Posted Planet Technik & Medien

Die Sparkassen feiern die neuen funkenden Girokarten als tollen Service. Doch die Kritik am Drahtlos-Cash "Girogo" wächst. Das Plastikgeld verrät, wo der Besitzer zuletzt eingekauft hat - und für wie viel. Datenschützer sind alarmiert, der Sparkassenverband findet das nicht weiter schlimm.

Hamburg - Die Sparkassen wollen ihre 45 Millionen Kunden mit neuem Plastikgeld ausstatten. Drahtloses Bezahlen per NFC-Kurzstreckenfunk (Near Field Communication) sollen die Karten künftig ermöglichen. Mit einem Wisch vor einem Lesegerät lässt sich Geld übertragen. Im Raum Hannover startet "Girogo" mit 1,5 Millionen Nutzern, in drei Jahren soll ganz Deutschland Cash funken können.

Schnell soll es jetzt gehen, damit nicht internationale Firmen wie Visa, Mastercard oder, schlimmer noch, die Internetriesen Google und Paypal das Geschäft mit dem drahtlosen Bezahlen machen. Doch womöglich wird die neue Bezahltechnik überhastet eingeführt, mit Funktionen, die nicht besonders ausgereift sind.

Denn beim Einsatz der neuen Sparkassen-Karte könnten viele Informationen über ihren Besitzer verraten werden, warnen Datenschützer. Die Funkkarten haben eine eindeutige Kennung, lassen sich unbemerkt auslesen und damit zur Überwachung missbrauchen. Nicht nur das: Die Karten speichern die letzten 15 Bezahlvorgänge und die letzten drei Ladevorgänge - unverschlüsselt und drahtlos auslesbar, wie der Programmierer Andreas Schiermeier herausgefunden hat.

Software zum Auslesen der Karten gibt es im Netz

"Zu jeder dieser Transaktionen ist ein Datums- und Zeitstempel, der Betrag und die Kennung des Händlers oder des Ladeterminals hinterlegt", sagt Schiermeier, der zum Frankfurter Chaos Computer Club gehört. Dabei sei es egal, ob die Geldkarte drahtlos oder auf herkömmliche Weise eingesetzt werde. Ausgelesen werden konnten solche Daten mit entsprechenden Lesegeräten bisher auch schon. Aber: "Der drahtlose Zugriff auf diese Daten ist neu."

Das Auslesen sei äußerst trivial, sagt Schiermeier. Benötigt werde nur ein handelsübliches RFID-Lesegerät und eine Software. Passende Lesegeräte wurden zum Beispiel zum Start des elektronischen Personalausweises ausgegeben, Software für Windows gibt es kostenlos im Netz. Dabei könnten die Daten auch verschlüsselt auf der Karte gespeichert werden, um sie vor unberechtigtem Zugriff zu schützen.

Die Sparkasse findet das nicht weiter schlimm, weil auf der Karte "keinerlei personenbezogene Daten" abgelegt seien, wie Michael Schlier vom Sparkassenverband Hannover sagt. "Weder der Ort des Einkaufs noch die gekaufte Ware noch der Händlername ist nachvollziehbar." Kunden könnten so einen Überblick über ihre Finanzen behalten. "Für jeden anderen sind diese Informationen jedoch ohne Wert."

Wie wertvoll sind solche Daten wirklich?

Genau hier liegt offenbar das Problem. Trägt jemand in seiner Geldbörse nicht nur eine der neuen Sparkassen-Karten, sondern auch noch eine ebenfalls drahtlos auslesbare Kundenkarte mit seinem Namen, könnte ein Unternehmen eine Verbindung herstellen.

Und ist die Händlerkennung wirklich nicht nachvollziehbar? Dabei lässt sich doch sehr leicht kartieren, wer welches Kürzel hat. Der Datenschutzberater Peter Leppelt, der die eindeutige Kartenkennung bemerkt und kritisiert hatte, und sein Kollege haben es ausprobiert. Sie liefen quer durch die hannoversche Innenstadt, um Testkäufe zu tätigen und Händlerkennungen zu sammeln. Profis könnten so einfach eine Datenbank erstellen.

Der Datenschutzbeauftragte von Schleswig-Holstein ist empört: "Das Vorgehen bei der Girogo-Karte ist unprofessionell und unverantwortlich", sagt Thilo Weichert. "Natürlich ist es ein Leichtes, diese Daten ganz bestimmten Kunden und ganz bestimmten Läden zuzuordnen."

Schlier will sich das nicht vorstellen: "Händler, die 'Girogo' akzeptieren, greifen auf diese Daten nicht zu." Sollten sie es doch tun, wäre dies ein Verstoß gegen die Nutzungsbedingungen. "Der Händler würde riskieren, vom Bezahlverfahren ausgeschlossen zu werden. Warum sollte dies ein Händler riskieren, wo er bereits heute über weit verbreitete Kundenbindungs- und Bonussysteme eine Vielzahl von Daten freiwillig vom Kunden mitgeteilt bekommt."

