Connect with us

Künstliche Intelligenz

OLG-Urteil: S-pushTAN-Verfahren reicht nicht für starke Kundenauthentifizierung


close notice

This article is also available in
English.

It was translated with technical assistance and editorially reviewed before publication.

Das Oberlandesgericht (OLG) Dresden hat mit einem jetzt veröffentlichten Urteil vom 5. Mai Klarstellungen zur Sicherheit des pushTAN-Verfahren und zu Ersatzansprüchen bei einer betrügerischen Cyberattacke vorgenommen (Az. 8 U 1482/24). Laut dem Beschluss des 8. Zivilsenats muss eine Sparkasse einem Kunden, der Opfer eines Phishing-Angriffs wurde und dabei grob fahrlässig handelte, einen Teil des entstandenen Schadens erstatten. Die Richter begründen das vor allem durch ein Mitverschulden des Zahlungsdienstleisters rund um die Ausgestaltung des Logins in das Online-Banking mit der S-push-TAN-App, die keine „starke Kundenauthentifizierung“ biete.

Mit dem Beschluss hat das OLG ein früheres Urteil des Landgerichts Chemnitz vom 24. Oktober 2024 aufgehoben und neu gefasst. Dem Kläger, dessen Girokonto durch zwei unautorisierte Überweisungen von insgesamt 49.421,44 Euro belastet wurde, sprachen sie Anspruch auf Wiedergutschrift zu. Die Sparkasse muss ihm 9884,29 Euro zuzüglich Zinsen erstatten sowie vorgerichtliche Rechtsanwaltskosten in Höhe von 1119,79 Euro nebst Zinsen zahlen.

Der Kläger nutzte das Online-Banking der Sparkasse mit dem S-pushTAN-Verfahren. Er erhielt eine Phishing-E-Mail, die eine Aktualisierung des Online-Bankings ankündigte und ihn auf eine gefälschte Sparkassen-Website leitete. Dort gab er seine Zugangsdaten ein. Anschließend erhielt er Telefonanrufe von einer angeblichen Sparkassenmitarbeiterin, die ihn unter dem Vorwand einer technischen Neuinstallation dazu brachte, „Aufträge“ in der S-pushTAN-App zu bestätigen. Diese Bewilligungen führten zur Erhöhung des Tageslimits und zu zwei Echtzeitüberweisungen auf ein ihm unbekanntes Konto.

In der pushTAN-App seien ihm keine konkreten Angaben zu Empfängern oder Beträgen angezeigt worden, führte der Kläger dazu aus. Ihm seien lediglich unbestimmte „Aufträge“ zur Freigabe vorgelegt worden. Nach Bekanntwerden der Unregelmäßigkeiten informierte er die Sparkasse und erstattete Strafanzeige.

Eigentlich verlangte der Übertölpelte die Wiedergutschrift des gesamten Betrages, da die Zahlungen nicht von ihm autorisiert worden seien und die Sparkasse ihren Pflichten zur „starken Kundenauthentifizierung“ nicht nachgekommen sei. Er stellte dabei vor allem auf das Einloggen ins Online-Banking und die Anzeige von Zahlungsempfängern in der pushTAN-App ab. Der Kläger argumentierte, dass das Login lediglich mit Anmeldename und statischer PIN erfolgte und sensible Zahlungsdaten ohne weitere Authentifizierung einsehbar waren. Dies stelle einen Verstoß gegen Paragraf 55 Zahlungsdiensteaufsichtsgesetz (ZAG) dar. Zudem bemängelt er, dass in der Sparkassen-App unstreitig nie der Name des Zahlungsempfängers, sondern nur dessen IBAN angezeigt werde, was gegen EU-Recht verstoße.

Die Beklagte hielt dem entgegen, der Kläger habe seine Sorgfaltspflichten grob fahrlässig verletzt, indem er auf die Phishing-Mail und die „Fake-Anrufe“ reagierte und die Aufträge in der pushTAN-App freigab. Sie behauptete, das S-pushTAN-Verfahren sei sicher und TÜV-geprüft und eine Manipulation der Anzeige sei technisch ausgeschlossen. Der Kläger hätte die Sicherheitshinweise der Sparkasse beachten müssen.

