Authentifizierung bei 1&1: Die höchsten Sicherheitsvorschriften Deutschlands

[Team IT]

Telefonischer Service bei 1&1: eigentlich schon immer eine Katastrophe, trotz irgendwelcher Service Versprechen.

Highlight letzte Woche: Für die Tochter einen 1&1 Vertrag abgeschlossen, alle Daten von ihr hinterlegt, Account angelegt usw.
Meine Mobilnummer für Schaltung hinterlegt. Schaltungstermin kommt, Techniker nett meldet sich, schließt an, alles läuft.

So: dann festgestellt, es ist nur ein 50/10 Profil in München, obwohl 50/20 bestellt.

Angerufen bei der 1&1 Hotline, Name, Anschrift, Auftragsnummer, Vertragsnummer, Vertrags PIN, Geburtsdatum und meine eigene Mobilfunknummer genannt:

1&1: "Achso, sie klingen ja wie ein Mann, der Vorname klingt aber wie eine Frau."
Ich: "Ja, das ist meine Tochter, ich habe ja alle Daten, zudem ist am Account meine eigene Handynummer hinterlegt."
1&1: "Achso ne, dann muss schon ihre Tochter anrufen oder Sie schicken uns ne Vollmacht per Brief oder Fax von ihr."
Ich: "Das ist nicht Ihr Ernst, ich hab doch alle Daten und meine Tochter kennt sich damit nicht aus, daher rufe ich ja an. Ich will am Vertrag ja gar nichts ändern, ich brauche technische Hilfe. Wofür gibt es dann diese Service PIN?"
1&1: "Wir haben hier sehr strenge Sicherheitsvorschriften und wir nehmen das wirklich ernst. Ich darf das nicht machen, ich will meinen Arbeitsplatz bei 1&1 behalten."
Ich: "Ok, was kann man machen, damit ich es jetzt telefonisch machen kann."
1&1: "Dann muss Ihre Tochter jetzt ans Telefon kommen."

Ich bin dummerweise im Büro. Nagut, ins Nebenzimmer, eine weibliche Kollegin gefragt und zurück ins Büro.

Ich: "So, meine Tochter ist jetzt da. Ich geb mal den Hörer weiter."
Hörer an Kollegin weitergegeben.
1&1: "Hallo, hier ist 1&1, ich muss Sie eben mal authentifizieren. Können Sie bitte mal Ihren Vor- und Zunamen nennen."
Meine Kollegin: "Ja gerne, mein Name ist Vornametochter Nachnametochter."
1&1: "Ach super, das hat ja toll geklappt. Danke! Jetzt kann ich weitermachen mit Ihrem Vater."

(durch Weiterleiten in verschiedene Abteilungen hat sich das gleiche Schauspiel dann noch dreimal wiederholt)

 

[Skudrinka]

Und jetzt?

Du beschwerst dich Grad nicht wirklich über Datenschutz?!

Ergänzung (24. November 2024)

1und1 hat hier vorbildlich gehandelt!

 

[tRITON]

Ja und jetzt ? Ich finde gut, das nicht jeder für jemanden dessen Namen man kennt Dinge ändern kann. Ein Entstörungsticket sollte aber möglich sein.

Ich nehme an die Tochter ist volljährig? Daher ist sie eben der Vertragspartner.

 

[Rickmer]

1und1 hat hier vorbildlich gehandelt!

Höchstens auf Papier, wie die weibliche Kollegin bewiesen hat.

Entweder man geht in die Vollen aber dann braucht es mehr als nur 'klingt weiblich' oder man lässt es sein und der Service PIN reicht als Beweis, dass man für das Konto autorisiert ist.

 

[Skudrinka]

öchstens auf Papier, wie die weibliche Kollegin bewiesen hat.

Mehr können sie eben nicht tun.
Aber wenn angegebener Name nicht zum Geschlecht "passt", dann ist dass mMn. schon ein Grund nachzufragen.

 

[cartridge_case]

1&1: "Achso, sie klingen ja wie ein Mann, der Vorname klingt aber wie eine Frau."

Da hättest du schon abkürzen müssen: Heute ist alles möglich.

 

[Rickmer]

Aber wenn angegebener Name nicht zum geschlecht "passt", dann ist dass mMn. Schon ein Grund nachzufragen.

