Beitrag zur Konferenz Die Sicherheit der Zahlungen im Binnenmarkt am in Brüssel

Transkript

1 Dr.Gerhard Schmid,MdEP Vizepräsident des Europäischen Parlaments Beitrag zur Konferenz Die Sicherheit der Zahlungen im Binnenmarkt am in Brüssel Anrede! Ich bedanke mich für die Einladung, hier sprechen zu dürfen. Der guten Ordnung halber will ich anmerken, dass die von mir vorgetragenen Positionen teilweise über das hinausgehen, was das Parlament vor einiger Zeit in diesem Zusammenhang beschlossen hat und von mir allein zu verantworten sind. Die Tagung hat zum einen mit der Frage zu tun, inwieweit Verbraucher Sicherheit von Zahlungsmitteln erwarten und ob aus der Sicht des Verbraucherschutzes ein Grundstandard an Sicherheit gewährleistet sein muss. Neben der Beziehung zwischen Händler und Verbraucher gibt es aber einen weiteren Zusammenhang, der für unsere Zivilgesellschaft wichtig ist. I. Was ist Organisierte Kriminalität? Deshalb werde ich zunächst einige Bemerkungen zur Organisierten Kriminalität machen und sie werden sehr schnell sehen, warum das hier sinnvoll ist. Viele glauben ja, es handele sich bei Organisierter Kriminalität stets um sehr schwere Verbrechen. Das ist falsch! Organisierte Kriminalität ist die von Gewinnstreben bestimmte planmäßige Begehung von Straftaten wobei mehrere Beteiligte auf längere Dauer arbeitsteilig unter Verwendung gewerblicher oder geschäftsähnlicher Strukturen zusammenwirken. Wir reden also über die Fortsetzung von Unternehmertum mit illegalen Mitteln. Die Fälschung von und der Betrug mit Zahlungsmitteln ist neben Drogen- und Menschenhandel einer der weiteren erfolgreich ausgeübten Erwerbzweige der Organisierten Kriminalität. Die aus der kriminellen Tätigkeit erzielten Gewinne werden nach Geldwäscheoperationen in Unternehmen rückgeschleust, die im normalen Wirtschaftskreislauf tätig sind. Die mit Geldern kriminellen Ursprungs ausgestatteten Unternehmen können ohne Probleme Preise unterbieten und normale Unternehmen vom Markt verdrängen. Dies trifft das Wirtschaftssystem ins Mark. Das vom Organisierten Verbrechen angehäufte Kapital bietet zudem immense Möglichkeiten für Bestechung und Korruption. Die Emittenten von Bargeld, also die Zentralbanken, haben ein uneingeschränktes Interesse an möglichst fälschungssicheren Banknoten. Verlören die Bürger das Vertrauen in die Echtheit des Geldes, dann würde es sofort seine Funktion im Wirtschaftskreislauf verlieren. Kosten spielen deshalb bei der Gewährleistung von Fälschungssicherheit bei Banknoten nur eine nachgeordnete Rolle. Die Anbieter von bargeldlosen Zahlungsmitteln sind Wirtschaftsunternehmen und vergleichen deshalb die Kosten für mehr Sicherheit mit dem möglichen Schaden, der für sie ohne solche Maßnahmen entsteht. Ihr Handeln bestimmt sich nach den Ergebnissen einer betriebswirtschaftlich angestellten Kosten-Nutzen-Rechnung und nicht entlang den gesellschaftlichen Erfordernissen der Bekämpfung von Organisierter Kriminalität Deshalb kann nicht davon ausgegangen werden, dass die Anbieter von bargeldlosen Zahlungsmitteln automatisch alles unternehmen, um den Zahlungsmittelmissbrauch optimal einzudämmen.

