Online-Banking. Glossar Online-Banking

Transkript

1 Glossar Online-Banking 1

2 Index Online-Banking BCS, banking communication standard chiptan-verfahren Direct Banking etan, electronic transaction number HBCI, home banking computer interface Home-Banking itan, indexed transaction number M-Banking OFC, open financial connectivity OFX, open financial exchange Online-Banking PIN, Persönliche Identifikationsnummer PIN/TAN-Verfahren SmartTAN TAN, Transaktionsnummer Impressum mtan, mobile transaction number 2

3 BCS, banking communication standard Im Gegensatz zu Home Banking Computer Interface (HBCI) und Open Financial Exchange (OFX), die für das Online-Banking zwischen Privatkunden und Geldinstituten entwickelt wurden, ist der Banking Communication Standard (BCS) ein Standard für gesicherte Finanztransaktionen und Bankaufträgen zwischen den Geld- und Finanzinstituten. Der Banking Communication Standard wurde vom Zentralen Kreditausschuss (ZKA) verabschiedet und ist damit verbindlich für alle deutsche Bankinstitute. Die Anforderungen an den BCS-Code sind entsprechend höher und umfassen Datenübertragung, die Verschlüsselung und Datenkompression. chiptan-verfahren Lichtbalken mit denen die ChipTAN zum TAN-Generator übertragen wird Das chiptan-verfahren gehört zu den sicheren Transaktionsverfahren für das Online-Banking. Es ist ein Zweiwege-Verfahren mit getrennten Geräten für die Erzeugung der Transaktionsnummer (TAN) und für deren Übertragung im PIN/TAN-Verfahren. Bei diesem Verfahren erzeugt ein spezieller TAN-Generator in Kombination mit der Chipcard des Kreditinstituts eine Transaktionsnummer 3

4 (TAN), die der Kunde als mobile Transaktionsnummer in sein Smartphone oder seinen Personal Computer für eine Transaktion eingeben kann. Beim chiptan-verfahren wird die Geldüberweisung eingegeben und auf dem Bildschirm wird ein Startcode eingeblendet. Zur Erzeugung der chiptan wird die Chipcard des Kreditinstituts in den TAN-Generator eingesteckt und über das Ziffernfeld des TAN-Generators der eingeblendete TAN-Generator, Foto: bad-bodendorf.de Startcode eingegeben. Nach dem die Kontonummer des Überweisungsempfängers und der Überweisungsbetrag eingetippt wurden, wird eine transaktionsbezogene Transaktionsnummer berechnet. Diese wird mittels optischer Übertragung über fünf Lichtbalken in den Bildschirm geblendet und kann vom TAN-Generator, der auf der Rückseite fünf Fotodioden hat, gescannt werden. Die Transaktionsnummer wird anschließend in das TAN-Feld für die Geldüberweisung eingegeben. Das ChipTAN-Verfahren gilt als sicher gegen Phishing und Man-in-the-Middle-Angriffe. Mit gesperrten Chipkarten erzeugte Transaktionsnummern werden abgelehnt. Direct Banking Bei Direct Banking, E-Banking oder E-Finance besteht eine unmittelbare Kundenbeziehung zwischen Bankkunde und Bank ohne eine physische Filiale. In den Anfängen von Direct Banking 4

