ATM-Angriff auf den Karten Code

Bankomatkarten werden gefälscht, die PIN-Codes schnellstens geknackt. Die Sicherheit der flotten Geldspender ist in Gefahr. Und so rapide, wie die Zahl der Schadensfälle wächst, schrumpft das Vertrauen in die Rechtssprechung. SAST REPORT zeigt, mit welchen Tricks eine kleine korrupte Clique aus Justize und Finanz auf Kosten geschädigter Bankkunden die Schwächen des Bankomatsystems zu vertuschen versucht, und davon profitiert.

Seit 1990 häufen sich  sogenannte Robotron  Angriffe auf ATM -  und so mancher  Bankkunde kann  nur mehr staunen.  Photo Archive

Der spektakulärste Missbrauch von Bankomatkarten liegt einige Jahre zurück. 1991 gelang es der Roten Armee Fraktion mit duplizierten Bankomatkarten über eine halbe Million Schilling zu erbeuten. Zwei, drei Karten wurden öfters vervielfältigt und dann pro Karte mehrmals bis zum Limit abgehoben. Eines ist sicher: In keinem dieser Fälle hat der Kunde den Schaden verursacht oder Beihilfe durch verräterische Notiz des Codes auf der Karte oder einer sonstwie zugänglichen Stelle geleistet. Ist das herkömmliche System noch sicher, oder, gelingt es mit allen erdenklichen Mitteln der Elektronik ausgerüsteten Fälschern immer öfter, den Code zu knacken? Oder ist das Bankomatsystem nur eine "blamable Technik", wie Abhörspezialist Hans-Georg Wolf in einem SAST REPORT Gespräch betont? Denn mit etwas technischen Sachverstand und primitivsten technischen Geräten können PINs von EC- und Kreditkarten problemlos abgehört werden. Tatsächlich könnte jeder sogar mit einem besserem Spektrumanalyzer und entsprechender Zusatzausrüstung arbeiten. "Die Geheimnummern von EC-Karten sind w�hrend des Eintippens in den Automaten abhörbar", warnt Sicherheitsexperte Wolf. Was war passiert: Ende 1995 wurden rund 300 Kunden der Deutschen Bank AG Opfer eines Lauschangriffs auf Bankautomaten. Finaler Satz: "Die Banken schweigen das Problem tot." Kein Zweifel, dieser Mann weiss, wovon er spricht. Seine Einblicke in die Schattenwelt der Geheimdienste hat Hans-Georg Wolf vor allem während seiner Arbeit f�r das DDR-Aussenministerium gewonnen.

"Wer mit handelsüblichen Bankomaten arbeitet, könnte Kartencode und Kartendaten ebensogut mit dem Diaprojektor auf die Wand des Nachbargebäudes werfen," spottet ein Sicherheitsexperte, der Wert auf Anonymität legt.

Dr. Peter Trcka hofft,  dass die geschädigten  Bankkunden von ihren  Instituten entschädigt  werden. Er irrt.  Photo Europay Austria

SAST REPORT liegen hingegen aus ernstzunehmender Quelle weit höhere Zahlen vor. Von jährlich 17.000 Fällen ist da die Rede. Auch diese Zahl wäre in Hinblick auf die gigantische Anzahl von 76 Millionen Transaktionen pro Jahr immer noch erstaunlich niedrig. Ein Vertreter von Europay Austria sichtlich genervt: "Wir bekommen ja nur die Fälle, die uns die Banken weitermelden. Ich gehe einmal davon aus, dass die anderen Kunden von den Banken selbst entschädigt werden." Eine Stimme aus der Österreichischen Kontrollbank: "Es wird halt so sein, wie ich mir das immer vorgestellt habe: Einigen wenigen ersetzen sie den Schaden."

Erstaunlich ist auch die Tatsache, dass weder das Österreichische Statistische Zentralamt noch die Kriminalstatistik über die tatsächliche Anzahl der Schadensfälle Auskunft geben können. Es bestehen schlicht und einfach keine Aufzeichnungen. Auskünfte könne in diesem Fall nur der Systembetreiber Europay Austria erteilen, doch der hält sich bedeckt. Ein Mitarbeiter des Bankomatherstellers Siemens Nixdorf: "Natürlich wäre auch für uns die tatsächliche Anzahl der Schadensfälle entscheidend, aber die werden von den Banken als topsecret behandelt. Zu denen haben nicht einmal wir Zugang, obwohl wir sie bräuchten."

