Erfahrungsbericht: Reaktion auf Fritzbox-Hack; Easybell & AVM übernehmen KEINE Kosten

[ifuchs]

Wie von Kunterbunter geschrieben sind das ganz normale Rufnummern in Grenada, Carriacou, Petite Martinique und Anguilla, also keine Mehrwertdienste. Es wäre spannend, ob die BNetzA für ausländische Rufnummern ein Inkassoverbote verhängen darf. Ich glaube eher nicht.

Was sagt denn AVM dazu? Das ist doch ein Produktfehler, sodass die Herstellerhaftung greifen sollte. easybell schreibt ja selbst, dass die den Schaden für alle Kunden direkt mit AVM klären, wenn die Fritzbox über easybell bezogen wurde. Das klingt danach, dass AVM bereits eine interne Regelung hat.

 

[MGT]

@ifuchs: AVM sagt dazu nichts. Wie bereits geschrieben habe ich x-mal bei denen angerufen + Mails geschrieben mit der Bitte um Stellungnahme.... telefonisch hat man mir "am nächsten Tag" einen Rückruf versprochen...das wurde mir jetzt 3x gesagt.
Bis heute kein Rückruf bzw. eine Stellungnahme dazu.

 

[Hans Juergen]

AVM wird wahrscheinlich einen Maulkorb von der Versicherung erhalten haben. Das Problem liegt doch in der Beweisbarkeit des Schadens, seiner Höhe und seiner Ursache.
Die Vermutung ist zwar höchst naheliegend, aber auch in allen 3 Punkten beweisbar? Sind Anzeigen erstattet worden? Ohne die sind Versicherungen häufig nicht zur Zahlung bereit...

Mails und Telefonate sind hier nicht angebracht, Forderungen sollten schriftlich gestellt werden. Schon, um nicht irgendwelche Fristen zu versäumen.

 

[KiRKman]

Kurze Erklärung, warum +1 hier nicht USA oder Kanada ist, sondern "Gasse 2":

Es gibt einen Nummerierungsplan (NANP) unter der internationalen Vorwahl 001 oder +1. Ich zitiere dazu aus Wikipedia: "Der NANP wurde 1947 von AT&T entwickelt und 1951 in Betrieb genommen, um die Direktwahl von Ferngesprächen zu ermöglichen. [...] Ursprünglich nur für die USA und Kanada gedacht, wurde es ab 1955 auf Bitten des britischen Colonial Office auf Bermuda und die British West Indies (inklusive Trinidad und Tobago und die Bahamas), ausgeweitet, da ihre historische Telekommunikationsverwaltung durch Kanada ging, weil alle Teil des Britischen Weltreichs waren, in dem Verbindungen in jedes Land durch Telegrafen und das All-Red-Line-Systems bestanden."

Hier kann man nachsehen, welche Länder bzw. Inselstaaten auf der Welt sich sonst noch hinter der Vorwahl +1 verbergen:
http://de.wikipedia.org/wiki/NANP#L.C3.A4nder.C3.BCbersicht_des_NANP
(gleichzeitig Quelle für oben)

Gemeinerweise sehen diese Nummern auf den ersten Blick aus wie Nummern in den USA, fallen also oft nicht weiter auf, zumal diese Gespräche normalerweise sowieso billig sind. Die o.g. Länder fallen aber leider dann doch in hohe Gebührenklassen...

Aktuelle Preise für internationale Festnetz-Gespräche bei easybell:
Gasse 1 kostet 2.9ct pro Minute
Gasse 2 kostet 9.9ct pro Minute
Gasse 3 kostet 29.9ct pro Minute
Gasse 4 kostet 79.9ct pro Minute
http://www.easybell.de/one-world-tarif/laenderliste.html

Und ja, die Angreifer in der FRITZ!Box werden an den IC-Charges für in besagten Ländern terminierte Gespräche beteiligt... In den 90er Jahren war das mal richtig "in". So manch einer erinnert sich vielleicht noch an Erotik-Angebote à la 00599-xxxx. Ich wusste nicht, dass diese alte Masche immer noch zieht...

