Ich habe gerade beim Webshop von GRAVIS mir ein neues Spielzeug aus Alu mit einem angebissenen Apfel drauf bestellt. Wie üblich (und für mich die einzig akzeptable Variante) hab ich mit Kreditkarte bezahlt. Während des Eingebens der Informationen hab ich natürlich ein paar Sachen überprüft. Und es war alles in Ordnung. Die Adressleiste zeigte das wichtige “s” und das grüne Sicherheitssymbol wurde auch angezeigt.
Kurz nach der Bestellung kam dann der Schock per Mail:
Bei Erstbestellung über Kreditkarte benötigen wir einmalig von Ihnen (zu Ihrer eigenen und zu unserer Sicherheit) eine beidseitige Kopie Ihrer Kreditkarte und Ihres Personalausweises. Bitte übersenden Sie uns eine PDF-Datei per e-mail oder faxen Sie diese Unterlagen an die Fax-Nummer 030-xxx xx xxxx. Geben Sie bitte die Ref-Nummer Ihrer Webstore-Bestellung an. Alternativ ist die Zahlung per Nachnahme oder per Vorauskasse möglich.
Ich soll also so sensible Daten wie meine Kreditkarte über ein unverschlüsseltes Medium wie e-mail oder Fax versenden? Das ist einfach nur: “Security done wrong”. Wie war das mit E-Mails sind wie Postkarten? Seit wann ist Fax verschlüsselt? Ich hab natürlich sofort den Support angerufen und mir wurde dann als Möglichkeit die Pseudoverschlüsselung von PDF empfohlen. Eine symmetrische Verschlüsselung. Wie bitteschön soll dann der Schlüssel auf sicherem Weg zum Händler gelangen?
Ich akzeptiere ja ohne weiteres die Kopie des Personalausweises. Das ist akzeptabel und auch nachvollziehbar. Aber eine Kopie der Kreditkarte über ein unverschlüsseltes Medium ist nun mal nicht “zu meiner eigenen Sicherheit”.
Wäre ich über diesen Punkt vor dem Bestellen informiert worden, so hätte ich bei dem Händler nicht bestellt, sondern direkt beim Hersteller.