Thema "Re: comdirect über Google Pay und Smartwatch = Zahlen in beliebiger Höhe, ohne PIN Abfrage - Bug?" in Konto, Depot & Karte

comdirect über Google Pay und Smartwatch = Zahlen in beliebiger Höhe, ohne PIN Abfrage - Bug?

LeroyFame — Mon, 03 Dec 2018 13:00:21 GMT

Beim kontaktlosen Zahlen mit der (physischen) comdirect VISA Karte gilt meines Wissens nach ein Bagatell-Limit von 50€, bei größeren Beträgen wird zur Sicherheit die Eingabe der PIN am Terminal oder eine Unterschrift verlangt - so weit, so gut, so sinnvoll.

Beim kontaktlosen Zahlen per Google Pay mit dem Smartphone muss bei Überschreiten der Bagatellgrenze (25€?) zur Sicherheit zumindest noch das Smartphone entsperrt werden - so sagte man mir zumindest im Support-Chat, mangels NFC-fähigem Smartphone kann ich dies momentan leider nicht verifizieren.

Beim kontaktlosen Zahlen per Google Pay mit der Smartwatch hingegen gibt es offenbar überhaupt gar keine Bagatellgrenze mehr mit "Sicherheitsschaltung" (PIN am Terminal, Unterschrift oder PIN/Entsperrmuster am Handy)!

Ja, sicher, prinzipiell muss auch die Smartwatch entsperrt sein, jedoch geschieht dies im Unterschied zum Smartphone zumindest bei meinem Modell lediglich einmalig morgens beim Umlegen der Uhr - danach wird kein weiteres mal ein Entsperrmuster verlangt und entsprechende Einstellungen sind im Wear OS der Uhr auch nicht vorgesehen - die Uhr bleibt auch bei deaktiviertem Display entsperrt. Der morgendliche Entsperrvorgang steht also in keinerlei Zusammenhang mit dem Bezahlvorgang!

Ich war etwas perplex, als ich im Möbelhaus den Einkauf im vierstelligen Bereich quasi im Vorbeiflug per Smartwatch erledigen konnte, keine PIN, keine Unterschrift, kein Entsperren, nix.

Prima, mag man jetzt denken, endlich keine blöde Sicherheits-Gängelei mehr - ich selbst bin aber eher zwiegespalten ... so bequem das Ganze auch ist - bei größeren Beträgen würde ich mir dann doch wünschen noch einmal zusätzlich nach meiner PIN oder Unterschrift gefragt zu werden.

Die comdirect kommt meiner Meinung nach Ihrer Sorgfaltspflicht gegenüber ihren Kunden nur unzureichend nach, wenn Sie Google Pay Zahlungen in dieser Höhe ohne weitere Legitimierung einfach so durchwinkt.

Mir ist auch klar, dass sich hier alle Beteiligten gegenseitig den schwarzen Peter zuschieben werden, der comdirect Support hat mich bereits süffisant an Google selbst verwiesen, man habe da leider keinen Einfluss. Aha, ich bin gespannt.

Re: comdirect über Google Pay und Smartwatch = Zahlen in beliebiger Höhe, ohne PIN Abfrage - Bug?

SMT_Philipp — Mon, 03 Dec 2018 14:55:46 GMT

Hallo @LeroyFame,

herzlich willkommen in unserer Community!

Wie du ja bereits beschrieben hast, musst du als Nutzer beim Umbinden der Uhr einen Code eingeben, um die Uhr zu entsperren. Da die Uhr nach Eingabe des Code permanent prüft, dass die Uhr getragen wird, bspw. durch die Herzfrequenzmessung, wird bei der Bezahlung mittels Smartwatch keine weitere PIN/Codeeingabe benötigt. Voraussetzung ist hierbei ist, dass die Uhr sich sofort sperrt, wenn die Uhr nicht mehr getragen wird und der Code bei ununterbrochenem Tragen alle 24 Stunden den Code abfragt.

Das ist genauso gewollt und entspricht der starken Kundenauthentifizierung gemäß PSD2 durch die beiden Faktoren Wissen (Code) und Biometrie (Herzfrequenz).

Dieses Vorgehen ersetzt somit das Entsperren des Bildschirmes, wenn man mit einem Smartphone bezahlt, bzw. die PIN-Eingabe, wenn man mit Karte bezahlt.

Ob du als Kunde nun eine Smartwatch mit Android-OS oder iOS einsetzt, spielt übrigens keine Rolle, bei beiden Bezahlsystemen ist das Verhalten identisch.

Viele Grüße

Philipp

Betreff: comdirect über Google Pay und Smartwatch = Zahlen in beliebiger Höhe, ohne PIN Abfrage - Bu

kkrdvc — Mon, 03 Dec 2018 15:00:59 GMT

Bei Zahlungen mit der Smartwatch, egal ob jetzt mit Google Pay oder bald mit Apple Pay wit’s die Sicherheit durch die Geräte-PIN gewährleistet. Dies ist so von den Herstellern und nicht von den Banken (in diesem Fall comdirect) so gewollt.

