Vom erfolglosen Unterfangen, eine Kreditkartenzahlung zu bewerkstelligen

Wie man trotz gut gedeckten Kontos und einwandfreier Bonität daran scheitern kann, etwas mit Kreditkarte zu bezahlen. Oder: Bricht das Kreditkartensystem gerade wegen Unsicherheit zusammen?

Gestern wollte ich mir ein paar neue Bauteile für meinen Rechner bestellen. Informatiker machen sowas gelegentlich.

Für gewöhnlich mache ich mir das einfach und bestelle über Amazon bzw. Amazon Marketplace, die das auch mit der Zahlung per Lastschrift abwickeln. Mit Amazon mache ich das seit über 10 Jahren und hatte damit noch nie Probleme, ging immer bequem und problemlos (bzw. es gibt nur ein Problem, daß nämlich Amazon aus irgendwelchen Gründen und trotz wiederholter Hinweise zu doof ist, die Bestellvorgangsnummer in den Verwendungstext der Lastschrift zu schreiben und man daher keinen zuverlässigen Weg hat, die Lastschriften bestimmten Bestellungen zuzuordnen, außer eben über Betrag und Datum zu raten.) Aber generell bin ich damit zufrieden.

Allerdings sind die Preise bei Amazon bzw. deren Marketplace in letzter Zeit nicht mehr immer gerade so der Brüller. Anscheinend sind die so marktbeherrschend geworden, daß die nicht mehr in echtem Preiswettbewerb stehen.

Deshalb habe ich den Kram mal bei einem anderen Online-Versender bestellt. Weil der gute Preise hat und vor allem bei jedem einzelnen Teil gute Preise und alle Teile zusammen hatte. Womit ich das ein einer Bestellung und nicht auf vier verteilt bestellen konnte. Also gestern abend über die Webseite alles in den Warenkorb und bestellt. Etwas über 500 Euro. Da fing der Ärger an.

Die bieten nämlich keine Lastschrift an.

• Vorkasse geht, mag ich aber nicht. Das Geld ist erst mal weg, auch wenn es zu Lieferproblemen kommt, außerdem verzögert es enorm.
• Nachnahme kostet extra, geht nicht über den Nachbarn oder die Packstation und man hat keinen echten Zahlungsbeleg. Für den Paketempfang zu Hause muß man sich einen Stapel Bargeld bereit legen. Zumal das Geld im Zweifel auch flöten ist.
• Paypal. Mache ich gelegentlich, bisher unproblematisch, hat mir aber schon Kopfzerbrechen bei der Buchhaltung beschert, weil die mir mal eine Gutschrift nach einer Rückgabe nicht ausbezahlt sondern als Guthaben auf dem Paypal-Konto gelassen und das dann mit anderen Einkäufen verrechnet haben, was aber hinterher nicht wirklich nachvollziehbar war. Außerdem ist Paypal in letzter Zeit heftig in die Kritik geraten, weil sie doch sehr amerikanische Interessen durchsetzen.
• Kreditkarte

Also habe ich mir Kreditkarte ausgesucht.

Sollte eigentlich unproblematisch sein. Dachte ich. Ich habe zwei Kreditkarten von zwei verschiedenen Banken. Bei beiden ein Verfügungsrahmen von x.000 Euro und diesen Monat noch nichts damit bezahlt, also noch alles frei. Das Konto ist saftig gedeckt usw.

Beide Kreditkarten wurden abgelehnt, aus unterschiedlichen Gründen. Ich hab das heute mit beiden Banken geklärt und inzwischen „die Schnauze voll” davon.

• Die erste Kreditkarte, die ich versucht habe, war die von der Barclays Bank. Weil ich bei der auf einen gewissen Jahresumsatz kommen muß, damit sie mir die Jahresgebühr für das nächste Jahr erlassen.

