Online-Banking: Sichere PIN in der Volksbank Rottweil unerwünscht?

Vor Kurzem informierte das Wirtschafts- und Verbrauchermagazin WISO über einen umfangreichen Datendiebstahl beim Unternehmen PricewaterhouseCoopers (PWC). WISO verschickte ebenfalls E-Mails, die unter anderem Empfehlungen für einen sicheren Umgang mit Passwörtern enthielten. Auch verwies man in diesem Zusammenhang auf Tipps vom Bundesamt für Sicherheit in der Informationstechnik (BSI). Beim Versuch diese zu befolgen, ist die gulli:Redaktion bei der Volksbank im Kreis Rottweil in Baden-Württemberg schnell an ihre Grenzen gestoßen.

Aus Sicherheitsgründen sollte man zunächst das Passwort für den Zugang zum E-Mail-Konto und Online-Banking erneuern und dabei natürlich die Tipps des BSI berücksichtigen. Das BSI empfiehlt ein mindestens acht Zeichen langes Passwort zu benutzen; zusätzlich sollten auf jeden Fall Ziffern und Sonderzeichen enthalten sein, sowie Groß- und Kleinschreibung.

Die Durchführung der Leitlinie ist in der Regel zumindest bei den E-Mail-Anbietern kein Problem. Es überrascht allerdings, dass diese Empfehlungen beim Online-Banking Probleme bereiten. Diese waren zumindest bei der Volksbank im Kreis Rottweil nicht durchführbar. Die Hilfeseite der Volksbank rät von leicht zu erratenden Begriffen wie Vornamen, Telefonnummer oder Geburtsdatum ab und verlangt lediglich eine minimale Passwortlänge von 5 (!!) Zeichen, eine maximale Länge von 20 Zeichen. Es wird zudem eine Änderung der Persönlichen Identifikationsnummer (PIN) in regelmäßigen Abständen empfohlen.

Wir wollten den Ratschlägen des BSI und der Volksbank Folge leisten und ein möglichst sicheres Passwort auswählen. Der Einfachheit halber nehmen wir nun das vorgegebene Passwort des BSI "Ms1a&pmZ". Dieses steht für "Morgens stehe ich auf und putze meine Zähne"- also jeweils die ersten Buchstaben. Das "i" ersetzen wir durch "1" und das "und" durch "&". Das Passwort beinhaltet Groß- und Kleinschreibung, Ziffern und Sonderzeichen, sowie eine Länge von 8 Zeichen - das sollte für den schwärzesten Black Hat ausreichend sicher sein, so dachten wir zumindest.

Falsch gedacht! Nach Eingabe dieses Passwortes erhält man folgende Fehlermeldung: "Das Feld PIN darf nur folgende Zeichen enthalten: Buchstaben (ohne Umlaute), Ziffern, Leerzeichen und @."

Ist das Passwort etwa zu sicher für dieses Geldinstitut? Zumindest ist den Volksbank-Kunden im Raum Rottweil die Verwendung von Sonderzeichen derzeit nicht möglich. Das wollten wir ohne jegliche Rückfrage nicht auf uns sitzen lassen. Wir kontaktierten Anfang September einen für das Online-Banking zuständigen Mitarbeiter der Bank. Dieser antwortete uns folgendermaßen:

"[...] vielen Dank für Ihre obige Anfrage betr. Sonderzeichen in OnlineBanking-PIN. Unser Rechenzentrum erlaubt hier nur: a-z, 0-9, @, Leertaste (Space). Groß-/Kleinschreibung wird bei der PIN nicht berücksichtigt."

Eine Begründung blieb leider aus. Der Mitarbeiter der Volksbank Rottweil wollte aber diesbezüglich beim zuständigen Rechenzentrum eine Anfrage stellen. Ein paar Tage später trudelte dann tatsächlich die noch ausstehende Antwort ein:

"Leider ermöglicht die aktuelle Architektur keine Sonderzeichen. Zwar sind im ebanking das "Blank" (Leerzeichen) und "@" möglich, wenn der Kunde sich dann aber über HBCI mit PIN/TAN anmeldet, würde er abgewiesen, weil [das Homebanking Computer Interface] HBCI selbst diese Zeichen nicht erlaubt. Daher empfehlen wir auch diese beiden Sonderzeichen im ebanking nicht."