5 waren es Bank-Dienstleistungen über das Telefon oder Fax, die der Kunde 24 Stunden am Tag und sieben Tage die Woche nutzen konnte. In den neunziger Jahren mit der Entwicklung des Internet gab es einen Boom an Direct-Banking-Modellen. Beim Direct Banking bzw. E-Banking, E-Finance oder Internet Banking konnten die Banken ihre Kosten allein durch den Wegfall der Mietkosten für ihre Filialen und der Filial-Mitarbeiter reduzieren. Die Kunden profitieren beim E-Banking von geringeren Kosten und dem permanenten Zugriff auf Bankdienstleistungen über verschiedene Kommunikationsmöglichkeiten wie das Internet, Telefon und auch mobil über das Mobile Banking. Erfolgskritisch für das Direct Banking sind die Sicherheit der Kundendaten der virtuellen Bank. etan, electronic transaction number Elektronische Transaktionsnummer Wie die anderen TAN-Verfahren auch, soll das e-tan-verfahren Transaktionen gegenüber Phishing sicherer machen. Die etan wird elektronisch von einem TAN-Generator erzeugt. Es handelt sich dabei um einen kleinen TAN-Rechner mit Display, der vor jeder Transaktion eine Transaktionsnummer (TAN) generiert und auf dem Display anzeigt. Vor der Generierung der Transaktionsnummer muss allerdings eine Kontrollnummer eingegeben werden. Ein ähnliches Verfahren wird bei der Bankey-Technik angewendet, bei dem der Bankey-Token auf Knopfdruck eine Transaktionsnummer für die nächste Transaktion erzeugt. HBCI, home banking computer interface Das Home Banking Computer Interface (HBCI) ist ein sicheres Übertragungsprotokoll für Finanztransaktionen in offenen Netzen wie dem Internet. HBCI ist auf der Anwendungsschicht angesiedelt, basiert auf EDIFACT und bietet multibankfähigen Clients und Bankservern die Möglichkeit, auf beliebigen Protokollen zu kommunizieren, so auch auf TCP/IP. Das Protokoll wurde von den deutschen Bankenverbänden als Standard-Protokoll für das Online-Banking ausgewählt und soll Finanztransaktionen nach dem PIN/TAN-Verfahren ablösen. 5

6 Das HBCI-System ist ein Kommunikationssystem zwischen Bank- und Kundenrechner. Es besteht aus der HBCI-Chipkarte des Kreditinstituts, dem Kartenlesegerät und dem Kundenrechner mit der Banking-Software. Der Kundenrechner ist über einen Onlinezugang mit dem Bank-Server verbunden. Die Aufträge werden lokal vorbereitet und vom Kunden mit seiner HBCI-Chipkarte und seinem PIN-Code am Kartenlesegerät bestätigt. Es folgt die digitale Signatur mit dem Signier-Schlüssel. Daraufhin wird der vorbereitete Auftrag vom Kunden-Client verschlüsselt an den Bank-Server übertragen, wo er bearbeitet wird. HBCI ist flexibel in Bezug auf die Bank-Benutzer-Schnittstelle, es ist multibankfähig und kann auch für andere Transaktionsdienste wie Online-Brokerage eingesetzt werden. Darüber hinaus Arbeitsschritte für einen HBCI-Auftrag 6

7 zeichnet es sich durch eine hohe Sicherheit mit dreifachem Schutz aus: Dazu gehört die Verschlüsselung mit dem DES-DES-Verfahren (DDV) oder dem RSA-Verfahren und die Übertragung mit dem SSL-Protokoll, die digitale Signatur sowie die öffentlichen und privaten Datenschlüssel für die Kommunikation zwischen Kunde und Bank. Die Autorisierung erfolgt beim Verbindungsaufbau, bei dem der Benutzer sich mittels Passwort bei seinem Bank-Server anmeldet. Nach Angabe der Limits kann der Benutzer seine Transaktionen durchführen, die mit der digitalen Signatur abgeschlossen werden. Die digitale Signatur verwendet eine RSA- Signatur-Chipkarte, die mit einem Schlüsselpaar arbeitet. Ein anderes in HBCI benutztes Verfahren arbeitet mit dem Message Authentication Code (MAC) mit zwei Schlüsseln, die nur der Bankkunde und das Kreditinstitut kennen. Ein Schlüssel ist der Schlüssel für die digitale Signatur, der zweite dient der Verschlüsselung. In der Version 2.2 (HBCI+) ermöglicht HBCI neben der Legitimation per Chipkarte und Diskette auch die Legitimation mit persönlicher Identifikationsnummer (PIN) und Transaktionsnummer (TAN). In der Version 3.0 wird für die HBCI-Technik die Bezeichnung FinTS benutzt, wobei in dieser Version entweder HBCI oder das PIN/TAN-Verfahren benutzt wird. HBCI wird in Europa benutzt, in den USA wird Open Financial Exchange (OFX) eingesetzt. Home-Banking Home-Banking, Telebanking, Online-Banking oder E-Banking umfassen alle Arten von Bankgeschäften, die ein Bankkunde von seinem Personal Computer aus über das Internet ausführen kann. Voraussetzung für das Home-Banking sind eine sichere Verbindung und die Zugriffsberechtigung für die Bankdienste. Beim Home-Banking loggt sich der Kunde mit seinem Personal Computer in das Rechnernetz der Bank ein, wo er sich authentifizieren muss. Nach der Authentifizierung erhält er Zugriff auf sein 7

