erschienen in: Webtrade TargetPress Publishing GmbH 4/2001 Geld im Cyberspace

Transkript

1 erschienen in: Webtrade TargetPress Publishing GmbH 4/2001 Geld im Cyberspace epayment, das Zahlungssystem der Zukunft? Man hat oder man hat nicht. Doch auch wer es hat, das Geld, der besitzt es meist nicht in Form von gebündelten Banknoten, die ja ebenfalls nur einen Wert symbolisieren, sondern in der Regel als Zahl auf einem Konto, das Teil des weltweiten Geldnetzes ist. Für die Banken ist deshalb das Geld, das sie verwalten, anlegen oder verleihen, schon seit langem von eher virtueller Natur. Nur die Schnittstelle zwischen Bank und Kunden genauso wie zwischen Käufer und Verkäufer blieb bisher real. Die elektronische Bezahlung mit virtuellem Geld, also das grundsätzliche epayment, ist heute eher die Regel als die Ausnahme. Ein Kärtchen, ein Anruf oder eine Nummer genügt in den meisten Fällen, um real nicht greifbares Geld zu transferieren. Das Geldtransfersystem, über Lastschrift, Einzug oder Überweisung genutzt, steht bisher auf 2 Säulen. Eine davon ist die Unterschrift, der persönliche Kontakt oder eine Kennung, die den Auftraggeber eines Transfers identifiziert. Die andere Säule bildet der weltweite elektronische und organisatorische Verbund der Banken und ihrer Subunternehmen, die als Mittler zwischen Käufer und Verkäufer zumindest eine gewisse Garantie für Zahlungsfähigkeit und Lieferbereitschaft übernehmen. Findet eine Kreditkartenzahlung statt, werden elektronisch die Gültigkeit der Karte, die Rechtmäßigkeit des Besitzer und seine Liquidität überprüft. Zusätzlich sorgen Unterschrift und der persönliche Kontakt zwischen Käufer und Verkäufer für Sicherheit. Und geht es im Big Business um Millionenzahlungen zwischen 2 Unternehmen am jeweils anderen Ende der Welt, bürgen gewöhnlich die Banker vor Ort für ihre lokalen Kunden. Who is who Was sich geändert hat, ist grundsätzlich nicht der elektronische Geldverkehr, sondern die Schwierigkeit der gegenseitigen Identifizierung oder Authentifizierung, also die nötige Vertrauensbasis. Die Zunahme von ecommerce und ebusiness zwischen unterschiedlichsten Geschäftspartnern ist der Grund dafür, dass die bisherigen Sicherheitsgarantien für den Zahlungsverkehr nicht mehr ausreichen und alle Beteiligten, ob Banken, Händler oder die IT- Branche, nach neuen Wegen suchen. Wer im ebusiness mit einem langjährigen Geschäftspartner über das Internet zusammenarbeitet oder als Privatmann seine Bankverbindung online wahrnimmt, bewegt sich noch auf relativ sicherem und technologisch ausgereiftem Terrain. Problematisch wird es erst, wenn Privat- oder Businesskunden mit unterschiedlichen Händlern und Geschäftspartner zu tun haben. Keiner kennt den anderen und ob hinter der jeweiligen WebSite ein seriöses Unternehmen oder ein Betrüger steckt, ist kaum zu ermitteln. Gleiches gilt für den Kunden oder Käufer. Auch hier muss der Verkäufer grundsätzlich auf sein Glück vertrauen, dass seine Lieferungen auch bezahlt werden. So treten beim Zahlungsverkehr über das Internet ähnliche Probleme auf, wie bei der Logistik im ebusiness. Was dort unter dem Begriff der letzten Meile als ausschlaggebender Erfolgsfaktor für den elektronischen Handel erkannt wurde, ist im epayment die Schnittstelle zwischen Mensch und EDV, denn solange Käufer und Verkäufer sich nicht vertrauen können, wird die Zahlungsabwicklung den elektronischen Handel bremsen.

