Kreditkarten Daten für Hotelbuchung per email?

[djohannw]

Leute, habt ihr Euch mal überlegt, dass Kreditkartennummern ein begehrtes Diebesgut sind? Nicht umsonst gibt es einen weltweit gültigen Standards, was den Umgang mit Kreditkartendaten angeht, und da ist das versenden der Nummern - auch teilweise - im Klartext ein absolutes NoNo!!! Ein Hotel das Kunden auffordert, Kreditkartendaten per eMail zu verschicken (am besten noch mit CVV2) gehört unmittelbar an VISA/Mastercard gemeldet. Mit dieser Vorgehensweise verstößt es eklatant gegen die vertraglichen Vereinbarungen mit seinem Acquirer und setzt die Sicherheit von Kreditkartenzahlungen aufs Spiel.

Was das Thema abgefangene Kreditkartennummern angeht: Auch das passiert ständig, allerdings weniger auf dem Weg als mehr aus der inbox des entsprechenden Hotels o.ä. (z.B. per Trojaner). Damit ist dann auch das Aufteilen weitestgehend sinnlos, da dort einfach alle eMails kopiert werden, so dass der Angreifer alle Daten hat. Und gerade seitdem mittlere und große Kreditkartenakzeptanzstellen in Sachen Sicherheit aufs Korn genommen wurden und dort es inzwischen ziemlich schwierig ist, an nutzbare Daten zu kommen, ist seit einem Jahr der Trend da, sich auf kleinere Firmen wie z.B. das kleine Hotel zu stürzen, um an "frische" Daten zu kommen.

Wer also nicht z.B. hier dabei sein möchte, sollte sich den Umgang mit den Daten der eigenen Kreditkarte gut überlegen.

Viele Grüße - Dirk

[AdiW]

Natürlich kann jede/r sagen "Bis jetzt ist nie etwas schief gelaufen". Bei mir fing irgendwann eine komische Firma in England Kleinbeträge abzubuchen...AMEX hat's erledigt, aber ich hatte den Stress...

Viel einfacher ist es, einfach anzurufen, die Gespräche mit USA sind wirklich billig. Das ist auch die Lösung für nicht erhaltene Bestätigungen.

Ansonsten...alles Gute für 2009 !

[Flicka]

Es handelt sich nicht zufällig um ein Motel in Tropic? Dort habe ich nämlich letztes Jahr meine Kreditkartendaten in zwei Tranchen übermittelt. Da war die Hemmschwelle vor einem Anruf in das große unbekannte Amerika noch größer als vor dem Verschicken meiner Daten durch das große unbekannte Internet. Heute würde ich es vermutlich auch eher über einen Anruf lösen.

Ich stelle mir allerdings die Frage: Wenn das Hotel meine Kreditkartendaten dann im PC abspeichert, sind sie dann bei einem Hacker-Angriff nicht ebenfalls gefährdet? So wie ich die Sache verstehe, besteht die Gefahr des Datendiebstahls doch weniger in dem Moment, in dem ich meine Daten irgendwo eingebe, sondern dann, wenn in großem Stil bei dem betreffenden Unternehmen Daten geklaut werden. Und dann ist es doch egal, wie das Unternehmen meine Daten bekommen hat?

[Jack Black]

Schlagt dem Hotel/Motel doch mal vor, die sollen sich einen Account bei PayPal zulegen. Den habe ich schon seit vielen Jahren und das ist ebenso sicher wie unkompliziert. Man erhält bereits von PayPal eine ordnungsgemäße Rechnung, alle Transaktionen laufen quasi ad hoc und es gibt keine Währungsbarrieren oder riesige Überweisungsgebühren wie bei Banküberweisungen.

Das ist sowohl für Privatleute wie auch Geschäfte eine absolut zuverlässige und einfache Methode, Geld zu transferieren, wenn sich Onlinesysteme nicht rechnen.

[wilma61]

Hi.

Sorry, aber um einmal der allgemeinen Kreditkarten Paranoia zu widersprechen.....

Was passiert denn, wenn jemand mit deinen Kreditkartendaten Unsinn macht????

Nixe, Nada, Niente. 

Du reklamierst den abgebuchten Betrag bei deiner KK Firma und gut ist. Wenn offensichtlich mehrmals eine missbräuchliche Abbuchung stattfindet, bekommst du kostenlos eine neue.

Wesentlich risikofreier als mit 5000 $$ im Brustbeutel herumzulaufen.

