privacy service   a-cert e-rating.at
e-commerce News | Bewertungsmethoden | Shop anmelden | Benutzer registrieren | Mitglied werden | Hilfe
2006/08/02 Kommt das Bankomatsystem an sein Ende?
Unglaubwürdige Legende von der Chipmanipulation an Bankomatkassen - unzureichende Schadenersatzregelung bei gesperrten Karten - Konsequenzen für Konsumenten - lange Geschichte von Problemen - Magnetstreifen sollte sperrbar sein - Bankomatkartensystem droht das Euro-Check-Schicksal

Legende von der Chipmanipulation der Bankomatkassen

Bei den jüngsten Bankomatbetrugsfällen wurden die Bankomatkassen zuerst so manipuliert, dass die Kartendaten und der PIN-Code aufgezeichnet wurden. Nach einigen Tagen/Wochen wurden die Kassen "abgeholt" und mit den Daten neue Karten erzeugt.

Abgewickelt wurde die Aktion im Zuge zweier Einbrüche (bzw. ließen sich die Täter in die Geschäftsräumlichkeiten einsperren). Mehrere Medien berichteten dabei, unter Berufung auf Polizeiangaben, dass ein "Chip" eingebaut worden sei, der die Daten speicherte. Im übrigen verweigert der für die Ermittlung zuständige Polizeireferent des Bundeskriminalamts jede konkrete Auskunft.

Diese Darstellung des Manipulationshergangs ist jedoch technisch wenig plausibel und unglaubwürdig. Auch der Betreiber des Systems bestätigte nicht diese Version.

Manipulationen an der Hardware von IT-Geräten, wie es die Bankomatkasse eines ist, sind nur dann erfolgversprechend, wenn die Software des Geräts grundsätzlich die dazugehörige Funktionalität besitzt.

Es ist gar nicht so ohne weiters möglich derartigen Geräten einfach einen "Chip" hinzuzufügen. Dieser müsste an die Stromversorgung angeschlossen werden, er müsste sowohl auf die Daten der Tastatureingaben, als auch die Daten der Bankomat-Chipkarte zugreifen können, letztlich müsste schlicht genügend Platz für Chip und Sockel im Gerät sein. Bei einem sauberen technischen Design der Kassen ist es nicht möglich die Daten des Bankomatchips abzufangen, da diese verschlüsselt zum Prozessor des Kassagerätes übertragen und weiterverarbeitet werden sollten. Abgesehen von der Frage, woher überhaupt ein Spezialchip, der all diese Manipulationen erlaubt, bezogen werden könnte, wäre auch der zeitliche Aufwand der Installation relativ groß, unter 20 Minuten ließe sich ein derartiger Einbau nicht durchführen.

Wesentlich wahrscheinlicher ist jedoch, dass die Täter Funktionen der Bankomatkassen nutzen, die weder den Inhabern der Kassen, noch den Kunden bekannt sind. Eine Möglichkeit ist die Nutzung von Offline-Funktionen. Da die Bankomatkassen immer auch für den Offline-Betrieb geeignet sein müssen, müssen sie auch alle Bankomatdaten speichern können. Im Online-Betrieb, der in Österreich üblich ist, sollten keine Daten gespeichert werden. Möglicherweise nutzen die Täter jedoch Konfigurationen, bei denen auch eine Speicherung der Daten im Onlinebetrieb möglich ist. Derartige vorbereitete Konfigurationen in den Geräten einzustellen ist eine Angelegenheit von weniger als einer Minute.

Wie der Ablauf im Detail aussieht ist unbekannt. Die Wahrscheinlichkeit dass interne Täter, die die Details der Kassen kennen, mitwirkten, ist jedoch sehr hoch.


Haftung bei gesperrten Karten

Die Bankomat-Betreiberfirma hat "vorsorglich" mehrere tausend Karten gesperrt. Ein Sperre die rechtlich auf äußerst wackeligen Beinen steht.

