Sichere Zahlungsverfahren für E-Government - Bundesamt für ...

E-Government-Handbuch
dem Magnetstreifen ausgelesen, sind jedoch auch auf der Karte abgedruckt. Ähnlich
wie beim electronic-cash-Verfahren muss für die Erlangung einer Zahlungsgarantie
eine Verbindung zur Autorisierungsstelle der Kreditkartengesellschaft
hergestellt und die Einhaltung des Verfügungsrahmens der Karte sowie das Vorliegen
von Sperren überprüft werden.
Mit der wachsenden Anzahl von Online-Transaktionen werden Kreditkarten zunehmend
auch im Internet eingesetzt. Dies ist möglich, da zur Abwicklung einer
Transaktion ein Kreditkartenterminal nicht zwingend erforderlich ist. Es reicht
auch die Übermittlung der zur Transaktion erforderlichen Daten aus. Diese wurden
jedoch häufig ungeschützt über Internet-Verbindungen übertragen. Dritte
konnten somit diese Daten relativ leicht abfangen und die Kreditkartennummern,
z. B. für betrügerischen Einkauf, missbrauchen 14 . Es wurden jedoch bereits verschiedene
Versuche unternommen, die Sicherheit des Systems vor allem beim
Einsatz im Internet zu steigern.
Eine Lösung zur Absicherung der Datenübertragung über das Internet war der
Einsatz von kryptographischen Techniken. Insbesondere „Secure Socket Layer“
(SSL) findet mittlerweile starke Verbreitung. Dies löst zwar das Problem, dass
Daten ungeschützt über das Internet übertragen werden, jedoch kann der Kunde
noch nicht eindeutig als Kreditkarteninhaber authentifiziert werden. Dem sollte
„Secure Electronic Transaction“ (SET) entgegentreten. Aufgrund zu hoher Komplexität
und enormen Installations- und Betriebsaufwands fand das System jedoch
keine nennenswerte Akzeptanz und wurde zum größten Teil wieder eingestellt.
Als weiteres Sicherheitsmerkmal wurden so genannte Kartenprüfnummern (KPN)
eingeführt – von Visa auch Card Verification Code (CVC) und Card Verification
Code2 (CVC2), von MasterCard auch Card Verification Value (CVV) und Card
Verification Value2 (CVV2) genannt. CVC2 und CVV2 sind für Bestellungen im
Internet, per Telefon oder Postkarte gedacht und auf der Rückseite der Kreditkarte
sichtbar aufgebracht. 15 Die Kartenprüfnummern für die Bezahlung vor Ort (CVC
bzw. CVV) sind im Magnetstreifen hinterlegt. Anhand der Kartenprüfnummer
lässt sich durch die Kartenherausgeber feststellen, ob die Karte tatsächlich existent
ist oder ob die Kreditkartennummer beispielsweise von einem Computerprogramm
zu Betrugszwecken errechnet wurde.
Als weitere Initiative wird von den beiden weltweit größten Kreditkartengesellschaften
– Visa und MasterCard – unter zwei unterschiedlichen Markennamen ein
Verfahren eingeführt, das auf dem so genannten 3-D-Secure-Protokoll basiert.
Diese werden in folgenden Varianten 16 angeboten:
Die erste Variante beruht auf einer PIN-basierten Authentifizierung. Der Karteninhaber
meldet sich dazu einmalig bei seiner kartenherausgebenden Bank für die-
14 Aus missbräuchlichen Verfügungen im Internet, die allein auf Kenntnis der Kreditkartendaten
beruhen, entsteht nach den geltenden Regelungen kein Haftungsrisiko für den Karteninhaber.
15 CVC2 und CVV2 sind dazu weder Bestandteil der Informationen auf dem Magnetstreifen,
noch wird sie auf dem Zahlungsbeleg abgedruckt.
16 Derzeit wird Variante 2 nur von MasterCard angeboten (Stand: Mai 2005). Es ist jedoch zu
erwarten, sobald Kreditkarten mit Chip eine stärkere Verbreitung finden, dass weitere Kreditkartenorganisationen
diese Variante ebenfalls anbieten werden.
Probleme beim
Einsatz im
Internet
SSL und SET zur
Lösung der
Probleme
Einführung von
Kartenprüfnummern
Verified by Visa
und MasterCard
SecureCode
Variante 1
Zahlungsverfahren für E-Government Seite 12