8 Konto und die entsprechenden Bankdienste. Der Benutzer kann dann seine Bankgeschäfte über das Internet ausführen. Er kann Kontoauszüge abrufen und diese mit der Faktura überprüfen, Überweisungen und Daueraufträge tätigen, sein Depot pflegen und mit Wertpapieren handeln. Für sichere Transaktionen gibt es das PIN/TAN-Verfahren in seinen verschiedensten Varianten und das vom Bankenverband eingeführte Home Banking Computer Interface (HBCI). itan, indexed transaction number Indizierte Transaktionsnummer Beim normalen PIN/TAN-Verfahren wird bei jeder wirtschaftlichen Transaktion eine beliebige Transaktionsnummer aus einer Liste in das TAN-Feld eingetragen. Dies hat erheblichen Nachteile, da beim Phishing die Transaktionsnummern abgefragt und für Betrugstransaktionen benutzt werden können. Aus diesem Grund haben einige Geldinstitute die indizierte Transaktionsnummer, itan, eingeführt. Dabei handelt es sich um eine Liste mit fortlaufenden Nummern, denen jeweils eine zufällig indizierte Transaktionsnummer zugeordnet ist. Bei der indizierten Transaktion fragt die Bank nicht nach einer x-beliebigen, sondern nach einer bestimmten TAN aus der Auszug aus einer elektronischen Transaktion mit indizierter TAN (itan) TAN-Liste, beispielsweise 8

9 nach der 43. TAN-Nummer, die dann eingetragen werden muss. Die Transaktion wird nur dann bestätigt, wenn der Kunde die richtige Transaktionsnummer eingetragen hat. Dies schränkt das Phishing enorm ein. Eine Aushebelung des itan-verfahrens ist nur in Echtzeit möglich, in dem der Angreifer die Kommunikation zwischen Geldinstitut und Kunden über sich umleitet, den Datenstrom ausliest und Teile davon blockiert. M-Banking mobile banking Mobile Banking (M-Banking) ist eine Art des Online-Banking. Wie beim klassischen E-Banking kann der Bankkunde seine Transaktionen von seinem mobilen Endgerät aus vornehmen. Er nutzt dabei für die Online-Übertragung über das Internet das mit Sicherheitsmechanismen ausgestattete HTTPS-Protokoll, und baut darüber eine sichere Verbindung zum Bank-Server aus. Bei Einsatz der mobilen Endgeräte in WLANs erfolgt die gesicherte Verbindung über Wireless führt der Bankkunde wie beim klassischen Online-Banking nach dem PIN/TAN-Verfahren aus und kann dafür mobile Transaktionsnummern (mtan) nutzten, die er für jede einzelne Transaktion vom Bank-Server abruft. Als Standard für die Transkationen hat der deutsche Bankenverband das Home Banking Computer Interface (HBCI) für Finanztransaktionen eingeführt, mit dem gesicherte Transaktionen durchgeführt werden können. Mobile Banking wird von den Kreditinstituten durch Apps unterstützt, die mit den gängigen Smartphone-Betriebssystemen Android, Brew MP oder Windows Mobile arbeiten. Neben ortsunabhängigen Transkationen über Smartphones, BlackBerrys, PDAs, Tablets oder Notebooks kann der Bankkunde auch andere Bank-spezifische Dienste wie die Kontenführung, Einzel- und Dauer-Überweisungen, Auflistungen der Transaktionen, den Aktienhandel und die Depotverwaltung usw. als mobilen Service nutzen. Einige dieser Apps arbeiten auch mit Smartphone-Browsern und können darüber auf die Services der Kreditinstitute zugreifen. 9

