Das Internet als weltweite Handelsplattform verlangt eine entsprechende länderübergreifende Zahlungsmöglichkeit. Als ein solch internationaler Zahlungsstandard hat sich die Kreditkarte etabliert. Sie eignet sich nicht nur aufgrund ihrer weltweiten Akzeptanz für den Einsatz im Internet, sondern auch wegen der gut ausgebauten Infrastruktur für die zum Online-Kauf notwendigen Finanztransaktionen.
Die Sicherheit einer Kreditkartenzahlung im Internet wie auch in der realen Welt hängt von fünf Kriterien ab:
-Authentifikation,
-Verbindlichkeit,
-Integrität,
-Verschlüsselung sowie
-Vertraulichkeit.
Bei der Abwicklung eines Einkaufs in der realen Einkaufswelt, das heißt in Anwesenheit der handelnden Personen, können sich Kunde und Händler gegenseitig authentifizieren. Der Kunde hat in der Regel die Gewissheit, dass der Geschäftspartner, dem er eine gezeichnete Lastschrift oder Kreditkarte aushändigt, tatsächlich derjenige ist, der er vorgibt zu sein. Ebenso hat der Händler die Möglichkeit, den Kunden mit Hilfe der Unterschrift auf dem Belastungsbeleg eindeutig zu authentifizieren.
Im Internet hingegen herrscht der Fall der beidseitigen Abwesenheit der Geschäftspartner vor. Zur gegenseitigen Authentifikation muss sich hier deshalb der Einsatz von elektronischen Zertifikaten etablieren. Für die Authentifikation des Händlers gegenüber dem Kunden, lässt sich der Händler durch eine Zertifizierungsstelle (Trust-Center oder auch Certificate Authority) überprüfen und registrieren. Hierfür fordert das Trust-Center die Vorlage einer Kopie des Handelsregisterauszugs sowie zusätzliche Angaben wie Domain-Name, offizielle E-Mail-Adresse, Anschrift und Ansprechpartner.
Auch der Kunde kann sich zur Authentifikation gegenüber dem Händler ein elektronisches Zertifikat besorgen. Dazu lässt er sich beispielsweise von der Post AG am Postschalter oder von seiner kontoführenden Bank identifizieren. Anschließend bekommt er das Zertifikat in der Regel auf Diskette ausgeliefert.
Die Verbindlichkeit eines Transaktionsauftrags wird traditionell mit einer Unterschrift sichergestellt. Dem Unterzeichner kann damit juristisch nachgewiesen werden, dass er die Anweisung tatsächlich ausgestellt hat. Im Internet wird die digitale Signatur mit dem Inkrafttreten des Gesetzes über Rahmenbedingungen für elektronische Signaturen (SiG) juristische Verbindlichkeit herstellen können. Das Gesetz wird das seit Juli 1997 geltende Gesetz zur digitalen Signatur (SiG) ablösen. Das SiG regelt den Aufbau der Public Key Infrastructure (PKI) für digitale Signaturen in Deutschland. Es definiert unter anderem die Sicherheitsanforderungen an Gebäude, Hardware und Beschäftigte von Zertifizierungsstellen sowie Anforderungen an die Zertifikate selbst. So darf der private Schlüssel ausschließlich auf einer speziellen Chipkarte vorgehalten werden, die wiederum den Lesezugriff nur über PIN erlaubt.
Derzeit bietet die Deutsche Telekom AG und die Deutsche Post AG bundesweit Leistungen gemäß dem Signaturgesetz an. Erst die Gesetzesänderung, die eine Richtlinie des Europäischen Parlaments umsetzt, wird die digitale Signatur der herkömmlichen Unterschrift juristisch gleichsetzen. Die Bundesregierung hat einen Entwurf für die Gesetzesänderung verabschiedet. Sie soll im Frühjahr 2001 in Kraft treten.
