Mutantenstadl

»Es ist ein Grundversprechen des Kapitalismus, das man von Adam Smith bis Ludwig Erhard immer wieder wiederholt findet, dass uns die Effizienz des Systems vom Existenzkampf entlastet, dass wir die Freiheit gewinnen, ein selbstbestimmtes Leben zu führen. Der Wettbewerb, der diesem effizienten System zu Grunde liegt, hat sich jetzt allerdings so verselbständigt, dass eben diese Freiheiten wieder wegzubrechen drohen, dass sie erodieren, weil wir immer mehr unserer Energien in die Aufrechterhaltung unserer Wettbewerbsfähigkeit investieren müssen.« (Hartmut Rosa, Soziologe)

cracked.com liefert eine Liste der zwanzig kitschigsten Produktideen im Marktsegment religiöser Lobpreisung, vom Videospiel »Bibleman« bis zu Jesus-Püpp... äh... Jesus-Äktschnfiguren (inkl. Dornenkrone!), von »Armee Gottes«-Schlafanzügen bis zum Papstkuchen.

Nachtrag, 6. Juli 2008: Isotopp mag religiösen Nippes anscheinend auch.

Nach einigen Jahren Abstinenz hab ich eben, nach einer DVD von Magnolia Pictures fahndend, einen kanadischen Webshop (dvdboxoffice.com) besucht, bei dem ich früher mal aufgrund seiner kundenfreundlichen Geschäftspraktiken sehr gern bestellt hab: die DVDs kamen versandkostenfrei und per Remailing aus der EU, was mir das umständliche Rumgefuddel mit dem Zoll ersparte.

Die gesuchte DVD (interessanterweise eine Dokumentation über die Machenschaften von Kreditkartenfirmen, »Maxed Out«) war im Angebot, mein vergessenes Passwort bekam ich nach Eingabe meiner Mailadresse binnen Sekunden zugeschickt, ich gab meine aktuellen Kreditkartendaten ein und bestellte. Dann wollte ich mein Passwort wechseln, aber ich fand im neuen, bunten Webshopsystem keine entsprechende Funktion.

Auf Anfrage teilte mir der Kundenservice mit, dass ich mein Passwort nicht selbst ändern könne — ich solle mein gewünschtes neues Passwort doch einfach per Mail an den Service schicken, es würde dann für mich geändert. Das war fischig genug, um bei mir das Bedürfnis zu wecken, meine Kreditkarteninformationen in diesem Laden nicht permanent gespeichert zu sehen. Natürlich war es nicht möglich, die einmal eingebenen Daten selbst zu löschen.

Misstrauisch, wie ich nun mal bin, ging ich mal testweise einen weiteren Bestellvorgang durch und kam bis zur Meldung »Click to complete your order«, ohne dass ich nach dem CVV2 gefragt wurde, dem »Sicherheitscode«, der, zumindest nach den Richtlinien der Kreditkarteninstitute, zur Sicherheit des Kunden eben nicht gespeichert werden soll.

Will ich, dass jeder, der die unverschlüsselte Mail mit meinem Passwort einsehen konnte, bei diesem Laden auf meine Kosten DVDs, Spiele oder auch ‘ne PS3 bestellt? Das war für mich Paranoiker Grund genug, die Karte präventiv sperren zu lassen. Meine Bank und den Kreditkartensperrdienst haben die genauen Umstände nicht interessiert, die heften den Kartentausch einfach unter »Missbrauchsverdacht« ab und schicken mir binnen einiger Tage ‘ne frische Karte.

Ich hab die Kreditkartengesellschaft auch mal direkt angeschrieben — ein Kontaktformular kann man sich auf der deutschen MasterCard-Seite leider nicht leisten, drum hab ich mich an die Mailadresse gewandt, die im Impressum versteckt war. Mal sehen, ob und wo Mail an »frankfurt@mastercard.com« ankommt und ob die Sicherheitsbemühungen der Kreditkartenhaie bloße Augenwischerei sind oder ob sie ihre selbst festgesetzten Sicherheitsregeln auch tatsächlich durchsetzen.

Ja, natürlich kann ich mir das auch selbst beantworten: der Payment Card Industry Data Security Standard (PCI DSS, verlinkt im Wikipedia-Eintrag zu CVV2) untersagt die Speicherung des Sicherheitscodes ausdrücklich, aber trotzdem muss ich ihn bei Blizzard nicht jeden Monat frisch eingeben, obwohl ich monatlich für WoW zahle. QED.

