Blickpunkte

Das Tempo der technischen Entwicklungen rund um Digitalisierung können Unternehmen, Behörden und Organisationen vielfach kaum mithalten. Noch bedenklicher ist es, dass dort, wo dies versucht wird, häufig die Prozesse nicht entsprechend und entsprechend umsichtig nachgezogen werden. In solchen Fällen steigt das Risiko enorm, für Unternehmen und deren Kunden. Und nur wenigen ist das bewusst.

Ein Paket bei der Post abholen birgt Risiken

Ein EMS Paket kann nicht zugestellt werden, da der Adressat nicht anzutreffen ist. Der Postbote hinterlässt eine Benachrichtigung. Mit dieser Benachrichtigung fährt der Adressat Tage später zur Post, um dort sein EMS Paket abzuholen. Ein bisher unproblematischer Vorgang. Der Postangestellte scannt den Barcode des Abholscheins und holt, wie gewöhnlich, das Paket aus dem Lager. Dieses Mal allerdings wird die Identität des Adressaten nicht nur durch Vorlage eines Passes festgestellt, sondern der Pass wird zudem eingescannt, d.h. digital erfasst und abgespeichert. Dann wird der Adressat aufgefordert, auf einem digitalen Unterschriften-Pad zu unterschreiben. Der Adressat, der gewohnt war, den Zustellbeleg analog zu unterschreiben, stellt fest, dass am Unterschriften-Pad ausschließlich die Ausweisnummer und das Geburtsdatum angeführt wurde, nicht jedoch die Paketnummer. Damit ist für den Adressaten die Unterschrift nicht überprüfbar der EMS zugeordnet. Es wäre im Grunde eine digitale Blanko-Unterschrift, die er leisten sollte. Das verweigert er. Die Reaktion des Postangestellten: „Sie sind vielleicht kompliziert”.

Ein Abteilungsleiter wird bemüht. Dieser stellt zu seinem Erstaunen fest, dass das wirklich einer Blanko-Unterschrift gleich käme. Er ist verwundert, warum das im Unternehmen und auch bislang noch keinem Kunden aufgefallen war. Zudem erweist sich der Umstand als bedenklich, dass für diesen Vorgang keinerlei Quittung vorgesehen ist. D.h. der Kunde erhält das Paket und damit hat es sich. Er erhält keine Kopie des Vorgang mit seiner Unterschrift.

Theoretisch könnte der Adressat bei einem Systemfehler oder einer Manipulation alles Mögliche unterschrieben haben, je nachdem, welchem Vorgang die digitalisierte Blanko-Unterschrift zugeordnet werden würde. Ohne Beleg könnte er noch nicht einmal nachweisen, dass sich seine Unterschrift auf ein EMS Paket bezog.

Aus Kundensicht, der keinen Einblick in die digitale, durch Software gesteuerte Verarbeitung seiner personenbezogenen Daten und der Signatur hat, ist diese Intransparenz eine Zumutung, umso mehr, als die Angestellten ebenso wenig Ahnung davon haben und keine Auskunft geben können.

Prozesse nicht zu Ende gedacht

Zweifelsohne dürfte die Post davon überzeugt sein, dass durch die Digitalisierung Verwaltungsvorgänge vereinfacht würden, dass damit Kosten eingespart werden könnten und zudem das Problem ausgeräumt wäre, dass Postangestellte bei der Überprüfung der Identität womöglich nicht sorgsam genug sein könnten und Pakete Abholern übergeben, die dafür nicht autorisiert sind.

Aber es gleicht einer "Hau drauf" Methode, das technisch Implementierbare einzusetzen, ohne sich über den Kontext und die möglichen Konsequenzen Gedanken zu machen. Kunden unnötig einem Risiko auszusetzen ist alles andere als kundenorientiert. Das Unternehmen diesem Risiko auszusetzen ist ebenfalls bedenklich.

