1 Kapitel 1 - Technische und zivilrechtliche Grundlagen

Transkript

1

2 1 Kapitel 1 - Technische und zivilrechtliche Grundlagen 1.1 Technische Grundlagen und Verfahrensweisen Für die Beurteilung der Manipulationen im bargeldlosen Zahlungsverkehr sowie des Vertragsabschlusses im Internet sind zunächst der Ablauf der einzelnen bargeldlosen Zahlungsverkehrssysteme darzustellen sowie die technischen Verfahrensweisen zu erläutern. Es werden im Folgenden sowohl weit verbreitete Zahlungsverkehrssysteme, die für die strafrechtliche Diskussion interessant sind, als auch weniger weit verbreitete Systeme dargestellt, die bislang keine bzw. kaum wirtschaftliche Bedeutung erlangt haben. Elektronische Zahlungsverkehrssysteme und die Nutzung des Internets zur Anbahnung und Abwicklung von Verträgen basieren auf verschiedenen Sicherungsmechanismen, die zur Akzeptanz des internetbasierten, technischen Verfahrens in der Bevölkerung führen. Ohne Sicherungsmechanismus werden elektronische Zahlungssysteme von einem breiten Nutzerkreis nicht akzeptiert. Zur Sicherung werden häufig folgende Verfahren, variierend für das einzelne Zahlungsverkehrssystem oder die Durchführung des Vertrages im Internet, eingesetzt: Verwendung kryptographisch gesicherter Zertifikate zur Identifikation des Zahlenden, Einsatz erkennbar zertifizierter Endgeräte, Verwendung von Qualitätsstandards während der Entwicklung, genormte Schnittstellen für die Integration von Kryptofunktionen, keine Speicherung personenbezogener Daten, Verwendung von Pseudonymen zur Kontoführung, Backup-Konzepte bei Verlust. 22 Die Abwicklung des Zahlungsverkehrs befindet sich seit 1960 in einem Automatisierungsprozess, der sich in verschiedene Abschnitte einteilen lässt. Zunächst wurde die Informationserfassung aus den Belegen automatisiert, indem ein einheitliches Bankleitzahlsystem geschaffen und einheitliche Zahlungsverkehrsvordrucke zur maschinellen Einlesung und Sortierung entworfen wurden. 23 Diese Phase kann mit dem Jahr 1970 als beendet betrachtet werden. 22 Bundesamt für Sicherheit in der Informationstechnik, Studie, S. 7, Bundesamt für Sicherheit in der Informationstechnik, Studie, S. 39; Möschel, AcP Bd. 186 (1986),

3 Neben dem beleghaften Zahlungsverkehr wurde der beleglose Datenträgeraustausch eingeführt. Zahlungsaufträge können seitdem in elektronischer Form bei der Bank eingereicht werden. 24 Damit war zwar die Übermittlung der Zahlungsaufträge an die Bank automatisiert, nicht aber deren Verarbeitung. Die elektronische Verarbeitung setzte im Jahr 1980 als Phase des Elektronischen Zahlungsverkehrs ein. 25 Die maschinelle Vollerfassung wurde durch ein Schriftlesesystem ermöglicht, welches eine Codierung der Daten vom Urbeleg vornimmt. 26 Grundlegend für die Datencodierung ist der Elektronische Zahlungsverkehr für individuelle Überweisungen (EZÜ). 27 Die Kreditwirtschaft einigte sich 1988 auf einen institutsneutralen Überweisungsschein für den EZÜ. 28 Von der Belegverarbeitung unabhängig wurden kartenbasierte Zahlungsverfahren entwickelt. Bereits im Jahr 1968 wurde die eurocheque-karte (ec-karte) eingeführt, welche die Grundlage für die nächste Phase des elektronischen Zahlungsverkehrs darstellte. 