  Die hatte ich mir letztes Jahr für Reisen bestellt, weil ich auf Reisen gerne eine zweite Kreditkarte dabei habe, falls mit einer mal was schiefläuft oder man am Limit ist. Außerdem haben sie damit geworben, daß man im Ausland kostenlos Bargeld am Automaten abheben kann und dabei noch gegen Überfall versichert ist (vgl. auch meinen damaligen Blog-Artikel dazu). Und die Auslandsgebühren für normale Zahlungen waren auch noch günstiger als bei meiner Hausbank-Kreditkarte (s.u.).

  Mit der Barclays Visa Karte hatte ich aber schon mehrfach Probleme, es ist wiederholt vorgekommen, daß die bei Online-Zahlungen in den USA (ich kaufe mir meine Bücher zunehmend nicht mehr auf Papier sondern direkt beim Verlag als PDF und deshalb online bei amerikanischen Verlagswebseiten) nicht akzeptiert wurden.

  Als ich gestern abend bestellen wollte und die Kreditkartendaten eingab, gab’s bei zwei Versuchen nur eine blöde Meldung, daß die Daten nicht gültig seien. Ging also nicht.

  Ich habe daher heute mit der Barclay Bank telefoniert und gefragt, warum die Zahlung abgelehnt wurde.

  Ja, sagten sie, ihr System habe das für einen Betrugsversuch gehalten und deshalb abgelehnt. Darüber sollte ich mich freuen, denn es sei ja auch zu meinem Schutz.

  Zu meinem Schutz? Zu wessen Lasten gehen denn erfolgreiche Betrugsversuche?

  Nun, sage ich, ich komme mir nicht so unbedingt geschützt vor, wenn ich trotz gedeckten Kontos und guter Bonität im Laden dastehe wie jemand, der seine Verbindlichkeiten nicht mehr bezahlen kann. Sowas schädigt das eigene Ansehen. Warum man das als Betrugsversuch angesehen hat und wie ich das künftig vermeiden oder vorhersehen könne, in solche peinlichen Situationen zu kommen, denn im Laden kann man da ganz schnell blöd und als Betrüger dastehen. Nein, sagten sie, das könne ich nicht vermeiden und vorhersehen, das sei ein für mich unvermeidbares Risiko. Das wäre eben so, daß man vorher nicht wisse, ob sie zahlen oder nicht. Ihre Bankbedingungen sähen vor, daß sie frei und nach Belieben Karten sperren oder Zahlungen verweigern könnten.

  Und mit sowas gehe ich auf Reisen?

  Auch wenn die mir das nicht sagen wollen, wie sie dazu kommen, ist mir das natürlich klar. Die Kreditkartenfirmen bauen Nutzerprofile auf, und der Rechner schlägt Alarm, wenn eine Zahlung nicht in das Schema paßt. Einem alten Kumpel ist es vor über 10 Jahren mal passiert, daß ihn seine Hausbank plötzlich anrief und ihm sagte, seine Kreditkarte sei gesperrt, er dürfe sie nicht mehr benutzen und bekäme in den nächsten Tagen eine neue zugeschickt. Irgendwie war seine Kartennummer in falsche Hände geraten und jemand hatte an der Goldküste versucht, auf seine Kartennummer einzukaufen, wobei der Rechner damals Alarm geschlagen und die Karte geperrt hatte.

  Und bei mir ist das Profil deshalb wohl ziemlich schräg. In Bangkok, Neuseeland oder im afrikanischen Busch dick Bargeld abheben – kein Problem, das wird als typisch für den Kunden Danisch angesehen. Aber mir als Informatiker Computerteile oder Computerbücher nach Hause liefern zu lassen, das stinkt nach Schwindel und wird blockiert.

  Außerdem habe ich noch zwei andere Probleme mit der Barclays Bank. Im Vertrauen auf deren Angabe, daß man im Ausland kostenlos Bargeld abheben kann, habe ich das reichlich genutzt. Leider aber hat das dann doch häufig unverschämt hohe Gebühren gekostet, weil die Gebühren nicht von der Barclays Bank, sondern von der Bank genommen werden, die die Geldautomaten betreibt. Ich muß mal nachrechnen, aber möglicherweise kommt man mit der normalen EC-/Maestro-Card doch billiger davon.

