|
|
|
|
Elektronische Zahlungssysteme mit Chancen im deutschen Markt
Kryptografie und Authentifizierung/Internet-Auftritt der Geldkarte erst 1999
COMPUTERWOCHE Nr. 28 vom 10. Juli 1998 / Seite: 66-67
Mit dem Internet wurde schon eine Menge Geld verdient. Doch im Netz der Netze kamen bisher die wenigsten auf ihre Kosten. Informationsanbieter sind häufig noch auf die eher kärglichen Werbe- einnahmen angewiesen. Michael Pietroforte* zeigt auf, wie es auch anders gehen kann mit dem Bezahlen von Informationen aber auch anderer Ware via Internet.
Angeklickt
Die hier vorgestellten Zahlungsverfahren haben alle ihre Vor- und Nachteile. E-Cash zeichnet sich durch ein hohes Maß an Anonymität aus, dagegen eignet sich Cyber Coin hervorragend für den Handel mit elektronischen Waren. Die Geldkarte ist bereits sehr weit verbreitet, immerhin sind schon 40 Millionen EC-Karten im Umlauf, erfordert aber den Kauf zusätzlicher Hardware. Kreditkartenzahlungen mit SET eignen sich nicht für Micropayments, werden aber schon bald den sicheren Einkauf in den Shopping-Malls der ganzen Welt ermöglichen. Viele Anbieter von Wallets beziehungsweise Payment-Servern unterstützen deshalb mehrere Verfahren. Der Kunde kann dann von Fall zu Fall entscheiden, wie er bezahlen möchte.
Das Bezahlen mit Kreditkarten oder per Lastschrift war bisher für das neue Medium Internet nur eingeschränkt geeignet. Der ungeschützte Transfer der Kreditkartendaten über das Internet gilt als leichtsinnig, und das Lastschriftverfahren birgt für den Händler ein gewisses Risiko, da die verbindliche Unterschrift fehlt. Elektronische Zahlungssysteme sollen jetzt den E-Commerce endlich auch in Deutschland so richtig ankurbeln. In den USA gibt es freilich schon seit einigen Jahren eine Vielzahl speziell für den Zahlungsverkehr im Internet angepaßter Verfahren. Hier sollen jedoch nur die vorgestellt werden, die kurzfristig eine echte Chance haben, sich auch auf dem deutschen beziehungsweise dem europäischen Markt durchzusetzen.
SET (Secure Electronic Transaction) dürfte sich auch auf internationaler Ebene als der Standard für kreditkartenbasierte Zahlung in Online-Medien durchsetzen. Schließlich stehen die beiden führenden Kreditkartenunternehmen Visa und Mastercard dahinter. In der SET Co, der federführenden Organisation in den USA, haben sich aber inzwischen auch American Express und JBC zu SET bekannt. In Deutschland übernimmt die GZS (Gesellschaft für Zahlungssysteme), ein Verband der Banken und Sparkassen, und die SGZ-Bank (Südwestdeutsche Genossenschafts Zentralbank) der Konkurrenzorganisation der Volks- und Raiffeisenbanken, den organisatorischen Part.
Die Implementierung wird aber den Softwarefirmen überlassen, denn SET regelt lediglich den Ablauf einer Finanztransaktion. IBM kann hier ihre guten Verbindungen zur Bankenwelt nutzen und bringt mit "Commerce Point" bereits ein Komplettsystem auf den Markt. Für zirka 11 000 Mark erhält der Händler "E-Till", eine Art elektronische Kasse, inklusive Installation und Integration in alle gängigen Shopsysteme. Voraussetzung ist allerdings AIX oder Windows NT als Server-Betriebssystem. Mit dem Kreditkartenunternehmen muß der Händler einen zusätzlichen Mailorder-Vertrag abschließen.
Eine getrennte Verschlüsselung von Zahlungs- und Bestelldaten gewährleistet, daß einerseits der Händler keinen Zugriff auf die Kreditkartendaten hat und andererseits die Bank nichts über die bestellte Ware erfährt. Mit Hilfe von digitalen Fingerabdrücken läßt sich aber bei eventuellen Streitigkeiten eine Zuordnung rekonstruieren. Digitale Zertifikate, deren Vergabe die Banken für Händler und Kunden organisieren, sollen die Verbindlichkeiten der Transaktionen sicherstellen. Die Überprüfung der Zertifikate und die Bonität des Kunden sowie Belastung des Kreditkartenkontos erfolgen online über die Banken.