Die EU machte fürs Online-Banking mit der Zahlungsdienste-Richtlinie PSD2 eine Zwei-Faktor-Authentifizierung obligatorisch. Beim pushTAN-Verfahren wird eine Transaktionsnummer als Push-Nachricht an eine spezielle Mobilanwendung auf dem Smartphone gesendet, was teils Angriffe ermöglicht.

Das OLG bestätigte zunächst, dass die Zahlungen vom Kläger nicht autorisiert wurden: Ihm sei zum Zeitpunkt der Freigaben nicht bewusst gewesen, dass er Echtzeit-Überweisungen bestätigte. Zugleich sah das Gericht bei ihm auch ein „grob fahrlässiges“ Verhalten. Er habe seine gesetzliche Sorgfaltspflicht aus Paragraf 675l BGB verletzt, indem er „unbekannten Tätern durch die Freigabe von Aufträgen in der S-pushTAN-App ‚auf Zuruf‘ mittelbar Zugang gewährt“ und sensible Daten nach einem Phishing-Angriff preisgegeben habe. Die Kammer unterstrich, der Kläger habe die angezeigten Daten in der S-pushTAN-App nicht überprüft, was eine vehemente Pflichtverletzung darstelle.

Trotzdem sprach das OLG der Sparkasse ein Mitverschulden von 20 Prozent zu. Dies begründete es mit einem Verstoß gegen aufsichtsrechtliche Vorschriften: Die Sparkasse habe es versäumt, eine „starke Kundenauthentifizierung“ im ZAG-Sinne beim Login in das Online-Banking zu verlangen, obwohl dort „sensible Zahlungsdaten“ einsehbar waren. Das Gericht stellte fest: „Vor diesem Hintergrund war der Verstoß der Beklagten gegen aufsichtsrechtliche Vorschriften für das Gelingen des betrügerischen Angriffs jedenfalls mitursächlich, weil so ohne Zutun des Klägers die aus dem Online-Banking heraus zu veranlassenden Vorbereitungsmaßnahmen und Auftragserstellungen vorgenommen werden konnten.“

Die Ausnahmevorschriften, die eine einfache Authentifizierung für den reinen Abruf des Kontostandes erlauben, griffen hier nicht, heben die Richter hervor. Es seien nämlich weitere sensible Daten zugänglich gewesen. Die Argumente des Klägers, dass die Transaktionsüberwachung unzureichend gewesen sei oder das S-pushTAN-Verfahrens nicht dem Stand der Technik entspreche, berücksichtigte das OLG nicht. Diese Behauptungen hielt es für nicht belegt.


(olb)



Source link

Künstliche Intelligenz

c’t-Webinar: Wärmepumpentechnik für Einsteiger | heise online


Wärmepumpen gelten als vielversprechende Alternative zu konventionellen Heizungen. Sie senken den CO2-Ausstoß und können steigende Heizkosten abfedern. Trotzdem zögern viele Hausbesitzer, auf diese Technik umzusteigen. Oft führen sie Zweifel an der Eignung für ältere Gebäude oder Bedenken hinsichtlich der Effizienz ohne Fußbodenheizung an. Die Sorge vor hohen Anschaffungskosten schreckt zudem viele abb.

Das c’t-Webinar bietet eine herstellerunabhängige Einführung in die Wärmepumpentechnik und unterstützt bei der Machbarkeitsbewertung. c’t-Redakteur Georg Schnurer erläutert, wie verschiedene Wärmepumpentypen funktionieren und welche Schritte nötig sind, um zu beurteilen, ob sich diese Heiztechnik für das eigene Haus oder die Wohnung eignet.

Die Veranstaltung richtet sich an Einsteiger ohne Vorwissen zur Wärmepumpentechnik. Schnurer geht auf gängige Vorurteile ein und beleuchtet technische Grenzen. Er erklärt, was die oft erwähnte Effizienz im Zusammenhang mit Wärmepumpen bedeutet und wie sich diese Heiztechnik gewinnbringend mit Photovoltaikanlagen verknüpfen lässt. Zudem widmet sich der Referent der Frage, welche Einbaukosten man ungefähr einplanen muss.

