Die "Postcard" der PostFinance basiert auf dem Design der französischen "Carte bleue", die 1979 erstmals vorgestellt wurde. Serge Humpich hat bereits 1998 in Frankreich das Verfahren ausgemacht und die Unsicherheit dieser Karte 2000 öffentlich angeprangert. Nach viel Medienrummel und insbesondere auf Druck der Kartenversicherer wurde die Sicherheit der Karte erhöht, mit der Verlängerung der Schlüssellänge auf 768 Bit.

In der Schweiz wurde 2002 die PostFinance auf die Unsicherheit ihrer auf derselben Technologie der Franzosen aufsetzenden Karte aufmerksam gemacht. Ebenfalls wurde das UVEK (Departement für Umwelt, Verkehr, Energie und Kommunikation), politisch verantwortlich in der Sache, auf die Problematik aufmerksam gemacht, welches sich in der Folge dafür bereit erklärt hat, die nötigen Schritte einzuleiten, um die Sicherheit zu erhöhen. Die PostFinance hatte ein Treff mit den Sicherheitsanalysten abrupt beendet, als diese forderten, daß die PostFinance ihre Teilnahmebedinungen überdenken sollten, um Kunden davor zu schützen, im Mißbrauchsfalle selber zu haften. Die Teilnahmebedingungen geben an, daß die Beweislast bei einer Kontenräumung beim Kunden liegt.

Nicht mehr als die Postcardnummer sowie das Ausgabe-/Ablaufdatum sind nötig, um eine gültige Postcard, die an ein bestimmtes Konto gebunden ist, herzustellen. Die PIN läßt sich bei der Kartenreproduktion selber setzen und ist für die Authentifikation der Karte an einem Terminal damit unerheblich.

Es lassen sich zudem auch Karten herstellen, welche nicht an ein existierendes Konto gebunden sind. Damit wird die PostFinance selbst durch eventuelle Beanspruchungen von Dienstleistungen belastet, weil jeder im Besitz des errechneten privaten Schlüssels der PostFinance Postcards herstellen kann, die an den Terminals angenommen werden.

Vier Jahre lang wuchs Gras über die Geschichte in der Hoffnung, die PostFinance und das UVEK würden sich um die Beseitigung der Sicherheitsmängel bemühen – doch weit gefehlt. Nach Analysen im Jahr 2006 zeigte sich, daß neu ausgegebene Postcards immer noch das alte Verfahren unterstützten. Bei seit Sommer 2006 ausgegebenen EMV-Karten, die theoretisch eine erhöhte Sicherheit aufweisen sollten, stellt sich heraus, daß diese zumindest an Schweizer Terminals weiterhin auf das alte Authentifikationsverfahren setzen und die gegebene EMV-Funktionalität unberührt lassen. Damit bleiben Postcards, welche über Laufzeiten von 47, 48 oder 49 Monaten verfügen, auch bis nach 2010 – zumindest innerhalb der Schweiz – mißbrauchbar.

Zum 23C3 hat Bernd R. Fix in seinem Vortrag "A not so smart card" auf die Sicherheitslücke öffentlich hingewiesen, weil weder die PostFinance noch das UVEK sich kooperativ gezeigt haben.

Der Chaos Computer Club und der Chaos Computer Club Zürich fordern von der PostFinance, die Sicherheit der Postcards umgehend zu erhöhen oder zumindest ihre Teilnahmebedingungen dahingend abzuändern, daß die Beweislast in Fällen, wo einem Kunden das Konto geräumt wird, umgekehrt wird und damit – wie bei Kreditkarten üblich – Entschädigungen gegenüber diesem geleistet werden.

Im Detail informieren die Seiten Postcard-Sicherheit.ch über die Unsicherheit der Postcard.

Lange genug ist Gras drüber gewachsen: Es ist Zeit, daß der Rasenmäher angesetzt wird!