Fairriester / fairr.de / Raisin Pension ETF-Riester

[Mike-FRA]

Ein Hoch auf die Transparenz - mal sehen ob die Auskunft via eugd schneller kommt 

[TimdZ]

vor 1 Stunde von cjdenver:

 

Bisher nur eine Ticketnummer. Ich gehe auch davon aus dass das noch ne Weile dauern wird. 

Auf meine Anfrage vom 07.08. erhielt ich gestern nur allgemeines Blabla und im Kern der Sache:

"Hinsichtlich der Beantwortung Ihrer Auskunftsanfrage zu Ihren Daten, möchten wie Sie vorab um etwas Geduld bitten."

 

Dafür habe ich eher wenig Verständnis, denn die allgemeine ja/nein-Frage, ob für die Angreifer Zugriff auf die Postbox bestehen konnte sowie ob ggf. der Personalausweis-Scan abgegriffen werden konnte, sollte man eigentlich ohne Zeitverzug beantworten können. Habe nun mit Fristsetzung nochmal nachgefragt.

 

Habe mit einem - im Datenschutzrecht jetzt nicht ultimativ beschlagenen - Anwalt gesprochen. Es ist schon wieder alles nicht so trivial (klar). Solange raisinpension nachweisen kann, dass üblicher Sicherungsstandard bestand, sind die schonmal recht fein raus (zumindest aus vertragsrechtlicher Sicht) und den Nachweis zu erbringen, dass dereinst ein konkreter Missbrauch im Zusammenhang mit genau diesem Datenschutzvorfall stand, wird auch schwierig. Es scheint also tatsächlich, dass die Schiene über die DSGVO (statt über Vertragsrecht i.S.d. BGB) vielleicht aussichtsreicher ist. Eventuell aber auch positive Vertragsverletzung.
Vielleicht sind kleinfee & Co. doch keine blöde Option.

[HalloAktie]

Gerade eben von TimdZ:

Vielleicht sind kleinfee & Co. doch keine blöde Option.

Prinzipiell wird es nur auf Dauer recht mühsam werden, alle Anbieter/Dienstleister im Falle eines Hacks/Datenleaks gerichtlich zu verfolgen. Das ist ja schon ganz anderen passiert und bei kleineren Klitschen muss man solche Pannen schon fast einpreisen. Ein Sicherheitsniveau wie bei Microsoft oder Google wird es dort nie geben.

Und praktisch werden einem über, sagen wir mal, 25 Jahre die Anbieter ausgehen, weil fast alle irgendwann mal gehakt werden dürften. Nicht, dass ich die ganze Story gut finde, aber wenn man nicht überall dieselben Passwörter verwendet und eine Extra-Handykarte für die Mobile-Tans unterhält (was ich jedem/jeder empfehlen würde), ist der mögliche Schaden und der Aufwand zu dessen Behebung recht begrenzt.

[cjdenver]

Darum geht es ja auch gar nicht - es geht darum dass die Anbieter bluten muessen wenn sie fahrlaessig handeln. Und das funktioniert am besten ueber den Gerichtsweg. 

 

BA hat auch gleich gesettled, da gab es min. £200 pro claimant, plus £3000 legal costs - bei 20000 claimants kostet das genug dass BA sich vielleicht ueberlegt IT Sicherheit etwas wichtiger zu nehmen. 

[obi90]

Sehe ich genau so. Wenn etwas eine Firma viel Geld kostet, dann wird dort mehr Geld investiert um dort die Ausgaben zukünftig zu senken. Und wieso sollte man sich nicht anmelden bei Eugd / Kleinfee? Keinerlei Risiko, aber die Chance auf Schadenersatz. Die Daten sind eh schon geklaut unddas Kind in den Brunnen gefallen, wenigstens ne Entschädigung ist doch nur fair. Wenn es genug weh tut, wird durch mehr Ausgaben für die IT dad Risiko in Zukunft auch geringer. Bei Miles&More hat es beim ersten Mal nicht genug weh getan..

 

Erhalte übrigens auch diese hier mehrfach genannten Spam-Anrufe zum Aldi Gewinnspiel. Allerdings schon einige Wochen her. Somit vermute ich, dass Raisin schon viel länger gehackt wurde und lange nichts davon bemerkt hatte...

[Necoro]

vor 11 Minuten von obi90:

Erhalte übrigens auch diese hier mehrfach genannten Spam-Anrufe zum Aldi Gewinnspiel. Allerdings schon einige Wochen her. Somit vermute ich, dass Raisin schon viel länger gehackt wurde und lange nichts davon bemerkt hatte...

