Digitale Signatur und Homebanking auf einer Karte

Die Raiffeisen-Volksbank eG Mainz (RVB) bietet bereits seit Mitte 1998 Banking nach dem Homebanking Computer Interface Standard (HBCI) mittels einer RSA-Smartcard an. Die Umstellung von der zuvor benutzten RDH-Diskettenlösung auf Smartcard ermöglichte eine sichere Schlüsselverwaltung sowie die Verlagerung der Verschlüsselungs- und Signierfunktion auf die Karte. Um den Kunden das umständliche Initialisierungsverfahren zu erleichtern, erfolgt die Schlüsselgenerierung über eine Zertifizierungsinstanz.

Zum damaligen Zeitpunkt bot lediglich die TeleSec die erforderlichen Dienstleistungen für eine solche Public Key Infrastructure an. Gemeinsam mit der Faktum Softwareentwicklung GmbH, dem Anbieter der Transaktionssoftware, wurde einerseits unter dem Aspekt größtmöglicher Sicherheit, andererseits aber auch im Hinblick auf ein hohes Maß an Kundenfreundlichkeit und Anwenderkomfort ein Personalisierungsverfahren eingerichtet, das bis heute erfolgreich Verwendung findet (siehe Kasten). Die Client-Software für Online- und Offlinebanking sowie das erforderliche Kartenlesegerät stellt die Bank ihren Internetkunden kostenlos zur Verfügung.

Als Ausbaustufe wurde bereits 1999 auch das Internet-Brokerage "XIOS Aktiv" der damaligen SGZ-Bank AG (heute GZ-Bank AG) in das Angebot der RVB integriert. Um eine benutzerfreundliche Umgebung ohne zusätzliche Chipkarte zu ermöglichen, haben die Beteiligten hierfür die erste multibankenfähige Applikation auf einer Smartcard implementiert: Faktum hat eine spezielle Lösung entwickelt, die es den RVB-Kunden ermöglicht, einen zusätzlichen Bankzugang bei der SGZ Bank AG für das Wertpapiergeschäft auf die bestehende HBCI-Smartcard zu konfigurieren.

Drei in Eins

Mit den erprobten Partnern arbeitet die RVB nun an einer Erweiterung der Banking-Lösung um eine Komponente für die allgemeine Anwendung digitaler Signaturen. Als Softwarebasis dient Faktums SecuSeal, das die Verschlüsselung und Signatur von E-Mails und Dateien ermöglicht. Das Programm enthält zudem eine Viewer-Komponente, welche die zu signierenden Dokumente in grafischer Form auf dem Bildschirm darstellt. SecuSeal unterstützt auch Mehrfachsignaturen – speziell aus Bankensicht ein entscheidender Faktor, wenn es beispielsweise um die Umsetzung eines Vier-Augen-Prinzips geht.

Um den RVB-Kunden die neuen Möglichkeiten ohne zusätzliche Infrastruktur zu bieten, wurde SecuSeal speziell angepasst und eine Unterstützung der bereits an die Kunden distribuierten HBCI-Smartcards implementiert. Beim ersten Start von SecuSeal wird dadurch auf Basis der bereits auf der Smartcard vorhandenen Schlüsselpaare ein neues, selbstsigniertes Zertifikat generiert und auf Festplatte gespeichert. Zur Erzeugung der digitalen Signatur unter ein Dokument oder eine E-Mail greift SecuSeal später auf den HBCI-Chiffrierschlüssel zu. Der HBCI-Signierschlüssel bleibt den HBCI-Signaturen vorbehalten. Außerdem würden die damit erzeugten Signaturen den in SecuSeal verwendeten Standards wie PKCS#7 und S/MIME nicht entsprechen.

Das neue Zertifikat enthält bereits die Kundendaten des vorhandenen Chipkarten-Zertifikates, der Anwender muss nur noch seine E-Mail-Adresse ergänzen. Die Einführung eines separaten Zertifikats ist in der Pilotphase notwendig, da das auf der Smartcard vorhandene Zertifikat keine E-Mail-Adressen aufnehmen kann, die für die digitale Signatur und Verschlüsselung elektronischer Nachrichten erforderlich sind.

