Ideales Elektronisches Geld

Transkript

1 Ideales Elektronisches Geld Es gibt viele verschiedene elektronische Bezahlsysteme, wie Geldkarte, PayPal, PayPass, PayWave oder Google Wallet. Trotzdem ist Bargeld nach wie vor das meist genutzte Zahlungsinstrument (Hoffman u.a., 2009, S. 47, Tabelle 2). Das liegt daran, dass Bargeld in der praktischen Nutzung noch einige Vorteile gegenüber aktuellen elektronischen Bezahlsystemen besitzt. Doch welche Eigenschaften des Bargelds müsste ideales elektronisches Geld besitzen und mit welchen könnte es Bargeld sogar übertreffen? Mit der Sammlung möglicher Anforderungen an ideales elektronisches Geld beschäftigt sich dieser Artikel und untersucht, inwiefern dieses umsetzbar ist. Die Sicherheit von Bargeld hängt von physischen Merkmalen, wie Wasserzeichen oder Sicherheitsfaden ab, die Fälschungen erschweren oder verhindern sollen. Da elektronische Münzen aus Daten bestehen und nicht die physische Repräsentation von Bargeld besitzen, werden hier kryptografische Verfahren für die Fälschungssicherheit verwendet. Durch diese Sicherung haben die Daten einen eigenen Wert und das elektronische Geld kann über unsichere Kanäle wie das Internet übertragen werden. Damit elektronisches Geld diese und andere wichtige Eigenschaften besitzt, haben Okamoto und Ohta (1992, S ) sechs grundlegende Anforderungen für ideales elektronisches Geld aufgestellt: Unabhängigkeit, Sicherheit, Anonymität, Offline-Verwendbarkeit, Transferierbarkeit und Vermeidung des Wechselgeldproblemes. 1. Für das Erreichen von Unabhängigkeit, sollte das Protokoll möglichst nicht an eine manipulationsgeschützte Hardware oder einen festgelegten Übertragungsweg gebunden sein. Wäre des Weiteren eine Unabhängigkeit von einer einzelnen Institution wünschenswert, so wäre eine dezentrale Generierung von Münzen möglich. 2. Damit eine größtmögliche Sicherheit des Verfahrens gewährleistet werden kann, müssten verschiedene Anforderungen erfüllt werden: Ein fälschungssicheres Protokoll, welches eine nicht berechtigte Erzeugung von elektronischen Münzen verhindert und den Betrug durch Mehrfachverwendung der Münzen ( double spending ) verhindert, ist notwendig. Das Verfahren sollte sicher stellen, dass niemand eine erhaltene Münze kopieren und mehrmals ausgeben kann. Für das Verhindern von Mehrfachverwendung einer Münze gibt es im Allgemeinen zwei Ansätze. Die erste Variante ist, dass man Bezahlungen online in einem Konto vermerkt und die Bezahlung erst gültig ist, wenn die Transaktion bestätigt wurde. Die zweite kompliziertere Variante ist, bei jeder Bezahlung mit einer elektronischen Münze zusätzliche Informationen an die Münze anzufügen. Diese Informationen sollen erlauben,

