"Einige Dinge kommen uns nach wie vor spanisch vor"

Herr Bloching, die Öffentlichkeit fragt sich, was genau eigentlich in Spanien geschehen ist. Können Sie uns aufklären?

Vor mehreren Wochen sind uns Anomalien bei den Betrugsfällen aufgefallen. Deren kleinster gemeinsamer Nenner war ein Prozessor in Spanien. Daraufhin wurde ein Spezialunternehmen dorthin entsandt, das eine forensische Untersuchung eingeleitet hat. Diese Untersuchung hat bisher nicht das Ergebnis gebracht, dass es dort zu einem Datenabgriff gekommen ist. Zeitgleich haben wir in der ersten Stufe eine Vorsichtswarnung an die europäischen Banken heraus gegeben.

Ist der Dienstleister damit aus dem Schneider?

Nein. Einige Dinge kommen uns nach wie vor "spanisch" vor, deswegen dauern die Untersuchungen an. Dabei arbeiten wir auch eng mit den spanischen Banken zusammen und suchen nach Auffälligkeiten, ob zum Beispiel bestimmte kleinere zwischengeschaltete Dienstleister auffällig stark involviert sind oder nicht. Der Prozessor ist für uns bislang weder schuldig noch unschuldig. Und er ist der einzige, bei dem nach unserem bisherigen Kenntnisstand alles zusammenlief.

Arbeiten Sie noch immer mit dem Prozessor zusammen?

Ja, denn die forensischen Untersuchungen haben noch nicht ergeben, dass es tatsächlich zu einem Datenabgriff gekommen ist. Wir arbeiten eng mit diesem Unternehmen zusammen, um die Auffälligkeiten zu klären. Das liegt auch in deren ureigenem Interesse.

Wie verdächtig waren die Anomalien eigentlich? Sie werden ihre Sicherheitswarnung vermutlich auch nicht ganz grundlos versendet haben.

In der Tat. Es muss schon einiges vorliegen, wenn wir beschließen, die europäischen Banken zu warnen. Wir überlegen es uns gut, bevor wir Alarm geben.

In welchen anderen Ländern hat es denn noch Austauschaktionen gegeben?

Es sind die klassischen Urlaubsnationen betroffen - wobei das Thema nirgends so breit diskutiert wird wie in Deutschland. Unter anderen haben nach meinem derzeitigen Kenntnisstand Banken in Finnland, Schweden und Tschechien auch Karten ausgetauscht. In anderen Ländern, die bereits flächendeckend den EMV-Chip auf der Kreditkarte und "Verified by Visa" zur Absicherung von Internettransaktionen eingeführt haben, erwarten wir zum derzeitgigen Stand nur geringe oder keine Austauschaktionen.

Haben Sie eine Erklärung dafür, warum die Austauschaktionen in Deutschland zahlenmäßig so große Ausmaße angenommen haben?

Bei einem Prozessor laufen wesentlich mehr Daten zusammen als z.B. bei einem einzelnen Händler, insbesondere wenn der Prozessor in einem bevorzugten deutschen Urlaubsland wie Spanien tätig ist.

Der Vorfall hat in Deutschland eine Sicherheitsdebatte ausgelöst. Ist tatsächlich der Magnetstreifen an allen Problemen schuld?

Erstens: Datenabgriff ist Datenabgriff, ganz gleich ob es sich um eine Karte mit Magnetstreifen handelt oder eine Karte, die mit dem sichereren EMV-Chip ausgestattet ist. Der Unterschied besteht darin, was ich hinterher mit den missbräuchlich erworbenen Daten anfangen kann. Über 90 Prozent der Betrugsfälle erfolgen durch Kartendubletten oder Internettransaktionen . Mit dem Chip sind zumindest die Möglichkeiten der Kartendubletten erheblich eingeschränkt. Die gute Nachricht ist, dass bis 2011 alle Kreditkarten mit EMV-Chip ausgestattet sein werden.

Und welche Möglichkeiten gibt es, Internetzahlungen besser abzusichern?

Dort fördern wir das Sicherheitsverfahren "Verified by Visa". Dabei muss bei einem Internetkauf neben den Kreditkartendaten immer auch zusätzlich ein Passwort eingegeben werden. Verified by Visa dient Händler und Banken, weil alle damit mehr Sicherheit haben.

Wer hat dabei welchen Anreiz?

Wenn bei einer Internet Bank-Transaktion und Händler "Verified by Visa" nutzen, darf es eigentlich zu keinem Missbrauch kommen. Wenn nur die Bank diesen Sicherheitsstandard eingeführt hat und es zu einem Betrug kommt, dann bleibt der Händler auf dem Schaden sitzen. Wenn nur der Händler den Sicherheitsstandard führt, dann trifft die Bank der Schaden.

Wie steht Deutschland in puncto Sicherheit eigentlich da?

Es sind etwa 30 Prozent aller Visa Kreditkarten sind bisher mit EMV-Chip ausgestattet. Die Geldautomaten greifen fast flächendeckend auf den Chip zurück. An den Händlerterminals, den so genannten Point of Sales ist Deutschland Schlusslicht in Europa. Deshalb müssen wir da mit allen Beteiligten - den Netzbetreibern, den Banken, den Händler - gemeinsam an einer rascheren Umsetzung arbeiten.

Die deutschen Banken haben sehr verärgert auf das Datenleck in Spanien reagiert und fordern nun Kompensation von Visa und Mastercard (NYSE: MA - Nachrichten) . Wie stehen Sie dazu?

Stand heute haben wir keinen Beweis für einen Datenabgriff dort. Wenn sich herausstellt, dass es den doch gegeben hat, dann müssen die Händlerbanken in Spanien, die den Prozessor mit der Abwicklung der Transaktionen beauftragt haben, den Schaden begleichen. Bislang besteht aus Sicht von Visa nur eine Vorsichtswarnung und ob eine Bank auf dieser Basis die Karten austauscht, das liegt dann in ihrer Verantwortung.

Und wie stehen Sie zu der Kritik, die Kreditkartenanbieter hätten schlecht kommuniziert?

Bereits in der Vergangenheit hat es Vorsichtswarnungen gegeben. Deswegen waren jetzt alle etwas überrascht, welch hohe Wellen die Vorsichtswarnung diesmal in Deutschland geschlagen hat. In diesem Punkt werden wir uns sicherlich auch mit dem Zentralen Kreditausschuss zusammensetzen und darüber reden, was man in Zukunft anders machen kann.