Hintergrundinformationen Sicherheitsverfahren

„Sicherheitsverfahren für das Online-Banking im Überblick“

Das PIN-/TAN-Verfahren ist als Sicherheitsverfahren im Online-Banking am weitesten verbreitet. Vor allem so genannte Ein-Schritt-Verfahren wie TAN-Bogen und Sm@rtTAN sind bei den Online-Banking-Nutzern sehr beliebt. Die IT-Dienstleister der Banken arbeiten kontinuierlich an innovativen Sicherheitsverfahren. Neueste Entwicklungen basieren auf dem so genannten Zwei-Schritt-Verfahren. Das heißt: Die TAN wird in zwei voneinander unabhängigen Schritten errechnet; gleichzeitig ist sie nur für einen speziellen Überweisungsauftrag und keinen anderen Auftrag gültig. Betrüger können somit eine abgefangene TAN nicht für einen anderen Auftrag verwenden. Zwei neue Verfahren, die diesen neuen Sicherheitsstandard bieten, sind Sm@rtTAN plus und mobileTAN. Dabei wird die TAN entweder mit einem speziellen Kartenlesegerät oder über das Handy erzeugt. Beide Verfahren wurden von der GAD eG, dem IT-Kompetenzcenter für Banken, entwickelt. Volks- und Raiffeisenbanken im Norden und Westen Deutschlands können ihren Kunden seit November 2006 diese neuen Technologien anbieten. Zusätzlich dazu führt die GAD im Herbst 2007 die neue VR-BankCard ein, die für die digitale Signatur vorbereitet ist.

Die neuen Zwei-Schritt-Verfahren: Sm@rtTAN plus, mobileTAN

Sm@rtTAN plus

Die Übermittlung des Online-Banking-Auftrags (z. B. eine Überweisung) und die Errechnung der TAN werden separat durchgeführt. Wie beim Sm@rtTAN-Verfahren benötigt der Anwender eine VR-Bankcard mit Chip sowie ein Kartenlesegerät, aber mit integrierter Tastatur. Im ersten Schritt wird vom Anwender der Online-Banking-Auftrag ausgefüllt und an die GAD, das Rechenzentrum der Volks- und Raiffeisenbanken, gesendet. Der Anwender erhält anschließend den auftragsbezogenen Bankcode sowie die Transaktionsdaten (Auszug aus dem Auftrag) angezeigt, die in das Lesegerät eingegeben werden. Die daraus errechnete TAN ist nur für diese Transaktion gültig und wird wie gewohnt in die Anwendung eingegeben und an das GAD-Rechenzentrum gesendet. Der Auftrag ist sicher erteilt.

mobileTAN

Handy-Besitzer können alternativ ganz bequem ihre TAN per PC und Mobiltelefon ermitteln. Hierfür hinterlegt der Online-Banker seine Handy-Nummer im System der Bank. Vor Abschluss der Online-Banking-Transaktion erhält der Anwender seine TAN per SMS über sein Handy. In der SMS werden zur Kontrolle auftragsbezogene Daten wie z.B. bei einer Überweisung der Betrag und die Empfängerkontonummer angezeigt. Die TAN hat somit einen direkten Bezug zum Auftrag. Die mobileTAN steigert die Sicherheit der Transaktion, indem zwei unabhängige Kommunikationsmedien (Computer und Handy) eingesetzt werden.

Die Ein-Schritt-Verfahren TAN-Bogen und SmartTAN

TAN-Bogen

Der Anwender erhält den TAN-Bogen von seiner Bank zugeschickt. Für jede Online-Banking-Transaktion wählt der Kunde eine TAN aus, die er in das Bearbeitungsfeld im Internet-Banking eingibt. Der Auftrag ist erteilt. Die TAN ist frei wählbar und wird lediglich von der Liste gestrichen.

Sm@rtTAN

Der Anwender benötigt eine VR-Bankcard mit Chip sowie ein Kartenlesegerät. Um eine TAN zu generieren, schiebt man die VR-Bankcard in das Lesegerät und lässt per Knopfdruck eine für die Transaktion gültige TAN errechnen. Danach erfolgt die Eingabe der TAN in die Transaktionsmaske im Internet-Banking und der Auftrag wird erteilt.

HBCI

Der so genannte HomeBanking-Standard HBCI (HomeBankingComputerInterface) bietet die Möglichkeit, über das Internet sicher und verschlüsselt alle Transaktionen mit der Bank über PC-Zahlungsverkehrsprogramme durchzuführen. Hierzu werden die notwendigen HBCI-Schlüssel auf der persönlichen Chipkarte (VR-NetWorld Card) des Anwenders ausgegeben oder vom Anwender eigenständig auf Diskette generiert. Die HBCI-Schlüssel sind durch kundenindividuelle Passwörter vor fremdem Zugriff geschützt.

Elektronische Signaturen

Die GAD treibt die Entwicklung der Elektronischen Signatur für alle Vertriebswege im Online-Banking voran. In einem ersten Schritt führt sie im Herbst 2007 die neue VR-BankCard ein, die für die digitale Signatur vorbereitet ist. Diese „HBCI-fähige“ Signaturkarte kann unmittelbar mit Zahlungsverkehrprogrammen eingesetzt werden, die den neuen HBCI-Standard FinTS 3.0 des deutschen Kreditgewerbes unterstützen. Damit legt das IT-Kompetenzcenter bereits heute die Grundlage für den zukünftigen Einsatz der qualifizierten Elektronischen Signatur im Sinne des deutschen Signaturgesetzes. Zusätzlich dazu bietet die GAD ab Frühjahr 2008 Sicherheitsverfahren auf Basis von digitalen Signaturen auch im Internet-Banking der VR-Banken in ihrem Geschäftsgebiet an. Langfristig soll die Elektronische Signatur die Unterschrift des Nutzers rechtssicher ersetzen und Vertragsunterzeichnungen im Internet oder Unterzeichnungen von Anträgen bei Banken, Behörden und Kommunen möglich machen.

Weitere Informationen:

GAD eG / Pressestelle

Bettina Kroll

Telefon: 0251 – 7133 2441

Bettina.Kroll@gad.de

Beate Fenneker

Telefon: 0251 – 7133 1912

Beate.Fenneker@gad.de