IM NAMEN DER REPUBLIK: Auch das Bezirksgericht Innsbruck    sowie das Landesgericht Innsbruck pflegen dem betrogenen Kunden    den Schaden bei Dublettenfällen aufzuhalsen. Dass die Banken gegen    diese Schadensfälle versichert sind, wird dabei unter den Teppich gekehrt.    Salopp wird darauf verwiesen, dass Rechtsmeinungen von Richtern, selbst dann,    wenn sie von der herrschenden Rechtssprechung abgelehnt werden und    gegen EU Richtlinien verstossen, in Österreich zulässig sind.    Die um Contenance bemühten betrogenen Bankkunden: »Ils nous ont baises«    Photo SAST REPORT

Der betrogene Kunde steht vor einem sehr konkretem Problem. Er wird von seinem Kreditinstitut geklagt und unter Druck gesetzt. Denn er alleine trägt nach den Kundenrichtlinien (zur Benützung der Geldausgabeautomaten) das volle Risiko. Und bei Duplettenfällen, die es laut Banken nicht gibt, muss er den Missbrauch beweisen. Und das wird nur in den seltensten Fällen gelingen.

"Erschwerend kommt hinzu, dass die Geschädigten weiter ihre Originalkarten haben, sie schöpfen zunächst keinen Verdacht. Erst wenn die Inhaber oder ihre Hausbank diese Fremdverfügungen auf den Konten bemerken, wird eine Kartensperrung veranlasst," weiss ein Sprecher des deutschen Bundeskriminalamtes.

BAWAG Zentrale Wien:  "Warum sollen wir das Risiko  tragen?" lautet die offizielle  Stellungnahme der Bank.  Photo BAWAG

Mehrere Fälle, bei denen den Kartenbesitzer keine Schuld trifft, sind dokumentiert und für Profis ist es mittlerweile kein Problem mehr, den Code in weniger als einer Stunde zu knacken. Schliesslich haben auch die meisten Banken gegen Bankomatmissbrauch bei der Bundesländer-Versicherung vorgesorgt, und zwar auch gegen Duplikatfälle, die laut Banken der Kunde zu beweisen hat. Man ist versichert und geniert sich nicht, trotzdem den Schaden beim Kunden einzufordern. Kommt der Kunde dieser Aufforderung nicht nach, so scheuen sich die Kreditinstitute nicht, ihn zu verklagen und in weiterer Folge gerichtlich zu betreiben.

Besonders fragwürdig wird diese Vorgangsweise, wenn man weiss, dass sich die Banken im internen Papier "Sonderregelung für Schadensfälle", das SAST REPORT vorliegt, verpflichtet haben, eine Reserve (Entschädigungsfond) zu bilden, um eben jene Schadensfälle abzudecken, die durch systembedingte Sicherheitsmängel entstehen. In der Praxis werden die Schäden aber in einer kaum camouflierten Komplizenschaft zwischen Banken und Teilen der Justiz gerichtlich mit Verweis auf die Kundenrichtlinien den Kunden aufgehalst. Im selben Atemzug wird der widerspenstige Kunde ohne sein Wissen auf die UKV-Überwachungsliste gesetzt und in einer koordinierten Aktion werden Kredite bei anderen Instituten fällig gestellt. Das kann doch wohl nur heissen, dass hier ein knallhartes Kartell Regie führt?

Welch ein Glück, dass bis jetzt noch niemand auf die Idee gekommen ist, die Offenlegung der Mittel dieses sagenumworbenen Schadenfonds zu fordern. Denn hier scheinen die Dinge, wenn schon nicht im Argen, so doch im Dunklen zu liegen. Fliesst das Geld vielleicht wieder zurück an die Banken ohne an die geschädigten Kunden ausgezahlt zu werden oder fliesst es gar in einen von diesen Reptilienfonds? Wenn ja, in welchen? Für die Aufklärung dieser befremdenden Tatsachen könnten nur die Banken selbst rasch sorgen, indem Sie entsprechende Kontobewegungen offenlegen. Doch die halten sich bedeckt und setzen lieber Ihre geschädigten Kunden mit der Methode Silent Death unter Druck.

Univ. Prof. Dr.  Karl Kollmann  Photo A.K. Wien

Dr. Walter Peissel vom Institut für Technikfolgen-Abschätzung der Österreichischen Akademie der Wissenschaften meint: "Alle Beteiligten müssen faire Bedingungen vorfinden. Dazu zählen eine unabhängige Schiedsstelle, ein einfaches Reklamationssystem und klare rechtliche Normen für Kartensysteme."

