Lieber Zuschauer, dieser Untertitel wurde automatisch generiert von YouTube und dementsprechend (sehr) fehlerhaft. Wenn du kannst, hilf uns bitte gute Untertitel zu erstellen: https://c3subtitles.de/talk/3193 Danke!
[Musik]
kommen wir zum nächsten
Talk ihr kennt das doch sicher die
Werbung von der Sparkasse die immer so
an der Sparkasse klebt mit ihre
Girokarte ist super sicher und sollte
mal was sein hier ist die Telefonnummer
da könnt ihr das Zeug sperren und alles
ist gut ja ob das wirklich so ist das
wird uns unser nächster Speaker sagen
Tim Philip Schäfer er selber ist Autor
von mehreren Büchern über Cyber Security
Sicherheitsforscher hat in den frühen
Jahren seines Schaffens bei der
Internetwache mitgemacht und ich wünsche
mir einen großen Applaus für Tim Philip
Schäfer oh
Kuno
prima herzlich willkommen genau ich bin
Tim und ich hatte das Glück oder Unglück
in diesem Jahr meine Girokarte bzw
meinen Portmonnaie zu verlieren bzw wurd
es mir geklaut und das war der Anfang
davon dass ich mir mal etwas mehr
angeschaut habe wie funktioniert das mit
der Sperrung von Girokarten in
Deutschland im Talk werden wir gleich
erstmal so ein paar grundlag uns
angucken wie viel taschendiebstäle gibt
es was gibt's an Zahlungsarten und
anschließend werden wir nach und nach
uns die entsprechenden sperrmechanismen
anschauen um dann zu verstehen wie
sicher oder unsicher diese letztendlich
sind grundsätzlich wenn man sich
Statistiken zum Thema Taschendiebstahl
in Deutschland anguckt ist ganz klar zu
sehen dass beispielsweise im Kontext der
coronaapandemie dort rückläufige Zahlen
zu erkennen waren ansonsten gab es
einige Jahre wo über 150.000
taschendiebstelle stattgefunden haben
also quasi eine ganze Menge die sind
hier entnommen aus der der sogenannten
Polizeilichen Kriminalstatistik aus der
man eben erkennen kann wie viel
tassendiebstähle es
gab wenn man dann an so ein modernes
portmane denkt dann haben wir da
sicherlich alle einiges an Bargeld drin
das ist schon ärgerlich genug
mittlerweile ist es natürlich aber auch
so dass man in der Regel dort in
girocart Debitcard entsprechende
Kreditkarten drin hat die in der Lage
sind ratlos oder auch per PIN oder
Lastschrift zu bezahlen W allgemein mal
anschaut wie der sogenannte zahlungsmix
aussieht im stationären Einzelhandel in
Deutschland dann werden mittlerweile
ungefähr 60% der Zahlung über
entsprechende Kartenzahlung absolviert
es gibt fast 38% noch die über
Barzahlung erfolgen und dann gibt's noch
so ein paar ja kleinere Ausnahmen
Finanzkauf kaufaurechnung oder
speziellere sonstige Karten die dort
beispielsweise eingesetzt werden das
bezieht sich jetzt hier auf das Jahr
2022 die Zahlen fürs Jahr 2023 gibt's ab
Anfang des kommenden Jahres weil ja noch
wenige Stunden in diesem Jahr quasi
vorhanden sind wenn sich dann allgemein
mal anschaut diesen Bereich der unbaren
Zahlungsmittel dann gibt's da
verschiedene Zahlungsarten die hier ganz
treffend einmal dargestellt worden sind
grundsätzlich sieht man da
beispielsweise den Niedergang der ganz
klassischen EC-Karten hier sehr stark am
Anfang umgangssprachlich nennt man das
Ganze zwar häufig immer noch EC-Karte ja
rein fachlich betrachtet ist das
allerdings eigentlich nicht die richtige
Bezeichnung primär ist es heutzutage so
dass Maestro bzw Giro Karten eingesetzt
werden die hier eben mit der blauen
Linie dargestellt werden durinaus gibt
es weitere Zahlungsarten beispielsweise
kann man erkennen dass Kreditkarten
durchaus einen Zulauf haben das liegt
ganz einfach daran weil die im Bereich
mobile Payment sehr stark genutzt werden
und auch entsprechende Anbieter dazu
übergehen ja solche Karten auszustellen
kommen wir gleich noch mal etwas stärker
zu dar hinaus gibt's das sogenannte
elektronische Lastschriftverfahren
mittlerweile eh unterbekkannt unter dem
Namen SEPA Lastschriftverfahren mit dem
man entsprechend in der Lage ist
Transaktion durchzuführen häufig hat man
das in Erinnerung als Zahlung mit
Unterschrift grundsätzlich ist es laut
Standard der elektronischen lassschrift
mittlerweile allerdings auch möglich
dort dratlos zu bezahlen das heißt
kontaktlos ähnlich wie man das
beispielsweise mit einer normalen
Girokarte auch gewöhnt ist für die tin
oder den nkonsumenten ist da gar nicht
mehr unbedingt erkennbar mit welcher
Zahlungsart zahlt man denn in der Regel
steht das auf dem entsprechenden
Kassenbong wenn man sich den denn
anschaut ansonsten ist relativ unbekannt
womit hat man den jetzt wie
gezahlt ansonsten sieht man noch weitere
Effekte auch hier gibt's natürlich den
coronaeffekt wo Zahlung beispielsweise
kontaktlose Art zugenommen haben bei den
Girokarten es gibt den sogenannten
regulierungsknick dadurch dass eben
durch sepanne Vereinheitlichung im
zahlungsraum in der EU vorgenommen
worden ist und jede Menge weiterer Dinge
hier sehen wir auch schon den Begriff
Kuno auf dem wir später noch etwas zu
sprechen kommen
werden wenn man sich dann die
Zahlungsarten hier mal grundsätzlich
etwas anschaut sehen wir ganz oben jetzt
hier die elektronische Lastschrift die
gut 6,1% ausmacht die girocart mit 41,9%
also eigentlich der größte Teil da gab
es entsprechende Umbenennung demnächst
ist da wieder etwas geplant also
grundsätzlich ist euch vielleicht schon
mal aufgefallen dass einige Banken jetzt
nur noch Karten bis
2027us stellen weil da eben auch geplant
ist eine Systemumstellung quasi
vorzunehmen und gibt's da noch so ein
paar
vernachlässbare poste was ganz spannend
hier ist hier steht jetzt seit
1984 gibt es die entsprechende
elektronische Lastschrift grundsätzlich
gibt's auch noch was anderes seit 1984
und das schauen wir uns jetzt einmal
ganz kurz ETW an etwa 400 junge Tüftler
und Computerfans sind zum ersten
internationalen hackertreffen nach
Hamburg gekommen die Hacker die unbefugt
in fremde Datensysteme eindringen und
mangelnde Datensicherung nachweisen
tauschen in Hamburg Tricks und Tipps aus
die Hacker Proben den Datenschutz nur
ihren eigenen selbstverständlich
versteckte Kameras oder Diktiergeräte
mit den Spione den Weg in fremde
Datensysteme aufzeichnen könnten sind
hier unerwünscht pressebeobachter müssen
für den Blick in die Computer chaoswelt
50 Mark
eintrittzahlen untereinander haben die
meist jugendlichen Computerfans zwei
Tage lang ihre Erfahrungen mit Geräten
und Programmen ausgetauscht im
hacksentter herrschte
Hochbetrieb in zahlreichen
Arbeitsgruppen ging es um Themen wie die
Einführung ins Telefonsystem Grundwissen
über Computer Bastelanleitung für
elektronische Briefkästen Datenschutz
und datenknacken durch datenknacken
Datenschutz zu verbessern darin sehen
sie auch ihre
Aufgabe Stunden Tage und nächteelanges
Hacken ist für diese computerexerten
kein Unfug keine Spielerei durch
Erfahrungs und Datenaustausch soll jeder
Benutzer die Möglichkeiten und Mängel
des Computers selbst beurteilen
können soweit der
[Applaus]
Beitrag der Applaus gebürht zum einen
den akkuraten Darstellung damals und
auch den Leuten die das in diesem Jahr
wieder möglich gemacht haben nach 39
Jahren wieder in Hamburg freue ich mich
riesig also vielleicht noch mal ein
großen Applaus für die für
die Leute die das hier wirklich
[Applaus]
[Musik]
machen dann haben wir gerade eben
gesehen der letzte Teil des Beitrags war
