So funktionieren Chip- und PIN-Kreditkarten

Ein Straßenzeitungsverkäufer (L) verwendet sein Chip- und PIN-Gerät vor der U-Bahnstation South Kensington in London, 2013 Chip- und PIN-Karten sind in Europa weit verbreitet.

Jeder Kreditkarteninhaber in Amerika kennt das „Swipe and Sign“-Kassenritual. Richten Sie den Magnetstreifen aus, ziehen Sie die Karte durch, drücken Sie "OK", um den zu berechnenden Betrag anzuzeigen, und unterschreiben Sie dann Ihr unleserliches Gekritzel auf dem Bildschirm. Das Wisch- und Zeichensystem ist in den USA so verbreitet, dass amerikanische Reisende oft schockiert sind, wenn sie erfahren, dass fast kein anderes Land dies noch tut. Der internationale Standard für Kreditkartensicherheit heißt "Chip und PIN" und ist jetzt in amerikanischen Geldbörsen enthalten.

Bei Chip- und PIN-Karten werden die Kreditkartendaten auf einem winzigen Computerchip gespeichert – nicht auf einem Magnetstreifen – und Kunden geben eine vierstellige PIN (persönliche Identifikationsnummer) ein, anstatt den Bildschirm zu unterschreiben.

Chip- und PIN-Kreditkarten machten in den USA im Dezember 2013 Schlagzeilen, als Hacker Kredit- und Debitkarteninformationen von 40 Millionen Target-Kunden und die Namen und E-Mail-Adressen von 70 Millionen weiteren [Quelle:Harris] stahlen. Auch das Kunsthandwerksgeschäft Michaels und der Einzelhändler Neiman Marcus wurden Opfer massiver Datenschutzverletzungen. Sicherheitsexperten glauben, dass Hacker aus der Ferne Malware auf den Kassen der Unternehmen installiert haben, die jedes Mal, wenn ein Kunde eine Karte geklaut hat, Kreditkartendaten gestohlen haben [Quelle:Hu].

Im Zuge der Datenschutzverletzung versprach Target, seine Kredit- und Debitkarten mit Handelsmarken auf die neue Chip- und PIN-Technologie umzustellen [Quelle:Harris]. Visa und Mastercard kündigten ähnliche Pläne an, bis Oktober 2015 von Magnetstreifen auf Chip und PIN umzustellen [Quelle:Gara].

Was bedeutet der Kreditkartenwechsel für den amerikanischen Durchschnittsverbraucher? Sind Chip- und PIN-Karten wirklich sicherer als Magnetstreifen? Und wenn Sie jetzt eine Chip- und PIN-Karte wollen? Akzeptieren amerikanische Läden sie überhaupt?

Beginnen wir mit einer kurzen Geschichte der Chip- und PIN-Technologie und wie sie wirklich funktioniert.

Was sind Chip- und PIN-Kreditkarten?

Eine deutsche Kreditkarte zeigt einen Computerchip anstelle eines Magnetstreifens. Solche Chip- und PIN-Karten werden in den USA zur Norm.

Chip- und PIN-Kreditkarten stellen ein bedeutendes technologisches Upgrade der traditionellen Magnetstreifen-Kreditkarten dar. Anstatt Kreditkartennummern und Karteninhaberinformationen in einen Magnetstreifen einzubetten, sind alle Daten in einem winzigen Computerchip enthalten, der in die Karte eingebaut ist.

Chip- und PIN-Technologie gibt es seit 1984, als französische Banken damit begannen, chipbasierte Karten zu testen. 1996 arbeiteten die weltweit führenden Kreditkartenunternehmen zusammen, um einen neuen, sichereren Standard auf Basis der französischen Technologie zu schaffen. In der Branche heißen Chip- und PIN-Karten EMV-Karten, ein Akronym für Europay, MasterCard und Visa, die drei Kreditkarten Unternehmen, die die ersten internationalen technologischen Spezifikationen für Chip- und PIN-Karten entwickelt haben [Quelle:EMVCo].