1.930 Bewerbungen auf neue Domain-Endungen gibt es, darunter so seltsame wie .vermögensberatung. Es geht um viel Geld, glücklich daher die, die keine Mitbewerber haben.

Zwei Beamer für die Live-Übertragung, kalte Getränke und einige sichtlich angespannte Menschen: In den Räumen der Berliner DOTZON GmbH sieht alles nach Fußball-EM aus. Doch es geht um neue Domain-Endungen. Die Internet Corporation for Assigned Names and Numbers (Icann) gibt bekannt, wer sich um neue Top Level Domains wie .music, .vodka oder .hotel bewirbt.

Mit ihnen sollen Institutionen, Markeninhaber und Gewerbetreibende mehr Gestaltungsspielraum für ihre Web-Präsenzen bekommen. Denn die meisten aussagekräftigen Domains mit den Endungen .com, .de oder .org sind bereits vergeben.

DOTZON hat die Bewerbungen von mehr als 20 Unternehmen und Institutionen begleitet, darunter auch die Firma regiodot. Dahinter steckt der Sutter Telefonbuch Verlag, bekannt durch die Gelben Seiten. Regiodot hat sich um .ruhr beworben, um Anzeigenkunden der Gelben Seiten neue Domains verkaufen zu können. Geschäftsführer Bernhard Lüders sitzt in der ersten Reihe vor dem Beamer und reißt jubelnd die Arme hoch, als auf der Icann-Liste nur die eigene Bewerbung für .ruhr erscheint – und keine Konkurrenz. Es ist der Moment, in dem die Icann-Übertragung einem Fußballspiel sehr ähnlich ist.

Später sagt Lüders: "Das war schon sehr spannend. So eine Bewerbung kostet mit allem Drum und Dran schließlich um die 500.000 Euro." Fast 150.000 davon bekommt allein die Icann, eine Non-Profit-Organisation mit Sitz in Kalifornien. Wer sich bewirbt, aber später den Zuschlag nicht erhält, sieht das Geld nicht wieder.

Mit neuen schicken und schnellen Laptops zeigt Apple der Konkurrenz seine Stärken. Die Sprachsteuerung Siri gibt es künftig nicht nur im iPhone, sondern auch im iPad, in den MacBooks sowie in Apple Desktop-Rechnern – und sogar im Auto. Das Betriebssystem iOS 6 bekommt rund 200 Neuerungen verpasst. Die wichtigste Entwicklung aber, die Apple am Montagabend vorstellte: iPhone, iPad, MacBooks und Mac verwachsen untereinander und mit der Cloud.

Der Ablauf des ersten Abends der Entwicklerkonferenz WWDC war ein eingespieltes Ritual: Kurz bevor der Apple-Chef die Bühne betrat, schoben sich unzählige Entwickler in das Moscone Center in San Francisco und tauschten sich über die letzten Gerüchte aus. Unterdessen wurde der Apple-Store im Internet offline genommen, um Platz für die Produkte zu machen, die Apple-Chef Tim Cook auf der Bühne vorstellte. Die Apple-Fans zu Hause mussten sich mit Liveblogs begnügen, denn einen eigenen Stream spendierte Apple den Daheimgebliebenen nicht.

Große Überraschungen folgten dann nicht: So stellte Apple wie von vielen erhofft eine komplett renovierte Notebook-Reihe vor, das neue Mobil-Betriebssystem iOS 6, eine neue Version des Desktop-Betriebssystems Mac OS X alias Mountain Lion und dazu den mit Spannung erwarteten Kartendienst, der Google Maps ersetzen soll. Enttäuscht wurden diejenigen, die Neuigkeiten zum lange erwarteten Einstieg ins Fernsehgeschäft erwartet hatten.

Microsoft hat einen Artikel über Windows 8 von heise online aus der Suchmaschine entfernen lassen. Begründung: Urheberrechtsverletzung. Heise ließ den Artikel von ihren Hausanwälten überprüfen, die keine Urheberrechtsverletzung feststellen konnten. Alle Bilder, Videoclips und verlinkte Software seien allesamt offiziell von Microsoft für diese Zwecke zur Verfügung gestellt worden.

Heise fasst die Zensurmöglichkeiten durch dieses System wie folgt zusammen:

Kommando Hack: Mit Angriffen auf gegnerische IT-Netze kann die Bundeswehr nun auch im Cyberwar mitmischen, heißt es in einem Bericht an den Bundestag. Doch wann die Informatiker-Truppe überhaupt zur Tastatur greifen darf, bleibt unklar.

Die neuen Cyberkrieger werden in trockenem Beamtendeutsch angekündigt: Die Streitkräfte hätten nach jahrelangen Vorbereitungen endlich eine "Anfangsbefähigung" für Attacken in "gegnerische Netze" erreicht, zitiert die "Financial Times Deutschland" aus Unterlagen des Verteidigungsministeriums für den Bundestag.

