Steve Jobs Confirmed the App Store Before the iPhone Launched

This video is from late May 2007, a month before the launch of the iPhone.

Buried in the Q&A section, there is this interesting statement about what would become the App Store. Starts at 49:50.

Question: Brian Dear from Eventful. Steve, all indications so far are that the iPhone is like you say, a beautiful piece of software wrapped in a beautiful piece of hardware.

Steve: Oh, thanks.

Brian Dear: And the fact that it’s running on OS X is a fantastic development. I think I would speak for many developers, perhaps thousands of independent developers who would love to write apps for that platform ’cause I believe it’s gonna be a tremendous platform for the future. But the indications are so far that it’s closed. If you could comment on that, and do you see it opening up for developers in the future?

Steve: Sure, it’s a good question. This is a very important trade off between security and openness, right? And what we want is: we want both. We wanna have our cake and eat it too. And so we’re working through a way… we’ve got some pretty good ideas that we’re working through. And I think some time later this year we will find a way to do that, because that is our intent.

Walt Mossberg: Find a way to open it up so that third party developers…

Steve: Find a way to let third parties write apps and still preserve the security.

Walt: But at the start until you get that in place…

Steve: Find a way… we can’t compromise the security of the phone. This is something that you have to…

Walt: Is this a network issue, is this an AT&T issue? What, when you say the security of the phone?

Steve: You know, I won’t mention names, but I’ve used, we’ve all used a lot of smart phones that crash more than once a day, and with the number of third party apps you put on them, the more they crash. And we don’t… we’re gonna… nobody’s perfect, but we’d sure would like our phone not to crash once a day or more. And so: We would like to solve this problem. I think we’re going down some really good avenues to do it. If you could just be a little more patient with us I think everyone can get what they want.

The question is about native apps like on OS X, and Steve confirms that they’re working on it, and that they want to lock down the platform.

At the WWDC Keynote in June 2007, just a few days later, at the end of the Mac-centric keynote, Steve did the spiel about the “Sweet Solution” for developers on iPhone, HTML Webapps in Safari. Starts at 1:13:20.

The real SDK wasn’t finished, and Steve’s slide says, there is no SDK, spinning it as something good.

Forstall even admits at the end of his demo that they had to look for some kind of a developer story for WWDC, while they were secretly already working on the real App Store that would launch one year later in the summer of 2008.

I think this shows that the narrative that Steve had to get convinced to let third party developers make apps very late in the game, and that the iPhone OS SDK and the App Store were not planned from the start, is wrong. The “Sweet Solution” was a classic RDF by Steve. The SDK simply wasn’t ready for the launch in 2007.

IT für bewegte Bilder

Wir haben in der Sondersendung Bits und so #503 (A Tape a Day) ausführlich über digitales Video gesprochen. Die Sendung gibt in rund drei Stunden einen Überblick über Soft- und Hardware für digitale Videoproduktion und spricht einige der Schwierigkeiten und Lösungsansätze und Workflows an.

Ich möchte hier nochmal einen Teilaspekt ansprechen, der auch in der Sendung kurz genannt wird, aber vielleicht zu kurz gekommen ist:

Ich glaube, an der Schnittstelle zwischen der Videoproduktion und der IT existiert eine interessante Unterversorgung. Die Systeme sind nicht mehr schwarze, unveränderbare Kisten von Sony, sondern lassen sich in größere IT-Umgebungen einbinden.

Es gibt viele Beispiele von erfolgreichen Firmen, die die Reibung an diesen Grenzen reduziert haben. Im Consumerbereich offensichtlich YouTube, Periscope oder Snapchat, die den Zugang zur Videodistribution erheblich vereinfacht haben und damit einer breiten Masse zugänglich gemacht haben.

Im B2B-Umfeld gibt es eine Anzahl von Firmen, die mit mehr oder weniger simplen Anwendungen erfolgreich sind. Einige nicht zwangsläufig repräsentative Beispiele:

  • SnappyTV ermöglicht das einfache Teilen von Ausschnitten von eigenem Bewegtbild auf sozialen Medien. Knapp $3M Finanzierung, von Twitter aufgekauft.
  • Bitmovin ist ein Wolkenservice, der Video in streambare Formate reenkodiert. Praktisch unabhängig von der Menge und Länge ist das Video in 10 Minuten verarbeitet. $10M Finanzierung.
  • Kasper Skaarhoj baut Control Surface Hardware für die Videoproduktion.
  • LiveU scheint Videozuspielung, traditionell über Satellit, erfolgreich auf (drahtlose) IP-Netze umgebogen zu haben.

Fast alle großen Cloud-Anbieter (AWS, Google, Azure etc.) haben eigene Videoangebote von der Stange, die mit etwas mehr Verpackung für Endanwender großen Mehrwert leisten können. Und natürlich die skalierbaren Kapazitäten, die man selbst wie gewünscht programmieren kann.

Das geht bis zu für ITler trivialen Kleinigkeiten: Nils hat in der Sendung ein kleines Tool angesprochen, das “nur” die Einstellungsdateien der Videoschnittsoftware umsortiert. Das ihm unendlich viele Kopfschmerzen und Zeit einspart und damit auch Geld wert wäre.