2 Die Vertrauensfrage Der Großteil der Bezahlung wird bei Geschäften über das Internet per Nachnahmen oder Rechnung abgewickelt. Gegen diesen sicheren Weg spricht vor allem der hohe Organisationsaufwand für beide Seiten. Weiniger verbreitet aber doch ein übliches Verfahren ist die Bezahlung per EC- oder Kreditkarte. Selbst ohne große Verschlüsselung ist die Weitergabe der Kartennummer über das offene Internet für den Käufer mit relativ geringem Risiko behaftet. Erhält er nicht den Gegenwert seiner Bezahlung, kann er eine Rückbuchung veranlassen, und selbst wenn ein Betrüger mit einer ausgespähten Kreditkartennummer fröhlich einkauft, ist das jeweilige Institut in der Beweis- und Garantiepflicht. Der Schaden bleibt also gering, doch der mögliche Ärger lässt viele Kunden zögern, die wertvolle Nummer in den Cyberspace zu versenden. Etwas schwerer hat es da schon der Händler, der im Internet seine Waren feilbietet. Er hat geliefert und der Kunde macht seine Buchung rückgängig oder der Kauf stellt sich als Betrug heraus. Zum Verlust seiner Ware muss er zusätzlich die nicht ganz unerheblichen Kosten für die Rückbuchung übernehmen. Allein für letztere entstehen den Internet-Händlern in Deutschland erhebliche Verluste. Finanziell nicht besonders hart, aber doch unangenehm in Form von Nadelstichen trifft es die Banken und Kreditkartenkonsortien, die letztlich für die Nummer auf der Plastikkarte haften. Dank satter Margen für die komfortable Bezahlungsweise sollten die 30 Millionen an jährlichen Verlusten allein aus Kreditkartenbetrug zu verschmerzen sein. Mehr als der reale Schaden dürfte den Banken jedoch das mangelnde Vertrauen in die Sicherheit der elektronischen Bezahlung Kopfzerbrechen bereiten. Und dass hier Handlungsbedarf besteht, darüber sind sich eigentlich alle Teilnehmer, ob Kunde, Händler oder Finanzierungsabwickler einig, denn für alle ist eine komfortable und sichere Bezahlung über das Internet von Vorteil. Trusts setzen Standards Wie immer, wenn in der schnelllebigen IT-Industrie neue Technologien ausgetüftelt werden, setzt man Standards und zwar möglichst viele. Im Vordergrund steht die Suche nach Lösungen für eine Verschlüsselung von Daten und für die Authentifizierung der jeweiligen Kontrahenten beim Geldgeschäft. Die Sicherheit beginnt bei SSL, einer Verschlüsselung, die jeder moderne Browser kennt, geht über PKI-Strukturen mit symmetrischer und asymmetrischer Verschlüsselung bis zur Ausstellung von Zertifikaten über sogenannte Trust- Center. Das Ziel aller Lösungsansätze, wie auch das von den Kreditkartenherausgebern anvisierte SET-Verfahren ist technologisch komplex, vom Prinzip her aber banal. Die Grundidee ist, dass jeder an einem Handel oder Geldgeschäft beteiligte sich mit seiner Unterschrift identifiziert bestätigt, dass er es ernst meint und sich für seine Aktivitäten verantwortlich erklärt. Doch mit der Tastatur am PC lässt sich s nur schwer unterschreiben und alle Identifizierungskriterien verlieren ihre Individualität, sobald sie in digitalisierter Form vorliegen. Die digitale Unterschrift, die gerade auch rechtlich anerkannt wurde, muss deshalb nur eine digitale Zeichenfolge sein, die eine Person eindeutig identifiziert. Für die Sicherheit dieser allerletzten Meile, also zwischen Mensch und PC, wird auch in Zukunft der einzelne verantwortlich bleiben, ob er den Zugang über biometrische Mittel, Kennworte oder Karten absichert. Doch sobald er seine Nachricht verschickt, müssen andere Technologien dafür sorgen, dass keine unautorisierte Person die Message missbrauchen kann, und dass der Empfänger sicher weiß, von wem die Botschaft kommt. Die Lösungsansätze ähneln sich zwar vom Prinzip, doch in der Praxis stehen unterschiedliche Sicherheitsprovider und Methoden dahinter. Grundsätzlich sehen sie vor, dass jeder, der im elektronischen Zahlungsverkehr seinem Geschäftpartner eine Nachricht schickt, diese unterzeichnet und verschlüsselt, und nur der berechtigte Empfänger über den Code verfügt, um die Nachricht wieder zu entschlüsseln. Über sogenannte private und öffentliche Schlüssel wird damit gewährleistet, dass nur der richtige Empfänger die Nachricht, also z.b. die Kreditkartennummer, lesen kann. Eine gegenseitige Vertrauensbasis ist damit aber noch nicht