29 Mit der ec-karte wurde die kartengesteuerte Selbstbedienung, wie bspw. das Abheben von Geld am Geldautomaten, ermöglicht. Die ec-karte ermöglichte zunächst jedoch nur Zahlungsvorgänge im Kreditgewerbe wurde die Rahmenvereinbarung über die Abwicklung bargeldloser Zahlungen an automatisierten Kassen von Handels- und Dienstleistungsunternehmen mit institutsübergreifender Nutzung abschlossen, so dass fortan innerhalb von Deutschland Zahlungen im POS möglich waren. 30 Das Electronic Banking als software-basierter Zahlungsverkehr findet seit 1985 Anwendung in Deutschland. 31 Seit dem Jahr 1990 wurden die Kartensysteme schließlich zu einem multifunktionalen, elektronischen Bezahlsystem außerhalb des Kreditsystems erweitert Bundesamt für Sicherheit in der Informationstechnik, Studie, S Bundesamt für Sicherheit in der Informationstechnik, Studie, S Bundesamt für Sicherheit in der Informationstechnik, Studie, S. 40; Kümpel/Wittig/Werner, Bank- und Kapitalmarktrecht, Rn Das ursprüngliche Abkommen ist abgedruckt in WM 1990, 787 ff. Das Abkommen ist nunmehr in das Abkommen zum Überweisungsverkehr integriert, welches in Schimansky/Bunte/Lwowski, Bankrechts-Handbuch, Anhang zu 52-55, Nr. 3 abgedruckt ist. 28 Bundesamt für Sicherheit in der Informationstechnik, Studie, S. 40; Schimansky/Bunte/Lwowski/Mayen, Bankrechts-Handbuch, 48 Rn Bundesamt für Sicherheit in der Informationstechnik, Studie, S. 40; Damrau, BB 1969, 199; Hübner, JZ 1973, 408; Otto, Bankentätigkeit, S Yoo, Codekartenmißbrauch, S Bundesamt für Sicherheit in der Informationstechnik, Studie, S. 46; Möschel, AcP Bd. 186 (1986), Bundesamt für Sicherheit in der Informationstechnik, Studie, S

4 Im Folgenden werden die technischen Verfahren im Einzelnen erläutert Das Online-Konto Verschiedene Bankgeschäfte können mittlerweile online durchgeführt werden. Die Kreditinstitute bieten verschiedene Produktpaletten an. Die Anzahl der online geführten Privatkonten betrug im Jahr 2002 bereits ca. 12 Millionen. 33 Regelmäßig können der Kontostand abgefragt, Überweisungen vorgenommen, Daueraufträge eingerichtet oder Börsengeschäfte online getätigt werden. Seltener ist es möglich, einen Kredit online zu beantragen. Es ist zwischen dem Online-Banking in geschlossenen Netzen und dem Banking in offenen Netzen (Homebanking) zu unterscheiden Online-Banking Beim Online-Banking schließt der Kunde mit einem Netzbetreiber, bspw. T-Online, einen Vertrag und erhält eine User-ID. Mit der Bank muss der Kunde eine Online-Vereinbarung treffen. Der Kunde erhält dann Zugriff auf die Datenverarbeitungsanlage des Kreditinstituts. 34 Der Zugang wird bspw. bei T-Online durch Eingabe einer zwölfstelligen Anschlusskennung und eines Passwortes eröffnet. 35 Zusätzlich wird ein spezieller Decoder verwandt. Das Online-Banking birgt kundenspezifische Risiken auch für das Kreditinstitut. Daher hat kein Bankkunde einen Anspruch auf Zulassung zum Online-Banking. 