Während man bei IBM schon zum Weihnachtsgeschäft auf SET setzt, wird der große Auftritt der Geldkarte im Internet wohl erst im nächsten Jahr kommen. Die Aufrüstung der EC-Karten mit einem Minicomputer und damit der Aufstieg von der einfachen Magnetkarte zur Smard-Card ist ja schon abgeschlossen. Auch das Aufladen am Geldautomaten beziehungsweise das Zahlen in einigen Läden ist bereits möglich, doch für den Einsatz im Internet verweigerte der Zentrale Kreditausschuß der Banken und Sparkassen (ZKA) bislang noch die Zulassung. Lösungen von Brokat, Gieseke & Devrient und Ikoss Van werden vielleicht schon in den nächsten Wochen den Segen des ZKA bekommen. Dann müssen allerdings noch die Kartenlesegeräte für den heimischen PC unters Volk gebracht werden. Anbieter wie Bull, Smart und Towitoko stehen hier schon in den Startlöchern.
Das Aufladen der Karten soll über eine Erweiterung des HBCI (Hombanking Computer Interface) erfolgen (siehe auch Seite 62). Wie beim Laden am Geldautomaten erfolgt die Authentifizierung über das Challenge-Response-Verfahren. Durch den Austausch zufällig generierter symmetrisch verschlüsselter Zeichenketten können Terminal und Karte sich gegenseitig authentifizieren. Liefert die Karte beziehungsweise das Terminal jeweils die richtig entschlüsselte Zeichenkette zurück, muß der Kommunikationspartner wohl über den richtigen Schlüssel verfügen und gilt dann als vertrauenswürdig. Entscheidend ist, daß dies alles ohne Austausch des geheimen Schlüssels vonstatten geht. Auf diese Weise kommt man um die Verwendung eines rechenaufwendigen asymmetrischen Verfahrens.
Bei einem Zahlungsvorgang über das Internet wird dann nochmals durch die Wallet (engl.: Brieftasche) eine herstellerabhängige Verschlüsselung durchgeführt. Das Händlerterminal mit der speziellen Händlerkarte wickelt dann über X25 oder direkt über ISDN mit einer der Händlerevidenzzentralen, die von den Banken betrieben werden, das Clearing ab. Dienstleister wie Telecash, Fiducia und CKS können diesen Part dem Händler aber auch abnehmen.
Cyber Coin, ein Verfahren, das von dem US-Unternehmen Cyber Cash entwickelt wurde und in Deutschland von der Cyber Cash GmbH vermarktet wird, wird im Gegensatz zu den beschriebenen Verfahren nur von einigen deutschen Banken unterstützt. Derzeit sind das die Dresdner Bank, die Landesbank Sachsen, die Westdeutsche Landesbank, die Bayerische Vereinsbank und die Stadtsparkasse Köln. Wer über ein Konto bei diesen Banken verfügt, eröffnet zusätzlich ein Cyber-Cash-Konto und lädt sich die Wallet-Software auf seinen PC. Nachdem die Kontodaten eingegeben wurden, findet durch das Cyber-Cash-Gateway eine Online-Überprüfung der eingegebenen Daten statt. Erst dann wird die entsprechende Wallet-ID für den Zahlungsverkehr freigegeben, und der Transfer der Cyber Coins im Wert von maximal 300 Mark kann beginnen. Der Betrag wird zwar in der Wallet angezeigt, in Wirklichkeit hat aber nur eine Übertragung vom Girokonto auf das Schattenkonto bei der Bank stattgefunden.
Entwickelt wurde dieses Verfahren vor allem für den Handel von Informationen und Software. Hat der Kunde signalisiert, daß er mit Cyber Coin bezahlen möchte, wird die digitale Ware in codierter Form auf seinen PC geladen. Die Wallet überträgt im Gegenzug die verschlüsselten und signierten Zahlungsdaten an die Händlersoftware, das sogenannte Cash-Register. Ohne die Zahlungsdaten einsehen zu können, wird der Kaufpreis hinzugefügt, das ganze erneut verschlüsselt, signiert und dann an das Cyber-Cash-Gateway weitergeleitet. Hier wird alles decodiert und auf Konsistenz hin überprüft. Stimmt alles überein, wird der Geldtransfer zwischen den Cyber-Cash-Konten bei den Banken angestoßen und eine Bestätigung an das Cash-Register des Händlers übermittelt, das seinerseits nun den Schlüssel für den Zugang zur gekauften digitalen Ware übermittelt. Dieser recht kompliziert anmutende Vorgang ist innerhalb weniger Sekunden abgeschlossen.