Möglichkeiten und Mängel des Computers
selbst beurteilen können und genau das
wollen wir uns mal anschauen indem wir
uns jetzt die spersysteme von Bankkarten
anschauen du insbesondere eben der Fokus
auf Girokarten weil beispielsweise bei
Kreditkarten andere sperrenmechanismen
wirken grundsätzlich wurden dort eben ja
einige findings von dir gemacht die wir
jetzt entsprechend uns etwas anschauen
wollen wenn man sich in Deutschland
damit beschäftigt wie man seine Girocard
sperren kann dann stößt man relativ
unweigerlich auf die 11616 weil eben
sehr viele Banken dort eine Kooperation
vorgenommen haben das ein in Berlin
ansäiger Verein der 2002 gegründet wurde
und grundsätzlich 1,5 Millionen Sperrung
oder sperrvermittlung im Jahr
durchführt über 1200 Banken sind dort
angeschlossen wobei man sagen muss wenn
man sich auf der Seite tummelt dann ist
z.B unterm Buchstaben S sehr viel an
Sparkassen zu finden also quasi jede
einzelne Sparkasse wird angeführt und
darüber aus weitere Organisationen ist
es beispielsweise möglich über diese
entsprechende Hotline seinen
Personalausweis oder Mitarbeiterausweise
von gewissen Firmen sperren zu können
was es ja eben dann ermöglicht Betrug
oder Missbrauch dieser verlorenen oder
geklauten Karten einzudämmen die
technische Realisierung findet dabei von
einem Unternehmen aus Frankfurt statt
der servodata gmwh
und wir hören uns jetzt mal an was
passiert wenn man da quasi anruft
willkommen beim spwernotruf
11616 sind sie Sparkassenkunde bzw Kunde
der
sparkassenfinanzgruppe dann drücken Sie
bitte
D1 sind sie Kunde einer Bank drücken Sie
bitte
d2en Sie
ecartenestroardsards oder
bankkundenkarten
wählen Sie bitte die
ein willkommen bei ihrem sperrservice
für eckarten bankhunden und Sparkarten
zu Ihrer Sicherheit wird dieser Anruf
aufgezeichnet um ihre Kartensperre
durchführen zu können benötigen wir
unbedingt die Kontonummer oder die
i-bahn beachten Sie bitte dass alle
Karten zu Ihrem Konto gesperrt werden
ausgenommen sind Kreditkarten zum
entsperren einzelner Karten wenden Sie
sich bitte an Ihr Kreditinstitut ist
ihnen die 22 stellige ibahn bekannt
antworten Sie bitte mit Ja oder Nein ja
bitte nennen Sie mir Ihre ibahn ohne die
voranstehende
länderkennung.de genau die kommen jetzt
natürlich nicht die ibahn aber
grundsätzlich ich glaube das
Grundprinzip dahinter ist klar man wird
da so ein bisschen durch Sprachcomputer
durchgeschleust was es schon ganz
spannend macht weil man schon merkt dass
das verschiedene aneinander gekettete
Sprachcomputer sind die Weiterleitung
erfolgt da allerdings höchst automatisch
da wird dann an entsprechende Banken das
quasi übermittelt die dann die Sperrung
einleiten durinaus ist ganz spannend was
wenige wissen es gibt auch die
sogenannte spare App die ist sowohl für
Android Telefone als auch für iOS
verfügbar und bietet verschiedene
Funktionen die wir uns im Folgenden
einmal kurz anschauen zum einen relativ
spannend wenn man diese App startet dann
kann man sie wirklich nur dann nutzen
wenn man auch die nutzerbedingung
akzeptiert ansonsten wenn man auf ich
akzeptiere nicht klickt wendet sich die
App direkt automatisch und ist wenig
hilfreich ansonsten sieht man dass man
dort Karten sperren kann man kann wieder
die 116 116 anrufen da öffnet sich dann
einfach die entsprechende App oder die
entsprechende Applikation die Telefone
durchführt und es gibt den sogenannten
Datensafe und einige
Einstellungsmöglichkeiten der datensfe
ist tatsächlich relativ praktisch weil
man da eine entsprechende Karte
hinterlegen kann und wenn es dann dazu
kommt dass sie abhanden kommt gecloud
wurde oderlich kann man quasi mit einem
Klick oder einem Tipp sagen dass diese
Karte gesperrt werden soll ganz spannend
ist dass neben der i-bahn auch die
sogenannte Karten Folgenummer auf die
wir später noch mal zu sprechen kommen
gemanaged wird und das entsprechende
Gültigkeitsdatum so sieht eine
entsprechende Sperre innerhalb der App
aus man gibt dort die e-bahn ein pflegt
entsprechend ja einige Dinge muss dann
auf weiterkilicken oder man kann seine
Meinung auch ändern laut dieser App
zumindest das
genau funktioniert
auch soweit zu den zwei bisher
behandelten ansonsten im Jahr 2023 ist
es natürlich extrem wichtig sämtliche
Arten von Technologien unterstützen
deswegen gibt es tatsächlich ernsthaft
auch noch das sogenannte
[Musik]
sperfx inoweit ist es auch möglich dort
ein Fax an die 166 106 zu schicken und
ich glaube unten rechts sieht man auch
ganz klein es gibt noch eine Alternative
Nummer warum auch immer falls 116 116
nicht geht kann man das ganze auch
darüber sperren lassen wenn wir uns das
Ganze also mal anschauen es gibt eine
Person die hat ein Kartenverlust man
kann dann entweder anrufen über die App
oder eben per Fax dort eine Sperrung
herbeiführen das ganze wird übermittelt
läuft über Systeme von dem
entsprechenden Verein
11616 und dann gibt's eine Übermittlung
an die Banken die dann wirklich in ihren
Datenbanken quasi hinterlegen hey mit
dieser ibah da soll gerade mal erstmal
keine Karte möglich sein später wenn man
eine neue Karte zugeschickt bekommt
sprechen wir auch noch so ein bisschen
drüber dann gibt's da Möglichkeiten dass
quasi nur die eigene Karte wieder
funktionieren soll dafür ist die gerade
eben benannte
kartenfolgenummer relevant und wichtig
das erstmal so ein bisschen als
Systematik im Überblick grundsätzlich
sehen die natürlich vor dass man ein
Smartphone besitzt in dem Smartphone
diese entsprechende Applikation
installiert also eine App und dann über
diese App an eine gewisse URL werden
diese Dinge reportet wenn man sich dann
etwas intensiver mit dieser Smartphone
App beschäftigt merk man eben dass sie
zu einer bestimmten URL ja eine
Verbindung aufbaut und über dies ur eben
entsprechende APIs erreichbar sind und
wenn man dann mal nicht das Smartphone
nutzt sondern eben andere Mechanismen
hier jetzt mit verschiedenen Proxy
Lösung die quasi in traffic intercepten
gezeigt dann hat man Möglichkeiten da
unmittelbare einzuwirken s dass man gar
nicht mehr durch Einzel Menüs durchgehen
kann sondern es gibt wirlich Endpunkte
wo man quasi unmittelbar eine ibah gegen
werfen kann heißt also wenn wir jetzt
jemand hätte der vielleicht kein ja
besonders positiven sonder er ein
malizösen intent hat also etwas Schaden
anrichten möchte dann könnte man quasi
eine Art massenspeierung herbeiführen
dem man zahlreiche ibans gegen diese
Schnittstelle wirft das ganze wird an
Banken übermittelt kommt natürlich drauf
an wie geschickt oder ungeschickt man
das ganze tut ich sag mal so die
allermeisten Leute hier im Raum werden
wahrscheinlich irgendwie eine
Transaktion bei IBAN an irgendeine
andere IBAN gemacht haben und da ist
vielleicht bekannt dass man dann eband
sehen kann sprich wenn da solche Daten
irgendwie publik werden könnte man damit
schon einiges an Problem verursachen
also quasi eine Art massensperre
wenn gleich es natürlich sein kann dass
einzelne Banken irgendwie dann noch
Mechanismen haben wenn die sehen pro
Stunde gehen hier irgendwie 100.000
Sperrung ein sollte man hoffen dass sie
da irgendwie drauf reagieren
genau aber jetzt sind wir ein bisschen
über Ziel hinaus geschossen eigentlich
war unser unser Ziel die Karte zu
sperren die Karte ist gesperrt also
