News Versandhändler: Notebooksbilliger.de warnt Kunden nach möglichem Datenabfluss

[RAMSoße]

@Thomrock

selbige Mail habe ich auch vor ein paar Tagen erhalten. Momentan bin ich nicht daheim und es ärgert mich etwas, das ich aktuell meine Kontobewegungen überwachen muss. Gut aber, dass man Abbuchungen recht lange rückgängig machen kann. Dennoch sind die Daten nun im "Darknet" und werden da wohl nie wieder verschwinden...

Müsste man nicht eigentlich das Konto wechseln?

 

[Pokerclock]

Mit einer IBAN kann man eigentlich kaum mehr machen als SEPA-Lastschriften einzurichten. Dafür braucht man aber einen entsprechenden Dienstleister (GoCardless etc.) sowie weitere Daten vom Kunden.

Und was sollte der Kunde machen, wenn er nicht zuordenbare Abbuchungen sieht? Einfach zurückbuchen lassen. In mancher Banken-App ist das ein Schaltfläche direkt neben dem Geldbetrag!

Es gibt keine Zahlungsweise für Händler, die unsicherer ist und Betrug (auf beiden Seiten) mehr begünstigt als die SEPA-Lastschrift. So mancher "Kunde" , der kurz vor den Privatinsolvenz steht oder generell das Konzept des Missbrauchs von Verbraucherrechten fährt, besorgt sich auf die Weise immer schön Zahlungsaufschübe. Wir oft bin ich schon alleine gefragt worden (als ich Idiot die SEPA-Lastschrift noch angeboten haben) diese doch bitte zum 3. des Monats einzurichten und nicht zum 27.

 

[celica1986]

Habe meine Daten vor gut 2 Jahren löschen lassen, darauf hin kam ein Tikket was aber wohl wahrscheinlich nie bearbeitet worden ist. Trotzdem sind meine Daten nun weiter gegeben worden.

Seit Tagen kriege ich nun Anrufe von Ungekannt wo angeblich eine Zahlung per PayPal nicht funktioniert haben soll. Ich solle die 1 drücken für einen Kundenberater...

Datenpanne kann natürlich passieren aber sowas ist einfach 💩

 

[EDV-Leiter]

Ich habe ein Konto, aber keine Mail bekommen. Bankdaten werden grundsätzlich nur noch bei Zahlungsdienstleistern hinterlegt und diese dann wann immer möglich zum Bezahlen genutzt. Ich habe keine Lust darauf, Bank- oder Kreditkartendaten an irgendwelche Shopbetreiber weiterzugeben oder SEPA Mandate zu erteilen. Ausnahmen sind natürlich Strom, Telefon, Verkehrsverbund/Fahrkartenabo, da geht es leider nicht anders.

Ich benutze mittlerweile überall lange, zufallsgenerierte Passwörter und einen Passwordmanager.
Wenn nicht wieder irgendeine schlechte Geräte- oder Shopsoftware sagt: "ungültige Zeichen im Passwort" oder, wie scho bei einer Bank (!) erlebt: Passwort zu lang, maximal 10 Zeichen erlaubt.
Ausnahme sind Passwörter, die regelmäßig über eine Bildschirmtastatur oder, noch schlimmer, Fernbedienung eingegeben werden.

 

[xexex]

Ich habe da jetzt keine Aufzeichnungen darüber geführt, aber ich meine auch, dass ich die Meldung schon bei unterschiedlichen Beträgen bekommen und auch nicht bekommen habe. Am Ende ist es vermutlich eine Konstellation aus Betrag und ob man bei Händler X bereits gezahlt hat.

Nicht ganz...

Die EU-Zahlungsdiensterichtlinie erlaubt Ausnahmen, doch die Bank entscheidet, ob Sie diese zulässt. In der Regel müssen Sie nicht bei jedem Kauf die Authentifizierung durchführen. Händler, bei denen Sie häufig einkaufen, können Sie auf eine Whitelist setzen, die von der Bank verwaltet wird. Da diese gelisteten Händler als vertrauenswürdig gelten, kann der Kauf auch ohne Authentifizierung abgeschlossen werden.

