Vertrauen als Bestandteil der Sicherheit im elektronischen ...

Kapitel:3 Beispiele für sicherheitssensitive Handlungen
3.2. Bankgeschäfte mittels Telekommunikation
3.2.1. Das ‚PIN-TAN-Verfahren‘, wie es von Banken genutzt wird
Für das online-Geschäft der Banken hat sich europaweit ein mehrstufiges
Sicherheitsverfahren etabliert, das von fast allen Banken 7 so oder so ähnlich genutzt wird.
Der Zugang zum online-Geschäftsbereich, in dem der Kunde seinen kontogebundenen
Bankgeschäften nachgehen kann, erfolgt mittels einer verschlüsselten Verbindung
zwischen dem Web-Browser und dem online-Portal der Bank. Diese Verschlüsselung ist
allein browser- und bankabhängig und nicht geeignet, den Bankkunden zu identifizieren 8 .
Der Kunde muss seine Zugangsberechtigung mittels Kontonummer und einem kurzen
Passwort (PIN genannt und nicht zu verwechseln mit der PIN, die zu einer
kontogebundenen Bankkarte gehört) nachweisen. Für jede Transaktion, die der Kunde
durchzuführen gedenkt, benötigt er noch einmal eine zumeist sechsstellige Zahl – fast
immer als TAN (Transaktionsnummer) bezeichnet. Jede TAN ist nur einmal benutzbar
und nach einer Nutzung für weitere Nutzungen ungültig. Die Eingabe und Übermittlung
der TAN zu einer Transaktion erfolgt zumeist erst nach Prüfung der anderen Angaben zur
Transaktion durch die Bank. Eine gewisse Anzahl (je nach Bank, von einigen Dutzend bis
zu ein paar hundert) TAN’s erhält der Kunde, ähnlich seiner anfänglichen PIN, separat
von anderen Schriftstücken per Post oder am Bankschalter in einem geschlossenem, gegen
ein Lesen von außen geschützten Briefumschlag. Die TAN‘s sind Zufallszahlen und das
Schließen aus einer Reihe von TAN‘s auf eine weitere TAN soll nahezu unmöglich sein.
Typischerweise ist der Geldbetrag, über den auf diese Art und Weise innerhalb einer
bestimmten Zeitspanne verfügt werden kann, beschränkt. Die Höhe dieses Geldbetrages
ist dabei entweder zwischen Kunden und Bank extra vereinbart oder von Seiten der Bank
festgelegt worden.
Das Verfahren mittels PIN, TAN und SSL ist nicht konkurrenzlos im online-Banking. Als
zweites Verfahren sei hier das schon von einigen deutschen Banken angebotene Verfahren
mittels eines besonderen Schlüssels auf einer Chipkarte (Bankensignaturkarte)
vorgestellt.
3.2.2. HBCI – Homebanking Computer Interface
Der HBCI Standard (Homebanking Computer Interface) wurde im Auftrag der deutschen
Kreditwirtschaft entwickelt. Zur Zeit aktuell ist der Standard HBCI 3.0 9 (Stand:
15.11.2002), in dem Chipkarten und die digitale Signatur entsprechend §2 Signaturgesetz
(vgl. SigG 2001 und Abschnitt 2.2) genutzt werden. Der Standard wird hier nicht
vollständig erläutert. Stattdessen wird vorgestellt, welche Sicherungsmethoden mit dem
7 z.B. Commerzbank, Deutsche Bank, Deutsche Kreditbank, Raifeisenbank Belzig usw.
8 Das Verschlüsselungsverfahren wird SSL genannt und wurde im Abschnitt 2.3 kurz vorgestellt.
9 Quelle: FinTS_3.0_Security_Sicherheitsverfahren_HBCI.pdf von www.hbci.de. Besucht am
16.07.2003.
Vertrauen als Bestandteil der Sicherheit im elektronischen Geschäftsverkehr 18