Nö. Es gibt durchaus Stimmen die passen überhaupt nicht zum Erscheinungsbild.

Hier, mach die Augen zu und sag mir ob ein Mann oder eine Frau singt:

YouTube

An dieser Stelle steht ein externer Inhalt von YouTube, der den Forumbeitrag ergänzt. Er kann mit einem Klick geladen und auch wieder ausgeblendet werden.

YouTube-Embeds laden

Ich bin damit einverstanden, dass YouTube-Embeds geladen werden. Dabei können personen­bezogene Daten an YouTube übermittelt werden. Mehr dazu in der Datenschutzerklärung.

YouTube-Embeds laden

Datenschutzerklärung

Und natürlich gibt es Möglichkeiten die Stimme zu fälschen und nicht erst seit 'AI'.
Beispiel (mit Zeitstempel):

YouTube

An dieser Stelle steht ein externer Inhalt von YouTube, der den Forumbeitrag ergänzt. Er kann mit einem Klick geladen und auch wieder ausgeblendet werden.

YouTube-Embeds laden

Ich bin damit einverstanden, dass YouTube-Embeds geladen werden. Dabei können personen­bezogene Daten an YouTube übermittelt werden. Mehr dazu in der Datenschutzerklärung.

YouTube-Embeds laden

Datenschutzerklärung

 

[Zer0DEV]

@Team IT Hier die "Hintergründe" warum das so ist...
https://www.datenschutz-praxis.de/pleiten-pech-pannen/11-eine-geldbusse-schrumpft-vor-gericht/

1&1 hat aus den eigenen Fehlern augenscheinlich gelernt.

 

[kachiri]

Und deine Tochter kann volljährig nicht selbst telefonieren oder Verträge abschließen?

 

[Eletron]

Warum nicht einfach eine Vollmacht hinterlegen? Die Mitarbeiterin von 1&1 hätte noch das Geburtsdatum abfragen müssen bzw. gemäß SIKO vorgehen müssen.

Aber ich möchte ihr keinen Vorwurf machen, da ich nicht weiß, welche Daten man anhand des Vertrages hätte abfragen können.

Deine Tochter ist hier der Vertragspartner, also müsste sie sich um diese Belange kümmern. Wenn du das freundlicherweise machst, dann reiche o. g. Vollmacht ein.

 

[Team IT]

@Team IT Hier die "Hintergründe" warum das so ist...
https://www.datenschutz-praxis.de/pleiten-pech-pannen/11-eine-geldbusse-schrumpft-vor-gericht/

1&1 hat aus den eigenen Fehlern augenscheinlich gelernt.

Danke, interessant!

 

[Matthias80]

Ist lästig ja. Aber gegen Betrug... Ich versteh dein Problem nicht.

 

[Kuristina]

Meine Kollegin: "Ja gerne, mein Name ist Vornametochter Nachnametochter."
1&1: "Ach super, das hat ja toll geklappt. Danke! Jetzt kann ich weitermachen mit Ihrem Vater."

Wow. Also alles davor für die Katz. ^^

 

[Ja_Ge]

Damit ich das richtig verstehe, die Kollegin beginnt mit deiner Gutheißung Identitätsdiebstal und du beschwerst dich über 1&1? 1&1 hat hier alles richtig gemacht, hätte deine Kollegin ohne dich angerufen und sich für deine Tochter ausgegeben, hätte sie den Service-Pin nicht gehabt und währe bei der Identifizierung gescheitert. Bei Vertragsabschluss wurde dieser Art von Authentifizierung sowie der nicht – Weitergabe der Service-Pin zugestimmt. Daher zündet der Vorwurf hier nicht.

 

[Mosed]

Dreh die Situation doch mal um. Stell dir vor deine Tochter ruft bei einem deiner Vertragspartner an, authentifiziert sich mit den nötigen Informationen, und ändert deinen Vertrag oder lässt sich Informationen über deinen Vertrag rausgeben.

Würdest du das dann in Ordnung finden, weil deine Tochter ja die "nötigen Daten" für einen Datenabruf hatte?
Ich denke da würdest du dich beschweren...

