HBCI löst das PIN/TAN-Verfahren ab und macht Homebanking in der Handhabung einfacher und sicherer. Moneyplex ist das erste Finanzverwaltungs-Programm für Linux, das es mit Quicken und Co. aufnehmen kann und zudem HBCI in vollem Umfange unterstützt.

Moneyplex für Linux ist als ausgewachsenes Finanzverwaltungs- und Onlinebanking-Programm nicht nur wegen seiner HBCI-Fähigkeit (Homebanking Computer Interface) zurzeit einzigartig im Linux-Land. Das Linux-Magazin hatte an einer Betaversion Gelegenheit, ausführlich seine Fähigkeiten zu testen.

Als Messlatte für Moneyplex diente dabei nicht nur der selbst auferlegte Komfort- und Ausstattungs-Anspruch der gleichnamigen OS/2-Version des Aalener Herstellers Matrica, auch im Windows-Lager haben Klassiker wie Quicken für Vorgaben gesorgt, die es auf der Linux-Plattform zu erfüllen gilt.

Der zweite Teil des Beitrags fasst die wichtigen technologischen Aspekte von HBCI und die Inbetriebnahme eines Kartenlesers anschaulich zusammen. Ein Interview mit Geschäftsführer Norbert Hug zum Linux-Engagement von Matrica rundet den Beitrag ab.

Installation und technische Hintergründe

Den Testern stand eine Betaversion zur Verfügung. Zum Redaktionsschluss wurde bekannt, dass es Ende August noch eine weitere, halböffentliche Betatest-Phase geben wird, zu der sich interessierte Anwender jetzt [2] anmelden können. Die finale Version ist etwa einen Monat später zu erwarten.

Moneyplex wurde auf Basis von Trolltechs Qt-Bibliothek (für Red Hat Linux) größtenteils neu kodiert. Neben Qt ist eine aktuellen Glibc 2 Voraussetzung. Für die Betaversion musste sogar eine von Matrica gepachtete Glibc herhalten. Beinahe jede Glibc derzeit am Markt befindlicher Linux-Distribution ist Moneyplex-ungeeignet, da beim Laden oder Entladen von Shared-Object-Dateien irreparable Defekte auftreten, was Moneyplex instabil werden lässt.

Moneyplex kann nicht einfach statisch gegen eine funktionierende Glibc linken, weil dadurch Statuten der GPL verletzt würden. Noch ist unklar, in welcher Weise die Final-Version dem Problem zu begegnen gedenkt. Klar dagegen ist, dass es in dieser Ausgabe ein Installationsprogramm geben wird. Unsere Beta war ein Red-Hat-Binary, das in den vorgesehenen Pfad kopiert werden musste. Alternativ hätte der Pfade im Skript »startmpx« angepasst werden können.

Umfangreiche Finanzverwaltungs-Funktionen

Moneyplex ist bei weitem keine reine Homebanking-Lösung, sondern ein ausgewachsenes und mandantenfähiges Finanzverwaltungs-Programm, ausgestattet zudem mit einem umfänglichen, für Deutschland brauchbaren und gut sortierten Satz vorgefertigter Buchungskategorien. Jede einzelnen Kategorie kann außerdem mit einem individuellen Steuerschlüssel belegt werden.

Per Checkbox kann man außerdem festlegen, ob eine Kategorie im »Auswertungs-Modus« berücksichtigt werden soll oder nicht. Da die Kategorienliste erweiterbar ist, spricht nichts dagegen, die Kategoriebezeichnungen an offizielle Kontenrahmen des Finanzamts anzupassen und aus Moneyplex eine echte Finanzbuchführung abzuleiten.

Moneyplex-Voreinstellungen

Obwohl ein Qt-Programm, startet Moneyplex nicht mit einem typischen KDE-Framework, sondern in einem ansprechenden Vollbild-Modus, der nicht von ungefähr an die etablierten OS/2-Versionen erinnert. Mit dem ersten Start führt ein Assistent – später auch über das Menü »Einstellungen« erreichbar – den Anwender (siehe Abbildung 1).

Die Angaben zur Erstkonfiguration sind für jedermann leicht zu beantworten. Unsere Betaversion war mandantenfähig, weshalb sich die gesamte Konfiguration auf mehreren Ebenen vollzog. (Zum Verkaufsstart wird aber nur die Business-Version von Moneyplex mandantenfähig sein.) Zuerst fragt der Assistent technische Parameter zum Herstellen der Internetverbindungen ab sowie die Einstellungen zur Inbetriebnahme des Chipkartenlesers.

