Vorschlag für eine Prozessinnovation

Sensibilisierung der Kunden für Sicherheitsaspekte durch die Förderung der Nutzung von E-Mail-Verschlüsselung

Version 1.2/2.1, 04.12.2005

Hauke Laging, Grazer Platz 22, 12157 Berlin, Tel.: 030/32603660, mobil: 0172/7630883, E-Mail: hauke@laging.de
Student des Wirtschaftsingenieurwesens und ehemaliger Mitarbeiter des Lehrstuhls für Technologie- und Innovationsmanagement an der Technischen Universität Berlin.

Übersicht


Zusammenfassung - Übersicht

Durch die Verfügbarmachung zusätzlicher Dienstleistungen (v.a. Informationsmöglichkeiten) sollen auch technisch wenig versierte Bankkunden motiviert werden, ihren E-Mail-Verkehr durch digitale Signaturen abzusichern. Dadurch sollen diese Bestandteil der Alltagserfahrung werden, was wiederum erhebliche Auswirkungen auf die Sicherheitslage im Internet (Stichworte Onlinebanking, Phishing) haben dürfte. Die Banken können so mit wenig Aufwand eine Entwicklung auslösen, von der sie selber in mehrfacher Hinsicht profitieren.

Ausgangslage - das Problem des Kunden - Übersicht

Ein Großteil der Sicherheitsprobleme im Internet ist auf das mangelnde technische Verständnis bei der Masse der "normalen Anwender" zurückzuführen. Das wiederum liegt einerseits daran, dass die Materie technisch nicht trivial zu durchschauen ist, andererseits aber sicher auch daran, dass die fraglichen Mechanismen im Alltag dieser Klientel keine Rolle spielen. Täten sie das - so die Prämisse dieses Vorschlags -, wären die Anwender im Umgang mit den Bedrohungen weniger naiv.

Problembewusstsein

Den Anwendern ist durchaus klar, dass sie letztlich keine Ahnung haben, aber das bringt fast niemanden dazu, sich mal die fraglichen Kenntnisse anzueignen.

Ziel - Übersicht

Die Anwender sollen dazu motiviert werden, diese Techniken in ihren Alltag zu integrieren. Dies erscheint mit geringem Aufwand bei einem Teil von ihnen möglich, indem ihnen Dienste angeboten werden, die ihnen nur dann zur Verfügung stehen. Dafür eignen sich besonders Banken, die bisher gar nichts per E-Mail verschicken. Die Banken sollten denjenigen Kunden, die digitale Schlüssel für E-Mail verwenden, anbieten, bestimmte Informationen verschlüsselt per E-Mail mitzuteilen, etwa den Eingang größerer Beträge, Überweisungen ins Ausland (schönen Gruß an die Phisher), das Unterschreiten eines Mindestabstands zum Dispolimit, das Ausbleiben regelmäßiger Einzahlungen usw.

Auch "harmlose" E-Mails der Bank sollten wenigstens digital unterschrieben werden. Von Zeit zu Zeit sollten die Kunden eine Warn-E-Mail bekommen, die mit einem anderen Schlüssel signiert wurde, damit die Anwender den Unterschied in ihrer Software bemerken und diesen Unterschied mit Alarm assoziieren.

Nebenziele, positive Nebeneffekte, weitere Betroffene

Da die Kunden einen digitalen Schlüssel, den sie erst mal haben, auch benutzen würden, würde ein Grundverständnis der Vertrauensstellung digitaler Signaturen geschaffen. Da man plötzlich nicht mehr der einzige im Bekanntenkreis mit digitalen Signaturen wäre, würde für einige Leute die E-Mail-Wirklichkeit eine andere.

Umsetzung - Übersicht

Anforderungen

Realisierung

Es müsste die Möglichkeit geschaffen werden, sich dafür anzumelden. Diese Anmeldung sollte sinnvollerweise nur mit einer verschlüsselen und signierten E-Mail möglich sein.

Vorbildlich wäre die Bereitstellung aller relevanten Schlüssel und Zertifikate an zentraler Stelle, etwa keys.meinebank.de. Der Hash dieser sicherheitstechnisch zentralen Anlaufstelle könnte auf die Kontoauszüge gedruckt werden, so dass die Kunden ihn ebenso komfortabel wie fälschungssicher immer zur Hand hätten. Dadurch würde auch die Bedeutung der Kontrolle der Schlüssel unterstrichen.

Je nachdem, ob der Kunde OpenPGP oder X.509-Zertifikate nutzt, würde sein Schlüssel automatisch akzeptiert oder müsste freigeschaltet werden. Dies könnte durch einen Besuch in der Bank oder eine TAN erfolgen.

Im Vorfeld müssten den Kunden geeignete Informationsangebote präsentiert werden. Hier müsste man das Rad nicht neu erfinden, sondern nur mal Geeignetes zusammensuchen. Das wäre dann zwar nicht konform zum corporate design des Unternehmens, aber es geht hier ja auch nicht um etwas Unternehmensspezifisches. Da es hier um etwas Großes im Bereich der deutschen IT-Sicherheit ginge, könnte man wahrscheinlich sogar das BSI dafür gewinnen, eine DAU-kompatible Anleitung zu veröffentlichen. Dadurch würde die ganze Aktion zusätzlich geadelt.

mögliche Probleme

Schlüsselverwaltung

Wenn man digitale Schlüssel akzeptiert, muss man natürlich auch kompromittierte verwerfen. Dies ist keine technische Herausforderung, bringt aber eventuell einen gewissen organisatorischen Mehraufwand mit sich, der zu berücksichtigen ist.