alles gut spannende Frage leider nicht
so ganz kann ich an dieser Stelle sagen
weil es beispielsweise auch auf der sper
notrufseite aber auch in zahlreichen
Foren im Internet eben Berichte gibt wo
Leute trotzdem noch Abbuchung hatten und
das ist darauf zurückzuführen dass
dieser Anruf bei der 116 116 oder die
Nutzung der anderen Möglichkeiten eben
nur dazu führt dass die ganz klassische
Art der Girocard Zahlung dort gesperrt
wird nicht allerdings die elektronische
Lastschrift die wir uns gleich im
Folgenden mal anschauen dafür muss man
eine kunoeldung durchführen Kuno könnte
jetzt ein Elefant aus Sri Lanka sein ist
es leider nicht oder vielleicht gibt's
da auch der so heißt es könnte auch ein
Panda aus China sein ist es auch nicht
sondern es gibt das sogenannte Kuno
spersystem und was das ist schauen wir
uns auch einmal ganz kurz an nach dem
Einkauf ist das einfach weg das portme
schnell wird Caroline Bronner klar es
ist geklaut worden inklusive der
EC-Karte daraufhin bin ich zur Bank habe
die Karten sperren lassen meinem
Bankberater und damit war die Sache
eigentlich für mich erledigt dachte sie
zumindest denn zwei Monate später
bemerkt sie seltsame Abbuchungen von
Ihrem Konto
verunsichert überprüft sie jede einzelne
Buchung jemand Fremdes zahlt trotz
Sperre vergnügt mit ihrer Karte kauft
für 180 € im Supermarkt ein Karoline
Bronner geht zur Polizei und erstattet
Anzeige hier hört sie zum ersten Mal
dass die Sperrung bei der Bank alleine
nicht
reicht das war natürlich ein riesenchock
ich hätte nie gedacht dass trotz dass
ich meine Karte gesperrt hab dass dann
noch etwas abgebucht werden kann ein
Irrtum denn die Bank sperrt nur die
Zahlungsvorgänge mit Pineingabe
Zahlungen per Lastschrift also mit
Unterschrift können weiter getätigt
werden die Erklärung ist simpel das
eckartenerminal arbeitet je nach
Geschäft mit zwei unterschiedlichen
Systemen bezahlt der Kunde mit
Pineingabe erfolgt direkt online eine
Prüfung bei der Bank ist der Kunde
zahlungsfähig wird sofort abgebucht das
lässt sich die Bank vom Handel
ordentlich bezahlen bezahlt der Kunde
jedoch per Unterschrift erfolgt keine
Prüfung durch die Bank die Unterschrift
auf dem Kassenbong ist die
Einzugsermächtigung der Handel hat keine
Zahlungssicherheit aber auch keine
Kosten beim Lastschriftverfahren ist die
Bank also nicht direkt beteiligt wird
eine Karte bei der Bank gesperrt wird
diese Information nur für die Pineingabe
an den Handel weitergeleitet die
Lastschrift ist der Bank egal trotz
Sperre können dieber also auf diese
Weise weiter bequem einkaufen eine
Sicherheitslücke zu Lasten der
Kunden Banken sind sicherlich eher an in
Verfahren interessiert weil es Gebühren
bringt weniger an dem
Lastschriftverfahren weil es keine
Gebühren bringt und lästig ist und
nehmen dann auch in Kauf dass der Kunde
einen potenziellen Schaden und ein
Sicherheitsrisiko hat Tatsache ist seit
2006 leiten Banken nur noch die
Information über gesperrte EC-Karten mit
Pineingabe an den Handel weiter die
Folge Zahlen mit der Unterschrift von
Fremden ist für diebeichtig einfach eine
Sicherheitslücke von der viele gar
nichts
ahen um diese Sicherheitslücke zu
schließen haben sich Polizei und Handel
zusammengetan und ein eigenes
Sperrsystem entwickelt genannt Kuno über
die Polizei kann man da seine gesperrte
Karte registrieren lassen sollte also
dann jemand im Geschäft versuchen mit
der Karte zu bezahlen erscheint dort die
Meldung Vorgang nicht möglich Shoppen
auf Kosten anderer keine Chance bedeutet
egal ob Diebstahl oder Verlust der Karte
in beiden Fällen muss der Kunde zur
Polizei die erledigt die kunoerrung
genau den Beitrag können wir jetzt so
ein bisschen entnehmen zum einen gibt's
tatsächlich Fälle wo kriminelle
offensichtlich das ganz ausnutzen
gezielt eben per Lastschrift Einkaufen
es gibt übrigens Unternehmen die ganz
gezielt quasi noch Lastschrift einsetzen
eben um in den Beitrag die
angesprochenen Kosten gering zu halten
gibt's auch entsprechende Datenbanken
oder Information zu wo man sowas
herbekommen kann Plus auf manchen
Zahlungsterminals da können
entsprechende Anbieter auch auswählen
wie soll denn jetzt gezahlt werden da
kann man Beispiel Weise dann auch die
Lastschrift auswählen wir haben so ein
bisschen gehört
das Kuno System dass das von der Polizei
und dem Handel offiziell da eben vom
sogenannten EHI Retail Institute aus
Köln den deutschen Handelsverband und
der Polizei betrieben wird hier sehen
wir mal die entsprechende Startseite von
Kuno und un heißt es auch schon mit dem
Einrichten einer kunosperre sind Sie auf
der sicheren Seite wie sicher diese
Seite ist gucken wir uns gleich noch mal
etwas stärker an zunächst einmal noch
was kun überhaupt bedeutet weil wir
wissen jetzt es ist kein Elefant es ist
kein Panda sondern Kuno ist eine ganz
einfache Abkürzung für
Kriminalitätsbekämpfung im unbaren
Zahlungsverkehr durch Nutzung nicht
poliizeilicher Organisationen also merkt
euch das bitte es ist schön dass es der
Abkürzung
[Applaus]
[Musik]
gibt grundsätzlich die Betreiber hatten
wir gerade eben schon kennengelernt oben
haben wir das Logo worum geht es um die
Sperrung als oder für die
sepalastschrift bzw ELV als abkürz
durch den Eintrag in einer Sperrdatei es
gibt entsprechende Testsysteme sie seit
2001 im Einsatz waren und nach und nach
dann eine Auswertung spätestens seit
einem Beschluss der
Innenministerkonferenz aus dem Jahr 2005
wo eben absehbar waren dass Banken keine
Meldung mehr an den Handel vornehmen
inoweit musste da ein eigenes System
geschaffen werden jährlich gibt's über
120.000 Sperrung über dieses
entsprechende System und technisch
realisiert wird das eben von dem EHI
retailtit aus Köln mit entsprechenden
Dienstleistern im Hintergrund an der
Stelle sei noch wichtig erwähnt die
haben spannende Sticker die man
vielleicht auch schon mal an Kassen
gesehen hat weshalb das wichtig ist da
kommen wir später noch mal drauf zu
sprechen grundsätzlich so ein paar
versprechen die das System mit sich
bringen eins hatten wir gerade eben
schon gesehen mit der Einrichtung der
kundesperre sind Sie auf der sicheren
Seite slogen auf deren Startseite dann
ein gewisser Herr schönbom der ein Sohn
hat der vielleicht auch mal irgendwo im
Bereich Security tät war der hat man die
äuerung gemacht dass es ein Beitrag zu
mehr Sicherheit in unserem Land ist und
dass das eben vor entsprechenden
Betrügern schützt dar hinaus ist es so
dass z.B das handwerksblatt irgendwann
mal gesagt hey das ist eine Maßnahme
effektiv sperren zu lassen und auch Kuno
selber sagt sie sind ein simples aber
wirkungsvolles
Sperrsystem tatsächlich ist es so dass
kunu in den letzten Jahrzehnten eine
massive Wirkung gezeigt hat hier sieht
man beispielsweise mit der blauen Linie
dass die betrüge oder fastenfälle mit
lastschriftbetrug merklich
zurückgegangen sind auch aufgrund des
Kuno Systems und ja das ist glaube ich
schon bemerkenswert hier sieht man
insbesondere ab dem Jahr 2005 dass es
massiv nach unten gegangen ist vorher
gab es da quasi nicht solche Mittel und
soweit ist er schon recht positiv
historisch zu würdigen wenn sich dann
noch mal die Funktionalität anschaut
dann gibt's zum einen die Polizei
tatsächlich ist es so dass wenn man
entsprechend sein portme geklaut
