Keine Handynummer für PayPal

Jedes Mal, wenn ein großes Unternehmen seine Tentakeln ausstreckt und noch mehr Daten von seinen Kund:innen mit teilweise dreisten Methoden abzugreifen versucht, steigert das meine Motivation, neue Wege zu finden, um diese "Zwänge" zu umgehen.

Am Beispiel von PayPal funktioniert das schon seit Monaten erstaunlich leicht. Wie lange das so bleibt, wird sich zeigen.

Die ganze Story

Seit Monaten nötigt mich PayPal bei jedem Login, meine Handynummer preiszugeben. Anfangs konnte man einfach unterhalb des Dialogs auf den höchst unscheinbaren Textlink "Später" klicken, um das Banner zu schließen.

Da das scheinbar viele datenschutzbewusste PayPal-Kund:innen so gemacht haben (juhu!), hat sich PayPal vor wenigen Monaten etwas Neues einfallen lassen: Der Dialog ist gleich geblieben, aber der Textlink "Später" erschien nun erst nach 5–10 Sekunden Wartezeit. Auf den ersten Blick gab es also plötzlich keine Umgehungsmöglichkeit mehr. Das fand ich wirklich unverschämt.

Am Handy sah das Ganze noch toller aus. Hier hat das Cookie-Banner den Textlink "Später" einfach komplett verdeckt und noch dazu den halben Bildschirm eingenommen:

Geschäftskonto

Und dann erhielt ich für mein Geschäftskonto am 12.02.2020 eine E-Mail, die damit "gedroht" hat, dass es möglich wäre, dass man sich ohne Handynummer möglicherweise nicht mehr einloggen könne.

Logge ich mich nun nach dem 31.03.2020 mit dem Geschäftsaccount ein, gibt es auch nach Wartezeit und genauerem Hinsehen keine Möglichkeit mehr, dieses Banner zu schließen.

Die banale, aber wirksame Lösung dafür:
Einfach über die URL wieder die Startseite aufrufen.

Die Alternative wird nicht erwähnt

Dieses Vorgehen von PayPal spielt mit der Verunsicherung der Kund:innen, was ich gerade im Geschäftsumfeld mehr als unangebracht finde. Viele sind (leider) von ihrem Geschäftskonto bei PayPal abhängig, d. h., sie werden den Zugriff darauf nicht leichtfertig aufs Spiel setzen. Dabei gäbe es die Möglichkeit, als zweiten Faktor eine E-Mail oder eine App zur 2-Faktor-Authentifizierung zu nutzen.

PayPal erwähnt Letzteres sogar ausdrücklich in seinem FAQ, nur im Popup steht kein Wort davon:

Warum ist die Angabe deiner Handynummer so problematisch?

Jeder Dienst, bei dem du deine Handynummer angegeben hast, kann dich eindeutig identifizieren. Und das wird auch in vielen Jahren noch so sein. Denn gerade als Unternehmer:in wirst du eines selten bis nie tun: Deine Handynummer wechseln.

Nehmen wir Facebook als Beispiel: Durch die Angabe deiner Handynummer bei Facebook, Instagram und WhatsApp können deine drei Profile vom Konzern mit Leichtigkeit verbunden werden. Das heißt, alle Aktivitäten auf diesen Plattformen tragen ihre gesammelten Daten zu einem großen Nutzerprofil von dir bei (das du übrigens nie zu Gesicht bekommen wirst). Facebook verdient damit durch Werbeeinnahmen und immer treffsicherere Werbeeinblendungen Jahr für Jahr Milliarden von Euro, vom potentiellen Zugriff der Sicherheitsbehörden auf solche Daten ganz zu schweigen. Ganz nebenbei steigt deine Abhängigkeit von diesen Diensten, die so bequem und genau auf dich zugeschnitten sind – und der Teufelskreis schließt sich.

Die Angabe der Handynummer bei deiner Bank (oder – wenn du das anders siehst als ich – auch einem Zahlungsdienstleister) ist das Eine. Denn hier bist du mit deiner Anschrift und anderen Angaben sowieso unter dem Deckmantel des Geldwäsche-Gesetzes als Person eindeutig identifizierbar. Anders sieht das in meinen Augen bei Social Media und anderen Diensten aus. Hier wird die Handynummer oft durch die Hintertür für die Aktivierung der Zweifaktor-Authentifizierung abgefragt. Was auf den ersten Blick einen Sicherheitsgewinn bringt, könnte auch datensparsam und ohne Handynummer mittels TOTP-App abgebildet werden. Da viele Menschen jedoch auf den Vorschlag der Dienstleister vertrauen, geben Sie gutgläubig die Handynummer an und schon hat der Anbieter einen eindeutigen Identifier, den er mit anderen (eingekauften) Daten verbinden kann.

Meine dringende Bitte an dich

Niemand, wirklich niemand außer deinen Kund:innen und Freund:innen braucht deine Handynummer wirklich. Es gibt im geschäftlichen Umfeld mit E-Mail, Einmal-Token-Generatoren, Apps zur 2-Faktor-Authentifizierung und Hardware-Tokens genügend sichere Alternativen für den zweiten Faktor.

Auch eine Festnetznummer wäre datenschutztechnisch besser, weil man mit dieser im Normalfall keine weiteren Accounts verknüpft hat.

Weiterführende Links

• PSD2 FAQ von PayPal: paypal.com/de/webapps/mpp/psd2-biz
• Zwei-Faktor-Authentifizierung: Was PayPal und Co planen: internetworld.de/technik/payment/zwei-faktor-authentifizierung-paypal-co-planen-1723764.html