2 2 II. Klassisches Bargeld Klassisches Bargeld ist nicht das zentrale Thema der Tagung, trotzdem möchte ich, weil die Zentralbank hier vertreten ist, zwei Probleme ansprechen: 1. Mangelnde Kenntnis der fälschungssicheren Merkmale Jede Banknote hat fälschungssichere Merkmale und der Euro hat diesbezüglich einen hohen Sicherheitsstandard. Solange sich aber nur Experten damit auskennen, wird Falschgeld angenommen, weitergereicht und erst bei der Einlieferung in die Zweigstellen der Zentralbanken von den Zählmaschinen automatisch erkannt und aussortiert. Da besteht massiv Aufklärungsbedarf! 2. Das Pech gehabt Prinzip muss aufgegeben werden Jeder, der Falschgeld unwissentlich angenommen hat, es erkennt und es meldet, hat Pech gehabt. Er bekommt es nicht umgetauscht und muss den Verlust tragen. Warum also sollte er es melden statt zu versuchen, den Schein wieder loszuwerden? Mit der modernen Datenverarbeitung könnte man heute systematische Falschgeldeinreicher erfassen es gibt keinen logischen Grund mehr für die geltenden Regelungen. III. Kartenzahlungssysteme 1. Geldautomatenkarten Zur Versorgung der Kunden mit Bargeld außerhalb der Geschäftszeiten betreiben die Banken Geldautomaten. Zum Abheben muss eine Geheimnummer (PIN) eingegeben werden, die den Karteninhaber als Berechtigten ausweist ein hoher Sicherheitsstandard! Trotzdem gibt es aus meiner Sicht auch hier Nachbesserungsbedarf: Bei Benutzung des Geldautomaten wird aus den Daten auf dem Magnetstreifen mit einem Verschlüsselverfahren die PIN errechnet und mit der über die Tastatur eingegebenen PIN verglichen. Das verwendete Verschlüsselverfahren TripelDES entspricht nicht mehr dem neuesten Kryptostandard und sollte von Rijndael abgelöst werden. Es kann technisch vom Automaten einfach abgeprüft werden, ob es sich um echte Geldautomatenkarte oder um eine beliebige Karte mit Magnetstreifen handelt, auf den die Daten einer echten Karte kopiert wurden. Diese Prüfung ist derzeit nur in einem EU-Mitgliedsstaat als Standard eingeführt. Das ist weniger ein Problem der Betrugsbekämpfung, als ein ernstes praktisches Problem bei Erpressungen in Verbindung mit Geiselnahmen. Ich bitte um Verständnis, dass ich die Details in einer öffentlichen Veranstaltung nicht darlegen möchte. 2. Kreditkarten Kreditkartenkriminalität umfasst ein breites Spektrum: missbräuchliche Verwendung gestohlener Karten Änderung der geprägten Daten auf einer Karte, Änderung der Daten auf dem Magnetstreifen,

3 3 Benutzung von Plastikkartenrohlingen um in Zusammenarbeit mit kriminellen Händlern die Funktion einer Kreditkarte zu imitieren ( white plastics ) Totalfälschungen. Eine konsequente Eindämmung der Kreditkartenkriminalität würde Maßnahmen erfordern, die erfahrungsgemäß der Markt von sich aus nicht einführt. Ohne mich in die Details zu verlieren, will ich beispielhaft zwei Anforderungen an mehr Sicherheit darstellen, die auf der Hand liegen: derzeit hat jede Kreditkarte ihre eigenen Fälschungssicherheitsmerkmale und ihren eigenen Sicherheitsstandard. Damit sind Händler, die Fälschungen erkennen sollen, völlig überfordert. Wir brauchen wie bei Banknoten eine Standardisierung der Sicherheitsmerkmale und einen zwingend vorgeschriebenen Mindeststandard an Sicherheit. Andere Kreditkarten sollten zur Verwendung im Binnenmarkt nicht zugelassen werden. Im Gegensatz zu Bargeld, das als Zahlungsmittel nicht an eine Person gebunden ist, sind Kreditkarten persönliche Zahlungsmittel. Die Bindung an die Person erfolgt in der Regel durch die Unterschrift eine sehr fälschungsanfällige Methode. Ein Foto des Karteninhabers