Nach der Erstellung seines Zertifikates teilt der Kunde der Bank auf schriftlichem Wege dessen eindeutigen Fingerabdruck mit, damit diese beim nachfolgenden E-Mail-Kontakt die Echtheit des Kundenzertifikates prüfen kann. Die Bank übermittelt ihrerseits dem Kunden per E-Mail ihr Zertifikat. SecuSeal speichert es automatisch in seiner Zertifikatsverwaltung, der Kunde muss das Bankenzertifikat lediglich durch Setzen eines Vertrauensstatus anerkennen.

Fortgeschritten, aber noch nicht qualifiziert

In der Pilotphase dient noch die HBCI-Anwendung auf der Karte zur Signatur und Verschlüsselung von Dokumenten. Mittelfristiges Ziel ist jedoch der Einsatz einer Smartcard mit einer zusätzlichen Karten-Applikation nur für die Signatur und Verschlüsselung außerhalb des HBCI-Bereichs. Eine solche Konstellation ermöglicht dann auch qualifizierte Signaturen, die künftig rechtlich der handschriftlichen Unterschrift gleichgestellt werden sollen.

Da es sich bei der derzeitigen Pilotphase aber "nur" um eine fortgeschrittene Signatur im Sinne des neuen SigG handelt, schließt die RVB mit den Bankkunden zusätzlich zur bereits bestehenden Vereinbarung in Bezug auf HBCI-Banking und Brokerage eine bilaterale Vereinbarung über die gegenseitige Anerkennung ihrer digitalen Unterschriften.

Das Pilotprojekt stellt dem Kunden spezielle Formulare elektronisch zur Verfügung, unter anderem einen Freistellungsauftrag für Kapitalerträge oder die Vereinbarung über den Einzug von Forderungen durch Lastschriften. Diese Formulare erhält der Kunde per E-Mail von der Bank, ergänzt – je nach Formularart – die notwendigen Daten, versieht die Datei mit seiner digitalen Signatur und schickt das Dokument wieder per E-Mail an die Bank zurück.

Zusatznutzen für Kunde und Bank

Derart unterzeichnete Dokumente liegen den zuständigen Sachbearbeitern somit direkt in digitaler Form vor und können nach einer bestimmten Klassifizierung in das Dokumentenmanagementsystem (DMS) der RVB eingepflegt oder anderweitig weiterverarbeitet werden. Dieser Ablauf erspart das zeitaufwändige Scannen als Vorbereitung für die Archivierung im Rahmen eines DMS und eröffnet somit weiteres Rationalisierungspotenzial.

Das Produkt SecuSeal ist ein Windows-Programm und arbeitet mit internationalen Industriestandards wie PKCS#7 und S/MIME. Damit ist SecuSeal zu handelsüblicher E-Mail-Software kompatibel und erzeugt signierte Dateien, die durch das standardisierte Format auch andere Anwendungen verarbeiten können. Dadurch ist das Programm für die Bankkunden auch in der Kommunikation mit Dritten einsetzbar.

----------Anfang Textkasten----------

Anmeldung online

Bankkunden in spe stellen bei der RVB Faktum Direkt (www.rvbfaktumdirekt.de) bereits den Antrag auf Kontoeröffnung online über eine SLL-gesicherte Verbindung. Die Anmeldedaten landen via Internet bei einem eigens dafür konzipierten Administrationstool, mit dessen Hilfe alle zur Kontoeröffnung notwendigen Unterlagen ausgedruckt werden. Diese erhält der Kunde per Post mit der Bitte um Unterschrift zugeleitet.

