Hbci Sicherheitsklassen

Die Hbci Sicherheitsklassen

Eine sogenannte Sicherheitsklasse für HBCI-Chipkartenleser. Es werden die Wertpapierklassen des Zentralen Kreditausschusses (ZKA) einbezogen. Die HBCI ist eine standardisierte Schnittstelle für das Homebanking.

mw-headline" id="Technische_Merkmale">Technische Merkmale="mw-editsection-bracket">[a class="mw-editsection-visualeditor" href="/w/index.php ? php?title=Homebanking_Computer_Interface&action=edit&section=1" title="Edit Section: Technical Features">Edit Quellcode

Die HBCI (Homebanking-Computerschnittstelle) ist ein geöffneter Standart für Electronic Banking und Customer Self-Service. Die HBCI ist eine einheitliche Oberfläche für das Home Banking. Es werden Sendeprotokolle, Mitteilungsformate und Sicherheitsprozeduren vordefiniert. HBCI zeichnet sich durch Unabhängigkeit von Kreditinstituten, Anbieterunabhängigkeit und Transparenz des Systems aus. Damit ist es jedem Entwickler oder Software-Hersteller möglich, eine Implementation der Client-Seite von HBCI zu realisieren und damit auf alle HBCI-fähigen Datenbanken zugreifen zu können.

Die HBCI kann Software-implementiert mit PIN und TAN (heute iTAN) ohne Zusatzhardware auskommen. Kryptografische Tasten werden dann z.B. in einer Datei zwischengespeichert. Während der Dateneingabe wird eine Verbindung vom Rechner zur Datenbank hergestellt. HBCI mit Chip-Karte sorgt für einen hohen Schutz. Er wird von der Chip-Karte selbst generiert und exklusiv auf ihr abgespeichert.

Um dies zu verhindern, kann der Key nicht von aussen gelesen werden. Alle kryptographischen Verschlüsselungen erfolgen daher auf der Chip-Karte und werden von deren Rechner ausgelesen. Als Methoden kommen das Symmetrieverfahren DES-DES (DDV) und das teilweise asymmetrische Hybridverfahren RSA-DES (RDH) zum Tragen. Im Zeitraum zwischen HBCI 2.2 und HBCI 3. 0 verwendete der Bundesverband der Sparkassen eine Variante namens HBCI+, bei der ein PIN/TAN-Sicherheitsverfahren verwendet wurde.

2002 wurde die HBCI V3. Ausgabe herausgegeben, in der das PIN/TAN-Verfahren von HBCI+ als Alternativlösung in den HBCI-Standard integriert wurde und Unterschriftenkarten beigefügt wurden. Die HBCI wurde in FinTS III. 0 (Financial Transaction Services ) umfirmiert. Im Jahr 2004 wurde die FinTS-Standardsoftware FinTS auf den Markt gebracht.

Dabei wurden alle interne Datenstruktur in XML und XML-Schemata konvertiert, HTTPS als Kommunikations-Protokoll eingesetzt und weitere neue Interfaces (z.B. WWW-Portale) vorgestellt. Seit 2002 wird HBCI nach zunächst zögerlicher Markteinführung von rund 2000 Kreditinstituten in Deutschland und damit rund der Hälfte aller Kreditinstitute in Deutschland offeriert. Der Standard war zwar zunächst für den internationalen Einsatz vorgesehen, aber HBCI beschränkte sich weiterhin auf den heimischen Bankwesen.