Neues Unheil droht für die Inhaber von mehreren tausend "vorsorglich" gesperrten Karten. Ist jemand auf Urlaubsreise und verlässt sich in seinem Finanzmanagement auf die Bankomatkarte, dann ist er buchstäblich verlassen. Beim nächsten Barabhebungsversuch wird seine Karte im fernen Spanien, Griechenland oder Malta eingezogen. Einen Ersatz vor Ort zu bekommen ist nicht möglich. Die Beschaffung der notwendigen Urlaubsmittel kann kostspielig und zeitaufwändig sein. Bargeldtransfers muss mit Kosten von 5 bis weit über 10% gerechnet werden, abgesehen davon dass ein oder zwei der knappen Urlaubstage nicht stressfrei am Strand sondern stressig zwischen Telefon, Polizei und Bank verbracht werden. Auch schwerwiegendere Szenarien sind denkbar, etwa wenn die Hotelrechnung knapp vor Abflug nicht mit der Bankomatkarte gezahlt werden kann und man Flug und wichtige Termine verpasst.

Bei einer "vorsorglichen" Karteneinziehung ist natürlich der Schadensverursacher der Bankomatbetreiber. Grundsätzlich würde er daher für den entstandenen Schaden, Geldbeschaffungskosten und entgangenes Urlaubsvergnügen, haften.

Die diesbezüglichen Bestimmungen der "Kundenrichtlinien für das Maestro-Service" sind jedoch vage und offensichtlich auf diesen Fall nicht vorbereitet. So ist zwar eine Sperre durch das Kreditinstitut unter 2.7.3 in "zumutbaren Fällen" vorgesehen, eine durch den Betreiber veranlasste Sperre der Bankomatkarte überhaupt nicht vorgesehen. Als zumutbarer Fall wird die Situation aufgeführt, dass "Missbrauch erfolgt oder ernstlich zu befürchten ist". Dieser Fall könnte in der gegenwärtigen Manipulationsaffäre bei einigen Interpretationsklimmzügen herangezogen werden. Vollständig ungeregelt ist jedoch die Schadenersatzfrage bei derartigen, für einen Konsumenten überraschenden und unverschuldeten Sperre.

Es ist zwar erfreulich, dass der Betreiber zusichert, illegale abhebungen und auch damit verbundene Kosten zu ersetzen. Mangels klarer Regelung in den "Kundenrichtlinien" ist jedoch der Umfang dieses Schadenersatzanspruchs ungeklärt und muss im Schadensfall von jedem Konsumenten individuell durchgesetzt werden.


Unmittelbare Konsequenzen für Konsumenten

Erstens kann er zum derzeitigen Zeitpunkt nicht mehr sicher sein, bei einer vertrauenswürdigen, d.h. unmanipulierten Bankomatkasse zu bezahlen. Angesichts der etwa 83.000 Bankomatkassen (2005) allein in Österreich, können noch dutzende von Manipulationen betroffen sein. Dies umso mehr, als die dazu notwendigen Einbrüche völlig unbemerkt stattgefunden haben könnten.

Zweitens kann die Bankomatbetreibergesellschaft bei künftigen Missbräuchen mit gestohlenen Karten nicht mehr so ohne weiters behaupten, dass der Kunde fahrlässig war und Karte und PIN-Code gemeinsam entwendet wurden. Der Betreiber wird in Zukunft im Gegensatz dazu beweisen müssen, dass kein einziges Gerät, bei dem der Kunde seine Daten eingegeben hat manipuliert war. Ein Beweis, der kaum gelingen wird, ist es ja auch möglich dass Mainupulationen wieder rückgängig gemacht werden und daher völlig unentdeckt bleiben. Geschädigte Bankomatkunden sollten sich daher immer auf eine mögliche Manipulation der Kassengeräte berufen.


Lange Geschichte von Problemen

Der vorliegende Fall ist nur der - vorläufige - Schlusspunkt einer langen Kette von Problemen.

Standen am Anfang klassische Entwendungen der Karten + Entwenden des Codes oder Ausspähen des Codes im Vordergrund, haben sich die Deliktbilder seit etwa fünf Jahren fast vollständig auf die Bankomatgeräte verlagert.

Besonders in den Anfangsjahren entwickelte sich das Kopieren der Bankomatkarten und daran anschließende massenhafte Beheben geradezu zum kriminellen Volkssport.

In der Kette der Gerätemanipulationen sehr "erfolgreich" war die Manipulation von Zugangsgeräten zu den Selbstbedienungsbereichen der Banken. Diese Lesegeräte nutzten nur die Daten des Magnetstreifens und waren relativ ungesichert angebracht. Sie wurden durch Geräte ersetzt, die auch den PIN-Code abfragten und gleichzeitig die Lesezone kopierten.