2 Mehrfachverwendung nachträglich zu identifizieren und dem Betrüger nachzuweisen. Falschbehauptungen sollten dabei nicht möglich sein. Um Betrug durch nachträgliches Zurückziehen einer Zahlung (wie z.b. beim elektronischen Lastschriftverfahren) zu verhindern, muss die Unwiderrufbarkeit von Transaktionen sichergestellt werden. Für die Sicherheit des Verfahrens ist es von Bedeutung, inwiefern dieses verlusttolerant und das Guthaben gegen Diebstahl gesichert ist. In der täglichen Verwendung sollte das Verfahren sehr robust sein und die Verwendbarkeit durch hohe Nutzerzahlen oder missbräuchliche Nutzung nicht eingeschränkt werden können. 3. Die Privatsphäre der Nutzer wird geschützt, wenn Zahlungen anonym getätigt werden können. Die Zahlungen dürfen nicht zu den beteiligten Nutzern zurückverfolgbar sein. Das heißt ein Nutzer darf eine Münze, die er schon einmal besessen hat, nicht wiedererkennen. Verschiedene Zahlungen desselben Nutzers müssen unverkettbar sein. Das heißt anhand des Bezahlvorganges darf es nicht ersichtlich sein, dass zwei Zahlungen von dem selben Nutzer getätigt wurden. 4. Die Offline-Verwendbarkeit des Verfahren ist gegeben, wenn während einer Bezahlung keine der Parteien mit dem Internet verbunden sein muss. In diesem Fall ist die zweite Variante zur Verhinderung von Mehrfachverwendung notwendig. 5. Transferierbarkeit von elektronischen Münzen erlaubt Zahlungen, zwischen allen Nutzern. Nach einer Zahlung muss das elektronische Geld nicht direkt bei der Bank eingelöst werden. Jeder Nutzer kann ohne besondere Vorbereitungen Zahlungsempfänger und Zahlender sein. 6. Möchte man bei einer Bezahlung die zusätzliche Übertragung von Wechselgeld vermeiden, so muss jeder Nutzer eine ausreichende Menge atomarer Geldeinheiten (z.b. 1 ct.) oder genügend viele Münzen mit verschiedenen nominalen Werten gespeichert haben. Das Wechselgeldproblem kann auch vermieden werden, wenn Münzen bis zu einem bestimmten Grad teilbar und wieder zusammenfügbar sind. Zusammenfassend lässt sich sagen, dass selbst von Bargeld einige genannte Anforderungen, wie Dezentralität, Verlusttoleranz oder Teilbarkeit nicht erfüllt werden. Im Gegensatz zu Bargeld ist aber durchgehend eine verlustfreie Speicherung der Daten einer Münze und mindestens während des Bezahlvorganges zusätzlich die Versorgung mit Strom notwendig. Dies könnte unter extremen äußeren Umständen die Nutzbarkeit einschränken. Zum Beispiel kann der Akku eines Smartphones

3 unter sehr niedrigen Temperaturen versagen und Bezahlungen sind nicht mehr möglich, während sie mit Bargeld noch problemlos ausgeführt werden können. Auch sind nicht alle Anforderungen gleichzeitig uneingeschränkt umsetzbar. So haben Chaum und Pedersen (1993) gezeigt, dass anonyme elektronische Münzen bei jedem offline Transfer linear wachsen. Denn bei jedem Transfer müssen Daten zur Identifikation von Mehrfachverwendung hinzugefügt werden. Somit ist es früher oder später immer notwendig, sich mit dem Internet zu verbinden, um eine zu groß gewordene Münze gegen eine Neue einzutauschen. Im folgenden werden zwei Praxisbeispiel für die Umsetzbarkeit einiger der genannten Anforderungen an elektronisches Geld angeführt. Das erste Protokoll für elektronisches Geld, das unabhängig von bestimmter Hardware offline verwendbar ist und die Anonymität der Nutzer bewahrt, wurde von Chaum (1983) entwickelt. Diese Münzen waren aber nicht transferierbar oder teilbar. Das Protokoll wurde praktisch umgesetzt und testweise unter anderem von der Deutschen Bank verwendet. Es setzte sich aber am Markt nicht durch und Chaums Firma DigiCash ging 1998 Bankrott. Ein anderes Protokoll, das praktisch umgesetzt wurde und eine gewisse Verbreitung hat, ist Bitcoin (Nakamoto, 2009). Es handelt sich hierbei um ein dezentrales Protokoll, das nicht nur unabhängig von bestimmter Hardware ist, sondern sogar ohne eine ausgebende Bank funktioniert. Es wird allein durch den Client der teilnehmenden Nutzer getragen. Obwohl Bitcoin einzelne Anforderungen von elektronischem Geld erfüllt, handelt es sich eher um ein dezentrales Online-Buchhaltungssystem, in dem jeder Nutzer die Fingerabdrücke aller Transaktionen speichert. Um eine Transaktion abzuschließen, muss mindestens der Zahlungsempfänger mit dem Netzwerk verbunden sein. Besonders ist, dass Geldeinheiten beliebig oft transferiert werden können und bis auf acht Nachkommastellen teilbar und zusammenfügbar sind. Reid und Harrigan (2011) haben in einer Arbeit festgestellt, dass Bitcoin nur bedingt anonym ist. Die beiden genannten Verfahren zeigen die praktische Umsetzbarkeit einzelner Anforderungen. Schließt man die Transferierbarkeit aus, so gibt es weitaus effizientere Protokolle mit teilbaren Münzen, die offline ausgegeben werden können (siehe Au u.a., 2008). Diese Protokolle wurden aber noch nicht implementiert. Es gibt es sogar theoretische Protokolle für offline transferierbare Münzen mit optimaler Anonymität. Die elektronischen Münzen in diesem Protokoll sind allerdings nicht teilbar (Blazy u.a., 2011). Dem Autor ist bis jetzt kein Verfahren bekannt, in dem Münzen zusammenfügbar und teilbar sind

