Für die alte Dame war es ein herber Verlust. Ihre Scheckkarte war gestohlen worden, und der Dieb hatte 1000 Mark von ihrem Konto bei der Dresdner Dank in Darmstadt abgebucht. Dennoch weigerte sich die Bank, das Geld zurückzuerstatten.

Die Kundin habe grob fahrlässig gehandelt und irgendwo ihre Geheimnummer notiert, behauptete die Bank. Ohne Kenntnis der Geheimzahl hätte der Dieb kein Geld am Automaten bekommen, denn es sei unmöglich, den Code zu knacken.

Doch vor Gericht erlebte die Bank eine Überraschung. Dort machte der als Gutachter bestellte Computerexperte Professor Manfred Pausch vor, wie er die richtige Geheimzahl einer ec-Karte schon beim 17. Versuch erwischte. Das Gericht gab der Frau recht und sprach ihr 900 Mark zu.

Das war vor neun Jahren. Doch die peinliche Demonstration blieb folgenlos. Die Dresdner Bank verzichtete darauf, in die nächste Instanz zu gehen. Das Urteil verstaubte im Archiv, und die Banken behaupteten weiter, die Geheimzahl sei schwerer zu treffen als ein Sechser im Lotto.

Erst jetzt macht das Geldgewerbe ernst und gibt neue Geheimzahlen aus. Ein Computer wird in den nächsten Monaten nach einem geheimgehaltenen Code neue vierstellige Persönliche Identifikationsnummern (Pin) für alle 40 Millionen Eurocheque-Karten errechnen. Vom nächsten Jahr an sollen die Karteninhaber dann auch eine bis zu zwölfstellige Ziffernfolge selbst als Pin festlegen können. Das war bislang nicht möglich.

Die aufwendige Aktion ist das späte Eingeständnis, daß der Pin längst nicht mehr sicher ist. Denn das Verfahren, mit dem die Geheimzahl vergeben wird, beruht auf der angejahrten Verschlüsselungstechnik Data Encryption Standard (DES), die Anfang der siebziger Jahre bei IBM entwickelt und 1977 von der US-Regierung zur Norm erklärt wurde. Damals gingen die Experten davon aus, daß es 1900 Jahre dauern würde, um mit diesem Verfahren verschlüsselte Daten oder Texte lesbar zu machen.

Doch die Leistungsfähigkeit der Elektronengehirne hat in den vergangenen 20 Jahren so dramatisch zugenommen, daß die Möglichkeit, mit Computerhilfe solche Codes zu knacken, enorm gestiegen ist. Die Folge: Immer mehr Bundesbürger wurden Opfer von ec-Karten-Betrügern.

So registrierten die Statistiker des Bundeskriminalamts 1993 bei einem Bestand von etwa 35 Millionen ec-Karten insgesamt 10 754 Betrugsfälle. Schon 1995 hatten sich die Betrügereien mehr als verdoppelt, obwohl die Zahl der Scheckkarten nur um etwa zehn Prozent gestiegen war. Im vergangenen Jahr wurden bei rund 40 Millionen Karten schon 26 900 Betrugsfälle gemeldet. Experten schätzen, daß sich der Schaden jährlich auf mehr als 150 Millionen Mark beläuft.

Aber immer seltener bekamen die Opfer den Schaden erstattet. Denn 1995 führten die Banken eine neue Haftungsregelung ein.

Mußten vorher die Kunden, unabhängig von den Umständen des Kartenverlusts, in der Regel nur zehn Prozent des Schadens selbst tragen, so wurde nun das Risiko ganz auf den Kunden abgewälzt. Der geprellte Karteninhaber mußte beweisen, daß er nicht »grob fahrlässig« gehandelt und irgendwo in seinen Papieren die Geheimnummer, zum Beispiel vermeintlich sicher getarnt als Telefonnummer, notiert hatte.

Im März dieses Jahres verteilte das Oberlandesgericht Hamm in einem nicht mehr anfechtbaren Urteil die Beweislast jedoch neu. Seither muß das Opfer nicht mehr seine Unschuld beweisen, vielmehr ist die Bank gezwungen, die Fahrlässigkeit oder gar einen Mißbrauch zu belegen.

Das bahnbrechende Urteil entstand wieder auf der Grundlage eines Gutachtens von Manfred Pausch. Obwohl der streitbare Professor von den Banken inzwischen als »unseriös« abqualifiziert wird, hatte er das Gericht von zahlreichen Manipulationsmöglichkeiten überzeugen können.

Pausch wies nach, daß die Ziffern 1 bis 5 infolge bestimmter Abläufe beim Verschlüsselungsverfahren weitaus häufiger in den Pin-Codes vorkommen als die Ziffern 6 bis 9 und daß am Anfang niemals eine Null steht. Mit diesem Wissen, rechnete Pausch vor, beträgt die Wahrscheinlichkeit, auf Anhieb die richtige der 9000 möglichen Pin-Kombination zu erwischen nur 1:150. Zeitaufwand: etwa 30 Minuten.

Zwar haben kleine Gauner nur drei Versuche, die richtige Zahl zu treffen, ehe die Karte im Automaten verschwindet. Doch professionelle Betrüger können die Hürde leicht umgehen. Mit manipulierten Magnetstreifen-Lesegeräten (Preis: 50 Mark) können sie den sogenannten Fehlbedienungszähler auf der Karte ausschalten.

Nach dem kundenfreundlichen Richterspruch hatten es die Kreditinstitute auf einmal eilig, möglichst schnell ein »zukunftsträchtiges Verfahren« einzuführen. Mit einem Verschlüsselungscode, der aus nun 128 statt bisher 56 Zeichen besteht, soll es, so Helmut Bürkle von der Landesgirokasse Stuttgart, »der Entwicklung der elektronischen Datenverarbeitung Rechnung tragen«.

Noch mehr trieb die Kreditinstitute aber wohl die Angst voran, daß der schlimmste Fall längst eingetreten ist und der 56stellige Generalcode, mit dem die Pin-Zahlen berechnet werden, von Computerfreaks entschlüsselt wurde.

Mit diesem Key-Code können Computerganoven von jeder gestohlenen ec-Karte die dazugehörige Geheimzahl innerhalb kurzer Zeit ermitteln. Wie eine solche Maschine konstruiert sein müßte, hat der kanadische Kryptologie-Forscher Michael J. Wiener schon 1993 genau beschrieben.

Bis jetzt bestreiten die Kreditinstitute, daß der Generalschlüssel geknackt wurde. Das ist die offizielle Version - die interne liest sich ganz anders.