  Auch bei normalen Zahlungen im Laden habe ich die Barclay-Card im Ausland häufig verwendet, weil die Gebühren für Auslandszahlungen niedriger als bei meiner Hausbankkreditkarte waren. Waren. Es ist mir dummerweise nicht gleich aufgefallen, aber irgendwann haben sie die von 1,75 auf 1,99 % angehoben. Nicht daß das jetzt wirklich brutal viel wäre, aber ich fühle mich da eben reingelegt. Wo ich darüber aufgeklärt worden wäre, frage ich sie. Ja, drucksen sie herum, das stünde auf den Kontoauszügen. Einen expliziten Hinweis habe ich da aber nicht gefunden. Und ein Widerspruchsrecht auch nicht. Irgendwann stand halt einfach der andere Prozentsatz drauf, und das erfährt man erst hinterher.

  (Und ihre Kreditzinsen, die sie verlangen, wenn man mal nicht gleich nach Fälligkeit ausgleichen möchte, geben sie auch nur als Monats- und nicht als effektiven Jahreszins an um zu verschleiern, daß es eigentlich Wucherzinsen sind.)

  Und wenn man nicht auf den Mindestumsatz kommt, kostet das noch ungefähr 50 Euro Grundgebühr im Jahr.

  Also frage ich die Barclay Bank direkt, welchen vernünftigen Grund ich noch haben sollte, ihre Karte zu verwenden, wenn sie inzwischen bei sämtlichen Gebühren über denen meiner Hausbankkarte lägen und noch dazu die Jahresgebühren und das jederzeitige Risiko, daß Zahlungen abgelehnt werden, kommen können. Nun, räumt der Mitarbeiter ein, da würde ihm jetzt leider auch keiner einfallen.

  Da hat er Recht.

• Die andere Kreditkarte ist die meiner Hausbank, der Postbank.

  Zur Postbank bin ich vor fast 30 Jahren gekommen, damals waren sie noch das Postscheckamt, weil es damals die einzige kostenlose Bank war, die seriöseste obendrein, und ich damals auf einfache Weise an jedem Postamt in Deutschland (damals waren Banken noch lokal beschränkt und Geldautomaten gab es auch noch nicht), sogar samstags, Geld abheben konnte. Und man die Kontoauszüge nicht abholen mußte, sondern sie kostenlos zugeschickt bekam. Für mich als Schüler und Student waren das damals wirklich triftige, handfeste Gründe.

  Eigentlich war ich auch über 20 Jahre sehr zufrieden mit denen. Aber seit einigen Jahren werden sie immer schlechter.

  Aber im Gegensatz zur Barclay Bank haben die Kreditkartenzahlungen mit der Postbank immer einwandfrei funktioniert. Bis auf gestern.

  Ich gebe die Kartendaten also ein – Kartennummer, Gültigkeitsdatum, Name, Sicherheitsnummer.

  Dann rumpelt es heftig und meine JavaScript-Sperre im Browser zeigt mir an, daß da JavaScript von diversen Domains nachgeladen werden soll, die sich irgendwie nach Zahlungsdienstleister anhören. Wer baut denn so einen Mist? Und plötzlich sehe ich ein Formular, so mit popelig-primitiv eingefügtem Postbank- und Visa-Logo, überschrift „Schützen Sie Ihre Postbank Kreditkarte online”, und um meine Kreditkarte zu schützen soll ich gleich noch das Ablaufdatum und meinen Namen noch einmal eingeben, dazu die Girokontonummer, meine Postleitzahl und mein Geburtsdatum.

  Da gehen bei mir gleich zwei Alarmlampen an. Die eine ist die Phishing-Lampe, denn das sieht so aus als hätte sich da jemand per DNS-Spoofing oder wie auch immer dazwischengehackt und würde mich zur Eingabe von Daten motivieren wollen, ganz so wie die vielen Phishing Mails. Genau so sah’s auch aus. Ich verwende seit über 20 Jahren Kreditkarten und noch nie wollte jemand meine Gironummer dazu haben. Wozu auch? Viele Kreditkarten sind nicht mal mit einem Girokonto verbunden.

