Samstag, Juli 14, 2007

Udo vs. Mikado

Bin sehr gespannt. Wie ich schonmal hier und dort versucht hab zu erklären, war die gesamte Aktion ein Beispiel dafür, was passieren kann, wenn die Behörden beginnen, wild in Daten herumzuwühlen, die zu der Fragestellung gar nicht richtig passen. Man braucht nicht viel Phantasie, um sich auszudenken, was alles passiert, wenn die Behörden noch mehr Befugnisse und noch mehr Zugriff auf noch mehr Daten erhalten.

Labels: kreditkarten, mikado, rechtskram

von Jens Scholz   direct link      0 Kommentare
 

Donnerstag, Februar 08, 2007

Kreditkarten und so (Was wirklich an Mikado so gefährlich ist)

Vor einer Weile gabs ja diese Aufregung um die Mikado-Geschichte. Leider hatte ich die letzten Wochen keine Zeit, mich dazu mal zu äußern, denn es gibt hier ein paar Anmerkungen, die ich schonlänger mal anbringen wollte. Die hauptsächliche Kritik an der Aktion bezieht sich ja darauf, daß die Bankdaten von zigtausenden Kreditkartenbesitzern durchsucht wurden.
Es ist zwar nun so, daß ich ebenfalls meine, daß die Aktion nicht hätte stattfinden dürfen, allerdings nicht wegen der Annahme, daß die Privatsphäre all der Kreditkartenbesitzer kompromittiert wurde, deren Transaktionen von ihren Banken zur Durchsuchung freigegeben wurden. Die ist nämlich nicht richtig.
Es wurden nämlich nicht "sämtliche Kreditkarten" überprüft, sondern Transaktionen. Kreditkarten sind Personengebunden. Transaktionen nicht. Eventuell erkläre ich das zwar jetzt auch etwas verkehrt, weil ich versuche, es einfach zu machen: Eine Transaktion beinhaltet keinerlei Daten über Personen sondern lediglich eine Information über eine Zahlung. Und eine Transaktionsnummer. Wenn ich die Berichte richtig gelesen habe, wurden Transaktionen durchsucht. Nach in Transaktionen vorkommenden Daten wie Preis und purchasing date. Daher ist es ein Trugschluss, wenn man hier von Rasterfahndung und Millionen von überprüften Bankkunden spricht.
Das wars aber auch schon mit Relativierungen, denn ich schrieb ja schon, daß ich die Aktion ablehne, denn wenn man zwar weiß, daß es diese Trennung von Transaktionen und Person - die Eigenschaft, die Kreditkarten zu meinem bevorzugten Zahlungsmittel macht - gibt, aber nicht, wozu dies führt, dann gibts ganz andere Probleme. Eine Transaktion kann nicht auf eine Person zurückgeführt werden, sondern höchstens auf eine Kartennummer. Nur diese Kartennummer ist personengebunden, aber eben nicht die Transaktion. Es gibt daher im Pool der Processinginstitute jede Menge Transaktionen, die auf Kartenebene zurückgebucht wurden, weil die Kartenbesitzer gemerkt haben, daß ihre Karte missbraucht wurde. Das wird aber in der Transaktion selbst nirgends vermerkt und das bedeutet, daß man beim Durchsuchen von Transaktionen eigentlich immer davon ausgehen muss, daß ein "Fund" zwar den Kauf bei einem kriminellen Websitebetreiber beweisen kann, aber nicht, wer der Käufer ist. Auch ob eine Karte gesperrt wurde, ist auf Transaktionsebene nicht herauszufinden.
Insoweit ist die Beweiskraft, daß ein Kauf von einer bestimmten Person getätigt wurde, über die Durchsuchung von Transaktionen gleich null. Daraus die Berechtigung abzuleiten, bei Menschen eine Hausdurchsuchung anzusetzen und deren Rechner abzuholen, weil denen eine Kreditkarte gehört (hat), für die eine Transaktion mit einer verdächtigen Zahlung gefunden wurde, halte ich für einen Gang auf extrem dünnem Eis und zeigt nur, daß die Leute, die sich diese seltsame Aktion ausgedacht haben, überhaupt keine Ahnung davon haben, wie der Datenverkehr bei Kreditkarten funktioniert.

Labels: kreditkarten, rechtskram, sicherheit

von Jens Scholz   direct link      6 Kommentare