Vor kurzem wurde ich von einem Kunden auf den Dienstleister Sofortüberweisung angesprochen, da er für sein Shop-System ein passendes Modul haben möchte. Das sollte kein Problem darstellen, also hab ich mir mal die Seite angeschaut. Programmiertechnisch ist das alles kein Problem, es existieren schöne Schnittstellen.
Aber halte ich den Service für gut? Aus Sicht des Shopbetreibers ist er natürlich super! Das Konzept hinter dem Angebot besteht darin, dass der Kunde direkt nach der Bestellung eine Überweisung tätigt und der Shopbetreiber anschließend sofort über die Überweisung informiert werden soll. Dadurch ist eine äußerst schnelle Lieferung möglich. Im Gegensatz zu Lastschriftverfahren ist das Geld auch relativ sicher da. Also super!
Das Problem ist jedoch, dass die Überweisung auf einer fremden Seite stattfindet, nämlich auf den Seiten von Sofortüberweisung. Nur so ist eine Benachrichtigung des Shopbetreibers möglich. Um jedoch eine Überweisung online tätigen zu können, bedarf es einer PIN und einer TAN. Und die soll man nun auf Sofortüberweisung angeben.
Klar, ganz kritisch gesehen könnte man jetzt sagen, wer verspricht mir, dass da nicht mehr überwiesen wird. Dafür gibt es extra eine Versicherung. Das wollen wir einfach nun mal so akzeptieren. ABER: Wer verspricht mir, dass die PIN nicht gespeichert wurde? Wer verspricht mir, dass niemand meinen Konto-Status abrufen kann? Das sind für Marketing-Leute sicher äußerst interessante Informationen! Auch wenn das Verfahren TÜV-geprüft wurde, wer verspricht mir, dass an der Software nichts geändert wird? Reichen hier Stichpunktproben des TÜVs aus? Zumal auch Lücken in entsprechenden Shop-Systemen existieren könnten, die auf gefakte Seiten weiterleiten. Welchem Benutzer fällt das auf? Ich sehe das sehr kritisch! Und deshalb find ich das Angebot für Shops auch für recht ungeeignet.
Gehen wir mal davon aus, dass das System perfekt ist und ein Missbrauch absolut ausgeschlossen ist. Was soll denn bitte ein Kunde von meinem Shop halten, wenn er da seine PIN und TAN angeben soll, obwohl von Banken immer geraten wird, dass man das wegen Phishing-Betrug eben nicht machen soll. Wird mein Shop damit nicht in gewisser Weise unseriös?
Mit Phishing-Problemen im Hinterkopf ist dieses Verfahren einfach ungeeignet.
- Man soll PIN und TAN nur bei Bank-Seiten angeben
- Man soll die Adresse der Bank immer nur selber eingeben. Weiterleitung nicht trauen!
Also ist auch ein entsprechendes System von Banken ungeeignet (aufgrund der Weiterleitung). Seh ich das zu kritisch?
Ich werde meine Kunden zukünftig zumindest auf das Angebot aufmerksam machen, da es für Shopbetreiber aufgrund der der Zahlungssicherheit ein sehr interessantes Angebot ist. Abwägen müssen sie selber.