Zweifelhafte Zertifizierungspraxis bei Geldkarte-Ladestationen
c't berichtet über manipulierbare Geldkarten-Terminals: Tausende EC-Geldkartenladestationen wiesen über Jahre gravierende Sicherheitslücken auf.
Tausende EC-Geldkartenladestationen in McDonalds-Filialen wiesen über Jahre gravierende Sicherheitslücken auf. Durch einfache Manipulationen hätten sich Hacker in die Systeme via ISDN einwählen und sie vollständig kontrollieren können. Auch die PIN-Nummern von EC-Karten wären dann nicht mehr sicher vor Spionage gewesen, berichtet das Computermagazin c't in der aktuellen Ausgabe 16/2002.
Hätte sich ein Hacker erst einmal mit Hilfe eines so genannten Trojanischen Pferdes eine PIN-Nummer beschafft, müsste er nur noch die EC-Karte selbst in seinen Besitz bringen, um beliebig viel Geld vom Konto seiner Opfer abzuheben. Inzwischen hat der Betreiber, die Sparkassentochter sCard Service, die Sicherheitslücke aufgrund der Hinweise aus der c't-Redaktion geschlossen. "Der gesamte Vorgang wirft jedoch die grundsätzliche Frage auf, ob die gängige Zertifizierungspraxis tatsächlich ausreicht, die Sicherheit elektronischer Bezahlsysteme zu gewährleisten", zieht c't ein erstes Fazit.
Der Zentrale Kreditausschuss (ZKA) hatte das System als sicher eingestuft. Es stellte sich aber heraus, dass zwar die PIN-Eingabe an sich verschlüsselt abläuft, die Systemumgebung derweil aus einem ungesicherten Windows 95 besteht, in das sich ein Trojaner einschleichen könnte, um über einen Trick an die PIN-Nummern zu kommen. Um die Windows-Umgebung (einschließlich eines über den Touchscreen bedienbaren Fernwartungsprogramms PCAnywhere) hinter der normalen Geldkartenterminal-Bedieneroberfläche zu Gesicht zu bekommen, reichte es, eine ungültige Karte einige Minuten in das Terminal zu stecken, woraufhin das System einen Neustart durchführte.
Bei den Sicherheitstests im Auftrag des ZKA wurde nur das eigentliche PIN-Eingabegerät unter die Lupe genommen, das Komplettsystem samt Windows-95-Umgebung hatten die Tester aber nie gesehen. Dem Benutzer präsentiert sich ein solches Terminal als geschlossene Einheit. Folglich müsse auch das Gesamtsystem einer Sicherheitsprüfung unterzogen werden, meint c't: "Schließlich ist es eine Binsenweisheit, dass jedes Sicherheitskonzept nur so gut ist wie sein schwächstes Glied."
Den vollständigen Bericht über die Geldkarten-Terminals und ihre Sicherheitslücken bringt c't in Ausgabe 16/2002 (ab Montag, den 29. Juli, im Handel). (jk)
