Datenschutz Der Datengau

In den USA spähten Hacker 40 Millionen Kreditkartenkunden aus; darunter 100000 deutsche. Doch viele Geldinstitute informieren ihre Kunden nicht

Die meisten Banken beruhigen: Es bestehe kein Grund, die Kunden verrückt zu machen, ist bei Nachfragen allenthalben zu hören. Doch spätestens dann, wenn Langfinger auf elektronischem Weg das Konto abräumen, wird es mit der Ruhe vorbei sein.

Vor allem jene Kreditkartenbesitzer, die in den vergangenen Monaten in den Vereinigten Staaten auf Shoppingtour waren, sollten ihre Abrechnung genau kontrollieren. Egal, ob sie während einer Reise bargeldlos zahlten oder bei einer US-Firma online bestellten: Sie könnten das Pech haben, unter den 40 Millionen Karteninhabern zu sein, zu deren Daten sich Hacker Zugang verschafften.

Der lasche Umgang mit persönlichen Informationen hat in den USA schon häufig für Skandale gesorgt (ZEIT Nr. 25/05). Doch während bislang meist nur Amerikaner betroffen waren, sind es jetzt auch Menschen im Rest der Welt, darunter »um die 100000 in Deutschland«, sagt Margit Schneider von der Euro Kartensysteme GmbH, einem Gemeinschaftsunternehmen der deutschen Kreditwirtschaft. Ganz präzise Zahlen gibt es noch nicht. Die Ermittlungen laufen noch.

Aufgefallen war die Sicherheitslücke bereits im Mai. Doch dass es Hackern gelungen war, eine Schnüffel-Software in den Rechnern der US-Firma cardsystems zu platzieren und Millionen von Daten auszuspähen, wurde erst vor gut einer Woche bekannt. Cardsystems rechnet die Zahlungsströme der großen Kreditkartenorganisationen ab; darunter auch die der beiden Marktführer Mastercard und Visa. Die traf es denn auch am stärksten. »Das hört sich ganz nach dem Guinness Buch der Rekorde an«, so der spontane Kommentar von Richard Smith auf seiner Website. Er ist in den USA ein bekannter Aktivist für die Wahrung der Privatsphäre.

Wie konnte ein solcher Daten-GAU geschehen? Dienstleister wie cardsystems bekommen von den Kreditkartenorganisationen strenge Sicherheitsauflagen und werden regelmäßig überwacht. Doch offensichtlich versagte die Kontrolle.

In Deutschland zählt die GZS Gesellschaft für Zahlungssysteme mbH zu den großen Anbietern, die für die Abrechnung von Kreditkarten sorgen. Wie sicher sind ihre Rechner? »Wir sind zertifiziert und haben hohe Sicherheitsstandards«, heißt es dort lapidar. Und: So etwas wie in den USA »sollte eigentlich nicht vorkommen«, sagt Unternehmenssprecherin Anja Schmidt. Ansonsten gibt sie sich wortkarg.

Nur die Postbank tauscht alle gefährdeten Karten aus

Darf man der Auskunft aus Bankenkreisen glauben, wurde hierzulande noch niemand geschädigt. Das sagt unter anderem Michaela Roth vom Deutschen Sparkassen- und Giroverband. Bei der Deutschen Bank hält man das Risiko, zu einem Opfer des Datenklaus zu werden, sowieso »für sehr gering«. Am liebsten, so scheint es, würden viele Geldhäuser das Thema zu den Akten legen. Selbst ihre Kunden lassen manche im Ungewissen. Obwohl sie die gefährdeten Kartennummern und deren Besitzer kennen, werden sie nicht sofort informiert. Das bestätigen der Sparkassenverband sowie die Deutsche Bank. Stattdessen laufen im Hintergrund spezielle Programme zur Überwachung der Konten. Die checken, ob alles mit rechten Dingen zugeht. So ist es beispielsweise unmöglich, in Hamburg zu tanken und zugleich in Moskau Geld abzuheben. In solchen Fällen schlagen die Systeme Alarm. Abwarten heißt also die Devise. Die Kalkulation der Kreditinstitute: Wahrscheinlich wird es kostengünstiger, den einen oder anderen Schaden zu begleichen, als neue Karten auszustellen.