Die elektronische Signatur kann ferner sicherstellen, dass eine Nachricht auf dem Weg vom Sender zum Empfänger im Internet nicht abgefangen und verfälscht wird. Die Verschlüsselung der beim Online-Einkauf übertragenen Nachrichten dient zwar nicht der juristischen Sicherung des gerade abgewickelten Geschäftes, schützt aber sensible Informationen wie Bankverbindung oder Kreditkartennummer vor dem Zugriff Dritter. Damit kann der spätere Missbrauch dieser Informationen ausgeschlossen werden.
Eine chiffrierte digitale Kommunikation kann heute so gestaltet werden, dass ein Abhören unmöglich ist. Die variablen Parameter für eine verschlüsselte Sitzung sind der verwendete Algorithmus und im Wesentlichen die Schlüssellänge. Letztere variiert bei symmetrischen Verfahren zwischen 40 und 512 Bit. Welche Schlüssellänge zum Einsatz kommt, hängt von dem damit verbundenen Aufwand (die Rechenzeit steigt bei großen Schlüsseln) ab. Außerdem ist zu berücksichtigen, dass der Geheimdienst- gleichgültig, in welchem Land - daran interessiert ist, möglichst jeden digitalen Nachrichtenaustausch mitzuhören. So untersagt die US-Regierung beispielsweise den Export von Kryptografie-Software ab einer bestimmten Schlüssellänge.
Seit Januar 2000 ist es US-Softwareherstellern jedoch erlaubt, Programme bis zu 128 Bit Verschlüsselungsstärke zu exportieren. Da auch viele Web-Server-Softwarepakete und die gängigen Internet-Browser dieser Restriktion unterliegen, verfügen die meisten derzeit in Betrieb befindlichen Programme nur über 40 Bit Verschlüsselungsstärke. Diese lässt sich heute je nach Kryptoverfahren in acht Minuten bis 20 Stunden knacken. Deshalb sollten Internet-Shop-Betreiber ebenso wie Internet-Konsumenten ihre Software mit den marktgängigen 128-Bit-Upgrades aufrüsten, die zum derzeitigen Stand von Know-how und Technik als sicher gelten.
Die mit der Bestellung und Zahlung verbundenen Informationen sollten nur den tatsächlichen Adressaten zugänglich sein. Bei vielen Zahlungssystemen (wie Kreditkarte oder Paybox) regelt eine Abrechnungsstelle als dritte Instanz die Zahlungsabwicklung. Eine Kreditkartenzahlung wird zum Beispiel dann vertraulich behandelt, wenn die Karteninformationen beim Kaufvorgang direkt zur Abrechnungsstelle übermittelt werden und nicht über den Umweg zum Händler, der diese zwischenspeichern müsste.
Visa- und Mastercard-Norm SET hat das NachsehenIn der realen Welt bedeutet eine autorisierte Zahlung per Kreditkarte die unwiderrufliche Weisung des Käufers an das Kartenunternehmen, die Schuld des Käufers beim Händler zu begleichen. Den Beweis, dass der Kartenhalter - und nicht jemand anders - die Weisung erteilt hat, muss die Kartengesellschaft führen. Deshalb verlangt die Kartengesellschaft vom Händler den Nachweis der Kreditkartenlegitimation des Kunden. Dazu dient die Unterschrift des Käufers auf dem Belastungsbeleg. Im Internet ist dies nicht gegeben. Damit haftet der Händler als derjenige, der die Karte akzeptiert. Diese Situation wird sich ändern, sobald die elektronische Unterschrift als Beweismittel eingesetzt werden kann. Damit verschiebt sich das Haftungsrisiko vom Händler hin zur Abrechnungsstelle. Aber selbst dann wird beim Kartenhalter kein Haftungsrisiko beim Einsatz der Karte im Internet auftreten.
Die gegenwärtig diskutierten und praktizierten Internet-Lösungen für die Kreditkartenzahlung sind die Verfahren Kreditkarte über Secure Socket Layer (SSL) und Kreditkarte über Secure Electronic Transaction (SET). SSL ist die nächstliegende und effektivste Implementierung der hybriden Verschlüsselung, angewendet auf das Internet. Das Protokoll wird praktisch von jeder Web-Server-Software und allen aktuellen Browsern unterstützt.