3 hergestellt. Die Lösung dafür mutet im EDV-Zeitalter eher altmodisch an. Was die Kreditkartenherausgeber mit SET bewirken, entspricht auch dem Vorgehen anderer Trustoder Zertifizierungsstellen. So müssen sich Käufer und Verkäufer beim SET-Verfahren bei ihrer Bank für den Zahlungsverkehr mit Kreditkarte ein Zertifikat abholen. Wer mit Kreditkarte bezahlt, weist sich durch sein Zertifikat als überprüfte Person aus, die beim Trust registriert ist. Der Verkäufer ist sich damit über die Identität seines Kunden informiert und kann sich auf dessen Zahlungswilligkeit- und Fähigkeit verlassen. Doch auch der Kunde bekommt vom Trust die Bestätigung, dass sein Händler bekannt ist und seine Geschäfte seriös führt, so dass dem gegenseitigen Vertrauen nichts mehr im Wege steht. Gegen den problemlosen Einsatz dieses Systems spricht nur die Anzahl der vorhanden Trustcenter. Neben einigen wenigen großen Organisationen existieren auch zahlreiche kleinere Service- Provider, die den Zahlungsverkehr über unterschiedliche Zahlungsmethoden für ihr individuelles Klientel abwickeln. Dies bedeutet für Käufer und Verkäufer, dass sie bei häufigen Geschäften mit denselben Partnern innerhalb desselben Trustbereichs durchaus sicher fahren, für Geschäfte mit unterschiedlichen Kunden und Partner, die nicht in einem gemeinsamen Trustcenter organisiert sind, bislang noch auf ihr Glück vertrauen müssen. Die Unterschrift per Handy Eher erschwerend für das Vertrauen in das epayment kommt hinzu, dass inzwischen ein neues Medium mit noch ungeklärten Sicherheitsstandards für den elektronischen Kauf und die dazugehörige Bezahlung heranreift, nämlich das Handy. Der Einkauf und die Bezahlung mit dem mobilen Telefon, ein aussichtsreiches Zukunftsgeschäft, zu dem die derzeit gebeutelte Handyindustrie, die Telekommunikationsprovider und natürlich zahlreiche Anbieter von käuflichem Content den mobilen Telekommunikationskunden verführen möchten, stecken derzeit noch in den Kinderschuhen. Denn die noch nicht einsatzbereiten Technologien GPRS und UMTS in Verbindung mit dem Handy und der WAP-Technologie sind für die Übertragung von Daten bisher nur sehr eingeschränkt verwendbar. Ein zusätzliches Sicherheitsloch stellt auch die Funkübertragung dar, die nur dann sicher ist, wenn Daten verschlüsselt werden. Nichtsdestotrotz stehen, in Anbetracht der Verbreitung des Handy, die Zukunftschancen für den M-Commerce gut, und wer bereits heute mit dem Handy einkaufen und bezahlen will, kann das, zumindest eingeschränkt, schon tun. Als Handytrust nimmt beispielweise Paybox die nötige Vermittlerrolle ein, wobei das Handy in diesem Fall weniger für die Bezahlung als zur Identifizierung des Kunden, als zusätzliches Sicherheitskriterium, eingesetzt wird. Mit Trust und Karte Eine für alle Seiten sichere Abwicklung von Zahlungsvorgängen im Internet ist derzeit zwar machbar, aber bisher noch umständlich und wenig flexibel. Doch mit der Anerkennung der digitalen Signatur als rechtlich eindeutige Unterschrift hat auch der Gesetzgeber dem epayment einen gewaltigen Impuls gegeben. Jetzt gilt es vor allem, den Kunden zu überzeugen und eine allgemeingültige Zertifizierungsbasis aufzubauen. Wichtigstes Zahlungsmittel auch für den Cyberspace dürfte die EC- oder Kreditkarte bleiben, denn sie ist weit verbreitet und mit den inzwischen recht billigen Kartenlesern leicht und überall einsetzbar. Und der standardisierte Einbau von Kartenlesern in den PC dürfte günstiger und schneller realisierbar sein als jede biometrische Schnittstelle. Bis die Zeit des Handy als Surfund Payment-Device gekommen ist, dürfte es noch etwas dauern, denn weder die aktuelle WAP-Technologie noch das Angebot für den mobilen Einkaufsbummel sind derzeit bereits überzeugend. Und nur wenn der Kunde direkt mit seinem Handy ins virtuelle Einkaufparadies gehen kann, wird er auch mobil bezahlen. Allein als Zahlungsmittel für Taxifahrten oder kleinere Online-Bestellungen, wie zum Beispiel für eine Taxifahrt, ist die Kreditkarte allemal gleichwertig, wenn nicht komfortabler und vor allem vertrauter.

