Persönliche Identifikationsnummer

Mitteilung einer PIN, die zuvor durch Abdeckung gegen Einsichtnahme gesichert war

Eine Persönliche Identifikationsnummer (PIN) oder Geheimzahl ist eine nur einer oder wenigen Personen bekannte Zahl, mit der diese sich gegenüber einer Maschine authentisieren können. Umgangssprachlich werden oft auch das redundante Akronym PIN-Nummer oder die Tautologie PIN-Code verwendet. Ursprünglich besteht eine PIN nur aus Ziffern, inzwischen gibt es aber auch Banken, die etwa beim Online-Banking PINs aus Ziffern und Buchstaben vorschreiben.

Die PIN selbst ist nie auf dem Datenträger gespeichert, der beim Authentisieren verwendet wird. Dadurch ist es nicht möglich, durch Auslesen solcher Datenträger in einem Kartenleser die PIN zu rauben. Statt dessen wird mit dem Datenträger ein Code generiert, der in Verbindung mit der eingetippten PIN durch ein Prüfprogramm verarbeitet wird. Bei der Karte ohne Chip erfolgt diese Verarbeitung nach dem Lesen der Daten von der Karte ausschließlich in einer geschützten Umgebung, bei Karten mit Chip leistet diese zusätzlich einen durch die Verbindung zum Leser geschützten Beitrag^[1].

Verwendung

Eine häufige Anwendung für PINs ist die Authentifizierung an einem Geldautomaten. Hier ist die Eingabe einer mindestens vierstelligen Zahl nötig, um einen Kontozugriff durch unbefugte Personen zu verhindern oder zumindest zu erschweren. Auch kann man mit der Bankkarte und der zugehörigen PIN in vielen Geschäften bargeldlos zahlen.

Auch für das Internetbanking ist zumeist eine PIN nötig. Mit dieser PIN und den Kontodaten kann man sich sein Konto, den Kontostand und die letzten Buchungen ansehen. Mit einer TAN kann man dann eine Überweisung tätigen oder andere Bankgeschäfte abwickeln.

PINs werden auch zum Schutz von Mobiltelefonen vor unberechtigter Nutzung und in vielen weiteren Anwendungsgebieten der Technik verwendet, wo ein Mindestmaß an Sicherheit erforderlich ist. SIM-Karten für Mobiltelefone werden mit einer PIN, PIN2, PUK und PUK2 ausgeliefert. Alle Codes sind auf der SIM-Karte gespeichert. PINs sind veränderbar, PUKs nicht. Die PUKs dienen für die Entsperrung gesperrter PINs. Die PIN2 wird zum Ändern von speziellen oft kostenpflichtigen Diensten verwendet.

Technische Gestaltung

Das Bundesamt für Sicherheit von Informationstechnik hat im Jahr 2001 ein neu eingeführtes PIN - Verfahren begleitet. Die PIN ist neben der Kontonummer, der Bankleitzahl und anderen Daten - in besonders verschlüsselter Form auf den ec-Karten enthalten. Mit der Tastatur des Geldautomaten ist ein so genannter Krypto-Prozessor verbunden, der die PIN zur sicheren Übertragung entschlüsselt. Zur vorangegangenen Verschlüsselung nutzen die Kreditinstitute den Daten-Verschlüsselungs-Standard, auch DES (Data Encryption Standard) genannt. Bei der einfachen Variante des DES werden die zu verschlüsselnden Informationen in Textblöcke zu je 64 Bit umgewandelt. Dann werden die Zeichen innerhalb eines Blocks mehrfach vertauscht und addiert. Diese Zahlendaten werden außerdem geteilt und zur Sicherheit weitere 16 Male chiffriert. Schon die alte Variante war nur durch Profis zu knacken - aufgrund der rasanten Entwicklung der Computertechnik war es jedoch möglich. Seit 1997 benutzen die Banken nunmehr den Triple-DES, eine Variante mit noch längeren Verschlüsselungsketten, die jedenfalls für die Gerichte als sicher gilt. Insider wissen jedoch, dass auch gegen dieses Verfahren Angriffstechniken entwickelt worden sind.

Sicherheit

Es ist deshalb auch mit größtmöglichem finanziellen Aufwand mathematisch ausgeschlossen, die PIN ohne vorherige Erlangung des Institutsschlüssels in einer Breite von 118 Bit zu ermitteln. Ein Betrüger, der eine Maestro-Karte (ehem. EC-Karte) gefunden oder gestohlen hat, wird probieren, damit an einem Automaten Geld abzuheben. Auch wenn er die PIN nicht kennt, kann er versuchen, sie zu raten. Bei der vierstelligen Maestro-Karten-PIN aus numerischen Ziffern ist die Wahrscheinlichkeit, dass der Betrüger die PIN mit einem Versuch raten kann, 1/10000 (Bei Ziffern von 0-9 ergeben sich für jede Ziffernstelle 10 Möglichkeiten - bei 4 Stellen folgt daraus: 10*10*10*10=10.000). Da jedoch im allgemeinen bis zu drei Versuche erlaubt sind, hat der Betrüger eine Wahrscheinlichkeit von etwa