Die PIN bei Android Wear oder Apple Watch muss man jedes Mal nachdem man die Uhr ausgezogen und wieder angezogen hat, eingeben. Das heißt, dass keiner mit deiner Uhr einfach so bezahlne kann, da die Authorisierung der Zahlungen nach dem ausziehen die Gültigkeit verliert wenn man die Uhr einmal ausgezogen hat.

wenn jemand die Uhr auf seinen Arm anzieht, kann diese Person auch keine Zahlungen tätigen bis die Geräte-PIN eingegeben wurde. Und es liegt in der Verantwortug des Nutzers die PIN keiner dritten Person weiterzugeben.

Re: comdirect über Google Pay und Smartwatch = Zahlen in beliebiger Höhe, ohne PIN Abfrage - Bug?

LeroyFame — Mon, 03 Dec 2018 16:14:19 GMT

@SMT_Philipp schrieb:

Das ist genauso gewollt und entspricht der starken Kundenauthentifizierung gemäß PSD2 durch die beiden Faktoren Wissen (Code) und Biometrie (Herzfrequenz).

Zumindest der Faktor Biometrie ist in meinem Fall hinfällig, da die Herzfrequenzmessung deaktiviert ist, um den Akku zu schonen.

Ein schneller Wechsel der Uhr in 2-3 Sekunden von einem auf das andere Handgelenk beispielsweise ist problemlos möglich, ohne dass der Entsperrcode erneut eingegeben werden muss, habe ich soeben selbst getestet. Somit ist nicht 100% auszuschließen, dass einem eine bereits entsperrte Uhr geraubt wird. (Ich schreibe bewusst geraubt und nicht gestohlen, da ich nicht davon ausgehe, dass das von mir unbemerkt und nicht unter Gewaltandrohung erfolgen kann, wobei auch das denkbar wäre (zu viel Alkohol, K.O. Tropfen o.ä.).)

Auch kann man die Google Pay Funktion auf eine der Tasten der Uhr legen, um diese schneller aufrufen zu können. Nicht ausgeschlossen wäre also auch, dass jemand von mir unbemerkt diesen Knopf drückt und ein Lesegerät an die Uhr hält.

In Verbindung mit der Möglichkeit, theoretisch den kompletten Verfügungsrahmen der Kreditkarte in einer einzigen Transaktion ohne weitere PIN oder Unterschrift abzuräumen sehe ich da durchaus ein reales Problem.

Klar kann man nun argumentieren, dass die deaktivierte dauerhafte Pulsmessung schuld ist (werde ich später mal testen), dass ich ja nicht so bequem sein muss die Pay Funktion auf die Taste zu legen, dass der Uhrenhersteller schuld hat weil die Uhr den Handwechsel nicht erkennt oder dass die oben beschriebenen Szeniarien sowieso rein akademisch sind weil zu weit an den Haaren herbeigezogen.

Fakt bleibt aber, dass eine einfache PIN Abfrage ab einem €-Schwellenwert die Probleme aus der Welt schaffen würde, aber auf diese wird seitens comdirect verzichtet weil man sich auf die (unzureichenden) Sicherungsmaßnahmen anderer verlässt.

Aber ich werde ja auch nicht gezwungen Google Pay zu nutzen, jadda jadda, um zumindest diese Replik mal gleich vorwegzunehmen.

Re: comdirect über Google Pay und Smartwatch = Zahlen in beliebiger Höhe, ohne PIN Abfrage - Bug?

SMT_Philipp — Mon, 03 Dec 2018 16:38:58 GMT

Hallo @LeroyFame,

niemand ist gezwungen, Google Pay in Verbindung mit einer Smartwatch zu nutzen, bei der die Herzfrequenzmessung deaktivie... Oh, ich sehe gerade, du hast diese Replik vorausgeahnt. 😉

Viele Grüße

Philipp

Re: comdirect über Google Pay und Smartwatch = Zahlen in beliebiger Höhe, ohne PIN Abfrage - Bug?

ehemaliger Nutzer — Tue, 04 Dec 2018 07:15:25 GMT

@LeroyFame schrieb:

Fakt bleibt aber, dass eine einfache PIN Abfrage ab einem €-Schwellenwert die Probleme aus der Welt schaffen würde, aber auf diese wird seitens comdirect verzichtet weil man sich auf die (unzureichenden) Sicherungsmaßnahmen anderer verlässt.

Das ist glaube ich eher seitens Google so. Und ich bezweifel wirklich, dass man als Bank Einfluss darauf hat, wie Google GooglePay bzw. Apple ApplePay konzeptioniert hat. Man könnte den Dienst nicht anbieten, aber dann würde ja auch gemeckert.

Re: comdirect über Google Pay und Smartwatch = Zahlen in beliebiger Höhe, ohne PIN Abfrage - Bug?