Buchwerte auf einem Schattenkonto
Cyber Coins sind letztlich Buchwerte auf einem Schattenkonto. Im Gegensatz hierzu handelt es sich bei E-Cash der niederländischen Firma Digi Cash tatsächlich um elektronisches Geld. Eine E-Cash-Münze ist im Prinzip eine Seriennummer, die auf dem PC des Anwenders erzeugt wird. Dieser Münzrohling muß allerdings noch von der Bank signiert werden, um ihn zu einer echten Münze zu machen. Vor der Übertragung wird die Nummer noch mit Hilfe einer Zufallszahl teilweise unkenntlich gemacht. Hierdurch wird sichergestellt, daß auch die Bank einzelne Münzen bestimmten Kunden nicht zuordnen kann. Diese manipulierte Seriennummer wird mit dem öffentlichen Schlüssel der Bank codiert und an diese über das Internet übertragen.
Die Bank decodiert sie wieder mit ihrem privaten Schlüssel, überprüft sie auf Gültigkeit, signiert und verschlüsselt sie und schickt sie an die Wallet des Kunden zurück. Mit dem öffentlichen Schlüssel der Bank wird dann die Münze von der Wallet decodiert. Nachdem die Zufallszahl wieder herausdividiert wurde, liegt eine gültige Münze in der Wallet des Kunden. Natürlich ließe sich eine solche Münze leicht kopieren. Um das auszuschließen, wird sie nach der Übermittlung an einen Händler sofort an die Bank weitergeleitet, wo ein Double-spending-Test stattfindet. Erst wenn die Bank dem Händler signalisiert hat, daß die Münze nicht schon einmal ausgegeben wurde, liefert dieser die Ware aus.
Die Integration in das Web-Angebot des Händlers sollte leicht vonstatten gehen. Die Perlskripte werden einfach über das CGI-Interface des Web-Servers eingebunden. Der Kunde eröffnet bei einer E-Cash-Partnerbank ein Depot und installiert die Wallet auf seinem PC. Weltweit unterstützen bisher neun Finanzinstitutionen dieses System . In Österreich wird dieses Zahlungssystem beispielsweise nach Abschluß einer viermonatigen Pilotphase von der Bank Austria schon eingesetzt. Seit Oktober letzten Jahres führt die Deutsche Bank ein entsprechendes Pilotprojekt durch. Bis Jahresende soll es abgeschlossen sein.
In puncto Sicherheit gibt es kaum Unterschiede. Die verwendeten Schlüssellängen sind zwar teilweise nicht mehr ganz zeitgemäß (siehe Tabelle), werden aber wohl in naher Zukunft durch sicherere Schlüssel ausgetauscht werden. Auch die Unangreifbarkeit der Geldkarte wurde in letzter Zeit immer wieder in Frage gestellt. Bei den meisten Angriffszenarien wird der Karte mit teurem technischem Equipment zu Leibe gerückt, um an den geheimen Schlüssel zu gelangen. Zu Bedenken ist dabei, daß der finanzielle Aufwand, der betrieben werden muß, meist in keinem Verhältnis zum zu erwartenden Profit steht. Freilich, krimineller Energie sind keine Grenzen gesetzt, und so wird man über kurz oder lang sicher von erfolgreichen Angriffen auf die neuen elektronischen Zahlungssysteme hören. Doch wer würde wohl auf die Verwendung herkömmlicher Geldscheine verzichten, nur weil auch einige Blüten im Umlauf sind?
Glossar
Symmetrische Verschlüsselung
Auch Secret-Key-Verfahren. Codierung und Decodierung erfolgen mit demselben Schlüssel. Schlüssellängen ab 128 Bit gelten als sicher.
Asymmetrische Verschlüsselung
Auch Public-Key-Verfahren. Hier kommen zwei verschiedene Schlüssel zum Einsatz. Ein Klartext, der mit dem öffentlichen Schlüssel codiert wurde, kann nur mit dem privaten Schlüssel decodiert werden. Schlüssellängen ab 1024 Bit gelten als sicher.
Digitale Signatur
Mit Hilfe des privaten Schlüssels wird eine Nachricht signiert; der öffentliche Schlüssel dient dann zur Authentifizierung. Zertifizierungsinstanzen, im Fall elektronischer Zahlungssysteme sind das meist die Banken, vergeben Zertifikate, die den Namen und den öffentlichen Schlüssel des Kunden beziehungsweise Händlers enthalten, und gewährleisten damit eine eindeutige Zuordnung von Signaturen.
Digitaler Fingerabdruck
Durch Berechnung einer kryptographischen Prüfsumme wird sichergestellt, daß der Klartext von einer dritten Person nicht manipuliert wurde.
RSA
Asymmetrisches Verfahren, das nach seinen Entwicklern Ron Rivest, Adi Shamir und Leonrad Adelman benannt wurde.
DES
Data Encryption Standard. Von IBM entwickeltes symmetrisches Verfahren.
*Michael Pietroforte ist freier Autor in München.
|
|
|
|
|
|
|
|
|
|
|
|
|
|