Digitale Signatur — ohne juristisches Fachwissen eine Herausforderung

Es ist zu vermuten, dass der überwiegende Teil derer, die Ihre Unterschrift über ein Unterschriften-Pad leisten, eine sog. „Handy-Signatur” oder die Bürgerkarte nutzen oder leichtfertig mit ihren eingescannten Unterschriften in offenen Dokumenten hantieren, dass eben sehr viele dies ohne zu überlegen, naiv tun. Noch halten sich die Missbrauchsfälle in Grenzen und noch gelingt es, Informationen dazu niederschwellig  und aus den Medien heraus zu halten. Das wird so sicherlich nicht bleiben.

Obwohl selbst der ORF darstellen konnte, dass die Handy-Signatur bei naivem Gebrauch des Mobiltelefons und im Umgang mit sog. Phishing Versuchen unsicher ist, beteuert A-Trust, dass diese sicher sei - und unterschlägt dabei, dass damit das Risiko für den Nutzer nicht ausgeschlossen ist, sondern er allein die Folgen bei einem Missbrauch zu tragen habe. Wer aber unter den Mobilfunknutzern hat überhaupt so etwas wie ein Sicherheitsbewusstsein, was das Mobilfunkgerät angeht und wie viele wissen sich wirklich zu schützen? Wie viele wissen, dass dies letztlich nicht wirklich gelingen kann, wenn Kriminelle es darauf anlegen?

Ich denke, dass kaum ein Bürger mehr bereit wäre, irgendein Dokument elektronisch zu unterzeichnen. Es fragt sich nun, ob ein Staat mit seiner Sorgfaltspflicht den Bürgern gegenüber hier nicht dringenden Handlungsbedarf hätte.

Vor allem aber sollte eines außer Diskussion stehen: Es muss jedem Bürger ohne irgendwelche Nachteile möglich sein, ausschließlich handisch zu unterschreiben und sich der elektronischen und digitalen Signatur zu enthalten.

____

Informationen dazu:

• Elektronische Signatur - allgemeiner Überblick - WKO.at
• Die qualifizierte Signatur im Detail - WKO.at

Unter dem Vorwand der Verifizierung werden sensible Daten abgefischt

Dass Airbnb jede Menge Daten sammeln will, um ein möglichst spezifisches Bild der Kunden zu bekommen, kann ich nachvollziehen. Warum Menschen einem Unternehmen in den USA persönliche Daten in einer Qualität zur Verfügung stellen, die für einen Identitätsdiebstahl geradezu prädestiniert sind, bleibt mir ein Rätsel.

Bislang war die Buchung über Airbnb relativ unkompliziert und es war nachvollziehbar, warum bestimmte Daten bei der Buchung bekanntgegeben werden mussten. Nun geht Airbnb deutlich darüber hinaus. Dabei wird dem Benutzer eingangs nicht mitgeteilt, welche Informationen letztlich gefordert werden. Das enthüllt sich erst Schritt für Schritt. Anders als im e-commerce vorgesehen, gibt es auch keine Möglichkeit den Verifizierungsprozess abzubrechen. Wenn es dem Nutzer zu viel wird, bleibt ihm nur, den nächsten Schritt nicht mehr zu machen und sich auszuloggen. Damit ist der Verifizierungsprozess jedoch nicht abgebrochen, sondern nur unterbrochen. Sie werden mit Pushmails darauf hingewiesen, dass der Verifizierungsprozess nicht abgeschlossen sei und dass sie diesen abschließen sollten.  Rechtlich geregelte Standards im e-commerce werden hier ignoriert.

Dazu kommt, dass es die Kombination aus folgenden Informationen in sich hat:

• Nummer des Mobilfunkgerätes
• Kopie des Passes, bzw. Passbildes
• Angabe der Kreditkarten- bzw. Paypal Daten
• Video per Webcam von sich, in Übereinstimmung mit dem Passbild
• Verlinkung mit einem Profil auf Facebook oder Google
• und gewünscht noch eine Verlinkung auf die eigene Firmenseite

Wohl gemerkt: Diese Daten werden nicht nur von Anbietern gefordert, sondern auch von Touristen, eben jenen, die ein Angebot buchen wollen. Wer bitte gibt seine Daten unter diesen Umständen weiter?

