Seriöser Mailversand-Service

[TomTom]

Hallo,

geplant wird derzeit ein interaktives Werbemittel, das neben SocialMedia Features auch das etwas veraltete Feature haben soll: Empfehlung per Mail an einen Freund senden

Wichtig ist nun, dass der Versand (auf Kundenwunsch und aus Datenschutzgründen) durch einen Drittanbieter erfolgen soll. Dieser soll möglichst seriös, namhaft sein und zudem auch nicht auf den Blacklists für Mail-Server stehen.

Was ich nun reichlich gefunden habe, sind Anbieter für Newsletter-Versand und Bulk Mailer. Da nur vereinzelt Mails versendet werden, die nach Möglichkeit direkt vom Flash-Werbemittel per Http-Request an den Anbieter übermittelt werden sollten, suchte ich nach einem, der darauf spezialisiert ist. Eine API für den Handshake o.ä. sollte vorhanden sein und nicht erst entwickelt werden.

Für die Auslieferung der Werbemittel auf dem US-Markt setzen wir beispielsweise auf EMail-ROI; für D/A/CH konnte ich bisher noch keinen geeigneten Anbieter finden. Habt Ihr Erfahrung damit oder einen Tipp bzw. eine Anlaufstelle?

Da der Kunde darauf besteht, hierfür spezialisierte Drittanbieter zu verwenden, kommt eine eigene Lösung nicht in Frage; auch wenn das noch am einfachsten wäre...

Danke und Grüße
TomTom

[LX]

Werbung und Seriösität? Du bist nicht nur im falschen Forum, sondern auch auf dem falschen Planeten im falschen Universum.

Gruß, LX

[Jens Holzkämper]

Tach,

Werbung und Seriösität? Du bist nicht nur im falschen Forum, sondern auch auf dem falschen Planeten im falschen Universum.

auf Arche B ist sicher noch ein Platz frei ;-)

SCNR
Woodfighter

[TomTom]

gestatte mir die Frage: hast du meinen Beitrag gelesen oder denkst du bei Mailversand automatisch an Bulk Mailer?!

[Der Martin]

Hallo,

gestatte mir die Frage: hast du meinen Beitrag gelesen oder denkst du bei Mailversand automatisch an Bulk Mailer?!

der Gedanke an Massenmails drängt sich zwar auf, aber ich denke, du hast deutlich genug klargemacht, dass du genau das nicht willst, sondern individuell einzelne Mails verschicken möchtest.

Trotzdem: Die Begriffe "Werbung" und "seriös" kriege ich irgendwie auch nicht in einen gemeinsamen Kontext, sondern sehe sie als Widerspruch.

Ciao,
 Martin

[LX]

gestatte mir die Frage: hast du meinen Beitrag gelesen oder denkst du bei Mailversand automatisch an Bulk Mailer?!

Frage natürlich gestattet. Ja, ich habe Deinen Beitrag gelesen.

Deine Beschreibung "Empfehlung per Mail an einen Freund senden" nennt sich im Online-Jargon normalerweise "virales Marketing" und ist wohl eine der übelsten Methoden, um das Vertrauen von Menschen zu mißbrauchen, die sich Marketing-Experten je ausgedacht haben. Bulk-Mails können das an Seriösität kaum unterbieten - dort steht wenigstens noch der Anbieter selbst für sein Produkt.

Gruß, LX

[Alex]

Deine Beschreibung "Empfehlung per Mail an einen Freund senden" nennt sich im Online-Jargon normalerweise "virales Marketing" und ist wohl eine der übelsten Methoden, um das Vertrauen von Menschen zu mißbrauchen, die sich Marketing-Experten je ausgedacht haben. Bulk-Mails können das an Seriösität kaum unterbieten - dort steht wenigstens noch der Anbieter selbst für sein Produkt.

Das ist vom Grundsatz her aus meiner Sicht eine der Besten MArketingmethoden die es gibt.

DEr Missbrauch (= Adressen speichern, für alles mögliche verwenden und verkaufen) soll hier ja gerade ausgeschlossen werden.

Was bleibt also übrig? Ein User, der seinem Freund ein Produkt/Website empfiehlt, weil er es a) selbst gut findet und b) denkt, dass es etwas gutes/sinnvolles für seinen Freund ist.

Nutzen für den Beworbenen: Er bekommt genau das was ihn interessiert (weil der Freund ihn ja kennt) und er weiß auch, dass es nicht nur MArketingkacke ist, dass dieses Produkt "das beste" ist, sondern, dass sein Freund das auch denkt.

Nutzen für das Unternehmen: Kostenlose Werbung

Schaden: Keiner

Ich sehe also neben der Missbrauchsmöglichkeit (die ja ausgeschlossen werden soll) keine Probleme :)

Gruß
Alex

[LX]

DEr Missbrauch (= Adressen speichern, für alles mögliche verwenden und verkaufen) soll hier ja gerade ausgeschlossen werden.

Der Missbrauch besteht meines Erachtens doch bereits darin, dass der Werbetreibende die Identität seines Nutzers aufgreift, um seine Botschaft so auf einer gefälschten Vertrauensbasis zu verbreiten. Der Nachteil besteht klar darin, dass unsere Gesellschaft mehr und mehr das Vertrauen ineinander verliert.

Was bleibt also übrig? Ein User, der seinem Freund ein Produkt/Website empfiehlt, weil er es a) selbst gut findet und b) denkt, dass es etwas gutes/sinnvolles für seinen Freund ist.

Dann kann er das aus eigenem Antrieb und mit eigenen Worten machen und braucht kein virales Marketing. Das wiederum nennt man Mundpropaganda und das wiederum ist die allerbeste überhaupt denkbare Werbemöglichkeit, auch wenn deren Reichweite durch die vertrauensmindernde Wirkung von virale Marketing langsam reduziert wird.

Gruß, LX

[Alex]

Der Missbrauch besteht meines Erachtens doch bereits darin, dass der Werbetreibende die Identität seines Nutzers aufgreift, um seine Botschaft so auf einer gefälschten Vertrauensbasis zu verbreiten. Der Nachteil besteht klar darin, dass unsere Gesellschaft mehr und mehr das Vertrauen ineinander verliert.

»»
OK, da müssen wir aber ein bisschen differenzieren. Soweit ich weiß gibt es für solche Empfehlungsmails folgende Möglichkeiten:
1. Der User kann das Empfehlungsmail-Programm wie ein Webmail nutzen. Er trägt also den Empfänger ein, den Betreff und formuliert auch den Text völlig frei. Lediglich ein Link auf die aktuelle Seite wird eingetragen.
(Eventuell gibt es um den Link herum schon einen Text im Textfeld, der sich aber ändern lässt.)
2. Der User bekommt ein Textfeld, aber der Anbieter hat auch ein eigenes Textfeld, in dem er seinen Teil der Mail einträgt, den der USer nicht ändern, aber einsehen kann.
3. Wie Möglichkeit 2, aber er kann den Teil des Anbieters nicht einsehen
4. Wie 3. Aber er kann nichtmal selbst etwas schreiben, sondern soll nur die Mail Adresse eintragen.

Es wird von 1-4 "schlimmer". 1 ist für mich eine erleichterte Mundpropaganda. (Btw. Ich nutze sowas auch nicht - mitursähchlich dafür ist sicherlich, aber glaube nicht nur, mangelndes Vertrauen in die Anbieter).

Weiter Richtung Möglichkeit 4 hat der Betreiber immer mehr Manipulationsmöglichkeiten. Nutzt er diese Manipulationsmöglichkeiten aus, ist das natürlich verwerflich und das finde ich auch sehr schlecht. Sowohl aus Usersicht (der wird ja, zumindest fast schon, betrogen). Aber auch aus Anbietersicht und aus Sicht des MArktes im Allgemeinen ist das natürlich nicht sonderlich vorteilhaft, weil die Leute irgendwan dahinterkommen und dann diesem Anbieter und irgendwann auch dem Markt bei solchen Empfehlungen nicht mehr vertrauen, wie du ja auch schon sagst.

