Wie am Freitagabend bekannt gegeben wurde, haben sich Unbekannte illegal Zugang zum System von CardSystems verschafft, einem in Tucson, Arizona stationierten Verarbeiter von Kreditkartendaten. Dabei erhielten sie Zugang zu den Daten (Inhabernamen, Kreditkartennummern und PIN-Codes) von über 40 Millionen Kreditkarten. CardSystems ist eine der Schaltstellen zwischen den Kreditkarteninstituten und den Händlern, wenn bei einem Kauf eine Kreditkarte überprüft wird.

Der Fall wurde von MasterCard publik gemacht. Neben 13,9 Millionen Kunden von MasterCard sind potentiell aber auch 22 Millionen Visa-Kunden sowie Kunden von American Express und anderen Kredikarten Marken. Wieviele Daten genau gestohlen wurden, ist gemäss MasterCard allerdings nicht bekannt. Gesichert sei "nur", dass die Daten von 68'000 Kunden kopiert wurden. Betroffen sind zumindest überwiegend Kreditkarteninhaber aus den USA, ob auch nicht US-Kunden darunter waren, wurde nicht bekannt gegeben.

Der Hackereinbruch geschah gemäss MasterCard wahrscheinlich schon Ende 2004, wobei die Täter ein "virusähnliches Skript" verwendet haben sollen. Von den Tätern fehlt anscheinend noch jede Spur.

MasterCard ist der Sache durch sein Monitoring-System auf die Spur gekommen, dass laufend alle Kreditkartentransaktionen überwacht. Dieses hat offensichtlich betrügerische Zahlungen entdeckt, die mit den geklauten Daten vorgenommen wurden. Gemäss MasterCard kam es allerdings nur zu "wenigen" Vorfällen. Visa gab an, dass man bisher keine aussergewöhlichen Betrugsaktivitäten festgestellt habe.

MasterCard erklärte, dass man nun mit CardSystems und anderen Partnern zusammenarbeite, um die Sicherheit der IT-Systems des Dienstleisters zu verbessern. Dieser habe aber nur begrenzte Zeit, um den Forderungen von MasterCard nachzukommen. CardSystems scheint zumindest zwei Vorschriften missachtet zu haben: Erstens wurden Kreditkartennummern und PIN-Codes nicht getrennt gespeichert und zweitens auch nicht sofort nach der Verarbeitung wieder gelöscht. Ausserdem, so monierten Sicherheitsexperten, waren die Daten anscheinend auch nicht verschlüsselt. (hjm)