Mein Mann erhält auch seit einigen Wochen regelmäßig Spam-Anrufe -- ist aber kein Raisin-Kunde. Ich, als Raisin-Kunde, bekomme genau 0. Mutmaßlich hat das eine also eher nix mit dem anderen zu tun.

[chirlu]

vor 26 Minuten von Necoro:

Mein Mann erhält auch seit einigen Wochen regelmäßig Spam-Anrufe -- ist aber kein Raisin-Kunde. Ich, als Raisin-Kunde, bekomme genau 0.

 

Und du hattest nicht versehentlich seine Nummer bei Raisin hinterlegt?  Aber im Ernst, ich habe auch keine Anrufe bekommen bisher.

[HalloAktie]

vor 4 Stunden von obi90:

Somit vermute ich, dass Raisin schon viel länger gehackt wurde und lange nichts davon bemerkt hatte...

Ich habe mich in den ca. 2? Wochen vor dem Hack gewundert, dass die Domain fairr.de nicht mehr erreichbar war und der Link zum Cockpit fast nicht auffindbar war über die andere Domain. Aber ich will jetzt mal nichts unterstellen...

vor 4 Stunden von obi90:

Wenn es genug weh tut, wird durch mehr Ausgaben für die IT dad Risiko in Zukunft auch geringer.

 

vor 5 Stunden von cjdenver:

Darum geht es ja auch gar nicht - es geht darum dass die Anbieter bluten muessen wenn sie fahrlaessig handeln. Und das funktioniert am besten ueber den Gerichtsweg.

Ich sage ja auch gar nichts dagegen. Aber Raisin/Fairr wird immer eine Klitsche bleiben. Entschädigungen/Strafen vom Datenschutzbeauftragten kosten unregelmäßig Geld, eine gute IT-Infrastruktur und entsprechende Leute kosten dauerhaft richtig Geld. Und diese Leute haben auch nicht die Can-Do-Hipster-Mentalität, die in solchen Startups gefragt ist, sondern sind eher am bremsen.

Also individuell mag es Sinn machen, die Entschädigung einzufordern. Aber eher nicht wegen der Annahme, damit etwas für die Gemeinschaft zu tun. Ein paar Hundert Claims sind ein Nichts gegen die laufenden Kosten von IT-Experten. Raisin wird das aktuelle Loch gestopft haben und damit hat es sich. Mehr Hoffnung hätte ich da nicht. Bei größeren Unternehmen sieht die Rechnung sicher anders aus.

 

[cjdenver]

Raisin ist mittlerweile schon lange keine "Klitsche" mehr, sondern ein fintech unicorn wenn ich mich nicht taeusche. Geld waere also genug da. Das zahlen sie halt jetzt fuer Anwaelte, viel Spass. Und ganz im Ernst, rueckblickend wird sich Raisin glaub ich ziemlich aergern dass sie fairr.de ueberhaupt gekauft haben, mit all der Negativpresse die folgte. 

[HalloAktie]

Gerade eben von cjdenver:

Und ganz im Ernst, rueckblickend wird sich Raisin glaub ich ziemlich aergern dass sie fairr.de ueberhaupt gekauft haben, mit all der Negativpresse die folgte. 

Auf jeden Fall. Andererseits muss man den Fairr-Gründern einen makellosen Exit bescheinigen ein paar Monate vor der Pandemie und vor den anderen Problemen. Die haben wirklich alles richtig gemacht.

[joinventure12]

Hä, scheinbar neues Kundeninterface, von dem der User/Pw unbekannt ist!?

[chirlu]

Vermutlich warst du im normalen Raisin-Login (von wo aus man die Pension-Produkte auch einsehen kann). Nimm https://fairr.raisin-pension.de/cockpit/

[joinventure12]

vor 23 Stunden von chirlu:

Vermutlich warst du im normalen Raisin-Login (von wo aus man die Pension-Produkte auch einsehen kann). Nimm https://fairr.raisin-pension.de/cockpit/

Ok, danke für den Hinweis, geht nun. War falsch verlinkt - ich gehe immer unter https://fairr.de/ -> Cockpit; fairr scheint es auch gemerkt zu haben

[Castrock]

Spannend. Ich hatte nie einen Account bei raisin.pension, auch nie ein Altersvorsorgeprodukt da abgeschlossen. Gleichwohl kam die Mail. Habe beim Login unter fairr.de die "Passwort vergessen" Funktion ausprobiert, da kommt keine Mail an. Einzig einen Weltsparen Account gibt es, da habe ich mal das Passwort geändert.

