Die PIN ist sicher - wirklich?

Von EBERHARD PH. LILIENSIEK

Die Verbraucherzentrale Nordrhein-Westfalen steckt mitten in einer ihrer größten Schlachten. Sie kämpft gegen nahezu übermächtige Kreditinstitute, die alle behaupten: Das Abheben von Bargeld am Automaten mit der Persönlichen Identifikationsnummer (PIN) ist sicher. Ist es nicht, hält Hartmut Strube strikt dagegen. Und deshalb hat er namens der Verbraucherzentrale gleich fünf Klagen eingereicht.

Postbank, Deutsche Bank und Stadtsparkasse Düsseldorf sind in diesen Musterprozessen ebenso Gegner wie die Citibank und die Euro-Kartensystem-Gesellschaft („Mastercard“). Dabei geht es hart her. Die Stadtsparkasse etwa hatte rundweg bestritten, dass die Verbraucherzentrale überhaupt klagen darf. Denn die hatte sich, wie in den anderen Fällen, von geschädigten Kreditinstitut-Kunden deren Forderung abtreten lassen.

Es ist ein Marsch durch die Instanzen. Das Landgericht Düsseldorf hielt die Klage für unzulässig; dieser Entscheidung folgte das Oberlandesgericht (OLG). Erst der Bundesgerichtshof hielt das „Verbandsklagerecht“ für rechtens. Mit der Folge, dass nun wieder das OLG Düsseldorf die Sicherheit des PIN-Systems zu überprüfen hat.

Strube hält es mit starken Argumenten und drastischen Beispiel für lausig. „Auf Mallorca“, so berichtet er, „wurde jemand angerempelt – 15 Minuten später ist begonnen worden, das Konto abzuräumen“. Woher, das ist Strubes folgerichtige Frage, soll der Dieb der ec-Karte die PIN gehabt haben? Die war, im Zweifelsfall, auf der Karte notiert, antworten die Kreditinstitute unisono.

Gerne auch diese Variante: Der Kunde hat die Karte samt PIN weggegeben. Strube glaubt das nicht und legt mit einem anderen Beispiel nach. Er kann beweisen, sagt er, dass die PIN noch im verschlossenen Umschlag steckte, dennoch Geld abgehoben wurde. Strube hat drei Thesen für die Unschuld der geneppten Kunden. Wenn zwei von erlaubten drei PIN-Eingaben falsch sind, errechnet irgendein (illegales) Programm die letzte richtige Ziffernfolge.

Es gibt, so die zweite Überlegung, eine Möglichkeit, Übertragungspunkte anzugreifen. Hebt ein Kunde aus Düsseldorf in Neuseeland am Automaten Geld ab, dann gibt es keine direkten Übertragungsweg. Irgendwo dazwischen könnte also gepfuscht worden sein. Schließlich, so denkt Strube, sei ja doch ein Mittäter innerhalb eines Kreditinstitutes nicht auszuschließen.

Die Verbraucherzentrale will also die Beweislast umkehren. Nicht ein Kunde muss seine Unschuld beweisen, sondern die Institute sollen ihre nachweisen. Doch die hüllen sich in einen großen Nebel des Schweigens, moniert Finanzjurist Strube. Sie wollen in den Prozessen ihre technischen Verfahren nicht offenbaren. Dazu befragt, antwortet Kerstin Liesem vom Bundesverband deutscher Banken in Berlin nur knapp: „Wir sagen, die PIN-Verfahren sind sicher“.

Michaela Roth pflichtet ihr bei. Sie sitzt beim Deutschen Sparkassen- un…