Parallel dazu erfolgt die bankseitige Prüfung der Antragsdaten und, sofern diese positiv verläuft, die tatsächliche Kontoeröffnung im bankjuristischen System sowie die Anlage des Kunden- und Kontendatensatzes in der HBCI-Datenbank. In diesem Zusammenhang werden außerdem die relevanten Daten per speziellem Sicherheitsverfahren (S-File4) an die TeleSec zur Personalisierung der Smartcard für den Kunden weitergeleitet. Dazu zählen Kundenname, -Anschrift und Zustelladresse, optional Telefonnummer, Fax, Arbeitgeber sowie E-Mail-Adresse, außerdem die Zustellungsart (z. B. Fernident-Verfahren oder Bereitstellung in der Bankfiliale), Bankname und -Anschrift sowie der öffentliche Schlüssel der Bank.

Im gesicherten Umfeld des TrustCenters erfolgt dann die Erzeugung der Schlüsselpaare für die Smartcard sowie die Vergabe und Speicherung der Zertifikate auf der Karte. Die Zerfikate, bestehend aus Kundendaten, den öffentlichen Signier- und Chiffrierschlüsseln sowie der Kartennummer, gehen ebenfalls via S-File4-Verfahren an die HBCI-Datenbank zurück. Dort werden die Kundendaten in einer Adressdatenbank und die Sicherheitsdaten im HBCI-Server eingetragen. Zu diesem Zeitpunkt besteht jedoch noch keine Zuordnung zwischen Konto- und Kundendaten und somit auch keine Freigabe für Banktransaktionen.

Der Bankkunde erhält seine Smartcard direkt vom Trustcenter per Post-Fernident-Zustellungsverfahren oder kann sie – sofern er kein Neukunde ist – direkt auf einer Bankzweigstelle abholen. Durch das Fernident-Verfahren wird die Identität des Kunden durch Vorlage seines Personalausweises festgestellt und gleichzeitig die bankseitig erforderliche Legitimierung des Kunden vollzogen. Nach Eingang diese Dokuments bei der Bank stellt das Kreditinstut die Verbindung zwischen Kunden- und Kontodaten her und gibt damit das Konto für zur (Internet-)Nutzung frei. Der Kunde wiederum muss vor seiner ersten Dialoginitialisierung mit der Bank die anfänglich vergebene Null-PIN auf der Smartcard durch eine frei wählbare 6-stellige Zugangsnummer ersetzen, welche die Authentifizierung des Benutzers gegenüber seiner Smartcard gewährleistet.

----------Ende Textkasten----------

Fazit

Das Pilotprojekt hat unterschiedliche Fragen aufgeworfen, die einerseits technisch, andererseits organisatorischer Natur sind, wie etwa die E-Mail-Integration in das für SecuSeal-, nicht aber für HBCI-Transaktionen erforderliche Zertifikat. Zu klären war beispielsweise auch die Frage der Gültigkeit des allgemeinen Zertifikats im Falle eines Kartenwechsels. Für die Dauer des Pilotprojekts fiel die Entscheidung, die Gültigkeit an die Karte zu koppeln. Eine weitere Herausforderung bestand in der bankinternen Organisation der einzelnen Abläufe, in deren Zusammenhang verschiedene neue Prozessketten definiert werden mussten.

Die positiven Reaktionen der Pilotkunden auf dieses Projekt für mehr Service und Zusatznutzen im Rahmen von bestehenden Angeboten bestärken die Raiffeisen Volksbank eG Mainz, den eingeschlagenen Weg konsequent weiterzuverfolgen. Die Pilotphase soll im vierten Quartal 2001 in eine Produktivphase übergehen und damit allen Online-Kunden der RVB digitale Signatur und Verschlüsselung von E-Mails und Dokumenten mit Smartcard-basierter Sicherheit zur Verfügung stellen. Zudem bietet die Faktum Softwareentwicklung GmbH mittlerweile auch eine mobile Variante des kartengestützten Bankings und der E-Mail-Signatur auf Basis von Windows CE an. Eine entsprechende Umsetzung soll in nächster Zukunft für RVB-Kunden vorliegen, um dem Trend zu mobilen Transaktionen Rechnung zu tragen.

Systeme und ihr Umfeld