bekommen hat dort eine Anzeige erstatten
muss die nehmen dann die Meldung an das
Kuno System vor übermitteln dort also
die zusperrende i-bahn bzw früher
Kontonummer und Bankleitzahl das ganze
wird dann übermittelt in die Sperrdatei
die dann ausgespielt wird an den Handel
bzw entsprechende payment und
Zahlungsanbieter im Hintergrund die das
dann im Kassensystem validieren wo
geschaut wird okay zahlt jetzt jemand
mit einer solchen Karte die gerade
gesperrt worden ist es gibt also ein
Abgleich und sofern in der Datei eine
eban registriert ist und jemand mit
einer Karte zahlt wo das matcht wird
diese Zahlung wie wir gerade eben im
Beitrag gesehen haben nicht zugelassen
darüber hinaus auch noch ganz spannend
gibt es einen sogenannten self service
wo betroffene Personen in der Lage sind
Dinge zu tun wir sehen da auch schon
Freischaltung der Meldung oder Meldung
der sogenannten kartenfolgenummer das
ist dann relevant wenn man eine neue
Karte von seiner Bank erhalten hat wir
sehen auch dass drei bondusländer sich
dem nicht angeschlossen haben ich habe
versucht zu ermitteln im Rahmen der
Recherchen weshalb das so ist bei diesen
drei Bundesländern mlenburpomann
reheinlandfalz Sachsen ich konn
tatsächlich nicht herausfinden
vielleicht haben die sehr viel Ahnung
von Security aber vielleicht auch nicht
schauen wir gleich
mal
also wir haben gesehen 116 116 eine
Sperre durchgeführt dann entsprechende
kunosperre durchgeführt jetzt müssen wir
e sagen okay man hat alles getan man
Wirich alles gesperrt leider auch mal
wieder nicht so ganz muss man an dieser
Stelle sagen und walb das schauen wir
uns jetzt mal nach und nach etwas an
denn ich habe ein 32 seitigen Report
geschrieben weil ich mir Kummer etwas
genauer angeguckt habe ich bin auf
verschiedene sicherheits- und
Datenschutzprobleme gestoßen und von
denen schauen wir uns einige Auszüge
einmal an grundsätzlich wenn man über
ein System stolpert ist man natürlich in
der Lage sowas wie Portscan
durchzuführen sprich man schaut was an
Applikation läuft denn da so drauf was
ist da über das Netzwerk erreichbar da
sieht man zu einem wbports zum anderen
aber auch irgendwelche höheren Ports wo
teilweise Management Schnittstellen
drauf laufen auf deport 8172 70 läuft da
offensichtlich auch ein Microsoft Dienst
der folgendermaßen aussieht das ist eine
sogenannte ja Interface Seite zu einem
MS deployment spricht da ist man in der
Lage mit USIM Passwort mehr oder weniger
Admin Ausrollung vorzunehmen
weil man darüber Webpakete anstoßen kann
ist schon nicht so ganz schön das
irgendwie so ins Internet zu stellen
aber Ehen Medium Vining sage ich mal wo
man sagen würde hey stellt da doch mal
irgendwas vor im Rahmen der Recherchen
habe ich dann mal versucht zu ermitteln
ist das eigentlich ein Einzelfall
spannend ist dann W ich auf so ein stack
overflow Kommentar gestoßen wo auch
jemand gesagt hat hey hier gab's ne
Security Review da ist irgendwie Port
erreichbar der soll gar nicht erreichbar
sein und können wir irgendwie eine
allowist vorpflegen es wäre schön wenn
wir das Abschirmen könnten und wie geht
denn das hat da jemand Tipps und
Hinweise kamn ja mal durchaus Fragen auf
stack overflow ganz spannend ist dann
auch die Antwort weil Leute haben dann
Case bei Microsoft aufgemacht und
Microsoft hat gesagt das ist zu
kompatibilitätszwecken notwendig und
manchmal ist es offen manchmal ist
geschlossen und der Fix den sie am Ende
gefunden haben ist einfach ganz oft neue
resource groups neue appäne und
entsprechend öfter diesen Service
anzulegen sprich have you try turn it on
and off again ganz oft ausrollen bis der
Port entsprechend nicht mehr da ist gibt
natürlich auch ein besseren fix man kann
einfach auch eine Firewall in Azure
beispielswe so konfigurieren dass sie da
vorgestellt wird müsste man natürlich
bezahlen in dem
Zusammenhang dann wenn man auf der Seite
sich weiter rumtummelt ist mir schon
relativ früh aufgefallen dass
entsprechende Google Fonts eingebunden
werden sprich man lädt die Seite und
ohne dass man irgendwo drauf klickt oder
irgendwas tut wird eine Verbindung zu
Google hergestellt muss man sich auch
mal vor Augen führen die Polizei nutzt
quasi auch diese Seite kommen wir später
auch noch zu das heißt jedes Mal wenn J
mit ein Polizeibehörde irgendwie so eine
Sperre durchführt wird erstmal request
zu Google gemacht wird weder in den
Datenschutzbestimmung erwähnt noch gab's
in irgendeiner Art und Weise eine
Verbindung mit dem entsprechenden Cookie
Banner grundsätzlich gab's da im
vergangenen Jahr schon entsprechend vom
Landgericht München Urteile die eben
gesagt haben Google Fonts sind
rechtswidrig wenn es da keine
Einwilligung gibt und es gab in dem
Sinne keine Einwilligung weil man nicht
auf einen Cookie Banner akzeptieren
geklickt hat in dem Zusammenhang von
daher ja schwierig nett finde ich die
Entwickler haben sich wirklich daran
gehalten das so zu fixen wie man das
fixt man löscht einfach nur die Google
Fonts schön ist aber dass sie so ein
bisschen als Relikt auch hinterlassen
haben dass es ein Kommentar gibt der ist
auskommentiert man sieht die nur im
Quelltext aber da steht immer noch
Google habe ich heute morgen zuletzt
geprüft insofern bleibt das für die
Nachwelt auf jeden Fall
erhalten ansonsten hatte ich gerade eben
schon erwähnt dass Cookie Banner ist
durchaus ein bisschen fragwürdig zum
einen ist es da unten auf der Seite
platziert kann man wahrscheinlich so
machen eher interessant ist aber wenn
man sich mal anguckt welches jaascript
dafür zuständig ist gibt's ja zum
einenen encoding Fehler und zum anderen
merkt man auch wenn man sich das
durchliest dass das eigentlich nur eine
Anzeige auf der Webseite generiert und
wenn man okay klickt ist die erstmalg
weg und wirklich mehr passiert da nicht
eigentlich sind Cookie Banner so zu
konfigurieren dass entsprechende
Ressourcen nicht nachgeladen werden
bevor man nicht etwas anderes quasi auf
der Seite getan hat oder auf akzeptieren
oder ähnliches geklickt hat spannend ist
wenn man dann mal die oberste Zeile hier
nimmt da steht ja sogar von wem das ist
dann kann man da einfach mal nach gugeln
genau das habe ich mal hier entsprechend
gemacht und der erste und der dritte
Treffer sind eigentlich schon ziemlich
eindeutig wenn man sich damit
beschäftigt weil man da sieht dass schon
vor 5 Jahren Leute geschrieben haben ey
das ist nicht so wirklich compliant es
gibt da irgendwie gdpr also die
datenschutzgrundverordnung und
dementsprechend sollte man das in dieser
Form nicht nutzen auch auf Github gibt's
ein entsprechend comment dazu wo jemand
sagt dass es not legally valid anymore
ist und verlinkt auch auf reuas spannend
ist diese Kommentare gab es auch als
Kuno das schon irgendwie eingebaut hat
ich weiß nicht weshalb oder warum das
irgendwie eingebaut worden ist aber über
die archive.org also Internet
waybackmchine war ich in der Lage eben
zu sehen seit wann gibt's dieses
entsprechende Cookie Banner also ja
nicht so cool also mal entsprechend
gemeldet dass da sowas vorliegt dann
erer wieder Richtung Security spannend
ist es gibt ein Kontaktformular auf der
Seite und da steht einfach drin hey
banklerzah Kontonummer und
sperrbestätigungsnummer da kommen wir
gleich noch drauf zu sprechen was da
