missing 2-factor authorisation on airbnb using paypal

[haraldjordan78]

Ich habe zweifel was die Sicherheit bei zahlungen über AirBnB mit Paypal betrifft. 
Soeben habe ich mittels einem Click die Unterkunft bezahlt, der Betrag wurde von meinem Paypal Konto abgebucht.
Das sollte eigentlich nicht möglich sein, da ich Paypal auf 2-factor auth engestellt habe. 

Anscheinend hat airbnb eine sehr spezielle integration mit paypal die jegliche paypal authentification umgeht, das scheint mir doch ein bisschen fragwürdig zu sein. Airbnb müsste zumindest selbst mindestens eine 2-factor auth anbieten wenn sie eine solch spezielle integration mit dem Zahlungsanbieter haben.

Das Ganze bedeutet, dass ein Hacker zugriff auf mein Paypal Konto hat sobald er lediglich meinen Airbnb account gehacked hat, das ist sehr besorgniserregend.   

[PayPal_Clara]

Hi @haraldjordan78,

danke für deinen Beitrag und willkommen in unserer Community.

Wenn du eine normale Zahlung über dein PayPal-Konto vornimmst, sollte es tatsächlich nicht möglich sein, dass eine fest eingestellte Zweifaktorauthentifizierung übersprungen wird. Bei einer Zahlung an AirBnB muss es sich jedoch nicht um eine normale Zahlung handeln.

Meinen Informationen nach ist AirBnB einer der Anbieter für die man im PayPal-Konto eine Zahlung im Einzugsverfahren einrichten kann. Über eine solche könnte ein Anbieter dann zum Beispiel Beiträge für ein Abo einziehen. Zudem kann der Kontoinhaber mit dieser Funktion dann sein PayPal-Konto so als Zahlungsquelle bei einem Anbieter hinterlegen, damit bei zukünftigen Einkäufen nur noch der Kauf über die Händlerseite durchgeführt werden muss. Mit der Erstellung der Zahlung im Einzugsverfahren genehmigst du praktisch Zahlungseinzüge für zukünftige Einkäufe bei diesem Händler. So müsste dann auch keine zweistufige Authentifizierung mehr stattfinden, da es keinen erneuten Login gibt. Natürlich kann es Ausnahmen geben, wenn unser Sicherheitssystem die Prüfung trotzdem anweist und man sich erneut authentifizieren muss. Das ist dann aber eher die Ausnahme, nicht die Regel. Entsprechende Informationen sollten dir angezeigt worden sein, als die etwaige Zahlung im Einzugsverfahren eingerichtet wurde. Du kannst auf unserer Webseite prüfen, ob eine solche Vereinbarung besteht.

Liebe Grüße
Clara 

[haraldjordan78]

Vielen Dank für die Antwort. 

Nach genauerer Betrachtung hat sich AirBnB anscheinend darauf verlassen, dass Google bereits die 2-Faktor Authentifikation durchgeführt hat anstelle selbst eine durchzuführen. Dieses Vorgehen finde ich sehr fragwürdig und besorgniserregend, es eröffnet sehr viele Angriffsvektoren für Hacker. Das Problem ist, dass auf sehr indirekte Art auf das Paypal Konto zugegriffen wird und die Rechtliche Situation sehr verwaschen wird (es gibt keinen Schuldigen).

Man überlege Sich das Gerichtsverfahren: ich klage Paypal, die können auf AirBnB verweisen, die können auf Google verweisen, die haben mit der ganzen Sache aber gar nichts zu tun. 

https://www.paypal-community.com/t5/Security-and-Fraud/Paypal-on-Airbnb-huge-security-issue/m-p/3166...

[PayPal_Clara]

Meinen Infos nach solltest du auch direkt bei AirBnB die Option haben eine zweistufige Verifizierung einzurichten, damit jemand, der irgendwie in den Besitz deiner Logindaten gekommen ist, nicht einfach Zahlungen auslösen kann. Hast du das bereits versucht? Falls nicht, mach es am besten einmal. 

Clara

[haraldjordan78]

Da ich nicht möchte, dass AirBnB oder ein anderer Online Service direkt auf mein Geld zugreifen kann, habe ich in meinen Paypal Settings alle "Subscriptions" deaktiviert. 

Man bemerke dass ich ohne mein Wissen ungefähr 10 verschiedene Firmen vollen Zugriff auf mein Konto gewährt hatte. Jeder einzelne davon ist eine Sicherheitslücke.

Von Paypal würde ich mir wünschen, "Subscriptions" periodisch mittels eigener multi-faktor authentifizierung zu erneuern (z.B. jede Woche). Zusätzlich sollten Subscriptions nicht so einfach vergeben werden können, die Benutzer sollten darauf Aufmerksam gemacht werden, dass der Anbieter jederzeit jeden gewünschten Betrag abbuchen kann und die Sicherheit/Login dem Anbieter obliegt.

Ist es möglich einen entsprechenden Feature Request an Paypal zustellen? 

[PayPal_Clara]

Du kannst deinen Wunsch dazu gern hier in unserem Bereich hier in der Community für 'Feedback/Inventionen' posten. Du kannst auch eine E-Mail dazu schreiben, wenn du möchtest. Eine E-Mail-Adresse dafür findest du im Impressum. 

Dass eine Zahlung im Einzugsverfahren eingerichtet wird, solltest du immer beim Durchführen der Zahlungen sehen können, bei denen eben eine solche Vereinbarung getroffen werden kann. Achte daher am besten auf den Text um den 'Bezahlen'-Button, wenn du bei neuen Händlern Transaktionen anweist. 

Beachte bitte außerdem, dass die Stornierung von Zahlungen im Einzugsverfahren immer nur den Zahlungsweg storniert. Falls einer der Anbieter tatsächlich ein solcher war, bei dem du ein Abo hast, für welches regelmäßig Zahlungen eingezogen wurden, wird dieses Abo von PayPal normalerweise nicht storniert. Die Stornierung des Vertrags müsstest du direkt mit dem Händler vornehmen.

Clara