Ich kenne ein Einmann-Projekt für professionelle Weiterbildung per Videostream in einem winzigen vertikalen Markt.

Weitere Ideen:

  • Gyroskopie für nachträgliche Bildstabilisierung, wie bei Hyperlapse
  • AI-unterstützte Untertitel und Timing von Transkripten, wie bei YouTube
  • Datenbank-gestützte, kollaborative Verwaltung von Einblendungen
  • Automatisierte Aufzeichnung und Verteilung von Konferenzen/Meetings, wie bei Apples eingestelltem Podcast Producer
  • Irgendwas mit VR™
  • Asset Management, Anbindung an die XML-Formate der NLEs
  • Versionierung von Projektdaten
  • Skype TX ohne Skype, Videokonferenz, WebRTC zu SDI und umgekehrt

Oder etwas allgemeiner formuliert: Videoproduzenten und -verarbeiter brauchen einen Nerd im Schrank. Nicht, dass dort nichts passieren würde, aber ich glaube, es gibt Luft nach oben. Sobald die Anforderungen der Videoproduktion an Grenzen stoßen, lässt sich sehr wahrscheinlich eine Lösung in Software dafür finden.

Ich habe in den letzten Jahren rund 800 Stunden Live-on-Tape Video produziert. Das wäre ohne die entsprechende selbst entwickelte Software zur Automatisierung so nicht möglich gewesen.

Wer als Informatiker seine nächste Aufgabe sucht, oder als Videomensch seine tagtäglichen Probleme gelöst sehen möchte, sollte möglicherweise mal miteinander sprechen.

Wer interessante Projekte in diesem Umfeld für mich hat, darf sich auch gerne bei mir melden.

Dude, Where’s My Phone?

Über die Feiertage wurde mir diese Geschichte erzählt, ich fasse zusammen:

Herr S. verliert Anfang Dezember sein Smartphone. Er ruft die Hotline seines Providers an, die SIM muss gesperrt werden. Er fragt außerdem, ob er ein neues Smartphone in seinen 20 Monate alten Vertrag bekommen kann, den er eigentlich gerade kündigen wollte. Das Angebot, das er dann leider angenommen hat:

  • Vorzeitig neues Smartphone: 15 Euro Gebühr pro Monat = 60 Euro
  • Samsung Galaxy S6, ein zwei Jahre altes Modell, Neupreis aktuell 400 Euro für 150 Euro
  • Und die Vertragsverlängerung für einen 50 Euro-Vertrag mit 1GB Datenvolumen

Macht über die zwei Jahre rund 1400 Euro.

Für 1100 Euro hätte er auch ein brandneues Galaxy S7 und den gleichen teuren Vertrag bekommen können. Oder ein Pixel XL, oder ein iPhone 7.

Wäre er stattdessen in den nächsten Laden des gleichen Anbieters gegangen und hätte eine Prepaid-SIM und das gleiche Galaxy S6 gekauft, wären es 760 Euro geworden.

Hätte er mich gefragt, hätte ich ihm ein brauchbares Smartphone und eine Prepaid-SIM für weniger als 400 Euro über zwei Jahre finden können.

Wie man es dreht und wendet, der eine Anruf in der Alter-wo-ist-mein-Handy-Panik hat ihn rund 300 bis 1000 Euro zu viel gekostet, die er sich nicht leisten kann, im Wesentlichen für etwas WhatsApp und Facebook, auf einem alten Smartphone-Modell. Für einen Widerruf war es schon zu spät.

Macht nicht den gleichen Fehler, und nutzt die Gelegenheit, eure Verwandten zu warnen: Wenn das Handy verloren geht oder gestohlen wird, lasst euch nicht von der Hotline zu einer Verlängerung überreden. Erst recht, wenn das Geld knapp ist. Im Aldi stehen zur Not Smartphone-ähnliche Geräte für unter 100 Euro in der Vitrine.

M94,5 wird abgeschaltet

Meinem ehemaligen Aus-und Fortbildungs-Radiosender M94,5, bei dem ich das Handwerk gelernt habe und viele Jahre verbracht habe, droht die Abschaltung seiner UKW-Frequenz 94,5MHz. Die BLM, die für die Vergabe zuständig ist, will die Frequenz wohl an Rock Antenne vergeben, einen Zweitverwertungssender von Antenne Bayern, einem unhörbaren Formatradioungetüm.

Die Erklärung der BLM ist freilich blanker Hohn – die Abschaltung ist wohl schon beschlossene Sache.

Im Hörfunkausschuss am 9. Februar 2017 wird es darum gehen, die Münchner UKW-Frequenz 94,5 MHz möglichweise einem anderen Programm zuzuweisen. Die Ausstrahlung von afk M94.5 über DAB+ und Internet bliebe selbstverständlich weiterhin erhalten. An der potenziellen technischen Reichweite würde sich nichts ändern. Aus Sicht der Landes­zentrale ist die UKW-Frequenz nicht nötig, um die Ausbildungsziele zu erreichen. Vielmehr sieht die BLM den afk als eine Speerspitze der digitalen Entwicklung.

Der BLM liegen Interessensbekundungen von Rock Antenne und egoFM für die UKW-Frequenz 94,5 MHz vor, die beide als Satellitenhörfunkprogramme grundsätzlich UKW-Stützfrequenzen erhalten können.