Wilma

[atecki]

Leute, habt ihr Euch mal überlegt, dass Kreditkartennummern ein begehrtes Diebesgut sind? Nicht umsonst gibt es einen weltweit gültigen Standards, was den Umgang mit Kreditkartendaten angeht, und da ist das versenden der Nummern - auch teilweise - im Klartext ein absolutes NoNo!!! Ein Hotel das Kunden auffordert, Kreditkartendaten per eMail zu verschicken (am besten noch mit CVV2) gehört unmittelbar an VISA/Mastercard gemeldet. Mit dieser Vorgehensweise verstößt es eklatant gegen die vertraglichen Vereinbarungen mit seinem Acquirer und setzt die Sicherheit von Kreditkartenzahlungen aufs Spiel.

Was das Thema abgefangene Kreditkartennummern angeht: Auch das passiert ständig, allerdings weniger auf dem Weg als mehr aus der inbox des entsprechenden Hotels o.ä. (z.B. per Trojaner). Damit ist dann auch das Aufteilen weitestgehend sinnlos, da dort einfach alle eMails kopiert werden, so dass der Angreifer alle Daten hat. Und gerade seitdem mittlere und große Kreditkartenakzeptanzstellen in Sachen Sicherheit aufs Korn genommen wurden und dort es inzwischen ziemlich schwierig ist, an nutzbare Daten zu kommen, ist seit einem Jahr der Trend da, sich auf kleinere Firmen wie z.B. das kleine Hotel zu stürzen, um an "frische" Daten zu kommen.

Wer also nicht z.B. hier dabei sein möchte, sollte sich den Umgang mit den Daten der eigenen Kreditkarte gut überlegen.

Viele Grüße - Dirk

Hi Dirk,

dann melde mal rund 90 % der Hotels weltweit an die CC Organisationen   Werde mal in unseren Verträgen nachschauen ob es Einschränkungen gibt. Und ich glaube kein Hotel fordert den Gast auf die Daten nur per E-Mail zu schicken. Ob per Fax, E-Mail, Brief oder telefonisch wird dem Hotel egal sein - Hauptsache die Daten sind da.

Grüße

Axel

[djohannw]

Ich stelle mir allerdings die Frage: Wenn das Hotel meine Kreditkartendaten dann im PC abspeichert, sind sie dann bei einem Hacker-Angriff nicht ebenfalls gefährdet? So wie ich die Sache verstehe, besteht die Gefahr des Datendiebstahls doch weniger in dem Moment, in dem ich meine Daten irgendwo eingebe, sondern dann, wenn in großem Stil bei dem betreffenden Unternehmen Daten geklaut werden. Und dann ist es doch egal, wie das Unternehmen meine Daten bekommen hat?

Genau. Deswegen gibt es genaue Regeln, wie und in welchem Umfang Kreditkartendaten gespeichert werden dürfen. Details findest Du bei Interesse hier. Z.B. darf eine CVV2 nach Authorisierung überhaupt nicht mehr aufbewahrt werden, und die Kreditkartennummer (PAN) muss zwingend unlesbar gemacht werden.

In Sachen eMail gilt hier dann 4.2 aus obigem Regelwerk: "Kein Senden unverschlüsselter PANs über Messaging-Technologien für Endbenutzer (z.B. eMail, Instant Messaging, Chat)." Klar kann ich nicht verhindern, dass mir Kunden sowas unaufgefordert schicken, aber mit der Aufforderung, dies zu tun stehe ich damit am "Fliegenfänger".

@atecki: Schau' mal in die zugrunde liegenden AGBs - da dürfte die Referenz zu PCI-DSS 'drin stehen. Jeder, der mit Kreditkartendaten umgeht ist verpflichtet, diesen Standard einzuhalten - weltweit. Selbst dann, wenn man nur ein paar Transaktionen hat - lediglich die Nachweispflicht ist nach Transaktionszahl gestaffelt. Aber wenn dann Visa (besonders) oder Mastercard davon Wind bekommen, dass sich jemand regelmäßig nicht korrekt verhält und gegen die einfachsten Grundregeln verstößt, wird man auch als kleiner Merchant ganz schnell auf Level 1 hochgestuft und darf sich dann, was die Nachweispflichten angeht, mit den Amazons dieser Welt messen...

Viele Grüße - Dirk

[mrh400]

Hallo,

Nixe, Nada, Niente. 