Home Banking mit HBCI Chip-Karte und einem Chipkartenlesegerät, das die PIN-Eingabe ermöglicht (Sicherheitsklasse 2 oder höher), bieten ein hohes Mass an Datensicherheit. Die HBCI mit Chip-Karte und Kartenlesegerät nach dem Secoder-Standard gilt zur Zeit als ultimative Sicherheitsmaßnahme, bei der die entsprechende Banken- und Home-Banking-Software die Secoder-Erweiterung für HBCI bereitstellt. Folgende theoretische Angriffs-Szenarien beziehen sich nur auf Kartenlesegeräte, die nicht dem Secoder-Standard entsprechen:

Ein Malware-Programm könnte das eingesetzte Homebanking-Programm in der Theorie so verändern, dass es statt der dargestellten und ausgegebenen Anfrage geheim, d.h. für den Anwender zunächst nicht verständlich, eine geänderte Anfrage unterschreibt und an den Bankserver sendete. Bei korrekter Unterschrift führt die Hausbank den Befehl aus. Ein solcher Anwendungsfall ist jedoch noch nicht bekannt - aus einem guten Grund: Angriffe verwenden wegen des Streueffekts meist Sicherheitslöcher in Betriebssystem oder häufig verwendeten Anwendungen wie z.B. Browser.

Das Kartenlesegerät ist nicht an der Chiffrierung der Übertragung selber involviert, sondern nur an der Signierung der Übertragung durch das Homebankingprogramm. Wie die meisten Homebankingmethoden ist auch das Home Banking über HBCI und Kartenlesegeräte nur unter der Voraussetzung gesichert, dass das auf dem Computer eingesetzte Homebankingprogramm nicht von Angreifern manipulierbar ist.

Beim Chipkartenverfahren kann jedoch weder der kryptografische Key der Kreditkarte gelesen werden, noch kann die PIN-Eingabe mit einem Schlüsselspeicher oder Trojanern abgehört werden. Auch wenn die HBCI-Version von 2001 bald als veraltet angesehen wurde, konnten Hacker im Rahmen der HR-Show Trends im Monat März 2005 wieder einen HBCI-Server, jetzt von der Dresdener Sparkasse, aufbrechen.

Der Grund für diesen Angriff war, dass die Chips von unbefugten Dritten vervielfältigt und verwendet werden konnten. Stattdessen unterschreibt der Kunde eine Checksumme seiner Bewegungsdaten mit seinem auf der Kreditkarte hinterlegten Geheimschlüssel und sendet diese dann an die Hausbank. Der Signaturprozess findet in der Kreditkarte statt (von der der geheime Key nicht gelesen werden kann), so dass ein Täter keine autorisierten Transaktionen auf dem Bankserver vorgeben kann.

Ein weiteres Sicherheitsproblem ist, dass der Kunde auch seine PIN eintragen muss, um den Prozess zu aktivieren. Die HBCI legt im Kern zwei wesentliche Bereiche des Online-Bankings fest: Zum einen sind mehrere Sicherheitsprozeduren für die Authentisierung und Chiffrierung von Aufträgen festgelegt, z.B. Chipkarte oder PIN/TAN. Die HBCI bietet die Möglichkeit, Floppy-Disks oder andere Speichermedien als Sicherungsmedium für ein selbst generiertes RSA-Schlüsselpaar zu verwenden.

Zur Authentisierung wird in der Kundensoftware ein RSA-Schlüsselpaar mit 768 Bits Schlüssellänge generiert (HBCI2. x; ab FinalTS3. 0 auch 1024 bis 2048 Bits, auch " Schutzklasse RDH-2/3/4 " genannt). Der Nutzer druckt dann einen elektronischen Abdruck des Unterschriftsschlüssels auf ein Blatt und unterschreibt ihn, bevor er ihn an die Hausbank sendet.

Dabei wird der öffentlich zugängliche RSA-Key auf elektronischem Wege an den HBCI-Server der Sparkasse geschickt. Mit dem signierten Fingerabdruck kann die Hausbank sicher stellen, dass der elektronische Übergabeschlüssel auch wirklich und ausschliesslich vom signierenden Kunden abstammt. Das bedeutet, dass der selbst generierte Key sicher authentisiert wird und nun für jede Bestellung signiert werden kann.