Dein Problem des "Identität aufgreifens" durch den Betreiber kann ich nur bei Möglichkeit 4 oder auch 3 nachvollziehen. Bzw ist es dann möglich. Man kann Möglichkeit 4 sicherlich auch ohne dieses Identität aufgreifen nutzen. Beispiel: "Hallo hier ist das SelfHTML-Forum. Dein Freund Maxi wollte dich auf uns aufmerksam machen. Schau doch mal vorbei." Daran sehe ich nichts Böses.

Dann kann er das aus eigenem Antrieb und mit eigenen Worten machen und braucht kein virales Marketing. Das wiederum nennt man Mundpropaganda und das wiederum ist die allerbeste überhaupt denkbare Werbemöglichkeit, auch wenn deren Reichweite durch die vertrauensmindernde Wirkung von virale Marketing langsam reduziert wird.

Genau, Mundpropaganda, und die Weiterempfehlungsmöglichkeit unterstützt das. Vor allem und schonend in Möglichkeit 1^^. Der User muss also nicht erst Outlook aufmachen oder sonstwas.

Also ich denke immer noch, dass es eine im Grundsatz gute SAche ist, vor allem dann wenn man auf Datenschutz achtet und nicht irgendwelche manipulierten Informationen weitergibt.

Wegen diesem Risiko bin ich auch nicht der Meinung, dass solche MArketingmittel sonderlich erfolgreich sind. Der User und der Empfänger weiß eben nicht, was mit den Daten wirklich passiert und so weiter...Da ist es aber doch löblich, wenn der Betreiber seriöse Anbieter sucht. DAdurch kann sich dieses schlechte Bild, was es in diesem Bereich gibt, eventuell doch noch zum guten wandeln.

Gruß
Alex

[Der Martin]

Hallo,

Deine Beschreibung "Empfehlung per Mail an einen Freund senden" nennt sich im Online-Jargon normalerweise "virales Marketing" und ist wohl eine der übelsten Methoden, um das Vertrauen von Menschen zu mißbrauchen, die sich Marketing-Experten je ausgedacht haben. Bulk-Mails können das an Seriösität kaum unterbieten - dort steht wenigstens noch der Anbieter selbst für sein Produkt.
Das ist vom Grundsatz her aus meiner Sicht eine der Besten MArketingmethoden die es gibt.

ja, von der Idee her (persönliche Empfehlung, Mund-zu-Mund-Propaganda) schon.

DEr Missbrauch (= Adressen speichern, für alles mögliche verwenden und verkaufen) soll hier ja gerade ausgeschlossen werden.

Haha. Wie denn, wenn ich dem Inhaber des Webangebots noch Namen und Mailadresse meines "Freundes", sowie meinen eigenen Namen angeben muss, damit der eine personalisierte Mailnachricht erstellen kann? Das werde ich Freunden sicher nicht antun.

Was bleibt also übrig? Ein User, der seinem Freund ein Produkt/Website empfiehlt, weil er es a) selbst gut findet und b) denkt, dass es etwas gutes/sinnvolles für seinen Freund ist.

Ja. Aber das würde ich doch normalerweise tun, indem ich selbst diesem Freund eine Mail schreibe: "Ich hab da eben was gefunden, das könnte dich interessieren. Schau dir doch mal www.example.org/irgendeinkram an."
Sobald ich aber eine Nachricht mit diesem oder ähnlichem Wortlaut bekomme, die eben *nicht* durch meinen Freund verschickt wurde, sondern durch den Unternehmer ... dann landet sie bei mir schneller im SPAM-Ordner als sie bei mir angekommen ist.

Ich sehe also neben der Missbrauchsmöglichkeit (die ja ausgeschlossen werden soll) keine Probleme :)

Bleibt die Frage: Wie schließt du Missbrauch aus?

Ciao,
 Martin

[Alex]

Hi,

ja, von der Idee her (persönliche Empfehlung, Mund-zu-Mund-Propaganda) schon.

»»
Sag ich ja :)

DEr Missbrauch (= Adressen speichern, für alles mögliche verwenden und verkaufen) soll hier ja gerade ausgeschlossen werden.

Haha. Wie denn, wenn ich dem Inhaber des Webangebots noch Namen und Mailadresse meines "Freundes", sowie meinen eigenen Namen angeben muss, damit der eine personalisierte Mailnachricht erstellen kann? Das werde ich Freunden sicher nicht antun.

Das ist der Knackpunkt. Aber wir suchen hier ja gerade etwas, das diese Anforderungen erfüllt - also kann man auch nicht sagen, dass es dann noch aufgrund dieses Risikos schlecht ist, weil das Risiko ja - wenn das System die Anforderungen erfüllt - nicht gegeben ist.

Andererseits können diese Anforderungen natürlich dazu führen, dass wir (oder eben der Betreiber) am Ende ohne ein solches System dastehen, weil es (noch?) keines gibt.

Ja. Aber das würde ich doch normalerweise tun, indem ich selbst diesem Freund eine Mail schreibe: "Ich hab da eben was gefunden, das könnte dich interessieren. Schau dir doch mal www.example.org/irgendeinkram an."
Sobald ich aber eine Nachricht mit diesem oder ähnlichem Wortlaut bekomme, die eben *nicht* durch meinen Freund verschickt wurde, sondern durch den Unternehmer ... dann landet sie bei mir schneller im SPAM-Ordner als sie bei mir angekommen ist.

Wenn ich so einem Service vertrauen würde, würde ich das Nutzen. Ich denke mir oft, dass ich was interessantes an einen Freund schicken könnte. Aber für Mails bin ich im Regelfall zu faul. Über Skype mache ich es dann manchmal, dass ich die Adresse rüberschicke...

Bleibt die Frage: Wie schließt du Missbrauch aus?

Das soll sich der Anbieter eines solchen Systems überlegen ;)

Wie schon in einem anderen Posting von mir erwähnt, ist mir auf die Schnelle etwas vergleichbares zur Kreditkartenzahlung eingefallen. Dort wird man ja auch von der (im Zweifel unsicheren) Anbieterwebsite zu der (im Zweifel zumindest etwas sichereren) Website des Kreditkartenunternehmens weitergeleitet, bevor man die zahlungsrelevanten Daten eingibt.

Wenn sich sowas ähnliches durchsetzen würde und die Leute dem Anbieter dieses Systems vertrauen würden, wäre diese Methode sicherlich super. Ich denke, dass es machbar ist - irgendwer muss halt nur dafür sorgen.

Dieser Anbieter könnte seine Seriösität zum Beispiel dadurch zeigen, dass der Quellcode vom Notar (der gleichzietig auch Programmierprofi ist) durchgearbeitet wird und auch von ihm gehosted wird.

Das ist wohl eher - vor allem für so eine Sache - etwas abwegig, aber wäre doch mal ein guter Start ;)

Gruß
Alex

[Encoder]

Wichtig ist nun, dass der Versand (auf Kundenwunsch und aus Datenschutzgründen) durch einen Drittanbieter erfolgen soll.

Versteh ich nicht. Wenn du die Mail direkt versendest und die Empfängeradresse nicht speicherst, wo ist dann ein Problem mit dem Datenschutz?
Ich hätte als Empfänger viel eher ein Problem mit der Seriosität wenn die Mail von irgendwoanders her kommt, statt vom Anbieter des betroffenen Produkts.