  Die andere Lampe ist die Datenschutzlampe. Irgendwie hatte ich den Verdacht, daß da der Zahlungsdienstleister gleich noch möglichst viele Daten über mich sammeln wollte.

  Also rief ich gestern abend bei der Postbank-Betrugshotline an und die sagten mir, daß sowas von der Postbank unmöglich erhoben würde, da sei was faul und ich möge dringendst den Vorgang abbrechen.

  Der Händler meinte heute aber, solche Beschwerden bekämen sie etwa 10 pro Tag, und das wäre jetzt wirklich so, die Banken wüßten nur selbst nicht, was sie da treiben.

  Also hab ich heute nochmal den normalen Kartenservice der Postbank angerufen um das zu klären (0180-3-…, kostet mich also wieder kontinuierlich Geld). Ja, stimmt, sagten sie, das würden sie jetzt so machen. Um der Betrugswelle Herr werden zu können. Warum ausgerechnet der von der Notfallhotline vom Sonntag abend das nicht wußte, könnten sie sich nicht erklären. Aber wenn mir dabei unwohl sei, sei das kein Problem, sie würden mir das für einen halben Tag abschalten damit ich meine Zahlung verrichten könne, wie es mir behagt.

  Ach ja, und es sei ihnen aufgefallen, daß ich es mehrfach wiederholt versucht hätte, das hätte der Computer als Betrugsversuch gewertet (sie sagen nicht so explizit, ob die Karte gesperrt wurde oder nicht). Dabei habe ich es gar nicht mehrfach versucht. Ich habe nur beim Browser auf die Zurück-Taste gedrückt um wieder an den Warenkorb zu kommen und eine andere Zahlmethode zu probieren. Der dämliche Haufen JavaScript, mit dem sie ihre Zahlungswebseiten zukleistern, und irgendwelche Redirects bringen einen aber beim Druck auf Zurück immer wieder auf die Seite mit dem Formular, was sie als wiederholten Versuch und damit als Betrug werten.

  Nachdem sie mir das aber nun für einen halben Tag so freigeschaltet haben wollten, daß man es auf die herkömmliche Weise tun kann, habe ich es vorhin erneut versucht, kam wieder in das JavaScript-Gehagel und landete schließlich nach Eingabe der Kreditkartendaten auf einer leeren Seite. Weil’s da nichts zum Drücken gab, habe ich eben wieder auf „Zurück” gedrückt und kam dann wieder an die Fehlermeldung, daß die Zahlung abgebrochen und mein Einkaufswagen aus Sicherheitsgründen gesperrt worden wäre.

Nachdem es nun mit zwei Kreditkarten und einer kooperierenden Bank partout nicht funktionieren wollte, und ich die Bauteile möglichst bald haben möchte, habe ich es eben mit PayPal bezahlt. Hat auf Anhieb und völlig ohne Probleme funktioniert (und obendrein den Vorteil, daß ich es direkt in meinen Girokontoauszügen habe und nicht mühsam von den Kreditkartenabrechnungen abtippen muß, denn weder Barclay noch Postbank schaffen es, mir meine Kreditkartenumsätze in einer Darstellung zu bieten, die ich weiterverarbeiten kann, da kommt nur PDF oder Papier).

Freilich waren die Sachen heute 20 Euro teurer als gestern, weil ich auch Hauptspeicher mitbestellt habe und da haben sie Tagespreise. Der Händler war aber so freundlich, mir den Speicher zum Preis von gestern zu verkaufen.

Der langen Rede kurze Essenz ist aber, daß das Kreditkartensystem offenbar auf dem Zahnfleisch geht.

Der Händler sagte mir, daß die Banken in letzter Zeit zu hohe Verluste eingefahren haben (Griechenland und so), und deshalb zur Aufbesserung ihrer Bilanzen anfangen, überall zu sparen. Und als ein wesentlicher Kostenfaktor habe sich da der zunehmende Kreditkartenbetrug erwiesen, weshalb sie nun alle versuchen, den einzudämmen.

Anscheinend stürzt das Kreditkartensystem wegen seiner latenten Unsicherheit gerade in sich zusammen.