Die Datenformate und der PIN-Code des Sicherungsmediums werden von jedem Softwarehersteller allein bestimmt, was oft dazu führen kann, dass selbst erstellte Tasten einer HBCI-Software von anderen HBCI-Programmen nicht wiederverwendet werden können. Das Authentisieren einer Chip-Karte erfolgt stillschweigend durch Übergabe der Chip-Karte an den Kunden der Bank. Zuerst werden die Daten mit dem ersten Key chiffriert, dann wird der Entschlüsselungsalgorithmus mit dem zweiten Key auf das Zwischenergebnis angewandt und dieses Zwischenergebnis mit dem ersten Keychiffriert.

Indem zwei so lange Tasten wie beschrieben verwendet werden, wird die Datensicherheit nicht doppelt, sondern erhöht. Mit einer RSA Smart Card laufen die selben Prozesse ab wie mit einer Key Disk, nur dass der generierte RSA Key vom Rechner auf der RSA Smart Card generiert wird und der Privatschlüssel die Smart Card nie verläßt.

Das macht diesen Prozess besonders zuverlässig, aber RSA-Chipkarten sind immer noch recht aufwendig. Die HBCI 2.2 wurde (zunächst inoffiziell) um das sogenannte TAN/ PIN-Verfahren ergänzt. Dies wurde als HBCI 1. 4 PIN/TAN oder HBCI+ bezeichnet. HBCI-Bestellungen können ab der neuen finnischen Variante auch über das PIN- und TAN-Verfahren amtlich beglaubigt werden. Der in HBCI+ und Rippenhalter 3.

Das ist ein gewisser Vorsprung gegenüber der vorherigen HBCI, die die Freischaltung von Port 3000 erforderte. Dabei werden die Vorzüge von HBCI in Verbindung mit der üblichen Behandlung von TAN-Listen genutzt, was insbesondere aus Bankensicht eine Erleichterung des Zugangs zu HBCI darstellt. Dabei gehen jedoch einige sicherheitstechnische Vorzüge von HBCI verloren, z.B. werden Geschäfte mit PIN/TAN nicht mehr auf elektronischem Wege unterschrieben.

Anhand von Bankparameterdaten (BPD) berichtet der Hauptbankserver einer Hausbank, welche betriebswirtschaftlichen Vorgänge diese Hausbank generell zulässt und welche Benutzerparameterdaten (UPD) er insbesondere für einen Anwender zulässt. Vorhandene und gestützte Bankenparameter gemäß ZKA und Server-Feedback der entsprechenden Bänke. Die Abkürzung steht für "Financial Transaction Services " und umfasst sowohl Sicherheitsprozeduren mit elektronischen Signaturen (Chipkarte oder selbsterstellte RSA-Schlüsselscheibe) als auch das PIN/TAN-Sicherheitsverfahren.

Das System ist modular aufgebaut (Identifikationsverfahren, Geschäftsvorgänge und Datenformate sind vom Log getrennt). Kennzeichnend für den Einsatz von Final Cut ist vor allem die Verwendung der Unterschriftenkarte als einheitliche Sicherheitsmedien. Zudem wurden die Sicherheitsvorkehrungen dem heutigen technischen Standard angepaßt - so wurde beispielsweise die Länge der Schlüssel erhöht. Als Alternative zu HBCI wurde die frühere PIN/TAN-Erweiterung in die Software integriert.

Der Begriff "HBCI" wird mit der Markteinführung von FinTS 4.0 für eine gewisse Anzahl von Sicherheitsprozeduren benutzt, bei denen die Chipkarte und die RSA-Schlüsseldatei als "HBCI-Sicherheitsverfahren" gekennzeichnet und vom PIN/TAN-Verfahren abgrenzbar sind. Der Begriff "HBCI" steht in den Vorgängerversionen jedoch für alle Geschäftstransaktionen mit allen gängigen Sicherheitsprozeduren.

In diesem Zusammenhang wäre es durchaus angebracht, von einer Umfirmierung von HBCI in FinTS zu reden. In FinTS V4. 0 wurde die dem Protokoll zugrunde liegende Message-Syntax auf XML geändert.

Mehr zum Thema