 

Meine Frau hat die Mail gleich 4x bekommen, dabei gibt es nur einen einzogen Account. Naja, auch da da Passwort geändert. Obwohl genau genommen sind es 2 Accounts. https://www.raisin-pension.de/cockpit/ und https://fairr.raisin-pension.de/cockpit haben getrennt verwaltete Login Daten. Weiss man, welche Accounts betroffen sind? Haben aber auch hier einfach beide Passwörter geändert.

[Ethnonym]

Folgende Mail habe ich von einem ehemaligen Fairrriester Besparer bekommen, der aufgrund des Datenschutzvorfall bei raisin angeklopft hatte.

 

Zitat

 

Sehr geehrter Herr xxx,

vielen Dank für Ihre E-Mail vom 11. August 2021.

Zunächst möchten wir uns an dieser Stelle erneut für alle Unannehmlichkeiten entschuldigen, die Ihnen durch den Datenschutzvorfall entstanden sind.

Wir haben zu jeder Zeit alle technischen und rechtlichen Anforderungen ernst genommen und unsere Plattform auch von unabhängiger Seite kritisch prüfen lassen.

Wir sind uns bewusst, dass die Benachrichtigung über den Vorfall viele weitere Fragen auslöst, und es ist uns wichtig, Sie mit weiteren Informationen zu unterstützen.

Ergänzend zu diesem Schreiben finden Sie auch auf unserer Detailseite zum Vorfall weiterhin aktuelle Informationen: https://www.raisin-pension.de/datenschutzvorfall.

Wir haben die Analyse der vom Vorfall betroffenen Datei abgeschlossen und können Ihnen nunmehr genaue Auskunft über die betroffenen spezifischen Datenkategorien geben.

In dieser E-Mail hinterlegen wir eine Liste mit den konkreten Datenfeldern.

Weitere Angaben als die in der Liste in dieser E-Mail angegebenen Datenfelder zu Ihrer Person sind nicht Gegenstand des Datenschutzvorfalls gewesen.

Es sind insbesondere keine Dokumente und eingereichte Unterlagen von Unbefugten eingesehen oder entwendet worden.

Auch etwaige Aufzeichnungen von Telefonaten, die aus gesetzlichen Gründen gespeichert werden müssen, sind von dem Datenschutzvorfall nicht betroffen.

Ihr Depotvermögen war zu keiner Zeit gefährdet.

Im Folgenden finden Sie eine Übersicht Ihrer vom Datenschutzvorfall betroffenen Datenfelder.

Die mit Sternchen (*) markierten Datenfelder entsprechen Ihren im Rahmen des Antragsprozesses und / oder der Cockpit-Nutzung angegebenen Angaben.

 

- Raisin Pension Kundennummer

- Browsersitzungs-ID

* Geburtstag

* Geburtsmonat

* Geburtsjahr

* Geschlecht

* Vorname

* Nachname

* Beruf

* Erwerbsstatus

* Staatsangehörigkeit

* Geburtsort

* Strasse

* PLZ

* Ort

* E-Mail-Adresse

* IBAN des Referenzkontos

* Zulageberechtigung

* Telefonnummer

- Antragsstatus

- Zeitstempel der Antragsstellung

* angegebenes Einkommen

* Geburtsland

* Referenzkonto: Vorname Kontoinhaber

* Referenzkonto: Nachname Kontoinhaber

- Sutor-Vertragsnummer

- Sutor-Kundennummer

- Raisin Pension Antragsnummer

* Anrede

- Sutor-Vermittlernummer (sofern vorhanden)