genau mit sich auf sich hat aber
grundsätzlich ist das so ungefähr damit
vergleichbar wenn der Support sagt ja
darf ich mal Ihr Kennwort haben um ihn
zu helfen problematisch weil zum ein
landet das in irgendwelchen Ticketsystem
bei dem entsprechenden Anbieter wo
irgendwie Leute drauf oder dran kommen
könnten und zum anderen macht man das
einfach nicht glaube ich ist jedem hier
im Raum klar weil eben das Schutzziel
der Nachvollziehbarkeit dadurch so ein
bisschen verletzt wird ist es unklar ob
jetzt die einzelnen Personen dort
irgendwie etwas erwirken oder ob das die
Mitarbeiter von Kuno wären wenn die
tatsächlich diese sperernummer dort
verwenden und wirklich spannend wird's
dann wenn man sich mal damit beschäftigt
was ist denn das überhaupt für eine
sperrbestätigungsnummer da findet man
verschiedene Artikel und auch als ich
bei der Polizei war wurde mir einfach am
Ende so ein Blatt überreicht und auf dem
Blatt steht einfach eine Nummer drauf
und die entsprechende IBAN das heißt man
bekommt direkt in die Hand der Polizist
oder Polizistin sieht das dann halt auch
hat vielleicht eine entsprechende
Vertrauensstellung aber so muss man sich
das vorstellen man bekommt da quasi ein
Diner vierblatt überreicht dann sehen
wir schon beim entsprechenden Login dass
man in der Lage ist sperren aufzuheben
und kleines Detail die ist fünstellig
habe ich gerade eben noch nicht erwähnt
auf dem Blatt aber es gibt fünfstellige
sperbestätigungsnummer und man kann sich
mit der e-bahn die logischerweise auf
jeder Girocard drauf steht und mit der
fünfstelligen sperbestätigungsnummer
anmelden so sieht ein entsprechender
request aus und ich war erstmal ganz
beruhigt weil vielleicht ist das
zufällig dass bei mir nur Nummern
irgendwie drauf stehen vielleicht haben
andere Leute auch noch Buchstaben oder
was auch immer dazwischen und natürlich
gibt's bestimmt rate limiting auf dem
Server so dass so ein Request nicht
einfach durchiteriert werden kann turns
out ich schmeiß das einfach mal in
intercepting Proxy also den
entsprechenden request ersetze die
Stelle wo diese sper bestätig Nummer zu
der eban ist lasass d man entsprechendes
Skript quasi laufen in dem sin jetzt
hier burb als Tool wo man einfach
durchiterieren kann welche
sperbestätigungsnummer stattfinden da
habe ich jetzt 10 request pro Sekunde
quasi einmal durchgeschickt und tada am
Ende haben wir ein Volltreffer weil wir
sehen es gibt eine entsprechende ID bei
der die Länge kürzer ist als bei den
anderen das lieg ganz einfach daran dass
die HTTP Respons dort anders ausfällt
das ist also der zu der ebahang gehörige
sperbestätigungscode mit dem man sich
dann einloggen
[Applaus]
kann dann sind wir jetzt also bereit für
den Login wir versetzen uns einmal in
die täterposition jemand hat mir die
entsprechende Girokarte geklaut und hat
sich vielleicht me hingesetetzt und
Skript geschrieben und die fünfstellige
sperrbätigungsnummer ermittelt dann
kommt man da rein sieht die
entsprechende Sperre und ist dann in der
Lage diese Sperre zu bearbeiten da
gibt's einen Grund der Entsperrung den
man angeben kann kann man auswählen ist
auch ein bisschen interessant was da te
spergründe drin stehen da hat sich
vielleicht wer vertippt falsche
Kontonummer da hat sich vielleicht wer
vertippt falsche Bankleitzahl
es kann auch sein dass man Karten wieder
erlangt sprich wenn die plötzlich im
Briefkasten auftauchen oder man zu Hause
irgendwie das portme verlegt hat auch
sowas wäre natürlich denkbar so dass man
dann dort eine Entsperrung einleiten
kann spannt für ich persönlich auch die
Checkbox da steht drin bitte ich
bestätige das sind meine Daten ich will
das wieder freischalten wie passten das
mit dem fehgrund eigentlich zusammen
dass da ein Tippfehler drin ist dann
dürfte man diesen Button niemals drücken
wir haben aber gesehen man kann but
drücken heißt wir können se Lastschrift
von dieser entsprechenden Karte durch
wieder freischalten also unser Hauptziel
quasi erreicht diese sperdatei wird
typischerweise alle 24 Stunden im Handel
quasi aktualisiert teilweise auch
schneller das heißt wir haben da etwas
unlocked dann kann man sich natürlich
damit beschäftigen okay ist jetzt ganz
spannend wie kann man das denn ausweiten
weil wir wissen jetzt wir können eine
beliebige Ibar nehmen mit 100.000
request bei einer
fünstelligen schwerbätigungsnummer und
können gewissermaßen bout forcen spannt
ist in Deutschland sind entsprechende
i-bahn 22 Stellen lang der Standard
sieht eigentlich 34 mögliche Stellen vor
und euch ist sicherlich bekannt die
Länderkennung die entsprechende
Prüfziffer und eine Bankleitzahl ist
relativ predictable spannt wir also eher
hinten im Kontobereich auch da ist so
dass viele Banken führende Nullen haben
das heißt wenn man sich da wirklich Mühe
gibt könnte man quasi mit so einem
Vorgehen versuchen alle Karten die in
dieser Datenbank stehen zu entsperren
oder zumindest erstmal die
sperbestätigungs noch mal zu ermitteln
darüber kriegt man übrigens auch das
Wissen darüber welche Karten jetzt in
dieser Datenbank gesperrt sind ist er
ein theor vorgehen weil man je nachdem
wie viel Power man dahinter setzt eben
ja sehr sehr viele requests durchführen
muss trotzdem durchaus denkbar wenn man
z.B ganz gezielt Kunden einer Bank
angreift dass man dann die
entsprechenden ibans dort
nimmt interessant ist auch so ein Kuno
Check was kostet der eigentlich hier
habe ich mal von pay one einem großen
zahlungsdienstleistungsanbieter
mitgebracht was das kostet sich gegen
eine kunoliste und ähnliches abgleichen
zu lassen bei jeder Zahlung je Vorgang
kostet das ungefähr 5 bis 9 Cent habe
ich kurz überlegt okay mache ich neues
Site Business auf und mache 100000
request um das ebenfall falls zu
validieren und ne dafür 5 Cent habe ich
mal lieber nicht gemacht
ähm wä aber durchaus denkbar an der
Stelle dann habe ich mir die
Datenschutzbestimmung angeschaut weil
ich natürlich gesagt habe hey irgendwie
sind die ein bisschen alt da stand
irgendwas von 2018 oder so drin ganz
unten beim Stand und zum anderen ist mir
aufgefallen die haben in der Version
vorher geschrieben dass personenbezogene
Daten entsprechende Daten sind die mit
dem Namen gespeichert werden was
irgendwie auch nicht so stimmt weil
personenbezogene Daten ist hier jetzt
auf der rechten Seite schon richtig
korrigiert sind eben Daten die Personen
beziehbar sind und IBAN ist in der Regel
Person beziehbar
weil die eben einer Person zuordenbar
ist spannend ist dann auch dass hier
unten steht dass EHI verkauft Ihre
personbezogenen Daten nicht an Dritte
mir ist da mal so aufgefallen die haben
den Satz irgendwie in der neuen Fassung
rausgenommen wo ich dann mal gefragt
habe okay wieso habt ihr diesen Satz
rausgenommen haben die gesagt Moment wir
haben den woanders unterformuliert da
steht jetzt nämlich tatsächlich
ansonsten Erfolg keine weiter und kein
Verkauf ihrer bezogenen Daten an Dritte
spannend ist nur es gibt auch so ein
Händler FAQ und und da steht z.B drin
was kostet mich die kundanbendung als
Händler wenn man unter 75 Millionen Euro
Umsatz macht kann man dafür eine feste
Jahrespauschale von 120 € sich anmelden
ich habe mal versucht mich da anzumelden
irgendwie haben die das bei mir
abgelehnt ich weiß auch nicht woran das