Daten in solcher Qualität an ein US Unternehmen fernab europäischer Rechtsstandards zu übergeben halte ich für mehr als fahrlässig. Der Vorwand, dass dies der Online Sicherheit diene ist in diesem Ausmaß mehr als unglaubwürdig. Im Gegenteil: Wer Daten in dieser Qualität freiwillig weiter gibt, erhöht das Risko Opfer eines Missbrauchs zu werden.

Konto wird bei abgebrochenem Buchungsvorgang belastet

Wirklich problematisch ist der Umstand, dass der Verifizierungsprozess startet, nachdem die Buchung eingeleitet wurde und Airbnb damit bereits die Kreditkarte bzw. Paypal belastet - unabhängig davon, ob der Verifizierungsprozess abgeschlossen oder abgebrochen wurde. Airbnb greift dabei auf die hinterlegten Daten aus früheren Buchungen zurück. Airbnb teilt die Balastung des Kontos auch nicht mit, sondern schickt Pushmails mit der Aufforderung, die Verifzierung binnen der kommenden 12 Stunden abzuschließen. Ein mehr als ungewöhnliches Geschäftsgebaren.

Die Belastung der Kreditkarte, bzw. des Paypal Kontos und über dies wiederum der Kreditkart besteht, auch wenn die Buchung nicht abgeschlossen wurde. Es dauert bis zu vierzehn Tagen, bis der Buchungsvormerk gelöscht wird. Bis dahin ist die Liquidität des Kunden beschädigt.

Folgender Fall: Sie haben eine Buchung eingeleitet und damit - unabhängig davon ob die Buchung abgeschlossen wird oder nicht - ihre Kreditkarte im selben Moment belastet. Sie brechen die Buchung ab, weil Sie es sich anders überlegt haben. Sie suchen weiter und starten einen zweiten Buchungsvorgang - auch hier wird mit dem Start der Buchung eine Zahlungsautorisierung erteilt und es erfolgt ein Buchungsvormerk. Nehmen wir an, es handelt sich um jeweils 800 Euro. Dann ist ihre Kreditkarte mit 1.600 Euro belastet.  Selbst wenn Sie die zweite Buchung abschließen bleibt der vorgemerkte Betrag aus dem ersten, abgebrochenen Buchungsversuch noch bis zu 14 Tage stehen und sie können darüber nicht verfügen. Für diejenigen, die eine Kreditkarte mit Überziehungsrahmen besitzen ist das nicht wirklich ein Problem (wobei ich nicht sagen kann, ob Gebühren bei Überziehung durch Bereitstellung anfallen). Für Besitzer von Kreditkarten ohne Überziehungsrahmen oder Prepaid Kreditkarten kann das nicht geringe Probleme verursachen. Besonders problematisch ist, dass der Kunde während seiner Buchungsversuche auf airbnb davon nichts mitbekommt, denn airbnb weist den Kunden nicht darauf hin. - Wer da unvorsichtig ist und mal gerne probiert, verliert schnell seine Liquidität und muss sich mit Überziehungsspesen oder Üblerem herumschlagen.

Mein Fazit: Finger weg von Airbnb

Fortsetzung: Probleme beim Löschen des Accounts und ein überraschend professioneller Kundenservice via Twitter.

 Update: Ab 2018 dürfen Beträge vor der eigentlichen Zahlung nur noch mit ausdrücklicher Zustimmung des Kunden geblockt werden!  

Startups und Entrepreneure scheinen wie von einem Fieber getrieben, von der Vorstellung einen Coup zu landen, der in kurzer Zeit enormen Reichtum bringt. Paradebeispiel ist wohl Instagram. Mit 12 Mitarbeiter_innen und ohne einen Dollar verdient zu haben, wurde das Unternehmen von Marc Zuckerberg  für 760 Millionen Euro aufgekauft - eineinhalb Jahren nach der Gründung des Unternehmens.  Begonnen hatte ein richtiger Trend von Startups mit Exit-Strategie nachdem Google YouTube 2006 für den von 1,3 Milliarden Euro gekauft hatte. Ganz zu schweigen von WhatsApp mit einem Kaufpreis von 16 Milliarden USD usf.↑

Ganze Geschichte »

Die Rechtsmaterie im Umfeld von Datenschutz, Leistungsschutz, Patentschutz etc. ist mittlerweile so unübersichtlich, dass selbst Juristen, die sich nicht darauf spezialisiert haben, heillos überfordert sind. Ganz zu schweigen vom durchschnittlichen Bürger.