- Produkt

- letztes Aktualisierungsdatum des Vertragsstatus

* Straße - Erfassungsdatum

- Laufzeitende des Vertrags

- Sutor-Vertragsstatus

- Höhe des letzten Zahlungseingangs

- Produktversion

* Geburtsdatum

* Vertragsbeginn

* gewünschte Hinterbliebenenabsicherung

* gewünschte Überschussbeteiligung

- Datum der Antragsfreigabe

- Kontostatus

* Anschrift

* Finanzamt

* Steuernummer

* Steueridentifikationsnummer

* Sozialversicherungsnummer

* Daten für Kinderzulage

* Geburtsdatum des Ehepartners

- Erstellungszeitpunkt des Dauerzulagenantrags

- letzter Modifizierungszeitpunkt des Dauerzulagenantrags

- Beitragsjahr des Dauerzulagenantrags - Dauerzulageantrag vorhanden

- Raisin Pension Cockpit-ID - Passwort-Hash mit individuellem Salt

* Zulageberechtigt

* Anwartschaftshöhe der gesetzlichen Rente

* Höhe des Rentenziels

- Telefonnummer validiert ja/nein

* Cockpit-Sprache (DE/EN)

* Art der Krankenversicherung (GKV/PKV)

- Erstellungszeitpunkt des Cockpit-Accounts

- Letzter Cockpit-Login

* Vorjahresbrutto

- Buchungsdaten

- Valuta der Buchungen

- Buchungstexte

- Beträge der Buchungen

- Währungen der Buchungen

- Währungskurse der Buchungen

- aktuelle Garantiehöhe

* Produkt

* Höhe der Sparrate

* Zahlungsweise (Intervall)

* Rentenbeginn

* Kenntnisse von Fondsanlagen ja/nein (Ihre Angabe auf FinVermV-Fragebogen)

* Geschäfte mit Fondsanteilen getätigt ja/nein (Ihre Angabe auf FinVermV-Fragebogen)

* Name des vorherigen Anbieters

* Identifikation per Postident ja/nein

* Daten Einzahlungsbeginn und -betrag

* Wechsel von anderem Anbieter ja/nein

* Wechselguthaben

- Antragszeit

- Produkt zahlungspflichtig bestellt ja/nein/wann

* Dauerzulagenantrag ja/nein

- Browser

- Browserversion

- Betriebssystem

- Betriebssystemversion

- Anzahl Seitenbesuche

- Datum des Ersten Seitenbesuchs

 

Wir möchten Sie an dieser Stelle auf unser Angebot hinweisen, die Kosten für den Identitätsschutz-Dienst IdentProtect für ein Jahr zu übernehmen.

Der Service kann Sie bei der Vermeidung von Identitätsmissbrauch unterstützen.

Für weitere Informationen oder zum Erhalt Ihres individuellen Gutschein-Codes kontaktieren Sie bitte unseren Kundenservice unter

support@raisin-pension.de.

Wir hoffen Ihre Fragen wurden hiermit umfassend und zu Ihrer Zufriedenheit beantwortet und möchten erneut ausdrücklich unser Bedauern über den Datenschutzvorfall zum Ausdruck bringen.

 

Mit freundlichen Grüßen Ihr Raisin Pension Team Raisin Pension GmbH Schlesische Straße 33/34 | 10997 Berlin

www.raisin-pension.de

T: +49 30 770 191 294 Amtsgericht Berlin (Charlottenburg), HRB 154595 B | Geschäftsführer: Dr. Alexander Kihm

 

 

 

[cjdenver]

Autsch, das ist ja schon einiges.

 

Aber "immerhin" wohl wenigstens nicht die Dokumente aus der Postbox. 

[miniRABE]

Vielen Dank für dein Update und zugegebenermaßen bin ich etwas schockiert. Die Frage ist wohl eher, gab es überhaupt Daten die nicht abgegriffen wurden? Hier hätten die Daten aus der Postbox auch keinen Unterschied mehr gemacht... 

 

Machen wir uns nichts vor, wenn jemand damit Schindluder treiben will, wird es lustig für alle beteiligten. 

[CorMaguire]

Hat jemand eigentlich präventiv Schutzmaßnahmen eingeleitet, also z. B.

 

* Lastschriftensperre beim Referenzkonto

* Meldung bei Bürgel (DSPortal siehe #2591), SCHUFA scheint ja erst zu gehen wenn es zum Betrugsfall kommt

* Angebot Identitätsschutz von raisin

* sonstwas

[Doso]

Habe schriftlich per Brief gekündigt. 2 Tage später hat mir Raisin und dann Sutor die Kündigung bestätigt und am selben Tag hat Sutor auch schon das Wertpapierdepot lehr geräumt. Zumindest das ging schon mal erfreulich schnell.

[Joschy89]

Und was bringt das förderschädliche Kündigen ?

Die Daten sind trotzdem weg. Fairr freut sich sogar über die Kündigung löschen alles und sind fein raus .

