Traue keinem Geldautomaten unter Windows

Nun warnen Sicherheitsexperten, dass es vergleichsweise einfach ist, sich in einen Geldautomaten einzuhacken. Dann können Kriminelle Geld abheben oder an vertrauliche Bankinformationen von Kunden herankommen. Die Techniken, die dabei angewendet werden, unterscheiden sich kaum von denen ‘normaler’ PC-Hacker.

So sind es auf der britischen Insel teilweise bis zu 90 Prozent der Geldautomaten, die auf der verbreiteten Wintel-Plattform (Intel-Chip mit Windows-Betriebssystem) basieren. Oft sind diese Maschinen dann auch noch über ein Netzwerk oder über weitere Rechner innerhalb der Bank mit dem Interne verbunden.

Der IT-Sicherheitsdienstleister Network Box konnte beispielweise demonstrieren, dass lediglich die PIN, also die persönliche Identifikationsnummer des Bankkunden verschlüsselt übertragen wird. Sämtliche weiteren Informationen wie Kartennummer, Ablaufdatum, Buchungen oder Kontostand gehen dabei in plain Text, also unverschlüsselt übers oder ins Netz.

Dass diese Geldautomaten gefährdet sind, ist spätestens bekannt seit dem Slammer-Wurm, der 13.000 Terminals der Bank of Amerika zum erliegen brachte.

“Ein ATM (Automated Teller Machine, Geldautomat) wird mehr und mehr zum PC mit angeschlossenen Geräten”, erklärt Martin Macmillian, Director bei Level Four, einem Sicherheitsspezialisten für Geldautomaten. Die Technologie habe sich in der Vergangenheit dramatisch gewandelt, immer mehr ATMs liefen mit Windows und seien über IP mit vielen Servern verbunden. So müssten diese Automaten auch – wie ein PC mit Aktualisierungen und Patches gepflegt werden. Zudem müssten Banken erkennen, dass über Windows ein Angriffsvektor für die Geldmaschinen bestehe. Es müsse möglich sein, diese Dienste in einer bestimmten Zeit vom Netz zu nehmen, wenn Probleme auftreten.

Aber nicht nur Sicherheitsmängel treten auf. Auch die Verfügbarkeit sei, dank Windows meist lausig, wie Macmillian gegenüber CNET erklärte. Die Vorgänger waren meist unter OS/2. Mit Windows hätten die Geldautomaten zum Teil eine Downtime von 30 Prozent.