Videotex-Hacker beim Bankverein

Beim spektakulärsten Sicherheitsvorfall des Jahres 1989 in der Schweiz schoss Computerworld allerdings über das Ziel hinaus: Ende November machte die Zeitung mit der Schlagzeile «Videotex-Hacker blamiert den Bankverein» auf. Eine angebliche Passwortliste von Videotex-Geräten des Schweizerischen Bankvereins sei Hackern in die Hände gefallen, war dort zu lesen. Sie hätten auf Kosten der Bank rund 2 Millionen Franken für Dienste aus dem Bereich der «besinnlichen Telematik» ausgegeben, hiess es weiter. Von einem mit Videotex-Software bestückten Computer seien zwei bis drei Tage lang teure Videotex-Seiten abgerufen worden, darunter der erotisch-pornografische Dialogdienst «iris», Horoskope für jeweils 30 Franken und Abonnements für weitere «Dialogdienste» für 6 Franken pro Stunde. Allerdings werde der Hackerspass niemanden schädigen, da die Forderungen klar widerrechtlich seien, wusste Computerworld sogleich zu beschwichtigen.

Unklar blieb zunächst allerdings, wo die Hacker die Passwörter des Bankvereins entwendet hatten. «Gerüchteweise soll es sich um die Passwortliste jener Geräte handeln, die in der Schalterhalle aufgestellt sind, um der Kundschaft das Medium Videotex im Hinblick auf Telebanking beliebt zu machen», spekulierte Computerworld. Und schoss auch hier über das Ziel hinaus.

Der Bankverein sah sich zu einer Richtigstellung genötigt: «Mittels der Kenndaten […] von dreien beim Schweizerischen Bankverein befindlichen Videotex-Geräten wurden von Dritten kostenpflichtige Seiten einer Künstleragentur unrechtmässig abgerufen», gab das Unternehmen zu. Allerdings habe es sich dabei nicht um die «iris»-Datenbank gehandelt. Auch existiere keine «Passwortliste», sodass sie auch nicht in falsche Hände geraten könne. Weiter bestehe kein Zusammenhang zu öffentlich zugänglichen Geräten in den Schalterhallen. Die Vergabe der Erstpasswörter für Neuinstallationen […] erfolge nach einem «für Eingeweihte nachvollziehbaren Verfahren». Somit habe hier bis zur ersten Änderung des Passworts «noch nicht ein eigentlicher Zutrittsschutz» bestanden, gab der Bankverein zu. Zusätzlich bleibe aber die Frage offen, woher die «Hacker» die Gerätekennung gewusst hätten. Hier sei die Bank in Kontakt mit der PTT und nehme auch interne Abklärungen vor. Über das Ergebnis wurde allerdings dann nicht mehr informiert.