Da der Kunde darauf besteht

Manchen Kunden muss man erklären um was es geht. Wenn er auf Drittanbieter besteht, frag ihn welchen er empfiehlt und warum gerade den.
Wenn er keinen kennt, war sein Argument fürn A...

[Alex]

Wichtig ist nun, dass der Versand (auf Kundenwunsch und aus Datenschutzgründen) durch einen Drittanbieter erfolgen soll.
Versteh ich nicht. Wenn du die Mail direkt versendest und die Empfängeradresse nicht speicherst, wo ist dann ein Problem mit dem Datenschutz?
Ich hätte als Empfänger viel eher ein Problem mit der Seriosität wenn die Mail von irgendwoanders her kommt, statt vom Anbieter des betroffenen Produkts.

Das Problem ist doch eher ein anderes: Woher soll der User oder der Mail-Empfänger wissen, was der Website-Betreiber wiklich mit den Daten macht?

Wenn es in einem iFrame passiert und über einen TÜV-Zertifizierten anbieter passiert oder sowas, dann ist das schon mal viel sicherer.

Vergleichbar z.B. zur KReditkartenzahlung. Da gibt man dem Shopbetreiber ja auch nicht seine Infos, sondern der leitet einen zu MAstercard oder sonstwohin weiter.

Ich finde diesen Ansatz also - wie man auch in meinem letzten Posting dazu sehen kann - vor allem wegen der Drittanbieter-Sache sehr gut.

Gruß
Alex

[Jens Holzkämper]

Tach,

Wenn es in einem iFrame passiert

und woran soll der User das erkennen können?

und über einen TÜV-Zertifizierten anbieter passiert oder sowas, dann ist das schon mal viel sicherer.

Öh du meinst diesen TÜV? Je öfter die Daten an jemand anderen weitergegeben werden, desto mehr Stellen gibt es, wo sie verloren gehen können.

Vergleichbar z.B. zur KReditkartenzahlung. Da gibt man dem Shopbetreiber ja auch nicht seine Infos, sondern der leitet einen zu MAstercard oder sonstwohin weiter.

Das halte ich übrigens für einen großartigen Förderungsschub für Phisher.

mfg
Woodfighter

[Alex]

Hallo,

Wenn es in einem iFrame passiert

und woran soll der User das erkennen können?

Guter Punkt, aber mir ist das egal :P

Ich wollte nur Beispielhaft die Umsetzung ein bisschen aufzeigen. Ich mache mir zwar sowieso schon seit längerem immer mal wieder Gedanken, wie man nicht nur datenschutzkonform programmieren kann, sondern dies auch noch garantieren kann oder zumindest einigermaßen versichern kann, aber ich bin da auch noch nicht zu einem Ergebnis gekommen.

Das was ich damit meine und verdeutlichen wollte sollte aber hoffentlich rübergekommen sein ;)

und über einen TÜV-Zertifizierten anbieter passiert oder sowas, dann ist das schon mal viel sicherer.

Öh du meinst diesen TÜV? Je öfter die Daten an jemand anderen weitergegeben werden, desto mehr Stellen gibt es, wo sie verloren gehen können.

Ich hätte es ja schon fast vermutet, dass man diesen Siegeln nicht trauen kann - aber das ist auch wieder nur ein Beispiel gewesen. Aber eines kann ich - und davon bin ich überzeugt - sagen: Noch vertrauen sicherlich sehr viele Leute darauf, wenn sie solche Siegel sehen.

Deinen Einwand mit dem Daten weitergeben verstehe ich nicht.

Meinst du, dass Daten vom Websitebetreiber an den Mail-Versender übermittelt oder weitergegeben werden?
Ich gehe davon aus, dass diese Drittanbieter-Geschichte für den Mailversand genau deshalb gemacht werden soll, weil dann NUR der Drittanbieter die Daten bekommt und eben nnicht der Betreiber. Es hätte dann eben nur eine Stelle die Daten - und das wäre nach "Aufgabenstellung" eine Stelle, die mehr Vertrauen genießt, als der Betreiber...also durchaus etwas positives.

Oder meinst du, dass die Daten dann auch noch an den TÜV weitergegeben werden? Das könnte ich nun absolut nicht nachvollziehen.

Vergleichbar z.B. zur KReditkartenzahlung. Da gibt man dem Shopbetreiber ja auch nicht seine Infos, sondern der leitet einen zu MAstercard oder sonstwohin weiter.

Das halte ich übrigens für einen großartigen Förderungsschub für Phisher.

Ein Risiko besteht eindeutig. Aber das kann man auch lindern und ich glaube da gibt es zumindest aktuell sehr wenige Probleme - ich lasse mich aber gene belehren.

Es ist meiner Meinung nach auf jeden Fall besser, als dass jeder kleine Shopbetreiber meine Kreditkartennummer und meinen Prüfcode oder Securecode selbst verarbeitet - DAS wäre grauenhaft!

Gruß
Alex

[Jens Holzkämper]

Tach,

Aber eines kann ich - und davon bin ich überzeugt - sagen: Noch vertrauen sicherlich sehr viele Leute darauf, wenn sie solche Siegel sehen.

ich befürchte ja.

Deinen Einwand mit dem Daten weitergeben verstehe ich nicht.

Meinst du, dass Daten vom Websitebetreiber an den Mail-Versender übermittelt oder weitergegeben werden?

Genau,

Ich gehe davon aus, dass diese Drittanbieter-Geschichte für den Mailversand genau deshalb gemacht werden soll, weil dann NUR der Drittanbieter die Daten bekommt und eben nnicht der Betreiber.

das ist als User allerdings nicht erkenn- oder überprüfbar. Wenn ich meine Daten an Anbieter A gebe, möchte ich nicht, dass Anbieter B diese erhält.

Es hätte dann eben nur eine Stelle die Daten - und das wäre nach "Aufgabenstellung" eine Stelle, die mehr Vertrauen genießt, als der Betreiber...also durchaus etwas positives.

Whom to trust?

Das halte ich übrigens für einen großartigen Förderungsschub für Phisher.

Ein Risiko besteht eindeutig. Aber das kann man auch lindern und ich glaube da gibt es zumindest aktuell sehr wenige Probleme - ich lasse mich aber gene belehren.

Phishing ist im Moment eines der größten Probleme, die Zahlen explodieren; laut diesem Artikel waren 2008 alleine in den USA 5 Millionen Kunden betroffen.

Es ist meiner Meinung nach auf jeden Fall besser, als dass jeder kleine Shopbetreiber meine Kreditkartennummer und meinen Prüfcode oder Securecode selbst verarbeitet - DAS wäre grauenhaft!

Ich halte es für deutlich aufwendiger mich als Phisher an jeden kleinen Shop anpassen zu müssen, als Kunden, die daran gewöhnt sind ihre Daten in ein immer gleich aussehendes Formular, das nichts mit dem ursprünglichen Shop zu tun hat und einfach so aufpoppt, zu überlisten.

Zum Thema wie Banken mit existierenden Lücken umgehen, kann ich übrigens den Talk von Steven J. Murdoch wärmstens empfehlen: Chip and PIN is Broken.

mfg
Woodfighter

[Alex]

Hi,

Aber eines kann ich - und davon bin ich überzeugt - sagen: Noch vertrauen sicherlich sehr viele Leute darauf, wenn sie solche Siegel sehen.

ich befürchte ja.

Aus Marketing-Sicht ist das ja durchaus positiv...Fragt sich halt nur noch wie lange das für die Beteiligten positiv bleibt...

das ist als User allerdings nicht erkenn- oder überprüfbar. Wenn ich meine Daten an Anbieter A gebe, möchte ich nicht, dass Anbieter B diese erhält.