Erschwerend kommt hinzu,  dass die Unübersichtlichkeit und oftmals fehlende Klarheit in diesen Rechtsmaterien zunehmend von Winkeladvokaten genutzt wird. Sie bauen darauf ihr einträgliches Geschäftsmodell auf – mit dem zynischen Vorhalt, es würden nur die Rechte Geschädigter geschützt und gewahrt werden.

Das Vertrauen in Rechtssicherheit beginnt sich allmählich aufzulösen. Bei vielen entsteht der Eindruck, dass die Gefahr von oftmals langwierigen und teuren Rechtsstreitigkeiten selbst bei großer Umsicht nicht mehr ausgeschlossen werden kann, wenn man z.B. als innovatives Unternehmen im Software- oder Technologiebereich tätig ist.  Soweit mir bekannt ist, sind solche Klagsrisiken wegen Verstoßes gegen Patent- und Leistungsschutzrechte zudem nicht versicherbar. Die Risiken sind hoch und werden sie schlagend, kann das durchaus den Ruin eines Unternehmens bedeuten. Startups, die über wenig Eigenmittel verfügen sind besonders gefährdet.

Beobachter sprechen in diesem Zusammenhang von einem Hemmschuh für die weitere Entwicklung in der Technologie- und Software Industrie, wie dies auch die Neue Zürcher Zeitung unlängst formulierte (19.12.2012, 11). Spätestens seit dem Aufrüsten der Unternehmen Apple und Samsung mit Patenten ist offensichtlich, dass Patente nicht nur zur Absicherung eigener Entwicklungen genutzt werden, sondern als aggressives Instrument, um Wettbewerber aus dem Rennen zu drängen. Die vor allem in den USA praktizierte Praxis, was alles als Patent geschützt werden kann und darf, hat diesem Missbrauch Tür und Tor geöffnet.

Vergleichbares spielt sich aktuell (Update vom 8.6.2018) im Bereich des Datenschutzes ab. Und hier sind vor allem mittlere und kleiner Unternehmen, Freiberufler, Organisationen und Vereine betroffen. Die seit 25. Mai wirksame EU Datenschutz-Grundverordnung lässt selbst erfahrene und auf Datenschutzrecht spezialisierte Juristen in nicht wenigen Punkten vorsichtig agieren, da es in vielen Punkten Unschärfen gibt, die letztlich auf Ausjudizierung bis hin zum EuGH warten. Dennoch werden Abmahnungen verschickt, Schadensersatzforderungen gestellt und das nicht selten im organisierten Ausmaß von beispielsweise Abmahnkanzleien oder Abmahnvereinen.

Beispiel Patente

Schon von „Patent-Trollen” gehört?

Der Beitrag in der NZZ zeigt, wie sogenannte „Patent-Trolle” in den USA arbeiten. Unternehmen haben sich darauf spezialisiert, angekaufte Patente (z.B. durch Firmenübernahmen) an andere Unternehmen weiter zu verkaufen, sei es, damit diese sich gegen Klagen mit der Androhung von Gegenklage wappnen können  („Gleichgewicht des Schreckens”) oder damit diese andere Unternehmen wegen Patentverletzungen klagen können. Unternehmen, die letzteres im Sinn haben, werden als „Trolle” bezeichnet. Und natürlich schneidet das ursprüngliche Unternehmen via Provisionen mit.  Nach Bessen und Meurer haben Trolle 2011 Unternehmen auf diese Weise mit 29 Mrd. USD geschädigt.

Auch wenn 92% der Klagen gegen diese Trolle gewonnen werden, einigen sich die Unternehmen angesichts hoher Prozesskosten meist außergerichtlich. Daher suchen sich die Trolle zumeist kleine und mittlere Firmen mit einem Umsatz von weniger als 100 Mio. USD aus.