Bedingungen, die von der Europäischen Kommission ebenfalls verlangt werden: Die EU-Kommission hat bereits 1998 eine Empfehlung zu Kredit-, EC-, Bankomat- und Geldspeicherkarten abgegeben:

Mindeststandards für die Kundeninformation
Klare Haftungsverteilung zwischen Kunden und Emittenten
Beweislast beim Emittenten
Effiziente Verfahren zur Streitbeilegung

Gerichtshof der Europäischen Gemeinschaften  Photo ECJ

Mittlerweile hat der Verein für Konsumentenschutz (VKI) im Kampf um das Bankomat-Risiko einen Etappensieg errungen. In einem rechtskräftigen Urteil des Landesgerichts Eisenstadt wurden die Vertragsbedingungen, die dem Kunden das gesamte Risiko aufhalsen, als grob benachteiligend und sohin als nichtig erklärt. Die Kreditinstitute hätten zudem den PIN-Code nicht unantastbar gestaltet und ziehen grosse Vorteile aus dem System. Dem Kunden bliebe hingegen, so die Argumentation des Landesgerichts Eisenstadt, nichts übrig, als das Bankomatsystem in der angebotenen Form zu akzeptieren, ohne auf die sichere Ausgestaltung Einfluss zu haben.

Auffallend ist, dass die grossen Hersteller von Bankomaten sehr wohl bessere Sicherheitsstandards anzubieten hätten, doch sie kämpfen gegen Windmühlen. Direktor Mag. Erich Peck von Siemens Nixdorf: "Wir gehen da gänzlich andere Wege. Wir verzichten überhaupt auf den PIN-Code." Der Konzern hatte vor langer Zeit einen Geldausgabeautomaten mit der Bezeichnung Procash entwickelt, der den Benutzer anhand seiner Hand- und Gesichtszüge erkennt und prüft, ob er zur Geldabhebung berechtigt ist oder nicht und damit siegreich die US Army Lab Competition bestanden. Das neue Erkennungssystem ersetzt die Eingabe des PIN-Codes. Dieses Verfahren ist wesentlich einfacher und zugleich sicherer. Es schliesst die missbrächliche Verwendung der Karte zuverlässig aus. Doch die Banken zeigten überraschenderweise kein Interesse. Peck: "In Zukunft werden sich die Banken vermehrt von der Konkurrenz abheben müssen." Und dann kann der Kunde letztendlich entscheiden, ob er ein sicheres oder unsicheres System in Anspruch nimmt. Dieses Szenario scheint für Österreich wenig wahrscheinlich, da die Bankomatbetreiberfirma Europay eine Monopolstellung innehat.

Ein Konsortium um Voest-Alpine  hat ein Fingerabdrucksystem  entwickelt. Cash gegen Abdruck.  Photo ekey biometric systems

Auch International Business Machines Corp. sieht sich in der Lage, die Bankomaten auf ein Fingerprintsystem umzurüsten. Der Monopolinhaber Europay Austria bräuchte nur das kundenfreundliche und sichere System bestellen.

Senator Charles Schumer  Photo U.S. Senate

Am ersten Tag der Verhandlung wurde Visa und MasterCard vorgehalten, sie hätten Innovationen zum Nachteil ihrer Kunden fallengelassen, da ihre Eigentümer, die Banken, dagegen votierten. Ein Imagedesaster droht. Nicht abzuwenden ist dieses Desaster jedenfalls, wenn die Kartengiganten und ihre Eigentümer so handeln, wie MasterCard Senior Vice President Noah J. Hanft in seiner Rechtfertigung vor den Mitgliedern des Subcommittee on Financial Institutions, United States Senate. Der MasterCard Chef setzt auf Abblocken, Tarnen und Täuschen und kommt zu dem nicht überraschenden Schluss, "dass das jetzige System mit der gegebenen Eigentümerstruktur zur Zufriedenheit aller arbeite."

Es stellt sich die Frage, warum sich die Eigentümer, darunter die Bank of America Corp. und die Chase Manhattan Corp., so dagegen verwehren, das ATM System zu verbessern. Mag sein, dass diese Einstellung von einer gewissen Ignoranz gegenüber dem König Kunden geprägt ist. Denn nur er alleine darf laut Diktion der Kreditinstitute das volle Risiko tragen. Das Risiko für ein veraltetes, wenn auch bewährtes, so angenehm selektiv schädigendes ATM System.