Beliebt sind auch spezielle Folien, die die Tastureingabe erfassen und somit den PIN-Code leicht ausspähen. Mittels Vorschaltgeräten zu Bankomaten wurden in der Vergangenheit auch gleich PIN-Code abgefragt + die Karte eingezogen. Selbst der "Raub" ganzer Bankomaten war einige Zeit Mode in Österreich.

Nicht nachgewiesen - obwohl technisch möglich - wurde hingegen das "Errechnen" des PIN-Codes aus den Daten der Bankomatkarte. Offenbar dürfte das Ausspähen des Codes einfacher sein, als dessen Berechnung.


System kränkelt an Wildwuchs der Techniken

Auf Grund des jahrzehntelangen Bestehens mit völlig unterschiedlichen Entwicklungsrichtungen in den einzelnen Ländern, hat sich im Bankomatsystem geradezu ein technischer Wildwuchs entwickelt.

Schwachstelle 1: die Erkennbarkeit der Geräte

Reisende in EU- und Non_EU-Ländern staunen oft in welche sonderbaren Geräte sie aufgefordert werden die Karte zu stecken um entweder Barabhebungen machen zu können oder eine Zahlung tätigen zu können. Man kann sich glücklich schätzen, wenn diese ATM's ("Automated Teller Machine") im EU-Raum ein EC-Zeichen haben, ansonsten haben sie gerade noch ein Maestro-Pickerl, dass den wenigsten Österreichern geläufig ist, als unzuverlässiges Erkennungszeichen.

Betügerischen Banden ist es daher immer wieder ein leichtes derartige, gerade für Touristen ungewohnt aussehende Geräte entweder mit Vorsatzgeräten, Tatstaturfolien oder Überwachungskameras zu versehen, die es erlauben Kartendaten und PIN-Code auszuspähen oder überhaupt nachgeahmte Geräte aufzustellen und gleich Code mit Karte einzuziehen. Bis - etwa am Wochenende - die örtliche Polizei reagiert ist der Täter mitsamt Eigenbaugerät schon wieder zum nächsten Standort abgewandert, quasi ein technischer Wanderbettler.

Schwachstelle 2: der Offline-Modus

Viele Bankomatkunden glauben, dass bei einer Bargeldabhebung oder auch bei einer Kassenzahlung eine Daten-Verbindung zu ihrer Bank hergestellt wird und geprüft wird, ob ihr Konto überhaupt noch eine Deckung aufweist. Ein gewaltiger Irrtum, der im Schadensfall tausende EURO kosten kann.

Tatsächlich wird bei einer Bankomatbuchung nur geprüft ob das Tageslimit beziehungsweise das Wochenlimit der Barabhebung oder der Bankomatzahlung erreicht ist. Dabei wird zwischen dem Offline-Modus und dem Online-Modus unterschieden.

Im Offline-Modus wird an Hand der Daten auf der Bankomatkarte festgestellt, wieviel an diesem Tag, in dieser Woche abgehoben oder bezahlt wurde, es gibt überhaupt keine Verbindung zu einer Bankomatzentrale. Im Online-Modus werden die Umsatzdaten beim Bankomatbetreiber gespeichert und geprüft.

Der große Nachteil des Offline-Modus wird für die Kunden wiederum erst im Schadensfall erkennbar. Während im Online-Modus mit einer Karte nur bis zum Limit Missbrauch betrieben werden kann, können für den Offline-Modus Karten dutzend oder hundertfach kopiert werden und jede einzelne kann dann bis zum Limit missbraucht werden. Da noch in vielen europäischen Ländern der Offline-Modus üblich ist, ist es äußerst lukrativ die in Österreich ausgespähten Kartendaten oft zu kopieren und in möglichst vielen Ländern gleichzeitig einzusetzen.

Da weder im Online-, noch im Offline-Modus eine Prüfung gegenüber dem Bankkonto erfolgt, kann es relativ leicht passeiren, dass etwa ein Bankkunde mit einem Tageslimit von 400 EUR und einem Überziehungsrahmen von nur 1.000 EUR auf seinem Konto nach einem einzigen Wochenende einen Schaden von 9.600 EUR hat.

Schwachstelle 3: die Datenverwaltung

Damit überhaupt der Offline-Modus funktionieren kann, müssen alle sensiblen Bankdaten lokal, also auf der Bankomatkarte und im Lesegerät verwaltet und gespeichert werden.