Nicht ganz: Erkennbar ist es - sofern man sich an geltendes Datenschutzrecht hält, was ich bei einem, wie hier geforderten, "seriösen" Anbieter voraussetze - zumindest durch die Datenschutzerklärung

Überprüfbar ist eben zurzeit wohl bei noch keinem Anbieter. Aber das ist ja genau der Knackpunkt (ach, ich fürchte ich wiederhole mich zum x-ten Mal). Wir suchen doch hier einen Top Anbieter, bei dem auch Vertrauen besteht. Da gehe ich von einer Überprüfbarkeit oder zumindest etwas, was in die Richtung geht, aus.

Und die Tatsache, dass die Daten nicht an A sondern an B gehen, ist so wie ich das Gewollte verstanden habe genau so gewollt. Sowohl aus Anbieter- aber ich glaube auch aus User-Sicht. Zumindest ich als User fände es gut.

Beispiel: Ich habe über Google einen kleinen Webshop gefunden. Von dem habe ich noch nie vorher gehört, aber er hat ein interessantes Produkt, was es sonst nirgends gibt. Ich weiß, dass sich mein Freund für dieses Produkt sehr interessiert. Auf der Shop-Seite gibt es so ein Weiterempfehlungsservice.

Wenn dieser Service jetzt erkennbar über einen Drittanbieter läuft, dem der TÜV, alle Datenschutzbehörden, der Düsseldorfer Kreis, die Artikel-29 Datenschutzgruppe, namhafte Datenschützer und weiß Gott wer noch, attestiert haben, dass er 100%-Datenschutzkonform arbeitet und eine illegale Datennutzung ausgeschlossen ist, werde ich dieses Feature mit Sicherheit nutzen. (Ja, das ist übertrieben, aber das soll auch nur demonstrieren, aus welchem Blickwinkel ich argumentiere.)

Wenn dieser Service (so wie es wohl immer ist) über die Website des kleinen Shops direkt läuft, werde ich es wohl eher nicht nutzen, weil ich nicht weiß, wer da wirklich dahinter steckt und was mit den Daten passiert.

Phishing ist im Moment eines der größten Probleme, die Zahlen explodieren; laut diesem Artikel waren 2008 alleine in den USA 5 Millionen Kunden betroffen.

Ich habe den Artikel mal kurz überflogen, aber konnte nicht erkennen, dass die Kunden in dem von mir beschriebenen Szenario betroffen waren. Klar ist Phishing per E-Mail sehr verbreitet, aber das hat ja nichts mit dem Online-Bezahlvorgang zu tun.

Es ist meiner Meinung nach auf jeden Fall besser, als dass jeder kleine Shopbetreiber meine Kreditkartennummer und meinen Prüfcode oder Securecode selbst verarbeitet - DAS wäre grauenhaft!

Ich halte es für deutlich aufwendiger mich als Phisher an jeden kleinen Shop anpassen zu müssen, als Kunden, die daran gewöhnt sind ihre Daten in ein immer gleich aussehendes Formular, das nichts mit dem ursprünglichen Shop zu tun hat und einfach so aufpoppt, zu überlisten.

Das böse Phisher-Formular poppt nicht einfach auf. Um da ranzukommen braucht man entweder Pharming oder der Shopbetreiber muss mitspielen und eben auf das Formular, anstatt auf das Original zu verlinken. Und zusätzlich muss der User noch drauf reinfallen. Alles in allem also wohl ein geringeres Risiko als bei E-Mails, denn da liegt es nur am User.

Außerdem ist es glaube ich für den Kunden auch besser, wenn er Opfer der Phishing-Mafia ist, als wenn 100 kleine Shopbetreiber mit dessen Kreditkarteninformationen einkaufen gehen können. Ich bin einfach davon überzeugt, dass man diese Massenangriffe leichter verfolgen kann und der Nutzer eher darauf aufmerksam wird, als wenn hinter jedem Shop so ein kleines Risiko lauert.

Gruß
Alex

[Der Martin]

Hallo,

Aber eines kann ich - und davon bin ich überzeugt - sagen: Noch vertrauen sicherlich sehr viele Leute darauf, wenn sie solche Siegel sehen.
ich befürchte ja.
Aus Marketing-Sicht ist das ja durchaus positiv...

ja, mag sein - so wie es für den Metzger positiv ist, wenn Leute Respekt vor Männern in weißen Kitteln haben.

Und die Tatsache, dass die Daten nicht an A sondern an B gehen, ist so wie ich das Gewollte verstanden habe genau so gewollt. Sowohl aus Anbieter- aber ich glaube auch aus User-Sicht. Zumindest ich als User fände es gut.

Ich nicht.

Wenn dieser Service jetzt erkennbar über einen Drittanbieter läuft, dem der TÜV, alle Datenschutzbehörden, der Düsseldorfer Kreis, die Artikel-29 Datenschutzgruppe, namhafte Datenschützer und weiß Gott wer noch, attestiert haben, dass er 100%-Datenschutzkonform arbeitet und eine illegale Datennutzung ausgeschlossen ist, werde ich dieses Feature mit Sicherheit nutzen.

Je stärker ein bestimmter Service genutzt und frequentiert wird, desto weniger traue ich ihm. Wenn bei einem Dienstleister täglich Tausende oder gar Millionen von Name/Mailadresse-Pärchen auflaufen, von denen der Dienstleister annehmen darf, dass sie real sind, dann schrillen bei mir die Alarmglocken. Da mag die Datenschutzerklärung noch so einlullend formuliert sein - money talks. Irgendwo ist garantiert ein Admin zugange, der für ein paar tausend Euro mal eine CD an diesen oder jenen "Kunden" verschickt.

(Ja, das ist übertrieben, aber das soll auch nur demonstrieren, aus welchem Blickwinkel ich argumentiere.)

Aus einem ziemlich naiv-gutgläubigen, wie mir scheint. Oder aus dem eines Marketing-Befürworters.

Wenn dieser Service (so wie es wohl immer ist) über die Website des kleinen Shops direkt läuft, werde ich es wohl eher nicht nutzen, weil ich nicht weiß, wer da wirklich dahinter steckt und was mit den Daten passiert.

Siehste, mir geht's da eher umgekehrt. Je größer das Unternehmen ist, das dahintersteht, desto geringer mein Vertrauen.

So long,
 Martin

[Alex]

Morgen,

Und die Tatsache, dass die Daten nicht an A sondern an B gehen, ist so wie ich das Gewollte verstanden habe genau so gewollt. Sowohl aus Anbieter- aber ich glaube auch aus User-Sicht. Zumindest ich als User fände es gut.

Ich nicht.

Ich möchte da mal auf mein letztes Beispiel in diesem Posting verweisen. Ich will, dass A (das Hotel) von meinen Kreditkarteninformationen profitiert (=buchuungssicherheit) aber ich will unbedingt, dass meine Kreditkarteninformationen bei einem großen vertrauensvollen Anbieter gesichert sind - also bei Unternehmen B (booking.com).

Wie siehst du das?

Je stärker ein bestimmter Service genutzt und frequentiert wird, desto weniger traue ich ihm. Wenn bei einem Dienstleister täglich Tausende oder gar Millionen von Name/Mailadresse-Pärchen auflaufen, von denen der Dienstleister annehmen darf, dass sie real sind, dann schrillen bei mir die Alarmglocken. Da mag die Datenschutzerklärung noch so einlullend formuliert sein - money talks. Irgendwo ist garantiert ein Admin zugange, der für ein paar tausend Euro mal eine CD an diesen oder jenen "Kunden" verschickt.

Das kann ich voll und ganz nachvollziehen. Aber die Aufgabenstellung ist doch gerade die, einen seriösen Anbieter zu finden, bei dem sowas nicht passiert. Und wenn sowas per Definition eben gerade NICHT passieren KANN, dann ist diese MArketingmethode doch gut - oder gibt es noch andere Einwände? (Neben dem Vertrauen der User, das sich sicher langsamer entwickelt, aber bestimmt irgendwann da sein kann.)