 

[KunterBunter]

Danke für die Erklärung. Nichtsdestotrotz haben die Gespräche in die Karibik nur 9.9 ct oder 16.9 ct pro Minute gekostet, wie ich gestern schon schrieb. Viel kann man da mit den Interconnection Gebühren nicht verdienen.

 

[KiRKman]

Seltsam, ja. Bei der Telekom jedoch kostet ein Gespräch nach Grenada 99ct pro Minute. Ich könnte mir vorstellen, dass es hier unter den int. Telcos verschiedene Verträge gibt, und die bösen Buben haben einfach blind drauflos telefoniert. Die Gespräche über easybell liefen dann eben über ein internationales Gateway, bei welchem für die Hacker nichts oder fast nichts abgefallen sein dürfte.

Oder die Masse an gemachten Minuten macht's einfach...

Manche Geschädigte hatten wohl auch über 4000€ Telefonrechnung; die Gespräche liefen nach Sierra Leone (ich habe zu dem Fall einfach mal ein bisschen gegoogelt). Leider wird in den juristischen Kommentaren oft eine Produkthaftung seitens AVM negiert, da diese nicht grob fahrlässig gehandelt hätten. Außerdem wäre ein Schaden bei der Aktivierung der Fernwartung als allgemeines Lebensrisiko anzusehen. Allerdings schreiben die Juristen auch, dass sowieso alle seriösen Provider die Kosten erstatten würden. Dies scheint bei easybell allerdings nicht der Fall zu sein, wie wir ja nun wissen! Die Frage ist, ob es sich lohnt, bei einem Schaden von unter 200€ einen Anwalt einzuschalten. Das ist ja immer das Problem.

 

[eisbaerin]

16.9 ct pro Minute gekostet

Komisch aber, daß für die 001473er Nummern
15,55 ct Netto -> 18,5 ct Brutto

und für die 001264er Nummer
15,04 ct Netto -> 17,9 ct Brutto

berechnet werden.

Eventuell kann man das beanstanden. Spart ca. 10€.

 

[KunterBunter]

Das ist mir vorgestern bein Nachrechnen auch aufgefallen, dass da etwas nicht ganz stimmt. :?
Vor allem wundert es mich, woher easybell weiß, dass das alles Mobilfunknummern sein sollen. Bei den anderen 001 Mobilfunknummern nach USA und Kanada können sie es nämlich nicht wissen.
Am besten erstmal den gesamten Betrag zurück halten, bis das geklärt ist.

 

[MGT]

Vor allem wundert es mich, woher easybell weiß, dass das alles Mobilfunknummern sein sollen.

Laut Easybell Support wissen Sie es:

"Diese Informationen entnehmen wir der Datenbank unseres Netzbetreibers. Bitte haben Sie Verständnis, dass diese nicht öffentlich verfügbar ist. Hier ein Auszug für Ihren Fall:

Country Dialed Digits
Anguilla-Mobile 1264536
Grenada-Mobile 1473456
"

Inzwischen habe ich ENDLICH auch ein Statement von AVM hierzu - leider nicht in meinem Sinne :-(
Damit bleibe ich wohl also DEFINITIV auf den Kosten sitzen....

"Guten Tag <cut>,
vielen Dank für Ihre Geduld

Wir nehmen Bezug auf die bisher geführte Kommunikation und möchten nochmals
betonen, dass wir die Ihnen entstandenen Unannehmlichkeiten und Kosten sehr
bedauern.

Auf Basis der vorliegenden Informationen gehen wir davon aus, dass keine
technischen Fragen offen sind, die Sie durch unseren Support geklärt wissen
möchten.

