Connect with us

Künstliche Intelligenz

OLG-Urteil: S-pushTAN-Verfahren reicht nicht für starke Kundenauthentifizierung


close notice

This article is also available in
English.

It was translated with technical assistance and editorially reviewed before publication.

Das Oberlandesgericht (OLG) Dresden hat mit einem jetzt veröffentlichten Urteil vom 5. Mai Klarstellungen zur Sicherheit des pushTAN-Verfahren und zu Ersatzansprüchen bei einer betrügerischen Cyberattacke vorgenommen (Az. 8 U 1482/24). Laut dem Beschluss des 8. Zivilsenats muss eine Sparkasse einem Kunden, der Opfer eines Phishing-Angriffs wurde und dabei grob fahrlässig handelte, einen Teil des entstandenen Schadens erstatten. Die Richter begründen das vor allem durch ein Mitverschulden des Zahlungsdienstleisters rund um die Ausgestaltung des Logins in das Online-Banking mit der S-push-TAN-App, die keine „starke Kundenauthentifizierung“ biete.

Mit dem Beschluss hat das OLG ein früheres Urteil des Landgerichts Chemnitz vom 24. Oktober 2024 aufgehoben und neu gefasst. Dem Kläger, dessen Girokonto durch zwei unautorisierte Überweisungen von insgesamt 49.421,44 Euro belastet wurde, sprachen sie Anspruch auf Wiedergutschrift zu. Die Sparkasse muss ihm 9884,29 Euro zuzüglich Zinsen erstatten sowie vorgerichtliche Rechtsanwaltskosten in Höhe von 1119,79 Euro nebst Zinsen zahlen.

Der Kläger nutzte das Online-Banking der Sparkasse mit dem S-pushTAN-Verfahren. Er erhielt eine Phishing-E-Mail, die eine Aktualisierung des Online-Bankings ankündigte und ihn auf eine gefälschte Sparkassen-Website leitete. Dort gab er seine Zugangsdaten ein. Anschließend erhielt er Telefonanrufe von einer angeblichen Sparkassenmitarbeiterin, die ihn unter dem Vorwand einer technischen Neuinstallation dazu brachte, „Aufträge“ in der S-pushTAN-App zu bestätigen. Diese Bewilligungen führten zur Erhöhung des Tageslimits und zu zwei Echtzeitüberweisungen auf ein ihm unbekanntes Konto.

In der pushTAN-App seien ihm keine konkreten Angaben zu Empfängern oder Beträgen angezeigt worden, führte der Kläger dazu aus. Ihm seien lediglich unbestimmte „Aufträge“ zur Freigabe vorgelegt worden. Nach Bekanntwerden der Unregelmäßigkeiten informierte er die Sparkasse und erstattete Strafanzeige.

Eigentlich verlangte der Übertölpelte die Wiedergutschrift des gesamten Betrages, da die Zahlungen nicht von ihm autorisiert worden seien und die Sparkasse ihren Pflichten zur „starken Kundenauthentifizierung“ nicht nachgekommen sei. Er stellte dabei vor allem auf das Einloggen ins Online-Banking und die Anzeige von Zahlungsempfängern in der pushTAN-App ab. Der Kläger argumentierte, dass das Login lediglich mit Anmeldename und statischer PIN erfolgte und sensible Zahlungsdaten ohne weitere Authentifizierung einsehbar waren. Dies stelle einen Verstoß gegen Paragraf 55 Zahlungsdiensteaufsichtsgesetz (ZAG) dar. Zudem bemängelt er, dass in der Sparkassen-App unstreitig nie der Name des Zahlungsempfängers, sondern nur dessen IBAN angezeigt werde, was gegen EU-Recht verstoße.

Die Beklagte hielt dem entgegen, der Kläger habe seine Sorgfaltspflichten grob fahrlässig verletzt, indem er auf die Phishing-Mail und die „Fake-Anrufe“ reagierte und die Aufträge in der pushTAN-App freigab. Sie behauptete, das S-pushTAN-Verfahren sei sicher und TÜV-geprüft und eine Manipulation der Anzeige sei technisch ausgeschlossen. Der Kläger hätte die Sicherheitshinweise der Sparkasse beachten müssen.

Die EU machte fürs Online-Banking mit der Zahlungsdienste-Richtlinie PSD2 eine Zwei-Faktor-Authentifizierung obligatorisch. Beim pushTAN-Verfahren wird eine Transaktionsnummer als Push-Nachricht an eine spezielle Mobilanwendung auf dem Smartphone gesendet, was teils Angriffe ermöglicht.

