Mikrofiche: Sparen an der Sicherheit

Outsourcing heißt das Zauberwort, das die Augen vieler Betriebswirte leuchten lässt. Es spart Banken und Sparkassen viel Geld, weil sie Dienstleistungen, wie die technische Verarbeitung des Kreditkartengeschäfts an sogenannte Prozessoren geben. Diese sorgen dafür, dass die Transaktionen zwischen Händler, Kunde und Bank technisch abgewickelt werden. Ihre Mitarbeiter werden oft schlechter bezahlt als Bankangestellte - für sie gelten nämlich die in der Finanz- und Kreditbranche üblichen Tarifverträge nicht.

Banken und Sparkassen sparen also - gelegentlich um den Preis ihrer Sicherheit. Denn der Transport elektronisch oder per Kurier verschickter Daten birgt immer auch die Gefahr eines Lecks, sagen Fachleute. Atos Worldline ist ein solcher Kreditkartenprozessor. Die Landesbank Berlin (LBB) gab inzwischen bekannt, dass die Daten, die der Frankfurter Rundschau zugespielt worden waren, wohl dem Kurier auf dem Weg von Atos Worldline zur Landesbank Berlin entwendet worden seien.

"Es handelt sich hier um außergewöhnliche Umstände", sagte eine Sprecherin des Deutschen Sparkassen- und Giroverbands am Sonntag der Frankfurter Rundschau. Der Vorfall lasse "keine Schlussfolgerung auf die Sicherheitsstandards der gesamten Branche zu". Datenübermittlungen fänden immer auf gesichertem Weg statt. "Wenn Daten physisch verschickt werden, dann hat das einen vergleichbaren Sicherheitsstandard wie bei Geldtransporten", so die Sprecherin.

Im Fall von Atos Worldline und der LBB hat das offenbar nicht geklappt. Warum die Daten auf Mikrofiches - Folien, die jeder lesen kann - transportiert worden sind, war zunächst nicht eindeutig zu klären.

Gefährliche Schnittstellen

Klar ist nur: Banken sind wie alle Unternehmen durch das Handelsgesetzbuch und die Abgabenordnung verpflichtet, ihre Geschäfte sechs Jahre lang zu dokumentieren und zu archivieren. Dafür eigneten sich die Mikrofiches gut, weil sie im Vergleich zu Festplatten sehr langlebig, fälschungssicher und gut lesbar seien, sagen Experten. Doch im zuletzt genannten Vorteil liegt eben auch die Gefahr, dann nämlich, wenn die Folien in die falschen Hände gelangen. Für Thilo Weichert, Datenschutzbeauftragter in Schleswig-Holstein und Experte für sichere Bankdaten, sind Mikrofiches eine "sinnvolle" Technologie zur Endlagerung von Daten. Für die Datensicherung allerdings taugten sie überhaupt nicht. Deswegen sei es völlig inakzeptabel, dass der Transfer der Fiches offensichtlich eben nicht wie ein Geldtransport behandelt worden sei.

Bankenfachleute vermuten außerdem, dass die LBB nicht nur ihr Kreditkartengeschäft technisch von Atos Worldline abwickeln lässt, sondern auch die Dokumentation und Vorbereitung zur gesetzlich vorgeschriebenen Archivierung. Der Dienstleister habe wahrscheinlich die Daten auf die Mikrofiches gezogen, um sie dann in der LBB oder an einem anderen Ort abzulegen.

Banken und Kreditinstitute seien aber per Gesetz verpflichtet, hochvertrauliche Informationen "bankintern" sicher zu verarbeiten und zu verwahren, sagte ein Unternehmensberater der Frankfurter Rundschau.

Daran ändere sich auch nichts, wenn sich das Kreditinstitut eines Prozessors wie Atos Worldline oder eines Call-Centers bediene. "Das sind genau die Schnittstellen, an denen es immer wieder zu Lecks oder zum Datenklau kommen kann."

Experte sieht Versagen der Bank

Im Kreditwesengesetz (Paragraf 25 a, Absatz 2) sei eindeutig geregelt, dass die Bank selbst für die Sicherheit der Daten zu sorgen hat - und zwar so, als würden sie bankintern verarbeitet. "Hier handelt es sich eindeutig um das Versagen der Bank", so der Experte.