auf der Karte erhöht die Sicherheit, löst das Problem aber nur begrenzt. Wir brauchen eine Politik, die Chipkarte und PIN zu Regel und die Unterschrift zur Ausnahme macht. Die baldige Einführung von Kreditkarten mit einem Chip nach EMV-Standard durch Eurocard, Mastercard und Visa ist eine wichtige Voraussetzung dafür. Solange dies aber nur wegen der Sicherheit von Zahlungen im Internet geschieht, wird eine wichtige Chance für mehr Sicherheit beim allgemeinen Gebrauch von Kreditkarten vertan. Deshalb muss parallel die Einführung des PIN-Verfahrens mit Kleinstterminals beim Händler, Hotelier, Tankstellenbesitzern etc. vorangetrieben werden. Das Beispiel der Carte Bleue in Frankreich zeigt, das der Markt dies angesichts einer entschlossenen Politik akzeptiert. IV. Elektronische Zahlungssysteme Diesen Zahlungssystemen ist gemeinsam, dass Kunde und Anbieter räumlich getrennt und über ein elektronisches Netz in Verbindung stehen. Daraus leiten sich drei fundamentale Anforderungen an einen Sicherheitsstandard ab: Die Identität des Kunden muss zweifelsfrei sein Die Identität des Verkäufers/der Bank muss zweifelsfrei sein Die Kommunikation muss mit geschützt und authentisch sein. Ein Sicherheitsstandard sollte dagegen nicht festschreiben, wie dies im Detail verwirklich wird, weil das Marktkräfte bremst. Daneben muss aber ein weiteres grundlegendes Problem gelöst werden. In Europa besteht eine weitgehende Abhängigkeit von einem Betriebssystemanbieter. Diese Abhängigkeit ist problematisch, weil mangelnder Wettbewerb die Herausbildung von Software mit besseren Sicherheitseigenschaften behindert. Die Tatsache, dass Software fehlerbehaftet und mit Sicherheitslücken für teueres Geld an Verbraucher verkauft werden kann, ist nicht nur Ausdruck eines unzureichenden Haftungsrechts, sondern auch Ergebnis eines unzureichenden Wettbewerbs. Betriebssysteme nehmen hinsichtlich der Sicherheit eine Sonderstellung ein, weil sie die Hardwareressourcen des Rechners verwalten. Das Betriebssystem hat

4 4 zweckbedingt jederzeit Zugriff auf den Prozessor, den Hauptspeicher und die Peripherie. Sicherheitsprobleme des Betriebssystems sind deshalb nicht durch Gegenmaßnahmen in der Anwendersoftware aufzufangen. Vielmehr muss mit geeigneten Instrumenten die Markteinführung sicherer Betriebssystems angestrebt werden. A. Geschlossenes Netz: Intranet Homebanking über den Anbieter eines direkt über das Telefonnetz anwählbaren Videotextdienstes weist fast alle Sicherheitsmerkmale eines Intranets auf. Die Identität der Bank ist sicher, der Kunde weist sich mit einer Zugangsnummer PIN aus und unterschreibt Transaktionen mit einer nur einmal zu verwendenden Transaktionsnummer TAN. Alle bisher bekannt gewordenen Missbrauchsfälle beruhen auf Leichtfertigkeit des Kunden(z.B. Speicherung von PIN und TANs auf der Festplatte) und nicht auf einem systematischen Sicherheitsleck. Die Beratung des Kunden in Sicherheitsfragen ist allerdings oft verbesserungsbedürftig B. Offenes Netz: Internet Erhebliche Probleme gibt es dagegen bisher bei Finanztransaktionen über das Internet. 1.Verwendung von Kreditkarten im Internet Bezahlt wird meist durch Angabe der Kreditkartennummer und des Gültigkeitsdatums der Karte. Der Verkäufer kann die Daten online bei der Kartenorganisation autorisieren lassen und den Betrag abbuchen, bevor er die Ware liefert. Da es keine verbindlichen Sicherheitsmaßnahmen gibt, können sowohl Verkäufer als auch Käufer diese Technik betrügerisch einsetzen. Aus den Abfallbehältern von Geschäften und Restaurants lassen sich Kartenbelege fischen, im Internet sind Programme abrufbar, die Kreditkartennummern berechen und Hacker bieten aus Datenbanken gestohlene Kreditkartennummern offen im Netz an. Verkäufer können die erhalten Kreditkartendaten missbrauchen und Betrüger können Angebote von Scheinfirmen im Web platzieren, um Kreditkartendaten zu erlangen. Ein verbindlicher Sicherheitsstandard ist deshalb dringend erforderlich. 