Ich sage nicht, dass man genau jetzt irgendwo hin gehen kann und sich dieses System kaufen kann. Ich bin auch davon überzeugt, dass es sowas noch nicht gibt. Aber ich bin eben auch davon überzeugt, dass die MArketingmethode gut und sicher ist SOFERN diese Voraussetzungen erfüllt werden.

(Ja, das ist übertrieben, aber das soll auch nur demonstrieren, aus welchem Blickwinkel ich argumentiere.)

Aus einem ziemlich naiv-gutgläubigen, wie mir scheint. Oder aus dem eines Marketing-Befürworters.

Ich mag Marketing im Prinzip nicht besonders - zumindest nicht selbst MArketing machen. Aber ich finde ehrliches Marketing gut und wichtig. ICh bin absolut nicht dafür, die potentiellen Kunden zu verarschen aber es ist wichtig, seine Produkte gut (ehrlich) darzustellen.

ICh denke nicht, dass meine Sicht naiv ist. Ich sage ja nicht, dass es ein Unternehmen gibt, bei dem es jetzt so läuft. Ich will nur Gedanken anregen, wie man zumindest in die Nähe einer 100%igen Sicherheit gelangen kann. Die 100% wird man aber wohl eher nicht erreichen, denn der Notar (aus meinem Notar-Beispiel) der den Code verwaltet und überprüft kann ihn ja genauso mal heimlich ändern. Aber trotzdem ist die Sicherheit ja viel höher, wenn ein Notar bestätigt, dass keine Daten gespeichert werden und, dass der Code ohne sein Zutun nicht geändert werden kann.

Gruß
Alex

[Der Martin]

Hallo,

Ich will, dass A (das Hotel) von meinen Kreditkarteninformationen profitiert (=buchuungssicherheit) aber ich will unbedingt, dass meine Kreditkarteninformationen bei einem großen vertrauensvollen Anbieter gesichert sind - also bei Unternehmen B (booking.com).
Wie siehst du das?

kritisch. Ich weiß nicht, wie die Zahlungsvorgänge "hinter den Kulissen" ablaufen. Normalerweise ist es bei der Kreditkartenzahlung (Geschäft, Autovermietung, Hotel) so, dass der Händler/Dienstleister die Daten meiner Kreditkarte aufnimmt, meine Unterschrift auf dem Beleg dazu bekommt und dann das Geld vom Kreditkarten-Ausgeber einfordert. Unter bestimmten Umständen geht's anscheinend auch ohne Unterschrift. Das heißt, der Händler hat alle Informationen beisammen und könnte jederzeit erneut irgendwelche fiktiven Beträge von meiner Kreditkarte einziehen. Deswegen ist es ja so immens wichtig, Kontoauszüge und Kreditkarten-Abrechnungen sorgfältig zu kontrollieren und ggf. verdächtige Buchungen zu hinterfragen oder zu stornieren.

Was du vorschlägst, hieße aber, dass ich mit dem Händler (Online-Händler in diesem Fall) gar keinen direkten Kontakt habe, sondern gleich zum Kreditkarten-Betreiber gehe und dort angebe: Ich habe eine Rechnung beim Hotel Soundso in Höhe von 122 Euro zu begleichen, macht mal. Dein Modell würde bedeuten, dass das besagte Hotel mir auf herkömmliche Weise eine Rechnung stellt, und den Betrag dann in meinem Namen von VISA, AmEx oder wem auch immer kriegt, meine Kreditkarte aber nie zu Gesicht bekommt. Versteh ich dich da richtig?

Denn sobald der Händler meine Kreditkartendaten "zur Sicherheit" ebenfalls bekommt, ist die ganze Aktion ja witzlos.

Je stärker ein bestimmter Service genutzt und frequentiert wird, desto weniger traue ich ihm. Wenn bei einem Dienstleister täglich Tausende oder gar Millionen von Name/Mailadresse-Pärchen auflaufen, von denen der Dienstleister annehmen darf, dass sie real sind, dann schrillen bei mir die Alarmglocken. Da mag die Datenschutzerklärung noch so einlullend formuliert sein - money talks. Irgendwo ist garantiert ein Admin zugange, der für ein paar tausend Euro mal eine CD an diesen oder jenen "Kunden" verschickt.
Das kann ich voll und ganz nachvollziehen. Aber die Aufgabenstellung ist doch gerade die, einen seriösen Anbieter zu finden, bei dem sowas nicht passiert.

Die Annahme, dass das möglich sei, meinte ich mit "naiv".

Ich mag Marketing im Prinzip nicht besonders - zumindest nicht selbst MArketing machen. Aber ich finde ehrliches Marketing gut und wichtig. ICh bin absolut nicht dafür, die potentiellen Kunden zu verarschen aber es ist wichtig, seine Produkte gut (ehrlich) darzustellen.

Auch das -die Unterstellung, es gebe so etwas wie "ehrliches Marketing"- finde ich naiv.

Ich will nur Gedanken anregen, wie man zumindest in die Nähe einer 100%igen Sicherheit gelangen kann.

Die kann es aber nicht geben, weil immer irgendwo Menschen im Spiel sind, die eine hohe Verantwortung tragen, und großen Versuchungen ausgesetzt sind. Ich behaupte nicht, dass jeder zum Kriminellen wird (auch wenn es redensartich heißt, jeder habe seinen Preis); aber ich behaupte, dass man für niemanden *garantieren* kann, dass er/sie nicht doch irgendwann der Versuchung erliegt oder auch von Dritten mit entsprechend hohen Summen dazu animiert wird.

So long,
 Martin

[Alex]

Hallo,

kritisch. Ich weiß nicht, wie die Zahlungsvorgänge "hinter den Kulissen" ablaufen. Normalerweise ist es bei der Kreditkartenzahlung (Geschäft, Autovermietung, Hotel) so, dass der Händler/Dienstleister die Daten meiner Kreditkarte aufnimmt, meine Unterschrift auf dem Beleg dazu bekommt und dann das Geld vom Kreditkarten-Ausgeber einfordert. Unter bestimmten Umständen geht's anscheinend auch ohne Unterschrift. Das heißt, der Händler hat alle Informationen beisammen und könnte jederzeit erneut irgendwelche fiktiven Beträge von meiner Kreditkarte einziehen. Deswegen ist es ja so immens wichtig, Kontoauszüge und Kreditkarten-Abrechnungen sorgfältig zu kontrollieren und ggf. verdächtige Buchungen zu hinterfragen oder zu stornieren.

Was du vorschlägst, hieße aber, dass ich mit dem Händler (Online-Händler in diesem Fall) gar keinen direkten Kontakt habe, sondern gleich zum Kreditkarten-Betreiber gehe und dort angebe: Ich habe eine Rechnung beim Hotel Soundso in Höhe von 122 Euro zu begleichen, macht mal. Dein Modell würde bedeuten, dass das besagte Hotel mir auf herkömmliche Weise eine Rechnung stellt, und den Betrag dann in meinem Namen von VISA, AmEx oder wem auch immer kriegt, meine Kreditkarte aber nie zu Gesicht bekommt. Versteh ich dich da richtig?

Nicht ganz.

Erstmal: Von offline Kreditkartengeschäften rede ich nicht. Klar, da sieht der Betreiber des Geschäfts meine Kreditkartennummer. Aber es ist nicht so unsicher, wie bei einem Onlineshop wo er dann Nummer und Prüfcode sehen würde und demnach auch weiternutzen könnte ohne kompliziert Unterschriften zu fälschen.