LeroyFame — Tue, 04 Dec 2018 08:35:13 GMT

comdirect Nutzungsbedingungen Google Pay

(Stand Juni 2018)

Punkt 4:

"Autorisierung von Kartenzahlungen

Die Autorisierung einer Kartenzahlung mittels Google Pay erfolgt dadurch, dass der Karteninhaber die Transaktion durch Entsperren des mobilen Endgerätes mit den gerätespezifischen Entsperrmechanismen des Karteninhabers und durch das Halten des mobilen Endgerätes an das NFC-fähige Kartenterminal freigibt. Zulässige Entsperrmechanismen sind die Eingabe einer PIN, eines Passwortes, eines Streichmusters oder der Einsatz eines biometrischen Merkmales, die dem Karteninhaber zugeordnet sind. Als biometrisches Merkmal kann der Karteninhaber entweder seinen Fingerabdruck über den Fingerabdruckscanner oder einen Iris- oder Gesichtsscann über die Kamerafunktion verwenden. Nach der Autorisierung kann der Karteninhaber die Kartenzahlung nicht mehr widerrufen.

Für Kleinbeträge gelten dieselben Regelungen wie für das kontaktlose
Bezahlen mit der Kreditkarte (siehe Nr. 3 Abs. 1 Bedingungen für die Kreditkarte (Visa-Karte))."

Hervorhebungen von mir.

[AGB Kreditkarte s. S. 26; Kuriosität am Rande: die Kartenakzeptanzstelle kann selbst vorgeben, ab welchem Schwellenwert erst PIN oder Unterschrift eingefordert werden - vonwegen Bock zum Gärtner machen, und so]

Die comdirect Nutzungsbedingungen legen also fest, dass die kontaktlose Kartenzahlung via Google Pay durch ein Entsperren des mobilen Endgeräts autorisiert werden muss. Es wird klar eine Kausalkette "Einleiten einer Transaktion -> Freigabe durch Entsperren" suggeriert, und zwar für jede Transaktion. Von "Einmalig im Voraus entsperren -> danach beliebig viele Transaktionen ohne weitere Autorisierung durchführen" steht dort nichts. [Ich bin kein Anwalt, aber wenn ich einer wäre würde ich auch wagen zu behaupten, ein Autorisieren im Voraus ohne Kenntnis dessen _was_ ich überhaupt genehmige ist schon rein logisch schwer möglich bzw. widerspricht dem Geist einer Transaktionsabsicherung durch Autorisierung. Und wenn es doch so gemeint wäre, sollte diese Kausalumkehr mit allen Konsequenzen für den Kunden auch klar kommuniziert werden - Notfalls mit Verweis darauf, dass Smartwatches vom Zahlen mit Google Pay ausgenommen sind.]

Edit: Ich möchte auf keinen Fall undankbar erscheinen, generell finde ich es ja eine tolle Sache wenn die comdirect Vorreiter in Deutschland bei Einführung innovativer Zahlungsmethoden ist. Ich sehe halt aber auch, dass hier Risiken einseitig dem Nutzer aufgebürdet werden, ohne dass diese konkret benannt werden. Klar, ist ja auch nicht geschäftsfördernd bzw. könnte jene Interessenten verschrecken, die noch untentschlossen sind, aber das darf nicht verhindern, dass Ross und Reiter klar benannt werden.

Als Endkunde habe ich kaum Möglichkeiten, bei den Geräteherstellern bzw. bei Google Pay, Apple Pay, Amazon Pay, Fitbit Pay und XYZ-Pay meine Interessen durchzusetzen. Eine Bank mit zigtausend Kunden hingegen hat da zumindest eine bessere Verhandlungsposition.

Re: comdirect über Google Pay und Smartwatch = Zahlen in beliebiger Höhe, ohne PIN Abfrage - Bug?

Goliath74 — Tue, 04 Dec 2018 09:05:12 GMT

Die AGB wurden doch durch Dich erfüllt.

Du hast das Entgerät entsperrt. Das dies bei der Watch für den ganzen Tag gilt wiederspricht in meinen Augen nicht den AGB.

Ich denke auch das Google ganz gut einschätzen kann wie das mit der Watch abläuft 🙂

Re: comdirect über Google Pay und Smartwatch = Zahlen in beliebiger Höhe, ohne PIN Abfrage - Bug?

LeroyFame — Tue, 04 Dec 2018 10:20:31 GMT

@Goliath74 schrieb:
Die AGB wurden doch durch Dich erfüllt.
Du hast das Entgerät entsperrt. Das dies bei der Watch für den ganzen Tag gilt wiederspricht in meinen Augen nicht den AGB.
Ich denke auch das Google ganz gut einschätzen kann wie das mit der Watch abläuft 🙂

Du verkennst das eigentliche Problem:

- bei Zahlung z.B. per Homebanking wird die Mobil-TAN / photo-TAN nach Erstellung der Transaktion abgefragt

- bei einer Zahlung mit Karte im Lesegerät wird die PIN oder Unterschrift nach Erstellung der Transaktion abgefragt

- bei NFC Zahlung mit Karte am Lesegerät wird die PIN oder Unterschrift nach Erstellung der Transaktion abgefragt (Bagatellbeträge ausgenommen)

Bei allen diesen Beispielen wird zur Sicherheit ein zweiter Faktor verlangt, nachdem die genaue Zahlungsanweisung definiert wurde.