36 Das Online-Banking stellt die Fortentwicklung des BTX-Systems dar. 37 Der Kontoinhaber kann Weisungen an sein Kreditinstitut direkt in die Datenverarbeitungsanlage des Instituts eingeben oder in dessen elektronischen Briefkasten ablegen. Erfolgt der Vertragsabschluss für das Online-Konto selbst online, so wird die notwendige Identifikation des Kontoinhabers über das PostIdent- Verfahren abgewickelt. Dieses PostIdent-Verfahren entspricht dabei den Anforderungen des 154 AO Langenbucher/Gößmann/Werner/Koch/Vogel, Zahlungsverkehr, 4 Rn Langenbucher/Gößmann/Werner/Koch/Vogel, Zahlungsverkehr, 4 Rn Langenbucher/Gößmann/Werner/Koch/Vogel, Zahlungsverkehr, 4 Rn Langenbucher/Gößmann/Werner, Zahlungsverkehr, 5 Rn Schwarz/Peschel-Mehner/Werner, Recht im Internet, 2 A 2.2 Rn Langenbucher/Gößmann/Werner/Koch/Vogel, Zahlungsverkehr, 4 Rn. 119; Rottenburg, WM 1997, Zu den Möglichkeiten, einen Vertrag mit einem Kreditinstitut allein über das Internet abzuschließen vgl. Schönborn, Bankhaftung, S

5 Homebanking Beim Homebanking 39 ist kein Vertrag mit einem Provider notwendig. Der Kunde muss mit seinem Kreditinstitut eine Homebanking-Abrede abschließen. Der Kontoinhaber erlangt dann den Zugriff auf sein Konto in einem offenen Netzwerk, welches gegenüber dem beim Online-Banking genutzten geschlossenen Netz größere Sicherheitsprobleme aufwirft. 40 Die Daten werden verschlüsselt übertragen. Als Sicherungssystem ist Secure Socket Layer (SSL) verbreitet im Einsatz. SSL stellt ein Protokoll dar und ist standardmäßig in allen WWW- Browsern enthalten. 41 SSL wird mit verschiedenen Schlüssellängen angeboten, für den elektronischen Zahlungsverkehr werden jedoch nur Schlüssellängen von 128 BIT eingesetzt Das Authorisierungsverfahren mittels PIN und TAN Der Zugang zum Konto erfolgt sowohl beim Online-Banking als auch beim Homebanking unter Eingabe der Kontonummer oder einer gesonderten Zugangsnummer. Diese Eingabe muss sodann mittels einer mehrstelligen PIN autorisiert werden. 43 Ist die Autorisierung erfolgreich durchgeführt worden, sind in der Regel Kontostandsabfragen, Umsatzabfragen und andere Informationsdienste zum konkreten Konto abrufbar. Transaktionen wie Überweisungen müssen zusätzlich durch Eingabe einer TAN (Transaktionsnummer) autorisiert werden. Jede TAN kann nur einmal benutzt werden. Die TAN ist im Gegensatz zur PIN auf dem Bildschirm meist sichtbar und kann vom Kunden zur Änderung der PIN genutzt werden. Die Informationsübermittlung zwischen Bankkunde und Kreditinstitut sowie die Datenverarbeitung erfolgen im Rahmen des Online-Kontos automatisch ohne Einschaltung eines Bankmitarbeiters. Aufgrund der Kommunikation über ein offenes Netz beim Homebanking besteht das Risiko, dass PIN und TAN erlauscht werden. Zur Verringerung dieser Risiken wurde der HBCI-Standard entworfen. 39 Das Homebanking wird häufig ungenau ebenfalls als Online-Banking bezeichnet. 40 Bundesamt für Sicherheit in der Informationstechnik, Studie, S. 4 f. 41 Bundesamt für Sicherheit in der Informationstechnik, Studie, S. 62; Schaar, Datenschutz, S Bundesamt für Sicherheit in der Informationstechnik, Studie, S Claussen, Bank- und Börsenrecht, 4 Rn. 41; Schwarz/Peschel-Mehner/Werner, Recht im Internet, 2 A 2.2 Rn