$P \approx \frac{3}{10000} \approx \frac{1}{3333}$

die richtige PIN zu raten. Allgemein lässt sich die Ratewahrscheinlichkeit nach folgender Formel berechnen, wobei a gleich der Anzahl der möglichen PIN-Kombinationen ist und der Betrüger bei zwei bzw. drei Versuchen die falschen PINs nicht wiederholt ausprobieren wird:

$P = \frac{1}{a}+ \left(1-\frac{1}{a}\right)\times\left(\frac{1}{a-1}+\left(1-\frac{1}{a-1}\right)\times\frac{1}{a-2}\right)=\frac{3}{a}$.

Wenn beim Online-Banking eine fünfstellige PIN verwendet wird mit ausschließlicher Nutzung von Ziffern, ergibt sich somit (unter Vernachlässigung der Beschränkung von Kombinationen) eine Ratewahrscheinlichkeit von ungefähr 1 zu 33 Tsd. (wegen a = 10⁵). Falls jedoch auch Kleinbuchstaben verwendet werden, verringert sich die Wahrscheinlichkeit bei zehn Ziffern und 26 Buchstaben auf ungefähr 1 zu 20 Mio.

Damit eine PIN nicht durch wiederholtes Ausprobieren zu erraten ist (sog. Enumerations-Angriff), darf ein durch PIN geschütztes System nicht beliebig viele falsche Eingaben der PIN akzeptieren. Insbesondere bei Online-Formularen könnte ein Angreifer sonst einfach automatisch alle möglichen PIN durchprobieren.

Die meisten Systeme sperren daher nach einer bestimmten Anzahl von Falscheingaben der PIN den Zugang, der dann auf anderem Wege (meist durch eine weitere PIN oder durch den Kundendienst des Anbieters) entsperrt werden muss. Bei Geldautomaten, beim Online-Banking und bei Mobiltelefonen erfolgt die Sperre üblicherweise nach drei Falscheingaben.

Bemerkung: Die PIN auf dem Magnetstreifen erlaubt lediglich eine Übertragung zur unidirektionalen Prüfung oder zum erneuten Schreiben. Heute tragen Bankkarten meist neben dem Magnetstreifen zusätzlich einen Chip, der eine dynamische Prüfung der PIN durch eine bidirektionale Verbindung ermöglicht. Das unterstützt einen komplexeren Schutz.

Probleme im Zahlungsverkehr

Viele international herausgegebene Kreditkarten sind mittlerweile mit bis zu 6-stelligen PINs gesichert, in Europa betrifft dies zum Beispiel einen großen Teil der Schweizer Kreditkarten. Häufig ergeben sich hierbei im internationalen Umgang mit Zahlungssystemen Probleme, denn die meisten Händler akzeptieren nur noch Kreditkarten-Einsätze mit PIN-Code. Sollte das Lesegerät des Händlers fest auf vierstellige PINs programmiert sein und keine Möglichkeit zur Eingabe von 6 Ziffern bieten, kann so mit der Karte nicht bezahlt werden; dies ist beispielsweise bei vielen Niederländischen Fahrkartenautomaten und einem Großteil der POS-Systeme der Fall.

Auffällig ist die Häufung dieses Problems bei POS-Systemen mit zeilenbasierten LC-Displays. Systeme wie beispielsweise Geldautomaten mit großen LC-Displays schalten bei Einführung einer Kreditkarte meist in einen Modus, der die Eingabe PINs beliebiger Länge erlaubt. (UI Tweak)

Abhilfe für den Konsumenten schafft hier meist, sofern möglich, die Änderung der PIN auf vier Stellen im Ursprungsland.

Hinweise zur PIN-Auswahl

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) empfiehlt generell, als PIN nur zufällige Abfolgen von Zeichen aus dem zulässigen Zeichensatz zu benutzen; PINs wie z.b. "0000" oder "1234" sollten dringend vermieden werden. Auf der anderen Seite bedeutet dies, dass Angreifer diese als "unsicher" empfundenen PINs direkt ausschließen können, was die Wahrscheinlichkeit für einen erfolgreichen Angriff erhöht. Folgende Tabelle kann als Anhaltspunkt für eine sichere PIN-Auswahl gelten:

Benutzter Zeichensatz	Maximale PIN-Länge	Minimale PIN-Länge
0–9	19 Zeichen	12 Zeichen
0–9, A–Z	12 Zeichen	8 Zeichen
0–9, A–Z, a–z	11 Zeichen	7 Zeichen
Druckbare ASCII-Zeichen	10 Zeichen	6 Zeichen

Siehe auch

1. ↑ [1]

• Null-PIN (Verfahren zur Einsparung von PIN-Briefen)

Quelle

• BSI (Bluetooth - Threats and Security Measures) (PDF-Datei; 7 kB)