Kreditkarte

Der Algorithmus zur Ermittlung neuer Kartennummern wurde dahingehend verändert, dass die sequentielle Vergabe dieser Nummern verhindert wird. (Dieser Umstand wurde zuvor ebenfalls zur Kartenfälschung genutzt.) Paßfotos auf der Karte scheinen sich allmählich durchzusetzen.

Auf die Zustellung der Kreditkarten per Post wird entweder ganz verzichtet ­ die Übergabe der Karte erfolgt persönlich am Bankschalter ­ oder die Karte wird erst nach Empfangsbestätigung sowohl der Karte als auch der getrennt versandten bzw. persönlich übergebenen zugehörigen PIN freigegeben.

Bei der Benutzung von Kreditkarten an POS-Terminals (Point of Sale ­ Verkaufsstelle), die zur Autorisierung der Zahlungstransaktionen online mit dem jeweiligen Rechenzentrum verbunden sind, werden Plausibilitätsprüfungen durchgeführt. So kann beispielsweise anhand der dort gespeicherten Informationen zum bisherigen Konsumverhalten ­ Kaufbeträge nie über 500 DM und monatlich weniger als insgesamt 5 000 DM ­ bei einem aktuell geforderten Betrag von 10 000 DM eine zusätzliche Identitätsprüfung des Kartennutzers veranlaßt werden, bevor der Zahlungsvorgang akzeptiert wird. Die gleiche Wirkung kann auch eine Prüfung hinsichtlich der räumlichen Entfernung der POS-Standorte innerhalb eines kurzen Zeitintervalls haben.

Seit einiger Zeit vermehren sich die Ankündigungen der Anbieter von Kreditkartensystemen zur schrittweisen Ablösung der unsicheren Magnetstreifen durch Chips, die eine wesentlich höhere Fälschungssicherheit aufweisen.

Debitkarten

Ein klassisches Beispiel für eine Debitkarte ist die „ec-Karte". Diente sie anfangs seit Einführung von Euroschecks 1968 lediglich als Schecksicherungskarte und später zur Bereitstellung von Bargeld an Geldausgabeautomaten, kamen im Laufe der Zeit weitere Funktionen hinsichtlich des bargeldlosen Zahlungsverkehrs hinzu. Eine wesentliche Etappe dieser Entwicklung stellte die Inbetriebnahme des „electronic-cash-Systems" (ec-Karte + PIN) im Jahre 1990 dar. Neben diesem Zahlsystem entstand 1992 auf Druck des Handels ein Online-Lastschrift-Verfahren, das als „POZ-System" (Point Of Sale ohne Zahlungsgarantie) bezeichnet wird, und bei dem auf die Eingabe der PIN verzichtet wird. Statt dessen gibt der Karteninhaber dem Händler per Unterschrift (Vergleich mit der Unterschrift auf der Karte) auf einem Beleg zum einen eine Lastschrifteinzugsermächtigung, zum anderen eine Einwilligung zur Adreßmitteilung durch sein Geldinstitut an den Händler bei Ablehnung einer Lastschrift.

Auch die PIN stellt ein risikobehaftetes Authentifikationsmittel dar. Die PIN-Berechnung aus einigen im Magnetstreifen der ec-Karte gespeicherten Daten (die PIN selbst ist dort nicht gespeichert!) zum Abgleich mit der eingegebenen PIN erfolgt ­ auch im Ausland ­ grundsätzlich online im mit dem jeweiligen Endgerät verbundenen Rechenzentrum. Sollte diese Verbindung unterbrochen sein, besteht lediglich die Möglichkeit einer limitierten Bargeldauszahlung (Offline-Prüfung). Der dem PIN-Verfahren zugrundeliegende Algorithmus basierte bisher auf einer Verschlüsselung von Kartendaten mit geheimen Schlüsseln von 56 Bit Länge.

Aus dem Ergebnis der Verschlüsselung werden die vierstelligen PINs in einer Weise berechnet, die dazu führt, dass die PINs zwar alle Werte zwischen 1000 und 9999 annehmen können, innerhalb dieses Zahlenbereichs jedoch keine Gleichverteilung auftritt.

Vielmehr gibt es bestimmte PINs, die fast zehnmal häufiger auftreten, als es bei der Gleichverteilung der Fall wäre.

Dieser Umstand und die Warnung der Experten zur Sicherheit des Verschlüsselungsverfahrens haben erstmals zu einem rechtskräftigen Urteil99 geführt, in dem u. a. festgestellt wird, daß „davon ausgegangen werden muß, dass ein Täter auch ohne Mitwirkung des Karteninhabers Kenntnis von der PIN entweder durch Ausprobieren oder durch Entschlüsselung anhand der auf der Karte abgespeicherten Daten erlangt hat". Diese von den Kreditinstituten nach wie vor heftig bestrittene Feststellung bedeutet, dass ein Kreditinstitut nicht mehr so selbstverständlich von 99 Oberlandesgericht Hamm vom 17. März 1997, 31 U 72/96

Bericht des Berliner Datenschutzbeauftragten Stellungnahme des Senats einem Betrugsversuch oder von grober Fahrlässigkeit des Kunden ausgehen kann, wenn dieser angibt, dass mit einer ihm abhanden gekommenen Karte Geld von seinem Konto abgehoben wurde.