10 Kritische Faktoren des Mobile Banking liegen in der Netzwerksicherheit, die durch Verschlüsselung den unberechtigten Zugang sowie die Manipulation von Daten verhindert. Die Standardisierung des Mobile Banking erfolgt duch die internationale Standardisierungs- Organisation (ISO) nach ISO 12812: Mobile Financial Services. mtan, mobile transaction number Mobile Transaktionsnummer Die verschiedenen PIN/TAN-Verfahren für das Online-Banking - itan, etan, smarttan und mtan - unterscheiden sich in der Sicherheit der Transaktionen. Die mobile Transaktionsnummer (mtan) ist wie SmartTAN ein so genanntes Zwei-Schritt-Verfahren, bei denen die Transaktion und die Übermittlung der Transaktionsnummer (TAN) getrennt in zwei Schritten erfolgt. Bei der mobilen Transaktionsnummer erzeugt der Bank-Server vor jeder Transaktion eine passende Transaktionsnummer und sendet sie per Kurznachrichtendienst (SMS) auf das Handy des Besitzers. Daher auch die Bezeichnung smstan. Die auf das Handy übermittelte smstan dient zur Freigabe einer einzigen Online- Transaktion. Danach ist sie nutzlos. Eine erhöhte Sicherheit ist dadurch gegeben, dass im Kurznachrichtendienst (SMS) Übermittlung der mtan über SMS, Foto: Postbank das Zielkonto und der Betrag übertragen 10

11 werden. Dadurch kann der Kunde vor Eingabe der Transaktionsnummer überprüfen, ob sein Auftrag richtig gebucht wurde. Die mtan ersetzt die vorgefertigte TAN-Liste und ist überall mobil verfügbar. Das mtan-verfahren ist dadurch wesentlich sicherer gegen Phishing und Pharming. OFC, open financial connectivity Open Financial Connectivity (OFC) ist ein älteres Dateiformat von Microsoft für Finanztransaktionen über das Internet. Aus dem OFC-Dateiformat und dem Open Exchange Format (OEF) ist in den 90er Jahren als Standardformat für Finanztransaktionen das Open Financial Exchange (OFX) hervorgegangen. OFX, open financial exchange Open Financial Exchange (OFX) ist ein von Microsoft und Intuit Quicken entwickeltes Format für Finanztransaktionen über das Internet. In OFX wurden die älteren Transaktionsformate Open Financial Connectivity (OFC) und Open Exchange Format (OEF) eingebracht. OFX ist ein offener Standard für den Austausch von Finanzdaten, der in den USA benutzt wird. Der OFX-Standard ist systemunabhängig und formatiert die Transaktionen und Rechnungsdaten in Standardized Generalized Markup Language (SGML). OFX wird u.a. als Abrechnungssystem von für IP-basierte Cloud-Services benutzt. Ein vergleichbares Accounting-System ist Interactive Exchange (IFX), das allerdings die Dokumente, Rechnungen in Extensible Markup Language (XML) implementiert. In Europa heißt der zu OFX vergleichbare Standard für Finanztransaktionen Home Banking Computer Interface (HBCI). Online-Banking Online-Banking, Electronic Banking (E-Banking) oder Home-Banking umfasst alle elektronischen Bankgeschäfte zwischen Bankkunde und Kreditinstitut. Online-Banking nutzt die elektronischen 11