Es ist zwar der PIN-Code nicht direkt auf der Bankomatkarte abgespeichert, aber er kann mit einem - zwar geheimen - mathematischen Algorithmus auf Grund der Kartendaten errechnet werden.

Im Offline-Modus müssen daher alle Transaktionsdaten im Kassengerät gespeichert werden. Dies wäre zwar grundsätzlich auf sichere Weise möglich, etwa durch ein komplexes Verschlüsselungsverfahren und durch ein spezielles Design der Kassen. Offenbar entsprechen diese Punkte nicht mehr dem Stand der Technik und waren der Angriffspunkt bei den aktuellen Fällen.


Schwachstelle 4: Magnetstreifen

Schon in den frühen 90er-Jahren war klar, dass die Magnetstreifen als Träger vertraulicher Daten ungeeignet sind. Zu leicht ließen sich die Daten kopieren. Der Täter musste überhaupt keine Kenntnis über die Funktion und Bedeutung der Daten haben, es genügte, wenn er mit vielen Karten möglichst gleichzeitig Abhebungen machte.

Relativ früh wurde daher die Bankomatkarte mit einem Prozessor-Chip ausgestattet, der wesentlich schwerer zu kopieren ist. Trotzdem haben heute noch alle Bankomatkarten Magnetstreifen und Chip, wobei auf dem Magnetstreifen alle für Geldtransaktionen notwendigen Daten enthalten sind.

Der Grund liegt daran, dass viele EU-Länder nunmehr schon seit mehr als einem Jahrzehnt nicht bereit sind auf die Chiptechnologie zu wechseln. Für die wenigen Fälle einer Auslandsabhebung tragen daher alle österreichischen Bankomatkarteninhaber ein enormes und heute nicht mehr vertretbares Risiko.


Folgt Bankomatsystem (Maestro-Card) dem Schicksal des Euro-Schecks?

In den 70er-Jahren begann erstmals mit dem Euro-Checksystem die Ära des europaweiten bargeldlosen Zahlungsverkehs für Konsumenten. Was anfangs klaglos funktionierte, billiger als Bargeld war und bequem für die Konsumenten, entwickelt sich bis Ende der 80er-Jahre zum Alptraum für die Betreiber. Immer mehr Lücken verursachten immer höhere Schäden, explodierende Kosten und Verunsicherung führten letztlich zum Zusammenbruch des Systems.

Auch der Autor profitierte vom System und konnte seine ersten Urlaubsreisen praktisch bargeldlos abwickeln. Die günstigen Scheckwechselkurse bescherten ihm meist ein zusätzliches - wenngleich geringes - Urlaubskörberlgeld.

Doch schon damals wunderte sich der Autor, dass es möglich war in einer spanischen Provinzbank, die offensichtlich vorher noch nie einen österreichischen Euro-Check gesehen hatten, mit einer rot-weiss-rot gestreiften Plastikkarte, die in irgendeinem Eck das Eurocheck-Logo hatte, sofort Bargeld abheben zu können. Die leichte Fälschbarkeit führt letztlich zum Ende des Systems.


Technische Lösungen zur Erhöhung der Sicherheit möglich

Mit wenigen Punkten ließe sich das Bankomatsystem erheblich sicherer machen. Bei einem durch Bankomatkarten getätigten Einzelhandels-Umsatz von etwa 5 Mrd. EUR (das entspricht rund 12% des gesamten Einzelhandelsumsatzes) bzw. im Jahr 2005 rund 30 Mrd EUR Gesamttransaktionen (meist Barabhebungen) sollten diese Mehrkosten leicht zu tragen sein.

Maßnahme 1: Änderbarkeit des PIN-Codes
Es ist ein technischer Anachronismus, dass der PIN-Code vom Kunden nicht individuell geändert werden kann. Selbst wenn der Code nicht bekannt ist, kann bei einer gestohlenen Karte und einem entwendeten Lesegerät im Offline-Modus solange probiert werden, bis der Code erraten wurde. bei vier Stellen sind dies blos 10.000 Kombinationen. Da die Prüfung automatisierbar ist, kann sie innerhalb weniger Minuten erfolgen, ungestört, in einer ruhigen Hinterhofwerkstatt.

