Künstliche Intelligenz
OLG-Urteil: S-pushTAN-Verfahren reicht nicht für starke Kundenauthentifizierung
Das Oberlandesgericht (OLG) Dresden hat mit einem jetzt veröffentlichten Urteil vom 5. Mai Klarstellungen zur Sicherheit des pushTAN-Verfahren und zu Ersatzansprüchen bei einer betrügerischen Cyberattacke vorgenommen (Az. 8 U 1482/24). Laut dem Beschluss des 8. Zivilsenats muss eine Sparkasse einem Kunden, der Opfer eines Phishing-Angriffs wurde und dabei grob fahrlässig handelte, einen Teil des entstandenen Schadens erstatten. Die Richter begründen das vor allem durch ein Mitverschulden des Zahlungsdienstleisters rund um die Ausgestaltung des Logins in das Online-Banking mit der S-push-TAN-App, die keine „starke Kundenauthentifizierung“ biete.
Mit dem Beschluss hat das OLG ein früheres Urteil des Landgerichts Chemnitz vom 24. Oktober 2024 aufgehoben und neu gefasst. Dem Kläger, dessen Girokonto durch zwei unautorisierte Überweisungen von insgesamt 49.421,44 Euro belastet wurde, sprachen sie Anspruch auf Wiedergutschrift zu. Die Sparkasse muss ihm 9884,29 Euro zuzüglich Zinsen erstatten sowie vorgerichtliche Rechtsanwaltskosten in Höhe von 1119,79 Euro nebst Zinsen zahlen.
Hintergrund des Streits
Der Kläger nutzte das Online-Banking der Sparkasse mit dem S-pushTAN-Verfahren. Er erhielt eine Phishing-E-Mail, die eine Aktualisierung des Online-Bankings ankündigte und ihn auf eine gefälschte Sparkassen-Website leitete. Dort gab er seine Zugangsdaten ein. Anschließend erhielt er Telefonanrufe von einer angeblichen Sparkassenmitarbeiterin, die ihn unter dem Vorwand einer technischen Neuinstallation dazu brachte, „Aufträge“ in der S-pushTAN-App zu bestätigen. Diese Bewilligungen führten zur Erhöhung des Tageslimits und zu zwei Echtzeitüberweisungen auf ein ihm unbekanntes Konto.
In der pushTAN-App seien ihm keine konkreten Angaben zu Empfängern oder Beträgen angezeigt worden, führte der Kläger dazu aus. Ihm seien lediglich unbestimmte „Aufträge“ zur Freigabe vorgelegt worden. Nach Bekanntwerden der Unregelmäßigkeiten informierte er die Sparkasse und erstattete Strafanzeige.
Eigentlich verlangte der Übertölpelte die Wiedergutschrift des gesamten Betrages, da die Zahlungen nicht von ihm autorisiert worden seien und die Sparkasse ihren Pflichten zur „starken Kundenauthentifizierung“ nicht nachgekommen sei. Er stellte dabei vor allem auf das Einloggen ins Online-Banking und die Anzeige von Zahlungsempfängern in der pushTAN-App ab. Der Kläger argumentierte, dass das Login lediglich mit Anmeldename und statischer PIN erfolgte und sensible Zahlungsdaten ohne weitere Authentifizierung einsehbar waren. Dies stelle einen Verstoß gegen Paragraf 55 Zahlungsdiensteaufsichtsgesetz (ZAG) dar. Zudem bemängelt er, dass in der Sparkassen-App unstreitig nie der Name des Zahlungsempfängers, sondern nur dessen IBAN angezeigt werde, was gegen EU-Recht verstoße.
Die Beklagte hielt dem entgegen, der Kläger habe seine Sorgfaltspflichten grob fahrlässig verletzt, indem er auf die Phishing-Mail und die „Fake-Anrufe“ reagierte und die Aufträge in der pushTAN-App freigab. Sie behauptete, das S-pushTAN-Verfahren sei sicher und TÜV-geprüft und eine Manipulation der Anzeige sei technisch ausgeschlossen. Der Kläger hätte die Sicherheitshinweise der Sparkasse beachten müssen.
Die EU machte fürs Online-Banking mit der Zahlungsdienste-Richtlinie PSD2 eine Zwei-Faktor-Authentifizierung obligatorisch. Beim pushTAN-Verfahren wird eine Transaktionsnummer als Push-Nachricht an eine spezielle Mobilanwendung auf dem Smartphone gesendet, was teils Angriffe ermöglicht.