Bevor ein Mandant über das vorab eingestellte Sicherheitsmedium angemeldet ist, stehen nur die vier selbsterklärenden Icons »Sicherheitsmedium«, »Erstinitialisierung«, »Mandanten« und »Einstellungen« zur Verfügung. Mit der Schaltfläche »Erstinitialisierung« werden das Erzeugen des privaten Schlüssels und seine Speicherung auf Diskette oder Chipkarte (wie im zweiten Teil dieses Beitrags beschrieben) initiiert – außerdem der INI-Brief für den öffentlichen Schlüssel.

Abbildung 1: Der Konfigurations-Assistent von Moneyplex, etwa zur Konfiguration des Internet-Zugangs, wird beim ersten Start automatisch durchlaufen, kann aber auch nachträglich aufgerufen werden.

Moneyplex-Stammdaten

Erst wer sich nach erfolgreicher Erstinitialisierung des verwendeten Sicherheitsmediums und Anlage eines Mandaten über diesen angemeldet hat, findet sich im Moneyplex-Hauptmenü wieder. Es zeigt rechts 16 großflächig bebilderte Schaltflächen, die in die einzelnen Bereiche von Moneyplex führen.

Am oberen Bildschirmrand warten noch zusätzliche Icons für den direkt Zugriff auf »Registrierungsdaten«, »Produkt-Aktualisierungen«, die »Online-Hilfe« sowie für den Start einer anstehenden »Datenübertragung« auf den Anwender. Die Online-Hilfe war in der Betaversion leider noch nicht verfügbar. Beim ersten Einsatz von Moneyplex ist die Schaltfläche »Stammdaten« mit ihren Untermenüs »Bankverbindungen«, »Konten«, »Adressen« und »Kategorien» als primäres Ziel zu bevorzugen.

Die Adressstammdaten kann man individuell ausfüllen. Ein wesentlicher Unterschied besteht in der Bezeichnungsphilosophie zwischen Bankverbindungen und Konten: Konten sind gewöhnliche, buchhalterisch aktive oder passive Konten (Einnahmen-Konto, Ausgaben-Konto). Die Verbindung eines buchhalterischen Bankkontos mit einem real existieren Girokonto kommt über das Einrichten einer oder mehrerer Bankverbindungen zustande.

Ein Assistent unterstützt das Anlegen einer Bankverbindung. Zuerst fragt er die obligatorischen Daten »Bezeichnung«, »Bankname«, »Bankleitzahl« und »Kontonummer« ab. Abhängig vom verwendeten Sicherheitsverfahren (»PIN/TAN« oder »HBCI«) ändert sich der Teil des Bankverbindungs-Dialogs. Erst wenn wenigstens eine Bankverbindung eingerichtet ist, kann man sinnvoll mit Moneyplex arbeiten.

Abbildung 2: Moneyplex bietet auch eine komfortable Aktien- und Devisenverwaltung an.

Moneyplex im Einsatz

Über die Finanzverwaltung hinaus bietet Moneyplex noch eine Reihe zusätzlicher Merkmale und Funktionen an, etwa eine Depotverwaltung und ein Modul für die Wertpapier- und Devisen-Verwaltung (siehe Abbildung 2).

Aktien- und Devisenkurse werden in der Betaversion automatisch über Yahoo aktualisiert. Wie und über welchen Anbieter sich die Kursdaten-Aktualisierung in der Final-Version darstellen wird – Intuit hat in dieser Angelegenheit Quicken inzwischen auf eine Abo-Preisstaffelung umgestellt -, ist noch unklar.

Im Menü »Management« bietet Moneyplex außerdem Dialoge zur Kommunikation mit der Hausbank, beispielsweise für die Vereinbarung eines Termin oder die Bestellung von Vordrucken. Das Menü »Finanzzentrum« vermittelt einen schnellen, grafischen Überblick über die aktuelle Finanzentwicklung in ausgewählten Kategorien.

Detaillierte Auswertungen für Zeiträume und Kategorien kann man im Dialog »Auswertung« in Auftrag geben (siehe Abbildung 3). »Auswertung erstellen« erzeugt die gewünschte Grafik in Euro oder D-Mark, gestaffelt nach »Überschuss«, »Ausgaben« oder »Einnahmen«.