Ergänzend haben Sie um eine Auskunft zur Frage einer möglichen Kompensation
gebeten. Wir bitten um Verständnis, dass wir uns grundsätzlich nicht
gehalten sehen, eventuelle Rechnungsstellungen Dritter zu bewerten. Dies
ist aus unserer Sicht Sache der jeweiligen Vertragspartner. Sollte der von
Ihnen geltend gemachte Schaden darauf beruhen, dass Ihre persönlichen Daten
tatsächlich über Ihre FRITZ!Box ausgelesen worden sind, wovon Sie ausgehen
und was gegebenenfalls zu prüfen wäre, so läge ein krimineller Angriff von
Hackern vor. Wichtig erscheint uns daher das Stellen einer Strafanzeige. In
diesem Zusammenhang ist durchaus bekannt, dass Provider im Falle eines
kriminellen Angriffs auf Kulanzbasis auf die Geltendmachung von damit in
Zusammenhang stehenden Forderungen ganz oder teilweise verzichten. Wie Ihr
Provider dies im Einzelfall handhabt, können wir nicht beurteilen.
Unabhängig davon bitten wir um Verständnis, dass wir über das kurzfristig
zur Verfügung gestellte Sicherheitsupdate und die damit einhergehenden
Sicherheitsinformationen hinaus, keine Kompensationsleistungen in Form von
Geld oder Hardware zur Verfügung stellen können. Unsere aktuellen
Sicherheitsinformationen finden Sie unter:

http://www.avm.de/de/Sicherheit

Freundliche Grüße aus Berlin
<cut> (AVM Support)

@Moderator: Ich darf um Abänderung des Thread-Themas bitten: ".... Easybell und AVM übernehmen KEINE Kosten". Danke.
EDIT: Danke an Hans Jürgen; habs selbst geändert.

 

[Hans Juergen]

Den Titel kannst du selbst ändern: Beitrag 1 bearbeiten>Erweitert

 

[KiRKman]

Dann musst Du wohl Strafanzeige erstatten, um wenigstens etwas in Papierform in der Hand zu haben. Natürlich wird der Fall von Polizei/Staatsanwaltschaft/BKA nicht weiter verfolgt werden.

Ich bin vor einigen Jahren mal wegen eines eBay-Betruges i.H.v. 45€ zur Kriminalpolizei gelatscht. Der zuständige Beamte kannte eBay nur vom Hörensagen von Bekannten und hatte auch sonst keine Ahnung vom Internet, war aber wirklich äußerst hilfsbereit. Nach ca. zwei Monaten kam ein Schrieb der Staatsanwaltschaft, dass der Sache nun nachgegangen werden würde. Nach ziemlich genau einem Jahr kam dann die Einstellungen des Verfahrens, ebenfalls per Brief von besagter Staatsanwaltschaft. Daher gehe ich nicht davon aus, dass Dein Fall irgendwie bearbeitet werden wird. Allerdings wird die Sache bei Dir ans BKA gehen, schätze ich, da es sich um einen Fall mit möglicher internationaler Tragweite handelt

Offensichtlich sind Polizei und Gerichte mit der Aufspürung und Aburteilung von MP3-Verbrechen vollständig ausgelastet / überlastet.

 

[HabNeFritzbox]

Habt ihr inzwischen mal bei der BNetzA gefragt bzw. gemeldet?

 

[MGT]

ja, Anfrage bei der BNetzA ist gestellt seit letzter Woche

 

[KiRKman]

Aus aktuellem Anlass ein Bericht auf Heise zu dem Thema:
http://heise.de/-2155168

Erbeutete VoIP-Accounts werden jetzt bei Sipgate und anderen Anbietern direkt ausgenutzt, ohne noch über betroffene FRITZ!Boxen gehen zu müssen. Viele Kunden werden den Schaden wohl erst mit der April-Rechnung bemerken... Vormals in der FRITZ!Box hinterlegte Passwörter sind unbedingt zu ändern.