Richterspruch
Das OLG bestätigte zunächst, dass die Zahlungen vom Kläger nicht autorisiert wurden: Ihm sei zum Zeitpunkt der Freigaben nicht bewusst gewesen, dass er Echtzeit-Überweisungen bestätigte. Zugleich sah das Gericht bei ihm auch ein „grob fahrlässiges“ Verhalten. Er habe seine gesetzliche Sorgfaltspflicht aus Paragraf 675l BGB verletzt, indem er „unbekannten Tätern durch die Freigabe von Aufträgen in der S-pushTAN-App ‚auf Zuruf‘ mittelbar Zugang gewährt“ und sensible Daten nach einem Phishing-Angriff preisgegeben habe. Die Kammer unterstrich, der Kläger habe die angezeigten Daten in der S-pushTAN-App nicht überprüft, was eine vehemente Pflichtverletzung darstelle.
Trotzdem sprach das OLG der Sparkasse ein Mitverschulden von 20 Prozent zu. Dies begründete es mit einem Verstoß gegen aufsichtsrechtliche Vorschriften: Die Sparkasse habe es versäumt, eine „starke Kundenauthentifizierung“ im ZAG-Sinne beim Login in das Online-Banking zu verlangen, obwohl dort „sensible Zahlungsdaten“ einsehbar waren. Das Gericht stellte fest: „Vor diesem Hintergrund war der Verstoß der Beklagten gegen aufsichtsrechtliche Vorschriften für das Gelingen des betrügerischen Angriffs jedenfalls mitursächlich, weil so ohne Zutun des Klägers die aus dem Online-Banking heraus zu veranlassenden Vorbereitungsmaßnahmen und Auftragserstellungen vorgenommen werden konnten.“
Die Ausnahmevorschriften, die eine einfache Authentifizierung für den reinen Abruf des Kontostandes erlauben, griffen hier nicht, heben die Richter hervor. Es seien nämlich weitere sensible Daten zugänglich gewesen. Die Argumente des Klägers, dass die Transaktionsüberwachung unzureichend gewesen sei oder das S-pushTAN-Verfahrens nicht dem Stand der Technik entspreche, berücksichtigte das OLG nicht. Diese Behauptungen hielt es für nicht belegt.
(olb)
Künstliche Intelligenz
80 Gb/s: Neue Variante von schnellem OWC-Gehäuse für M.2-SSDs
User, die sich erst kürzlich eine USB-C-SSD-Hülle von Other World Computing (OWC) gekauft haben, werden sich jetzt womöglich ärgern: Der auf Apple-Zubehör spezialisierte Anbieter hat ein neues Modell der Baureihe 1M2 auf den Markt gebracht, die den potenziellen Datendurchsatz mal eben verdoppelt. Der Name des Produkts, das optisch aussieht wie der Vorgänger: 1M2 80G. Das 80G steht dabei für die möglichen 80 GB/s, die das Gerät nun bei passender Gegenstelle (und passender SSD) weiterreichen kann.
Von 40 auf 80 GB/s via USB 4.0 oder Thunderbolt 5
Das Vormodell hatte PCIe-x4-M.2-Riegel noch mit maximal 40 GB/s angebunden – via USB 4.0 oder Thunderbolt 4. Der Nachfolger soll über einen USB-4.0-Host mit Unterstützung von 80 GB/s oder ein Thunderbolt-5-Gerät (etwa Apples Mac mini M4 Pro) bis zu „über 6000 MB/s“ packen. 40-GB/s-Hosts mit USB 4.0 erreichen „Real-World Speeds“ von „über“ 3800 MB/s, Thunderbolt-4-Geräte bis zu 3800 MB/s. Thunderbolt 3 funktioniert nur mit Macs und verspricht laut OWC bis zu 2800 MB/s.
Die Hardware an sich ändert sich, bis auf das neue, schnellere Board, kaum: Das 1M2 steckt nach wie vor in einem 2,5-Zoll-Case aus Alu und akzeptiert NVMe-Streifen der Bauarten 2280 und 2242. Die Stromversorgung erfolgt über den Rechner. Ein USB-4-Kabel (nicht Thunderbolt 5) liegt bei. Das gesamte Gehäuse besteht bis auf ein kleines Vorderteil mit der Logik aus Kühlrippen, soll im Betrieb also vergleichsweise weniger heiß werden. Dennoch ist auf eine korrekte Verbauung der M.2 zu achten.
