Das Home Banking Computer Interface (HBCI) ist für Bankgeschäfte im Internet die ideale Basis: Sicher, standardisiert und multibankfähig deckt es alle wichtigen Geschäftsvorfälle ab. Dieser Beitrag erklärt Aufbau und Abläufe sowie die Sicherheitsmechanismen.
Über das Home Banking Computer Interface (HBCI) verbindet sich der eigene PC durch das Internet mit einem Bankserver. Viele Kreditinstitute bieten Onlinebanking über dieses standardisierte Protokoll an; mit Hilfe fertiger Bibliotheken lässt sich HBCI recht einfach in eigene Programme einbinden.
Zu den wichtigsten unterstützten Geschäftsvorfällen gehören Überweisungen jeder Art (terminiert, vorbereitet, auch Eilüberweisung), Lastschriften und Daueraufträge. Der Bankkunde kann alle Transaktionen auch in einem Sammelauftrag anstoßen. Weitere Funktionen sind Kontoinformationen (etwa Kontoauszug oder Umsatzanzeige) sowie Termineinlagen, Wertpapiergeschäfte, Zahlungsverkehr ins Ausland, Kartenbestellung, Kartensperre, Reisescheckbestellung und Geldkartentransaktionen.
Die erste Version wurde Ende 1996 im Auftrag des ZKA (Zentraler Kreditausschuss) in Deutschland erstellt und laufend um neue Arten von Bankaufträgen ergänzt. Inzwischen ist HBCI bei Version 3.0 angelangt und trägt nun den Namen Fin TS (Financial Transaction Services).
An einem typischen HBCI-Szenario sind drei Instanzen beteiligt (siehe Abbildung 1): Bankserver, Kundensystem und Sicherheitsmedium. Der Bankserver kommuniziert mit dem Kundensystem, also dem PC, auf dem der Benutzer die Aufträge erstellt und verwaltet. Die Daten, die sich beide Systeme zusenden, sind in den meisten Fällen verschlüsselt und digital signiert.
Das Kundensystem nutzt dazu ein Sicherheitsmedium, das die kryptographischen Berechnungen durchführt und die Schlüssel sicher speichert. HBCI legt fest, welche Arten von Sicherheitsmedien zugelassen sind und wie sie mit dem Kundensystem kommunizieren. Drei Medien sind derzeit spezifiziert:
Die einfachste Variante ist ein Software-Sicherheitsmodul, das die Schlüssel auf einer Diskette speichert, die der Bankkunde sicher aufbewahren muss. Diese Lösung ist nicht besonders zuverlässig. Ihr Vorteil ist, dass der Benutzer keine zusätzliche Sicherheitshardware installieren muss und dass das Softwaremodul komplexere kryptographische Operationen durchführen kann als eine typische Chipkarte.
Chipkarten sind dennoch die bessere Technik. Sie speichern die Schlüssel und führen die Krypto-Berechnungen selbst aus, die Schlüssel verlassen die Chipkarte in keinem Fall. Mittlerweile sind einfache Chipkartenleser recht preiswert (siehe Artikel in diesem Heft), die meisten Banken versorgen ihre Kunden daher mit einem HBCI-Kit inklusive Leser.
Neu in der aktuellen HBCI-Version ist das Sicherheitsverfahren PIN/TAN. Obwohl weit verbreitet und bekannt, war es in den ersten HBCI-Versionen nicht enthalten. Es gilt als umständlich und nicht ausreichend sicher. Dass HBCI mit PIN/TAN nun doch standardisiert wurde, liegt an den Eigenschaften mobiler Geräte: Deren CPU ist für ein Software-Kryptomodul meist zu langsam und für einen Chipkartenleser ist kein Platz vorhanden. Dennoch sollen die Bankkunden auch mit dem Handy HBCI-Geschäfte abwickeln können.
Ohne weitere Geräte müssten die Kunden lange TAN-Listen mitführen - das wäre unpraktisch und unsicher. Um diesen Schwachpunkt zu vermeiden, gibt es Pläne für eine chipkartenbasierte Lösung: Der Benutzer wird künftig einen TAN-Generator in Form eines Schlüsselanhängers erhalten, der mit Hilfe der HBCI-Chipkarte jederzeit gültige TANs erzeugt. Das kombiniert die besten Eigenschaften beider Verfahren: Zu Hause am PC nutzt der Kunde die Chipkarte direkt für HBCI-Banking, unterwegs verwendet er den TAN-Generator zusammen mit derselben Chipkarte.
Abbildung 1: In einer HBCI-Transaktion kommuniziert das Kundensystem mit dem Bankserver. Für Sicherheitsaufgaben greift es auf spezielle Medien zu.
Alle Rezensionen aus dem Linux-Magazin
Im Insecurity Bulletin widmet sich Mark Vogelsberger aktuellen Sicherheitslücken sowie Hintergründen und Security-Grundlagen. mehr...