4 und es trotzdem möglich war, diese Münzen beliebigen anderen Nutzern optimal anonym zu transferieren. Somit ist offen, ob zum Beispiel Bitcoin so erweitert werden könnte, dass dieses optimal anonym ist. Neben den genannten grundlegenden Anforderungen für elektronisches Geld, gibt es noch weitere allgemeine Eigenschaften, die für den Erfolg eines elektronischen Bezahlsystem notwendig sind (vgl. Schmidt, 1999 und Hoffmann, 2009). Vertrauen: Die Nutzer müssen Vertrauen in die Sicherheit des Verfahrens haben, insbesondere in die Sicherheit ihres Geldes. Akzeptanz: Für eine hohe Akzeptanz des elektronischen Geldes, ist eine universelle Einsetzbarkeit notwendig. Es sollte leicht verfügbar sein und von vielen Händlern in In- und Ausland, auch im Internet, akzeptiert werden. Damit sich das Verfahren durchsetzt wäre auch eine hohe Verbreitung unabhängig von Bevölkerungsschichten und Altersgruppen erforderlich. Benutzerfreundlichkeit: Eine hohe Benutzerfreundlichkeit wird gewährleistet, wenn die Verwendung des elektronischen Geldes bequem, einfach und schnell ist. Die Gültigkeitsdauer einer elektronischen Münze sollte möglichst lang sein. Außerdem wäre eine leichte Kontrolle des aktuellen Guthaben (wie beim Bargeld) und der getätigten Ausgaben (wie beim Kontoauszug) wünschenswert. Kosten: Die offenen und versteckten Kosten sollten für alle Nutzer des elektronischen Bezahlsystems so gering wie möglich sein. Dazu zählt insbesondere auch der Ressourcenverbrauch von Strom, Speicherplatz, Rechenleistung und Datenverkehr. Wie dargestellt wurde, ist ideales elektronisches Geld nur mit Einschränkungen umsetzbar. Deshalb müssen Abwägungen zwischen den einzelnen Anforderungen und den gewünschten Eigenschaften getroffen werden. Diese Abwägungen können in zwei Gruppen unterteilt werden: Abwägungen bezüglich der Sicherheit und Abwägungen bezüglich der Kosten (Schmidt, 1999). Abwägungen bezüglich der Sicherheit: Verfahren für elektronisches Geld müssen hinreichend sicher sein, auch wenn perfekte Sicherheit, die vor jedweden Risiken schützt, nicht möglich ist. Zum Einem besteht das Risiko, dass kryptographische Verfahren gebrochen werden und zum Anderen besteht immer die Möglichkeit, dass Schwachstellen in der Implementation gefunden werden. Wobei letzteres in der Praxis häufiger auftritt. Einzelne Sicherheitsmaßnahmen müssen gegenüber ihren Kosten und der Sicherheit des gesamten Systemes abgewogen werden. Je größer die Verbreitung eines elektronischen Bezahlsystemes ist, um so höher ist der finanzielle Anreiz, ausnutzbare Sicherheitslücken zu finden.