Auf das Verfahren kann auch verzichtet werden, wenn die Bank von einer Transaktion mit geringem Betrugsrisiko ausgeht und der Betrag nicht höher als 500 Euro ist.

https://www.datenschutz.org/2-faktor-authentifizierung-kreditkarte/

Die Bank entscheidet, weil sie die Risiken trägt. Jeder Kreditkartenzahlung lässt sich mit einer Frist von 120 Tagen zurückbuchen. Den dabei möglicherweise entstandenen Schaden trägt die Bank, wenn das 3D Secure Verfahren nicht angewendet wurde.

Bei Zahlungen wo das Verfahren angewendet wurde und man selbst nochmal die Gültigkeit bestätigt hat, kann sich die Bank hingegen querstellen.

Auch wenn das im Hintergrund passiert und manche es vielleicht noch nicht mitbekommen haben, die Banken selbst besitzen diverse Sicherheitssysteme um ihre Zahlungen und Karten abzusichern. Wenn man ein VPN benutzt und plötzlich eine Zahlung in einem anderen Land anstösst oder Zahlungen über eine Webseite angeschoben werden denen die Bank nicht traut, kann es schnell zu einer kompletten Sperrung kommen.

 

[Christock]

Habe meine Daten vor gut 2 Jahren löschen lassen, darauf hin kam ein Tikket was aber wohl wahrscheinlich nie bearbeitet worden ist. Trotzdem sind meine Daten nun weiter gegeben worden.

Seit Tagen kriege ich nun Anrufe von Ungekannt wo angeblich eine Zahlung per PayPal nicht funktioniert haben soll. Ich solle die 1 drücken für einen Kundenberater...

Datenpanne kann natürlich passieren aber sowas ist einfach 💩

Hier wird Art. 82 DSGVO einschlägig:

"(1) Jede Person, der wegen eines Verstoßes gegen diese Verordnung ein materieller oder immaterieller Schaden entstanden ist, hat Anspruch auf Schadenersatz gegen den Verantwortlichen oder gegen den Auftragsverarbeiter."

https://dsgvo-gesetz.de/art-82-dsgvo/

Da sich der Zusammenhang recht eindeutig herstellen lässt, würde ich das in diesem Fall in Betracht ziehen.

 

[FrAGgi]

Nicht ganz...

Deine beiden Ausschnitten sagen doch quasi genau das was ich gesagt habe?
Mix aus bekannter Händler und Betrag. Dass diese Whitelist bei der Bank liegt, ist naheliegend.

 

[CruellaDE]

Mmh, man sollte zumindest konsequent Email Aliase verwenden, pro Shop. Aber mit IBAN oder Kreditkarten wird es natürlich schwierig 😅

 

[saMe1]

@CruellaDE Tjo wenn es dann nicht Probleme mit der DSGVO konformen Bearbeitung gibt. Denn wenn du nur einen Alias verwendest und dieser vielleicht nicht mal Schreibzugriff hat, dann kannst du dich ggf. nur über Umwege bei der Firma für einen kauf/Account/Bestellung verifizieren. Hatte ich schon in der Vergangenheit. Daher am besten einfach nur bei den Firmen kaufen und Zahlungsmittel nutzen welchen man vertraut. Dies würde vmtl. bedeuten das man nirgends mehr bestellen kann

Ergänzung (21. Oktober 2026)

Hier wird Art. 82 DSGVO einschlägig:

"(1) Jede Person, der wegen eines Verstoßes gegen diese Verordnung ein materieller oder immaterieller Schaden entstanden ist, hat Anspruch auf Schadenersatz gegen den Verantwortlichen oder gegen den Auftragsverarbeiter."

https://dsgvo-gesetz.de/art-82-dsgvo/

Da sich der Zusammenhang recht eindeutig herstellen lässt, würde ich das in diesem Fall in Betracht ziehen.