Das rund zweistündige Webinar vermittelt die erforderlichen Grundlagen, um Angebote von Heizungsbauern besser einordnen zu können. In einer 45-minütigen Fragerunde im Anschluss beantwortet der Referent offene Fragen. Eine individuelle Beratung durch einen Energieexperten ersetzt die Veranstaltung jedoch nicht, da die Entscheidung für oder gegen eine Wärmepumpe stets eine umfassende Gebäudeanalyse voraussetzt.

Der Crashkurs findet am 6. Oktober 2025 von 17:00 bis 20:00 Uhr online statt. Frühbucher erhalten bis zum 18. September ein vergünstigtes Ticket zum Preis von 59,00 Euro. Ein aktueller Browser reicht für den Livestream aus. Weitere Informationen zur Veranstaltung und zur Anmeldung finden Sie auf der heise academy Seite zum Webinar.


(abr)



Source link

Weiterlesen

Künstliche Intelligenz

GPT-5 im Agenten-Test | heise online


Die großen Leistungssprünge bei den großen Sprachmodellen (Large Language Models, LLMs) sind vorerst vorbei. Stattdessen verschiebt sich der Fokus vom bloßen Hochskalieren der Modelle hin zu Optimierung und Produktintegration. Sprachmodelle werden nicht mehr nur als statische Wissensspeicher verstanden, sondern entwickeln sich zu aktiven Agenten, bei der Sprachmodelle als Orchestratoren komplexe Aufgaben in Teilschritten lösen. Die LLMs sprechen gezielt Schnittstellen an, rufen Daten aus externen Quellen ab, rechnen und integrieren die Ergebnisse in ihren Antworten. Dieser Artikel stellt die Fähigkeiten von GPT-5 im Vergleich zu den bisherigen Spitzenreitern im speziell auf agentische Fähigkeiten ausgelegten tau2-Benchmark auf die Probe.

  • Der GPT-5-Release zeigt: Große Leistungssprünge weichen Optimierung und Produktintegration. GPT-5 fokussiert präzisen Tool-Use und höhere Steuerbarkeit für agentische Anwendungen.
  • Bisher galt Anthropics Sonnet 4 als bestes Modell für agentische KI-Workflows: Das saubere Einhalten von Anweisungen und eine niedrige Fehlerquote überzeugten trotz hoher Kosten.
  • Mit Kimi K2 und GPT-5 reichen zwei neue Modelle in Anbieter-Benchmarks an Sonnet 4 heran. Mit einem selbst durchgeführten Benchmark überprüft iX die Angaben.
  • Im tau2-Benchmarkt überholt GPT‑5 Sonnet 4, doch Opus 4.1 bleibt mit höchster Genauigkeit Spitzenreiter – bei den höchsten Kosten. Reasoning steigert die Erfolgsquote, erhöht aber die Kosten und die Laufzeit.

Denn bisher haben Modelle wie Anthopics Claude Sonnet 4 die Nase vorn: weniger aufgrund einer höheren Intelligenz, sondern durch präzises Einhalten von Funktionssignaturen und einer niedrigen Fehlerquote im Tool Use und der Codegenerierung. Das verschafft ihnen im Unternehmen einen klaren Vorteil, insbesondere bei der Softwareentwicklung, wo das Code-Generieren und der Einsatz von Werkzeugen in LLM-basierten Entwicklungsumgebungen Hand in Hand gehen.