Demgegenüber:

- bei NFC Zahlung per Smartwatch wird der zweite Sicherheitsfaktor bereits vor Erstellung irgendeiner Transaktion abgefragt - weit vorher, so dass überhaupt kein Bezug zur eigentlichen Transaktion bestehen kann. Bei Umlegen der Uhr wird quasi automatisch ein Blankoscheck ausgestellt, ohne dass darüber aufgeklärt wird.

Dein Vertrauen in Google nützt dir leider überhaupt nichts wenn du dich vor einem deutschen Gericht mit der comdirect über eine Transaktion streitest, die du nicht wissentlich freigegeben hast, bei der die Bank sich aber auf den Standpunkt stellt, eine Authentifizierung habe doch stattgefunden. Morgens um halb acht. Kurz nach dem Aufstehen, beim Umlegen der Uhr....

Re: comdirect über Google Pay und Smartwatch = Zahlen in beliebiger Höhe, ohne PIN Abfrage - Bug?

kkrdvc — Tue, 04 Dec 2018 12:15:47 GMT

Ich sehe es genau so wie die anderen und zwar ist der Geräthersteller für die Authentifizierung zuständig, und die Authentifikation (Pulsmesser) sollte auch nicht für den Endkunden ausschaltbar sein.

In meinen Augen hat es Apple ganz gut auf den Griff gekriegt, da bisher kein einziger Betrugsfall mit der Apple Watch bekannt ist und bei verschiedenen Tests wurde die Uhr sofort gesperrt, wenn sie die Herzfrequenz nicht mehr messen konnte, also in weniger als einer Sekunde.

Meiner Meinung solltest du dich in diesem Fall bei denn Hersteller deiner Android Smartwatch mal melden und vorschlagen, dass der Pulsmesser nicht ausschaltbar sein sollte wenn gleichzeitig Google Pay eingerichtet wurde. Vor allem bei so einem “Chaos” wie es die Android Wear Welt ist hat die comdirect keinen Einfluss.

Re: comdirect über Google Pay und Smartwatch = Zahlen in beliebiger Höhe, ohne PIN Abfrage - Bug?

ehemaliger Nutzer — Tue, 04 Dec 2018 12:23:23 GMT

@LeroyFame schrieb:

Als Endkunde habe ich kaum Möglichkeiten, bei den Geräteherstellern bzw. bei Google Pay, Apple Pay, Amazon Pay, Fitbit Pay und XYZ-Pay meine Interessen durchzusetzen. Eine Bank mit zigtausend Kunden hingegen hat da zumindest eine bessere Verhandlungsposition.

Glaubst du denn wirklich, dass Google/Apple sich von irgendeiner Direktbank in einem beliebigen Land der Welt (außerhalb der USA) irgendwas vorschreiben lassen? Selbst innerhalb der USA bezweifel ich das. Die machen ihr Ding und für alle anderen heißt es "Friss oder Stirb".

Re: comdirect über Google Pay und Smartwatch = Zahlen in beliebiger Höhe, ohne PIN Abfrage - Bug?

LeroyFame — Tue, 04 Dec 2018 12:55:08 GMT

@kkrdvc schrieb:
Ich sehe es genau so wie die anderen und zwar ist der Geräthersteller für die Authentifizierung zuständig, und die Authentifikation (Pulsmesser) sollte auch nicht für den Endkunden ausschaltbar sein.

In meinen Augen hat es Apple ganz gut auf den Griff gekriegt, da bisher kein einziger Betrugsfall mit der Apple Watch bekannt ist und bei verschiedenen Tests wurde die Uhr sofort gesperrt, wenn sie die Herzfrequenz nicht mehr messen konnte, also in weniger als einer Sekunde.

Meiner Meinung solltest du dich in diesem Fall bei denn Hersteller deiner Android Smartwatch mal melden und vorschlagen, dass der Pulsmesser nicht ausschaltbar sein sollte wenn gleichzeitig Google Pay eingerichtet wurde. Vor allem bei so einem “Chaos” wie es die Android Wear Welt ist hat die comdirect keinen Einfluss.

Siehe die zitierten Nutzungsbedingungen oben:

"Als biometrisches Merkmal kann der Karteninhaber entweder seinen Fingerabdruck über den Fingerabdruckscanner oder einen Iris- oder Gesichtsscann über die Kamerafunktion verwenden."

Von Pulsschlag steht dort nix. Ein Pulsschlag ist zwar biometrisch erfassbar, jedoch bei keiner mir bekannten Smartwatch auch ein biometrisches Authentifizierungsmerkmal. Wie denn auch? Puls ist entweder da oder nicht da, an oder aus, 0 oder 1, je nach Situation mal schneller oder langsamer. Um über den Puls unverwechselbare Muster zu erkennen die eindeutig einer Person zugeordnet werden können (wie Fingerabdruck oder Iris) bräuchte es wohl sehr viel genauere Instrumente und längere Betrachtungszeiträume.

