News Versandhändler: Notebooksbilliger.de warnt Kunden nach möglichem Datenabfluss

[Ranayna]

Und hier erfahre ich das es einfach so geht, nur mit der IBAN?

Du kannst unberechtigten Bankeinzug 13 Monate lang zurueckbuchen lassen.
Link zur Sparkasse, aber die Fristen sind gesetzlich geregelt:
https://www.sparkasse.de/pk/ratgeber/finanzplanung/banking-tipps/lastschrift-widerrufen.html

Unberechtigt einzuziehen kann auch als Straftat gewertet werden.
https://www.juraforum.de/lexikon/abbuchung-trotz-widerruf-einzugsermaechtigung-strafbar

Daraus folgt, dass man seine Kontobewegungen regelmaessig ueberpruefen sollte.
Das ist aber nichts neues, dieser Umstand exisitiert quasi seitdem es den direkten Bankeinzug gibt.

 

[Whistl0r]

Schau dir mal Passkeys an. Man kann meist pro Zugang so viele Passkeys erstellen wie man will, falls man sein Gerät verliert. Sie sind nicht phishbar und nicht hackbar.

Genau. Das Problem ist aber, dass man das auch muss! Denn was ist, wenn mein Passkey warum auch immer nicht mehr funktioniert (kaputt/verloren)? Habe ich dann in dem Account keinen zweiten Passkey hinterlegt, sollte es das gewesen sein. Als 2FA via TOTP aufkam musste man ja meistens auch eine Liste an 10 Backup-Codes erstellen und speichern...

Passkeys sind für mich der absolute Müll und ich rate jedem dringend ab diese Sache nicht zu nutzen. Wenn alles eingerichtet ist usw. mag das von der Usability her eine nette Sache sein. Aber sobald das Gerät (meistens ein Smartphone) dann einmal nicht mehr funktioniert, setzt das Erwachen ein. Denn ganz ehrlich: Wenn ich das mit den Passkeys usw. ernst nehme, dann habe ich ja nicht permanent zwei Passkeys bei mir. Mein zweiter Passkey ist dann an einem sicheren Ort. Aber es ist nicht praxisnah zu erwarten, dass man bei der Registrierung dann auch gleich zwei Passkeys hinterlegt. Die Gefahr ist also sehr groß, dass es bei einem Gerät bleibt mit entsprechenden Folgen beim Verlust...

Auch finde ich es sehr fragwürdig, dass die Passkeys einmal als physische Devices gestartet sind, die sich nicht kopieren lassen. Das war Teil der Idee. Wenn diese Keys jetzt aber nur noch emuliert werden und Apple/Google diese bei Wiederherstellung eines Devices aus der Cloud einfach auf das Ersatz-Gerät kopieren, dann bricht da eine essentielle Idee hinter Passkey weg. Gleichzeitig sollte es auch dem letzten klarmachen: Somit muss es auch möglich sein, dass wenn Dritte Zugriff bekommen, sie sich einfach 'nen Passkey kopieren können. Denn wenn Apple/Google das technisch können, dann ist das eben prinzipiell technisch möglich.

 

[Muntermacher]

Der einzige Kauf ist 6 Jahre her. Und hier,eurde klar, wie gut es ist bei soetwas mit KK zu zahlen. Dir läßt sich leichter tauschen als eine Bankverbindung.

 

[Whistl0r]

Die Kreditkarte wäre doch eh schon längst abgelaufen.

In allen Artikeln die man dazu liest, ist vor allem die Rede von "Lastschriftgefahr". Seit mind. Juli kann man dort aber nicht per Lastschrift bezahlen. Weiß jemand genaueres, wie die eigene Kontoverbindung bei NBB landen kann?

Retouren/Erstattungen kann es auch nicht sein, weil diese per Gesetz auf dem ursprünglichen Zahlungsweg erstattet werden müssen um Geldwäsche vorzubeugen.

 

[Zhenwu]

Du kannst unberechtigten Bankeinzug 13 Monate lang zurueckbuchen lassen.
Link zur Sparkasse, aber die Fristen sind gesetzlich geregelt:

Du hast mich wohl falsch verstanden.
Wenn ein Kunde von mir möchte das ich meine Rechnungen einziehe muss ich Formular ausgefüllt werden, das der Kunde unterschrieben hat. Das reiche ich bei der Bank ein und erst dann kann ich abbuchen.