Die meisten Kreditinstitute ­ leider noch nicht die Berliner Sparkasse ­ haben inzwischen begonnen, ihren Kunden eine neue PIN zuzuweisen und die Berechnungs- und Verifizierungsverfahren so zu verändern, dass die beschriebenen Schwächen beseitigt wurden. Das bisherige Verschlüsselungsverfahren wurde durch eine andere Version ersetzt, die doppelt so lange Schlüssel verlangt und somit nach heutigem Kenntnisstand als absolut sicher gelten kann.

Es bleibt das Problem, dass die vierstellige PIN immer noch ausgeforscht werden kann, wenn sie an Geldautomaten oder an ec-cash-Terminals vor den Augen Dritter eingegeben wird. Den damit verbundenen Risiken könnte man dadurch entgegenwirken, dass man dem Kunden die Möglichkeit eröffnet, die PIN ohne weiteres ändern zu können, wenn er den Eindruck hat, sie könnte ausgespäht worden sein. Das neue Verfahren enthält die Option, dass dem Kunden jederzeit die Möglichkeit eröffnet wird, die PIN beliebig zu wählen. Hier bestünde jedoch die Gefahr, daß Kunden sich leicht zu merkende, damit aber auch leicht zu erratende PINs wählen. Ein wirklich manipulationssicheres Authentifizierungsverfahren dürfte erst mit biometrischen Verfahren (z. B. Fingerabdruckverfahren) möglich sein, die jedoch bisher noch keinen hinreichenden Entwicklungsstand erreicht haben.

Wertkarten

Seit einiger Zeit werden von einigen Geldinstituten (bei der Berliner Sparkasse generell, bei anderen nur auf ausdrücklichen Wunsch) ec-Karten ausgegeben, in deren Kartenkörper ein Chip implantiert ist. Die mit diesem Chip verbundene Funktionalität entspricht dem einer Wertkarte, die auch als „elektronische Geldbörse" bezeichnet wird. Im Gegensatz zum Magnetstreifen, bei dem die darauf gespeicherten Daten mit vergleichsweise einfachen technischen Mitteln ausgelesen und verändert werden können, ist der Chip als ein eigenständiger „intelligenter" Minicomputer anzusehen. Hier können sowohl Daten als auch Programme geschützt gespeichert werden. Bei der Berliner Sparkasse und anderen Anbietern firmiert diese elektronische Geldbörse unter dem Begriff „GeldKarte", während sie als Gemeinschaftsprodukt der Deutschen Bahn AG, der Deutschen Telekom AG und des Verbandes Deutscher Verkehrsunternehmen als „PayCard" zunächst in bestimmten Regionen (Berlin zählt derzeit noch nicht dazu) erprobt wird.

Allen gemeinsam ist die grundsätzliche Zweckbestimmung: der Einsatz zur Bezahlung von Waren und Dienstleistungen im Niedrigpreisbereich, ohne dass an den Erwerber dieser Karte Bonitätsansprüche gestellt werden müßten. Aus datenschutzrechtlicher Sicht gibt es zwei sich gravierend voneinander unterscheidende Modifikationen der elektronischen Geldbörse. Zum einen kann die Karte so beschaffen sein, dass ihr Gebrauch völlig unabhängig von personenbezogenen Daten ­ mithin anonym ­ erfolgen kann, zum anderen ist ihre Nutzung an ein Konto des Karteninhabers gebunden. Im ersten Fall spricht man von einer „Weißen Karte". Was diese Kartenart von einer vergleichbaren Telefonkarte (bei der nach dem Verbrauch des auf der Karte gespeicherten Guthabens allenfalls noch ein gewisser Sammlerwert zu verzeichnen ist) unterscheidet, ist die Mehrfachnutzung durch Wiederaufladen mit Bargeld. Während die PayCard in dieser Variante angeboten wird und konzeptionell auch bei der GeldKarte der Kreditinstitute vorgesehen ist, favorisiert die Berliner Sparkasse eindeutig die kontengebundene GeldKarte, bei der auf die Nutzung personenbezogener Daten nicht verzichtet werden kann.