5 Betrachtet man die Anforderungen für ideales elektronisches Geld, so steigt mit jeder Anforderung die Komplexität des Verfahrens. Um so komplexer das Verfahren ist, um so höher ist die Wahrscheinlichkeit, dass Fehler bei der Implementation begangen wurden (Schmidt, 1999, S. 13) Einzig die Offline-Verwendbarkeit ist dabei eine Anforderung, die zumindest bezogen auf die Robustheit, die Sicherheit erhöht. Denn selbst bei ausgefallener Internetverbindung können mit einem offline verwendbaren Verfahren noch Zahlungen getätigt werden. Die Anonymität dagegen ist eine Anforderung, die nicht nur durch ihre Komplexität die Sicherheit verringert. Wird ein Verfahren gebrochen, kann es passieren, dass aufgrund der Anonymität ein Betrug erst viel zu spät aufgedeckt wird. Der Betrug fällt erst auf, wenn versucht wird mehr Geld einzulösen, als im gesamten System vorhanden ist. Bei den allgemeinen Eigenschaften elektronischer Bezahlsysteme muss die Benutzerfreundlichkeit gegenüber der Sicherheit abgewogen werden. So kann zum Beispiel die Eingabe von PIN und Passwörtern die Sicherheit erhöhen, aber diese dürfen von den Benutzern nicht vergessen werden. Dies ist ein höherer Aufwand für die Nutzer. Für die Anwender ist es von Interesse, dass ihr elektronisches Geld eine lange festgelegte Gültigkeit hat und das Geld nicht plötzlich seinen Wert verliert oder häufig ausgetauscht wird. Die Gültigkeitsdauer muss immer mit der Sicherheit abgewogen werden. Über die Sicherheit von kryptographischen Verfahren können nur für begrenzte Zeiträume verlässliche Voraussagen gemacht werden. Niemand kann voraussehen, ob heute verwendete Verfahren in 50 Jahren nicht schon mit geringer Rechenleistung gebrochen werden können. Aus diesem Grund hat elektronisches Geld gegenüber Bargeld eine weitaus geringere Gültigkeitsdauer, oft auch mit kürzeren Übergangszeiten. Eine lange Gültigkeitsdauer steht bei Offline-Verwendbarkeit auch im Gegensatz zu der Sicherheitsanforderung bei Verlust sein Geld wiedererstattet zu bekommen. Denn der Herausgeber kann Geld erst erstatten, wenn die Gültigkeit abgelaufen ist. Vorher kann er nicht feststellen, ob das Geld wirklich verloren gegangen ist oder normal ausgegeben wurde. Abwägungen bezüglich der Kosten: Geringe Kosten tragen erheblich zum Erfolg eines elektronischen Bezahlungssystems bei. Alle Anforderungen und Eigenschaften des Systems müssen bezüglich Kosten und Nutzen abgewogen werden. Dabei ist vor allem wichtig, welcher Aufwand bei der Entwicklung geleistet werden muss und welcher Ressourcenverbrauch beim späteren Betrieb entsteht. So sind durch äußere Faktoren Einschränkungen vorgegeben, die beim Ressourcenverbrauch eine Abwägung zwischen Speicherplatz, Rechenleistung und Datenverkehr notwendig machen. Zum Beispiel verfügen Banken, die elektronisches Geld herausgeben über erhebliche Kapazitäten, während im Vergleich die Chipkarte des Nutzers nur beschränkten Speicherplatz und geringe Rechenleistung hat. Doch auch der Datenverkehr darf dabei nicht außer Acht gelassen werden. Es bringt den Nutzern wenig, wenn viele Daten bei der Bank berechnet und

6 gespeichert werden, aber die Datenübertragung erhebliche Zeit in Anspruch nimmt. Bei der Anforderungen der Teilbarkeit kann zum Beispiel der Aufwand in der Entwicklung gegenüber dem Speicherbedarf bei der Verwendung atomarer elektronischer Münzen abgewogen werden. Auch ist eine Abwägung zwischen Gültigkeitsdauer und Speicherbedarf möglich. Solange eine elektronische Münze gültig ist, müssen Informationen gespeichert werden, die eine Identifikation von Mehrfachverwendung ermöglichen. Dies könnte ausgeglichen werden, wenn die Offline- Verwendbarkeit eingeschränkt wird und sich dafür der Datenverkehr erhöht. Bei den genannten Abwägungen spielen die Wünsche der Nutzer eine große Rolle. In einer Umfrage der Bundesbank zum Zahlungsverhalten wurde an erster Stelle Verlusttoleranz und an zweiter Stelle Akzeptanz und erst an fünfter Stelle Anonymität genannt (Hoffmann, 2009, S. 34 Abb. 13). Dies spiegelt sich in den Eigenschaften verbreiteter elektronischer Bezahlsysteme wieder, deren geringer Schutz der Privatsphäre in Verbindung mit Bonusprogrammen oft noch weiter verringert wird. Trotzdem kann eine hohe Anonymität und eventuelle Verwendbarkeit für illegale Geschäfte ein so großer Wirtschaftsfaktor sein, dass solch ein Bezahlsystem eine gewisse Verbreitung erlangt. Gleiches gilt für Verfahren, die einfache Zahlungen im Internet erlauben. Würde sich ein solches Verfahren durchsetzen, so hätte deren breite Verwendung einen großen Einfluss auf die Wirtschaft. Wie in dem Artikel beschrieben wurde, ist ideales elektronisches Geld nicht möglich, aber mit gewissen Einschränkungen anonymes elektronisches Geld. Es wurde noch nicht genau untersucht, welche wirtschaftlichen Folgen eine breite Verwendung des elektronischen Geldes haben könnte (vgl. Griffith, 2004). Insbesondere fehlen noch Erkenntnisse wie hoch der Ressourcenverbrauch für eine vollständige oder teilweise Ersetzung des Bargeldes ist (vgl. Ebringer, 1999) und wie sich die Höhe der Betriebskosten im Vergleich zum Bargeld verhält (Hove, 2008). Die bedeutende Frage ob anonymes elektronisches Geld wirklich wünschenswert ist muss noch diskutiert werden. Die Möglichkeit, anonyme Zahlungen zu tätigen, würde viele Maßnahmen zur Bekämpfung von Geldwäsche unterlaufen. Auch wäre es möglich, das perfekte Verbrechen (Schneier, 2005, S. 172) zu begehen. Das heißt, es wäre zum Beispiel möglich, eine Erpressung durchzuführen, ohne dass die Zahlung später zurückverfolgbar oder nachweisbar wäre. Die Verfahren könnten technisch zwar so erweitert werden, dass eine vertrauenswürdige dritte Partei die Anonymität teilweise oder ganz aufdecken kann (Blazy u.a., 2011). Dann wäre aber zu klären, unter welchen Umständen der dritten Partei dieser Eingriff erlaubt ist. Die Akzeptanz eines solchen Verfahren hängt von dem Vertrauen der Nutzer in die dritte Partei ab.