Nur wie willst du deinen Schaden beziffern ohne das dir tatsächlicher Schaden entstanden ist ?
Der alleinige evtl. Kontrollverlust kann nicht random beziffert werden.

Ergänzung (21. Oktober 2026)

Ich benutze mittlerweile überall lange, zufallsgenerierte Passwörter und einen Passwordmanager.

Zufallsgeneriert finde ich gut und stimme ich auch zu - Passwordmanager eher nein da dies kein sicheres Tool ist. Die größte Sicherheit liegt immer noch in deiner Lokalen Speicherung. Schließlich weißt du wer Zugriff auf dein Gerät hat und welche Links du anklickst, oder in welchen Netzwerken sich dass Gerät befindet.

Ergänzung (21. Oktober 2026)

ich benutze überall nur PayPal, wenn es geht mit gastkonto und dann ist auch PayPal meine einzige bruchstelle. ich will nicht, dass irgendwelche anderen Händler noch irgendwelche Konto- oder kreditkartendaten haben. da können die mir noch 10 mal schreiben, wie sicher das alles bei denen gespeichert wird. pustekuchen!

Paypal und der dahinterliegende Zahlvermittler (z.B Payone) haben dann in der Regel deine Zahldaten. Sobald wir über elektronische Systeme sprechen ist der Gesamte Datenverkehr unsicher, egal wer das bearbeitet.

Absolute Sicherheit gibt es zwar nicht, jedoch wäre die höchste Barzahlung in einem Stationären Laden ohne Kundenbezug. Dies wollen jedoch die allermeisten Menschen nicht mehr, weshalb wir mit den Risiken leben müssen.

 

[Christock]

Nur wie willst du deinen Schaden beziffern ohne das dir tatsächlicher Schaden entstanden ist ?
Der alleinige evtl. Kontrollverlust kann nicht random beziffert werden

Belästigungen durch Betrugsanrufe sind in Form des entstehenden Stresses ein eindeutiger immaterieller Schaden. Gerichte haben für die Bemessung eigene Maßstäbe. Daran würde es sicher nicht scheitern.

 

[ChinaOel]

Jedes Unternehmen das gehackt wird kann man zu Zahlungen von Schadensersatz verklagen. Das Instrument gibt es nur keiner tut es (mich eingeschlossen mangels Rechtschutzversicherung). Aber wenn dies großflächig genutzt - würden unternehme MEHR investieren und mehr Sorgfalt walten lassen. BGH – VI ZR 10/24

 

[saMe1]

Belästigungen durch Betrugsanrufe sind in Form des entstehenden Stresses ein eindeutiger immaterieller Schaden. Gerichte haben für die Bemessung eigene Maßstäbe. Daran würde es sicher nicht scheitern

Da wäre ich bei dir. Aber dann müsstest du beweisen das die Probleme explizit auf die Datenproblematik schließen lassen.

Jedes Unternehmen das gehackt wird kann man zu Zahlungen von Schadensersatz verklagen. Das Instrument gibt es nur keiner tut es (mich eingeschlossen mangels Rechtschutzversicherung). Aber wenn dies großflächig genutzt - würden unternehme MEHR investieren und mehr Sorgfalt walten lassen. BGH – VI ZR 10/24

Ebenfalls geht es um die Beweisbarkeit. Verklagen kannst du gefühlt alles und jeden, die Frage nur ob es Erfolgsversprechend ist/wäre ohne weitere Nachweise.

 

[Orb]

Gute Info. Direkt einer Anfrage zur Löschung des Kontos verschickt, das letzte Mal habe ich dort 2020 bestellt, ist also kein großer Verlust und kann weg.

 

[xexex]

Deine beiden Ausschnitten sagen doch quasi genau das was ich gesagt habe?