12 Kommunikationseinrichtungen und -netze und setzt eine Online-Verbindung voraus. In der Regel erfolgen die Finanztransaktionen von einem Personal Computer (PC) aus über das Internet. Aus Sicherheitsgründen wird dabei statt des HTTP-Protokolls das mit Sicherheitsmechanismen ausgestattete HTTPS-Protokoll für die Online-Übertragung benutzt. Erfolgt die Transaktion von einem Smartphone, einem Tablet oder einem mobil eingesetzten Notebook aus, spricht man von Mobile Banking (M-Banking). Das Online-Banking kann mittels persönlicher Identifikationsnummer (PIN) und Transaktionsnummer (TAN) ausgeführt werden. Neben diesem PIN/TAN-Verfahren wurde vom deutschen Bankenverband das Home Banking Computer Interface (HBCI) als Standard für Finanztransaktionen eingeführt, mit dem gesicherte Transaktionen durchgeführt werden können. Zum Datenschutz stützt sich das Online-Banking in Europa auf HBCI, dagegen wird in den USA der Open Financial Exchange (OFX) benutzt. Zu den geschäftlichen Transaktionen zwischen Privatkunden und Kreditinstitut gehören die Kontoauskunft, Einzel- und Dauer-Überweisungen, Auslistungen der Transaktionen, der Aktienhandel usw. Kritische Parameter liegen in der Netzwerksicherheit, die durch Verschlüsselung den unberechtigten Zugang sowie die Manipulation von Daten verhindert. Im Gegensatz zu HBCI und OFX, die für das Online-Banking zwischen Privatkunden und Geldinstituten entwickelt wurden, ist der Banking Communication Standard (BCS) ein Standard für Finanztransaktionen zwischen den Geld- und Finanzinstituten. PIN, Persönliche Identifikationsnummer personal identification number Eine Personal Identification Number (PIN) ist eine mehrstellige persönliche Geheimzahl zur Authentifizierung des Besitzers. Beim Online-Banking dient die PIN zur Autorisierung und damit dem Zugang zum Konto oder einem anderen Finanzdienst. Für das Online-Banking reicht die persönliche Identifikationsnummer, dagegen ist das Banking am Bankautomaten nur in 12

13 Kombination mit einer Smart Card möglich. Mit der persönlichen Identifikationsnummer kann der Konteninhaber Kontenbewegungen abfragen und in Verbindung mit einer Transaktionsnummer (TAN) Transaktionen mittels PIN/TAN-Verfahren durchführen oder andere Geldgeschäfte tätigen. Die PIN besteht in der Regel nur aus vier oder fünf Ziffern. Das bedeutet, dass die persönliche Identifikationsnummer mit oder Versuchen ermittelt werden könnte. PIN/TAN-Verfahren PIN/TAN methode Das PIN/TAN-Verfahren ist ein Transaktionsverfahren für Bankgeschäfte mittels Online-Banking. Es ist ein älteres Verfahren, das aber immer noch breiten Einsatz findet und von Home Banking Computer Interface (HBCI) abgelöst werden soll. Das PIN/TAN-Verfahren unterteilt sich in den Zugang zum Konto, der mit der persönlichen Identifikationsnummer (PIN) erfolgt, und der eigentlichen geschäftlichen Transaktion, die mit der Transaktionsnummer (TAN) erfolgt. Mit der PIN-Nummer erhält der Teilnehmer den Zugang zu seinem Konto. Es handelt sich dabei um eine mehrstellige Zahlenkombination, die dem Teilnehmer in einem versiegelten Umschlag zugesandt wird und die im Bankrechner gespeichert ist. Die PIN-Nummer behält bis zur Änderung durch den Benutzer oder durch Neuausgabe für alle Kontenzugänge und Transaktionen ihre Gültigkeit. Im Gegensatz dazu verliert eine Transaktionsnummer nach jeder geschäftlichen Transaktion ihre Gültigkeit. Bei den Transaktionsnummern handelt es sich um sechsstellige Zufallszahlen, die dem Benutzer als Liste in einem versiegelten Umschlag zugesandt werden. Was die TAN-Verfahren betrifft, so gibt es davon verschiedene mit unterschiedlichen Sicherheitsanforderungen. Neben dem einfachen TAN-Verfahren wird eine aus vielen Transaktionsnummern aus einer TAN-Liste für eine Transaktion ausgesucht. Daneben gibt es die indizierte Transaktionsnummer (itan). Dabei handelt es sich um eine bestimmte 13