Zur Apple Watch kann ich nichts sagen, da ich keine solche besitze. Aber auch bei der Apple Watch lässt sich zumindest die dauerhafte (stromintensive) Pulsmessung wohl deaktivieren, man möge mich korrigieren wenn ich hier falsch liege. Und dass es hier noch nicht zu vermehrten Betrugsfällen gekommen ist liegt sicher auch an der noch relativ geringen Verbreitung von Wearables mit Zahlfunktion an sich.

Desweiteren hat ein durschnittlich sportlicher Mensch schnell mal einen Ruhepuls unter 60 Schlägen pro Minute, also 1 Sekunde Abstand zwischen den Signalen. Unterstellt man dann noch, dass die Uhr den Puls nur unvollkommen misst und den ein oder anderen Schlag auch mal verpasst, dann würde sie sich entweder alle Nasen lang von selbst sperren, oder aber der zulässige Abstand zwischen zwei Pulsschlägen ist ausreichend groß (2-3 Sekunden) um solche Unregelmäßigkeiten zu überspielen. Ergo kann über die Pulsmessung allein gar nicht sekundengenau festgestellt werden, ob die Uhr noch am Handgelenk getragen wird oder nicht. Denkbar wäre noch ein Erkennen des Ablegens der Uhr über einen zusätzlichen Fotosensor, Näherungssensor, Erkennung von Bewegungsgesten oder Kontakte im Armband, vermutlich also eine Kombination aus mehreren Sensoren. Insofern gebe ich dir recht dass Fossil da deutlich nachbessern muss.

Da wir hier aber über Google Pay (ehemals Android Pay) reden, also über etwas, das originär für das Android OS entwickelt wurde ist es im übrigen auch ziemlich müßig, nun auf ein "Chaos" bei Wear OS zu schimpfen und Apple mit Birnen zu vergleichen 😉

Werde mal den schwarzen Peter nehmen und bei Fossil in den Briefkasten werfen - Mal sehen was dabei herauskommt - stay tuned.

Re: comdirect über Google Pay und Smartwatch = Zahlen in beliebiger Höhe, ohne PIN Abfrage - Bug?

LeroyFame — Tue, 04 Dec 2018 12:59:31 GMT

@ehemaliger Nutzer schrieb:
@LeroyFame schrieb:

Als Endkunde habe ich kaum Möglichkeiten, bei den Geräteherstellern bzw. bei Google Pay, Apple Pay, Amazon Pay, Fitbit Pay und XYZ-Pay meine Interessen durchzusetzen. Eine Bank mit zigtausend Kunden hingegen hat da zumindest eine bessere Verhandlungsposition.
Glaubst du denn wirklich, dass Google/Apple sich von irgendeiner Direktbank in einem beliebigen Land der Welt (außerhalb der USA) irgendwas vorschreiben lassen? Selbst innerhalb der USA bezweifel ich das. Die machen ihr Ding und für alle anderen heißt es "Friss oder Stirb".

Hindert comdirect aber doch auch nicht daran, die irreführenden Nutzungsbedingungen zu korrigieren bzw. durch einen eindeutigen Hinweis zu ergänzen, oder?

Re: comdirect über Google Pay und Smartwatch = Zahlen in beliebiger Höhe, ohne PIN Abfrage - Bug?

kammann — Tue, 04 Dec 2018 16:36:30 GMT

@ehemaliger Nutzer schrieb:
@LeroyFame schrieb:

Fakt bleibt aber, dass eine einfache PIN Abfrage ab einem €-Schwellenwert die Probleme aus der Welt schaffen würde, aber auf diese wird seitens comdirect verzichtet weil man sich auf die (unzureichenden) Sicherungsmaßnahmen anderer verlässt.

Das ist glaube ich eher seitens Google so. Und ich bezweifel wirklich, dass man als Bank Einfluss darauf hat, wie Google GooglePay bzw. Apple ApplePay konzeptioniert hat.

Jede bei Google Pay teilnehmende Bank kann frei entscheiden, ob Beträge >25€ mit PIN oder mit entsperrtem Telefon/Uhr freigegeben werden. comdirect hat sich aktiv für letzteres entschieden, man nennt es auch Consumer Device Cardholder Verification Method (CDCVM). Andere Banken bzw Fintechs nutzen weiterhin die PIN zur Freigabe. Wem also das Risiko bei comdirect zu hoch ist kann z.B. ein Konto bei DiPocket eröffnen und dort die virtuelle Mastercard bei Google Pay hinterlegen - dann gibt man bei größeren Beträgen immer eine PIN ein. Da es sich zudem um ein Guthabenkonto handelt, kann man selbst das Risiko begrenzen - außerdem ist es für den Händler günstiger, da man mit einer Debitcard zahlt, während die comdirect eine Kreditkarte ist.

Völlig unverständlich finde ich die unterschiedlichen Vorgaben bei den verschiedenen Zahlkarten, die comdirect anbietet: Bei der kontaktlosen Girocard muss man auch bei Kleinbeträgen nach einer bestimmten Anzahl von Zahlvorgängen eine PIN eingeben (und führt damit den schnellen Bezahlvorgang von Kleinbeträgen ad absurdum) - während man bei der Kreditkarte das komplette Kreditlimit mit einem einmal entsperrten Telefon bzw einer Uhr ausgeben kann. Das soll einer verstehen...