Die Ergebnisse des tau2-Benchmarks (Retail) machen deutlich, dass zusätzliche Reasoning-Fähigkeiten zu einer höheren Genauigkeit führen. Insgesamt zeigt sich: GPT-5 hat Sonnet 4.1 im Agenten-Check überholt, doch Claude Opus bleibt weiterhin an der Spitze – im Reasoning-Modus mit Abstand (Abb. 3).,

Die Ergebnisse des tau2-Benchmarks (Retail) machen deutlich, dass zusätzliche Reasoning-Fähigkeiten zu einer höheren Genauigkeit führen. Insgesamt zeigt sich: GPT-5 hat Sonnet 4.1 im Agenten-Check überholt, doch Claude Opus bleibt weiterhin an der Spitze – im Reasoning-Modus mit Abstand (Abb. 3).,

Die Ergebnisse des tau2-Benchmarks (Retail) von iX machen deutlich, dass zusätzliche Reasoning-Fähigkeiten zu einer höheren Genauigkeit führen. Insgesamt zeigt sich: GPT-5 hat Sonnet 4 im Agenten-Check überholt, doch Claude Opus bleibt weiterhin an der Spitze – im Reasoning-Modus mit Abstand.

(Bild: Danny Gerst)

Ein Bericht der Venture-Capital-Gesellschaft Menlo Ventures vom Juli 2025 stützt diese Beobachtung. Demzufolge nutzen in Unternehmen 32 Prozent der API-Nutzer Modelle von Anthropic, nur 25 Prozent auf von OpenAI. Bei OpenRouter – der Anbieter ermöglicht den Zugriff auf verschiedene Sprachmodelle über eine einheitliche Schnittstelle – fällt das Bild noch deutlicher aus: Dort ist Sonnet mit großem Abstand das meistgenutzte Modell, während OpenAI in den Top Ten überhaupt nicht vertreten ist.


Das war die Leseprobe unseres heise-Plus-Artikels „GPT-5 im Agenten-Test“.
Mit einem heise-Plus-Abo können Sie den ganzen Artikel lesen.



Source link

Weiterlesen

Künstliche Intelligenz

SSD-Ausfälle durch Windows-Update: Silicon Motion nicht betroffen


Das Schreiben großer Datenmengen soll nach dem letzten Windows-Update KB5063878 bei einigen SSDS zu Ausfällen geführt haben, schrieben einige japanische Medien. Auch Heise-Foristen berichteten von Ausfällen. Microsoft untersucht das Problem, hat sich aber bislang noch nicht näher dazu geäußert.

Nach großen Datentransfers, die Rede ist vom Schreiben von Datenmengen oberhalb von etwa 50 GByte, sollen die Datenträger häufig nicht mehr ansprechbar sein und aus der Laufwerksübersicht verschwinden. Nach einem Neustart soll das Problem in den meisten Fällen behoben sein, es gibt jedoch vereinzelte Berichte über dauerhaft unbrauchbare SSDs. Es soll zudem auch Berichte über Ausfälle von Festplatten geben.

Betroffen sind nach den Untersuchungen eines japanischen Nutzers vor allem SSDs mit Phison-Controllern sowie Modelle von Western Digital, SK Hynix, Crucial, HP und XPG/Adata, die andere Controller verwenden.

Nun meldet sich der SSD-Hersteller Silicon Motion. In einer Stellungnahme an das amerikanische Magazin Techpowerup schreibt das Unternehmen, dass bisher keiner seiner SSD-Controller vom Windows 11-Update-Fehler betroffen sei. Interessant daran ist vor allem, dass Silicon Motion das Problem als Windows-Bug bezeichnet.

Im Internet kursiert zudem eine Liste betroffener Phison-Controller. Diese stammt jedoch nicht von Phison, wie das Unternehmen mitteilte. Phison will gegen den Urhaber der Liste auch rechtliche Schritte einleiten.

Phison steht zudem mit Microsoft in Kontakt, um das Problem einzugrenzen, und will bei Bedarf Firmware-Updates zur Verfügung stellen. Weitere Details hat das Unternehmen jedoch noch nicht veröffentlicht.

Das Windows-Update behebt laut Microsoft Sicherheitsprombleme. Wir raten daher von einer Deinstallation des Updates ab. Stattdessen sollten Nutzer bis zur einer Klärung des Problems das Kopieren großer Datenmengen vermeiden.


(ll)



Source link

Weiterlesen

Beliebt