Eine vierstellige PIN besteht aus vier Ziffern, wobei jede Stelle zehn mögliche Werte (0 bis 9) haben kann. Daraus ergeben sich: 10 × 10 × 10 × 10 = 10.000 Kombinationen. Auf den ersten Blick klingt das nicht besonders sicher. Ein Computer könnte eine solche Zahl in Sekunden erraten. Doch bei Geldautomaten gelten andere Bedingungen als bei digitalen Angriffen auf Passwörter.

Ein weiterer Schutzfaktor am Geldautomaten: Die PIN funktioniert nicht allein. Für eine erfolgreiche Abhebung werden normalerweise zwei Dinge benötigt:

1. die physische Bankkarte
2. die korrekte PIN

Sicherheitsexperten sprechen hier von einer Zwei-Faktor-Authentifizierung: Besitz (die Karte) und Wissen (die PIN). Selbst wenn jemand die PIN kennt, benötigt er zusätzlich die Karte. Umgekehrt nützt eine gestohlene Karte wenig, wenn die PIN unbekannt ist.

Eine längere PIN würde die Sicherheit theoretisch erhöhen. Eine sechsstellige PIN hätte bereits eine Million mögliche Kombinationen. Allerdings müssen Banken auch die Benutzerfreundlichkeit berücksichtigen. Eine vierstellige PIN bietet einen guten Kompromiss zwischen Sicherheit und Komfort.

In der Praxis werden PINs selten durch Ausprobieren geknackt. Häufiger entstehen Probleme durch menschliche Fehler:

• Die PIN wird auf einem Zettel notiert und zusammen mit der Karte aufbewahrt.
• Die Zahlenfolge ist leicht zu erraten (zum Beispiel 1234 oder 0000).
• Kriminelle beobachten die Eingabe am Automaten.
• Die PIN wird durch manipulierte Geräte ausgespäht.

Deshalb empfehlen Banken, die PIN niemals weiterzugeben und bei der Eingabe das Tastenfeld mit der Hand abzudecken.