Zur Weiterentwicklung der Aus- und Fortbildungskanäle bedarf es strategischer Partnerschaften mit den privaten Hörfunkanbietern, wozu sowohl die Rock Antenne als auch egoFM einen wesentlichen Beitrag leisten können.

Übersetzung: Rock Antenne bekommt die Frequenz, egoFM ist in München ohnehin flächendeckend auf der 100,8MHz zu empfangen. Das kommt einer Abschaltung von M94,5 gleich. DAB+ hat vergleichsweise keine Empfangsgeräte, per Internet hat mobiles Radiostreaming dank restriktiver Mobilfunkverträge in Deutschland praktisch keine Relevanz. Wer glaubt, ein Radiosender ohne UKW-Frequenz hätte zur Zeit eine Chance, gehört zu werden, sei auf die Probleme verwiesen, die BR Puls hat: Nämlich keine Hörer. Und ohne Hörer kann man den Laden auch gleich ganz dichtmachen.

Deutschland hat digitalen Rundfunk verschlafen, eine FM-Abschaltung wird noch Jahrzehnte dauern, und das Aufsichtsorgan will dem einzigen Ausbildungssender seine Hörer nehmen und stattdessen lieber Rock Antenne den TKP um ein paar Cent erhöhen. Das ist unglaublich kurzsichtig und hat einen sehr unangenehmen Beigeschmack von “strategischer Partnerschaft” zwischen Antenne und der BLM.

Ich bitte deswegen meine Hörer um Unterstützung von M94,5, ohne das es weder Bits und so, noch die Sprechkabine, noch Walulis sieht fern, noch viele weitere Kollegen gäbe, die ihren Einstieg ins Mediengeschäft bei M94,5 gefunden haben.

Petition unterzeichnen: “Wir bitten um den Erhalt des Ausbildungsradios m94.5 als UKW”

Mitteilung von M94,5: Die Folgen eines möglichen Frequenzverlusts

“Mythos” Speedport-Hack

Die Telekom hat eine eigene Darstellung des Ausfalls veröffentlicht:

Mythos offene Schnittstelle: Was wirklich geschah

Kein Mythos. Der Port war offen. Wäre er nicht offen gewesen, wäre nichts passiert.

Der ACS hat das Endgerät dazu aufgefordert, sich bei ihm zu melden. Diese „Anklopffunktion“ wird im TR-069 Standard als sogenannter „Connection Request“ beschrieben.
Damit der Connection Request funktionieren kann, muss das Endgerät für den ACS über das Internet erreichbar sein. Laut Standard ist hierfür der Port 7547/tcp vorgesehen, der auch von allen Speedport Routern dazu genutzt wird. Das Auslösen des Connection Requests erfolgt über das HTTP Protokoll. Bei den Speedport Routern ist dieser Mechanismus durch verschiedene Sicherheitsfunktionen gegen Missbrauch geschützt. Beispielsweise muss der ACS sich gegenüber dem Endgerät mittels eines geräteindividuellen Passworts authentifizieren.

Das Endgerät muss nicht aus dem Internet erreichbar sein, es muss für den ACS der Telekom und für sonst niemanden erreichbar sein. Wie diese Einschränkung umgesetzt wird, sei dahingestellt. Sollten sich die Provider wirklich nicht von der “Fernwartung” trennen können, scheint ein Wartungs-VLAN eine denkbare Lösung zu sein, das den Port aus dem Internet nicht erreichbar macht.

Nochmals: Das Auslösen eines Connection Requests bewirkt, dass das Endgerät eine sichere Verbindung zum vorkonfigurierten ACS der Deutschen Telekom aufbaut. Der Connection Request ermöglicht grundsätzlich keinen Zugriff auf das Datenmodell des Endgerätes.

Nochmals: Plastikrouter ohne nennenswerte Sicherheitsupdates mit offenen Ports ins Internet zu stellen, ist eine schlechte Idee.

Die aktuellen Angriffe betreffen jedoch nicht den ACS, sondern den Endpunkt für den Connection Request auf dem Endgerät, der über Port 7547/tcp erreicht werden kann. Die hierbei verwendete Angriffsmethodik ist neu und war bis dato nicht bekannt. Nach aktueller Sachlage basiert diese auf einer Veröffentlichung im Internet von Anfang November 2016.

Das grundsätzliche Problem ist die schlecht abgesicherte Software auf Kundenseite. Ein konkreter Angriff muss nicht bekannt sein, um festzustellen, dass die eigene Hardware betroffen sein könnte.

Heise dazu im Jahr 2014:

Ein weiteres Problem sei die Qualität der ausufernden Spezifikation von TR-069. Sie sieht zwar beispielsweise eine per SSL/TLS gesicherte Verbindung zwischen ACS und Endgeräten vor – aber fahrlässigerweise nur als Empfehlung.

Der Forscher untersuchte auch einige hundert URLs, die ISPs zur Kommunikation zwischen Endgerät und ACS verwenden. Ergebnis: 81 Prozent aller Verbindungen finden ungesichert per HTTP statt. “Damit genügt im Prinzip ein einzelnes, korrekt zusammengesetztes Paket, um einen Update mit manipulierter Firmware auszulösen”, so Tal.