Online funktioniert es soweit ich weiß so, dass man im Shop den Bestellvorgang bis zur Kasse durchführt. Von dort aus wird dann Eine Website von z.B. Mastecard aufgerufen. Dorthin wird übermittelt, was der Betrag sein soll. Da kann der User dann (relativ) sicher bezahlen und kommuniziert derweil auch wirklich NUR mir Mastercard (oder eben einem Phisher ;). Im Anschluss schickt Mastercard den User dann zurück zu dem Shop und schickt ein ZAHLUNG-OK mit. Dann kann es im Shop weitergehen. (Ich habe mich mal etwas in die Dokumentation zur Online KAsse der Sparkasse eingelesen - da war es so ungefähr...)

Denn sobald der Händler meine Kreditkartendaten "zur Sicherheit" ebenfalls bekommt, ist die ganze Aktion ja witzlos.

Nein, der Händler bekommt die Daten nicht zur Sicherheit. Er bekommt einfach nur die Sicherheit, dass das Kreditkartenunternehmen ihm den Betrag überweist. Den Betrag holt es sich dann vom User. (wenn alles glatt läuft. jedenfalls bekommt der Betreiber das Geld)

Auch das -die Unterstellung, es gebe so etwas wie "ehrliches Marketing"- finde ich naiv.

In der Theorie gibt es ehrliches Marketing 100%ig - dass es das in der Praxis gibt habe ich nie behauptet.

Ich will nur Gedanken anregen, wie man zumindest in die Nähe einer 100%igen Sicherheit gelangen kann.

Die kann es aber nicht geben, weil immer irgendwo Menschen im Spiel sind, die eine hohe Verantwortung tragen, und großen Versuchungen ausgesetzt sind. Ich behaupte nicht, dass jeder zum Kriminellen wird (auch wenn es redensartich heißt, jeder habe seinen Preis); aber ich behaupte, dass man für niemanden *garantieren* kann, dass er/sie nicht doch irgendwann der Versuchung erliegt oder auch von Dritten mit entsprechend hohen Summen dazu animiert wird.

Du bist ja gemein - schneidest einfach den Teil ab, der meine 100% Sicherheit relativiert ;)

Erhöhen kann man die Sicherheit aber - da bin ich nir wirklich 100% sicher und das ist nicht naiv.

Gruß
Alex

[Der Martin]

Hi Alex,

[...] Versteh ich dich da richtig?
Nicht ganz.
Erstmal: Von offline Kreditkartengeschäften rede ich nicht.

die habe ich auch nur der Vollständigkeit halber als "üblichen" Zahlungsweg erwähnt.

Klar, da sieht der Betreiber des Geschäfts meine Kreditkartennummer. Aber es ist nicht so unsicher, wie bei einem Onlineshop wo er dann Nummer und Prüfcode sehen würde und demnach auch weiternutzen könnte ohne kompliziert Unterschriften zu fälschen.

Prüfcode?? Was für'n Prüfcode? Ich hab auf der Kreditkarte die 16stellige Nummer, meinen Namen und das "Expiry Date". Und eine Muster-Unterschrift auf der Rückseite. Und diese Angaben genügen AFAIK für die Zahlung.

Online funktioniert es soweit ich weiß so, dass man im Shop den Bestellvorgang bis zur Kasse durchführt. Von dort aus wird dann Eine Website von z.B. Mastecard aufgerufen

... oder eben eine vom betrügerischen Shop-Betreiber bereitgestellte Seite, die genauso aussieht, die gleiche Hin- und Her-Weiterleitung macht, aber die Daten abgreift, die der Nutzer im guten Glauben eingibt.

Auch das -die Unterstellung, es gebe so etwas wie "ehrliches Marketing"- finde ich naiv.
In der Theorie gibt es ehrliches Marketing 100%ig - dass es das in der Praxis gibt habe ich nie behauptet.

Nur in der Theorie stimmen Theorie und Praxis überein. Aber dein Beitrag suggeriert, dass du das erreichen willst.

Erhöhen kann man die Sicherheit aber - da bin ich nir wirklich 100% sicher und das ist nicht naiv.

Ja. Am besten, indem man sich auf herkömmliche Weise eine Rechnung ausstellen lässt und dann den Betrag überweist.

Ciao,
 Martin

[Alex]

Hallo,

Prüfcode?? Was für'n Prüfcode? Ich hab auf der Kreditkarte die 16stellige Nummer, meinen Namen und das "Expiry Date". Und eine Muster-Unterschrift auf der Rückseite. Und diese Angaben genügen AFAIK für die Zahlung.

Bei meinen Karten ist allesamt ein 3stelliger Prüfcode hinten über der Unterschrift aufgedruckt. Den muss man oft (oder immer - ich weiß nicht genau) angeben sonst kann mannicht online damit bezahlen.

Neuerdings ersetzen viele Anbieter das durch den SecureCode. DAs ist ein PAsswort, welches der User selbst vergibt (kann man auf der Website der BAnk oder beim Ersten Bezahlvorgang einrichten). So "secure" ist das aber auch nicht, da gab es letztens einige Probleme, aber zumindest diese speziellen Probleme sind soweit ich weiß behoben.

Diese Sicherheitsmechanismen werden glaube ich immer vorausgesetzt - genau weiß ich es auch nicht, weil ich kaum was online zahle. Aber durch mein Beratungsgespräch zu dieser Online KAsse von der Sparkasse (hat übrigens recht gut ausgesehen das Ding) weiß ich, dass zumindest bei der Haftung des Kreditkartenanbieters Unterschiede bestehen. Also wenn das ohne Code ohne Unterschrift ohne alles (überhaupt) gemacht wird, kann sich der Shopbetreiber nicht sicher sein, dass er das Geld bekommt. Andernfalls schon - zumindest nach einer Probezeit von ein paar Monaten in der gesehen wird, ob es Beschwerden wegen falscher Abbuchungen gibt. (So war das bei der Sparkasse zumindest)

Bei der Eingabe des SecureCodes wird man zumindest auch (soweit ich mich erinnenr kann) mit einer selbst festgelegten Willkommensformel begrüßt. Wenn die nicht erscheint wei0 man also schon, dass man falsch ist. Wenn die Formel erscheint, weil der Phischer sie direkt nach Eingabe selbst von der Bank ausliest hat man natürlich Pech aber zumindest wenn da für zig KK die gleiche IP verwendet wird oder so fällt das auf.

... oder eben eine vom betrügerischen Shop-Betreiber bereitgestellte Seite, die genauso aussieht, die gleiche Hin- und Her-Weiterleitung macht, aber die Daten abgreift, die der Nutzer im guten Glauben eingibt.

Ja klar, aber dieses Risiko besteht genauso, wenn der KReditkartenbetreiber nicht eingebunden wird sondern die Abwicklung nachher stattfindet. Hier ist das Risiko aus von mir schon beschriebenen Gründen aber zudem noch weitaus höher, weil die Daten eben beim Shop auch noch herumliegen.

Nur in der Theorie stimmen Theorie und Praxis überein. Aber dein Beitrag suggeriert, dass du das erreichen willst.

Ja. Ein ehrlicher Unternehmer sollte das immer erreichen wollen. Auch wenn man es nicht glaubt. Es gibt noch ehrliche Leute - aber sicherlich reden die beim Marketing auch einiges zu schön, was dann wiederum kein ehrliches Marketing mehr ist.

Aber wieso sollte man wegen diesem Risiko davon absehen sich zumindest zu wünschen, und es selbst voranzutreiben, dass es diese Ehrlichkeit gibt oder geben kann.

Wenn man gleich von HAus aus sagt, alles ist schlecht, muss schlecht sein bleibt schlecht, gibt es nie einen Fortschritt. Naiv ist es, wenn man sich darauf verlässt, dass alles gut _ist_. Und meinetwegen auch wenn man sich darauf verlässt, dass es eine _100%ige_ Sicherheit geben kann.

