[Urteil] Wenn ein kontaktloser Kredit mit dem „Gemeinsamen Zertifikat“ eines Voice-Phishing-Opfers aufgenommen wurde, liegt die Pflicht zur Prüfung der Identität bei dem Finanzunternehmen

• Ein Voice-Phishing-Täter ließ sich mit den erbeuteten personenbezogenen Daten ein gemeinsames Zertifikat ausstellen und nahm darüber per kontaktloser elektronischer Finanztransaktion einen Kredit auf
• Beim bisherigen „öffentlichen Zertifikat“ wurde das Zertifikat von einer offiziellen Stelle ausgestellt, sodass die Transaktion auch ohne zusätzliches Identifizierungsverfahren wirksam zustande kommt und gegenüber dem Namensträger Wirkung entfaltet (der Kredit muss zurückgezahlt werden)
• Beim gemeinsamen Zertifikat ist das Finanzinstitut verpflichtet, die Identität zwingend über ein Verfahren zur kontaktlosen Prüfung des Klarnamens festzustellen (vorgeschrieben sind sieben Methoden wie die Einreichung einer Kopie eines Identitätsnachweises und ein Videoanruf)
• Daher muss der bei B Capital aufgenommene Kredit nicht zurückgezahlt werden, da dort keine Identitätsprüfung durchgeführt wurde

[minhoryang]

Offenbar waren gemeinsames Zertifikat und öffentliches Zertifikat also doch nicht nur dem Namen nach identisch.

[xguru]

Wenn ich mir die Methoden zur Identitätsprüfung ansehe, müssen von den folgenden fünf zwingend zwei verwendet werden:

• Einreichung einer Kopie des Identitätsnachweises: nach Fotografieren oder Scannen wird sie über einen Dienst zur Echtheitsprüfung von Ausweisdokumenten verifiziert
• Videoanruf
• Prüfung bei Übergabe des Zugangsmediums: bei Übergabe von Geldkarte, Sicherheitskarte oder OTP
• Nutzung eines bestehenden Kontos: Identitätsprüfung durch Überweisung eines Kleinbetrags auf ein bestehendes Transaktionskonto
• Sonstiges: Authentifizierungstechnologien mit vergleichbarer Vertrauenswürdigkeit wie biometrische Verfahren, etwa Fingerabdruck- oder Venen-Erkennung
  Zusätzlich werden noch zwei weitere Methoden empfohlen:
• Abgleich mehrerer personenbezogener Daten: Vergleich der vom Kunden angegebenen personenbezogenen Daten mit den bei einer Kreditauskunftei gespeicherten Informationen
• Nutzung von Prüfergebnissen anderer Stellen: etwa über gemeinsames Zertifikat, Mobiltelefon oder i-PIN

Offenbar sollte man inzwischen auch nicht mehr wahllos Scans von Ausweisen verlangen; es kommt ja recht häufig vor, dass man nicht über eine App, sondern per Handyfoto darum gebeten wird, sie zu schicken..