Hacker knacken PIN-Nummern

Drei Hacker haben in den USA erstmals das Bankensystem geknackt und die Geheimzahlen der Kunden ausspioniert – ohne die Manipulation von Geldautomaten oder den Diebstahl der Bankkarten. So konnten die Täter Millionen Dollar entwenden. Die Tat lässt Experten an der Sicherheit des als unknackbar geltenden PIN-Systems zweifeln. Besonders besorgniserregend: Auch in Deutschland könnten Bankkunden einem solchen Raubzug zum Opfer fallen.

Für den spektakulären Clou waren weder Tricks noch geheime Lesegeräte an Geldautomaten erforderlich. Den Hackern war es stattdessen gelungen, sich über die Fernwartungsfunktion Zugang zum System der Geldautomaten zu verschaffen – einfach online und ohne einen Geldautomaten auch nur anzufassen. Dort konnten sie dann die eingegebenen Geheimzahlen einfach mitlesen, wohl auch, weil die Betreiber der Geldautomaten die Nummern nicht vorschriftsmäßig verschlüsselt hatten.

Betroffen waren dabei nach Informationen der New York Times vor allem Maschinen mit dem Logo der Citibank, die in Filialen der Supermarktkette 7-Eleven untergebracht waren. Wie viele Kunden der Bank von dem Raubzug betroffen waren, ist bislang noch unklar. Der Schaden soll nach Auskunft der Staatsanwaltschaft jedoch in die Millionen gehen. Der Fall wäre einer der größten der vergangenen Jahre – dabei ist die Art des Diebstahls deutlich besorgniserregender als die Höhe des entstandenen Schadens.

„Die PIN war dazu bestimmt, sakrosankt zu sein“, sagt etwa Sicherheitsspezialistin Avivah Litan, Analystin bei dem Marktforschungsunternehmen Gartner. „Der Fall zeigt, dass PINs nicht immer so verschlüsselt sind, wie sie eigentlich sein sollten.“ Wie genau sich die Täter Zugang zu den Geldautomaten verschafft haben, bleibt zwar unklar. Dass sie jedoch auch mit vollem Zugriff auf das System in der Lage waren, die Geheimzahlen zu entziffern, wirft ein schlechtes Licht auf den Sicherheitsstandard bei manchem Betreiber von Geldautomaten.

Inzwischen konnten die Verantwortlichen hinter dem Raubzug verhaftet werden. Die Gefahr für Bankkunden bleibt jedoch bestehen – auch in Deutschland, wo die Betreiber der geknackten Geldautomaten ebenfalls vertreten sind. Ob Hacker hierzulande ähnlich leichtes Spiel hätten, ist zwar unklar. Avivah Litan ist sich jedoch sicher: „Die Banken brauchen dringend ein besseres System zur Betrugserkennung und vor allem eine bessere Authentifizierung.“