Von Inlandredaktor Salvador Atasoy

Hat Stratfor illegalerweise Kreditkarten-Daten seiner Kunden gespeichert? Mit dieser Frage werden sich Juristen weltweit wohl auseinandersetzen müssen. Denn dem US-Beratungsunternehmen drohen Bussen und Schadenersatzforderungen.

Die Daten von Stratfor-Kunden wurden durch einen Hacker-Angriff öffentlich im Internet zugänglich - auch zum Nachteil von Hunderten Schweizer Kunden. In der Liste von Stratfor-Kunden, die Schweizer Radio DRS vorliegt, werden jeweils sämtliche Kreditkarten-Daten der Betroffenen ersichtlich, das heisst Name, Kreditkartennummer, Ablaufdatum und der Sicherheitscode CVV.

Knackpunkt CVV-Code
Heikel für die Firma Stratfor könnte vor allem die Veröffentlichung des CVV sein. Dieser befindet sich meist auf der Rückseite der Karte und ist drei oder vier-stellig, je nach Anbieter. Zusammen mit der Kartennummer und dem Verfalldatum der Karte stellt der CVV sicher, dass der Benutzer der Karte diese auch wirklich besitzt.

Damit diese Sicherheitsmassnahme richtig greift, dürfen die Unternehmen zwar Kreditkarten-Nummern speichern, nicht aber diesen Sicherheitscode. Dies ist in einem internationalen Sicherheitsstandard - kurz genannt PCI- festgehalten.

Auch Busse ist möglich
Jede Firma, die zur Bezahlung ihrer Produkte im Internet die Karten von Mastercard, Visa oder American Express akzeptiert, muss diese Regeln unterschreiben. Unterschrieben werde dabei auch, dass der CVV-Code nicht gespeichert werden dürfe wie Bernhard Wenger vom Finanzdienstleister SIX-Group erklärt.

Verstösst ein Unternehmen gegen den Sicherheitsstandard und wird bestohlen drohen Rückzahlungsforderungen und Bussen. «Wenn Schaden eintrifft, wird das Unternehmen schadenersatzpflichtig und kann auch gebüsst werden», so Wenger weiter.

Zunächst wird nun aber geklärt werden müssen, ob sich Stratfor tatsächlich nicht an den PCI-Standard gehalten hat. Denn dass Stratfor die CVV-Codes seiner Kunden tatsächlich gespeichert hatte und diese nicht anderswie an die Öffentlichkeit gelangten, muss  erst noch bewiesen werden. (brar)