Der Computerchip in einer Chip- und PIN-Karte funktioniert wie ein kleiner Computer. Der Chip kann nicht nur Daten speichern, sondern ist auch ein Datenprozessor. Einer der Gründe, warum Chip- und PIN-Karten so sicher sind, ist, dass der Chip Kryptografie verwendet, um sichere Daten bei der Kommunikation mit einem Kartenlesegerät zu schützen [Quelle:EMVCo]. Der Chip selbst hat keine Stromquelle, springt aber in Aktion, wenn er mit einem Kassenterminal in Kontakt kommt.

Die gebräuchlichste Art, eine Chip- und PIN-Karte zu verwenden, besteht darin, das Ende der Karte in einen Schlitz an einem Kartenlesegerät einzuführen. Je nach Terminaltyp geben Sie dann entweder eine vierstellige PIN ein oder unterschreiben einen ausgedruckten Beleg. Es gibt auch sogenannte "kontaktlose" Kassenterminals, bei denen Sie die Karte einfach an das Lesegerät halten, um den Chip zu aktivieren. Dieselbe Chiptechnologie wird in Mobiltelefonen verwendet, um mobile Zahlungen unterwegs zu ermöglichen.

Einer der Vorteile der Chip- und PIN-Technologie besteht darin, dass das Kartenlesegerät nicht mit einer Telefon- oder Internetleitung verbunden sein muss, um die Belastung zu verarbeiten. Bei Magnetstreifenkarten muss der Kartenleser mit dem Kreditkartenunternehmen „sprechen“, bevor er die Belastung autorisiert. (Früher riefen die Kassierer die Gebühren per Telefon ein.) An Orten mit langsamen Telefonnetzen können Chip- und PIN-Terminals offline arbeiten, die Gebühren allein über den Chip verarbeiten und am Ende die Gebühren in großen Mengen autorisieren der Tag [Quelle:Gara].

Sehen wir uns nun das Problem des Kreditkartenbetrugs genauer an und wie Chip und PIN den Diebstahl eindämmen.

Chip- und PIN-Kreditkarten und Sicherheit

Ein typisches Kreditkartenlesegerät in Target-Geschäften bietet dem Kunden die Möglichkeit, eine PIN-Nummer einzugeben oder zu unterschreiben. Mit dem massiven Kreditkartenverstoß, den Target erlebte, hat es auf Chip- und PIN-Speicherkarten umgestellt.

Die Target-Datenpanne während des Weihnachtsgeschäfts 2013 war der größte Vorfall von Kreditkartendiebstahl und -betrug in der Geschichte des Einzelhandels. Die Hacker – die nie erwischt wurden – haben die persönlichen Daten von Millionen von Target-Kunden in die Hände bekommen [Quelle:Floum]. Es diente den amerikanischen Unternehmen als Weckruf hinsichtlich der Kosten des Kreditkartenbetrugs, sowohl für ihr Endergebnis als auch für ihren Ruf.

Amerikanische Verbraucher machen ein Viertel der Kreditkartenkäufe weltweit aus, sind aber Opfer von 50 Prozent des weltweiten Kreditkartenbetrugs [Quelle:Floum]. Die Rate in den USA hat sich seit den frühen 2000er Jahren verdoppelt, als Chip- und PIN-Karten in ganz Europa verbreitet wurden [Quelle:Schneider].

Wie die Target-Hacker demonstrierten, ist es relativ einfach, Daten zu stehlen, die in der Magnetstreifentechnologie der alten Schule kodiert sind. Kreditkarten mit Magnetstreifen sind auch viel leichter zu fälschen als Varianten mit Chip und PIN. Und Magnetstreifenkarten bieten fast keinen Schutz gegen die grundlegendste Art von Identitätsdiebstahl:den Diebstahl der Brieftasche oder des Geldbeutels von jemandem. Da für Magnetstreifenkarten keine PIN erforderlich ist, kann ein Dieb einfach eine falsche Unterschrift kritzeln – sieht Ihre „digitale“ Unterschrift auch nur annähernd wie Ihre echte aus? — und weggehen.