Maßnahme 2: Kein Magnetkartenstreifen auf Karte
Die Verwendung des Magnetstreifens sollte kurzfristig völlig unterbleiben. Solange dies nicht möglich ist, sollten die Kunden zumindest die Möglichkeit haben, den Magnetstreifen ihrer Karte zu sperren oder nur für eine bestimmte Zeit, etwa für die Dauer eines Auslandsurlaubs oder einer Reise freischalten lassen. Praktisch alle organisierten Betrugsfälle der letzten Jahre wären damit mit einem Schlag unmöglich.

Maßnahme 3: Kürzere Prüfintervalle der Bankomatkassen
Was bei (fast) jeder Toilette und Kühlregal Standard ist, sollte auch bei Bankomatkassen Selbstverständlichkeit sein. Die Kassen sollten in kurzen Abständen auf Manipulationen hin untersucht werden (max. Wochenabstand) und mit einem entsprechenden Prüfaufkleber versehen werden. Kunden hätten dann die Gewissheit, dass sie ihre vertraulichen Daten an einer unmanipulierten Kasse eingeben.

Maßnahme 4: Tamper-proofe Bankomatkassen
Es wäre ohne weiters möglich Bankomatkassen so zu bauen, dass sie im Falle von Manipulationsversuchen, etwa beim Öffnen, defekt und damit unbrauchbar werden. Unter anderem könnte des durch individualisierte Platinen erfolgen, die beim Öffnen der Kassen durchbrennen und erst wieder im Werk ausgetauscht werden können. Manipulationen an derart gesicherten Geräten könnten dann rascher, insbesondere auch durch Laien, erkannt werden.

Alle Maßnahmen zusammen würden freilich eine interne Neuorganisation der Bankomatabrechnung und den Austausch aller Bankomatkarten und Bankomatkassen erfordern.

Statt sich mit dem überflüssigen Abenteuer "digitale Bankomatsignatur" zu beschäftigen, das gerade 15.000 Österreicher interessiert, hätte man Mittel und Energie in die Entwicklung eines dem Stand der Technik entsprechenden Bankomatssystems stecken sollen, das immerhin 6.000.000 Österreicher betrifft.

Archiv --> e-card/Sozialversicherungskarte - prolongierte Konzeptlosigkeit
Archiv --> Sichere Signatur auf Bankomatkarte - Stranded Investments
Archiv --> Abgestürzt - Digitale Signatur auf Bankomatkarte
andere --> AGB's Bankomat-Karte


Die angezeigten Informationen sind nur zur persönlichen Nutzung bestimmt. Jede Weitergabe an Dritte ist unzulässig und ausdrücklich untersagt. Alle Angaben und Informationen ohne Gewähr. Trotz sorgfältiger Recherche besteht die Möglichkeit, daß einzelne Informationen veraltet, unklar oder unvollständig sind. Sollten Sie Kenntnis von derartigen Informationen erhalten, ersuchen wir Sie um Rückmeldung, damit wir die Daten raschest korrigieren können. e-commerce Ratingwerte geben die Einschätzung des e-rating-Teams zu der genannten Organisationen und Webshops wider. Diese Einschätzung muss nicht mit Einschätzungen anderer Rating-Organisationen oder mit der Selbsteinschätzung der bewerteten Organisation übereinstimmen. Es liegt in der Verantwortung jedes Benutzers des Informationssystems die Ratingwerte in geeigneter Weise zu interpretieren.

Bei Nutzungsproblemen wenden Sie sich bitte an unseren Support! per fax +43(0)1/5320974 oder per e-mail Online Hilfe
Content Management System developed & powered by e-commerce monitoring gmbh

© e-commerce monitoring GmbH 2002-2016 webmaster
Datenschutz, Privatsphäre, Privacy, Informationsrecht, Datensicherheit, Inhouse-Schulung, Datenschutzbeauftragter, DSB, Österreich, Austria, Wien, Internet, Telekommunikation, Personendaten, Auftraggeber, Dienstleister, datenschutz-seminar.at, privacy-day.at, privacyday.at, Cloud Computing, datenschutz-seminare@at, Vorratsdatenspeicherung, Vorratsspeicherung, datenschutz tag, hacking, hacker, Whistleblowing, RFID, social media, Web 2.0, Web2.0, informationelle Selbstbestimmung, datenschutz tagung, e-government, e-commerce, Identität, phishingdata protection, privacy, data security, data safety, Inhouse, data protection officer, Austria, Vienna, internet, telecommunication, personal data, data retention, privacy protection, privacy protect, Video Surveillance, CCTV