Hauke Laging - Mollwitzstraße 4/308 - 14059 Berlin - 030 32603660 - Hauke.Laging@gmx.de
Gelegentlich kommt es vor, dass Trickbetrüger über nachgebaute Geldautomaten an EC-Karten und deren Geheimnummern oder über manipulierte echte Automaten nur an die Nummer der später zu klauenden Karte zu kommen. Mir ist nicht bekannt, welches Ausmaß diese Betrügereien angenommen haben, mir wurde aber kürzlich von einem ehemaligen Bankmitarbeiter gesagt, dass der Schaden einer einzigen solchen Aktion üblicherweise zwischen 120 und 180 TDM liege. Hinzu kommt wohl noch ein gewisser Imageschaden für die Kreditinstitute. Möglicherweise ist die Häufigkeit solcher Vorkommnisse einfach zu gering, um mit technischen Gegenmaßnahmen Einsparpotentiale zu eröffnen. Ich möchte deshalb, ohne genaue Kenntnis der Sachlage, einfach mal zwei Ideen zu dieser Problematik loswerden.
Ich sehe zwei Kernprobleme aus Sicht der Nutzer: Zunächst einmal muss ein Bewusstsein dafür geschaffen werden, dass sich auch hinter der vertrauenswürdigen Fassade eines Geldautomaten eine Trickbetrügerei verbergen kann; dann muss der Nutzer in die Lage versetzt werden, ohne nenneswerten Aufwand die Echtheit des Systems zu überprüfen. Ohne gewaltige Umstellungen (Smartcards) erscheint eine zuverlässige (und erst recht eine einfache) Authentifizierung innerhalb des Systems Nutzer-Automat unmöglich. Relativ einfach lösbar wird diese Aufgabe aber vor dem Hintergrund, dass die Geräte alle online sind, also ein Informationsaustausch mit der kontoführenden Bank zumindest prinzipiell möglich ist (und bei Geheimnummer und Betragsfreigabe je heute schon erfolgt).
Ich sehe eine gute Lösungsmöglichkeit darin, auf externe Informationen zurückzugreifen, die ein Krimineller nur mit großem, unverhältnismäßigem Aufwand beschaffen könnte. Diese Informationen - etwa die Adresse, Namen von Verwandten, Freunden, Schule, Geburtstag, Bildungsabschlüsse - könnten zweierlei Aufgaben erfüllen: Dadurch, dass dem Nutzer nach Einführen seiner Karte persönliche Daten angezeigt werden, die - effektiv - nur seiner Bank zugänglich sind, wäre gesichert, dass es sich bei dem vorliegenden Automaten um kein betrügerisches Stand-alone-Gerät handelt. Im Gegenzug könnte die Eingabe der Geheimnummer auf einfache Weise ergänzt werden: Aus dem Pool zur Verfügung stehender Daten werden nach dem Zufallsprinzip ein oder zwei ausgewählt, die dem Nutzer zusammen mit einigen falschen Werten präsentiert werden. Dadurch dass dieselben Daten nicht bei (erfolgreichen) aufeinanderfolgenden Abhebeversuchen abgefragt werden, hätte sich das Problem des Filmens oder Beobachtens von Eingaben erledigt. Der Kriminelle wäre mit einer Abfrage konfrontiert, zu deren Beantwortung er etliche erfolgreiche Abhebevorgänge beobachtet haben müsste, was wegen der Nutzungsfrequenz von Geldautomaten lange dauerte und schwierig wäre. Bei standardmäßig zwei Abfragen hätte ein Angreifer eine Chance von 1,6%, was wohl nicht lohnenswert wäre.
Dieses Verfahren hätte den Vorteil, dass die Kunden sich keine zusätzlichen Daten merken müssten. Dadurch, dass faktisch ausgeschlossen werden kann, dass jemand diese Daten vergisst, könnte die Karte bereits bei einem kompletten Fehlversuch (es stünden ja etliche Ersatzfragen bereit) eingezogen oder gesperrt werden (bis eine telefonische Nachfrage die Sache geklärt hat). Die zu übertragende Datenmenge wäre sehr überschaubar, so dass Probleme mit dem gesamten bestehenden Netz aus diesem Grunde nicht zu erwarten wären.
Das größte Problem dieses Ansatzes dürfte sein, dass er nicht kurzfristig und auch mittelfristig nicht komplett umsetzbar wäre; einfach deshalb, weil die benötigten Daten bei den Kreditinstituten heute ja noch gar nicht bereitstehen. Der Weg der Wahl wäre deshalb vermutlich, diese Daten von den Kunden beim regulären Austausch der Karten abzufragen. Nach etwa zwei Jahren wäre das neue System dann komplett implementiert. Das erscheint lang, aber das zugrundeliegende Problem existiert ja schon länger und ist anscheinend auch nicht so gravierend, dass sofort greifende Maßnahmen erforderlich wären. Ein weiteres, im wesentlichen wohl zeitliches Problem wäre die Abstimmung der Banken untereinander. Technische Standards, die lange Bestand haben sollen, werden ja nur sehr ungern geändert. Die Wirksamkeit dieser Maßnahme hinge von der Verbreitung der technischen Unterstützung ab. Dies könnte zur Verwirrung der Kunden führen, da eine Nichtanzeige der erwarteten Daten sowohl am kriminellen Hintergrund als auch an der Nichtunterstützung durch die jeweilige Bank, die den Automaten stellt, liegen könnte. Dieses Problem wäre aber ebenfalls nicht gravierend, da die Kunden sich einige Banken, die das System unterstützen, merken könnten und bei Problemen und Unsicherheiten auf Automaten einer solchen Bank auswichen.
Des weiteren entstünden durch die Umprogrammierung der Geldautomaten und die benötigte Bereitstellung der benötigten Daten durch die Datenbanksysteme der Banken natürlich Kosten, die ich aber nicht beziffern kann. Ich halte den technischen Aufwand hierfür für gering.