Völlig korrekt von 1&1 keine Auskunft etc zu geben, nur weil du die Daten des Vertragspartners hast - die hätte sich ja auch ein beliebiger Hacker organisieren können...
Der einzige Fehler war, dann eine beliebige weibliche Stimme mit der Kenntnis über den Namen als autorisiert zu betrachten.


Wo es mir gerade einfällt: Würde deine volljährige Tochter im Krankenhaus landen, dürften die Ärzte dir keinerlei Auskunft über ihren Zustand geben ohne entsprechende Vollmacht. Rein rechtlich betrachtet. Nur um mal einen Eindruck über das Thema Datenschutz zu geben.
Das du der Vater bist ist völlig irrelevant, sobald das Kind erwachsen ist.

 

[xeonking]

Wow. Also alles davor für die Katz. ^^

Was willst du sonst alles machen? Schuhgröße? Ich finde das vorgehen mehr als legitim und sicherlich kein Grund das man dafür hier so ein Fass auf macht. Lieber sollte man sich doch freuen das überhaupt mal irgendwie was hinterfragt wird. Und ich vermute das die Dame, die sich dann als Tochter ausgegeben hat, nur ausgereicht hat weil die Pin auch vorhanden war.

gruß

 

[Rickmer]

Würdest du das dann in Ordnung finden, weil deine Tochter ja die "nötigen Daten" für einen Datenabruf hatte?
Ich denke da würdest du dich beschweren...

Der Service-Pin ist im Online-Portal einzusehen.
Dasselbe Portal wo man auch über die UI ohne Anruf Verträge anpassen oder kündigen kann.

Entweder die Tochter hat eh schon den Zugriff oder die hat auch den Service Pin nicht.

Völlig korrekt von 1&1 keine Auskunft etc zu geben, nur weil du die Daten des Vertragspartners hast - die hätte sich ja auch ein beliebiger Hacker organisieren können...

Wenn dein beliebiger Hacker schon im Online-Portal ist, ist die Katze auch aus dem Sack.

Was willst du sonst alles machen? Schuhgröße?

Stimmenerkennung auf Basis einer Sprachaufnahme oder es sein lassen.

 

[Ja_Ge]

1&1 schreibt doch klar, dass die PIN zur Authentifizierung ausreicht. Die Stimme war halt nicht glaubwürdig. Zudem gibt es ja auch noch die E-Mail – Verifizierung. Damit ist ein heimliches Ändern fremder Verträge so einfach mal nicht möglich.

 

[Mosed]

Entweder die Tochter hat eh schon den Zugriff oder die hat auch den Service Pin nicht.

Es geht ja darum, dass erkannt wurde, dass nicht der Vertragspartner eine Auskunft/Änderung vornehmen möchte. Und das ist logischweise abzulehnen.

Wenn jemand die Zugangsdaten für das Online-Portal hat, kann man natürlich nichts dagegen machen.

Die Service-Pin soll ja eine Absicherung sein und ist keine allgemeingültig benutzbare Authentifizierung für jedermann.

 

[Key³]

Das ist nicht nur bei 1&1 so, das betrifft auch die ENBW, O2, Telekom, Stadtwerke,1&1, Allianz, fast überall wo eben sie (meine Frau) als Vertragspartner drin stand nur weil sie etwas jünger als ich ist haben wir damals noch viel über die junge Leute Tarife gemacht als es damals noch ging.
Im Laufe der Jahre hab ich das dann immer Mal wieder ausgewechselt wenn der Tarif im Nachgang unattraktiv wurden.

So ziemlich überall hat sie zumindest mal Hallo sagen müssen und das Passwort/Pin da ich viel von Ehepartner und co erzählen kann und es offensichtlich war, dass ich definitiv nicht sie bin. Klar ich hätte in ihrer Abwesenheit auch mal kurz den Text von meiner Nachbarin aufsagen lassen können, da wären sie drauf reingefallen bestimmt, aber alles in allem fand ich es gut das sie zumindest Mal das offensichtliche unterbinden.

Also keine Ahnung warum du dich beschwerst, auch wenn deine Tochter keine Ahnung hat, sollte Sie wenn sie schon alleiniger Vertragspartner ist, wenigstens mal Hallo sagen am Telefon oder der Filiale. Sofern man es nicht online hinbekommt, das wäre in deinem Fall gegangen.