4 Kasten 1: Zahlen mit dem Handy Der Payment-Provider Paybox regelt Sicherheit und Komfort von Online-Käufen über das Handy. Wer bei Paybox als Kunde registriert ist, kann die Abbuchung von Kosten für Einkäufe und Serviceleistungen mit seinem Handy und zugehöriger PIN signieren. Wir haben s ausprobiert. Auf der WebSite von Paybox ( wählen wir die Registrierung als Privatkunde. Neben Adresse, Handynummer und einer persönlichen Kennung müssen wir auch die indiskreten Fragen nach Beruf, Einkommen etc. beantworten, was verrät, dass eine Bank in diesem Fall die Deutsche hinter dem Serviceangebot steckt. Nach dem Absenden erhalten wir eine vorläufige PIN, als Vertrauensvorschuss des Providers ein Einkaufskapital von DM 50.- und als Sonderaktion einen Einkaufsgutschein von Calicado ( einen Geschenkgutschein-Anbieter. Wir schreiten sofort zur Tat und bestellen bei Calicado einen Einkaufsgutschein für den Münchner CD-Tempel WOM. Kaum haben wir unseren Kaufwunsch für den Gutschein im Einkaufwagen mit der Returntaste ausgesprochen klingelt das Handy und man klärt uns darüber auf, dass für das Kaufvergnügen jetzt die Rechnung fällig sei. Nach der Bestätigung mit der PIN ist der Kauf schon abgeschlossen und nach einem Tag hatten wir den Gutschein, bereits in der Hand bzw. im Briefkasten. Speed bewies Paybox auch bei der Abbuchung der Grundgebühr von jährlich 5 Euro und unserem ersten Kauf, nach 4 Tagen. Natürlich funktioniert Paybox nur für die Shops, die unter Paybox organisiert sind, doch das Angebot ist recht reichhaltig und vor allem die Taxifahrer in den deutschen Großstädten scheint das Paybox-System schon überzeugt zu haben. Kasten 2: Sicherheit und Diskretion Wer hundertprozentig jedes unkalkulierbare Risiko beim Einkauf im Internet vermeiden möchte, geht mit der Geldkarte zum Shoppen. An Ideen und Konzepten, die auf dem Geldkartensystem basieren, arbeitet man auch bei der Towitoko AG. Im Gespräch mit Tobias Wieler, einem der Vorstände, stellt sich schnell heraus, dass kein japanisches Unternehmen hinter dem Firmennamen steckt, der sich aus den Namenskürzeln der Gründungsmitglieder zusammensetzt. Towitoko bietet neben Wertkarten mit vorbezahltem Web-Content die entsprechenden Kartenleser sowie die nötige Software plus den Service für den Anbieter. Grundsätzlich ziele das Konzept auf Kunden, die nach Geschenken suchten oder regelmäßig bestimmte Informationen oder Waren mit geringem Einzelwert bezögen, erklärt Wieler. Wer beispielsweise als Online-Leser in unregelmäßigen Abständen ein Abo von Focus oder anderen Newspaper nutzen wolle, sei mit der Karte bestens bedient. Das Click- and Buy- System könne man von jedem PC mit Lesegerät aus nutzen, aber auch verschenken oder verleihen. Als Marketingkonzept strebt man bei Towitoko an, die Karte, ähnlich wie eine Telefonkarte, in Zusammenarbeit mit den entsprechenden Providern z. B über Kioske oder Zeitungsläden zu verkaufen. Gewiss ein Nischenprodukt, doch als risikoloses und unproblematisches Zahlungsmittel, das durch seine Anonymität auch die Diskretion bietet, die man für den Einkauf in manchen Shops durchaus zu schätzen weiß, ein Payment-Produkt mit Chancen.

