"Sicheres mobiles Banking mit Smartcard Technologie"

Bankgeschäfte online zu erledigen, ist heutzutage besonders für Firmenkunden mit mehreren Bankverbindungen nicht gerade einfach: jede Bank hat eigene Zugangswege und Software Applikationen für den Online Zugriff und es gibt die unterschiedlichsten Zugriffsregelungen und Autorisierungsverfahren. Zudem ist der Zugang meist an einen lokalen Rechner gebunden, weil dort spezielle Clientsoftware und - falls eine hohe Sicherheit gefordert ist - auch ein Chipkartenleser installiert werden müssen.

Gerade dieser dezentrale Client/Server Ansatz mit komplexen technischen und administrativen Anforderungen an die Umgebung bringt hohe Kosten für Installation und Support bei den Endkunden mit sich. Diese Last müssen die Banken tragen, obwohl es eigentlich nichts mit deren Kerngeschäft - dem Finanzwesen - zu tun hat. Und auch der Firmenkunde einer Bank möchte sich eigentlich nicht mit technischen Details und Software-Support beschäftigen, sondern effizient seine Finanz-Transaktionen mit seinen Hausbanken tätigen.

Auch die Sicherheit wird für Online Bankgeschäfte immer wichtiger. Durch immer ausgefeiltere Phishing und Trojaner Angriffe sind die PIN/TAN basierten Ansätze nicht mehr auf dem Stand der Zeit. Abhilfe bringt hier der Einsatz von Chipkarten, die jedoch eine aufwändige Kartenleser-Installation oder einen unkomfortablen Challenge/Response Offline Leser erfordern.

Um dieser Situation zu begegnen, hat die Commerzbank im Juni 2007 das neue "Company World" Portal für Firmenkunden gestartet. In dieser Web-basierten Anwendung setzt die Commerzbank als erste Bank weltweit den offenen EBICS (Electronic Banking Internet Communication Standard) Standard ein. Dadurch können Geschäftskunden über das Portal der Commerzbank hindurch auch andere Bankverbindungen pflegen und den Zahlungsverkehr abwickeln. Auch der Upload von großen Zahlungsverkehrsdateien ist hier problemlos möglich. In Deutschland ist EBICS seit dem 1. Januar 2008 obligatorisch für die deutschen Banken. EBICS nutzt moderne Technologien wie XML und HTTPS und benötigt für die Autorisierung von Transaktionen eine kryptographische Signatur nach dem sogenannten A004-Standard. Durch die Funktion der Mehrfach-Unterschrift können geographisch und organisatorisch verteilte Autorisierungen für eine Transaktion eingeholt werden (A- und B-Unterschrift). So kann z. B. die Buchhaltung eine Zahlungsanweisung in das Portal einstellen, die dann von einem Bevollmächtigten der Firma gegengezeichnet wird.

Die "Zero Footprint for Smartcard Applications"-Technologie

Für den Zugriff auf das Firmenkundenportal setzt die Commerzbank auf die KOBIL mIDentity Plattform. Das handliche Gerät im USB Format mit Chipkartenlesegerät und Flash-Speicher für mobile Anwendungen kann auf jedem Windows-, Linux- und MacOS Rechner genutzt werden, ohne dass dafür extra Software oder Treiber installiert werden müssen. Auch Administrator-Rechte werden nicht benötigt, so dass sogar der Betrieb unter Windows Vista ohne lästige Rückfragen der User Access Control (UAC) möglich ist.

Beim Einstecken des KOBIL mIDentity Device wird dieses vom lokalen PC als CD-ROM Laufwerk erkannt, in dem ein komplett vorkonfigurierter Firefox Browser inklusive Java Runtime Environment (JRE) abgelegt ist. Von diesem CD-ROM Laufwerk aus wird der Browser beim Einstecken per Autorun Mechanismus gestartet. Die eingelegte Smartcard im SIM Format trägt die digitale Identität des Benutzers und wird benutzt, um die digitale A004-Unterschrift für die Transaktionen zu erzeugen. Diese Chipkarte ist mit dem SECCOS Betriebssystem ausgestattet und mit einer SIM Stanzung versehen, so dass der Endbenutzer diese ganz einfach herausbrechen und in den mIDentity einlegen kann - genauso wie bei seinem Mobiltelefon (siehe Abbildung 2).

Mit Hilfe der "Zero Footprint for Smartcard Applications"-Technologie erfolgt der Zugriff auf die Smartcard aus dem mitgeführten Browser heraus, ohne dass dafür ein spezieller Treiber auf dem lokalen PC installiert werden muss und ohne dass dafür Administrator-Privilegien notwendig sind (siehe Abbildung 3).