Sicherheitslücke im Girocard-System oder sorglose Schauermärchenerzähler.

Zeit für die Jahresbilanz: Der meistgelesene Beitrag in diesem Jahr war mit 5.238 Lesern „Paydirekt legt Fehlstart hin“, gefolgt von „Lidl nimmt Kreditkarten, Aldi zieht nach“ mit 3.865 Lesern. Auf Platz Drei landete „Aldi akzeptiert“ mit 3.421 Lesern.

Rang Vier nimmt der Beitrag „SecuRe Pay, PSD II oder das Ende des One-Klick-Shoppings“ (3.385 Leser) ein und auf dem letzten Platz der Top 5 rangiert der Beitrag über das Kartenforum 2015 „Paydirekt und andere Probleme“ (3.249 Leser).

Die meisten Leser kommen (natürlich) über Google auf dieses Blog, es folgen Twitter, Facebook, Linkedin und dann bereits der Newsletter „zvnews“ von ibi research. Das alles verrät mir die Statistikzusammenfassung von Jetpack bzw. WordPress.

Was ich gerne noch in diesem Jahr geschrieben hätte…

… ist ein Update des Beitrags „100 Fragen an die Payment-Branche“, den ich 2013 mal geschrieben habe. Natürlich stünden die Auswirkungen der europäischen Interbankenentgelt-Verordnung (MIF-VO) ganz oben auf der Liste. Aber auch die Folgen der reformierten Payment Service Directive (PSDII) sowie der diversen Fusionen (Intercard AG – Verifone, Wordline – Equens, etc.) werfen spannende Fragen auf. Leider fehlen mir Zeit und Phantasie für 100 Fragen.

Zweitens hätte ich mich gerne noch mit dem angeblichen Girocard-Hack des SRLabs auseinandergesetzt, über den das „Recherchenetzwerk“ von SZ, WDR, NDR sowie Zeit Online und die FAZ vorweihnachtlich berichteten. Hier findet man das Streaming des entsprechenden Vortrags auf der 32C3 des Chaos Computer Clubs (CCC). In den Beiträgen zum Hack ging es wild durcheinander. Ich habe leider keine Zeit hinterherzurecherchieren, glaube aber mal, dass an den beiden Szenarien der „Sicherheitsforscher“ nicht viel dran ist. Viel Wind um Nichts bis Wenig, vermutlich.

Die Stellungnahme der Deutschen Kreditwirtschaft zu den Presseberichten findet sich hier. „Laborbedingungen“ und „seit 2012“ keine Magnetstreifentransaktionen sondern nur noch chip-basierte Zahlungen, lautet die Hauptverteidigungslinie der DK. „Der von der Berliner Security Research Labs durchgeführte Angriff auf das Girocard-Bezahlsystem ist nicht realistisch“, heißt es in der dürftigen Erklärung.

Der Fall zeigt aber auch ohne Recherche zweierlei: Die Pressearbeit der Girocard-Stakeholder ist im Krisenfall eine Katastrophe. Das hat sich schon zu anderen Gelegenheiten immer wieder gezeigt. Zu langsam, zu eigensüchtig, zu unprofessionell. Netzbetreiber, Banken, Handel – alle ziehen den Kopf ein und zeigen im besten Falle mit dem Finger auf den Anderen. Dass die Sprecher(herr)schaft in der DK turnusmäßig wechselt, ist dabei ein weiteres Problem. Der Bundesverband der EC-Cash-Netzbetreiber (BECN) hat noch nicht mal eine Internetseite; als sie noch ein Arbeitskreis waren, waren sie da besser aufgestellt.

Zweitens: Selbst die renommierten Adressen der deutschen Presselandschaft schalten für eine gute Story bei der journalistischen Sorgfalt schon mal eine Gang zurück. Kritisch hinterfragt wurde die angebliche Enthüllungsstory des SRLabs kaum. Echte bzw. andere „Sicherheitsexperten“, sei es von der Kreditwirtschaft oder von der Seite der EC-Cash-Netzbetreiber, kommen in den Artikeln nicht vor. So eine Story kurz vor Weihnachten, wenn die Kartentransaktionen Rekordstände an den Kassen erreichen, ist meines Erachtens schon grob fahrlässig, jedenfalls grob unnötig.

Ich hätte gerne gewusst, was echte Sicherheitsforscher zum Hack sagen, hatte aber weder Zeit und Lust sie zwischen den Jahren zu behelligen. Vielleicht nächstes Jahr wieder…

In diesem Sinne wünsche ich den Leser von BargeldlosBlog einen guten Rutsch!