Nachtrag, 22. Februar 2008: (zu Franks Hinweis, wie sorglos er mit seiner Kreditkarte umgeht) Ich benutze meine Kreditkarte ausschließlich im Internet, ich hab sie ja extra dafür angeschafft. Im echten Leben bezahle ich, wenn irgend möglich, in bar, in Notfällen mit der EC-Karte — wobei ich dabei schon ein maues Gefühl habe: die modernen Kassen- und Warenwirtschaftssysteme sammeln so schon genug Informationen über mein Einkaufsverhalten, diese Daten müssen nicht auch noch personalisiert werden.

Wenn ich mal das gute, alte »Juden im Dritten Reich verstecken«-Beispiel heranziehen darf: falls ich nach der Revolution zu der Gruppe von Menschen gehöre, die aus Mitgefühl einem Manager eines DAX-Unternehmens in ihrem Keller Asyl gewähren, wäre es schade, wenn die Behörden das bloß durch Abgleich von Lebensmitteleinkäufen feststellen könnten. Solange man sich nicht schon durch die bloße Benutzung von Bargeld verdächtig macht, verzichte ich gern darauf, aktiv zur Sammlung von Daten über mich beizutragen...

Hmmm, ja, okay, das ist etwas schizophren, da die postrevolutionären Sicherheitsbehörden ja bloß nach »DAX-Manager im Keller« googeln müssten, um mich zu finden... aber dass ich paranoid bin, heißt ja noch lange nicht, dass ich nicht auch schizophren sein darf.

MasterCard hat übrigens sehr freundlich und kompetent geantwortet und das Fehlen eines Kontaktformulars damit erklärt, dass der Ansprechpartner des Kunden in den meisten Fällen die kartenausgebende Bank, bzw. der als »Karteninhaberservice« oder »Kundenservice« auftretende »Prozessor« ist. Zum Speichern des CVV2 schreibt das »MasterCard Europe Team«:

Die Abfrage der Kartenprüfnummer erhöht die Sicherheit von sogenannten »card-not-present« Kreditkartentransaktionen. In der Tat fordert MasterCard von den Akzeptanzstellen, dass diese die Kartenprüfnummer nicht speichern dürfen. Die Kartenprüfnummer ist jedoch kein geheimes Sicherheitsmerkmal wie die PIN, welches vom Karteninhaber vertraulich zu halten ist und hat somit auch keinen Einfluss auf Ihre Rückbelastungsrechte als Kunde im Falle von Kreditkartenmißbrauch.

Sprich: den CVV2 im Rahmen einer Transaktion auf einer Webseite einzugeben gilt an sich noch nicht als Verletzung der Sorgfaltspflicht, man muss als Kunde also nicht schon aus Prinzip in vollem Umfang für daraus folgenden Missbrauch haften, sondern die Haftung beschränkt sich auf die übliche »Selbstbeteiligung« (in meinem Fall €50 pro Missbrauch).

Das hätte ich auch nicht anders erwartet, die Aussage lässt aber offen, wie es sich mit der Haftung des Kunden verhält, wenn eine »Akzeptanzstelle« (also z.B. ein Onlineshop, der Kartenzahlung akzeptiert) den CVV2 — entgegen der Vorgaben der Kreditkartenunternehmen — speichert, die Daten in falsche Hände geraten und so Missbrauch stattfinden kann, der ohne CVV2 nicht möglich gewesen wäre.

Hafte ich dann für jeden Missbrauchsfall mit €50 bis sie mir auf dem Kontoauszug auffallen? Bis dahin könnte sich ja schon einiges an Transaktionen angesammelt haben...

Peter Mühlbauer weist in »Bestrafe einen und warne hundert« darauf hin, dass man die Steuerhinterzieher womöglich absichtlich vorgewarnt hat:

Das Argument der mangelnden Personalkapazitäten kann insofern nicht überzeugen, als gleichzeitig zahlreiche Hausdurchsuchungen wegen angeblicher Urheberrechtsverletzungen in Filesharing-Netzwerken stattfinden, für die offenbar Ressourcen vorhanden ist.

Man muss halt seine Prioritäten haben!

Nachtrag, 22. Februar 2008: (Zu Franks Hinweis in den Kommentaren auf den Panorama-Beitrag zu Hausdurchsuchungen...) Auf YouTube findet man unter dem Suchwort »Hausdurchsuchung« einen sehr unterhaltsamen Vortrag des Düsseldorfer Strafverteidigers Udo Vetter anlässlich des vorletzten CCC-Kongresses 23C3: »Sie haben das Recht zu schweigen«. Guckbefehl! Der Vortrag ist nicht nur wichtig für die Menschen, die wissen wollen, wie man sich im Falle einer Hausdurchsuchung verhält, sondern auch für jene, die sich dafür interessieren, wie unsere theoretischen Rechte in der Praxis dieses »Rechtsstaats« ausgelegt und ignoriert werden. Ein paar aufschlussreiche Zitate aus den ersten zwanzig Minuten des Vortrags:

Eigentlich reicht ein »Anfangsverdacht« für eine Hausdurchsuchung nicht aus [...]. Nach meiner zehnjährigen Erfahrung kann ich nur sagen: Glauben Sie nicht daran, es genügt der Anfangsverdacht. Dieser ist so gering, dass im Prinzip jeder der einen PC zuhause stehen hat, der ans World Wide Web angeschlossen ist [...], sehr schnell Opfer einer Hausdurchsuchung werden kann.