Erhöhen kann man die Sicherheit aber - da bin ich nir wirklich 100% sicher und das ist nicht naiv.

Ja. Am besten, indem man sich auf herkömmliche Weise eine Rechnung ausstellen lässt und dann den Betrag überweist.

Irgendein Krimineller wird auch da noch einen Weg finden ;)

Aber aus meinem Hotelbeispiel kann man doch auch eine sicherere Variante machen. Anstatt die Daten in einer Textarea zusammen mit dem anderen Text des Kunden zu verlangen könnten sie z.B. extra Felder für diese Daten anlegen. Der Feldinhalt wird dann umkehrbar verschlüsselt und bleibt da bis einer mal nicht gezahlt hat und man die Daten entschlüsseln muss.

Das ist natürlich keine 100%ige Sicherheit, weil jeder der Zugriff auf die Datenbank hat diese Daten auch entschlüsseln und verwenden kann.
Aber im Gegensatz zur vorherigen Variante wäre es weitaus sicherer, weil so eben nicht jede Aushilfe die an der Rezeption steht und natürlich den Text des Kunden (in dem auch andere Wünsch wie Raucherzimmer etc. stehen können) einsehen können muss auch gleichzeitig die Kreditkartendaten sehen kann und so auf falsche Gedanken gebracht werden kann.

[Der Martin]

Hi,

Prüfcode?? Was für'n Prüfcode? Ich hab auf der Kreditkarte die 16stellige Nummer, meinen Namen und das "Expiry Date". Und eine Muster-Unterschrift auf der Rückseite. Und diese Angaben genügen AFAIK für die Zahlung.
Bei meinen Karten ist allesamt ein 3stelliger Prüfcode hinten über der Unterschrift aufgedruckt.

ah, jetzt wo du's sagst ... stimmt, da ist noch eine 3stellige Kombination. Ist mir nie aufgefallen.

Den muss man oft (oder immer - ich weiß nicht genau) angeben sonst kann mannicht online damit bezahlen.

Ich habe noch nie online per Kreditkarte bezahlt. Vielleicht ist mir das deshalb nicht geläufig.

Neuerdings ersetzen viele Anbieter das durch den SecureCode. DAs ist ein PAsswort, welches der User selbst vergibt

Hab ich auch noch nicht von gehört ...

... oder eben eine vom betrügerischen Shop-Betreiber bereitgestellte Seite, die genauso aussieht, die gleiche Hin- und Her-Weiterleitung macht, aber die Daten abgreift, die der Nutzer im guten Glauben eingibt.
Ja klar, aber dieses Risiko besteht genauso, wenn der KReditkartenbetreiber nicht eingebunden wird sondern die Abwicklung nachher stattfindet. Hier ist das Risiko aus von mir schon beschriebenen Gründen aber zudem noch weitaus höher, weil die Daten eben beim Shop auch noch herumliegen.

Ja, stimmt.

Es gibt noch ehrliche Leute - aber sicherlich reden die beim Marketing auch einiges zu schön, was dann wiederum kein ehrliches Marketing mehr ist.

Natürlich gibt es ehrliche Leute, das habe ich nie bezweifelt. Aber Werbung und Marketing ist halt der institutionalisierte Versuch, Menschen zu manipulieren und bescheißen. Deswegen habe ich ja ziemlich weit oben im Thread schon gesagt, dass Werbung und Seriosität für mich im Widerspruch stehen.

Ciao,
 Martin

[Jens Holzkämper]

Tach,

Das böse Phisher-Formular poppt nicht einfach auf. Um da ranzukommen braucht man entweder Pharming oder der Shopbetreiber muss mitspielen und eben auf das Formular, anstatt auf das Original zu verlinken.

oder es gibt eine XSS-Lücke im Shop oder ...

Und zusätzlich muss der User noch drauf reinfallen. Alles in allem also wohl ein geringeres Risiko als bei E-Mails, denn da liegt es nur am User.

Die "Payment Card Industry (PCI) Data Security Standards" sind ja auch noch relativ neu; ich denke allerdings dass die Banken da auf den falschen Gaul setzen.

Außerdem ist es glaube ich für den Kunden auch besser, wenn er Opfer der Phishing-Mafia ist, als wenn 100 kleine Shopbetreiber mit dessen Kreditkarteninformationen einkaufen gehen können. Ich bin einfach davon überzeugt, dass man diese Massenangriffe leichter verfolgen kann und der Nutzer eher darauf aufmerksam wird, als wenn hinter jedem Shop so ein kleines Risiko lauert.

Für den Nutzer ist es von Nachteil, er wird schlußendlich in Zukunft auf den Kosten selber sitzen bleiben; wo ich bisher eine betrügerische Transaktion einfach rückgängig machen konnte, werde ich in Zukunft ähnlich wie schon bei der EC-Karte die Beweislast tragen.

mfg
Woodfighter

[Alex]

Morgen,

oder es gibt eine XSS-Lücke im Shop oder ...

Wir müssen ja nicht gleich den Teufel an die Wand malen.

Für den Nutzer ist es von Nachteil, er wird schlußendlich in Zukunft auf den Kosten selber sitzen bleiben; wo ich bisher eine betrügerische Transaktion einfach rückgängig machen konnte, werde ich in Zukunft ähnlich wie schon bei der EC-Karte die Beweislast tragen.

Das ist natürlich schlecht - aber irgendwie auch nachvollziehbar.

Ich denke mir aber, dass es mit dem Nachweis bei den Großkriminellen trotzdem einfacher ist. Wenn eine Organisation von Verbrechern dahintersteht steckt sicherlich auch zumindest oft ein in irgend einer Weise nachvollziehbares System dahinter. So kann dann eventuell herausgefunden werden, dass der User "unschuldig" ist.

Zum Beispiel habe ich von einer Verwandten letztens gehört, dass es bei denen im Dorf ein ähnliches Problem gab (da war es glaube ich PIN Spionage am Geldautomaten). Dort wurden dann von einigen Dorfbewohnern sehr große Summen in einem engen Zeitraum durch Abheben gestohlen. Das Geld haben sie inzwischen wieder. Ich denke es war nicht schwer zu erkennen, dass es sich dabei um organisierte Kriminelle handelte. (OK, da waren dann sicherlich auch noch die Geldautomaten Kameras im Spiel und so...)

Wenn ein kleiner Shopbetreiber hingegen die Rohdaten bekommt, braucht es VIEL weniger kriminelle Energie, um die Kunden um ihr Geld zu erleichern. Außerdem ist es durch die Systemlosigkeit bestimmt um einiges schwerer nachzuverfolgen als bei einer großen Aktion durch Phisher.

Um hier Geld zu stehlen braucht es nur irgend einen Mitarbeiter, der sich gerade mal irgendwas kleines gratis bestellen will und deshalb die Kreditkartendaten eines Kunden nimmt. Dies nachzuvollziehen wird dann natürlich bei einem kleinen Fall, wenn es überhaupt erkannt wird, schwierig - wenn der Mitarbeiter nicht gerade etwas macht, wo er auch seine Adresse angibt ;)

Zudem muss vom Shopbetreiber ja immer noch eine Verbindung zum Kreditkartenunternehmen bestehen, bei der dann auch wieder ein Risiko besteht.

Letztens wollte ich z.B. ein Hotel über die Website des Hotels buchen. Es war ein kleines Hotel mit einer eher schlechten Website. Die wollten, dass ich meine KK Nummer inkl. Prüfcode in das Textfeld vom Buchungsformular eingebe!