Die »Suchen«-Schaltfläche führt in einen Dialog, der gezieltes Fahnden nach Transaktionen gestattet. Die Betaversion hatte jedoch noch keinen Report-Generator im Text- oder HTML-Format eingebaut, so dass es nicht möglich war, etwa monatlich oder quartalsweise betriebliche Auswertungen zu erstellen.

Die vom Hersteller beworbenen Im- und Exportfilter für das Quicken-Dateiformat QIF waren im sonst sehr übersichtlichen Programm nicht zu entdecken. Dafür erlaubt es jedoch der Buchungs-Modus, die vorhandenen Buchungen aus anderen Programmen einzulesen: Die Option »Importieren« aus dem Kontextmenü der Buchungsliste fördert eine beeindruckend umfangreiche Liste von Dateiformaten zutage.

Der folgende Teil des Beitrag befasst sich mit einem Alleinstellungsmerkmal von Moneyplex im Linux-Lager, dem HBCI-Banking.

Abbildung 3: Grafische Auswertungen für viele Bereiche sind mit Moneyplex in Handumdrehen erstellt. Sie erstrecken sich auf Wunsch auch auf Unterkategorien.

Noch Standard: Onlinebanking mit Btx und PIN/TAN

Homebanking war die Applikation Nummer eins von Btx alias Datex-J alias T-Online. In Sachen Sicherheit hat diese traditionelle Art einen prinzipiellen Vorteil: Der Zugang bis ins Rechenzentrum der betreffenden Bank verläuft ausschließlich über sonst unzugängliche Rechner von T-Online, nicht übers Internet.

Zur sicheren Authentifikation verwenden die Banken das PIN/TAN-Verfahren, wobei die PIN (Persönliche Identifikationsnummer) das persönliche Passwort darstellt. Bei jeder Transaktion muss der Kunde zusätzlich eine Transaktions-Nummer (TAN) eingeben, die jeweils nur für diesen einen Vorgang gültig ist. Sind (fast) alle TANs aufgebraucht, kann bei der Bank eine neue Liste bestellt werden.

Doch die Zeit der Klötzchengrafiken ist vorbei – der rosa Riese fährt sein Btx-Angebot (mit Ausnahme der Banking-Seiten) gerade auf Nulllinie. Viele Banken und Homebanking-Programme wie Geno der Raiffeisen-Banken verwenden zur internen Abwicklung von Girokonten noch die Btx-Übergabeseiten, teils gefälliger verpackt. Auch Quicken und ähnliche Programme kommen mit diesem Verfahren noch zurecht.

Bankkunden, die sich von der Pflicht-Einwahl bei T-Online entbinden wollen, machen traditionelles Internetbanking. Die Daten müssen dabei prinzipbedingt übers Internet laufen, weshalb alle Homebanking-Konten verschlüsseln. Die meisten Banken setzen Java-Applets ein, die eigene Verschlüsselungsroutinen beinhalten, was sich auf Kundenseite mit erheblichen Wartezeiten beim Laden der Applet-Daten äußert.

Zusätzlich verwenden die Banken das von T-Online bekannte PIN/TAN-Verfahren. Mit den bisherigen Internetbanking-Lösungen kocht aber jede Bank beziehungsweise jedes Rechenzentrum ein proprietäres Süppchen. Wer über mehr als ein Konto bei unterschiedlichen Banken verfügt, muss sich bei jeder Bank mit einer anderen Bedienung auseinandersetzten und außerdem für die gesamte Dauer der Durchführung der Bankgeschäfte online bleiben.

HBCI: Ein überlegenes Protokoll

Onlinebanking nach dem HBCI-Verfahren (Homebanking Computer Interface) ist dem traditionellen PIN/TAN-Banking per Datex-J und Internet deutlich überlegen. Es wurde vorrangig entwickelt, um die Nachteile der bisherigen Lösungen zu beseitigen und einen gemeinsamen Standard fürs Homebanking zu schaffen sowie für mehr Sicherheit und Komfort zu sorgen. Im Jahr 1998 einigten sich die deutschen Kreditinstitute auf den HBCI-Standard 2.0. Die nochmals verbesserte Version HBCI 2.1 wird inzwischen von vielen Banken eingesetzt.

Ein Hauptmerkmal von HBCI sind offene Normen. Jeder Kunde genießt dabei ein hohes Maß an Sicherheit und Freiheit, Letzteres in Form der freien Wahl des Internet-Providers. Zur Einwahl muss lediglich die IP-Adresse der Bank bekannt sein. Hinsichtlich der zu verwendenden Banking-Software hat der Kunde die freie Wahl. Jedes Programm, das die HBCI-Normen erfüllt, kann man fürs Internetbanking einsetzen – Moneyplex ist das erste für Linux.