Das OLG bestätigte zunächst, dass die Zahlungen vom Kläger nicht autorisiert wurden: Ihm sei zum Zeitpunkt der Freigaben nicht bewusst gewesen, dass er Echtzeit-Überweisungen bestätigte. Zugleich sah das Gericht bei ihm auch ein „grob fahrlässiges“ Verhalten. Er habe seine gesetzliche Sorgfaltspflicht aus Paragraf 675l BGB verletzt, indem er „unbekannten Tätern durch die Freigabe von Aufträgen in der S-pushTAN-App ‚auf Zuruf‘ mittelbar Zugang gewährt“ und sensible Daten nach einem Phishing-Angriff preisgegeben habe. Die Kammer unterstrich, der Kläger habe die angezeigten Daten in der S-pushTAN-App nicht überprüft, was eine vehemente Pflichtverletzung darstelle.

Trotzdem sprach das OLG der Sparkasse ein Mitverschulden von 20 Prozent zu. Dies begründete es mit einem Verstoß gegen aufsichtsrechtliche Vorschriften: Die Sparkasse habe es versäumt, eine „starke Kundenauthentifizierung“ im ZAG-Sinne beim Login in das Online-Banking zu verlangen, obwohl dort „sensible Zahlungsdaten“ einsehbar waren. Das Gericht stellte fest: „Vor diesem Hintergrund war der Verstoß der Beklagten gegen aufsichtsrechtliche Vorschriften für das Gelingen des betrügerischen Angriffs jedenfalls mitursächlich, weil so ohne Zutun des Klägers die aus dem Online-Banking heraus zu veranlassenden Vorbereitungsmaßnahmen und Auftragserstellungen vorgenommen werden konnten.“

Die Ausnahmevorschriften, die eine einfache Authentifizierung für den reinen Abruf des Kontostandes erlauben, griffen hier nicht, heben die Richter hervor. Es seien nämlich weitere sensible Daten zugänglich gewesen. Die Argumente des Klägers, dass die Transaktionsüberwachung unzureichend gewesen sei oder das S-pushTAN-Verfahrens nicht dem Stand der Technik entspreche, berücksichtigte das OLG nicht. Diese Behauptungen hielt es für nicht belegt.


(olb)



Source link

Weiterlesen
Kommentar schreiben

Leave a Reply

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert

Künstliche Intelligenz

Dienstag: S-pushTAN-Verfahren unzureichend, Trump bremst BYD in Mexiko aus


Eine Sparkasse muss einem Kunden, der Opfer eines Phishing-Angriffs wurde und dabei grob fahrlässig handelte, einen Teil des entstandenen Schadens erstatten. Die Richter am Oberlandesgericht Dresden sahen ein Mitverschulden des Finanzinstituts rund um die Ausgestaltung des Log-ins in das Online-Banking mit der S-push-TAN-App. Der chinesische Elektroautobauer BYD hat sein umstrittenes Werk in Brasilien eröffnet. Die Mexiko-Pläne des Unternehmens dagegen wurden von US-Präsident Donald Trump vorerst ausgebremst. Und Bundesverkehrsminister Patrick Schnieder kritisiert die Führerschein-Kosten und spricht sich gegen Tempolimit und Senioren-Fahrtests aus – die wichtigsten Meldungen im kurzen Überblick.

Ein Sparkassenkunde hat das Online-Banking seiner Bank mit dem S-pushTAN-Verfahren genutzt. Eine Phishing-E-Mail leitete ihn jedoch auf eine gefälschte Sparkassen-Website. Dort gab er seine Zugangsdaten ein. Anschließend erhielt er Telefonanrufe von einer angeblichen Sparkassenmitarbeiterin, die ihn unter einem Vorwand dazu brachte, „Aufträge“ in der S-pushTAN-App zu bestätigen. Diese Bewilligungen führten zu zwei Echtzeitüberweisungen in Höhe von fast 50.000 Euro auf ein ihm unbekanntes Konto. Nun hat das Oberlandesgericht (OLG) Dresden dem geprellten Kunden, obwohl er grob fahrlässig handelte, recht gegeben. Die Sparkasse muss einen Teil des entstandenen Schadens erstatten. OLG-Urteil: S-pushTAN-Verfahren reicht nicht für starke Kundenauthentifizierung

Anfang vergangenen Jahres wurden die Pläne des chinesischen Autobauers BYD für ein Werk in Brasilien bekannt. Einige Monate später jedoch geriet das Projekt wegen Vorwürfen von Arbeitsverstößen bis zum Verdacht auf Menschenhandel in die Schlagzeilen. Der Skandal verzögerte den ursprünglichen Zeitplan. Nach ersten Untersuchungen sprachen die brasilianischen Behörden von „sklavenartigen Bedingungen“ für die mit dem Bau beschäftigten chinesischen Arbeiter. Ende Mai reichte die brasilianische Arbeitsstaatsanwaltschaft dann sogar Zivilklage gegen BYD ein und forderte die Zahlung von Schadensersatz in Millionenhöhe. Jetzt wurde das Werk eröffnet. Der geplante Bau einer BYD-Fabrik in Mexiko wurde dagegen zunächst verschoben – nicht zuletzt wegen US-Präsident Donald Trump. BYD: Umstrittenes Werk in Brasilien eröffnet, Pläne in Mexiko auf Eis