Re: comdirect über Google Pay und Smartwatch = Zahlen in beliebiger Höhe, ohne PIN Abfrage - Bug?

Goliath74 — Wed, 05 Dec 2018 08:17:04 GMT

@LeroyFame schrieb:
@Goliath74 schrieb:
Die AGB wurden doch durch Dich erfüllt.
Du hast das Entgerät entsperrt. Das dies bei der Watch für den ganzen Tag gilt wiederspricht in meinen Augen nicht den AGB.
Ich denke auch das Google ganz gut einschätzen kann wie das mit der Watch abläuft 🙂
Du verkennst das eigentliche Problem:
- bei Zahlung z.B. per Homebanking wird die Mobil-TAN / photo-TAN nach Erstellung der Transaktion abgefragt
- bei einer Zahlung mit Karte im Lesegerät wird die PIN oder Unterschrift nach Erstellung der Transaktion abgefragt
- bei NFC Zahlung mit Karte am Lesegerät wird die PIN oder Unterschrift nach Erstellung der Transaktion abgefragt (Bagatellbeträge ausgenommen)

Bei allen diesen Beispielen wird zur Sicherheit ein zweiter Faktor verlangt, nachdem die genaue Zahlungsanweisung definiert wurde.

Demgegenüber:
- bei NFC Zahlung per Smartwatch wird der zweite Sicherheitsfaktor bereits vor Erstellung irgendeiner Transaktion abgefragt - weit vorher, so dass überhaupt kein Bezug zur eigentlichen Transaktion bestehen kann. Bei Umlegen der Uhr wird quasi automatisch ein Blankoscheck ausgestellt, ohne dass darüber aufgeklärt wird.

Dein Vertrauen in Google nützt dir leider überhaupt nichts wenn du dich vor einem deutschen Gericht mit der comdirect über eine Transaktion streitest, die du nicht wissentlich freigegeben hast, bei der die Bank sich aber auf den Standpunkt stellt, eine Authentifizierung habe doch stattgefunden. Morgens um halb acht. Kurz nach dem Aufstehen, beim Umlegen der Uhr....

Was bei anderen Zahlungen ist spielt überhaupt keine Rolle denn Du beugst Dich Google, den Geräteherstellern und den AGB zu Google Pay. Du musst es aber nicht nutzen. Niemand zwingt es Dir auf.

Woher glaubst Du eigendlich zu Wissen das ich Google traue?

Ganz sicher nicht! Ich nutze Google Pay nicht und werde auch Apple Pay nicht nutzen.

Re: comdirect über Google Pay und Smartwatch = Zahlen in beliebiger Höhe, ohne PIN Abfrage - Bug?

SMT_Philipp — Wed, 05 Dec 2018 10:02:50 GMT

Hallo @LeroyFame,

aktuell sehen wir keinen Bedarf für eine Änderung der Nutzungsbedingungen.

Du bist der Meinung, dass die Authentifizierung mittels Herzfrequenzmessung erfolgt. Das ist so aber nicht ganz richtig. Die Authentifizierung erfolgt mit der Eingabe des Codes am Morgen, wenn die Uhr umgebunden wird. Diese Authentifizierung wird solange als gültig erachtet, bis der Kunde die Uhr wieder ablegt.

Und dieses Ablegen wird bei den einzelnen Smartwatches differenziert durchgeführt. Bei manchen Uhren ist eine Herzfrequenzmessung mit eingebaut, andere Uhren verwenden andere Sensoren. Durch diese permanente Messung, ob die Uhr getragen wird oder nicht, ist also nicht als eigentliche Authentifizierung zu betrachten, sondern nur als „Verlängerung“ dieser.

@kammann: Die Bedingungen für die Consumer Device Cardholder Verification Method (CDCVM) werden pro Markt (hier Deutschland) festgelegt und nicht von jeder teilnehmenden Bank einzeln bestimmt.

Viele Grüße

Philipp

Re: comdirect über Google Pay und Smartwatch = Zahlen in beliebiger Höhe, ohne PIN Abfrage - Bug?

LeroyFame — Wed, 05 Dec 2018 11:09:25 GMT

@Goliath74 schrieb:
@LeroyFame schrieb:
@Goliath74 schrieb:
Die AGB wurden doch durch Dich erfüllt.
Du hast das Entgerät entsperrt. Das dies bei der Watch für den ganzen Tag gilt wiederspricht in meinen Augen nicht den AGB.
Ich denke auch das Google ganz gut einschätzen kann wie das mit der Watch abläuft 🙂
Du verkennst das eigentliche Problem:
- bei Zahlung z.B. per Homebanking wird die Mobil-TAN / photo-TAN nach Erstellung der Transaktion abgefragt
- bei einer Zahlung mit Karte im Lesegerät wird die PIN oder Unterschrift nach Erstellung der Transaktion abgefragt
- bei NFC Zahlung mit Karte am Lesegerät wird die PIN oder Unterschrift nach Erstellung der Transaktion abgefragt (Bagatellbeträge ausgenommen)

Bei allen diesen Beispielen wird zur Sicherheit ein zweiter Faktor verlangt, nachdem die genaue Zahlungsanweisung definiert wurde.