Beispiel: Datenschutzrecht

Auf dieselbe Vorgehensweise trifft man in den Grauzonen immer häufiger - nicht nur was Patente angeht, Leistungsschutzrechte allgemein und eben mittlerweile auch das Datenschutzrecht. Privatklagen scheinen zum Erlösmodell mancher Geschäftemacher zu werden. Siehe Beitrag DSGVO und das Risiko von Abmahnungen.

Die Gesetzgeber sind gefordert

Während sich große Unternehmen mit entsprechender Kriegskasse gegen diese Wegelagerei gut zur Wehr setzen können, fehlen KMUs oftmals die Ressourcen - von EPUs ganz zu schweigen.

Entsprechende Technologien und deren effizienter Einsatz erleichtern es Trollen mit geringem Aufwand eine größere Zahl an Unternehmen mit Klagen einzudecken. Selbst wenn nur ein Teil davon zu Zahlungen führt, ist das Geschäft bereits lukrativ.

Es wäre höchst an der Zeit, dass Gesetzgeber auf diesen „Markt” reagieren, Rechtssicherheit herstellen und missbräuchliche Abmahnpraxen selbst unter Strafe stellen. Als nächstes wäre eine Reform des Leistungsschutzrechtes zwingen nötig. Zudem wäre zu überlegen, zur Abwehr solcher Abmahnungen und Klagen, im Rahmen von Rechtsschutzversicherungen entsprechende Produkte anzubieten.

Udates: Dieser Beitrag wurde am 10.1.2013 verfasst, modifiziert am 8.6.2018. 
(Kleinere Änderungen in Form von Korrekturen werden hier nicht erfasst.)

Beim Beratertag der UBIT 2012 in der Wiener Hofburg beschäftigte sich eine Diskussionsrunde mit der spannenden Frage nach den Voraussetzungen für IKT-Innovationen.

Andreas Blumauer, CEO der Semantic Web Company GmbH (SWC) hat deutlich gemacht, dass Innovationen auch einen Markt brauchen und für vieles, wie bspw. die Innovationen seines Unternehmens sei Österreich zu klein, bzw. gäbe es in Österreich zu wenig große Unternehmen.

Damit hat er einen wichtigen und leider häufig vernachlässigten Aspekt des Themas angeschnitten. Die Frage nach innovativen Entwicklung der IKT-Unternehmen einerseits kann nicht von der Frage nach dem Markt für solche Entwicklungen abgekoppelt werden.  Meine Erfahrung zeigt, dass in eher konservativen Märkten, wie bspw. in  Österreich zwar einige erstaunliche innovative Produkte und Dienstleistungen entwickelt werden, dort selbst jedoch nur zögerlich Abnehmer finden.

Gerade KMU Unternehmen sind gezwungen bei der Entwicklung von Produkten und Dienstleistungen den Absatzchancen ein entsprechend hohes Gewicht beizumessen. Sie können es sich i.d.R. nicht leisten, viel Geld bei geringer Eigenmitteldeckung in die Entwicklung innovativer Produkte zu investieren, wenn in Frage steht, ob es in deren zentralen Märkten zeitnah und ausreichend Abnehmer finden kann. Nicht jedes KMU ist entsprechend aufgestellt, um diese Produkte und Dienstleistungen international zu vermarkten.

Damit wäre eine weitere wichtige Voraussetzung für IKT-Innovationen die Unterstützung von Unternehmen bei der Erschließung und Bearbeitung internationaler Märkte. Dabei unterstützt sie bereits die go-international Initiative der Wirtschaftskammer Österreich. Entsprechend erstaunt es nicht, dass österreichische Innovationen international erfolgreich sind.

Wichtig wäre es jedoch auch, hiesige Unternehmen zu motivieren, Innovationen schneller zu implementieren, nicht zuletzt auch deswegen, um deren eigene Wettbewerbsfähigkeit und die Binnennachfrage nach innovativen Produkten und Dienstleistungen zu stärken.