Du reklamierst den abgebuchten Betrag bei deiner KK Firma und gut ist.

wenn das nur immer so einfach wäre:

• 18.03.2007 Bezahlung bei einem Restaurant in der Schweiz mit CC
• onlie-Kontrolle am 24.03.2007: Betrag wurde mit unterschiedlichen Eingangsdaten zweimal belastet
• =>24.03.2007 Reklamation per Telefon und Fax
• 16.04.2007 Kreditkartenabrechnung, Betrag nur einmal enthalten

Damit hätte ja alles gestimmt, aber es ging weiter:

• 14.05.2007 Unterrichtung durch die Bank, das Restaurant habe am 11.05.2007 (!) von sich aus eine Gutschrift veranlaßt und der Rückbelastung widersprochen
• 10.05.2007 CC-Abrechnung; mit Eingangsdatum vom 08.05.2007 Gutschrift des Betrags auf meiner CC-Abrechnung
• 10.06.2007 CC-Abrechnung mit insgesamt fünf weiteren Buchungen zu demselben Thema:
  
  • Gutschrift, Eingang 11.05.2007
  • Belastung, Eingang 14.05.2007
  • Gutschrift, Eingang 14.05.2007
  • Belastung, Eingang 15.05.2007
  • Belastung, Eingang 15.05.2007

Und das alles versteckt zwischen dutzenden von Buchungen aus meinem USA-Urlaub. Wenn ich das damals richtig nachverfolgt und jetzt richtig abgeschrieben habe, hat sich das vom Ausgangsbetrag in CHF letztlich ausgeglichen. Es kamen aber unterschiedliche Wechselkurse und Auslandsgebühren zum Tragen - ich war wirklich zu faul, auch noch auszurechnen, ob ich da ein paar Cent verdient oder verloren habe.

[wilma61]

Hi.

@mrh400

Nun denn, wie der alte Japaner sagt: Sh.... Happens. Oder Pferde und Apotheke etc.pp.

Wie schon einmal gesagt:

Ich benutze seit 25 Jahren Kreditkarten verschiedener Unternehmen und hatte bislang trotz intensiver Nutzung nur eine Reklamation.Diese wurde dann schnellstens zu meinen Gunsten bearbeitet.

Aber das deine KK Firma die erneuten Abbuchungen reaktionslos hinnahm ist auch nicht so prickelnd...

Evt. mal die Firma wechseln

Wilma

[Stefan M.]

Ich hatte bislang während meiner USA-Urlaube auch nie Probleme mit den CCs. Letztlich ist es doch so wie schon ein paar mal hier angeklungen: In eigentlich JEDEM Restaurant wird die CC der Bedienung zum Zahlen mitgegeben. Es wäre dabei ja für denjenigen sehr leicht, sich schnell die vier erforderlichen Daten (Name - CC Nummer - Ablaufdatum - Sicherheitsnummer) zu notieren und dann nach Herzenslust im Internet einzukaufen. Nichts von alledem ist aber jemals passiert.

Übrigens hatte ich genau dieses Thema mit meinem Bekannten kürzlich besprochen, der -als Amerikaner logischerweise- ständig und viel öfter mit CCs auf diese Weise bezahlt. Auch er hatte noch nie Probleme damit. Das Phänomen des Abgreifens von CC-Daten scheint in den USA also (noch?) nicht das große Thema zu sein.

[mrh400]

Hallo,

Aber das deine KK Firma die erneuten Abbuchungen reaktionslos hinnahm ist auch nicht so prickelnd...

ich glaube eher, die waren in ihrem Rechenwerk einfach überfordert, weil sie mit meiner Reklamation einerseits und der Gutschrift durch das Unternehmen andererseits durcheinanderkamen. Auf mein ironisches Beschwerdeschreiben angesichts der Buchungsvielfalt bekam ich jedenfalls keine Reaktion.

Evt. mal die Firma wechseln

Na ja, ist die "Hausbank". Andererseits dient deren Karte ohnehin nur als "Zweitkarte" wegen der günstigsten Auslandsgebühren im non-EUR-Gebiet.

[Andre]

Ob Kreditkartendaten bzw. damit zu zahlende Auftraege per eMail, Telefon/Fax entgegengenommen werden duerfen, haengt vom jeweiligen Akzeptanzvertrag ab. Da gibt es beispielweise sogenannte "Mail Order Acceptance", bei der das moeglich ist. Nachteil ist hier halt, dass der KK-Akzeptanzpartner deutlich hoehere Processing Fees veranschlagt, weil einfach das Risko hoeher ist, als bei sichereren Varianten. Am gunestigsten (fuer den Merchant) ist immer noch die Zahlung am POS per Terminal.
Solche Sachen wie PayPal, Propay oder Google Checkout sind von der Hoehe der Gebuehren uninteressant, es sei denn man macht sehr wenig Umsaetze mit sehr hoher Marge.