lag auf jeden
Fall ist es so dass ich bin kein Jurist
aber für mich sieht das schon so aus
wenn man Geld bezahlt dass man Zugang zu
Daten hat dass die dann Daten
verkaufen und wenn man sich auch mal so
anguckt so ein paar Namen stehen nämlich
auf der Seite auch in dem entsprechend
FAQ da sieht man dass ein paar
netzdienstleister und
Finanzdienstleister da eben angeführt
sind da sind auch einige sehr
vertrauenswürdige Unternehmen bei die
z.B auch
Bonitätsprüfung durchführen und ich will
jetzt hier keinen Verdacht in den Raum
stellen aber es wäre vielleicht spannend
zu wissen wer verliert den wie of seine
Karte und wie riskant ist denn so eine
Person die irgendwie ganz oft ihre Karte
verliert grundsätzlich haben die aber
gesagt dass dort vertraglich zugesichert
ist dass die Daten nur für diesen
zahlungszweck verarbeitet werden
daraufin habe ich mal geschaut was gibt
so an spannenden Datenschutz rechten die
man so als betroffene Person hat da
gibt's Artikel 15 der
datenschutzgrundverordnung wo man das
Recht auf auskomft hat also was tun die
mit den Daten da gibt's ganz tolle
Webseite datenanfragen.de wo man relativ
simpel sich sowas generieren lassen kann
noch ein bisschen anpassen kann das ist
ganz einfach ein betroffenheitsrecht was
hier ausgeübt wird nach Artikel 15 hat
das Recht zu erfahren wer eigentlich da
die Daten hat welche Daten die haben
oder wen geben die die Daten
entsprechend weiter habe ich mal
rausgeschickt erste response die ich
bekommen habe ist sorry wir müssen
wissen dass du wirklich du bist deswegen
sag uns mal die letzten zwei Ziffern der
sperrbestätigungsnummer da so ein
bisschen als Ergänzung wir haben ja
gerade eben und das war wirklich vor
diese Anfrage den schon übermittelt dass
man jede sperbestätigungsnummer beliebig
ermitteln kann von daher ist das jetzt
nicht die beste Art jemand zu
identifizieren diese sperbestätigungsn
mal da quasi zu nutzen nächste spannende
response sogar erst vor wenigen Tagen
ist dann gewesen die haben noch mal
eingeräumt ja für 120 € kann man sich da
anschließen aber sie verkaufen weiterhin
keine Daten und noch spannender ist sie
möchten mir nicht sagen an welche
Unternehmen das weitergeleitet worden
ist also ihr seht unten den Satz den
habe ich auf der nächsten slide auch
noch mal etwas größer aus
Sicherheitsgründen um eine
betrübsverwendung zu verhindern können
wir Privatpersonen nicht über die Namen
der angeschlossen Händler informieren
das ist quasi deren Aussage sie sagen ja
wir haben Daten das ist in dieser PDF
Datei im Anhang wir können aber nicht
sagen wohin das irgendwie weitergeleitet
wird dann denke ich mir so okay die
haben aber ein Sticker rausgegeben wo
das bei den ganzen Händlern irgendwo an
die Kassen geklebt wird also irgendwie
wollen eigentlich schon dass Leute das
Wissen oder sehen oder sollen nur die
Täter das wissen oder sehen bisschen
unschlüssig was man grundsätzlich sieht
ist dass eben deren Sicherheitsgründe
gegen meine Betroffenen Rechte stehen
und deswegen würde ich gerne mal eine
kleine Umfrage hier im sa machen wie ihr
das beurteilt wer wäre denn dafür dass
die Sicherheitsgründe überwiegen spricht
dass sie nicht offenlegen sollen welche
Unternehmen das ganze erhalten oder
empfangen es gibt wenig bis keine
Meldung das vielleicht soweit in den
Stream gemeldet dann einmal die zweite
Frage wer wäre denn dafür dass
Unternehmen die betroffenheitsrechte
erfüllen sollen und auskünft dar geben
sollen wohin entsprechende Daten fließen
bitte auch da mal kurz eine Meldung da
gibt sehr viele Meldungen insofern werde
ich mal schauen wie ich mich da in den
nächsten Wochen vielleicht mein
Aufsichtsbehörde in NRW oder ähnliches
dafür wende es gibt noch mehr zu
entdecken es gibt ein Admin Portal
undten erreichbar admin login Passwort
mir ist bis heute nicht ganz klar wie
sich die Polizei da einloggt weil das
haben die in separaten Raum gemacht was
vielleicht auch ganz gut ist auch da ist
spannt wie werden die passwörte an die
Polizeibehörden verteilt ist mir nicht
klar ich hoffe das ist irgendwie
postalisch oder zumindest irgendwie
schlüsselt oder sicher und nicht irgend
so ein einfaches Passwort und ich hoffe
dass da vielleicht auch ein zweiter
Faktor ist aber ich weiß es nicht falls
ihr da mehr wisst sagt mir gerne mal
Bescheid ansonsten Übermittlung der
Sperrdatei auch das steht in den
Datenschutzbestimmung die Erfolg
natürlich signiert und verschlüsselt
auch da wird mich stark interessieren
wie signiert und verschlüsselt findet
das ganze statt also falls da Leute
Hinweise haben auch da gerne melden es
gab noch ein paar weitere Problemchen
die sind jetzt aber leider zu lang oder
zu groß für den Talk deswegen gehe ich
da mal rüber es gab Probleme bei der
transportverschüssung hsts war nicht
gesetzt es gab Informationen im
serverheader die man sehen kann es gab
zahlreiche outdated JavaScript
Bibliotheken alles Dinge die nicht schön
sind dann habe ich Malin Logo
mitgebracht oh das ist noch das falsche
Logo ich habe ein besseres Logo
mitgebracht das jo day Logo nicht zu
vertauschen mit dem Zero Day ihr könnt
jetzt nämlich alle auf joday.de gehen
und euch den Bericht einfach
anschauen den Bericht einfach anschauen
falls euch technisch also interessiert
was gibt's da oder gab's da für könnt
ihr euch das in Ruhe noch mal durchlesen
auf 32 Seiten und ich habe auch auf der
Webseite ein Sticker verlinkt falls ihr
selber diesen Sticker ausdrucken wollt
und im Handel irgendwo abgeben wollt
auch das könnt ihr gerne
tun grundsätzlich trotzdem an dieser
Stelle ein herzlichen Dank an das EHI
den Deutschen handelsverand und die
Polizei weil die sich schon sehr
professionell darum gekümmert haben die
haben die Meldung entgegenenommen die
Google FS beispielsweise waren nach
kurzer Zeit also wenigen Tagen von der
entsprechenden Webseite entfernt auch
das Brot forcen der sperbätigung Nummer
ist nicht mehr möglich auch das wurde
sehr schnell beseitigt das heißt
grundsätzlich ist das schon ein
funktionierendes und solides System was
da eingesetzt wird genau auch mal ein
[Applaus]
applauswert dann noch ein kleiner fun
fact wie entsprechende Buchungen quasi
ja niedergeschrieben werden und vermerkt
werden das sieht man hier so ein
bisschen die zahlungsa tömler die Datum
Uhrzeit Autorisierung also wurde das
über Magnetstreifen oder ship ausgelesen
und die sogenannte kartenfolgenummer was
fällt auf die ist einstellig heißt bei
Kuno beispielsweise so man soll ja diese
Karten Folgenummer dort angeben damit
alle anderen Karten außer die
entsprechende eigene überhaupt noch
irgendwie benutzt werden kann wenn ihr
allerdings mehr als z mal eure Karte
verliert dann seid ihr de facto nicht
mehr sperrbar bzw seid ihr einfach
dauerhaft gesperrt also bitte nicht zehn
mal die Karte verlieren oder dann müsst
ihr die B wechseln weil ihr die Karte Z
mal verloren habt an der Stelle
ansonsten viicht noch ein paar
interessante Visionen oder Forderung
weil ich find ziemlich uncool dass es
eigentlich zwei Systeme gibt und
Bürgerinnen und Bürger wissen müssen
dass sie sich irgendwie an zwei Stellen
wenden müssen wir haben im Videobeitrag
gesehen dass das nicht alle Person
wissen und auch diese verschiedenen
voice Computer sind da jetzt nicht so