Wie gesagt, eben nicht ganz. Aber natürlich stimmt deine Aussage. Wenn die Bank, bzw. das Kreditkartenunternehmen dem Händler nicht traut, wird auch bei kleinen Beträgen nach 3D Secure gefragt. Viele Händler dürften aber selbst Zahlungsdienstleister dazwischen geschaltet haben, dann ist es halt die Händler->Zahlungsdienstleister->Kreditkartenunternehmen->Bank Kette, innerhalb der ein gewisses Vertrauen herrschen muss.

 

[pitu]

Datenpanne kann natürlich passieren aber sowas ist einfach 💩

Das wird in Zukunft (dank KI/SI) sicher noch öfters passieren. Man kann seinen eigenen PC so sicher wie möglich machen, was nutzt es einem aber wenn die Shops gehackt werden?!

Ich hatte mein Konto bei NBB auch löschen lassen. Bekam binnen 2 Tagen eine Rückmeldung. Einen Teil der Daten dürfen sie rechtlich allerdings nicht löschen. Gut, jetzt ist es sowieso zu spät.

Ein paar Ideen. Nur Shops mit Gastzugängen nutzen. Email Alias Adressen verwenden. Nur mit Einmalkredit- oder Guthabenkarte bezahlen.

p.s.: Amazon bietet auch iDEAL Wero an. Eine Alternative zu SEPA?

Laut ChatGPT:

1. Keine Speicherung sensibler Bankdaten beim Händler​

• SEPA-Lastschrift: Du hinterlegst deine IBAN direkt in deinem Amazon-Konto. Wenn Amazon gehackt wird oder ein Datenleck auftritt, liegt deine IBAN potenziell im Klartext/im Archiv der Händlerdatenbank.
• Wero / iDEAL: Du hinterlegst deine IBAN nicht als dauerhafte Zahlungsquelle bei Amazon. Die Authentifizierung läuft über ein OAuth- bzw. Token-Verfahren direkt über deine Bank. Amazon sieht und speichert deine vollen Kontozugangsdaten nicht.

2. Push-Prinzip statt Pull-Prinzip (Keine unbefugten Abbuchungen)​

• SEPA-Lastschrift (Pull): Der Händler bucht das Geld von deinem Konto ab. Wenn ein fremdes Konto gehackt wird, könnte theoretisch jemand auf deine Kosten bestellen (auch wenn man Lastschriften 8 Wochen lang zurückbuchen kann).
• Wero (Push): Du gibst jede einzelne Transaktion aktiv in deiner Banking-App frei (Zwei-Faktor-Authentifizierung). Ein Missbrauch ohne dein Smartphone/deine Zugangsdaten ist extrem unwahrscheinlich.

3. Schutz vor Datenpannen​

 

[Steinyo]

Datenabfluss oder -ausfluss? Oder doch Datendiebstahl?

 

[xexex]

Amazon bietet auch iDEAL Wero an. Eine Alternative zu SEPA?

Ideal ist tot, es lebe Wero und das ist wiederum die europäische Alternative zu Paypal. Wenn deine Bank da bereits mitmacht und du keine KK oder SEPA nutzen willst, kannst du es natürlich verwenden.
https://de.wikipedia.org/wiki/Wero

Diesmal soll es jedenfalls mit der EU Alternative klappen, ganz sicher...

 

[Thomrock]

Dennoch sind die Daten nun im "Darknet" und werden da wohl nie wieder verschwinden...

Müsste man nicht eigentlich das Konto wechseln?

Ich habe da nie die Iban angegeben aber davon ab neues Konto ist finde ich übertrieben. Es gibt ja immer Geschäftsbeziehungen wo die Iban gespeichert wird z.B. Energiekonzerne oder auch staatliche Institutionen wie die Bundeskasse usw. die können auch gehackt werden da kann ich nicht jedes mal das Konto wechseln. Und die Kontoabgänge zu prüfen sollte eigentlich jeder machen ist mit meiner Bank auch kein Problem die Benachrichtigungen kommen jetzt schon ab 1€ Kontobewegung.

 

[Dessi]

Ich habe keine Email bekommen, obwohl ich auch Kunde bin !
Seltsam...

 

[pitu]

@Dessi Ich auch nicht.