Wer vom Alter her mindestens in meiner Generation liegt weiß vielleicht noch, wie Kreditkarten ursprünglich funktionierten. Nämlich ganz ohne Sicherheit. Die Karten hatten weder Chip noch Magnetstreifen, sondern waren nur ein Stück dummes Plastik mit einer eingeprägten Nummer, und hatten als einzigen Zweck, diese Nummer als Information zu tragen. Und sie durch diese Prägung mechanisch übertragbar zu machen, denn früher legte man die Karte in so einen Kasten mit einer beweglichen Rolle, legte ein Durchdruckformular darüber, rieb einmal mit der Ratsche darüber und hatte so die Nummer auf das Formular durchgedrückt und dann handschriftlich den Betrag eingetragen und unterschrieben. Notfalls hat man die Nummer eben auch handschriftlich übertragen. (Die wenigsten werden wissen, daß es noch ein simpleres Verfahren gab, nämlich statt des Kastens einen Kugelschreiber mit einer Farbgummirolle, bei dem man das Formular einfach auf die Kreditkarte gelegt und dann mit der Rolle drübergerubbelt hat, bis die Nummer vollends sichtbar wurde.)

Letztlich war die Kreditkarte damit nichts anderes als ein Substitut für das US-amerikanische Barscheckverfahren. Über die eingeprägte Nummer konnte man die Kontonummer auf universielle Formulare drucken, die Sicherheit lief über die Unterschrift, und die Kreditkartenfirmen haben gleich noch die „Scheckeinlösung” übernommen. Weil es in den USA ursprünglich kein brauchbares Zahlungssystem gab, nur Bargeld und Schecks, die man nur direkt bei der jeweiligen Bank einlösen konnte. Damit entstand dort eine eigene Dienstleisterindustrie der Scheckeinlöser.

Die Sicherheit von Kreditkarten beruhte lange Zeit darauf, daß man Sicherheitsmaßmahmen einfach bleiben ließ, weil der Schaden geringer war als die Kosten eines weltweit eingesetzten Sicherheitssystems. Gerade als Computer noch groß und teuer und nicht die ganze Welt vernetzt war, mußte es eben mit der einfachen Ratsche und ohne Strom gehen.

Dann aber kam es zu organisiertem Betrug durch gestohlene Kreditkarten oder überzogene Konten. Ich kann mich noch erinnern, daß Banken und große Geschäfte vor 20 bis 30 Jahren noch dicke Bündel von Ausdrucken auf Endlospapier mit gesperrten Kreditkartennummern hatten, in denen sie nachschlugen, wenn man einen größeren Betrag zahlen wollte.

Das wurde dann auch ausgehebelt. Lange Zeit nahm man an, daß die Kreditkarten selbst hinreichend fälschungssicher waren. Waren sie aber nicht. Als ich 1990 in Singapur war, wurde dort vor einer neuen Masche gewarnt. Taschendiebe klauen Geldbeutel und damit Kreditkarten. Die ihr Besitzer natürlich als gestohlen sperren läßt. Die Diebe verwendeten sie aber nicht, sondern bügelten sie mit dem Bügeleisen einfach platt und stellten sich so quasi Rohlinge her. Wenn in einem Laden, auf den die Diebe Zugriff hatten, jemand mit einer Karte derselben Bank bezahlte, hatten sie ja Kartendaten dazu, die sie auf den falschen Rohling prägten. Mit der so hergestellten Dublette gingen sie dann einkaufen. Möglichst viel, möglichst teuer, aber nur wenige Tage. Der Besitzer der kopierten Karte hatte ja keinen Anlaß, Verdacht zu schöpfen und die Karte zu sperren, bevor er seinen Auszug sah.

Inzwischen aber sind die Betrüger vernetzt, wir leben im Zeitalter des Phishings, der Trojaner und Keylogger, und inzwischen sind es nicht mehr nur einzelne Hacker oder kleinere Gruppen, die sich da als Betrüger betätigen, sondern inzwischen sind das Profis.