Von 219 bis 1299 Dollar, mit und ohne Speicher
OWC verkauft das 1M2 80G in verschiedenen Varianten. Ohne M.2 zahlt man aktuell beim Hersteller 219 US-Dollar plus Steuern, Versand und Zoll. 1 TByte kostet 349, 2 TByte 499, 4 TByte 699 und 8 TByte 1299 Dollar. Die Module kommen von OWC selbst, wer der OEM ist, blieb zunächst unklar.
Zum Vergleich: Die alte Variante 1M2 ist im Handel ohne M.2-Modul bereits deutlich günstiger (ab 120,05 €) erhältlich. Auch hier kann man Modelle mit OWC-SSDs der Größen 1 TByte, 2 TByte, 4 TByte und 8 TByte erwerben. Wer den Vorgänger erworben hat, aber nicht über einen Mac oder PC verfügt, der USB 4.0 mit 80 GB/s beziehungsweise Thunderbolt 5 unterstützt, muss sich am neuen Modell nicht stören. Es ist allerdings weniger zukunftssicher als der Nachfolger. Wann Euro-Preise für diesen vorliegen, ist noch unklar.
(bsc)
Künstliche Intelligenz
#TGIQF: Das Quiz um die Audio-CD
Als am 17. August 1982 die Compact Disc auf den Markt kam, wurde die Musik erstmals auf breiter Front digital und das lange, bevor der Computer unseren Musikkonsum bestimmte. Aber die Revolution brauchte Zeit: Zwar begann in Langenhagen bei Hannover an dem Tag die Produktion des ersten CD-Albums. Der erste kaufbare Player erschien erst am 2. März 1983 in Europa und den USA, dann aber schon mit immerhin 16 Alben zur Auswahl.
Anfangs waren CD-Player aufgrund des hohen Preises von fast 2000 Mark für Player und viel höheren CD-Preisen gegenüber den gleichen Alben auf Vinyl eher was für Liebhaber und Klassik-Fans. Mit der Zeit kamen jedoch immer günstigere Geräte auf den Markt und auch die CDs verloren ihren Preisnachteil. Insbesondere als die ersten tragbaren Geräte auf den Markt kamen, wurde CD-Qualität mobil – und mit einem Kassetten-Adapter waren sie eine günstige Alternative zu den anfangs sehr teuren CD-Autoradios und -Wechslern.
Doch nicht nur die Vinyls wurden abgelöst. Die aufkommenden CD-Brenner versetzten die Musikmultis in Angst und Schrecken: Schließlich konnte man sich damit eine perfekte Kopie brennen. Sie reagierten mit allerlei Kopierschutzmechanismen und fuhren einen harten Kurs gegen Raubkopierer. Zu dem Zeitpunkt hatte die CD bereits Vinyl und Kassetten als wichtigstes Musikmedium abgelöst. Ihren eigenen Abstieg erlebte die CD erst, als sich Musikstreaming etablierte. Doch was war das erste CD-Album? Das möchten wir von Ihnen wissen, in unserer letzten Hürde vorm verdienten Wochenende.
Die heiseshow in dieser Woche brachte viele Erkenntnisse, wenn auch nicht in kompakter Form: Dr. Volker Zota, Malte Kirchner und Quizmaster Markus Will verrieten nicht nur ihre zum Teil schrägen CD-Erstkäufe, sondern die Stammcrew beantwortete die drei obligatorischen Quiz-Fragen fast in CD-Qualität!
Schnellrater haben wieder die Chance, die volle Punktzahl abzuräumen. Mit 12 Fragen können Sie satte 240 Punkte erreichen. Die Punktzahl kann gerne im Forum mit anderen Mitspielern verglichen werden. Halten Sie sich dabei aber bitte mit Spoilern zurück, um anderen Teilnehmern nicht die Freude am Quiz zu verhageln. Lob und Kritik sind wie immer gerne genommen.
Bleiben Sie zudem auf dem Laufenden und erfahren Sie das Neueste aus der IT-Welt: Folgen Sie uns auf den Kurznachrichten-Netzwerken Bluesky und Mastodon und auf den Meta-Ebenen Facebook oder Instagram. Falls Sie eigene Ideen oder Fragen für ein neues Quiz haben, dann schreiben Sie einfach dem Quizmaster.