Niemand muss bei der Polizei erscheinen, selbst wenn auf dem Briefbogen das Wort »Vorladung« steht. Ein Polizist, der Sie möglicherweise anruft und fragt, warum Sie denn nicht zu dem Vernehmungstermin gekommen sind, wird Ihnen vielleicht etwas anderes erzählen. Es steht in der Tat so in der Strafprozessordnung drin, dass niemand bei der Polizei erscheinen muss.

Der Bundesgerichtshof hat glücklicherweise vor zwei Jahren entschieden, dass die extensiven Durchsuchungen ohne Durchsuchungsbeschluss mit der Berufung auf »Gefahr im Verzuge« so nicht mehr hinnehmbar seien. Die Praxis war bis vor zwei Jahren etwa diese, dass die Polizeibeamten in der Regel überhaupt keinen Durchsuchungsbeschluss eingeholt haben, weil man »Gefahr im Verzuge« ja immer irgendwie begründen kann: »Der Beschuldigte fährt morgen in Urlaub« oder, im Zweifel, »Der Kriminalbeamte fährt morgen in Urlaub.« [...] Jetzt ist die Regel, dass es erforderlich ist, vorher einen Beschluss einzuholen — das hat sich bei so 30 bis 35% der Polizisten in unserem Land bereits rumgesprochen. Das Urteil ist ja auch erst zwei Jahre alt.

[Im Durchsuchungsbeschluss] muss eine Beschreibung des Tatverdachtes drinstehen, d.h. dieser Tatverdacht muss so erklärt sein, dass man sagt, wann Sie was wo gemacht haben sollen und welcher Straftatbestand dadurch verwirklicht sein soll. [...] Die Ermittlungsrichter [vor Ort] zeichnen sich dadurch aus, dass sie ihren Job nicht machen wollen, keine Lust haben, überlastet sind oder das ganze nicht ernst nehmen, weil sie ja sowieso wissen, dass es letztendlich nicht darauf ankommen wird. D.h. es steht nichts drin. Typische Formulierungen für Beschlüsse sind z.B. »Der Beschuldigte ist einer Straftat hinreichend verdächtig. Die Durchsuchung soll zur Auffindung von Beweismitteln führen.«

Nachtrag, 29. Juli 2008: Law prof and cop agree: never ever ever ever ever ever ever talk to the cops about a crime, even if you’re innocent

Ja, es kann eine Quälerei sein, wenn man in diesem Blog seinen Senf in Form eines Kommentars dazugeben will. Man muss Captchas eintippen, Zeitlimits beachten, auf bestimmte Stichworte verzichten und dann auch noch die Moderation durch mich abwarten. Ist das nicht der totale Overkill?

Ich hab das Spamblock-Plugin eben mal testweise abgestellt. Und zehn Minuten lang zugesehen, wie pro Minute etwa ein bis zwei Kommentare zur Moderation in meinem Postfach aufschlugen. Ich hab ganz schön gestaunt. Ich nahm an, dass mir das Plugin täglich vielleicht ein Dutzend Klicks auf »Ablehnen« erspart... ich hab die Menge an Spam, die hier inzwischen aufschlägt, offensichtlich total unterschätzt.

Ich werde in den nächsten Tagen an den Einstellungen des Plugins rumspielen, in der Hoffnung, dass ich eine Einstellung finde, die Frank ungestört alle seine Kommentare posten lässt und mir trotzdem den Großteil des maschinellen Spams erspart. Der manuelle SEO-Spam (Kurzkommentare à la »Ja, das finde ich auch!«, garniert mit einem Link auf »www.duschvorhangösen.de«) hält sich glücklicherweise in Grenzen.

Nachtrag, 13. April 2008: Die Einträge von Kommentarspammern nehmen zu. Da alle Kommentare in diesem Blog moderiert werden, entferne ich vor der Freigabe die URL und veröffentliche künftig gleichzeitig die Mailadresse, die die Spammer angeben, damit die Mailadressensuchbots sie finden und die Spammer sich gegenseitig zuspammen können.