CK • Washington. Urlaubszeiten sind gut für Hacker. Schnell einen Dauerauftrag auf fremdem Postbank-Konto eingerichtet - und mit etwas Glück ist der Inhaber unterwegs und bemerkt die Abbuchungen nicht. Den Muellers - welchen eigentlich? - in Mönchengladbach war dieses Glück gleich zwei Mal hold.
Dass die Postbank dem verblüfften Inhaber des Online-Kontos keinen offensichtlichen Weg zur Meldung des Angriffs weist, ist erstaunlich. Dass ein Dauerauftrag mit einer anscheinend unbekannten TAN erteilt werden kann, ist verwunderlich.
Dass Kontoverbindungen wie in Amerika aus Sicherheitsgründen üblich nie veröffentlicht wurden, nicht im Browser. sondern im Kopf gespeichert sind und das teure Postbank-Konto doch geknackt werden kann, verwundert weniger. Sicherheitsspezialisten halten
Obscurity zwar nicht für unnütz, doch bietet sie allein keine Sicherheit. Schon fast kriminell erscheint deshalb die PIN von lediglich fünf Zeichen, die die Postbank vorschreibt.
Eine Kontonummer, eine fünfstellige PIN erraten - das erfordert nicht einmal einen Profi-Hacker. Danke, Postbank.
Nachtrag 11. August 2008: Die Postbank wird auf Umwegen gefunden und klärt kompetent auf:
Bericht.
Nachtrag 3. September 2008: Heute trifft von der Postbank ein aufklärendes Entschuldigungsschreiben ein. In Stil und Inhalt übertrifft es an Kundenfreundlichkeit alles, was man je von einer US-Bank erhoffen dürfte. Deutschland als Service-Wüste - das scheint auf die Postbank nicht zuzutreffen. Im Gegenteil. Und böse Muellers gibt's in Moenchengladbach auch nicht.