Source: https://www.gomopa.net/Finanzforum/urteile-und-recht/pin-verschluesselungssysteme-bei-kredit-und-ec-karten-127671.html
Timestamp: 2018-08-19 03:32:47+00:00

Document:
PIN-Verschlüsselungssysteme bei Kredit- und EC-Karten - Urteile & Recht - Finanznachrichten
PIN-Verschlüsselungssysteme bei Kredit- und EC-Karten
Dieses Thema wurde 634 mal besucht und hat 1 Antworten.
PIN-Verschlüsselungssysteme bei Kredit- und EC-Karten gelten nach einem Urteil des Oberlandesgerichts (OLG) Frankfurt weiterhin als sicher.
Das Frankfurter Gericht verhandelte eine Sammelklage der Verbraucherzentrale Nordrhein-Westfalen. Die Einrichtung argumentierte nach Darstellung von EURO Kartensysteme, Dritte hätten aufgrund von Sicherheitsmängeln die Geheimnummern der Karten fremder Leute in Erfahrung gebracht und die Karteninhaber durch Geldabhebungen geschädigt.
Aktenzeichen*: 23 U 22/06
I. Auf die tatsächlichen Feststellungen im angefochtenen Urteil, die keiner Änderung oder Ergänzung bedürfen, wird zunächst gemäß § 540 Abs. 1 Nr. 1 ZPO Bezug genommen.
das Urteil des Landgerichts Frankfurt am Main vom 26.9.2005 abzuändern und die Beklagte zu verurteilen, an den Kläger 24.207,75 Euro nebst Zinsen in Höhe von 5 Prozentpunkten über dem Basiszinssatz aus 11.296,92 Euro seit dem 3.7.2003 sowie aus 12.910,83 Euro seit Rechtshängigkeit zu zahlen;
Die Beklagte verteidigt die Entscheidung des Landgerichts unter Wiederholung und Vertiefung ihres erstinstanzlichen Vorbringens. Sie hält die Aktivlegitimation des Klägers für nicht gegeben und sieht einen Widerspruch zwischen dieser und der Notwendigkeit einer Einzelfallprüfung der den Zessionen zugrundeliegenden Sachverhalte. Die unrichtigen Behauptungen des Klägers zu den Fällen A, B-B und C seien bereits erstinstanzlich widerlegt worden; ein Schluss auf Sicherheitslücken sei nicht möglich. Der Kläger habe nichts vorgebracht, was die Sicherheit des Systems der Beklagten in Frage stellen könne, weswegen vorliegend auch die Ausführungen des BGH zur sekundären Beweislast nicht griffen, da diese ein Aufzeigen von Sicherheitslücken voraussetzten. Das Landgericht habe auch die Regeln über den Anscheinsbeweis und die Grundsätze des Urteils des BGH vom 5.10.2004 rechtsfehlerfrei angewendet. Dies entspreche auch der Rechtsprechung des OLG Frankfurt am Main zu Kreditkarten (Az. 8 U 268/01, Urteil vom 7.5.2002; 19 U 71/03, Urteil vom 15.7.2003; zuletzt 16 U 70/05, Urteil vom 30.3.2006), der zufolge nach den Grundsätzen des Anscheinsbeweises davon auszugehen sei, dass mittels gestohlener oder sonst abhanden gekommener Kreditkarten am Geldautomaten nur deshalb Auszahlungen vorgenommen werden konnten, weil der Karteninhaber mit seiner Geheimzahl nicht sorgfältig umgegangen sei bzw. diese pflichtwidrig bei sich getragen habe. Der typische Lebenssachverhalt bestehe darin, dass mit Zahlungskarten, die u.a. mit PINs gesichert sind, nur dann erfolgreich Geld am Geldautomaten abgehoben werden könne, wenn dies vom Karteninhaber selbst erfolge, er Dritte bevollmächtigt habe oder diese durch unsorgfältigen Umgang mit Kreditkarte und PIN an letztere gelangt seien. Fragen des Sicherheitssystems hätten damit nichts zu tun. Anhaltspunkte für einen atypischen Verlauf habe der Kläger nicht dargetan. Im übrigen habe die Beklagte - soweit zumutbar – ohnehin schon umfassend zu ihrem System vorgetragen und