Handy ist immer griffbereit und die Kartensuche lästig und langwierig. Mein einziges Problem ist, dass die NFC-Schnittstelle immer nur standardmäßig von einem Dienst belegt ist. Wenn ich mit einer anderen Karte zahlen möchte, muß ich dies immer erst umständlich in den Einstelllungen (Android) ändern, hier wäre eine Auswahl besser.