Demgegenüber:
- bei NFC Zahlung per Smartwatch wird der zweite Sicherheitsfaktor bereits vor Erstellung irgendeiner Transaktion abgefragt - weit vorher, so dass überhaupt kein Bezug zur eigentlichen Transaktion bestehen kann. Bei Umlegen der Uhr wird quasi automatisch ein Blankoscheck ausgestellt, ohne dass darüber aufgeklärt wird.

Dein Vertrauen in Google nützt dir leider überhaupt nichts wenn du dich vor einem deutschen Gericht mit der comdirect über eine Transaktion streitest, die du nicht wissentlich freigegeben hast, bei der die Bank sich aber auf den Standpunkt stellt, eine Authentifizierung habe doch stattgefunden. Morgens um halb acht. Kurz nach dem Aufstehen, beim Umlegen der Uhr....
Was bei anderen Zahlungen ist spielt überhaupt keine Rolle denn Du beugst Dich Google, den Geräteherstellern und den AGB zu Google Pay.

Im Vertragsverhältnis mit der comdirect sind zunächst einmal die Nutzungsbedingungen und AGB der comdirect vorrangig. Und darin steht, dass eine Transaktion durch Entsperren authorisiert wird. Ergo mein Hinweis an comdirect, dass die Nutzungsbedingungen der Nutzungsrealität mit Smartwatch hinterherhinken und mißverständlich formuliert sind.

Du musst es aber nicht nutzen. Niemand zwingt es Dir auf.

Äh ja, das Thema hatten wir schon. Siehe oben.

Woher glaubst Du eigendlich zu Wissen das ich Google traue?
Ganz sicher nicht! Ich nutze Google Pay nicht und werde auch Apple Pay nicht nutzen.

Dein Googlevertrauen ergibt sich für mich aus dem von Dir geäußerten Gedanken, Google könne ganz gut einschätzen, wie das mit der Watch ablaufe. Deine Aussage impliziert, dass Du Google zumindest insoweit vertraust, als dass Du es für unnötig erachtest, die seitens Google für Google Pay festgelegte und durch comdirect akzeptierte Verfahrensweise der Authorisierung / Entsperrung weiter auf Sinnhaftigkeit zu hinterfragen.

Ehrliche Frage: Ergibt sich deine Nichtnutzung von Google Pay bzw. Apple Pay einfach aus Mangel an Anwendungsgelegenheiten, oder liegt es an mangelndem Vertrauen in die Sicherheit des Systems? Falls letzteres, beschreib doch bitte mal, was genau dich daran stört bzw. verbessert werden müsste?

Re: comdirect über Google Pay und Smartwatch = Zahlen in beliebiger Höhe, ohne PIN Abfrage - Bug?

LeroyFame — Wed, 05 Dec 2018 20:19:14 GMT

@SMT_Philipp schrieb:

Du bist der Meinung, dass die Authentifizierung mittels Herzfrequenzmessung erfolgt.

Nein, ich hatte dargelegt, dass Herzfrequenzmessung überhaupt kein Authentifizierungsmerkmal sein kann, siehe oben 😉

Re: comdirect über Google Pay und Smartwatch = Zahlen in beliebiger Höhe, ohne PIN Abfrage - Bug?

Goliath74 — Fri, 07 Dec 2018 10:06:28 GMT

@LeroyFame schrieb:
Woher glaubst Du eigendlich zu Wissen das ich Google traue?
Ganz sicher nicht! Ich nutze Google Pay nicht und werde auch Apple Pay nicht nutzen.
Dein Googlevertrauen ergibt sich für mich aus dem von Dir geäußerten Gedanken, Google könne ganz gut einschätzen, wie das mit der Watch ablaufe. Deine Aussage impliziert, dass Du Google zumindest insoweit vertraust, als dass Du es für unnötig erachtest, die seitens Google für Google Pay festgelegte und durch comdirect akzeptierte Verfahrensweise der Authorisierung / Entsperrung weiter auf Sinnhaftigkeit zu hinterfragen.

Ehrliche Frage: Ergibt sich deine Nichtnutzung von Google Pay bzw. Apple Pay einfach aus Mangel an Anwendungsgelegenheiten, oder liegt es an mangelndem Vertrauen in die Sicherheit des Systems? Falls letzteres, beschreib doch bitte mal, was genau dich daran stört bzw. verbessert werden müsste?

Mein Aussage impliziert gar nichts. Du solltest weniger der Meinung sein zu wissen was andere meinen und denken sondern die Personen fragen.

Ich nutze Google Pay nicht weil ich kosteneffizient denke.

Jeder zwischengeschaltete Dienstleister verursacht kosten bzw. will etwas vom Kuchen abhaben. Diese kosten landen am Ende bei mir, denn der Händler legt seine Kosten auf die Ware um und die Bank versucht Ihre Kosten natürlich auch zu decken. Woher Google sein Geld bekommt ist egal. Am Ende zahlt der Kunden.