Wenn ich mir die Spam-Mails so anschaue, die ich bekomme, dann gehören die „Arbeitsangebote” für Geldwäscher und Warenweiterleiter inzwischen mit zu den häufigsten Spam-Typen. Da ist eine ganze Industrie des betrügerischen Bestellens von Waren entstanden. Sogar die Post sah sich unlängst genötigt, (zu meinem Leidwesen) den Zugang zu Packstationen nur mit Nummer und PIN zu sperren und das Einführen der Packstationskarte vorauszusetzen, weil eben zu viele Betrüger über abgephishte Packstationskennungen Waren abzogen.

Und objektiv muß man sagen, daß die Barclay-Bank mit ihrer Weigerung, meine Computerteilebestellung zu bezahlen, damit eigentlich richtig lag, denn das paßt genau auf dieses Betrugsmuster.

Wenn das aber schon bedeutet, daß manche Banken Kreditkartenzahlungen für typische hehlertaugliche Waren nicht mehr leisten und grundsätzlich verweigern – immerhin war das ja auch kein Einzelfall, sondern ist mir schon öfters vorgekommen, gerade auch wenn die gekaufte Leistung selbst online übertragen wird – dann heißt das, daß das Kreditkartensystem gerade zusammenfällt.

Offenbar ist die dem Kreditkartensystem zugrundeliegende Annahme, daß der Schaden durch Unsicherheit geringer ist als die Kosten der Absicherung, nicht mehr haltbar. Ein geeignetes Sicherheitssystem aber auch nicht greifbar.

Eigentlich ist es seit 20 Jahren bekannt, daß Kreditkarten, Magnetstreifenkarten, Pins und Paßworte immanent unsicher sind. Nur wurde das bisher anscheinend nicht in einem Umfang ausgenutzt, der eine Reaktion nötig machte. Das scheint nun anders zu sein.

Vor ein paar Monaten haben die Banken plötzlich ganz hektisch angefangen, die normalen EC-/Maestrokarten vorzeitig, weit vor Ablauf ihrer Gültigkeit, auszutauschen. Normalerweise scheuen sie sowas wie der Teufel das Weihwasser, weil das irre Geld kostet. Sie mußten aber unbedingt Chipkarten austeilen, offenbar weil nun der Betrug mit Magnetstreifenkarten überhand nahm. Irgendwo habe ich kürzlich gelesen, daß manche Bank den Magnetstreifen nicht mehr standardmäßig freischaltet, sondern nur noch auf ausdrücklichen Kundenwunsch, und man deshalb bei Reisen ins außereuropäische Ausland blöd dastehen kann, wenn an Geldmitteln nur seine Karten dabei hat und dann dort am Geldautomaten nichts ziehen kann.

Es zeigt aber auch, daß man nur im europäischen Raum die Geldautomaten soweit im Griff hat, daß sie Chipkarten und nicht Magnetstreifen lesen. (Und es ist ja häufig noch so, daß die Automaten die Chipkarte zwar bevorzugen, als Fallback aber doch den Magnetstreifen akzeptieren, womit immer die „Downgrade-Attacke” per Tesafilm möglich ist.) Auf weltweiter Ebene wird das so nicht möglich sein. Wohl eher nur an Flughäfen und in Großbanken.

Und für den Online-Zahlungsverkehr hat man auch keine passende Alternative, weil die Leute keine Chipkartenleser zu Hause haben. Und es ja mit normalen Webbrowsern alles funktionieren soll. Gerade der Online-Einkauf ist aber extrem betrugsträchtig.

Teilt man die Kartenzahlungen in drei Gruppen ein, nämlich

• Persönlicher Warenkauf im Laden
• Verwendung am Automaten (Geldautomat, ferner Packstation usw.)
• Online-Verwendung durch „Eintippen” der Daten

dürften die dritte und die zweite Verwendungsart gerade vor ihrem Zusammenbruch stehen.

Eine Frage drängt sich mir auf:

Wenn ich richtig informiert bin, gibt es mehr Europäer als US-Amerikaner. Warum aber muß ich dann trotzdem amerikanischer Zahlungsverfahren wie Kreditkarten und PayPal verwenden? Sind wir zu doof, da was eigenes zu bauen?