Die Themen Alkohol am Steuer und Tempolimit sind immer für Kontroversen gut. Nun hat sich Bundesverkehrsminister Patrick Schnieder in einem Interview gegen eine Senkung der Promillegrenze ausgesprochen. Cannabis hält der CDU-Politiker für problematischer. Zudem spricht sich der Minister gegen ein Tempolimit auf deutschen Autobahnen aus; auch verpflichtende Fahrtests für Senioren brauche es nicht, so Schnieder. Aber eine Sorge hat er dann doch. Verkehrsminister Schnieder kritisiert Führerschein-Kosten 4892107

Seit Jahren fordern die EU-Kommission und der EU-Ministerrat, dass insbesondere Big-Tech-Plattformen für den Ausbau der Telekommunikationsinfrastruktur zahlen sollen. Diverse Initiativen der Brüsseler Institutionen zur Einführung einer Datenmaut gelten jedoch aufgrund großen Widerstands als gescheitert. Jetzt schickt sich die EU-Kommission aber an, eine solche Big-Tech-Kostenbeteiligung am Netzausbau durch die Hintertür einzuführen – und zwar über den geplanten Digital Networks Act (DNA). Statt einer offenen Kostenbeteiligung am Netzausbau schwebt der Kommission die Einführung eines Schiedsverfahrens für „IP-Zusammenschaltungen“ vor. Doch dagegen regt sich Widerspruch. EU-Datenmaut: Gegenwind für geplantes Streitbeilegungsverfahren für Peering

Weil eine Apotheke in zwei unterschiedlichen Werbeaktionen jeweils Gutscheine in Höhe von zehn Euro ausgelobt hat, prozessierte ein Mitbewerber. Die Internetapotheke gab die Gutscheine für jede Einlösung von e-Kassenrezepten aus; zum anderen hat sie die erste Bestellung nicht verschreibungspflichtiger Artikel über eine bestimmte Smartphone-Anwendung ebenfalls mit Gutscheinen belohnt, die dann in derselben App eingelöst werden konnten. Nun hat das Oberlandesgericht (OLG) Frankfurt am Main die Entscheidung einer vorherigen Instanz bestätigt und beide Werbepraktiken für unzulässig erklärt. Online-Apotheke darf keine Gutscheine verteilen

Auch noch wichtig:

  • Künftig gibt es in LibreOffice einen Import und Export von Markdown-Dateien. Jedoch ist unklar, wann – die Arbeit an der Funktion hat gerade erst begonnen. LibreOffice erhält Markdown-Support
  • Die kanadische Provinz Britisch-Kolumbien erhöht die Subventionen für Gehälter zur Produktion interaktiver digitaler Medien, darunter Computerspiele, virtuelle Realitäten, Simulatoren und Unterrichtssoftware, von 17,5 auf 25 Prozent. Die Förderung ist zudem nicht mehr befristet, sondern soll dauerhaft gelten.


(akn)



Source link

Weiterlesen

Künstliche Intelligenz

Online-Apotheke darf keine Gutscheine verteilen


Werbung darf den Verbrauch von Arzneimitteln nicht fördern, selbst dann, wenn es sich um rezeptfreie Arzneien handelt. Darauf weist das Oberlandesgericht Frankfurt am Main (OLG Frankfurt) hin. Sein Urteil (Az. 6 U 347/24) untersagt einer niederländischen Versandhandelsapotheke die Auslobung von Gutscheinen gegenüber Kunden in Deutschland.

Ein Mitbewerber prozessiert gegen die Apotheke, weil sie in zwei unterschiedlichen Werbeaktionen jeweils Gutscheine in Höhe von zehn Euro ausgelobt hat: Zum einen hat sie die Gutscheine für jede Einlösung von e-Kassenrezepten ausgegeben. Die Verrechnung sollte zunächst mit der gesetzlichen Zuzahlung und bei einem verbleibenden Restbetrag mit nicht verschreibungspflichtigen Produkten erfolgen. Zum anderen hat sie die erste Bestellung nicht verschreibungspflichtiger Artikel über eine bestimmte Smartphone-Anwendung mit Gutscheinen belohnt, die dann in derselben App für eingelöst werden konnten.