Demnach ist die neue Einheit für Computernetzwerkoperationen, die beim Kommando Strategische Aufklärung in Gelsdorf bei Bonn angesiedelt ist, seit Ende des vergangenen Jahres zumindest ein bisschen einsatzfähig. Der sechsseitige Bericht, der Mitte April verschickt wurde und SPIEGEL ONLINE vorliegt, befasst sich größtenteils mit der Sicherheit der IT-Systeme vor Hackerangriffen.

Der Cyberspace sei als "operative Domäne" vergleichbar mit dem Luft- oder Seeraum, in dem die Bundeswehr auch operiert. Bisher seien die Spezialisten aber noch nicht eingesetzt worden, sagte ein Sprecher des Verteidigungsministeriums der Zeitung. Allerdings ist die Rechtslage bisher ungeklärt, ebenso die Frage, ob der Parlamentsvorbehalt auch für einen digitalen Angriff gilt. Die Strategen der Bundeswehr gehen laut "Financial Times Deutschland" davon aus, dass ein Angriff mit "digitalen Waffen" zusätzlich zu einem konventionellen Einsatz stattfinden könnte. Die Hackertruppe der Bundeswehr befindet sich bereits seit 2006 im Aufbau. Ursprünglich sollte die Einheit bereits 2010 einsatzfähig sein. Der SPIEGEL hatte bereits 2009 über die "Abteilung Informations- und Computernetzwerkoperationen" berichtet, die in der Tomburg-Kaserne in Rheinbach nahe Bonn streng abgeschirmt arbeitet. Damals bestand die Einheit aus 76 Mitarbeitern unter dem Kommando von Brigadegeneral Friedrich Wilhelm Kriesel. Sie gehören dem Kommando Strategische Aufklärung an.

Auskundschaften, manipulieren, zerstören

Nach Informationen des SPIEGEL stammten die ersten Cybersoldaten vor allem aus den Fachbereichen für Informatik der Bundeswehr-Universitäten. Sie beschäftigen sich auch mit den neuesten Methoden, in fremde Netzwerke einzudringen, sie auszukundschaften, sie zu manipulieren oder zu zerstören - digitale Angriffe auf fremde Server und Netze inklusive.

Die digitale Aufrüstung stand 2009 im Eindruck der jüngsten Cyber-Angriffe auf die estnische Infrastruktur - die damals noch als zumindest halboffizieller Angriff aus Russland eingestuft wurden. Eine Ansicht, die heute allerdings kaum noch ein Experte teilt. Mittlerweile geht man von Hackergruppen aus, die ohne staatliche Aufsicht handelten.

Auch massive Angriffswellen mit Schadprogrammen auf Bundesministerien und das Kanzleramt im Frühjahr und Sommer 2007, die Ermittler auf Server in der chinesischen Provinz Lanzhou zurückführten, brachten eine Aufwertung des Bonner Bundesamts für Sicherheit in der Informationstechnik (BSI) zu einer Cyber-Verteidigungsagentur für die Behörden. Auch heute ist noch völlig unklar, wie ein angeblicher Cyber-Angriff auf Deutschland oder etwa einen Nato-Bündnispartner beantwortet werden sollte.

Solche Attacken fallen meist zeitverzögert auf, oft lässt sich bis zuletzt keine eindeutige Spur zu einem Verursacher zurückverfolgen. Etwa zwischen einem staatlichen und einem staatlich legitimierten Angriff, einer übereifrigen Bürgerwehr, einer Aktivistengruppe oder dem Kollateralschaden einer kriminellen Schadcode-Attacke zu unterscheiden, gelingt erst Monate bis Jahre später - und in den wenigsten Fällen mit endgültiger Sicherheit.

Die mobile Internetnutzung ist der primäre Antreiber der Internetwirtschaft in den nächsten Jahren. Startups und Onlinedienste müssen sich an die neuen Gegebenheiten anpassen. Für den Bericht über Badoo vom Mittwoch war ich gezwungen, mich etwas näher mit der Londoner Datingplattform auseinanderzusetzen – sprich, ein Konto zu registrieren, mich auf der Website umzusehen und auch die für iPhone und Android angebotene mobile App auszuprobieren.

Und während diese im Funktionsumfang im Gegensatz zur Webversion einige Beschränkungen mitzubringen scheint, machte mir ihre Benutzung deutlich mehr Spaß als die der klassischen Webvariante. Click here to find out more! Dabei handelt es sich nicht um einen Einzelfall. Immer häufiger erweisen sich mobile Ausführungen von Onlinediensten als attraktivere, ansehnlichere und praktischere Alternative zur herkömmlichen Browserversion – egal ob es sich dabei um HTML5-Webapps oder native Apps handelt. Kleinere Bildschirme, die Bedienung durch Touchgesten statt durch Maus und Tastatur, der direkte Zugriff auf Smartphone-Sensoren (bei nativen Apps) sowie die Notwendigkeit der Anpassung an langsamere Bandbreiten führen zu einer andersartigen, teilweise deutlich zeitgemäßeren und schnelleren User Experience.