Eine Kreditkartenzahlung läuft grundsätzlich wie folgt ab: Der Kunde wählt aus dem Angebot des Händlers Waren aus und übergibt dem Händler eine elektronische Bestellanweisung mit den gewünschten Produkten (siehe Grafik). Für die Bezahlung per Kreditkarte erhält der Händler eine Zahlungsanweisung mit Kreditkarteninformationen, die er der Bestellung über eine Order-ID zuordnet.
Im weiteren Verlauf stellt der Händler eine Autorisierungsanfrage mit dem Betrag und den Kreditkarteninformationen an seine Abrechnungsstelle (Authorization Request). Diese prüft die Gültigkeit der Kreditkarte und die Bonität des Kunden in Bezug auf das Kreditlimit des Kartenkontos. Willigt die Abrechnungsstelle in die Transaktion ein, antwortet sie mit einer Autorisierungsnummer (Authorization Response). Mit diesem "Coupon" macht der Händler später seinen Zahlungsanspruch geltend (Capture Request). Außerdem wird er den Kunden über die erfolgreiche Autorisierung informieren (Purchase Response) und die Waren ausliefern.
Für das beschriebene Zusammenspiel der drei Instanzen Kunde, Händler und Abrechnungsstelle existieren derzeit zwei Modelle zur Nutzung der SSL-Technik:
1. Der Kunde sendet seine Bestellung zusammen mit Kreditkarteninformationen über ein SSL-geschütztes HTML-Formular an den Internet-Händler. Dieser speichert beides und sendet die Kreditkarteninformationen im Rahmen einer Autorisierungsanfrage verschlüsselt an die Abrechnungsstelle. Zur Verschlüsselung dient hier in der Regel ebenfalls SSL.
2. Auf die gleiche Weise übermittelt der Kunde seine Bestellung via SSL an den Händler. Für den Bezahlvorgang wird er aber auf den Web-Server der Abrechnungsstelle umgeleitet. Hier gibt er - ebenfalls SSL-geschützt - seine Kreditkarteninformationen in ein HTML-Formular ein. Die Abrechnungsstelle kann aufgrund einer Transaktions-ID den zugehörigen Betrag sowie den Händler identifizieren.
Im Gegensatz zur ersten Lösung ist im zweiten Ansatz die vertrauliche Behandlung der Zahlungsinformationen sichergestellt. Das zweite Modell sieht eine eher zentrale und entsprechend geschützte Speicherung von sensiblen Kreditkartendaten bei der Abrechnungsstelle vor. Ansonsten sind die beiden Verfahren identisch. Der Händler besitzt ein Zertifikat, mit dem er sich gegenüber dem Käufer authentifiziert. Die Übertragung des Zertifikats, die Verschlüsselung sowie die Sicherung der Integrität sind eine Funktionalität des SSL-Protokolls. Der Kunde besitzt kein Zertifikat. Somit ist die verbindliche Unterschrift nicht möglich.
SET ist hingegen ein Standard von Visa und Mastercard zur sicheren Kreditkartenabwicklung im Internet. Der Standard spezifiziert Technik und Organisation eines Abwicklungsprozesses vom Kunden über den Händler bis hin zur Abrechnungsstelle. Händler und Abrechnungsstellen, die SET anbieten möchten, müssen den im Standard spezifizierten Prozess realisiert haben und von Visa sowie Mastercard entsprechend zertifiziert sein.
Während bei der Kreditkartenzahlung über SSL der Browser als Software des Kunden genügt, benötigt er bei SET eine Wallet-Software. Der Kunde besitzt außerdem ein Zertifikat, das er in seinem Wallet, einer Art elektronischer Geldbörse, verwaltet. Diese verschlüsselt die Bestellung sowie die Kreditkarteninformationen und unterschreibt beides digital mit einer so genannten dualen Signatur. Das gesamte Datenpaket sendet der Käufer an den Händler.
Verschlüsselung und duale Signatur sorgen dafür, dass der Händler nur die Bestellinformationen lesen kann, nicht aber die Kreditkarteninformationen. Diese sendet der Händler unverändert weiter an die Abrechnungsstelle, welche die Zahlungsanweisung entschlüsselt und den Vorgang über eine Transaktions-ID dem Händler zuordnet. Für die Behandlung der Kreditkartendaten bei der Abrechnungsstelle haben Visa und Mastercard deshalb strenge Sicherheitsvorschriften aufgestellt.