Beide Werbepraktiken hat das Landgericht Frankfurt am Main (LG Frankfurt) im November per einstweiliger Verfügung untersagt; das OLG hat das nun bestätigt. Laut Begründung verstoßen die Gutscheinaktionen gegen das deutsche Heilmittelwerbegesetz (HWG). Paragraph 7 HWG verbietet beim Verkauf von Arzneimitteln das Anbieten und Ankündigen von nicht nur geringwertigen Werbegaben. Ob die Produkte rezeptpflichtig sind oder nicht, ist dabei unerheblich. „Geringwertige Kleinigkeit“ setzt das Gericht der Publikumswerbung mit maximal einem Euro an. Das Verbot der Wertreklame greife auch, wenn sie nicht für ein bestimmtes Arzneimittel, sondern für eine große Zahl von Heilmitteln eingesetzt werde.

Der Volltext des Urteils und seiner Begründung liegt noch nicht vor. Laut Mitteilung des OLG kann die Entscheidung vom Mai nicht angefochten werden; doch darf die belangte Apotheke versuchen, die zuständigen Gerichte im Hauptverfahren von einer anderen Rechtsauffassung zu überzeugen. Ob das niederländische Unternehmen angesichts der deutlichen Aussagen von LG und OLG diesen Rechtsweg beschreitet, bleibt abzuwarten.

Die einschlägigen Bestimmungen sind in der EU übrigens nicht überall gleich. Beispielsweise verbietet Österreich jegliches Hinwirken gegenüber Laien darauf, rezeptpflichtige Arzneimittel im Fernabsatz zu beziehen. Dafür sind die gesetzlichen Regeln für rezeptfreie Arzneimittel weniger streng. Hinzu treten zwar einschränkende Bestimmungen der österreichischen Apothekerkammer, deren Handhabe sicher aber nur auf Mitglieder erstreckt.

Empfohlener redaktioneller Inhalt

Mit Ihrer Zustimmung wird hier eine externe Umfrage (Opinary GmbH) geladen.


(ds)



Source link

Weiterlesen

Künstliche Intelligenz

Verkehrsminister Schnieder kritisiert Führerschein-Kosten | heise autos


Bundesverkehrsminister Patrick Schnieder hält die Kosten für den Führerschein in Deutschland für zu hoch. „Ein Führerschein, der 4000 Euro oder mehr kostet, ist zu teuer“, sagte der CDU-Politiker den Zeitungen der Funke Mediengruppe. „Daher müssen wir Maßnahmen identifizieren, die kostendämpfend wirken können. Dazu kann mehr Transparenz bei den Fahrschulen gehören.“ Schnieder betonte aber auch: „Wir werden und wollen keine Vorschriften zur Höhe der Kosten je Stunde erlassen.“

Die Grenze für Alkohol am Steuer will der Minister nicht auf 0,0 Promille herabsetzen. „Ich empfehle natürlich, sich ganz ohne Alkohol ans Steuer zu setzen“, sagte Schnieder in dem Interview. Er halte aber das derzeitige 0,5-Promille-Limit für „ausreichend und zielführend“.

„Bei vielen gesellschaftlichen Anlässen stößt man aus Höflichkeit mit an und nimmt einen Schluck – ohne dass man damit gleich den Straßenverkehr gefährdet“, meinte Schnieder. Eine andere Droge hält der Minister für problematischer: „Bei Cannabis bin ich sehr kritisch. Die Wirkung im Verkehr halte ich für relativ unberechenbar. Das müssen wir uns in dieser Wahlperiode genau anschauen.“

Ein Tempolimit hält Schnieder nicht für nötig. „Die Durchschnittsgeschwindigkeit auf deutschen Autobahnen beträgt nicht einmal 115 Stundenkilometer“, sagte er den Zeitungen. Es gebe bereits vielfach Geschwindigkeitsbegrenzungen, hinzukämen Baustellen und Staus. „Man kann in Deutschland nur auf wenigen Strecken wirklich schnell fahren. Daher halte ich ein generelles Tempolimit auf Autobahnen für überflüssig.“

Ebenso skeptisch sieht der Minister, der in seiner Heimat – der Eifel – privat ein Elektroauto fährt, verpflichtende Fahrtests für ältere Autofahrer: „Von Senioren geht im Straßenverkehr kein besonderes Risiko aus. Wenn wir die Altersgruppen vergleichen, haben wir eher ein Problem mit den ganz jungen.“

Das Statistische Bundesamt hatte für 2023 festgestellt, dass ältere Menschen gemessen an ihrem Anteil an der Gesamtbevölkerung zwar seltener in Verkehrsunfälle verstrickt waren als jüngere – zum Beispiel auch, weil sie nicht mehr zur Arbeit fahren. Wenn Senioren am Steuer in einen Unfall mit Personenschaden verwickelt waren, trugen sie laut Statistik jedoch häufiger die Hauptschuld daran als jüngere Fahrer – vor allem, wenn sie älter als 75 Jahre waren.

Mehr zu den meistdiskutierten Themen


(fpi)



Source link

Weiterlesen

Beliebt