Visa-Debitkarte in falsche Hände geraten

[Deco92]

Ich möchte hier auf einen Missbrauch im Zusammenhang der von Comdirect verschickten Visa-Debitkarte aufmerksam machen. Anfang des Jahres wurde von der Comdirect eine neue Visa-Debitkarte ausgestellt, ohne dass sie von mir beantragt wurde. Ich erwartete also keine Karte und habe somit nicht bemerkt, dass sie nie bei mir ankam. Der Dieb hat die Karte scheinbar in Google Pay registriert und konnte sie scheinbar ohne weiteres benutzen. Die Transaktionen wurden automatisch von meinem Girokonto abgebucht. Da ich das Konto mehrere Monate nicht genutzt habe sind mir die Abbuchungen erst später aufgefallen, und das Konto war schließlich leer geräumt. 

Nach dem mir der Betrug aufgefallen war, habe ich die Karten sofort gesperrt und mich mit dem Kundenservice in Verbindung gesetzt. Der Kundenservice teilte mir mit das keine PIN freigeschaltet wurde. Der Kundenservice hat mich zudem auf die Reklamationsmöglichkeit hingewiesen und empfohlen zudem eine Strafanzeige zu erstatten. Die Polizei teilte mir daraufhin mit, dass eine Strafanzeige nur unter Angabe der vollständigen Daten (u.a. Uhrzeit) möglich sei, um u.a. Videoüberwachung auswerten zu können. Diese Daten habe ich bei Comdirect beantragt, woraufhin man mir mitgeteilt hat, dass die Polizei diese Daten bei der Bank bitte selbst beantragen solle.

Schriftlich wurde mir außerdem mitgeteilt, dass die Reklamation nicht plausibel erscheint, da eine Registrierung in Google Pay vorgenommen wurde, und deshalb nicht umgesetzt werden kann.

Wie kann eine Visa-Debitkarte verschickt werden und damit automatisch nutzbar sein? Neben Einkäufen bei Google wurde sie auch in verschiedenen Supermärkten und zur Geldabhebung benutzt.

Ich habe die Karte nie erhalten noch wusste ich von ihr. Ich habe keine Registrierung in Google Pay vorgenommen noch sie zu anderen Zwecken genutzt.

[ehemaliger Nutzer]

Dann hast Du wohl die Wörter verwechselt und meinst einen kompromittierten Shop 😉

Ich kenne das: Man liest mehrfach den verfassten Text und überliest den Fehler immer wieder, da einem das Hirn das richtige Wort vorgaukelt.

[digitus]

... müsste es dann nicht "kompromittierter" heißen? Komprimiert hat doch was mit Druck zu tun?

[arthurschuessler]

Ich denke, man sollte Comdirect angehen, evtl. sogar anzeigen, da verhindert wird, dass man als Kunde den Betrug nachvollziehen und Schaden minimieren könnte. Wie kann man als Kunde für ein Scheunentor-grosses, wohl systemisches Sicherheitsloch bei der Schnittstelle Bank-Google Pay verantwortlich sein, bei dem dann mal schnell 10 Buchungen an einem Tag auf Kreditkarte laufen, ohne Autorisierung? Keine Möglichkeit zu reagieren, da unsichtbar, bis 2 Tage später Buchugen überhaupt erst auftauchen. Dann bekommt man KEINERLEI Information von Comdirect, ausser, das hätte man grob-fahrlässig selbst verursacht, weil ja über Google Pay. Entweder Google, oder die Bank handeln hier grob fahrlässig, nicht der Kunde, der garnicht erkennen kann, dass ein Betrugsvorgang läuft. Siehe Erklärung Multimedia Team der Comdirect - das ERSTE Mal, das jemand eine schlüssige Idee mitteilt, wie es hätte ablaufen können. Hätte ich vor 2 Monaten Datum und Uhrzeit - wie mehrfach angefragt - von der Comdirect bekommen, hätte ich vielleicht nachvollziehen können, was passiert ist.

Ich finde, das Verhalten der Comdirekt ist das hinterletzte.

[dg2210]

---

@Krügerrand  schrieb:

I

Ein Angriff könnte theoretisch folgendermaßen ablaufen:

Einfallsvektor: Sie geben auf einem kompromittierten Onlineshop oder einem Fakeshop ihre Kreditkartendaten samt Handynummer ein.

Das Folgende geschieht in Echtzeit, während Sie sich noch im Bezahlvorgang befinden:

1. Der Angreifer registriert Ihre Karte bei Google Pay. Dies triggert automatisch eine Autorisierungs-SMS an ihre Nummer. 

---

Die SMS kommt aber doch wohl nur, wenn der SMS-Info-Service aktiv ist. In diesem Fall würde auch bei jeder Transaktion  >200 EUR eine SMS kommen, der Angriff bliebe also nicht lange unentdeckt.

[Krügerrand]

Gehen wir davon aus, der SMS Service ist aktiviert: Dann kommt eine SMS nur bei Zahlungen über 200 EUR. Hier wäre interessant, ob es a) zu Abbuchungen über 200 EUR kam und b) ob bei solchen eine SMS versendet wurde und der geschädigte Kunde informiert wurde. Selbst dann ist zu diesem Zeitpunkt das "Kind schon in den Brunnen gefallen" und es gibt offensichtlich hier einen Angriffsvektor, den man bekämpfen muss. 