Beim Ladevorgang (z. B. an einem mit dem GeldKarten-Logo gekennzeichneten Geldautomaten) wird zunächst die Echtheit der Karte geprüft. Die zur Authentifizierung des Kartenbesitzers notwendige Eingabe der PIN wird durch den Chip kontrolliert, ehe die durch ein Kryptogramm gesicherten Ladedaten (u. a. Betrag, Informationen zum kartenausgebenden Institut und verschlüsselte Daten zum Kartenkonto) zur jeweiligen Ladezentrale gesendet werden. Sind alle übermittelten Daten korrekt, werden Bericht des Berliner Datenschutzbeauftragten Stellungnahme des Senats die Kontodaten entschlüsselt und am zur GeldKarte gehörenden Konto geprüft, ob der Ladebetrag autorisiert, d. h. freigegeben werden kann. Bei positivem Prüfungsergebnis wird dieser Betrag vom Konto des Kartenbesitzers abgebucht und einem „Börsenverrechnungskonto" (BVK ­ reines Saldenkonto ohne Bezug auf die konkrete Geldkarte und das damit verknüpfte Kundenkonto) gutgeschrieben. Die wiederum durch ein Kryptogramm gesicherte Ladeantwort wird an das Terminal zurückgesendet; nach Prüfung der Integrität und Authenzität der Daten durch den GeldKarten-Chip wird der aktuelle Saldo der Börse um den Ladebetrag erhöht. Bei erfolgreichem Abschluß des Ladevorgangs werden die dabei relevanten Daten (u. a. Kartennummer und Ladebetrag, nicht aber die Kontonummer) an die „Kartenevidenzzentrale" (KEZ ­ registriert alle Lade- und Entlade- bzw. Bezahlvorgänge zu einer Geldkarte) übermittelt. Beim Laden der Geldkarte wird demzufolge der entsprechende „Schattensaldo" um den jeweiligen Ladebetrag erhöht.

Wird die so gefüllte Börse ­ es ist von einem Maximalbetrag von 400 DM auszugehen ­ anschließend zum Bezahlen (ohne Eingabe der PIN!) genutzt, ergibt sich in der Regel der folgende Ablauf: Am Display des Händlers wird der Kaufbetrag angezeigt, vom Kunden bestätigt und dessen GeldKarte in das Händlerterminal eingeführt. Da auf dem Chip u. U. verschiedene Zahlungsfunktionen („Börsenapplikationen"), bezogen auf bestimmte Händler- oder Dienstleistungsanbietergruppen, vorgesehen sein können, wird durch das Händlerterminal die diesem konkreten Fall entsprechende Variante ausgewählt und die Kartenidentifikationsdaten einschließlich des aktuellen Börsensaldos übernommen. Nach Prüfung der übernommenen Daten hinsichtlich ihrer Plausibilität wird die Abbuchung des Kaufbetrags veranlaßt. Auf dem GeldKarten-Chip wird der aktuelle Betrag der Börse um den Kaufbetrag reduziert und der Kaufvorgang einschließlich der händlerspezifischen Daten gespeichert. Der Datensatz, der den Zahlvorgang widerspiegelt, wird im Händlerterminal abgespeichert, wobei er zum Schutz vor Manipulationen mit einem Zertifikat versehen wird. Dem Karteninhaber wird abschließend die ordnungsgemäße Beendigung der Kauftransaktion und der auf seiner Karte verbliebene Restsaldo angezeigt. Die im Händlerterminal gespeicherten Datensätze werden dann regelmäßig an die „Händlerevidenzzentrale" (HEZ) zur Verrechnung weitergeleitet. Die auf die GeldKarte bezogenen Transaktionsdaten werden von der HEZ an die KEZ übermittelt, um den dort geführten Schattensaldo der betroffenen GeldKarte zu aktualisieren. Die händlerbezogenen Transaktionsdaten werden von der HEZ über einen Datenträgeraustausch zum einen als Gutschrift der Händlerbank zugeleitet und zum anderen als summarische Sammellastschrift dem jeweiligen Börsenverrechnungskonto zur Aktualisierung dessen Saldos übermittelt.

Dem Karteninhaber soll zur persönlichen Kontrolle des Guthabens auf seiner GeldKarte ein einfaches und preiswertes Lesegerät zur Verfügung gestellt werden. Bei Reklamationen sind grundsätzlich zwei Bearbeitungsvarianten (Chip lesbar / Chip defekt) zu unterscheiden. Bei lesbarem Chip werden über ein Bankenleseterminal die auf der GeldKarte gespeicherten (maximal 3) letzten Ladevorgänge, die ebenfalls dort gespeicherten (maximal 15) letzten Zahlvorgänge (sie enthalten jeweils Angaben zum Zeitpunkt der Zahlung, zur Banken- bzw. Händlerterminal-Identifikation und den Betrag) sowie der Kartensaldo zur Klärung der vermuteten bzw. tatsächlichen Unstimmigkeiten angezeigt. Falls der Chip defekt ist, muss sich der Karteninhaber etwas gedulden, da dann auf den bei der KEZ gespeicherten Schattensaldo zurückgegriffen werden muß. Wegen der unterschiedlichen Händlereinreichungsfristen können diese Daten frühestens nach 15 Tagen unter Angabe der Kartennummer abgerufen werden. Nach Rückmeldung (sie beinhaltet den Kartensaldo und den Buchungstag) kann dann das noch vorhandene Guthaben bar ausgezahlt oder dem Konto des Karteninhabers gutgeschrieben werden. Die Möglichkeit zur Barauszahlung bzw. Kontengutschrift des Restguthabens besteht.

Da die GeldKarte ohne Eingabe der PIN zum Bezahlen genutzt werden kann und auch eine Unterschrift entbehrlich ist, kann jeder, der in den Besitz dieser Karte gelangt, das auf ihrem Chip noch gespeicherte Restguthaben verbrauchen. Insoweit wäre der Verlust einer kontounabhängigen GeldKarte mit dem Verlust eines Portemonnaies gleichzusetzen.