Obwohl ich denen gerne die Buchungsprovision von booking.com erspart hätte, war mir das dann doch auf jeden Fall ein bisschen zu krass. Da gehe ich scho viel lieber das Risiko ein, dass bei der Bankeinbindung in den Shop ein Phishingrisiko besteht, als dass ich das Zeug in ein Textfeld eingebe...

Gruß
Alex

[Jens Holzkämper]

Tach,

oder es gibt eine XSS-Lücke im Shop oder ...

Wir müssen ja nicht gleich den Teufel an die Wand malen.

das ist absolut nichts ungewöhnliches, "Auf der Hälfte der von mir “überprüften” Seiten existieren Sicherheitslücken." und das war spontan aus einer Liste von zertifizierten Referenzkunden, die also schonmal das Konzept Sicherheit kannten.

Um hier Geld zu stehlen braucht es nur irgend einen Mitarbeiter, der sich gerade mal irgendwas kleines gratis bestellen will und deshalb die Kreditkartendaten eines Kunden nimmt.

Und um mein Geld wieder zu bekommen, schreibe ich einen Brief an mein Kreditkartenunternehmen und damit ist für mich der Fall erledigt.

Obwohl ich denen gerne die Buchungsprovision von booking.com erspart hätte, war mir das dann doch auf jeden Fall ein bisschen zu krass. Da gehe ich scho viel lieber das Risiko ein, dass bei der Bankeinbindung in den Shop ein Phishingrisiko besteht, als dass ich das Zeug in ein Textfeld eingebe...

Meine Erfahrung im EDV-Bereich zeigt mir, dass Daten bei großen Unternehmen nicht sicherer sind als bei kleinen.

mfg
Woodfighter

[Encoder]

Das Problem ist doch eher ein anderes: Woher soll der User oder der Mail-Empfänger wissen, was der Website-Betreiber wiklich mit den Daten macht?

Das ist schon richtig. Aber das weiß er ja bei keinem, auch beim Drittanbieter.

Wenn es in einem iFrame passiert und über einen TÜV-Zertifizierten anbieter passiert oder sowas, dann ist das schon mal viel sicherer.

Ich geh aber nicht davon aus dass (wie in Folgeposts beschrieben ist) sich ein User in irgendeiner Weise schlau macht wie vertrauenswürdig ein Mailversender ist.
Die Zweifel sind jedenfalls möglicherweise beim Drittanbieter noch größer, der ja wirkklich in überhaupt keiner erkennbaren Beziehung zur eigentlichen Webseite steht. Und mal ehrlich, wer weiß was ein iframe ist und was das bedeutet?

Vergleichbar z.B. zur KReditkartenzahlung. Da gibt man dem Shopbetreiber ja auch nicht seine Infos, sondern der leitet einen zu MAstercard oder sonstwohin weiter.

Stimmt, nur gebe hier ich selbst (!) meine Daten weiter, an jemanden über den ich mir ein bisschen mehr Infos eingeholt habe.

Ich hab auch schon eine Empfehlung bekommen, von jemandem der wirklich wollte dass ich was anschaue und von einer Mailadresse von der Ursprungsseite, also ohnen Dritten. Und selbst da hab ich mich gefragt wozu die jetzt meine Mailadresse haben müssen, wo man doch nen Link eben selbst per Mail schicken kann. In Zeiten von Spam macht doch alles in dieser Art einen höchst komischen Eindruck. Und dass hinter einer bekannten Adresse und dem Text "oh schau mal was ich tolles für dich habe" auch das schlimmste stecken kann, ist nichts neues.
Die Zweifel werden sicher bleiben.

[Alex]

Hallo,

Das ist schon richtig. Aber das weiß er ja bei keinem, auch beim Drittanbieter.

»»
Mir fällt gerade ein, dass die Post ja Theoretisch mit ihrem neuen E-Mail-Zeugs auch so einen Service anbieten könnte, der dann in einem iFrame oder wie auch immer - ähnlich wie die Kreditkartenbezahlfunktion - in die Website eingebunden ist.

Wenn man der Post auch zwecks Briefe verschlampen und sowas nicht wirklich trauen kann hätte ich in der Beziehung doch schon ein gewisses (deutlich höheres als beim unbekannten Shop) Grundvertrauen.

Die Zweifel sind jedenfalls möglicherweise beim Drittanbieter noch größer, der ja wirkklich in überhaupt keiner erkennbaren Beziehung zur eigentlichen Webseite steht. Und mal ehrlich, wer weiß was ein iframe ist und was das bedeutet?

Da muss ich dir Zustimmen.

Stimmt, nur gebe hier ich selbst (!) meine Daten weiter, an jemanden über den ich mir ein bisschen mehr Infos eingeholt habe.

Auch hier stimme ich dir natürlich zu. Mir ist bis jetzt (s. oben Post-Beispiel) nichts besseres eingefallen...

Ich hab auch schon eine Empfehlung bekommen, von jemandem der wirklich wollte dass ich was anschaue und von einer Mailadresse von der Ursprungsseite, also ohnen Dritten. Und selbst da hab ich mich gefragt wozu die jetzt meine Mailadresse haben müssen, wo man doch nen Link eben selbst per Mail schicken kann. In Zeiten von Spam macht doch alles in dieser Art einen höchst komischen Eindruck. Und dass hinter einer bekannten Adresse und dem Text "oh schau mal was ich tolles für dich habe" auch das schlimmste stecken kann, ist nichts neues.
Die Zweifel werden sicher bleiben.

Ja, Zweifel werden weiter bestehen. Aber wenn man sich z.B. über das Post-Mail Dingens in deutlich sicherere Hände bewegt, wo man viel eher davon ausgehen kann, dass die Mailadressen nur so lange am Server sind bis die Mail versandt wurde, dann kann man solchen Mails vielleicht auch (wieder) eher vertrauen.

Abgesehen davon: Welcher Normaluser ist den schon wirklich sicher. Da ist diese Mail-Sache doch eigentlich das hamrloseste, was einem passieren kann. Es kann ja keiner selbt herausfinden, was die ganze Software, die man installiert hat wirklich macht. Was ein böser M$-Spion-Mitarbeiter eingeschleust haben könnte, was Firefox alles ausschnüffeln könnte, was die Bank mit EC-Kartenprofilen machen könnte - also da gibt es echt schlimmeres als die Mail-Geschichte ;)

Gruß
Alex

[Jens Holzkämper]

Tach,

Wenn man der Post auch zwecks Briefe verschlampen und sowas nicht wirklich trauen kann hätte ich in der Beziehung doch schon ein gewisses (deutlich höheres als beim unbekannten Shop) Grundvertrauen.

wer DE-Mail oder dem E-POSTBRIEF traut, dem ist aber auch nicht mehr zu helfen.

mfg
Jens Holzkämper

[Encoder]

also da gibt es echt schlimmeres als die Mail-Geschichte ;)

Ich seh es ja nicht als schlimm an, nur als nicht unbedingt vertrauenserweckend.
Denn sind wir doch mal ehrlich, wer von uns liest noch Mails mit dem Betreff

• unbedingt anschauen
• das hab ich für dich gefunden
• Empfehlung von einem Freund
  und ähnliches, die von *irgendwoher* kommen?

[Alex]

Hi,

Denn sind wir doch mal ehrlich, wer von uns liest noch Mails mit dem Betreff

• unbedingt anschauen
• das hab ich für dich gefunden
• Empfehlung von einem Freund
  und ähnliches, die von *irgendwoher* kommen?

Das stimmt natürlich. Aber ich würde das einfach vom Absendernamen abhängig machen. Dabei vermute ich jetzt mal, dass die Werbemail des Freundes dann "über seine" Mail-Adresse und mit seinem Namen verschickt wird.

Wenn das nicht so ist, sinkt die Lesewahrscheinlichkeit natürlich sehr stark.

Gruß
Alex