5 Die Schlüssel für geheimen Code Derzeit nutzen weltweit zweihundert Millionen Menschen das Internet als Kommunikations-, Informations- und Transaktionsmedium. In Deutschland sind es bisher ca. 15 Millionen Menschen, die täglich vertrauliche und sensible Informationen ungeschützt und ungesichert im Netz verschicken. Datenspionage und Manipulation nehmen immer mehr zu und zählen zu den unkalkulierbaren Risiken des 21sten Jahrhunderts. Diesen Risikofaktor versprechen Trust Center mit kryptografischen Verfahren, wie digitalen Signaturen und Verschlüsselungen, nicht nur zu minimieren, sondern auszuschalten. Mit diesen Verfahren kann Vertraulichkeit, Authentizität und Verbindlichkeit der Kommunikation und damit auch des sicheren Zahlungsverkehrs im Internet erreicht werden. Zertifikate sind die Basis für den sicheren Austausch von Informationen, mit denen digitale Signaturen geprüft und verschlüsselte Nachrichten empfangen werden können. Mit den elektronischen Ausweisen ermöglichen es Trust Center dem Nutzer über offene und ungeschützte Netze zu kommunizieren und Daten vor unberechtigtem Zugriff und Veränderung zu schützen. Die Einsatzmöglichkeiten von Zertifikaten reichen von vertraulichen s über E-Commerce Anwendungen bis hin zu Anwendungen in geschlossenen Benutzergruppen, elektronischen Geldbörsen und Zahlungssystemen national sowie international. Von der Unterschrift zur Signatur In der Regel werden hierfür sogenannte Public-Key-Verfahren angewendet. Jeder Kommunikationsteilnehmer erhält ein asymmetrisches Schlüsselpaar, das aus einem privaten und einem öffentlichen Schlüssel besteht. Der private Schlüssel kann nur von seinem Besitzer genutzt werden und ist geheim. Der öffentliche Schlüssel ist für alle Kommunikationsteilnehmer zugänglich. Um die Unverfälschtheit der Daten zu garantieren, berechnet der Absender den Hashwert (komprimierte Prüfsumme der Nachricht). Aus Hashwert und geheimem Schlüssel ergibt sich die digitale Signatur. Vom Empfänger wird dieser Wert mit Hilfe des komplementären öffentlichen Schlüssels überprüft und bei Übereinstimmung kann er sicher sein, dass die Nachricht authentisch ist. Damit ein Nutzer die Gewissheit hat, den richtigen öffentlichen Schlüssel des Absenders zu verwenden, muss dieser in zertifizierter Form an den Empfänger der Nachricht übermittelt werden. Dieser virtuelle Identitätsausweis (Zertifikat) wird von einer vertrauenswürdigen zentralen Stelle dem Trust Center, bzw. der Zertifizierungsstelle für digitale Signaturen - ausgestellt. Hierzu wird die Identität der Nutzer auf verschiedene Sicherheitsstandards überprüft und im Verzeichnisdienst Public Key-Directory (PKD) gespeichert. Der Vorgang ist mit dem Ausstellen von Ausweisdokumenten vergleichbar und wird im Root PKD für alle Zeiten intern festgehalten. Im PKD kann der Status eines Zertifikates jederzeit abgefragt werden und auf die Möglichkeit einer Sperrung hin in der Revokation-List (RL)- auch Black List genannt -überprüft werden. Die Verwaltung der geheimen Schlüssel erfolgt in Form von verschlüsselten Dateien oder von Dateneinträgen in Hardwarekomponenten mit standardisierter Kartenanwendung den Smartcards. Diese werden vom Nutzer in ein Lesegerät des Computers gesteckt und durch Eingabe einer Geheimzahl freigeschaltet. Die wichtigsten Begriffe auf einen Blick (im KASTEN) MAC-Verfahren (Message Authentication Code) Das symetrisches Verschlüsselungsverfahren basiert auf einem secret key. Beim Datenaustausch im Internet verwenden beide Partner diesen gemeinsamen geheimen Schlüssel zum Signieren und Chiffrieren. Die Übermittlung des Schlüssels erfolgt auf alternativen Wegen.