Es sollte also gar nicht erst möglich sein das ich ohne Erlaubnis von Konto XY abbuche.
Aber das könnte eventuell auch an meiner Bank liegen.

Aber egal, wenn ich die Kriminelle Energie hätte, würde ich das Geld sicherlich nicht 13 Monate auf dem Konto liegen lassen so das, dass Opfer es gar nicht erst zurückholen kann.

 

[Ranayna]

Aber das könnte eventuell auch an meiner Bank liegen.

Da gehe ich von aus. Die Bank will sich natuerlich vor Rueckbuchungen schuetzen.
Denn so wie ein schnelles Googlen ermittelt, tritt erstmal die Bank fuer das Geld ein. Das Opfer des unberechtigten Einzuges bekommt sein Geld also auf alle Faelle zurueck.
https://www.fachanwalt.de/ratgeber/was-ist-eine-lastschrift-und-wann-kann-man-diese-zurueckgeben

Und die Bank schuetzt mit dieser Buerokratie indirekt auch dich selber, denn wie gesagt, unberechtigte Bankeinzuege sind potenziell strafbar.

 

[LiquidMetalBear]

Bei mir kam auch keine Mail betrifft wohl nicht alle.

 

[Creeping.Death]

In allen Artikeln die man dazu liest, ist vor allem die Rede von "Lastschriftgefahr". Seit mind. Juli kann man dort aber nicht per Lastschrift bezahlen. Weiß jemand genaueres, wie die eigene Kontoverbindung bei NBB landen kann?

Na wie wird die Kontoverbindung dort wohl landen? In dem du sie für eine Zahlung hinterlegt hast.

Mal abgesehen davon, dass es derzeit noch keine offizielle Meldung zu dem Vorfall gibt, weiß ja auch niemand wann der Zugriff stattgefunden hat. Nur weil es jetzt erst die Runde macht, bedeutet nicht, dass das nicht schon vor längerer Zeit passiert ist.

Die Kreditkarte wäre doch eh schon längst abgelaufen.

Warum das?
Eine Kreditkarte ist ab Ausstellung meist vier Jahre gültig. Würden die Kreditkartendaten samt CVV irgendwo abliegen (was eigentlich nicht sein darf), könnte erst mal jeder der die Daten in die Hände bekommt einkaufen. VISA Secure (oder vergleichbare Sicherheitsmethoden) kommen ja nicht immer zur Anwendung.

 

[Whistl0r]

Na wie wird die Kontoverbindung dort wohl landen? In dem du sie für eine Zahlung hinterlegt hast.

Aber genau darauf zielt meine Frage ab: NBB bietet selbst keine Zahlung via Lastschrift an. Zumindest nicht im Onlineshop.

Warum das?
Eine Kreditkarte ist ab Ausstellung meist vier Jahre gültig. Würden die Kreditkartendaten samt CVV irgendwo abliegen (was eigentlich nicht sein darf), könnte erst mal jeder der die Daten in die Hände bekommt einkaufen. VISA Secure (oder vergleichbare Sicherheitsmethoden) kommen ja nicht immer zur Anwendung.

Aber @Muntermacher sprach davon, dass sein Kauf 6 Jahre her ist.

 

[NoNameNoHonor]

@bubu89
Ja und? Die beiden Sachen haben nichts miteinander zu tun.
2FA ist ein wirksamer Schutz, damit nicht jemand der dein PW erlangt hat damit Unsinn machen kann.

Klar, 2FA schützt vor Passwort-Klau auf jeden Fall besser, als wenn man kein 2FA nutzt.
Der Punkt ist halt, dass der Händler auch Sorge tragen muss, dass die aufbewahrten Kundendaten geschützt sind. Verschlüsselung für die abgelegten Daten wäre bspw. eine Maßnahme, gesetzt der Fall das Key-Management ist professionell. Aber ich würde auch sagen, Sicherheitsmaßnahmen beim Kunden sind ja schön und gut, aber der Händler muss eben auch welche haben.

 

[Arboster]

@NoNameNoHonor
Richtig, und die 2FA von NBB ist auch nicht so toll.
Aber bubu meinte ja was anderes. So alla: Toll, trotz 2FA trotzdem Daten weg, und da besteht halt kein Zusammenhang.