Aber selbst wenn TLS zum Einsatz kommt, gibt es Probleme: Ein von Tal untersuchtes DSL-Modem habe beliebige, selbstsignierte TLS-Zertifikate akzeptiert. Damit sei eine Man-in-the-Middle-Attacke möglich, bei der sich der Angreifer als ACS ausgibt. Problematisch sei auch, dass viele ISPs die TR-069 betreffenden Einstellungen in den Routern verstecken und sachverständigen Kunden somit keine Chance lassen, die Konfiguration selbst zu prüfen oder zu ändern.

Ich halte TR-069 für eine grundsätzlich sehr schlechte Idee, die aus dem CPE-Denken der Provider herrührt, die Box auf Kundenseite sei Teil des Providernetzes.

Wieder die Telekom:

Der aktuelle großflächige Angriff war nicht spezifisch für die Speedport Router der Deutschen Telekom ausgelegt, d.h. er nutzt keine Schwachstelle in den Speedport Routern der Deutschen Telekom aus. Nach aktuellem Kenntnisstand sind keine Speedport Router von der im Internet publizierten Problematik betroffen, d.h. es ist nicht möglich, mit dieser Methodik eine Schadsoftware auf einem Speedport Router zur Ausführung zu bringen.

“From the department of not-my-problem” ist hier eine schlechte Ausrede. Der nächste Angriff funktioniert vielleicht, und dann ist eben nicht eine Million Router abgestürzt, sondern beteiligt sich mit permanent gehackter Firmware an einem DDOS. Was dann? Millionen Geräte tauschen, Anschlüsse sperren, Brennpunkt in der ARD.

Heise:

Versäumnis der Telekom
Fehler kann man der Telekom natürlich trotzdem vorwerfen: Der Fernwartungs-Port TR-069 hätte nicht offen aus dem Internet erreichbar sein dürfen. Auch wenn die Router für die aktuellen Angriffe nicht anfällig waren, kann man gerade bei einem solchen selbstgestrickten Betriebssystem mit proprietärer TR-069-Implentierung getrost davon ausgehen, dass es andere Sicherheitslücken aufweist, die sich missbrauchen lassen. Weinmann deutet auch bereits an, weitere Fehler gefunden und der Telekom gemeldet zu haben.

Kommentar von Nico Ernst bei Heise, dem ich mich anschließen kann:

Die Fernwartung von Routern über die TR-Protokolle darf als gescheitert angesehen werden. Kriminelle haben die millionenfach vorhandenen Plastikkästchen als Angriffsziel entdeckt, die Attacken galten nicht allein manchen Speedport-Modellen der Telekom. Vielmehr handelt es sich um einen Schrotschuss auf alles, was über den Port 7547 per Internet erreichbar ist.

Man darf wohl davon ausgehen, dass diese und die zahlreichen weiteren Lücken in den TR-Protokollen der Telekom bekannt waren. Sonst wäre kaum eine so schnelle Anhilfe durch neue Firmware möglich gewesen. Schon weniger als 24 Stunden nach Bekanntwerden der Angriffe verteilte die Telekom die neuen Versionen

Netzpolitik.org:

Was hat die Telekom falsch gemacht?

Der TR-069-Port hätte über das Internet nicht von arbiträren IP-Adressen erreichbar sein dürfen – dafür gibt es ACLs, Firewalls und getrennte Management-Netze. Darauf wurde die Telekom schon 2014 von ihren eigenen Kunden aufmerksam gemacht.

Ergebnis [ist] der Ausfall von fast einer Million Internet-Anschlüsse ist, der nicht verharmlost werden sollte: Er konnte sogar ohne Absicht des Angreifers ausgelöst werden.

Der nächste Angriff auf die 18 Millionen DSL-Anschlüsse in Deutschland ist vielleicht ernstgemeint. Per Pressemitteilung die eigene Verantwortung abzuwälzen, hinterlässt schlechte Gefühle.

Wenigstens der Telekom-Chef hat wohl das Memo gelesen, bevor es durch die PR-Abteilung ging und sagt:

Speedport-Hack – Telekom kannte die Schwachstelle

Ein Detail zu dem großflächigen Ausfall bei Telekom-DSL-Kunden gestern, das in den Mainstream-Berichten häufig fehlt:

Heise:

Es sieht alles danach aus, als ob es sich um eine Variation der TR-069-Lücke handelt, die bereits 2014 von CheckPoint publik gemacht worden war. Zu diesem Zeitpunkt hatten deutsche Provider (darunter auch die Telekom) ihre Netze für sicher erklärt.

Die grundsätzliche Problematik der TR-069/064 Fernwartungs-Schnittstelle war seit mindestens zwei Jahren öffentlich bekannt und betrifft potentiell nicht nur die gestern betroffenen Speedport-Router, sondern alle Arten von Routern.

Der gestrige Ausfall erscheint mir also durchaus T-hausgemacht, und hätte leicht präventiv verhindert werden können, denn:

Internet-Verkehr wurde auf den dafür genutzten Port 7547 an die Router durchgeleitet. Ein legitimer Anwendungsfall dafür mag sich mir nicht erschließen.