[Tenere]

@djohannw

was sagst du denn aus juristischer Sicht zu Kredtikartenstrafgebühr von 4 EUR der Deutschen Lufthansa, die aber nur für Kunden mit Wohnsitz Deutschland gilt?

Zum Thema Kreditkartendaten im online-Business: ich kaufe sehr viel online und suche mir bewusst Lieferanten (online portal, Händler) die Kreditkarten oder paypal etc. akzpetieren, weil mir das ganze "per Überweisung" zu blöd ist. Wer einmal versucht hat, einen Flatscreen TV so zu kaufen, weiss, dass die Händler die Ware erst reservieren, wenn das Geld eingegangen ist (dann ist er womöglich andersweitig verkauf, denn die Ware befindet sich ja heutzutage nicht mehr im Besitz der Händler, sondern wird nur kommissioniert). Hier deshalb nur Sofortzahlung mit Kreditkarte (paypal ok).

Ich bin bisher nur ein Mal betrogen worden: in einer Trattoria in der Toskana buchte mir der Mafiosi zuerst die 80 EUR für's Essen ab und dann 4 Tage später gleich 800 EUR. Ob das ein Fehler des kleinen Lesegeräts war oder Absicht liess sich nicht mehr feststellen. Es hat sich alles zu meinen Gunsten gelöst, der Wirt konnte nur den Beleg für 80 EUR vorweisen...

Ich hatte kürzlich einen Flug innerhalb Chinas bei elong.com mit deutscher Kreditkarte gekauft. Dabei musste ich beide Seiten der Karte und meinen Pass faxen. Da denkt man auch, wo leben wir denn? Aber immerhin hat mich der Flug nur 78 EUR statt 300 EUR über ein deutsches Reisebüro gekostet....

Online Buchungen auf Hotelwebsites sind in der Regel zu teuer (ggf. 10% billiger als die Rackrate), ihotelier ist ein beliebtes Programm, das online Buchungen zulässt. Teilweise sogar Firmenraten buchbar mit dem Dingens.

Die unverschämtesten Ganoven sind die Hoteliers, die keine Preise veröffentlichen und Angebote nur auf Anfrage ("online" Formular) rausschicken. Dort würde ich ganz genau lesen, ob mit dem Abschicken und der Angabe der Kreditkarte nicht ein Beherbergungsvetrag zustande kommt, der nicht mehr (oder nur gegen Gebühr) stornierbar ist.

USA immer noch am besten AAA Raten bei den großen Ketten zu buchen, bzw. priceline, hotwire etc. zu nutzen, In Europa nehme ich hrs, hotel.de, booking.com bzw. prepaid otel.com, bookinhotels.com asiarooms.com

[atecki]

Die unverschämtesten Ganoven sind die Hoteliers, die keine Preise veröffentlichen und Angebote nur auf Anfrage ("online" Formular) rausschicken. Dort würde ich ganz genau lesen, ob mit dem Abschicken und der Angabe der Kreditkarte nicht ein Beherbergungsvetrag zustande kommt, der nicht mehr (oder nur gegen Gebühr) stornierbar ist.

Hi Tenere,

nur mit einer Anfrage und einem Angebot kommt kein Beherbergungsvertrag zustande, nirgends auf der Welt. Und wer für eine Anfrage die KK-Daten mitschickt tut mir leid.... Zu dem Ausdruck mit den

nverschämtesten Ganoven sind die Hoteliers

sage ich mal nichts, ich könnte Dir auch unzählige Geschichten von unverschämten Gästen erzählen 

Grüße

Axel

[Tenere]

Hi Tenere,

nur mit einer Anfrage und einem Angebot kommt kein Beherbergungsvertrag zustande, nirgends auf der Welt. Und wer für eine Anfrage die KK-Daten mitschickt tut mir leid....

Grüße

Axel

kommt drauf an: schau mal hier mein Beitrag ist das erste deutsche review von 2006:

http://www.tripadvisor.de/Hotel_Review-g187860-d567815-Reviews-Haus_Knoll-Merano_Trentino_Alto_Adige.html