@SMT_Service kann ich meine VISA Karte für Google Pay aus der Wallet heraus aktivieren, wenn ihr nur meine Mobilfunknummer habt, oder muss dazu der Infoservice an sein? Ist der Infoservice standardmäßig aktiviert, wenn ihr die erste Visa (Debit-) Karte zusendet und ihr die Nummer schon habt?

@ehemaliger Nutzer Deine Antwort mit der Aktivierung nur über die App stimmt glaube ich nicht (mehr?).

@arthurschuessler eigentlich hast du einen Anspruch gegen denjenigen, der deine Zahlung erhalten hat. Also den Händler, der die Karte akzeptiert hat, oder den Geldautomatenbetreiber, der die Auszahlung autorisiert hat. Deshalb bleibt aus meiner Sicht nur: 

1. Strafanzeige gegen Unbekannt stellen.

2. Eine Zahlungsreklamation über die Comdirect an den Händler stellen.

Visa-Umsatzreklamation | comdirect FAQs

Mich wundert, dass das nicht die offizielle Rückmeldung ist. 

[arthurschuessler]

Die Comdirect macht GAR nichts, "müssen sie sich drum kümmern" - und dann nur noch Warteschleife bei Kontaktversuch. Die Nummer für Kreditkarten und/oder PIN Sperren - nach 3 Anrufen 45 min in warteschleife hab ich beschlossen, Konto wird geschlossen. Unzumutbar.

Ich habe Bankverbindung eines Musikklubs (osteurop. Ausland) von dort bekommen, in dem ein Teil des Geldes gelassen wurde, mit Hinweis, meine Bank müsste das für evtl. Erstattung mit deren Bank klären, die hatten es ihrer Bank gemeldet. Nur: die Comdirect weigert sich, da IRGENDWAS zu machen! Die würden das Geld evtl rückbuchen, können aber nicht.

Ein Café wo bezahlt wurde (gleiche Stadt) konnte ich nicht recherchieren.

Der chinesische online Shop, wo das meiste bezahlt wurde, hat Rückerstattung durchgeführt, abzüglich Gebühren. Dieser chinesische Shop war konstruktiv, 2 Tage mit viel Kommunikation, inkl. Finanzleute dort, und hat getan was sie konnten. Dort gab es sogar Menschen mit denen man kommunizieren konnte, im Gegensatz zur Comdirect. Ich habe dort sogar Informationen für die Polizei hier in DE erhalten.

Die Comdirekt hat Aufklärung im Prinzip nur behindert. 

[arthurschuessler]

PS: Natürlich HABE ich die Umsätze bei der Comdirect sofort reklamiert und VISA Karte gesperrt, wenige Minuten nachdem ich die Buchungen gesehen hatte (früh mogens) 

[ImFluss]

Hier gibt es aus meiner Sicht hilfreiche Informationen zu dem Thema Chargeback-Verfahren:

https://www.finanztip.de/kreditkarten/kreditkartenzahlung-stornieren-chargeback/

Ansonsten drücke ich die Daumen bei den Rückforderungen…

[arthurschuessler]

Das ist ja schon durch. 

Du kannst Umsätze direkt im Web-Interface reklamieren.

Die Comdirect sagt, es ist nicht ihr Problem, es ist Google Pay, daher MUSS ich es ja sozusagen aktiv gemacht haben, daher keine Rückerstattung.

Sie hätten mich über die Aktivierung von Google Pay durch eine Nachricht in Postbox (muss man da jeden Tag rein schauen?) informiert. Das scheint die Rechtfertigung zu sein. Standardbrief.

Nochmal reklamiert, um Daten gebeten (wann, wie, etc) - nur wieder "erstatten wir nicht". Halb-Srandrabrief, an Schiedsstelle verwiesen.  Keine Infos zum Vorgang.

Wie gesagt, Konto ist bereits umgezogen, und im Laufe des Januar zu.

Das ist keine Bank, das ist eine Unverschämtheit. 

Stell dir vor, du musst deine Pin sperren und hängst 45 min in der Warteschleife (plus X). Alleine das ist schon völlig inakzeptabel. Der Rest ist ohne Worte...

[Klever]

---

@arthurschuessler  schrieb:

Der chinesische online Shop, wo das meiste bezahlt wurde, hat Rückerstattung durchgeführt, abzüglich Gebühren. Dieser chinesische Shop war konstruktiv, 2 Tage mit viel Kommunikation, inkl. Finanzleute dort, und hat getan was sie konnten. Dort gab es sogar Menschen mit denen man kommunizieren konnte, im Gegensatz zur Comdirect. Ich habe dort sogar Informationen für die Polizei hier in DE erhalten.

Die Comdirekt hat Aufklärung im Prinzip nur behindert. 

---

@SMTcomdirect Wie kann es sein, dass die Kommunikation mit einem chinesischen (!!!!!!) Online-Shop besser und konstruktiver verläuft als mit der Comdirect??? - Das sollte euch wirklich zu denken geben!!!