Tanken und die Postleitzahl

[Tinerfeño]

Ich denke nicht, dass das Risiko so groß ist. Vor allem bietet ja die DKB in der App die Möglichkeit, die Karte umgehend sperren zu lassen.

[Jack Black]

Wenn man es bemerkt...

Ich sehe vor allem auch gar keinen Vorteil, eigentlich ist es ja die Stärke der Online Autorisierung, dass sie schwer zu knacken ist. Ich frage mich auch, wie denn ein Händler gegenüber dem Zahldienstleister nachweist, dass er einen autorisierten Vorgang mit Anspruch auf eine Summe Geld von einem bestimmten Konto besitzt (ohne Unterschrift)? Früher hat man ja oft mit der Unterschrift eine einmalige Einzugsermächtigung erteilt, aber wie weist man nach, dass jemand eine PIN einer bestimmten Karte korrekt eingegeben hat?

[Zeev]

Na das sind aber wieder arge Vermutungen und Annahmen, die hier als Fakten verkauft werden
Einfach sich mal über EMV-Chip und deren Funktionsweise und Anwendung schlau machen 

[Jack Black]

Einfach sich mal über EMV-Chip und deren Funktionsweise und Anwendung schlau machen 

Gut so, dann mach' das  doch einfach, Du mußt das hier nicht ankündigen.

P.S.: Ein paar interessante Ergebnisse von Google:

PIN-Skimming bei Chipkarten möglich

Vier Sicherheitsforscher haben auf der im März 2011 stattgefundenen CanSecWest-Sicherheitskonferenz die Praktikabliität von Skimming bei Chipkarten demonstriert. Die beim EMV-Verfahren mit Chip ausgestatteten EC- und Kreditkarten sollen das Skimming, also das Abfangen von Kartendaten und PIN erschweren.

Die vier Forscher beschreiben in ihrer Präsentation „Credit Card skimming and PIN harvesting in an EMV world“ jedoch, wie sich die Kommunikation zwischen Terminal und Chip durch eine flache Platine im Kartenschlitz belauschen und manipulieren lässt, um an eine PIN zu gelangen. Ein Platine ist erheblich unauffälliger als ein wackelig aufgeklebter Aufsatz.

Das eigentliche Problem bei EMV ist, dass durch die scheinbare Sicherheit wird die Beweislast auf den Kunden abgewälzt. Es wird ihm unterstellt, dass er fahrlässig mit seiner PIN umgegangen ist. Betroffen sein sollen alle EMV-Installationen, also auch die in Deutschland. Das Problem liegt in der Protokollspezifikation. Dadurch lässt sich diese Lücke auch nicht leicht schließen

Schon mal häßlich, es gab auch eine Fernsehsendung, wo Forscher einen EMV Chip unautorisiert ausgelesen haben.

Weiter:

EMV-Verfahren kann ausgehebelt werden, Bezahlen mit falscher PIN möglich
Die Zeitschrift c’t Heft 3/16 enthüllt, dass Betrügerbanden bereits mit geklonten Kreditkarten auf Raubzug gehen – auch hier in Europa beziehungsweise Deutschland. Sie nutzen dazu gestohlene Kreditkarten-Datensätze; die PIN können sie frei wählen. Die Software (MacGyver) zum Fälschen von EMV-Karten wird seit etwa einem Jahr für über 20.000 Euro im Untergrund gehandelt.

Also selbst wenn die PIN nicht auf dem Chip gespeichert ist, ist er nicht sicher. Der unbedingte Glauben an die Sicherheit neuer Verfahren hat noch nie lange gehalten.

[freddykr]

Generell ist jede Zahlung, wo nichts gemacht werden muss oder wo man unterschreibt eine Offline-Zahlung. Hier findet keine Authorisierung mit der Bank statt.
Offline PIN hat den Vorteil, dass auch bei Terminals die keine Verbindung zur Bank haben, ein PIN genutzt werden kann.
Es gibt aber auch CC, die zwingend Online PIN verlangen. Die funktionieren offline nicht.
Oder auch Terminals, die offline sind, aber eine PIN verlangen (kann der Händler so einstellen).

Eine allgemeine Regel kann man nicht sagen. Es kommt auf die Kombi CC und Terminal drauf an.

[Tinerfeño]

Generell ist jede Zahlung, wo nichts gemacht werden muss oder wo man unterschreibt eine Offline-Zahlung. Hier findet keine Authorisierung mit der Bank statt.

Das ist so pauschal nicht zutreffend. Dann wären ja alle kontaktlosen Bezahlungen unter 50 Euro offline, was natürlich nicht der Fall ist. Genauso werden natürlich auch die geswipeten Transaktionen (Auslesen des Magnetstreifens und anschließendes Unterschreiben), in den USA z. B. immer noch in vielen Restaurants, unmittelbar im Banking sichtbar.

[Zeev]

Gut so, dann mach' das  doch einfach, Du mußt das hier nicht ankündigen.