Das grundsätzliche Problem war bekannt, und die Gegenmaßnahmen im eigenen Netz waren unzureichend. Wenn Angriffe auf diesem Port seit Jahren bekannt sind, und ein legitimer Zugriff nur aus dem Support-Netz der Telekom stammen dürfte, hätte der Port schon seit Jahren für Zugriffe aus dem Internet gesperrt sein müssen.

Die Aussagen der Telekom-Sprecher verschleiern die eigene Fahrlässigkeit.

Tagesschau

Die Fernwartung (“Easy Support” bei der Telekom) ließ sich lange auf gemieteten Speedports nicht deaktivieren. Das geht laut Dokumentation inzwischen. Update: Ist allerdings vertraglich bei Mietroutern weiterhin untersagt.

Eine wirkungsvoller Workaround wäre vermutlich schon am Sonntag gewesen: Router ohne DSL-Kabel booten, Fernwartung deaktivieren. Aber das hätte nur zusätzlichen Support-Aufwand in der Zukunft verursacht oder weitere Sicherheitsupdates verhindert, weil das Auto-Update nicht mehr angestoßen werden kann. Die Fernwartungs-Schnittstelle stellt ein großes Risiko dar und offener Zugriff darauf aus dem Internet hätte schon seit mindestens zwei Jahren aufgegeben werden sollen.

Details zum Angriff beim ISC

Tim Cook on iPod Classic and Mac Pro (2014)

From the Q&A at WSJD Live, November 2014. Starts at 28:45 in the video.

Q: [Why did you kill the iPod Classic 160GB?]

Tim Cook: “Because we couldn’t get the parts anymore. Not even anywhere, they’re not made anymore. And so we had the choice of either of doing a total redesign, a totally new project. Or try to get people to go to the iPod touch, if they wanted a sort of dedicated music device. iPod touch is not really a dedicated music device, but I think you know what I’m saying. We’re shipping a lot of flash in it now. You can get almost all the ones that you get on your Classic. Not quite yet. Over time, that might change. And so, it wasn’t a matter of where I was swinging the axe saying, let me see what I can kill today.
The engineering work to design a whole new product was pretty massive. And the number of people who wanted it, very small. Sometimes we decide to do those anyway, like Mac Pro. We’re doing those for our creative customers, but in the case of iPod [Classic] I felt that there are reasonable alternatives there and I’m sorry if you didn’t feel that way, because I want to keep you as a customer. But that was the rationale.”

To put it in other words: The Mac Pro wasn’t making enough money to justify the 2013 redesign in the first place from a pure business perspective. But they did it anyway for their creative customers. Is the MacBook Pro 2016 a reasonable enough alternative?

Amazon Dash Button mit Kindersicherung

Amazon hat seinen kostenlosen IoT-Button “Dash” vor einigen Tagen in Deutschland gestartet. Nach der ersten Bestellung von Rasierklingen lässt er sich aber auch für sinnvollere Smart-Home-Aktionen umfunktionieren.

Das ist ausführlichst im Netz für die erste Hard- und Software-Revision des Buttons von 2015 dokumentiert, der in den USA verkauft wurde. Allerdings gibt es in der zweiten Revision Änderungen, die das wohl etwas erschweren möchten. Sprich: Das einfache Setup per Browser wird nicht mehr unterstützt und jeder Button wird an einen Amazon-Account geknüpft, der sich beschwert, wenn man kein Produkt für den Button ausgewählt hat. Positiv bei der zweiten Revision: Es müsste eine nicht festgeschweißte Batterie verbaut sein, die sich leichter tauschen lässt, wenn man denn das Gehäuse halbwegs zerstörungsfrei öffnen kann.

Mit einer einfachen Kindersicherung in der Fritzbox lässt sich dem Button nach der halben Ersteinrichtung (Wifi ja, Produkt nein) aber der Zugang zu amazon.com leicht abdrehen, die die unerwünschten Kauferinnerungen auf dem Smartphone wirkungsvoll unterbinden. Im Zugangsprofil müssen “HTTPS-Abfragen” deaktiviert werden und eine Blacklist auf “amazon.com” gesetzt werden.

Mit etwas Heißluft lässt sich das Label auch leicht ablösen und durch ein eigenes ersetzen.

Ein kleiner ARP-Sniffer im lokalen Netz hört auf die MAC-Adresse des Buttons und kann dann eine Aktion auslösen. Das ist nicht besonders elegant, funktioniert aber recht zuverlässig. Die Auswahl auf Github ist üppig.

Ich hoffe, Amazon verkauft auch bald den eigens dafür gedachten IoT-Button in Deutschland, der diesen Hack unnötig macht. Wer wieder Rasierklingen haben möchte, entfernt einfach die Kindersicherung wieder und vervollständigt das Setup des “gehackten” Buttons in der Amazon-App.

Statt Paydirekt: Zaster

Paydirekt ist Murks, Made in Germany. Zurück ans Reißbrett, wir entwerfen ZASTER (schnell Zahlen An Shops ansTelle schrEcklicher voRkasse).

Das Ziel ist es, kostengünstig Online-Shops mit dem Online-Banking zu verbinden.
Das ist unter anderem auch reiner Eigennutz, denn ich verliere erhebliche Gebühren sowohl an Apples App Store, als auch an Kreditkarten und PayPal, worüber ein Großteil meiner Umsätze im Shop läuft. Und auch als Konsument verzweifle ich ab und an über Online-Shops, die dank sehr dünner Margen erheblichen Aufpreis für Zahlungsmethoden verlangen, die nicht Vorkasse sind.