Da HBCI Software-unabhängig ist, kann man alle HBCI-fähigen Konten unterschiedlicher Banken mit ein und derselben Software verwalten. Außerdem ermöglicht es HBCI, alle Buchungen offline einzugeben. Steht eine Onlineverbindung, verschlüsselt Moneyplex sämtliche Daten und überträgt sie en bloc (siehe Abbildung 4). Eine TAN-Liste braucht man dazu auch nicht mehr. Neben dem Übertragen von Überweisungen und Daueraufträgen gehören dazu auch das Holen von Kontoauszügen, die Aktualisierung von Aktienkursen oder sogar der Download von Programmaktualisierungen.

Sicherheit ist der bei weitem wichtigste Aspekt beim Internetbanking – andernfalls würden Banken und deren Kunden ihre Akzeptanz verweigern. HBCI zeichnet sich durch die zur Zeit höchste erreichbare Sicherheit unter den gängigen Onlinebanking-Verfahren aus. Der Zentrale Kreditausschuss (ZKA) schreibt das Angebot dieses Standards für alle Kreditinstitute verpflichtend vor.

Seine hohe Sicherheit erreicht der HBCI-Standard unter anderem durch den alternativen Einsatz von Chipkarten und Chipkartenlesern statt der preisgünstigeren reinen Softwarelösung mit Schlüssel-Diskette. Weitere Infos zu HBCI sind unter [1] zu finden.

HBCI benutzt zur Datenverschlüsselung und Authentifizierung das RSA-Verfahren, das nach seinen Erfindern Rivest, Shamir und Adleman benannt ist. RSA verschlüsselt asymmetrisch mit zwei Schlüsseln, einem öffentlichen und einem privaten. Der öffentliche Schlüssel kann frei weitergegeben werden und dient lediglich zur Entschlüsselung der Daten. Der private Schlüssel wird geheim gehalten und dient zur Verschlüsselung der Daten, ähnlich wie bei PGP (Pretty Good Privacy). Im Gegensatz zu anderen Verschlüsselungsmethoden lässt sich bei der asymmetrischen Verschlüsselung die Identität des Absenders immer eindeutig verifizieren.

Abbildung 4: Als echte HBCI-Software sammelt Moneyplex alle Online-Aufträge und überträgt sie in einem einzigen Durchgang. Bei dieser Gelegenheit werden auch Programmaktualisierungen und Wertpapierkurse abgeholt.

HBCI in der Anwendung

In der Praxis funktioniert die Verschlüsselung mit Hilfe des HBCI-Verfahrens wie folgt: Der Kunde erhält von seiner Bank bei der Anmeldung zum HBCI-Banking einen so genannten INI-Brief. Darin befinden sich seine Online-Identifikationsnummer sowie ein Ausdruck des öffentlichen Schlüssels der Hausbank. Der HBCI-Anwender benötigt im nächsten Schritt ein eigenes Schlüsselpaar, bestehend aus öffentlichem und privatem Schlüssel.

Hierzu haben sich in der Praxis zwei Verfahren etabliert, zum einen die Speicherung auf einer Chipkarte, zum anderen das Speichern auf einer so genannten Sicherheitsdiskette. Beiden Möglichkeiten ist gemein, dass der Schlüssel portabel und nicht mehr auf der Festplatte des Benutzers gespeichert wird. Chipkarte oder Diskette lassen sich an einem sicheren Ort aufbewahren oder bei Reisen mitnehmen.

Beim ersten Start von Moneyplex erzeugt der Anwender ein Schlüsselpaar und speichert es mit einem Kennwort zusammen auf der Diskette ab. Der Schlüssel selbst entsteht auf Basis eines Zufallszahlen-Generators. Der Zufalls-Algorithmus kann sich zum Beispiel auf eine Mausbewegung stützen, es kommen aber auch andere Zufallsgeneratoren zum Einsatz. Ab sofort darf sich der Anwender für jede Online-Transaktion über die Sicherheitsdiskette (oder die Chipkarte) authentifizieren.

Abbildung 5: Moneyplex fordert beim Start zum Einlegen des Sicherheitsmediums auf. Eine Chipkarte ist in dieser Hinsicht die eleganteste Lösung.

