Seit Ende letzten Jahres wurde in Österreich durch die Payment System Austria GmbH (PSA) – den Betreiber des Systems „Maestro„, das hinter der in Österreich gemeinhin als „Bankomatkarte“ bezeichnete Debitkarte steht – eine als Sicherheitsmerkmal verkaufte Funktion aktiviert. Das sogenannte „GeoControl“ soll den Missbrauch der Karte aktiv verhindern.
Das als „Skimming“ bezeichnete Verfahren entspricht dem typischen Missbrauchsmuster: dabei wird unbemerkt der PIN Code der Karte ausgespäht, der über den Magnetstreifen auslesbare Inhalt der Karte selbst kopiert und in Drittländern auf Leerkarten aufgespielt. Mit diesen ist es dann ein leichtes bei Bankomaten die noch mit Magnetstreifen arbeiten Geld zu beheben.
Genau hier setzt GeoControl an, indem der Gebrauch der Karten für die eben erwähnten Drittländer per Standardeinstellungen deaktiviert ist. Will der Konsument die Karte legitim in diesen Ländern nutzen, z.B. im Zuge eines Urlaubs, so ist die Karte zuvor explizit für den gewünschten Zeitraum freizuschalten.
Soweit so gut, könnte nicht ein simpler Anruf bei PSA diesen Mechanismus außer Kraft setzen. Während grundsätzlich vorgesehen ist, dass der Konsument über seine Hausbank GeoControl deaktivieren lassen kann – wo eine Identifikation des Kartenbesitzers möglich ist – so gibt es auch die Möglichkeit, sich direkt unter der Nummer +43 1 204 88 00 zu melden. Dies führt einen zum PSA Kundenservice; dort reicht die Angabe des IBANs, Land und Zeitraum völlig aus, um GeoControl zu deaktivieren. Eine weiter Authentifizierung des Anrufers ist nicht vorgesehen und technisch auch nicht möglich.
Somit hindert auch niemand den Besitzer einer kopierten Karte daran, zuvor die Karte für jenes Land freizuschalten, indem der Betrug stattfinden soll. Damit ist das Sicherheitsmerkmal GeoControl defacto wertlos. Zu klären wäre übrigens noch, was mit der Haftung passiert, wenn eine Karte mit deaktiviertem GeoControl missbräuchlich verwendet wird…