ganz optimal für ja jede Person sage ich
mal geeignet grundsätzlich W schön wenn
es eine zentrale Meldestelle gibt wo
alle Zahlungsarten drüber gesperrt
werden können das wäre glaube ich
zivilgesellschaftlich eine sinnvolle
Forderung das ganze sollte transparent
und nachvollziehbar sein optimalf open
so dass man beispielsweise Sicherheit
sicherstellen kann die Finanzierung
sollte nachvollziehbar sein bis heute
ist mir nicht ganz klar wie sich Kuno
finanziert ob das wirklich nur diese 120
€ sind und da sehr sehr viele Händler
hinter stehen oder ob da noch andere
Gelder genutzt werden und das ganze soll
natürlich sicher und auditierbar sein
dann kommt auch nicht zu solchen
Problemen wie wir das gerade eben
gesehen haben kleiner culture Action
noch an euch informiert euch selber und
andere darüber dass alle
Zahlungsmethoden in ir Art und Weise
gesperrt werden lst uns gemeinsaman
arbeiten Sperrung besser durchgeführt
werden können also nicht in
verschiedenen Systemen weil das bei
sowas einfach nicht sinnvoll ist paar
Wikipediaartikel bräucht man ein Update
z.B 116 116 das sind zwei drei Sätze die
da stehen auch das Kuno spersystem
klingt sehr positiv dieser Wikipedia
Artikel keine Ahnung wer den mal
geschrieben hat und grundsätzlich nur
Zugriffe auf Systeme um diese eben zu
verbessern das war soweit an dieser
Stelle hier seht noch ein facep selfie
von einem anderen Kongress und ich danke
euch herzlich dass ihr heute dabei
W
[Musik]
[Applaus]
[Musik]
[Applaus]
[Musik]
also mal ernsthaft ich dachte die
Security nightmes kommen erst
noch also wir haben wieder die wir haben
richtig viel Zeit für Fragen knapp 20
Minuten also bitte an die
Mikrofone gibt es Fragen aus dem
Internet dann fang mal
an ja genau also die eine Frage war aus
im Internet war wie das denn mit
europaweiterzahlung aussieht ist das
wird da auch Lastschrift genutzt oder
ist das über die Pins abgedeckt und
falls da Lastschrift genutzt wird wird
das von Kuno irgendwie gemacht
grundsätzlich ist Kuno ein deutsches
System also für deutsche Girokarten
gedacht das ist insofern nicht
international auch das der Anschluss das
wurde mir auch in der entsprechenden
Datenauskunft dort übermittelt ist
ausschließlich von deutschen
Handelsunternehmen quasi insofern nein
ist kein internationales System rein auf
Deutschland aber wird grundsätzlich
Zahlung mit Karte be Lastschrift
international gemacht oder gibt's es gar
nicht es gibt eine ganze Reihe an
spersystem hier war jetzt quasi der
Fokus so ein bisschen auf Deutschland
müsste ich mir aber selber noch mal
genauer anschauen ob es da international
vergleichbare Systeme gibt ich denke mal
schon dass man daran Grundinteresse
haben sollte ja ach so eine Kleinigkeit
noch
wenn sich Frauen melden möchten lasst
sie bitte an den Mikrofonen vor ihr
Männer springt immer so schnell an die
Mikrofone die Armen haben gar keine
Chance aber jetzt erstmal Nummer
zwei ist das eigentlich eine andere
Lastschrift als die übliche Lastschrift
kann man da nicht einfach widersprechen
innerhalb von 12 Monaten und das dann
zum Problem des Händlers machen man kann
8 Wochen nachdem Sachen vom Konto
abgebucht werden Dinge zurückbuchen das
ist richtig man hat natürlich trotzdem
erstmal wie im TV weprach gesehen sehr
viel Ärger sehr viel Zeit die man darauf
verschwendet seine Gelder da irgendwie
wiederzuholen aber ja das ist in dem
Sinne ein händlerproblem weil es korrekt
ist dass die Ware wenn sie denn mit
betrügischen Absichten gekauft wird dann
den Laden verlassen würde der Schaden
wenn man das Geld sich entsprechend
zurückbuchen würde liegt dann bei dem
Händler weil die Ware weg ist und
möglicherweise irgendwie bei den Banken
falls das Geld irgendwie zwischendurch
abgehoben worden ist was da übermittelt
wurde
genau Nummer ein bitte
ja du hast da mit nmap die Domain glaube
ich gescannt kann man das einfach machen
oder muss man da
aufpassen man sollte man sollte immer
aufpassen egal was man tut aber ja man
kann grundsätzlich das noch abscannen
ich glaube ein paar Ports sind auch noch
offen ja okay gut danke Nummer zwe bitte
ein bisschen eine Folgefrage zum Thema
rückbuchen von
Lastschriften das ist ja was was im we
meine Bank Arbeit kostet also Geld
kostet und wir reden ja von ein paar
hunderttaus kartensperrungen im Jahr nur
in Anführungsstrichen warum hat die Bank
nicht Interesse daran einfach die
sperrinformation die sie ja selber
vorliegen hat entweder ins Kuno System
zu übertragen oder den Händlern
weiterzugeben einfach um diese Kosten zu
sparen ja früher war das tatsächlich mal
der Fall also da war das zentraler
geregelt allerdings haben Banken nicht
so gerne die lastchriftverfahren weil
die da kein Geld dran verdienen sondern
die verdienen primär Geld über diese
Giro äh Abbuchung sage ich mal über das
normale Zahlungssystem da machen Banken
Geld mit die haben eigentlich Interesse
daran dass gar kein entsprechendes
Lastschriftverfahren mehr gibt und haben
dann damals entschieden okay wir melden
un einfach nicht mehr weiter was aus
Verbraucherin und Verbrauchers Sicht
eben super suboptimal ist und für den
Handel auch aber solche ja Möglichkeiten
haben die da eben darauf
einzuwirken eine Frage aus dem Internet
bitte
ja weißt du wie viel oder wie hoch der
Anteil im Handel ist die K nutzen so da
gibt es Artikel zu in diesen Artikel
steht dran dass über 90% der Händler das
nutzen wobei mir da ein bisschen unklar
geblieben ist ob das die Händler sind
die auch wirklich das elektronische
Lastschriftverfahren nutzen wir haben ja
die Statistiken gesehen eigentlich sind
das nur noch rund 6% der Zahlung die
darüber stattfinden manchmal ist man
sich wie gesagt auch nicht darüber
bewusst dass man z.B kontaktlos zahlt
und dann ist das im Hintergrund doch
auch eine Lastschrift die dort
stattfindet grundsätzlich gibt's halt
diese 90% die da im Raum stehen mich
wird es auch interessieren ich wüsste ja
gerne an welche Unternehmen meine Daten
da quasi weitergegeben worden sind weiß
ich de facto gerade nicht ich werde aber
dran bleiben sofern ich rausfinde welche
Unternehmen diese Daten erhalten wüsste
ich vielleicht auch wie viele das Nutzen
in dem Sinne ja an Mikro 1 bitte ja
danke also zum einen ist die Frage die
ich habe gilt es auch für die Girocard
digital was du jetzt getestet hast also
quasi das das Apple pay Google
pay das ich sag mal kommt drauf an weil
die ja teilise Bandel Funktion haben
also teilweise sogar auch
kreditkartenfunktionen so ein bisschen
mit drin in diesen moderneren Karten ab
2027 wird das eh noch mal eher in diese
Richtung gehen weil die klassischen
maestrookarten quasi abgekündigt werden
grundsätzlich wenn die Lastschrift
können ist das aber auch so ja also es
betrifft die genauso weil aus der Karte
wird ja rein ausgelesen aus dem Chip
oder aus dem Magnetstreifen okay welche
Bankverbindung ist denn das und dann
wird da lassschriftmandat raus
aufgeführt ja okay danke Nummer Z bitte
hi ich wollte kurz fragen ob man nicht
allgemein oder ob es Sinn machen würde
dass mal allgemein die Zahlung mit
Unterschrift sperrt weil den Karten weil
ich kann mich nicht erinnern wann ich
das zuletzt gemacht
hatte genau man kann mehrere Gründe
haben zum einen ist es so dass man
beispielsweise dann die Möglichkeit hat
