Sparkassen, Sicherheit und Geldautomaten: Der Hacker mit der Girokarte
Dieser Anblick bot sich Benjamin Kunz Mejri, als er seine EC-Karten noch einmal in das SB-Terminal schob.
Foto: HandelsblattDüsseldorf. Die meisten Sparkassen-Kunden hätten wohl einfach den Geldautomaten gewechselt. Doch Benjamin Kunz Mejri ist kein normaler Kunde. Als ein SB-Terminal der Kasseler Sparkasse seine Girokarte auswirft, probiert er, diese direkt wieder in den Schlitz zu schieben – was nach einigem Hin und Her zu einem Ergebnis führt, das Bankobere erschreckt: Es öffnet sich auf dem Bildschirm ein Fenster mit internen Informationen und Einstellungen, mit denen ein krimineller Hacker dauerhaft Schäden hätte anrichten können.
Dass Kunz Mejri diese Sicherheitslücke entdeckt hat, kommt nicht von ungefähr: Der 32-Jährige ist Sicherheitsforscher. Er hat die „Vulnerability Labs“-Initiative gegründet, die Sicherheitsprobleme publik macht, und leitet die Firma Evolution Security GmbH. Diese ist darauf spezialisiert, im Auftrag von Unternehmen Schwachstellen ausfindig zu machen. Der Informatiker hat also ein Gespür für solche Fälle. Auch in der Sparkassen-Filiale in Vellmar bei Kassel: „Ich hatte das Gefühl, dass dort etwas außerplanmäßig laufen wird“, sagt Kunz Mejri.
Der Vorfall aus Ende April, der jetzt publik geworden ist, verdeutlicht ein grundsätzliches Problem. Geldautomaten sind Computer, die immer wieder Sicherheitslücken haben. Gerade bei Geräten mit dem alten Betriebssystem Windows XP, für das Hersteller Microsoft keine Updates mehr entwickelt. Das ist ein größeres Problem, als man denken mag: Das nicht mehr offizielle von Microsoft unterstützte Betriebssystem läuft derzeit noch auf schätzungsweise sieben von zehn Automaten.
Der Angriffspunkt für Hacker betrifft bestimmte SB-Terminals des Herstellers Wincor-Nixdorf: Die Systeme spielen Sicherheitsupdates auch dann ein, wenn Kunden sie gerade nutzen sollten. Dabei geben sie die Karte aus und zeigen die Meldung an, dass der Automat gerade nicht verfügbar sei. In diesem Prozess lässt sich jedoch eingreifen, wie Mejri festgestellt hat. „Ich habe den Kartenschlitz blockiert und die Karte zweimal vor- und zurückgeschoben, bis der Automat sie wieder geschluckt hatte.“
Durch den Kontakt der Karte mit der Hardwareschnittstelle öffnete sich die Kommandozeile. Das ist ein Fenster, in dem Programmcode durchläuft. Eigentlich sollte es nicht sichtbar sein: Es enthält sensible Informationen, die ein Hacker vom Bildschirm abfilmen könnte. Dazu zählen etwa der Name des Computers, seine Seriennummer, die Nummer der Filiale, der Benutzername des Administrations Accounts aber auch die IP-Adresse der Firewall. „Wenn man im Netzwerk der Bank ist, kann man damit großen Schaden anrichten“, erklärt Mejri.
Doch es könnte noch dicker kommen: Über die Kommandozeile kann man selbst Befehle ausführen – an den SB-Terminals gibt es schließlich Tastaturen. Kundige Angreifer hätten beispielsweise die Möglichkeit, im Internet oder Netzwerk Schadsoftware zu deponieren und diese dann auf den Terminal-Computer zu laden. Das ist nicht trivial, aber auch nicht unmöglich. Aber wenn es um viel Geld geht, ist die Organisierte Kriminalität mit ihren schier unendlichen Ressourcen nicht weit.
Hersteller Wincor-Nixdorf hat gegenüber dem Handelsblatt die Lücke bestätigt – das betroffene Modell sei bei vielen Sparkassen im Einsatz. Man habe aber bereits ein Update entwickelt und dieses „zeitnah“ auf die Terminals aufgespielt. Die IT-Tochter der Sparkassen, die Finanzinformatik, hatte die Aktualisierung in Auftrag gegeben. Aus Sicht der Sparkassen ist die Gefahr gebannt, so ein Sprecher des Deutschen Sparkassen- und Giroverbands. Dass das Update wirkt, konnte Kunz Mejri selbst ausprobieren. Der Automatenhersteller und die Sparkasse seien mit dem Problem sehr professionell umgegangen, lobt der IT-Sicherheitsexperte, der für seinen Hinweis einen Gutschein erhielt. Ohnehin habe kein akutes Risiko bestanden.
Trotz seines Fundes hat Kunz Mejri aber keine Angst um sein Geld: „Dafür, dass Millionen von Menschen Geldautomaten nutzen, passiert relativ wenig.“ Die Sicherheitsstandards in Deutschland seien deutlich höher als etwa in den USA: „Dort sind die Maschinen teilweise so unsicher wie Getränkeautomaten.“