Der Hauptgrund, warum Chip- und PIN-Karten sicherer sind als Magnetstreifenkarten, liegt darin, dass sie eine vierstellige PIN zur Autorisierung benötigen. Das ist der einfachste Weg, um zu wissen, dass der Karteninhaber der wahre Besitzer der Karte ist. Da alle Daten und Kommunikationen durch Kryptografie geschützt sind, sind Chip- und PIN-Karten unendlich schwerer zu hacken.

Allerdings bieten weder Magnetstreifen- noch Chip- und PIN-Karten viel Schutz vor betrügerischen Online-Einkäufen. Tatsächlich ist in Großbritannien der Kreditkartenbetrug im Geschäft zwar stark zurückgegangen, der Betrug durch die Verwendung von Kreditkarten über das Telefon oder das Internet ist jedoch explodiert [Quelle:Bell].

In Westeuropa sind über 80 Prozent aller Kreditkarten mit Chip- und PIN-Technologie ausgestattet und 99,9 Prozent der Kartenleser sind dafür ausgerüstet. In Kanada und Lateinamerika liegt die Adoptionsrate von Chip- und PIN-Karten bei etwa 54 Prozent [Quelle:EVMCo]. Die USA haben sich der Umstellung widersetzt und amerikanische Verbraucher und ihre Kreditkarten zur „niedrig hängenden Frucht“ für Hacker gemacht. Aber nicht mehr.

Chip und PIN in Amerika

Warum sind die Vereinigten Staaten eines der letzten Länder der Welt, das Chip- und PIN-Kreditkarten einführt? Zunächst einmal verfügt Amerika über eine starke Telekommunikationsinfrastruktur, die es einfach macht, mit einer Magnetstreifenkarte getätigte Einkäufe sofort zu autorisieren, sodass die Offline-Fähigkeit nicht so attraktiv ist. Zweitens konzentrierte sich Kreditkartenbetrug historisch auf andere Länder, was sie dazu veranlasste, die Chip- und PIN-Technologie stärker zu nutzen.

Schließlich wird es amerikanische Einzelhändler und Banken rund 8 Milliarden US-Dollar kosten, um zwischen der Aufrüstung der Kreditkarten selbst und der in Einzelhandelseinrichtungen verwendeten Lesegeräte zu wechseln [Quelle:Schneider]. (Die Herstellung und Verteilung einer Magnetkarte kostet etwa 2 USD und die Herstellung und Verteilung einer Chip- und PIN-Karte 15 bis 20 USD [Quelle:Bell].) Und der Kreditkartenmarkt in den USA ist so groß und komplex – mehr als 15.000 Amerikanische Banken geben Karten aus – dass es schwieriger ist, weitreichende Änderungen umzusetzen als in Ländern mit einem stärker zentralisierten Banken- und Kreditsystem [Quelle:Ghahremani].

Aber hochkarätige Angriffe wie der von Target und die zunehmende Konzentration von Kreditkartenbetrug in den USA haben die Meinung geändert. Die beiden größten Kreditkartenunternehmen Amerikas, Visa und MasterCard, haben einen Plan für die Umstellung auf Chip- und PIN-Kreditkarten bis Oktober 2015. Visa und MasterCard werden Banken und Händler nicht zwingen, die neuen Karten auszustellen, aber sie werden sie behalten haftet für Betrug, der mit älteren Magnetstreifenkarten auftritt [Quelle:Gara]. In Vorbereitung auf die Umstellung haben große Einzelhändler wie Wal-Mart und Target bereits in Kassenterminals investiert, die Chip- und PIN-Karten verarbeiten können [Quelle:Schneider].

Weitere Informationen zur Funktionsweise von Kreditkarten, zur Vermeidung von Identitätsdiebstahl und Tipps für Auslandsreisen finden Sie in den entsprechenden HowStuffWorks-Artikeln auf der nächsten Seite.