6 SSL (Secure Sockets Layer Protokoll) Dieser Sicherheitsstandard verschlüsselt alle Daten zwischen einem Web-Browser und einem Web-Server. Er kann weder abgehört, noch verfälscht werden. SET (Secure Electronic Transaktion) Dieses Standardprotokoll entwickelten VISA und MasterCard gemeinsam mit führenden Technologie-Anbietern für die Datenübertragung bei Kreditkartenzahlungen im Internet. Es authentifiziert unter Verwendung von Zertifikaten aller an einer Transaktion beteiligten Parteien. CA (Certification Authority) Diesen Service stellen Institutionen, wie beispielsweise Trustcenter bereit, die öffentliche Schlüssel digital unterzeichnen. Die Händler schicken die öffentlichen Schlüssel über einen Web-Browser oder die Serversoftware an die CA. Diese wiederum empfiehlt und legitimiert die digitalen Zertifikate, die beispielsweise für SET-Transaktionen benötigt werden. Digitale Signatur Eine digitale Signatur dient als Unterschrift unter elektronischen Dokumenten. dadurch lässt sich sicherstellen, dass das Dokument auch tatsächlich von dem angegebenen Absender stammt und auf seinem Weg durch das Internet nicht verändert wurde. Vertrauen ist gut, Trusts sind besser Mehr als 60 Prozent der Nutzer des Online Shoppings erscheint die Sicherheit des Zahlungsverkehrs unzureichend. Sie empfinden insbesondere die Übertragung ihrer Kreditkartennummern als zu risikoreich und lassen mögliche Geschäfte daran scheitern. Ohne die Garantie für Vertraulichkeit und Sicherheit der elektronischen Datenübermittlung kann epayment weder im Unternehmens- noch im Privatbereich den Durchbruch schaffen. Nur durch digitale Signaturen und Verschlüsselung kann die Sicherheit mit konkreten Rahmenbedingungen der Gesetzgebung geschaffen werden, die eine zeitgemäße Geschäftsabwicklung benötigt. Die Banken Die Mittler, die für Käufer und Verkäufer bürgen sollen, sind Payment-Provider oder sogenannte Trusts, hinter denen in der Regel die Banken stecken. Trust Center sind Organisationen, die über eine Hochsicherheits-Infrastruktur verfügen, die durch Begutachtung nach dem europäischen Kriterienwerk IT-SEC, das sich auf alle Sicherheitsmassnahmen für die Einrichtung eines Trust Centers erstreckt, nachgewiesen werden muss. Eines der führenden Unternehmen im Bereich Internet-Sicherheit, die TC TrustCenter GmbH, ist eine gemeinsame Einrichtung der vier größten deutschen Privatbanken, der Commerzbank, der Deutschen Bank, der Dresdner Bank und der HypoVereinsbank, die mit jeweils 25 Prozent beteiligt sind. Ein Jahr nach der Gründung im Juli 1997 als TC TrustCenter for Security in Data Networks GmbH, mit dem Ziel Sicherheit für jeden Internet-Teilnehmer zugänglich zu machen, übernahm die Commerzbank AG die Mehrheitsanteile. Seit 1999 wird die TC TrustCenter GmbH von den vier größten Privatbanken gemeinsam geführt. TC TrustCenter übernimmt für die Banken die Aufgabe einer Zertifizierungsinstanz in einer weltweiten Zertifizierungsarchitektur. Im Herbst 2000 ging TC TrustCenter für elektronische Finanztransaktionen eine Kooperation mit Kyberpass Corp./Kanada - einem weiteren führenden Internet-Sicherheitsdienstleister - ein. Das Potential der Kyberpass-Lösungen unterstützt den schnellen Zugriff auf das Identrus-System.