 

[Creeping.Death]

Aber genau darauf zielt meine Frage ab: NBB bietet selbst keine Zahlung via Lastschrift an. Zumindest nicht im Onlineshop.

Quelle

 

[Robert.]

Gewisse steuerliche Aufbewahrungsfristen im Rahmen von Kaufverträgen sind Dir ein Begriff? Offenbar nicht. Was manchmal für Unsinn rausgehauen wird...

Ich habe WAHNSINIG hohe Anforderungen für solche Daten zu erfüllen.
Und die Firma verliert sie einfach oder lässt sie sich stehlen.
Darum verklagen.

 

[Cool Master]

Weder mit der Firma noch Privat eine Mail bekommen.

 

[Dalek]

Der Punkt ist halt, dass der Händler auch Sorge tragen muss, dass die aufbewahrten Kundendaten geschützt sind. Verschlüsselung für die abgelegten Daten wäre bspw. eine Maßnahme, gesetzt der Fall das Key-Management ist professionell.

Ist halt meistens unrealistisch, wenn es um Daten geht die das System auch braucht. Wenn die Anwendung die Daten entschlüsseln kann, dann kann es auch ein Angreifer der Zugriff auf das System erlangt.

Verschlüsselung hilft, wenn jemand die Festplatte aus dem Rechner klaut. Oder etwas wahrscheinlicher, damit keine Daten rausgehen können wenn jemand den Server außer Betrieb nimmt und die Platten dann irgendwo anders landen.

 

[NoNameNoHonor]

@Dalek Nein, Du kannst auch erst zur Laufzeit entschlüsseln, und das Key-Management so gestalten, dass Schlüssel nicht am gleichen Ort gespeichert sind, sondern bspw. von einem Zertifikatsserver geladen werden.
Es gibt nicht nur Dateien und sonst nichts. Und an den Festplattenklau habe ich dabei gar nicht gedacht.

 

[Dalek]

Nein, Du kannst auch erst zur Laufzeit entschlüsseln, und das Key-Management so gestalten, dass Schlüssel nicht am gleichen Ort gespeichert sind, sondern bspw. von einem Zertifikatsserver geladen werden.

Die Daten auf einem komplett anderen System zu lagern kann deutlich mehr Sicherheit bieten, wenn dieses System entsprechend abgeschottet und restriktiv ist. Aber dazu brauche ich keine Verschlüsselung.

Wenn der Angreifer die Kontrolle über den Server erlangt hat, dann hat er auch Zugriff auf das System mit dem der Schlüssel für die Kontodaten erreichbar ist. Egal ob das jetzt ein HSM ist oder sowas, der Angreifer kann dann auch diese Daten entschlüsseln.

Wenn die Kontodaten auf einem anderen Server liegen, dann könnte man immerhin noch mit rate limits und ähnlichem den Schaden begrenzen.

 

[Der Puritaner]

Die wichtigste Frage: Wie viel Schadensersatz wegen des Datenlecks bietet Notebooksbilliger.de jedem betroffenen Kunden freiwillig an?

Die frage ist wohl mal berechtigt!
Soviel wie alle anderen auch, frage doch spaßeshalber mal irgendeinen Saftladen an der in den Letzten 12 Monaten seine Daten verloren hat.
Man müsste wahrscheinlich Klagen um den Verkäufern mal richtig Angst zu machen, damit die Firmen mal in die Hufe kommen und ihre Daten die sie von uns erhalten auch dementsprechend Schützen!

Ich denke momentan sogar darüber nach allen Firmen einfach das vertrauen zu entziehen und meine Kunden Konten aufzulösen Hardware gibt es Momentan sowieso nicht zu kaufen, oder nur zu absoluten Mondpreisen, und falls dann doch kann ich mich ja auch neu anmelden.

 

[Plonktroll]

Ich bestell schon lange nix mehr bei solchen Firmen der Typ vor Ort ist mir lieber.

 

[Rubyurek]

Eigentlich könnte man meinen, wegen DSGVO hätten sie das inaktive Konto längst mal löschen müssen.

Ich glaube das nimmt so gar keine Firma ernst. Warum auch immer..