Der Kunde wünscht einen schnellen Einkauf und schnelle Lieferung. Deswegen sind die Nachteile der nahezu kostenfreien Vorkasse-Überweisung:

  1. Die fehlende Schnittstelle vom Shop in das Onlinebanking, der Kunde muss das Formular von Hand ausfüllen
  2. Die Überweisung, die im Anschluss oft tagelang unterwegs ist

Sofort umgeht diese Probleme und kassiert dafür eine stattliche Gebühr dafür, dass sie

  1. Die Schnittstelle vom Shop in das Online-Banking bereitstellen, nämlich einen Scraper, der anstelle des Kunden den Überweisungsträger ausfüllt
  2. Und dem Shop garantiert, dass die Überweisung unwiederbringlich abgeschickt wurde, indem die TAN anstelle des Kunden in das Online-Banking getippt wird

Wir müssen also

  1. Eine Schnittstelle von dem Shop in das Online-Banking schaffen
  2. Dem Shop garantieren, dass die Überweisung erfolgreich abgeschickt wurde

Der aufmerksame Leser wird das Prinzip jetzt durchschaut haben. Es braucht keinen Abschluss in BWL oder ein Team von Beratern, um sich den Rest auszudenken.

Oder man wirft einfach einen Blick über die Grenze in die Niederlande.

Die Lösung dort heißt iDEAL, sie bietet

  1. Eine Schnittstelle vom Shop in das Online-Banking
  2. Garantiert dem Shop, dass die Überweisung erfolgreich abgeschickt wurde

Auf unser fiktives Zaster angewandt bedeutet das:

  1. Der Shop übermittelt die Zahlungsdaten an Zaster, und erhält im Gegenzug ein Token, mit dem er den Käufer an den Zaster-Server weiterleitet
  2. Der Käufer gibt seine BIC (oder IBAN) ein und wird zum Online-Banking seiner Bank weitergeleitet
  3. Der Käufer loggt sich in sein Online-Banking ein und findet die Überweisung bereits ausgefüllt vor, legitimiert sich per TAN
  4. Die Bank leitet den Käufer zurück in den Shop und bestätigt dem Shop mit dem Token, dass das Geld unwiederbringlich unterwegs zu ihm ist
  5. Der Shop kann am gleichen Tag die Ware abschicken

Das ist nicht ganz unähnlich zu GiroPay, das allerdings auch keine Rolle spielt. Jetzt wäre die Chance für einen Neustart, denn den Banken und Paydirekt selbst sollte die schlechte Lage wohl intern durchaus bewusst sein.

Die großen Vorteile wären:

  • Keinerlei Kosten für Tigerleggings-Endkunden-Marketing bei Olymischen Spielen
  • Kein Login, denn jede IBAN mit Online-Banking ist schon Zaster-fähig
  • Tatsächliche Kosten: 100 Euro pro Monat für einen Server in einem deutschen Rechenzentrum und 5000 Euro für einen Full Stack-Developer/DevOps-Administrator. Wir runden auf: 100.000 Euro im Jahr
  • Self-Serve Sign-On für die Shops. Legt noch 50000 Euro für 10 Shop-Plugins im ersten Jahr drauf
  • Die Geschwindigkeit von Sofort, ohne weitere Kosten

Ein weiterer Login für Paydirekt ist Wahnsinn. Viele Leute kennen kaum den Unterschied zwischen ihrem Login für den App Store und ihre Email. Was hat in der breiten Masse funktioniert? WhatsApp. Die Anmeldung läuft dort einfach über die Telefonnummer. Mit großen Mühen haben die Banken im Zuge der SEPA-Umstellung die IBAN unter die Leute gebracht. Warum nicht diesen "Login" in Verbindung mit dem Online-Banking nutzen?

Für die 100 Millionen Euro, die schon in Paydirekt versenkt worden sind, könnte man Zaster also 1000 Jahre betreiben. Aber es geht um ineffiziente Banken. Selbst mit einem Geldverschwendungs-Faktor von 10 oder 100 würde es sich vergleichsweise unendlich lang selbst tragen. Auf Seite der Banken wäre nur eine API nötig, die die Daten von Zaster entgegennimmt und einen Ping zurückschickt mit dem Ergebnis der Überweisung. Wer mitspielen will, gibt seinen Online-Banking-Entwicklern für eine Woche eine kleine Aufgabe.

iDEAL ist nicht so ideal, wie es der Name impliziert, aber wir könnten von den Nachbarn lernen. Wikipedia berichtet von Verfügbarkeitsproblemen. Wir legen einfach noch einen zweiten Server dazu.

Die Anmeldung muss noch einfacher sein (Self-Serve, mit Demo-Code), und die Gebühren müssen niedrig sein. iDEAL nimmt größenordnungsmäßig 20 Cent für eine Transaktion, hinter einem Dienstleister vielleicht 50 Cent.