Der Mitarbeiter der Volksbank dann abschließend sehr passend: "Wahrscheinlich muss hier eine Zeitlang gewartet werden, bis unser Rechenzentrum von sich aus erkennt, dass Sonderzeichen in der PIN die Sicherheit erhöhen könnten. [...]"

Da wollen wir dem guten Mann von der Volksbank höchst ungerne widersprechen. Halten wir kurz fest: Man kann also keine Punkte, keine Ausrufezeichen und bis auf Space und den Klammeraffen keine sonstigen Sonderzeichen verwenden. Zur Benutzung stehen lediglich die Zeichen a-z und die Ziffern 0-9 zur Verfügung. Die Mindestlänge der PIN beträgt nur fünf Zeichen. Die Groß- und Kleinschreibung wird bei der Eingabe der PIN ebenfalls nicht berücksichtigt.

Müssten nicht alle Banken generell an einem Maximum Sicherheit ihrer Kunden interessiert sein? Bislang ist noch unklar, ob sich die bestehende Problematik lediglich auf die Volksbank im Kreis Rottweil beschränkt. Es ist aber leider davon auszugehen, dass zahlreiche andere Banken ganz ähnlich verfahren. Im Interesse der Sicherheit der Kunden kann man nur schnellstmöglichst um eine Änderung der Zustände bitten. (Ghandy)

Vielen Dank an den g:b User Black-Lion!

News Redaktion am Mittwoch, 10.09.2008 23:08 Uhr

tags Tags: datendiebstahl email pläne rechenzentrum online banking blackhat bundesamt für sicherheit in der informationstechnik hilfeseite institut persönliche identifikationsnumme pricewaterhousecoopers pwc rottweil sonderzeichen umlaut volksbank wiso bsi

Weitere interessante News

17 Reaktionen zu dieser Nachricht

knoddorf am 11.09.2008 08:42:04

Wie oben schon gesagt, bei den Sparkassen sieht es auch nicht besser aus : Mit dieser Funktion können Sie Ihre bisherige persönliche Identifikations-Nummer (PIN) ändern. Bitte wählen Sie eine fünfstellige PIN, die nur Ihnen bekannt ist, und notieren oder speichern Sie diese nicht. Erl ...
Screemer am 10.09.2008 23:19:33

wie schon des öfteren erwähnt wurde ist bei sparkassen 5 zeichen das limit. der absolute witz. ist im übrigen ein problem, dass sich bei vielen sparkassen zeigt. ich habe bei unterschiedlichen sparkassen konten und bei einer ist es bis max. 5 zeichen bei anderen bis 16. ...
nils am 10.09.2008 13:54:31

Wow, bei der Sparda-Bank Hessen eG muss man sich die Richtlinien selber durch entsprechende Fehlversuche zusammensuchen... Der Inhalt des Feldes "Neue Online-PIN" muss mindestens 6 Zeichen lang sein. (45002) Das Feld "Neue Online-PIN" enthält ungültige Zeichen oder hat ein ...
a_d_s am 10.09.2008 13:52:20

Aber auch vor Jahrzehnten (zumindest vor den letzten zwei) war das Thema Passwortsicherheit für IT- (oder EDV-)Fachleute doch kein völliges Fremdwort mehr. Das Problem ist recht neu ... klar, an Passwörter kamen die bösen Jungs schon immer heran und wenn man es auch mal mit So ...
AOM am 10.09.2008 13:31:57

Ausserdem sind die Rechenzentren auf eine Betriebsdauer von Jahrzehnten ausgelegt so dass da nur sehr moderat Änderungen zu erwarten sind. Aber auch vor Jahrzehnten (zumindest vor den letzten zwei) war das Thema Passwortsicherheit für IT- (oder EDV-)Fachleute doch kein völli ...

weitere Kommentare lesen Nachricht kommentieren

News [Kurioses]

Apple filterte den Begriff "Jailbreak" im iTunes Store

Lars Sobiraj am 20.05.2012, 16:54 Uhr

Im US-amerikanischen iTunes Store wurden statt dem Begriff "Jailbreak" lediglich Sternchen zwischen dem Anfangs- und Endbuchstaben angezeigt. Davon waren letztlich alle Kategorien betroffen. So wurden neben Apps auch Klingeltöne, Podcasts, Musikstücke, ganze Alben und eBooks zensiert angezeigt. Laut den Untersuchungen von Shoutpedia waren mehrere Monate lang 95% aller Begriffe davon betroffen.

mehr mehr lesen...