Ich möchte nicht wissen, wie lange schon Daten aus FRITZ!Boxen mit aktiviertem Fernzugriff abgegriffen wurden. Und welche Unmengen an Listen werden jetzt wohl in den bekannten Boards zum Verkauf stehen?

 

[valinet]

Hallo,
ich bin persönlich nicht betroffen da ich bislang echtes ISDN habe und erst nächste Woche zu Easybell und dann VOIP geschaltet werde.
Auf meiner Fritzbox habe ich bereits das Update gemacht, so dass zumindest die Sicherheitslücke geschlossen sein sollte.
Beim durchschauen des Easybell Kundenportals bin ich auf eine interessante Funktion gestossen.
Es ist möglich, Auslands-, Handy- und Sonderrufnummern zu sperren.
Diese Nummern sind dann nur noch Erreichbar wenn man vor der Rufnummer eine selbst festgelegte PIN eingibt.
Nähere Infos hier: http://www.easybell.de/hilfe/loesung/welche-moeglichkeiten-bietet-die-sperrliste.html
Eine tolle Sache wie ich finde, ich habe außer Festnetz alles gesperrt, so ist man vor dem nächsten Hack zumindest kostentechnisch sicher.

 

[MGT]

Diese Sperrliste scheint (zumindest bei mir) für den 1. Account mit dem Voip-Tarif "010010 CallbyCall" nicht einrichtbar.
Bei meinem 2. Account, Voip-Tarif "Lidl Phone", ist die Sperrliste möglich.

 

[Zelda1980]

Ui, doch verharmlost den Schaden aber ein Glück sind meine Rechnungen normal. So Fritzbox Passwort, SIP Passwort und Portalpasswort geändert, ein Glück wurde ich anscheinend für Dummheit nicht bestraft wenn ich nach der Aprilrechnung gehe.

Habe das AVM Update aber sehr schnell gemacht

 

[firefox1970]

@MGT
ich habe genau das gleiche Thema und bin bisher auch auf den Kosten sitzen geblieben. Easybell schiebt es auf AVM und AVM schweigt sich aus.
Bin echt stinke sauer und verstehe nicht warum Easybell nicht einfach die Zahlung verweigert hat. Weil eigentlich treiben die ja das Geld für den Übeltäter ein.

Gruß
Firefox

 

[Gungross]

Die ganze Sache ist ein Dilemma und rechtlich nicht gelöst.

Dem Grunde nach müsste man die Fritzbox als Produkt mit jeder Kaffee- oder Waschmaschine rein rechtlich gleichsetzen dürfen.
Dann müsste AVM vermutlich aus dem scheinbar mangelhaften Produkt haften.

Dem ist aber scheinbar nicht so, weil man das Gerät updaten soll.

Die Masse der User kann das aber nicht und denkt überhaupt nicht daran, dass da ein Kasten an der Wand hängt oder unter dem Schreibtisch verstaubt.

Der Fortschritt ist also ein gefährlicher Rückschritt, den die Spieler (Kunden, Telco und Hersteller und Gesetzesgeber !!) nicht bedacht haben.

Dieses Dilemma kann man nur lösen, wenn man sichere Netze schafft.
Das will aber keiner, weil man dann niemanden mehr belauschen kann.
Deshalb gibt es Backdoors in Standartgeräten, das TR069 Protokoll, die 2. IP Adresse (die man nur per SSH findet, oder wenn man die ct liest), ...

Und und und...

Easybell und andere Telco's sind genau so die Opfer wie die Kunden.

Solange unsere Politiker darüber diskutieren, wen man abhören darf, sollte oder eben nicht. Passiert hier nichts.

Und mit mit IP V6 wird es sicher nicht sicherer.

 

[Hans Juergen]

Dem Grunde nach müsste man die Fritzbox als Produkt mit jeder Kaffee- oder Waschmaschine rein rechtlich gleichsetzen dürfen.

Kannst du nicht. Es ist ein Unterschied, ob ein Fehler direkt zum Schaden führt, oder zusätzlich kriminelle Energie notwendig ist.