6 Das HBCI-Verfahren Im HBCI-Standard erfolgt die Autorisierung nicht über PIN und TAN, sondern über eine elektronische Unterschrift. 44 Das HBCI gewährleistet unabhängig von der Verwendung in offenen Netzen neue Sicherheitsverfahren und daher eine vor unberechtigten Zugriffen Dritter geschützte Abwicklung des Online-Bankenverkehrs. 45 Diese Sicherungen beruhen auf dem RSA-Verfahren, 46 welches die Nachrichteninhalte verschlüsselt. Das PIN-/TAN-Verfahren wird hierbei durch Signaturen abgelöst. Gleichzeitig benötigt der Kontoinhaber im HBCI spezielle Software und ein Chipkartenlesegerät. 47 Es ist nur die Eingabe einer PIN zum Zugriff auf das Konto notwendig, TANs werden nicht benutzt. 48 Die im Rahmen des Bankenverkehrs erstellten elektronischen Dokumente werden von der HBCI-Software mit einer Signatur versehen und verschlüsselt. Die Signatur ist auf dem Chipkartenlesegerät gespeichert, welches durch die PIN aktiviert wird. Die Daten des elektronischen Dokuments werden zur Bildung des HASH-Wertes, einer Prüfsumme, verwendet. Dieser Wert wird mit dem privaten Schlüssel des Kontoinhabers aus dem Chipkartenlesegerät signiert. Das Kreditinstitut kann mittels eines öffentlichen Schlüssels den ursprünglichen HASH-Wert ermitteln und so die Authentizität des Dokuments überprüfen. Folgende Rechtsgeschäfte können im HBCI-Verfahren durchgeführt werden: Einzelüberweisung, Sammelüberweisung, Terminüberweisung, Einrichtung von Daueraufträgen, Einzellastschriften, Sammellastschriften und Zahlungsaufträge im Außenwirtschaftsverkehr Vereinbarungen der Kreditwirtschaft zum Aufbau des Internet-Bankings Das Homebanking-Angebot der Kreditwirtschaft ist einheitlich im FinTS (Financial Transaction Services: Standard für sicheres Online-Banking) geregelt, 44 Langenbucher/Gößmann/Werner, Zahlungsverkehr, 5 Rn. 24; von Rottenburg, WM 1997, Kunst, MMR 2001, von Rottenburg, WM 1997, Erfurth, WM 2006, 2199; Langenbucher/Gößmann/Werner/Koch/Vogel, Zahlungsverkehr, 4 Rn Langenbucher/Gößmann/Werner/Koch/Vogel, Zahlungsverkehr, 4 Rn Es gibt auch HBCI-Verfahren, bei denen TANs eingesetzt werden. Dies kann hier jedoch aus Betracht bleiben. 49 Langenbucher/Gößmann/Werner/Koch/Vogel, Zahlungsverkehr, 4 Rn

7 welche 1996 vom Zentralen Kreditausschuss veröffentlicht wurden. FinTS bezweckt die Vereinheitlichung der Schnittstellen im elektronischen Zahlungsverkehr. Durch FinTS werden zwei Legitimationsverfahren unterstützt: das PIN/TAN-Verfahren und der HBCI-Standard. Beim PIN/TAN-Verfahren findet keine Verschlüsselung durch das Kreditinstitut statt, es wird die allgemeine SSL-Verschlüsselung benutzt, welche ohne Zertifizierung arbeitet. Zur Verschlüsselung werden dabei zwei verschiedene Systeme verwendet, die entweder einzeln oder kombiniert eingesetzt werden. Die Verschlüsselung erfolgt somit entweder als Ende-zu-Ende-Verschlüsselung mittels symmetrischer Algorithmen (der Codierschlüssel entspricht auch dem Decodierschlüssel im Gegensatz zu einem asymmetrischen Algorithmus) oder durch Bildung eines kryptographischen Schlüssels, so dass die Nachrichten-Integrität und Nachrichten- Authentizität durch Bildung eine Prüfsumme gewährleistet wird. Es erfolgt im Rahmen des PIN/TAN-Verfahrens