 

Ich habe die gleiche Mail wie oben schon genannt bekommen. Habe den Gutschein angefordert besser als nix und werde meine Konto bewegungen die nächsten Monate überwachen.

 

 

[Holgerli]

vor 4 Stunden von Joschy89:

Und was bringt das förderschädliche Kündigen ?

Habe den Gutschein angefordert besser als nix und werde meine Konto bewegungen die nächsten Monate überwachen.

Exakt die gleichen Gedankengänge hatte ich letztes Jahr als ich Opfer des Identitätsdiebstahls bei Scalable wurde.

Das Kind liegt nunmal schon im Brunnen.

Was ich direkt gemacht habe war Passwort und eMail-Adresse zu ändern, wobei eMail nur was bringt, wenn das eine ist, die nur für Rasin genutzt wird.

Dann läuft eine erste "Überprüfung" schonmal ins leere.

 

Was den Identitätsschutz angeht: Wenn der über die Schufa läuft, frage ich mich, wie gut der helfen wird. Aber sei es drum.

Mein Tipp: Wenn man den Identitätsschutz eh nicht verlängern will oder muss weil es ruhig bleibt: Frühzeitig kündigen (geht per Mail), weil sonst wird es teuer.

[HalloAktie]

Am 26.8.2021 um 05:36 von CorMaguire:

Hat jemand eigentlich präventiv Schutzmaßnahmen eingeleitet

Ich schaue ab und an bei Have I been pwned , ob meine E-Mail-Adresse noch jungfräulich ist (bis jetzt ja). Spam kam auch nicht vermehrt. Passwort habe ich natürlich auch geändert. Das war es. Konto mache ich mir nicht so große Sorgen, Lastschriften buche ich ggf. halt zurück.

[CorMaguire]

 

vor einer Stunde von HalloAktie:

Ich schaue ab und an bei Have I been pwned , ob meine E-Mail-Adresse noch jungfräulich ist (bis jetzt ja). Spam kam auch nicht vermehrt. Passwort habe ich natürlich auch geändert. Das war es. Konto mache ich mir nicht so große Sorgen, Lastschriften buche ich ggf. halt zurück.

Erstmal Danke für die Rückmeldung ...

Konto mache ich mir auch nicht so große Sorgen.

Aber über das anschließende hin und her mit ggf. getäuschten Händlern/Dienstleistern (ggf. sogar Inkasso) mache ich mir doch ein paar Gedanken. Deswegen auch die Idee die Auskunfteien zu kontaktieren....

 

Passwort geändert ist klar, Konto check ich sowieso täglich und auch bei Have i been pwned oder --> https://sec.hpi.uni-potsdam.de/ilc/search?lang=de. schaue ich immer mal wieder vorbei.

[HalloAktie]

vor 3 Stunden von CorMaguire:

Aber über das anschließende hin und her mit ggf. getäuschten Händlern/Dienstleistern (ggf. sogar Inkasso) mache ich mir doch ein paar Gedanken. Deswegen auch die Idee die Auskunfteien zu kontaktieren....

Ich hatte schon zweimal mit solchen "Spassvögeln" zu tun, die mir irgendwas in Rechnung stellen bzw. anmahnen wollten. Wenn es ein Inkasso-Büro ist, findet man über die Suchmaschine Hinweise, ob das ein halbwegs seriöser Laden ist oder nicht. Oftmals haben sie auch lückenhafte Daten und irgendwas stimmt nicht im Schreiben (außer der Forderung). Ich habe es in einem Fall komplett ignoriert und in dem anderen per Mail eine Antwort mit dem Wortlaut geschrieben: "Netter Versuch". Kam nichts nach. Habe allerdings in den Folgewochen Schufa geprüft. Ob es was bringt, proaktiv die Auskunfteien zu kontaktieren: keine Ahnung. So ein Datensatz will ja schnell und effektiv genutzt werden. Eine Eintragung bei Schufa & Co. kostet nur Zeit ohne einen Effekt zu bringen.

[Allesverwerter]

Am 25.8.2021 um 17:36 von Ethnonym:

Folgende Mail habe ich von einem ehemaligen Fairrriester Besparer bekommen, der aufgrund des Datenschutzvorfall bei raisin angeklopft hatte.

 

 

Vielen Dank für die Kommunikation der Infos. Das erwarte ich proaktiv vom Anbieter und nicht erst auf Nachfrage.

 

Der Umfang der kopierten Daten ist erschreckend, damit ist vieles möglich :-(