die technischen Aufzeichnungen zu den streitigen Auszahlungsvorgängen vorgelegt. Im Jahr 2001 sei ihr System von einer Schlüsselbreite von 56 Bit auf das sog. Triple-DES-Verfahren mit mindestens 128 Bit erhöht worden. Ihr Sicherheitssystem sei mehrfach der sachverständigen Beurteilung unterzogen worden mit dem Ergebnis der Feststellung der Sicherheit des Systems; so habe dem Urteil des 8. Zivilsenats des OLG Frankfurt am Main vom 7.5.2002 das auch in diesem Verfahren von ihr bereits vorgelegte Gutachten des anerkannten Sachverständigen Dr. SV3 vom BSI zugrunde gelegen, das hier gemäß § 411a ZPO verwertet werden könne. Weder PIN noch Referenzwert würden auf den Kreditkarten der Beklagten gespeichert, wie durch Sachverständigengutachten und Urteil des 8. Zivilsenats des OLG Frankfurt am Main bestätigt. Nach dem Urteil des 16. Zivilsenats des OLG Frankfurt am Main vom 30.3.2006 (ebenfalls zu Eurocard) böten die angeblichen Systemunsicherheiten keine Grundlage für eine Beweisaufnahme und liefen auf eine Ausforschung hinaus. Auch vor diesem Hintergrund habe der Kläger den Anscheinsbeweis nicht erschüttern können. Es gebe keinen Grund für eine Revisionszulassung.
Nach der seit dem 1.1.2002 geltenden Fassung von Art. 1 § 3 Ziff. 8 des Rechtsberatungsgesetzes ist ein Verbraucherschutzverband wie der Kläger zur gerichtlichen Einziehung fremder und zu Einziehungszwecken abgetretener Forderungen von Verbrauchern berechtigt, „wenn es im Interesse des Verbraucherschutzes erforderlich ist". Dies stellt ein zwar einschränkendes, jedoch gemäß der Entscheidung des BGH vom 14.11.2006 (BGHZ 170, 18; ebenso LG Bonn WM 2005, 1772) weit auszulegendes Zulässigkeitskriterium dar. Hiernach ist die gerichtliche Einziehung von Forderungen durch Verbraucherzentralen gemäß Art. 1 § 3 Nr. 8 RBerG im Interesse des Verbraucherschutzes erforderlich, wenn sie nicht nur Individualinteressen, sondern auch einem kollektiven Verbraucherinteresse dient und eine effektivere Durchsetzung dieses Interesses ermöglicht (BGH aaO). Das Landgericht hat unter Hinweis auf eine (mittlerweile aufgehobene) Entscheidung des OLG Düsseldorf (NJW 2004, 1532) das Vorliegen eines Verbraucherschutzinteresses im vorliegenden Fall zu Unrecht verneint. Der Begriff des Verbraucherschutzinteresses ist dabei entgegen der Auffassung des Klägers (der meint, dass eine nicht überprüfbare Ermessensentscheidung des Verbraucherverbandes vorliege) gerichtlich nachprüfbar. In einem Fall wie dem vorliegenden sprechen mehrere Gründe für eine Bejahung des Verbraucherschutzinteresses. Der Gesetzgeber wollte nicht, dass die Verbraucherschutzverbände zu Lasten von Inkassobüros und Rechtsanwälten in großem Stil Forderungen einziehen und hat deshalb die genannte Einschränkung "wenn dies im Interesse des Verbraucherschutzes erforderlich ist" hinzugefügt. Dabei ist die Geltendmachung und Durchsetzung von Ansprüchen durch Verbraucherschutzverbände geboten, wenn von einem Verstoß nicht nur das Einzelinteresse eines Verbrauchers betroffen ist (Micklitz/Beuchler, NJW 2002, 1502 f). Dies kann im vorliegenden Fall ohne Weiteres gesagt werden. Eine Geltendmachung von mehreren abgetretenen Ansprüchen durch eine Verbraucherzentrale ist im Vergleich zu einer Einzelklage effektiver, da der Verbraucherzentrale regelmäßig wesentlich mehr aussagekräftige und repräsentative Informationen zu