Schade; war ein Versuch, da es den Anschein hatte, als ob du in letzter Zeit etwas runtergekommen bist.
Leider ein Irrtum - du bleibst das, was du schon schon immer warst - ein Paradebeispiel des Dunning-Kruger-Effekts.
Von daher...herzlich willkommen auf meiner (virtuellen) Ignore 

[Jack Black]

Generell ist jede Zahlung, wo nichts gemacht werden muss oder wo man unterschreibt eine Offline-Zahlung. Hier findet keine Authorisierung mit der Bank statt.
Offline PIN hat den Vorteil, dass auch bei Terminals die keine Verbindung zur Bank haben, ein PIN genutzt werden kann.

Aber wie erhält ein Händler sein Geld bei Offline PIN ohne Unterschrift? Der muss das ja irgendwie nachweisen, insbesondere dass der Kunde den Zahlvorgang autorisiert hat? Und was passiert, wenn der Kunde den Vorgang bestreitet?

[Tinerfeño]

Generell ist jede Zahlung, wo nichts gemacht werden muss oder wo man unterschreibt eine Offline-Zahlung. Hier findet keine Authorisierung mit der Bank statt.
Offline PIN hat den Vorteil, dass auch bei Terminals die keine Verbindung zur Bank haben, ein PIN genutzt werden kann.

Aber wie erhält ein Händler sein Geld bei Offline PIN ohne Unterschrift? Der muss das ja irgendwie nachweisen, insbesondere dass der Kunde den Zahlvorgang autorisiert hat? Und was passiert, wenn der Kunde den Vorgang bestreitet?

Aus diesem Grund sind Offline-Zahlungen meist limitiert auf kleine Beträge. Im Flugzeug muss man oft bei hohen Beträgen einen Ausweis vorlegen. Abgebucht wird dann, wenn das Terminal wieder online ist, ganz einfach.

Hier wird das übrigens schön erklärt:

https://kreditkarte.net/ratgeber/offline-zahlungen/

In den USA ist es doch ganz häufig so, dass man die Karte einsteckt, man aber überhaupt nichts machen muss - gerade in Fastfood-Restaurants, Starbucks bei geringen Beträgen etc. Hast du dich da auch schonmal gefragt, was passieren würde, wenn man diese Transaktionen zurückbuchen lässt? Vermutlich würde das Ganze sogar bis zu einem gewissen Maß funktionieren, aber das Risiko gehen die Händler wegen der Kleckerbeträge ein. Meist nehmen sogar die Banken dies auf ihre eigene Kappe und erstatten das Geld, ohne Rückfrage beim Händler.

[Jack Black]

n den USA ist es doch ganz häufig so, dass man die Karte einsteckt, man aber überhaupt nichts machen muss - gerade in Fastfood-Restaurants, Starbucks bei geringen Beträgen etc. Hast du dich da auch schonmal gefragt, was passieren würde, wenn man diese Transaktionen zurückbuchen lässt?

s.o.

Und was passiert, wenn der Kunde den Vorgang bestreitet?

Und bei den "aktionslosen" Abbuchungen in den USA habe ich mich das sowieso immer schon gefragt, die kenne ich auch noch. Da trägt offensichtlich der Laden das Risiko. Aber das hat mit Offline-PIN nichts zu tun.

Abgebucht wird dann, wenn das Terminal wieder online ist, ganz einfach.

Aber dann kann man die Autorisierung nicht mehr nachweisen. Genau deswegen finde ich das Verfahren ziemlich komisch. Aber ich mußte im Flieger unterschreiben, wenn ich mal etwas gekauft habe. Und heute haben bestimmt viele Flieger eine Internetverbindung.

[Tinerfeño]

Aber dann kann man die Autorisierung nicht mehr nachweisen.

Warum nicht?

[Jack Black]

Warum nicht?

Wie genau geht das? Dann müßte der komplette Vorgang inkl. PIN und Kartendaten auf dem Terminal gespeichert sein?!

[Tinerfeño]

Wie genau geht das? Dann müßte der komplette Vorgang inkl. PIN und Kartendaten auf dem Terminal gespeichert sein?!

Ja, genau so ähnlich funktioniert das.

[Jack Black]

Finde ich aber ziemlich bescheiden. D.h. die angeblich unknackbare PIN befindet sich dann nicht nur auf einem zentralen Server, sondern auch auf der Kreditkarte UND jetzt auch noch auf einem Terminal.

[Tinerfeño]

Finde ich aber ziemlich bescheiden. D.h. die angeblich unknackbare PIN befindet sich dann nicht nur auf einem zentralen Server, sondern auch auf der Kreditkarte UND jetzt auch noch auf einem Terminal.

Das ist doch klar, dass das verschlüsselt stattfindet. Diese Terminals sind zertifiziert, du machst dir Sorgen um Probleme, die nicht existieren.