Da ich 1. Kunde bin will ich ein kostenloses Konto und da ich 2. Aktionär bin will ich viel Dividende. Daher spare ich kosten.

Um aber ein wenig auf Deine Frage einzugehen: Ich vertraue der Sicherheit der Systeme aber Google bekommt von mir schon immer so wenig Daten wie möglich also auch deswegen würde ich es nicht nutzen. Bei Apple übrigens das selbe.

So Ende der Diskussion.

Re: comdirect über Google Pay und Smartwatch = Zahlen in beliebiger Höhe, ohne PIN Abfrage - Bug?

LeroyFame — Fri, 07 Dec 2018 11:11:43 GMT

@Goliath74 schrieb:
Mein Aussage impliziert gar nichts.

Alle Kreter lügen, sagt der Kreter? Nun gut lassen wir das, wir gleiten hier ein wenig ins Philosophische ab. Du hast deine etwas schwammige Aussage klargestellt, ist hiermit zur Kenntnis genommen.

Du solltest weniger der Meinung sein zu wissen was andere meinen und denken sondern die Personen fragen.

Das ist das schöne an einem Forum: Man muss nicht extra nachfragen, alle schreiben einfach gegenseitig im Wechsel und wenn sich jemand missverstanden fühlt, kann er Dinge ganz einfach präzisieren und dadurch richtigstellen!

Ich nutze Google Pay nicht weil ich kosteneffizient denke.
Jeder zwischengeschaltete Dienstleister verursacht kosten bzw. will etwas vom Kuchen abhaben. Diese kosten landen am Ende bei mir, denn der Händler legt seine Kosten auf die Ware um und die Bank versucht Ihre Kosten natürlich auch zu decken. Woher Google sein Geld bekommt ist egal. Am Ende zahlt der Kunden.
Da ich 1. Kunde bin will ich ein kostenloses Konto und da ich 2. Aktionär bin will ich viel Dividende. Daher spare ich kosten.
Um aber ein wenig auf Deine Frage einzugehen: Ich vertraue der Sicherheit der Systeme aber Google bekommt von mir schon immer so wenig Daten wie möglich also auch deswegen würde ich es nicht nutzen. Bei Apple übrigens das selbe.

Deine altruistische Gesinnung ehrt Dich und ich gebe Dir im Grunde recht, dass nach Möglichkeit die Zahl der Mittelsmänner im Zahlungsverkehr auf Null reduziert gehört. Nun ist aber die Weltübernahme der Kryptowährungen leider grad ein wenig ins Stocken geraten, und so müssen wir uns wohl noch ein paar weitere Jahrzehnte mit Banken, Kreditkartengebühren, Google Pay und allen anderen Dienstleistern herumärgern.

Ich behaupte einmal, der tatsächliche Effekt auf Händlerpreise durch Verweigerung von Google Pay durch Endkunden ist so gering, dass er im Rauschen der übrigen Zahlungen schlicht untergeht.

Ebenso könnte ich beispielsweise folgende Rechnung aufmachen:

Bezahlvorgang per Smartwatch: Dauer5 Sekunden.

Bezahlvorgang der WartenSieichhabspassend-MünzsammlerRentnerin: 30 Sekunden.

Macht 25 Sekunden Differenz. Umgelegt auf einen fiktiven 12,-€-Stundenlohn der Scannerfachkraft im Supermarkt macht das gut 8 Cent aus.

Will sagen: der Händler hat auch einen Mehrwert vom schnelleren Zahlvorgang. Von der gesparten Lebenszeit und den kollektiven Nerven der Restschlange mal ganz zu schweigen - aber auch die Länge der Wartezeiten bestimmt letztendlich mit, ob Kunden in einem Geschäft gern oder weniger gern einkaufen. Nicht umsonst testet Amazon in den USA vollüberwachte Orwellsche Supermärkte, die gänzlich ohne Kasse auskommen.

Gegenüber der herkömmlichen EC-Karte oder Kreditkarte mit NFC Chip ist die Zeitersparnis an der zwar kürzer als beim Extremfall Münzsucher, aber trotzdem vorhanden (Karte aus Brieftasche kramen, alle paar Male PIN eingeben oder Unterschrift leisten etc.).

Interessant wäre tatsächlich mal zu wissen, an welcher Stelle Google Pay Mehrkosten in welcher Höhe verursacht: Zahlt die comdirect hier pauschale Lizenzgebühren für die Teilnahme am Google-Pay System (die würden auch dann anfallen, wenn Du Dich weigerst, es zu nutzen - ergo keine Ersparnis)? Oder rechnet Google pro Transaktion ab - wenn ja mit wem (nur dann hätte deine Weigerung einen Effekt)? Oder aber, und da gebe ich Dir wiederum recht wenn Du den Datenkraken misstraust - Google verdient sein Geld allein über die Auswertung der Verkaufsdaten.

So Ende der Diskussion.

Das ist jetzt aber ein bisschen kleingeistig bis armselig und Deiner eigentlich unwürdig, oder?