Datensicherheit Angebliche Sicherheitslücke steckt in weit verbreitetem EC-Karten-Terminal

Rund 300.000 Karten-Terminals in Deutschland könnten von einem Sicherheitsproblem betroffen sein, das Berliner Experten entdeckt haben wollen. Unter anderem soll es möglich sein, PIN-Nummern bei der Eingabe abzufangen.

Anbieter zum Thema

MicroConsult Academy GmbH

ET System electronic GmbH

congatec GmbH

Die in Berlin ansässigen Security Research Labs sind vergangene Woche mit der Behauptung an die Öffentlichkeit getreten, die weit verbreiteten Kartenterminals mit der Bezeichnung Artema Hybrid Terminal des Herstellers Verifone seien sehr leicht zu knacken. Die betroffenen Geräte sind in Deutschland weit verbreitet, man findet sie zum Beispiel in Tankstellen. Nach Angaben des amerikanischen Online-Dienstes Ars Technica wird das Gerät in geschätzt 300.000 deutschen Verkaufsstellen eingesetzt.

Die Sicherheitsexperten haben nach eigenen Angaben mehrere Schwachstellen der Kartenterminals festgestellt. Zum einen gibt es angeblich eine Möglichkeit, das Gerät remote, also über das Netz, anzugreifen. „Der Netzwerkstack des Geräts enthält Pufferüberläufe, die dazu genutzt werden können, Code auf der Systemebene auszuführen“, teilten die Security Research Labs in einer Pressemitteilung mit.

Anscheinend kritischer ist die Möglichkeit, das Gerät lokal anzugreifen. So sollen einige Softwareversionen des Terminals durch einen Pufferüberlauf angreifbar sein, der die Code-Ausführung über die serielle Schnittstelle des Geräts ermöglichen soll.

Als zweite lokale Schwachstelle haben die Berliner das JTAG-Interface (Joint Test Action Group) ausgemacht. Dieses Interface sei zugänglich, ohne das Gerät öffnen zu müssen. Über diese Schnittstelle sei die volle Debugging-Kontrolle über das Gerät möglich.

Für die lokalen Angriffe ist es notwendig, sich physikalischen Zugriff auf das Terminal zu verschaffen und es zu manipulieren. So sei es zum Beispiel denkbar, dass Täter über ein derart manipuliertes Terminal Daten von EC- und Kreditkarten sowie die dazugehörigen PINs sammeln. Ein weiteres Szenario könnte zum Beispiel sein, die Transaktionsdaten zu verändern. Statt des eigentlich fälligen Betrages könnte das Konto des Geschädigten mit einem Phantasiebetrag belastet werden, so die Einschätzung der Security Research Labs. Oder mehrere Transaktionen könnten abgewickelt werden, solange sich die Karte im Leseschlitz des Gerätes befinde.

Security-Experten sehen die Behauptungen des Berliner Hackerlabors allerdings als nicht ganz unproblematisch an. Wie Ars Technica berichtet, konnten die Statements der Security Research Labs bisher nicht von unabhängiger Stelle überprüft werden. Zudem hätten die Berliner die technischen Details ihrer Entdeckung noch nicht publik gemacht. Verifone, der Hersteller der Kartenterminals, arbeitet nach eigenen Angaben inzwischen mit einem Sicherheitsteam zusammen, das vom Dachverband der deutschen Kreditwirtschaft (DK) zertifiziert wurde, um die angeblichen Schwachstellen zu überprüfen.

(ID:34610830)