Sweet Child of Mine

Heute möchte ich euch mal diese Version von "Sweet Child Of Mine" ans Herz legen. Viel Spass!

Onlinebanking-Sicherungsverfahren: HBCI-Chipkarte

Weiter geht es mit meiner Serie zu den Onlinebanking-Sicherungsverfahren. Die ersten drei Teile sind unten im Artikel verlinkt. Diesmal schreibe ich über die HBCI-Chipkarte.

Funktionsweise

Wie bei der HBCI-Kennung kommt bei der HBCI-Chipkarte ein asymmetrisches Verschlüsselungsverfahren zum Einsatz. Hier werden die Schlüsseldaten auf einer Chipkarte gespeichert. Zum Teil geben die Kreditinstitute personalisierte Chipkarten aus, auf denen die Bankverbindung und die Schlüsselpaare bereits gespeichert sind, andere Institute benutzen Blanko-Chips, auf denen die Bankverbindung und die Schlüssel noch gespeichert werden müssen. Auf beide Chiptypen können mehrere Bankverbindungen und Schlüsselpaare gespeichert werden. Die Daten auf dem Chip werden durch eine vom Kunden änderbare PIN geschützt.

Zum Auslesen des Chips wird ein Chipkarten-Lesegerät benötigt. Diese werden in 3 Klassen eingeteilt. Klasse I - Leser lesen den Chip, die PIN muss an der PC-Tastatur eingetippt werden und wird dann an den Kartenleser gesendet. Klasse II - Leser besitzen eine Tastatur, auf der die PIN eingegeben werden kann. Die Klasse III - Leser besitzen zusätzlich noch ein Display, auf dem Transaktionsdaten angezeigt werden können. Der Kartenleser wird heutzutage meist über USB angeschlossen und benötigt eine Treiberinstallation. Treiber gibt es für eigentlich für alle gängigen Betriebssysteme.

Hier sei noch erwähnt, dass die neue Lesergeneration inzwischen auch zum (kontaktlosen) Auslesen des neuen Personalausweises genutzt werden kann, so dass man dann kein zusätzliches Gerät mehr benötigt.

Teilweise kann dieses Verfahren nur in Verbindung mit einer Banking-Software genutzt werden, einige Banken bieten dieses Verfahren auch im Internetbanking an, doch auch in diesem Fall wird eine zusätzliche Softwarekomponente für die HBCI-Schnittstelle benötigt (z.B. DDBAC).

Bei allen Transaktionen fordert die Software die HBCI-Karte an und fragt die PIN ab. Diese wird an der PC-Tastatur oder direkt am Kartenleser eingegeben, danach wird die Transaktion verschlüsselt und an das Kreditinstitut übertragen. Weitere Sicherheitsmedien, wie z.B. TAN werden nicht benötigt.

Sicherheit

Durch das asymmetrische Verschlüsselungsverfahren ist eine sehr hohe Sicherheit beim Transport der Daten gewährleistet. Die Schlüssel sind sicher auf der HBCI-Karte abgelegt und können nur mit Eingabe der PIN genutzt werden. Es empfiehlt sich, mindestens einen Klasse II - Leser zu benutzen, damit die PIN-Eingabe nicht auf der PC-Tastatur erfolgen muss, wo sie über Keylogger mitgeschnitten werden könnte.

Es besteht ein Restrisiko für Man-In-The-Middle-Attacken. Eine Schadsoftware könnte die Transaktionsdaten vor dem Verschlüsseln mit der Chipkarte im Hintergrund manipulieren und dann die gefälschten Daten an das Kreditinstitut senden. Theoretisch funktioniert das, allerdings existiert wohl keine Schadsoftware "in the wild". Das Restrisiko wird durch Leser und Software eliminiert, die die Transaktionsdaten vor dem Verschlüsseln auf dem Display des Kartenlesers anzeigen, so dass sie durch den Kunden vor dem Senden geprüft werden können. Dieses Verfahren wird aber bisher von fast keinem Institut unterstützt. Wenn jemand ein KI kennt, ab in die Kommentare damit :-).

Kosten

Dieses Verfahren verursacht die höchsten Kosten für den Kunden. Ein Klasse II - Leser schlägt mit ungefähr 40 Euro zu Buche. Die HBCI-Chipkarte hat eine begrenzte Laufzeit und wird vom Kreditinstitut teilweise mit 5-10 Euro pro Jahr berechnet. Das ist aber bei den verschiedenen Banken ziemlich unterschiedlich.

Einsatzmöglichkeiten

Hier gilt das, was ich schon bei der HBCI-Kennung schrieb: Für das Verfahren wird immer ein speziell konfigurierter PC mit bestimmter Sofware benötigt. Für den Kartenleser muss ein Treiber eingerichtet sein. Die Kartenleser sind auch nicht gerade klein, bei Nutzung von mehreren Rechnern ist eventuell die Anschaffung von weiteren Lesegeräten sinnvoll, was aber auch weitere Kosten bedeutet. Das Verfahren eignet sich natürlich gut für Kunden mit vielen Transaktionen, da keine zusätzlichen TANs benötigt werden, was den Zahlungsverkehr schlank und schnell macht.

Fazit

Die HBCI-Chipkarte erfordert den höchsten Aufwand bei der Einrichtung und verursacht zusätzliche Kosten. Nach der Einrichtung ist es ein sicheres und professionelles Verfahren, das gerade bei hohem Transaktionsaufkommen seine Stärken ausspielt.

Wie immer können in den Kommentaren gerne noch weitere Aspekte beigesteuert werden, die ich vielleicht vergessen oder nicht vollständig dargestellt haben.

Hier noch die bisherigen Teile der Reihe:

1. Teil: SMS-TAN

2. Teil: Chip-TAN (SmartTAN)

3. Teil: HBCI-Kennung

Nachtgedacht (5)

"Ein seltsames Spiel, Professor Falken.

Der einzig gewinnbringende Zug ist, nicht zu spielen."

Joshua