somit über das Internet ein verschlüsselter Datenaustausch des Bankkunden mit dem Kreditinstitut. Der Kunde wählt die Internetseite der Bank an und übermittelt durch die SSL-geschützte Verbindung seine (von der Kontonummer verschiedene) Zugangsnummer und seine PIN oder alternativ seine Kontonummer und seine PIN. Der Homebanking-Bereich des Kreditinstitutes wird mittels Eingabemasken dargestellt. Es findet ein Datenaustausch zwischen den Computern statt. Im Rahmen der Authentifizierung per TAN sind inzwischen verschiedene Modelle im Einsatz, um ein Ausspähen der TANs zu erschweren oder gar unmöglich zu machen. Die herkömmliche TAN wird dem Kunden auf einer Liste per Brief zugesandt. Der Bankkunde selbst kann zur Authentifizierung seiner Aktion im Internet eine beliebige TAN aus dieser Liste auswählen. Dieses Verfahren gilt allgemein als unsicher, da durch normales Phishing erlangte TANs vom Täter beliebig verwendet werden können. Im itan-verfahren dagegen sind die TANs durchnummeriert. Das Kreditinstitut gibt dem Kunden vor, welche TAN er zu gebrauchen hat. Dieses Verfahren ist zwar durch Phishing schwerer angreifbar, da bei einer gephishten TAN der Täter grundsätzlich nicht weiß, welche TAN das Kreditinstitut für die nächste Aktion im Online-Banking abfragen wird. Setzt der Täter aber Trojaner ein, so kann die TAN kombiniert mit der Abfrage des Kreditinstitutes durch den Täter ausgespäht werden, so dass auch hier ein krimineller Missbrauch der TAN nicht ausgeschlossen werden kann. Beim etan erzeugt ein Generator laufend neue TANs für den Kunden, die nur wenige Sekunden für eine Aktion beim Homebanking gelten. Für jeden Vorgang ist eine Kontrollnummer des Kreditinstitutes notwendig. Da die TAN nur wenige Sekunden Gültigkeit besitzt, ist ein Missbrauch der generierten TAN nahezu ausgeschlossen. 10

8 Im mtan-verfahren versendet das Kreditinstitut die TAN per SMS auf das Handy des Bankkunden. Auch diese TAN ist nur wenige Sekunden gültig. Das Verfahren gilt als das sicherste TAN-Verfahren. Der Aufbau des HBCI erfolgt durch den Einsatz von zwei Sicherungssystemen: das RDH-Verfahren und DDV-Verfahren. 50 Im RDH-Verfahren werden Schlüsselpaare verwendet, die aus einem privaten Schlüssel und einem öffentlichen Schlüssel bestehen. Der Bankkunde selbst erzeugt ein persönliches Schlüsselpaar, in dem er seinen privaten Schlüssel mit dem öffentlichen Schlüssel kombiniert. Der private Schlüssel wird durch den Kunden mittels Software erzeugt oder ist auf einer Chipkarte bereits gespeichert. Der öffentliche Schlüssel beweist die Herkunft der Signatur und dient allein dazu, die Herkunft der Signatur zu beweisen. Es wird jedoch durch den öffentlichen Schlüssel keine Signatur erzeugt. Der Kunde verschlüsselt daher seine Daten mit dem öffentlichen Schlüssel und das Kreditinstitut kann wiederum mit seinem privaten Schlüssel die Daten wieder entschlüsseln. Regelmäßig sind drei Schlüsselpaare im Einsatz, der Signier-Schlüssel, der Authentisierungsschlüssel und der Chiffrierschlüssel. Das RDH-Verfahren wird bislang größtenteils mittels Software eingesetzt, Chipkarten kommen selten zu Einsatz. Beim