Prozedur des ersten Schlüsseltauschs

Im Anschluss verbindet sich die HBCI-Software mit dem Rechner der jeweiligen Bank. Die Bank überträgt ihren öffentlichen Schlüssel auf den Rechner des Anwenders. Durch den Vergleich der Schlüsseldaten mit denen im INI-Brief stellt der Anwender die Identität der Bank sicher. Erst danach gibt der Kunde seine Onlinenummer ein und überträgt damit seinen öffentlichen Schlüssel zur Bank.

Nun muss der Anwender einen eigenen INI-Brief mit seinem öffentlichen Schlüssel erzeugen und ihn ausgedruckt an die Bank schicken oder dort hinbringen. In der Bank geschieht die Prüfung des INI-Briefs anhand der hinterlegten Unterschriftenkopie des Kunden. Die Authentizität des INI-Briefs ergibt die Authentifizierung des Anwenders und damit die Echtheit seines öffentlichen Schlüssels.

Erst jetzt schaltet die Bank das HBCI-Banking-Konto frei; der Schlüsselaustausch ist abgeschlossen, denn Bank und Kunde besitzen jeweils den öffentlichen Schlüssel des anderen.

Bei Verlust oder Zerstörung der Sicherheitsdiskette (oder der Chipkarte) helfen nur das Sperren des HBCI-Zugangs bei der Bank und die Generierung eines neuen Schlüsselpaars. Eine Sicherheitskopie ist darum zu empfehlen. Der Schlüssel bleibt dabei noch über die selbst gewählte PIN geschützt.

Abwicklung einer Online-Transaktion via HBCI

Bei der Abwicklung einer Transaktion per HBCI geschieht Folgendes: Im ersten Schritt verschlüsselt Moneyplex die Daten mit dem öffentlichen Schlüssel der Bank. Darum ist ausschließlich die Bank auf Basis ihres eigenen privaten Schlüssels in der Lage, die Daten wieder zu entschlüsseln. Zusätzlich unterschreibt die HBCI-Software die Transaktion mit dem privaten Schlüssel des Kunden. Dabei errechnet Moneyplex noch einen Hash-Wert (einen eindeutigen numerischen Wert) auf der Basis der zu übertragenden Daten.

Der Vorteil besteht darin, dass die elektronische Unterschrift immer einmalig an die anstehende beziehungsweise in Übertragung befindliche Transaktion gebunden ist. Das Entfernen der Unterschrift hilft einem potenziellen Angreifer nicht weiter, da eine Änderung der mitgelieferten Daten durch den falschen Hash-Wert sofort auffällt.

Der Praxistest: HBCI mit Moneyplex

Zum Test muss ein Kartenleser von der Firma Kobil herhalten. Die Kommunikation zwischen Lesegerät und PC erfolgt über die serielle Schnittstelle, zur Stromversorgung ist zusätzlich der PS/2-Anschluss eingeschleift. Kobil liefert den tadellos funktionierenden Linux-Treiber »bct_kaan.so« auf Diskette mit. Der Pfad zur Installations-Software muss im Dialog des Setup-Assistenten eingetragen werden.

Für die HBCI-Praxistests mit Moneyplex steht ein HBCI-fähiges, von Matrica freigeschaltetes Testkonto nebst zugehöriger Chipkarte bei der Hypo-Vereinsbank bereit. Mit ihm und Moneyplex für Linux lassen sich ohne Probleme Kontostände anfragen und Überweisungen tätigen. Moneyplex liest vor jeder einzelnen Transaktion die Schlüsseldaten von der Chipkarte und fordert dann zur Eingabe des Passworts auf.

Fazit

Moneyplex ist – gemessen an der Konkurrenz (siehe Kasten “Alternativen” sowie [3] und [4]) – das umfassendste Programm seiner Art. In Sachen HBCI-Onlinebanking steht es unter den Linux-Programmen sogar allein auf weiter Flur, aber es beherrscht auch das PIN/TAN-Verfahren. Bei der reinen Finanzverwaltung kommen allenfalls Moneydance und Gnucash ansatzweise an den Funktionsumfang von Moneyplex heran.

Dabei läuft das Programm schon in der Betaversion erstaunlich stabil. In unserem dreiwöchigen Test-Zeitraum stürzte Moneyplex nicht ein einziges Mal ab. Bis zur Final-Version muss der Hersteller aber noch fehlende Funktionen, zum Beispiel einen Berichtsgenerator, die Online-Hilfe und ein Installationsskript, hinzustricken. (jk)