Bei der Diskussion um die tatsächlich und vermeintlichen Gefahren der Computerkriminalität kommt von EDV-Chefs häufig der Einwand, alles, was bisher an einschlägigen Fällen bekannt wurde, sei In Ihren Rechenzentren und ihren Firmen einfach unmöglich. Der Einwand mag auch richtig sein, diskutiert wurden Ja die bisher aufgeflogenen Fälle. Und die anderen?
Deshalb wird hier ein potentieller Coup vorgestellt, der vielleicht doch einigen zu denken geben sollte. So wie der Hinweis auf die Gefahr giftiger Pilze noch nicht Anstiftung zum Mord ist, Ist auch die folgende "Anleitung" strafrechtlich und presserechtlich unbedenklich. Daß manch einer dergleichen nicht gerne gedruckt sieht, muß in Kauf genommen werden.
Monatlich 3000 Mark
Herr X ist Chefoperator Im Rechenzentrum einer größeren Firma, die mehrere tausend Gastarbeiter türkischer oder griechischer Abstammung beschäftigt. X hat Programmierkenntnisse - so was soll Ja vorkommen. Es gelingt Ihm, eine kleine einträgliche Subroutine In das Lohnprogramm einzubinden. Inhalt: Bei jedem Lohnempfänger Abfrage, ob Nationalität griechisch oder türkisch. Wenn ja, Abzug eines Betrages von minimal 0,30 und maximal 0.90 Mark vom Netto-Gehalt - und zwar nicht von der Endsumme, dort könnte leicht nachdatiert werden, sondern bei einem nach kompliziertem Verfahren errechneten Zwischenbetrag.
Keiner der Gastarbeiter, die nur eine in-etwa-Vorstellung über ihr präzises Nettogehalt haben, wird bei einer so kleinen Differenz vom Erwartungswert nachrechnen, selbst wenn er nachrechnen könnte. Immerhin wurde der Betrag Ja vom Computer errechnet, und dem muß man vertrauen.
Bei etwa fünftausend Gastarbeitern ergibt das eine Gesamtdifferenz von monatlich dreitausend Mark. Diesen Betrag läßt X sich auf sein Konto überweisen. Die Kontrollsummen (Gesamtbetrag der Überweisung) stimmen überein, da das einbehaltene Geld Ja ihm ausgezahlt wird. Eine zweite Kontrollsumme ist die Zahl der Überweisungen. Hier macht X eine Programmänderung, die von der Ausgabe der Zahl der gedruckten Überweisungen den Wert 2 (für zwei Überweisungsformulare) wieder abzieht, denn die Auszahlung erfolgt über zwei "tote Seelen" mit Konten, die X gehören - damit in den Lohnlisten kein zu hoher Betrag auffällt.
Da nicht mehr Gesamtlohn ausgezahlt wird, als die Kontrollsumme der Fachabteilung vorgibt, da keiner "tatsächlich" geschädigt wurde (bis auf Pfennigbeträge), da keiner Regreßansprüche in Höhe der Betrugssumme stellen wird, kann Herr X ziemlich sicher sein.
Dennoch, er ist ein vorsichtiger Mann und macht von seinem geänderten Programm ein Duplikat. Obwohl er als Operator eigentlich keinen Zugang zum Daten- und Programmarchiv haben dürfte, gelingt es ihm, das geänderte Programmband gegen das richtige Originalband auszutauschen. Sollte jetzt wirklich eine Beanstandung auftreten, würde man das aktuelle Programmband mit dem vermeintlichen Originalband vergleichen und völlige Identität feststellen, so daß bei einer Differenz von wenigen Groschen sicherlich keine aufwendige Programm-Revision veranlaßt wird.
Selbst wenn die Manipulation bemerkt werden sollte, und Voraussetzung dafür wäre ein besonders hartnäckiger Gastarbeiter oder gar mehrere, kann X damit rechnen, ohne Strafe davonzukommen.
Ausreichende Abwehrmaßnahmen
Gewiß, in vielen Rechenzentren weiß die Operating-Mannschaft gar nicht, welche Bänder welche Programme enthalten. In anderen RZ's hat ein Operator unter gar keinen Umständen Zugang zum Programmarchiv. Auch eine Auswertung des System-Logs könnte Hinweise liefern, aber ein Könner wurde über die Adreß-Wählschalter am Konsol programmieren.
Ein Operator hat meist auch andere Möglichkeiten, die Betriebsdatenerfassung lahmzulegen. In der Nachtschicht ist viel Zelt, und die Kollegen spielen Schach.
Zwar werden In einigen Rechenzentren alle Link-Edit-Läufe mit vermögenswirksamen Programmen extra ausgewiesen - aber die Mehrheit macht's eben nicht. Das geänderte Programm hätte etwas Iängere Laufzelten und einen höheren Hauptspeicherbedarf ein systematischer
Vergleich der Job-Accounting-Auswertungen mit denen von Vor-Perioden könnte die Manipulation verraten - wie häufig aber gibt es so etwas In der Praxis?
Die größte Gefahr droht vermutlich bei der Wartung, die ja bei Lohnprogrammen recht häufig ist. Meist werden aber nur an lokalen Stellen Parameter oder Formeln geändert - ohne Überprüfung des Gesamtkonzeptes. Eine liederliche Dokumentation wäre Herrn X sehr dienlich. Übrigens würde X bemerken können, daß das Programm gewartet wird, und er wurde seine Sub-Routinen vorübergehend entfernen.
Denkbare Gegenmaßnahmen gibt es noch einige. Die Frage ist nur: Werden sie In der Praxis auch realisiert?