PayPal hat in den ersten Jahren Millionen Dollar an Neukunden verschenkt, um den Fuß in die Tür zu bekommen. MasterCard hat das Memo bekommen, die hauseigene PayPal-Konkurrenz MasterPass lockt Neukunden mit Dutzenden von Euro Rabatt auf den ersten Kauf. Die Banken haben die Kunden schon, sie müssen ihnen nur zwei Klicks sparen und zwei Tage Wartezeit auf das Paket. Das Online-Banking ist etabliert, die Sicherheits-Infrastruktur mit TANs und SMS und Kram steht. Und den Händlern Gebühren ersparen, nicht den Weg versperren wie bei Paydirekt.

Wir haben in Deutschland einen Rückstand von knapp 20 Jahren auf PayPal, der aufgeholt werden will. Zaster könnte 5 oder 10 Jahre komplett gebührenfrei für den Händler laufen, danach könnte man über Gebühren im kleinen Cent-Bereich nachdenken. Wer im Jahr 2015 mit Gebühren einsteigt, die höher sind als die von PayPal, muss sich seinen Kopf untersuchen lassen. Selbst mit 0,1% Gebühren hätte Zaster leicht ein Gebührenpotential von über 5 Millionen Euro im Jahr.

Die Händler, die da nicht sofort aufspringen, möchte ich sehen. Ich wäre dabei.

Die deutschen Banken haben in den 1980ern mit BTX einen großen Schritt in das Online-Banking gewagt und seitdem alles komplett verschlafen. Jetzt wäre die Chance, Online-Shopping von einem Tag auf den anderen komplett zu revolutionieren und den Mittelsmännern gehörig das Geschäft schwierig zu machen. iDEAL hat in den Niederlanden einen Anteil an den Online-Umsätzen von über 50%. Paydirekt braucht nach einem Jahr viele Nachkommastellen, um seinen Anteil anzugeben.

Zaster ist so offensichtlich, dass es weh tut. Jede Bank, die das implementieren möchte, ist aber trotzdem herzlich eingeladen, mir absurde Beratungshonorare zu bezahlen. Über 44 Milliarden Euro Umsatz jährlich und rund 1 Milliarde eingesparte Gebühren für deutsche Online-Händler warten. Alternativ kann Paydirekt schnurstracks und peinlich in den Abgrund manövriert werden, und unendlich viel Geld für nichts versenkt werden.

Nach einem Jahr Paydirekt

Paydirekt-Kundin in Tigerleggings Bild: Sparkasse
Paydirekt-Kundin in “Tigerleggings”
Bild: Sparkasse

Fragt man Paydirekt oder das marketingstarke Zugpferd, die Sparkasse, was das überhaupt soll, kommt folgende Antwort:

Positioniert hat sich Paydirekt gegen PayPal, wenngleich der viel passendere Vergleich eigentlich SofortÜberweisung gewesen wäre. Nur ist das Image von PayPal in Deutschland aus mir nicht nachvollziehbaren Gründen sehr viel angeschlagener und gibt deswegen ein schöneres Ziel ab. Vielleicht kommt das von alten Ammenmärchen vom eBay-Betrüger, der von PayPal in Schutz genommen wird. Das ist sicher vorgekommen, aber nicht die Regel. Ich zumindest hatte sowohl als privater Käufer wie auch als gewerblicher Verkäufer in den letzten 10 Jahren bei PayPal keinerlei Probleme.

Der Datenschutz: Wäre das ein Problem, um das sich deutsche Konsumenten tatsächlich kümmern würden, wäre Facebook in Deutschland eine Wüste. Stattdessen muss sich (zurecht!) das sympathische Startup aus Kalifornien beim Minister rechtfertigen, weil sich dort zu viele Idioten tummeln.

Während der Olympia-Übertragungen aus Rio schaltet die Sparkasse diese Spots:

Die absurde Botschaft: Du wirfst dein Geld im Internet für Müll aus dem Fenster? Dann zahl doch mit uns, das ist wenigstens sicher.

Die große Unsicherheit allerdings, die die Spots implizieren, gibt es gar nicht. PayPal, um bei dem auserkorenem Konkurrenten zu bleiben, erstattet bei nicht grob fahrlässigem Missbrauch des Accounts den vollen Betrag. Wer sein Passwort in die nächstbeste Phishing-Mail eintippt, würde das bei Phishing gegen Paydirekt ebenso tun. Es gibt ohne Zweifel Fehlentscheidungen bei jedem Zahlungsanbieter. Hätte Paydirekt seit 10 Jahren hunderte Transaktionen pro Sekunde, so wie PayPal, die Horrorgeschichten müssten sich nicht lange suchen lassen.

Tatsächlich ist auch hier eher Sofort zu kritisieren, die sich im Namen des Kunden in dessen Onlinebanking einloggen und dort vollen Zugriff auf alle Kontobewegungen, Kontostand und persönliche Daten erhalten. Tatsächlich scheint das in der Praxis "sicher" zu funktionieren, aber der Beigeschmack ist auch mir zu schlecht, ich habe Sofort wieder aus dem Shop entfernt. Die Gerichte halten Sofort für ein gängiges Zahlungsmittel, ich rate aber zur Vorsicht bei der Eingabe von TANs in Websites, die nicht von der Bank stammen.