der jeweiligen verbraucherrelevanten Frage zur Verfügung stehen, die einen gebündelten und vertieften Sachvortrag ermöglichen. Da indirekt auch das Interesse einer Vielzahl anderer Verbraucher, die mit dem selben Problem konfrontiert sind, gefördert wird, ist es offenbar sinnvoll, förderungswürdig und dem Sinn der Änderung des Artikel 1 § 3 Ziffer 8 des Rechtsberatungsgesetzes entsprechend, wenn in einem Fall wie dem vorliegenden das Vorliegen der Voraussetzungen dieser Bestimmung bejaht wird. Der Kläger weist zu Recht darauf hin, dass er mehrere Sammelklagen erhoben hat, um bestimmte typische Sachverhalte zur Klärung zu unterbreiten, die massenhaft auftreten. Die Bündelung von Ansprüchen hat auch wegen der damit verbundenen Streitwerterhöhung die erstinstanzliche Zuständigkeit des Landgerichts und die Möglichkeit eines Berufungsverfahrens bei einem OLG zur Folge. Ein solcher über den Einzelfall hinausgehender Bezug in Verbindung mit Kostenvorteilen ist danach ausreichend (ebenso Senat im Parallelverfahren betreffend ec-Karten mit Triple-DES Schlüssel 128 Bit mit rechtskräftigem Urteil vom 30.1.2008, Az. 23 U 38/05 – bei juris).
Die vor allem in den USA verbreiteten Kreditkarten mit RFID-Chip lassen sich durch Kleidung und Geldbeutel hindurch kontaktlos auslesen und dann mit Zahlungen belasten, die der Eigentümer eigentlich nicht freigegeben hat. Das demonstrierte Kristin Paget auf der Sicherheitskonferenz Shmoocon in der US-Hauptstadt Washington eindrucksvoll, wie das US-Wirtschaftsmagazin Forbes berichtet. Kreditkartenhersteller sehen jedoch kein gesteigertes Risiko
Kreditkarten setzen immer schon die Sicherheit hinter den Komfort; Missbrauch ist ein kalkuliertes Risiko, das im Wesentlichen der Herausgeber der Karte trägt. So kann ein Kellner beim Bezahlen in einem Restaurant ohne Probleme alle für eine Transaktion erforderlichen Daten von einer Kreditkarte abschreiben und diese danach für eigene Einkäufe im Internet nutzen. Mit den etwa 100 Millionen bereits ausgegebenen RFID-Karten geht das nun auch, ohne dass der Besitzer die Karte aus der Hand gibt – unter Umständen sogar ohne sein Wissen.
Sicherheitsmaßnahmen wie eine Authentifizierung der Lesegeräte sind dabei nicht vorgesehen. Allerdings enthalten die RFID-Daten nicht die dreistellige CVV, die auf der Rückseite der Karte aufgedruckt ist und für Online-Transaktionen eigentlich benötigt wird. Statt dessen liefert der Chip eine Einmal-CVV, die nur für eine Transaktion gültig ist. Mehrfache Verwendung führt zur Sperrung der Karte.
Randy Vanderhoof von der Smart Card Alliance erklärte gegenüber Forbes, er sähe keine neue Gefahr durch kontaktlose Kreditkartenzahlungen; man habe in den sechs Jahren, die das Verfahren eingesetzt wird, noch keine Missbrauchsfälle beobachtet. Das liegt aus seiner Sicht vor allem daran, dass es für Kriminelle schwer wäre, aus diesem Angriffsszenario wirklich Profit zu schlagen.
Angesichts der Tatsache, dass gestohlene Kreditkartendaten typischerweise in Tausender-Stückzahlen verscherbelt werden und dabei eine einzelne nur wenige Dollar kostet, ist diese Einschätzung nicht ganz von der Hand zu weisen. In den USA vermarktet etwa Visa RFID-Kreditkarten als payWave und MasterCard als PayPass; in Deutschland werden sie bisher nicht eingesetzt

References: § 540
 BGH 
 BGH 
 § 411
 Art. 1
 § 3
 BGH 
 Art. 1
 § 3
 § 3