Bankenverband räumt Unsicherheit bei EC-Karten-PIN ein
Der Zentrale Kreditausschuss (ZKA), in dem die fünf Spitzenverbände der deutschen Kreditwirtschaft zusammengeschlossen sind, hat eingeräumt, dass die Nutzer von EC-Karten im Handel unter bestimmten Bedingungen mehr als drei Möglichkeiten zur PIN-Eingabe haben, bevor die EC-Karte gesperrt wird.
"In bestimmten außergewöhnlichen Konstellationen können bis zu sechs falsche Eingaben möglich sein", räumte der Zentrale Kreditausschuss auf Nachfrage von Golem.de ein. Dies funktioniere aber nur bei Bezahlvorgängen im Handel und auch da nur im Ausnahmefall, und nicht an Geldautomaten. Die vage Möglichkeit, bis zu sechs falsche PIN-Eingaben machen zu können, könnte "jedoch vom Kunden beziehungsweise möglichen Betrügern aufgrund des Sicherheitsmanagements der Karte nicht systematisch herbeigeführt werden", so der Bankenverband.
In den ersten Tagen des Jahres 2010 war es zu Problemen beim Einsatz von EC- und Kreditkarten gekommen. Betroffen sind rund ein Fünftel aller ausgegebenen Giro- und Kreditkarten, insgesamt 20 bis 23 Millionen Karten. Das Fernsehmagazin Plusminus hatte unter Berufung auf Experten berichtet, dass für die Umgehung des Jahr-2010-Softwarebugs auf dem Chip der EC-Karten der veraltete Magnetstreifen auf der EC-Karte wegen des Fehlers auf dem EMV-Chip wieder verstärkt genutzt werde. Durch die beiden Systeme habe der Kartennutzer jeweils drei Versuche bei der PIN-Eingabe auf dem Chip und drei Versuche für die Magnetkarte. Sechs statt drei Fehlversuche für die EC-Karte bedeuteten aber eine doppelt so hohe Wahrscheinlichkeit, die richtige PIN durch bloßes Raten herauszubekommen, erklärte der Aachener Gerichtssachverständige Markus a Campo dem Magazin Plusminus.
"Das Sicherheitsniveau der deutschen Bankkarten und Zahlungssysteme ist im internationalen Vergleich außerordentlich hoch und bietet daher ein Höchstmaß an Sicherheit", heißt es in der Stellungnahme des Zentralen Kreditausschusses. Anders als in der Plusminus-Sendung suggeriert werde, hätten Kunden am Geldautomaten maximal drei Eingabeversuche für die PIN ihrer EC-Karte. Danach werde die EC-Karte in jedem Fall gesperrt. Das gleiche Sicherheitsniveau gelte auch für die EC-Kartenakzeptanz im Handel. Auch hier müsse jeder Nutzer damit rechnen, dass die EC-Karte nach drei falschen Eingabeversuchen gesperrt wird.
Die Suche nach einer unbekannten PIN sei zudem wie die Suche nach einer Stecknadel in einem Heuhaufen. "Selbst wenn man statt dreimal sechsmal reingreifen darf, ist die Wahrscheinlichkeit, einen Treffer zu landen, äußerst gering", so das ZKA.
Updateplan für 23 Millionen EC-Karten
Am Abend des gestrigen 20. Januars 2010 hat der ZKA zudem den Updateplan für den 2010-Bug angekündigt.
Ab Februar 2010 werden demnach umfangreiche Updatelösungen zur Verfügung gestellt. Die im ZKA zusammengeschlossenen Verbände hätten sich auf ein gemeinsames technisches Verfahren verständigt: "Dieses ist inzwischen erfolgreich getestet, pilotiert und sicherheitstechnisch von unabhängigen Experten überprüft worden. Erste Updates mit Echtkarten haben bereits stattgefunden."
Das Update erfolge nach dem Einschub der EC-Karte in den Geldautomaten beim Geldabheben oder über spezielle Kartenleser in den Bankfilialen. Die Sicherheit der Karte werde durch das Update nicht berührt, insbesondere würden beim Update keine sicherheitsrelevanten Daten ausgetauscht oder verändert. "Die Kommunikation zwischen Karte und System wird bei beiden Wegen mit den bewährten Verschlüsselungsverfahren abgesichert." Dritte könnten also keine Kartendaten verändern oder kryptographische Sicherheitsschlüssel ermitteln.
Die Sparda-Banken hatten zuvor angekündigt, dass ein Softwareupdate für die Girokarten im Geldautomaten für die Genossenschaftsbanken nicht sicher genug sei. Um dem Jahr-2010-Bug beizukommen, tauschen sie deshalb lieber 400.000 Girokarten aus.
- Anzeige Hier geht es zur VISA Karte mit bis zu 40 Euro Startgutschrift bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.