7 Die Standards Den Standardisierungsprozess im Zertifikatsgeschäft unterstützt TC TrustCenter mit seiner Zusammenarbeit mit Identrus. Die international tätige Gesellschaft, zu deren Gründungsmitgliedern die Deutsche Bank und die HypoVereinsbank gehören, ist gerade in Begriff, eine weltweite Zertifizierungsarchitektur aufzubauen. Durch Identrus wird nicht nur Sicherheit bei digitalen Bankgeschäften, sondern auch eine sichere Infrastruktur für jegliche Art von E-Business-Transaktionen geboten. TC TrustCenter bietet mit dem Produkt TC QuickStart sämtlichen Identrus-Mitgliedern sowie Finanzdienstleistungsunternehmen die Möglichkeit, die Voraussetzung für eine Identrus-Infrastruktur zu schaffen. Das Ziel von Identrus sind global einheitliche Richtlinien für die Gewährung eines internationalen Sicherheitsstandards für B2B E-Commerce. Ebenfalls einen Standard für die digitale Signatur in Verbindung mit dem Handy versucht das Mobile Electronic Signature Consortium zu entwickeln, dem auch das TC TrustCenter im Februar 2000 beitrat. Mit diesem Standard soll das Einkaufen per Handy, der mobile Aktienhandel und andere Bankgeschäfte verschlüsselt und damit sicher und manipulationsfrei möglich werden. Das Electronic Signature Consortium wurde von Brokat, Siemens, Viag Intercom, E-Plus, Mannesmann Mobilfunk, Schlumberger, Gemplus, T-Telesec, Trust Center und Cryptovision gegründet. Anfang 2000 haben sich noch HypoVereinsbank, D-Trust, Orga Kartensysteme, Sonera und TC TrustCenter mit beteiligt und gemeinsam nach den ersten Pilotanwendungen den Realbetrieb gestartet. SET nennt sich ein weiterer Standard, dessen Etablierung das Trust Center Sparkassen Internet Treuhand Transaktion (S-ITT), das 1998 in Münster gegründet wurde, forciert. S-ITT setzt seinen Schwerpunkt auf die treuhänderische Überwachung des Waren- und Geldflusses von Handelspartnern. Bei höheren Beträgen ist der Service des neutralen Treuhänders ein durchaus bedenkenswertes, wenn auch von Käufer und Verkäufer mit einem Prozent des Treuhandbetrages zu bezahlendes Angebot. Insbesondere durch die Verbindung mit dem Standard SET hat S-ITT in kurzer Zeit einen beachtlichen Bekanntheitsgrad erreicht. Auf Basis des von Mastercard und VISA in Zusammenarbeit mit IBM entwickelten Sicherheitsstandards Secure Electronic Transaction (SET) will der Trust mit Hilfe elektronischer Ausweise das sichere Bezahlen mit Kreditkarte im Internet ermöglichen. Da Banken einen ähnlich hohen Anspruch an Sicherheitsstandards wie Kreditkartenorganisationen haben, sind an diesem Trust Center Euro Kartensysteme, Eurocard und Eurocheck GmbH sowie die Bayerische Landesbank beteiligt. Die Konkurrenz Bereits seit 1994 betreibt auch der Produktbereich T-TeleSec der Deutschen Telekom AG ein Trust-Center. In dem 1996 nach ISO 9002 zertifizierten Unternehmen unterliegen Mitarbeiter, Gebäude und Technik ebenfalls besonderen Sicherheitsanforderungen. Im Dezember 98 erteilte die Regulierungsbehörde Telekommunikation und Post der Deutschen Telekom AG die Erlaubnis zum Betrieb einer Zertifizierungsinstanz nach dem Signaturgesetz. Und kaum zu glauben - aber auch die Deutsche Post zeigt sich diesmal auch auf der Höhe der Zeit. Sie eröffnete in Darmstadt ein Trust Center und bietet in Kooperation mit der Softwarekette VOBIS Network ihren Kunden ebenfalls digitale Signaturen an. Gemeinsam mit dem debis Systemhaus versorgt dieses Trust Center auch Notare mit der nötigen Sicherheit beim Transport ihrer sensiblen Daten. Im Kasten (Interview): Payment Providing von InterCard Mit 4 Milliarden Fremdumsätzen und mit der Betreuung von Kassenplätzen ist die InterCard AG der größte unabhängige Zahlungsdienstanbieter in Deutschland. Die Intercard-