Sicherheit! Wo greift der Käuferschutz bei Paydirekt? Die Einschränkungen sind verblüffend ähnlich zu denen von PayPal. Virtuelle Güter sind nämlich ausgeschlossen. Keine Sicherheit für Schlumpfbeeren. Wie es in der Praxis bei Betrug aussieht? Mangels Transaktionen bisher keine Erfahrungsberichte bei Paydirekt. Und: wer nur laut genug "sicher" im Slogan hat, wird bei entsprechender Beliebtheit von den Hackern auf's Korn genommen.

Käuferschutz: Sollte die Ware einmal nicht versandt werden, keine Sorge! Mit paydirekt genießen Sie vollen Käuferschutz. Melden Sie uns einfach über Ihren Kundenbereich Ihr Anliegen und wir kümmern uns darum. Sie erhalten im Fall der Fälle eine volle Erstattung des Kaufbetrags sowie der Versandkosten bei versandfähigen Waren.

Sofort lässt sich einen Schutz zusätzlich bezahlen, denn tatsächlich steht hinter dem Konzept einfach nur eine Vorkasse-Überweisung, die keinerlei Schutz von irgendwem genießt.

Damit kein falscher Eindruck entsteht: Ich möchte weder PayPal noch Sofort in Schutz nehmen. Die Gebühren von beiden sind zu hoch, das Interface und die API von beiden ist oder war zumindest lange Zeit eine Zumutung, aber sie haben einen enormen Vorteil: In fast jedem deutschen Onlineshop, und sei er noch so exotisch, wird zumindest einer von beiden als Zahlungsmethode angenommen. Und kommt mir nicht mit Datenschutz. Facebook weiß ohnehin, was ich eingekauft habe, weil ich im Zweifelsfall mit seinem unverschlüsselten Bot darüber gechattet habe oder über Facebook-Buttons gestolpert bin.

Was bleibt noch? Ach ja, Barzahlen.de. Konzept: Wir nutzen die Kassen im Supermarkt als Bankschalter und lassen Kunden quasi-anonym mit Bargeld bezahlen. Das erfreut sich wohl einiger Beliebtheit bei N26, dem sympathischen Fintech Startup aus Berlin, das sich damit die Geldautomaten-Gebühren sparen will. Wenn es denn nicht am Kassenpersonal bei Rewe scheitert. Ein Hörer hatte sich bei mir gemeldet, der einen Onlineshop betreibt und sehr erfolgreich Barzahlen.de als Zahlungsmethode anbietet: Es ist ein Headshop, verkauft also Zubehör für den Konsum von Cannabis und anderen Rauchwaren. Würden seine Kunden bedenkenlos bei Paydirekt zahlen?

Das Versagen auf Händlerseite ist inzwischen ausreichend dokumentiert. Es gibt keinen Self-Sign-On (es läuft über die Hausbank, vermutlich sind Faxgeräte beteiligt), es gibt keine zuvor einsehbaren Preise (Verhandlungen mit allen Banken einzeln sind vonnöten), die Preise sind allerdings laut Insidern höher als bei der Konkurrenz. Bevor ich freiwillig einen Bankberater anrufe, geschweige denn ein Dutzend, habe ich schon lange den PayPal-Warenkorb auf der Seite integriert.

Essentiell für die Masse der kleinen Shops sind Plugins für die gängigen Shopsysteme, für die Paydirekt eine Lizenzgebühr von einer Drittfirma einkassieren lässt. Stripe macht vor, wie es geht: In der Dokumentation sind direkt Codeschnipsel mit gültigen Testkeys, die zeigen, wie die Abrechnung funktioniert. Kann man in ein Terminal kopieren und sehen, ob das für den eigenen Shop funktioniert.

Man kann den Twitter-Account damit ein wenig foppen, aber das Vergnügen hilft nicht nachhaltig gegen die Probleme.

Das Resultat nach einem Jahr Paydirekt: Die Sparkasse meldet in internen Folien 400 Transaktionen. Pro Woche. Passender Kommentar dazu: Dafür braucht man ja noch nicht einmal den Rechner hochfahren. Das geht von Hand. Eine Überweisung alle 20 Minuten. Glückwunsch. Paypal macht über 200 pro Sekunde.

Das Englische kennt die schöne Redewendung für die Situation: Throwing good money after bad. Bisher sind wohl zumindest 100 Millionen Euro in Paydirekt versenkt worden. Um das noch ein paar Jahre weiterzuschleppen, sind noch viele weitere Millionen nötig. Und dann wird die Bude schulterzuckend dichtgemacht oder wie ein ungeliebtes Spielzeug in der Ecke liegengelassen, wie GeldKarte und GiroPay, die anderen gescheiterten Versuche der deutschen Banken, weg vom Überweisungsträger.

Ich empfehle also dringend, Paydirekt noch vor dem Weihnachtsgeschäft schnell wieder dichtzumachen. Denn eine sinnvolle Alternative wäre bis dahin sehr einfach zu implementieren, und PayPal und Sofort würden 2017 in Deutschland kaum noch einen Cent Umsatz machen.

Wir überlegen uns morgen in Teil 2 dieses Posts mal, was überhaupt das Ziel ist (das Paydirekt irgendwo in einem Meeting aus den Augen verloren hatte), und wie das System aussehen würde.