Eitel Dignatz, Dignatz Consulting, Muenchen

Wer die Diskussion um den Einstieg der Geldinstitute ins Electronic Banking verfolgt, kann sich des Eindrucks nicht erwehren, dass diese bisweilen "Zwiedenk" e la George Orwell betreiben. "Nicht sicher genug" meinten etliche Vertreter der Geldinstitute zum Thema Internet-Banking, wenn man sich beispielsweise auf dem Finanzforum Frankfurt umhoerte. Doch ob solche Banker immer glauben, was sie sagen, sei dahingestellt. Die bisher akzeptierten oder immerhin hingenommenen Sicherheitsluecken beim traditionellen Bankverkehr sind so gravierend, dass ein wohlueberlegtes Electronic-Banking-Konzept trotz des verbleibenden Restrisikos die Lage fuer den Kunden erheblich verbessern wuerde. Seitdem vor allem Grossbanken das Telefon-Banking als neuen Vertriebsweg entdeckten und folgerichtig reine Telefonbanken gruendeten, gehen immer mehr Bundesbuerger auf Sendung: Mit ihren drahtlosen Telefonen posaunen sie nicht nur ihre Kontonummer, sondern auch die Geheimzahl durch die Gegend. Zwar haelt sich der moegliche Schaden meist in Grenzen, da viele Telefonbanken nur Transaktionen nach dem Motto "Rechte Tasche, linke Tasche" zulassen, also etwa Ueberweisungen vom eigenen Girokonto zum eigenen Festgeldkonto. Erfahrungen mit einer Quickborner Telefonbank zeigten, dass man dort die Kunden nicht generell vor Mithoerern warnen wollte, weil die dadurch verursachte Beunruhigung die muehsam aufgebaute Akzeptanz des Telefon-Banking untergraben koennte. Per Fax mag die Bank aber keine Auftraege entgegennehmen, denn das ist ihr zu unsicher.

Auch die normale, beleghafte Abwicklung von Ueberweisungen stellt jede Internet-Hackerei als Sicherheitsrisiko bei weitem in den Schatten: Prinzipiell kann jedermann einen Ueberweisungsauftrag mit einer gefaelschten Unterschrift fuer ein fremdes Girokonto ausfuellen und in den Bankbriefkasten werfen. Man darf davon ausgehen, dass die Bank eine Ueberweisung ausfuehren wird, solange sie keinen Zweifel an der Echtheit der Unterschrift hat und der zu ueberweisende Betrag fuer dieses Konto nicht ungewoehnlich hoch ist. Es wird auch nur in den seltensten Faellen stoeren, wenn das Zielkonto ein Nummernkonto im Ausland ist. Fuer den Kunden kann es hier in puncto Sicherheit eigentlich kaum noch schlechter werden.

Es geht hier nicht darum, die Risiken des Electronic Banking abzustreiten. Aber sie lassen sich begrenzen. Wenn zum Beispiel der Kunde von seinem eigenen ISDN-Anschluss per PC eine direkte Modemverbindung mit dem Bankrechner herstellen wuerde, boete die Caller-ID-Uebermittlung immerhin den Vorteil einer Anruferidentifizierung, die man bei Ueberweisungsformularen vergeblich sucht. Es muss ja fuer Transaktionen nicht unbedingt das Internet sein. Authentifizierungsverfahren wie Pretty Good Privacy (PGP) leisten Ordentliches und koennen unberechtigte Zugriffe ausschliessen, sofern man sicherstellt, dass der allererste Schluesselaustausch nicht abgehoert werden kann. Aehnlich verhaelt es sich bei Verschluesselungen. Das Problem der Authentifizierung und der abhoersicheren Uebermittlung laesst sich auf elektronischem Wege mit einem akzeptablen Restrisiko loesen, auch wenn ein vor einigen Wochen bekanntgewordener Fall, bei dem es um einen Kerberos-Fehler ging, das Gegenteil zu beweisen schien.

Diese zuversichtlichen Aussagen gelten zwar nur fuer den aktuellen Erkenntnisstand. Das ist aber ganz normal. Sicherheit erreicht man nicht fuer die Ewigkeit, sondern man muss organisatorisch und technisch staendig nachziehen. Wer jegliches Risiko komplett ausschliessen will, hat zwar redliche Motive, ist aber nicht ganz von dieser Welt. Er wuerde vom Electronic Banking etwas verlangen, das sonst auch nicht zu haben ist. In der Software-Entwicklung etwa kann derjenige schnell ein reicher Mann werden, der die richtige Zeile Code aendert. Verstaendlich, dass man darueber oeffentlich nur ungern redet.

Obwohl sich die Sicherheitsdiskussion meist auf Hacker und damit auf externe Uebergriffe konzentriert, liegen gerade in der bankeigenen Organisation und DV-Landschaft Gefahren, die die Geldhaeuser allenfalls hinter verschlossenen Tueren diskutieren und die nicht erst durch das Electronic Banking entstanden sind. Obendrein ist die Annahme unrealistisch, Bankmitarbeiter seien gegen Versuchungen des Mammons grundsaetzlich besser gefeit als der gesamte Rest der Menschheit.

Wer Sicherheit uneingeschraenkt garantieren will, muss sich von seinem Abteilungs-Server unter dem Schreibtisch verabschieden und seine Rechner wieder in einen separaten Rechnerraum verbannen, zu dem nur ausgewaehltes Personal Zutritt hat. Ausser fuer diese wenigen Vertrauenspersonen muesste der Zugang zur Rechnerhardware verhindert werden.