DDV-Verfahren werden beide Schlüssel den Kommunikationspartnern vorher bekannt gegeben. Der gemeinsame, geheime Schlüssel ist nur den Kommunikationspartnern bekannt. Der Signierschlüssel wird zum Unterschreiben der Nachrichten und der Chiffrierschlüssel zum vorherigen Verschlüsseln der Nachrichten eingesetzt. Das DDV-Verfahren wird unter anderem mit einer Chipkarte betrieben, die alle kryptographischen Prozesse auf sich vereint. Es wird somit zwischen den Bankcomputer und den Computer des Kunden ein Chipkartenlesegerät geschaltet. Mit der Chipkarte kann allerdings keine rechtsgültige Signatur gebildet werden, da die Herkunft der Chipkarte nicht beweisbar ist Die Überweisung Das Überweisungsverfahren kann beleghaft, d.h. mittels eines handschriftlich ausgefüllten Überweisungsformulars oder elektronisch ohne Überweisungsbeleg 50 Schimansky/Bunte/Lwowski/Gößmann, Bankrechts-Handbuch, 55 Rn. 30 zum DDV- und RSA-Verfahren. Das RDH-Verfahren basiert auf dem RSA-Verfahren. 11

9 durchgeführt werden. 51 Pro Jahr werden durch Überweisungen ca. EUR 31 Billionen gezahlt Beleghafter Überweisungsverkehr Beim beleghaften Überweisungsverkehr werden Überweisungsbelege üblicherweise maschinell verarbeitet. Der ausgefüllte Vordruck wird in das Lesegerät eingezogen, die Angaben auf Vollständigkeit überprüft sowie ein Abgleich zwischen Empfänger und Empfängerkontonummer vorgenommen. 53 Die Prüfung ist auf eine formelle Prüfung beschränkt. 54 Sodann wird die Überweisung durch Buchung beim Empfänger und beim Schuldner durchgeführt, der Überweisungsschein wird entweder als Bilddatei eingescannt oder es wird der bereits eingelesene Datensatz an das Empfängerkreditinstitut übersandt 55. Falls notwendig, wird ein Abgleich der Unterschriften vorgenommen. Sofern Empfänger und Empfängerkontonummer nicht übereinstimmen, ist die Kontonummer gemäß 675r Abs. 1 S. 1 BGB maßgebend. Eine manuelle Bearbeitung erfolgt nur, wenn der Beleg maschinell nicht lesbar ist. Die beleglose Verarbeitung ist mittlerweile vorgeschrieben, damit jeder Kunde von den Vorteilen der günstigen Abwicklung profitiert Elektronischer Überweisungsverkehr Im elektronischen Überweisungsverkehr kann die Überweisung entweder am Kundenterminal in der Bank oder durch Online-Banking bzw. Homebanking in Auftrag gegeben werden. Die Bearbeitung erfolgt ebenfalls wie die beleghafte Überweisung maschinell. Die Daten werden elektronisch übermittelt. Anstelle einer Legitimation der Überweisung mittels Unterschrift erfolgt die Legitimation mittels einer TAN. Das Prüfungsprogramm des elektronischen Überweisungsverkehrs ist mit dem Prüfungsprogramm der beleghaften Überweisung nahezu 51 Zum Verrechnungsverfahren zwischen den Banken vgl. Bernt, Überweisungsvertrag, S. 41 f. 52 Claussen, Bank- und Börsenrecht, 4 Rn Vgl. für die Revisionsschritte der deutschen Kreditinstitute, Arbeitskreis "Revision des Zahlungsverkehrs in Kreditinstituten" des Deutschen Instituts für Interne Revision e.v., Prüfung, S. 62 f; Staudinger/Martinek, 676f, Rn OLG Köln NJW-RR 1999, Schimansky/Bunte/Lwowski/Mayen, Bankrechts-Handbuch, 48 Rn Claussen, Bank- und Börsenrecht, 4 Rn