14 Transaktionsnummer aus einer TAN-Liste. Eine weitere Sicherheitserhöhung stellt die mobile Transaktionsnummer (mtan), auch als smstan bezeichnet, dar. Weitere Transaktionsnummern sind die smarttan, etan und die chiptan. Der Einsatz des PIN/TAN-Verfahrens beschränkt sich immer auf ein Kreditinstitut und ist nicht multibankfähig. SmartTAN Das SmartTAN-Verfahren ist ein gesichertes Transaktionsverfahren für das Online-Banking, das in zwei Schritten arbeitet und deswegen auch die Bezeichnung Zwei-Schritt-TAN-Verfahren trägt. Bei den Zwei-Schritt-Verfahren, zu denen auch die mobile Transaktionsnummer (mtan) gehört, erfolgen die Transaktion und die Übermittlung der Transaktionsnummer (TAN) getrennt in zwei Schritten. Zwischen dem Online-Auftrag und der generierten Transaktionsnummer wird eine logische Verbindung hergestellt. Wie bei allen anderen TAN-Verfahren auch, kann die Transaktionsnummer nur einmalig benutzt werden, in diesem Fall nur für den entsprechenden Online-Auftrag. Dem Verfahren nach wird bei SmartTAN die Überweisung im Online-Banking ausgeführt und an die Bank übertragen. Bei diesem Vorgang werden dem Kunden auf seinem Terminal die Transaktionsdaten und ein Code für den Geschäftsvorgang angezeigt. Nach Vergleich und Eingabe des Transaktionscodes mit der Empfängerkontonummer wird die Transaktionsnummer (TAN) generiert und angezeigt. Sie muss dann vom Kunden eingegeben werden. Danach erfolgt die gesicherte Transaktion. Das Smart-TAN-Verfahren gibt es noch in einer weiteren Sicherheitsstufe als SmartTAN plus, geschützte Schreibweise: plus. 14

15 TAN, Transaktionsnummer transaction number Der Einsatz der Transaktionsnummer (TAN) ist ein gängiges Sicherheitsverfahren beim Home- Banking oder Online-Banking. Bei der Transaktionsnummer handelt es sich um eine 6-stellige Zufallszahl, die dem Bankkunden als Liste von seinem Finanzinstitut oder seinem Finanzdienstleister überreicht wird. Vor der Transaktion autorisiert sich der Kunde durch seine persönliche Identifikationsnummer (PIN) und führt seine Transaktionen mit den nur ihm bekannten Transaktionsnummern aus. Jede einzelne Transaktion zwischen Kunde und Finanzinstitut, sei es eine Überweisung oder ein Aktienkauf, erfolgt über eine eigene nur einmal nutzbare Transaktionsnummer. Diese verliert nach der Transaktion ihre Gültigkeit. Bei diesem Online-Banking sind die Autorisierung und die Transaktion miteinander verbunden, deswegen spricht man auch vom PIN/TAN-Verfahren. Eine Verbesserung der TAN-Sicherheit wird mit itan, dem indizierten TAN-Verfahren erreicht. Bei indizierten TANs fragt die Bank nicht nach einer beliebigen, sondern nach einer bestimmten TAN auf der TAN-Liste, die immer an eine bestimmte Transaktion gebunden ist. Weitere TAN-Verfahren, die ebenfalls der Erhöhung der Sicherheit dienen, sind mtan oder smstan, smarttan, etan und chiptan. 15

16 Impressum Online-Banking Urheber Klaus Lipinski, Dipl.-Ing. Datacom-Buchverlag GmbH Dietersburg ISBN: Online-Banking E-Book, Copyright 2013 Trotz sorgfältiger Recherche wird für die angegebenen Informationen keine Haftung übernommen. Dieses Werk ist unter einem Creative Commons Namensnennung - Keine kommerzielle Nutzung - Keine Bearbeitung 3.0 Deutschland Lizenzvertrag lizenziert. Erlaubt ist die nichtkommerzielle Verbreitung und Vervielfältigung ohne das Werk zu verändern und unter Nennung des Herausgebers. Sie dürfen dieses E-Book auf Ihrer Website einbinden, wenn ein Backlink auf gesetzt ist. Layout & Gestaltung: Sebastian Schreiber Titel: Ayvengo - Fotolia.com Produktion: Weitere Informationen unter 16