(mawi)
Künstliche Intelligenz
Eintauchen in ein kleines Angebot: Immersives Video für die Vision Pro lahmt
Der Vision Pro fehlt immer noch eine Killeranwendung. Bekannt ist allerdings, dass viele Nutzer das technisch fortschrittliche Apple-Headset zum Ansehen von Filmen nutzen. Dabei sind besonders immersive Filme beeindruckend, die speziell für die Vision Pro aufgenommen wurden. Sie erlauben ein echtes, hochauflösendes Eintauchen in die Inhalte. Das Problem: Noch immer gibt es vergleichsweise wenig Material. Und ausgerechnet Apple selbst, das den Bereich lange vorangetrieben hatte, macht offenbar schlapp. Das berichtete der Bloomberg-Journalist Mark Gurman in seinem letzten Newsletter. „Apples Vision Pro leidet an zu wenig Immersive Video“, schreibt er in der Überschrift.
Keine 30 immersiven Videos seit Verkaufsstart
Laut Gurmans Zählung gibt es solche Filme – die zumeist nur Kurzformat haben – bislang 27 Mal in der Vision-Pro-Bibliothek. Dabei hatte Apple extra ein eigenes technisches Format geschaffen, für das es auch ein eigenes Managementwerkzeug für Produzenten gibt. Apples eigenes Team hatte verschiedene Serien als immersive Videos gestartet, die allerdings teilweise nur eine Folge haben. Dazu zählt eine Tierreihe („Wild Life“, vier Episoden), Sport („Adventure“, fünf Folgen), Dinosaurier („Prehistoric Planet“, zwei Episoden) und eine Konzertreihe aus dem Studio (eine Folge).
Musikdarbietungen gibt es auch einzeln von U2-Sänger Bono (eine Show über sein Leben) und Metallica. Apple bewirbt aber auch noch Uralt-Sport wie das NBA All-Star Game von 2024. Auch hier gibt es stets nur Ausschnitte, nie stundenlange Unterhaltung – wohl auch, weil das Format recht anstrengend zu schauen ist. Hinzu kommt mindestens ein immersives Musikvideo von Künstler The Weeknd.
Das Problem mit 3D-Filmen
Neben Apples immersiven Videos kann die Vision Pro, die im Sommer 2024 in Europa auf den Markt kam (Preis: ab 4000 Euro), auch reguläre 3D-Filme in voller Länge wiedergeben. Diese werden über Apples TV-App verkauft, zudem bieten Streamingdienste wie Disney+ Zugriff auf kleinere Mengen. Das Problem ist allerdings die offerierte Auflösung: Diese ist aus technischen Gründen geringer als das, was man bei Apples immersiven Videos serviert bekommt.
Die Filme nutzen also die Möglichkeiten auf der Vision Pro gar nicht aus und wirken teils pixelig, zumal mancher 3D-Effekt nicht sehr gekonnt ausfällt. Apple macht bislang keine Bemühungen, Hollywood hier auf die Sprünge zu helfen – oder selbst ganze Kinoproduktion im eigenen immersiven Format zu filmen. Das könnte der Konzern durchaus, schließlich produziert er immer mehr (durchaus erfolgreiche) Filmkost. Gurman vermutet allerdings, dass die Vision Pro bei Apple derzeit keine Priorität mehr habe.
(bsc)
-
Datenschutz & Sicherheitvor 2 Monaten
Geschichten aus dem DSC-Beirat: Einreisebeschränkungen und Zugriffsschranken
-
Apps & Mobile Entwicklungvor 2 Monaten
Metal Gear Solid Δ: Snake Eater: Ein Multiplayer-Modus für Fans von Versteckenspielen
-
UX/UI & Webdesignvor 4 Tagen
Der ultimative Guide für eine unvergessliche Customer Experience
-
Online Marketing & SEOvor 2 Monaten
TikTok trackt CO₂ von Ads – und Mitarbeitende intern mit Ratings
-
Digital Business & Startupsvor 2 Monaten
10.000 Euro Tickets? Kann man machen – aber nur mit diesem Trick
-
Entwicklung & Codevor 3 Tagen
Posit stellt Positron vor: Neue IDE für Data Science mit Python und R
-
UX/UI & Webdesignvor 2 Monaten
Philip Bürli › PAGE online
-
Social Mediavor 2 Monaten
Aktuelle Trends, Studien und Statistiken