2. Internetbanking Bank und Kunde müssen sicher sein, dass das Gegenüber wirklich das ist, wofür es sich elektronisch ausgibt. Kunden müssen sich deshalb normalerweise mit einer PIN oder mit einer Chipkarte ausweisen, Umgekehrt könnten Kriminelle die WEB- Seite einer Bank im Internet kopieren und Geschäftsverkehr dorthin umleiten. Da das Internet wesentlich mehr Angriffsmöglichkeiten bietet als ein geschlossenes Videotextnetz, müssen aber zusätzlich Maßnahmen ergriffen werden, um die Kommunikation mit Verschlüsselung abzusichern. Meist wird dafür das in den Browsern ohnehin integrierte SSL-Protokoll eingesetzt. Beim Einsatz von SSL muss der Kunde selbst sehr viele Parameter kennen und bewerten können, die ihm die Bank auf ihren Internetseiten kaum zugänglich macht. Deshalb sollte für das Internetbanking HBCI mit einer Chipkartenlösung vorgeschrieben werden. 3. Elektronische Bargeld (Cyber Cash)

5 5 Elektronisches Bargeld (Cyber Cash) ist ein neues elektronisches Zahlungsmittel zur Verwendung im Internet. Es besteht aus digitalen Münzen und Scheinen, die für reales Geld bei einer Bank gekauft und auf dem Rechner gespeichert werden. Bei einem Kauf wird das digitale Geld vom Rechner des Käufers auf den Rechner des Verkäufers verschlüsselt übertragen. Dieser kann nach Entschlüsselung das digitale Bargeld bei der Bank wieder in reales Geld umtauschen. Der Handel mit digitalem Bargeld erfolgt anonym, weder die Bank noch der Verkäufer kennen die Identität des Käufers. Gegenüber der Bezahlung mit Kreditkartendaten ist digitales Bargeld erheblich sicherer. Digitales Bargeld ist gegen Manipulationen geschützt, alle Transaktionen finden verschlüsselt statt. Die Kunden sind vor betrügerischen Anbietern besser geschützt, weil Verkäufer, die digitales Geld entgegennehmen und zurücktauschen wollen, sich bei der Bank anmelden müssen. Die Anbieter sind vor Betrug geschützt, weil digitales Geld stets durch reales Geld gedeckt ist. Bisher wird elektronisches Bargeld nur in Modellversuchen verwendet, Betrugsfälle sind noch nicht bekannt. VI. Problem: Asymmetrische Verschlüsselung Bei allen auf dem Internet basierenden Zahlungsverfahren Unterschrift spielt die Verschlüsselung von Daten eine zentrale Rolle; dabei und bei der digitalen Unterschrift ist der Einsatz von asymmetrischer Verschlüsselung unverzichtbar. Sie beruht darauf, dass bestimmte mathematische Operationen mit der bisher bekannten Mathematik nicht umkehrbar sind. So beruht das sogenannte RSA-Verfahren darauf, dass sich das Produkt zweier großer Primzahlen leicht berechnen lässt, die Zerlegung der Ergebniszahl zurück in die zwei Faktoren aber derzeit praktisch unmöglich ist. Ein anderes Verfahren beruht darauf, dass der diskrete Logarithmus nicht zu berechnen ist. Allen diesen sogenannten Einwegfunktionen ist eines gemeinsam: ihre Einwegeigenschaft ist nicht prinzipiell mathematisch bewiesen sondern derzeit kann lediglich niemand das Problem lösen. Das kann noch sehr lange so bleiben, das kann aber über Nacht anders sein, wenn ein Mathematiker eine Lösung findet. Deshalb sollten Implementierungen von Einwegfunktionen redundant ausgelegt sein, damit sofort auf die Verwendung einer anderen Einwegfunktion umgestellt werden kann.