8 Gruppe, zu der auch die kleine, aber exquisite Telefongesellschaft telego! gehört, sieht ihren Schwerpunkt am physischen und virtuellen Point of Sale, d.h. dem Kassenplatz im Ladengeschäft oder einem InternetShop. Dabei konzentriert sich InterCard auf das Elektronische Lastschriftverfahren (ELV), also die Bezahlung mit der EC-Karte, erklärt Manfred Wolff, geschäftsführender Gesellschafter der Clearing GmbH, mit dem wir gesprochen haben. Wie organisieren Sie die Verrechnung EDV-technisch? Wir verfügen über ein eigenes Rechenzentrum und Zahlungsnetz, an das unsere Kunden aus Einzelhandel, Hotel & Gastronomie, Apotheken, usw. angeschlossen sind. Was hat der Händler von der outgesourcten Payment-Dienstleistung? Neben der Zahlungsorganisation selbst bieten wir unseren Kunden Serviceleistungen rund um die Bezahlung bzw. Nicht-Bezahlung. Dazu zählt beispielsweise der gesamte Rücklastschrift-Service mit zugehörigem außergerichtlichen Mahnwesen, den wir als outgesourcte Serviceleistung sogar für eine bekannte Bankorganisation abwickeln. Daneben führen wir auch eine Sperrliste für gestohlene oder betrügerisch verwendete EC-Karten, so dass der Händler weitgehend sicher sein kann, dass seine Waren auch bezahlt werden. Können Sie auf Basis der Zahlungen das Kundenverhalten auswerten? Wir können nur generelle, statistische Auswertungen machen wie beispielsweise, wann an einem Kassenplatz der höchste Traffic herrscht oder wie sich die Zahlungsmoral regional verteilt. Auf die persönlichen, namensbezogenen Daten des einzelnen Kunden oder sein Einkaufsverhalten können wir nicht zugreifen. Werden Sie in Zukunft neben dem ELV noch andere Zahlungsmöglichkeiten anbieten? Unser Schwerpunkt wird das Elektronische Lastschriftverfahren bleiben. Es ist das derzeit günstigste Bezahlverfahren im Internet. Aber wir beobachten natürlich den Markt und werden Chancen, die sich anbieten, auch wahrnehmen. So arbeiten wir im Arbeitskreis epayment mit anderen zahlreichen Unternehmen wie Wirecard, Transact, Gieseke&Devrient, ViagInterkom, und Universitätslehrstühlen sowie Banken formlos zusammen, um Ideen auszutauschen und sich gegenseitig zu informieren. Statement von Robert Rippel Leiter des strategischen Schwerpunkts ebusiness der BLB Zertifizierung, elektronische Signatur und Verschlüsselung sind besonders für Banken äußerst wichtige Themen. Sie werden obwohl noch nicht allgemein bekannt - europaweit bereits häufig angewandt und werden künftig ebenso selbstverständlich sein wie das Internet. Bedauerlicherweise existiert derzeit kein gemeinsamer europaweiter Standard. Hierfür müssen als Voraussetzung noch einheitliche Gesetzliche Rahmenbedingungen geschaffen werden. Statement von Melanie Krahl, Pressesprecherin der TC TrustCenter GmbH, Hamburg

9 E-Business kann erst dann erfolgreich sein, wenn die Kommunikation im Internet sicher wird. Viele Anbieter sind sich nicht im klaren, dass unverschlüsselte Daten im Internet jederzeit abgefangen und manipuliert werden können. Damit die Sensibilität in diesem Bereich gesteigert wird, bedarf es noch einiger Aufklärungsarbeit. Die Europäischen Signaturrichtlinie hat sich zum Ziel gesetzt, für den Aufbau von Trustcentern allgemeingültige Standards und Sicherheitsvorschriften festzusetzen. Dadurch soll künftig europaweit der technische Anspruch an eine Zertifizierungsinstanz einheitlichen Vorgaben unterliegen. Diese Standards liegen allerdings unter denen des gerade verabschiedeten deutschen Signaturgesetzes.