per Lastschrift oder Unterschrift zu
bezahlen wenn man beispielsweise ganz
oft in laden da war weil die steigen
dann von dem sicheren Verfahren erer auf
das unsichere Verfahren drück so ein
gewisser Trust Faktor ist dabei es gibt
bestimmte en die das sehr stark noch
einsetzen vielleicht bist du da also
nicht so unterwegs oder zahlst
kontaktlos und bekommst gar nicht mit
dass das eigentlich eine Lastschrift ist
es gibt immer wieder Debatten das
lastchriftverfahren grundsätzlich
abzuschaffen weil es als relativ alt und
unsicher gilt aber bisher erfreut sich
der Handel weiterhin wenn Sie kostenlos
das durchführen können die anderen
zahlungsmechanismen Kosten eben relativ
viel Geld für den
Handel Nummer ein
bitte ich hatte jetzt noch die Frage es
gibt ja auch andere anlässeende Karte zu
sperren also wenn ich z.B nicht nicht
zahlungsfähig bin sehe ich das richtig
dass die Banken das auch das nicht
nutzen sozusagen um dem Handel
mitzuteilen wenn Sie Karten sperren weil
sie nicht zahlungsfähig sind lassen sie
da auch das den Handel quasi ins Messer
laufen spannende Frage weiß ich gar
nicht konkret müsste ich mir noch mal
mehr anschauen aber es wahrscheinlich
warider Hinweis dass man mal schauen
kann aus welchen Gründen sperrt man denn
wie welche Karten kann ich atck leider
jetzt nicht direkt beantworten und
andererseits falls dasselbe System dafür
benutzt kann man eben rausfinden wenn
man die i-bahn vom Nachbarn z.B kennt ob
der gerade pleite ist ja das ist e ja
grundsätzlich so dass wir gesehen haben
die Information wenn jetzt jemand seine
Karte verloren hat ist wahrscheinlich
auch nicht das Schönste was man
verkünden kann plus wir hatten ja auch
gesehen dass Unternehmen die z.B auchus
scoring und ähnliche Mechanismen
anbieten auch diese Daten erhalten wo
das schon so ein unsicheres Gefühl
daässt was machen die denn wirklich mit
den Daten die schriftlage ist da
eigentlich klar also sie dürfen die
Daten nur für diesen einen Zweck
verwenden aber möglicherweise gibt's
auch noch andere Möglichkeiten sag ich
mal gibt es noch Fragen aus dem
Internet dann bitte ja weißt du ob es
Banken gibt die die elektronische
Lastschrift vielleicht gar nicht erst
unterstützen und dann kann man einfach
so eine nutzen boah spannend wä mir
nicht bekannt das spannende ens auch bei
kunu ist man kann sich dann nicht
präventiv sperren lassen also wir hatten
auch im Vorfeld talks Leute geschrieben
und gesagt Bo lasschrift ist ja super
schlecht ich unterschreibe extra nicht
meine Girokarte auf der Rückseite mit
meine Unterschrift irgendwie faken kann
und so aber mir wä es nicht bekannt dass
man Lastschrift komplett ausschließen
kann vielleicht gibt's da irgendwelche
Spezialbanken oder wenn man nur noch
Kreditkarten nutzt die eh andere
Mechanismen und auch andere Probleme
sicherlich haben dass man dann nicht
mehr von dem lchriftverfahren abhängig
ist aber genau meh kann ich da gerade
nicht zu
sagen die Nummer ein bitte servus ich
habe mein Konto seit 25 Jahren gefühlt
die fünfte Karte in 25 Jahren ist mein
Konto quasi nicht mehr sperrbar ja läuft
ab ich habe ein Ablaufdatum für ein
Konto und mussen mir eine neue Bank
suchen oder eine neue Konto ja das ist
richtig aus meiner Sicht ist das richtig
vielleicht wird der standardbin geändert
und es gibt zweistellige Möglichkeiten
das zu sperren aber ich wünsche dir viel
Erfolg dass deine Karte nicht so oft
abhalten kommt in Zukunft
genau danke Nummer Z bitte
hast du die Sicherheit der App auch
irgendwie überprüft
du meinst jetzt die spare App von 116
116 wahrscheinlich ja genau die habe ich
mir mal ein bisschen angeguckt die haben
auch durchaus Security Mechanismen im
Einsatz die App selber macht eigentlich
ein ganz plausiblen Eindruck es geht
halt eher um die backendysteme da die
auch auf Windows betrieben werden auch
da kann man portsans machen da will ich
an dieser Stelle allerdings nicht zu
viel drüber verraten weil mir das
Missbrauchspotenzial da doch recht hoch
erscheint einmal noch aus dem Internet
bitte ja das nur so eine niedrig
prioritätfrage warum war auf dem Scan
UPnP offen
spannende Frage kann ich nicht direkt
beantworten aber schaut euch das gerne
an und schreibt mir die E-Mail falls ihr
da Dinge entdeckt sonst ja weiß nicht
also ich habe mir einiges an Ports
angeguckt das sind schon teilweise auch
Management Ports die auch nicht so im
Internet hängen sollten also gibt's noch
weiteren Optimierungsbedarf sage ich mal
Nummer eins bitte ja hallo danke für den
schönen Beitrag du hast gesagt von der
EEC Karte auf die Giro Karte gab es den
Umstieg und da kommt noch mal was in
derzu unft kannst du da noch bisschen
was dazu sagen ja grundsätzlich ist es
so dass es ein sogenanntes cobadging
gibt also die Karten die wir
üblicherweise in Deutschland kennen sind
Girokarten innerhalb von Deutschland und
Maestro Karten innerhalb von Europa da
findet die Zahlung dann über das Maestro
System statt was von Mastercard
betrieben wird zukünftig ist es so dass
es dies Maestro System nicht mehr geben
wird sondern insbesondere Visa und
Mastercard gehen gerade auf die
deutschen Banken zu und sorgen dafür
dass es in dem Sinne nicht mehr die
estro Card gibt sondern zukünftig heißt
sie dann Girocard gebandelt mit z.B
Master oder Visacard das wird definitiv
geschehen kann man sich bei seiner
eigenen Bank auch informieren und dann
teilen die ein mit wir arbeiten
zukünftig z.B mit Visa zusammen oder
eben mit Mastercard aber Maestro Karten
haben ab 2027 das Zeitliche gesegnet
dementsprechend werden auch keine Karten
derzeit mehr ausgestellt die überhaupt
noch länger haltbar sind in dem
Sinne danke und die letzte Frage an
Mikro 1 bitte
ja ich hätte eine hübsche IDE Idee für
eine dedos Attacke nämlich aus anderen
Informationen weiß ich dass wenn ein
Zahlungsdienstleister der Lastschriften
einzieht was ja in dem Fall die
Zahlungsdienstleister Dienstleister des
Handels sind
also wenn man seine Karte einfach nur so
sperrt und dann eben andere
Lastschriften hat von Kriminellen
eventuell und die dann zurückruft und
das passiert sehr oft dann muss ich der
Zahlungsdienstleister
gegenüber den Banken erklären warum er
denn jetzt so oft ja kriminelle
Lastschriften machen muss hast du da
irgendeine Überlegung dazu was man da
als Community
vielleicht machen
könnte das hört sich schon relativ
destruktiv an sage ich insofern habe ich
da jetzt erstmal keine weiteren Gedanken
oder ich habe viele Gedanken aber ich
werde sie lieber nicht hier öffentlich
aussprechen sage ich mal aber es gibt da
viele Möglichkeiten Dinge zu tun ja
oh noch ein aus dem
Internet genau hier noch eine letzte du
hattest ja gezeigt dass es Kuno
irgendwie beiur gehostet wird das ja
auch irgendwie vielleicht ein bisschen
problematisch so mit us-svern stand da
was in der Datenschutzerklärung dazu
oder machen wir es auch einfach so nee
steht nichts in der Datenschutzerklärung
zu auch ein guter Hinweis die haben mir
in der Datenauskunft eigentlich
bestätigt dass da keine Daten an
internationale Organisationen gehen
inart undweise aber wenn ich so drüber
nachdenke ja ist Microsoft definitiv
eine internationale bzw US Organisation
und könnte auch problematisch sein
ja einen herzlichen Dank Tim Philip
Schäfers einen großen Applaus
[Musik]
bitte