7 Auch wenn noch einige theoretische und praktische Fragen offen sind, so können interessante Entwicklungen bei elektronischen Bezahlsystemen in naher Zukunft erwartet werden. Literaturempfehlungen: Das Verfahren von Chaum ist sehr ausführlich und didaktisch aufbereitet im Buch von Schneier (2005, S. 165) finden. Paul Wilhelm Institut für Mathematik Humboldt-Universität zu Berlin Unter den Linden Berlin wilhelm@math.hu-berlin.de Literatur: Au, M.; Susilo, W.; Mu, Y.: Practical anonymous divisible e-cash from bounded accumulators. In: Financial Cryptography and Data Security, Springer, 2008, S Blazy, O.; Canard, S.; Fuchsbauer, G.; Gouget, A.; Sibert, H.; Traoré, J.: Achieving Optimal Anonymity in Transferable E-Cash with a Judge. In: Progress in Cryptology AFRICACRYPT 2011 Proceedings, Springer-Verlag, 2011, S Chaum, D.: Blind signatures for untraceable payments. In: Advances in Cryptology: Proceedings of Crypto 82, 1983, S Chaum, D.; Pedersen, T.: Transfered Cash Grows in Size. In: Advances in Cryptology EUROCRYPT 1992 Proceedings, Springer-Verlag, 1993, S Ebringer, T.; Thorne, P.: Engineering an ecash System. In: Information Security, Springer-Verlag, 1999, S Goldwasser, S.; Bellare, M: Lecture Notes on Cryptography: Summer course Cryptography and computer security at MIT, 2008, S [zuletzt geprüft: ] Griffith, R.; Stephen, F.: Electronic Money And Monetary Policy, Citeseer, Hoffmann, A.; Wörlen, H.; Friedrich, A.; Knaust, N.; von Kalckreuth, U.; Schmidt, T.: Zahlungsverhalten in Deutschland: Eine empirische Studie über die Auswahl und

8 Verwendung von Zahlungsinstrumenten in der Bundesrepublik Deutschland. Frankfurt: Deutsche Bundesbank, Van Hove, L.: On the War On Cash and its spoils. In: International Journal of Electronic Banking, Inderscience, 2008, S Nakamoto, S.: Bitcoin: A peer-to-peer electronic cash system, Okamoto, T.; Ohta, K.: Universal Electronic Cash. In: Advances in Cryptology CRYPTO 1991 Proceedings, Springer-Verlag, 1992, S Reid, F.; Harrigan, M.: An Analysis of Anonymity in the Bitcoin System. In: Arxiv preprint arxiv: , Schmidt, J.; Schunter, M.; Weber, A.: Ist elektronisches Bargeld realisierbar? [zuletzt geprüft: ] Schneier, B.: Angewandte Kryptographie: Protokolle, Algorithmen und Sourcecode in C. Pearson Studium, ISBN