SET erfüllt alle Sicherheitskriterien bei der Zahlungsabwicklung. Lediglich die juristische Verbindlichkeit wird erst mit dem neuen Signaturgesetz gegeben sein. Auch ohne eine juristisch verbindliche Bestell- oder Zahlungsanweisung bietet SET insbesondere dem Händler mehr Sicherheit, da der Kunde für den Einkauf ein Zertifikat benötigt und damit authentifiziert ist. Die Tatsache, dass alle am SET-Protokoll beteiligten Instanzen ein Zertifikat mit streng definierter Zertifizierungshierarchie benötigen, ist jedoch auch ein Grund für die geringe Verbreitung. Viele Händler verzichten aus Gründen der Kundenfreundlichkeit auf eine Authentifikation des Käufers und implementieren deshalb das Verfahren Kreditkarte über SSL.
Eine andere Zahlungsmethode bietet die Paybox.net AG seit dem zweiten Halbjahr 1999 an. Bei ihr bezahlt der Kunde mit Mobiltelefonnummer, Mobiltelefon und PIN. Das Verfahren ähnelt der Kreditkartenzahlung, doch wird die Kreditkartennummer durch die Telefonnummer ersetzt, die Kreditkarte durch das Handy. Die Beträge, die für Einkäufe zu bezahlen sind, zieht die Paybox. net AG per Lastschrift vom Endkunden ein - analog zur Kreditkartenabrechnung. Der Unterschied zur Kreditkartenabwicklung ist, dass das Verfahren in der realen Welt, im Internet und auch zwischen Endkunden stets nach derselben Methode abläuft und die Kundenauthentifikation beinhaltet.
PIN-Eingabe per Handy legitimiert den KaufDabei lässt sich der Endkunde zunächst als Mobiltelefonbesitzer bei der Paybox.net AG registrieren. Er gibt seine Bank und Mobilfunkverbindung an. Dies geschieht über SSL. Im weiteren Verlauf erhält der Paybox-Kunde eine persönliche Geheimzahl per Post zugestellt. Beim Einkauf im Internet wählt der Käufer die Zahlungsart Paybox und trägt seine Mobilfunknummer in das angebotene HTML-Formular ein. Der Händler sendet die Rufnummer dann an den Paybox-Server. Nun erfolgt die Authentifizierung: Der Server ruft den Käufer unmittelbar unter der angegebenen Nummer über das Mobiltelefon an und informiert über Betrag und Händler. Durch Angabe seiner PIN legitimiert der Kunde die Zahlung. Der Paybox-Server autorisiert den Händler zur Abwicklung des Geschäftes.
Die Kundenauthentifikation erfolgt über die Paybox-PIN sowie über die PIN der SIM-Karte, mit der sich der Käufer Zugang zum Mobilfunknetz schafft. Die Integrität und Verschlüsselung bei der Übermittlung der Registrierungsdaten an den Server ist im Falle der Internet-Übertragung durch SSL gegeben, wenn gegenwärtig auch nur mit 40 Bit. Während der Übertragung der PIN über das Mobiltelefon sorgt der in der GSM-Technik verwendete Kryptoalgorithmus für die Verschlüsselung und für die Datenintegrität. Die Vertraulichkeit der sensiblen Bankverbindung ist durch die zentrale Speicherung der Daten bei der Paybox.net AG gewährleistet. Die juristische Verbindlichkeit einer Zahlungsanweisung ist durch die Bestätigung des Kunden per PIN gegeben. Damit trägt die Paybox AG das Haftungsrisiko.
* Alexander Mansyreff ist Berater bei der Danet Consult GmbH in München.
Abb: Die Kreditkarte hat sich wegen ihrer weltweiten Verbreitung sowie der Instanz einer Clearing-Stelle als bevorzugtes Zahlungsmittel im Internet durchgesetzt. Quelle: Danet Consult