Entwicklungskosten

Die Bereitstellung einer Informationswebseite und eines E-Mail-Interface für die Anmeldung wären verhältnismäßig aufwandsarm. Die Kosten für die Entwicklung und Anbindung der eigentlichen Dienste, die auf dieser Infrastruktur aufsetzen, kann man sinnvollerweise nicht dieser Maßnahme zurechnen, da sie im Interesse des Unternehmens liegen und lediglich bisher nicht realisierbar sind.

Marktchancen - Übersicht

Vorteile der Innovation und ihr Gewicht, Aufwand-Nutzen-Verhältnis

Die Bank hätte neben den reduzierten Sorgen bezüglich der allgemeinen Sicherheit des Onlinebanking endlich denselben schnellen und hochflexiblen Draht zum Kunden wie der Rest der Wirtschaft - E-Mail. Inwiefern sich das nutzen lässt, kann man nur mutmaßen. Den Marketingleuten fällt dazu mit Sicherheit einiges ein.

Durch die zeitnahe Benachrichtigung über ungewöhnliche Vorfälle steigt die Chance, auf Betrügereien welcher Art auch immer rechtzeitig reagieren zu können, insbesondere bei Angabe einer geeigneten Anlaufstelle, falls der eigene Betreuer gerade nicht greifbar ist.

Nachteile der Innovation

Sicherheit ist im Bankgeschäft alternativlos. Dem Aufwand, der hierfür auf Seiten der Bank und der Kunden zu treiben wäre, stünde lediglich die Option gegenüber, gar nichts zu machen und sich weiterhin der Möglichkeiten des Internet weitgehend zu berauben. Von diesen Kosten wäre außerdem der langfristig eingesparte Ärger im Phishingbereich abzuziehen, außerdem können die Kosten teilweise den dadurch erst ermöglichten Marketingmaßnahmen zugerechnet werden.

Das Problem dieses Ansatzes ist das übliche: Es ist zu befürchten, dass die Leute, die es am nötigsten haben, zuletzt erreicht werden. In diesem Fall wäre im Extremfall lange Zeit gar kein Fortschritt an der Phishingfront feststellbar.

Zielgruppen

Die Zielgruppe sind alle Bankkunden, die über einen Internetzugang verfügen. Die müssen dafür noch nicht einmal Onlinebanking nutzen; den Vorteil des besseren Kundenkontakts hat die Bank auch so.

Vermarktung

Da es sich hier um eine "gute Sache" von erheblicher Bedeutung handelt, darf damit gerechnet werden, dass die Medien diesen neuen, indirekten Ansatz der Verbrechensvorbeugung aufgreifen und bekannt machen.

Erklärungsbedürftigkeit

Was da genau passiert, versteht natürlich kaum jemand, aber es weiß auch kaum jemand, wie ein PC funktioniert - man benutzt ihn trotzdem. Entscheidend ist, dass man den Leuten klar macht, dass sie diese Technik verwenden können, ohne sie komplett zu verstehen, und lediglich ein paar Grundregeln zu lernen haben.

Erweiterungen

Die folgenden Zusatzdienste könnten sowohl pro In-Anspruch-Nahme berechnet werden als auch im Rahmen eines "besseren" Kontos mit höherer Grundgebühr angeboten werden. So ließe sich bei geringen Kosten (die Technik ist jeweils einfach) zusätzlicher Umsatz generieren.

signierte Transaktionsbestätigungen

Es wäre oftmals von Vorteil, wenn der Kunde nachweisen könnte, dass er eine Transaktion bereits ausgelöst hat. Dadurch entstünde ein Zusatznutzen in zwei Situationen:

  1. Der Empfänger bestreitet den Eingang der Zahlung.

  2. Der Empfänger reagiert erst auf den Eingang der Zahlung (Vorkasse).

Den Nutzern digitaler Schlüssel könnte auf Wunsch eine digital signierte Bestätigung der Transaktionsauslösung per verschlüsselter E-Mail zugestellt werden. Diese Datei(en) könnte der Kunde dann Dritten zugänglich machen, die dadurch die Sicherheit hätten, dass das Geld zu ihnen unterwegs ist. Dadurch ließe sich die Verzögerung, die bei Vorkassezahlung zwangsläufig auftritt, umgehen.

Damit dieses Verfahren auch in großer Zahl für den Lieferanten durchführbar ist, muss es automatisierbar sein. Dafür sollte eine XML-Struktur geschaffen werden, die - etwas durch (spätere) Absegnung durch nationale und internationale Verbände - einheitlich ist. Diese Bestätigung müsste auch eine Möglichkeit (Transaktions-ID) enthalten, über die derjenige, dem diese Bestätigung vorgelegt wird, prüfen kann, ob die Transaktion rückgängig gemacht wurde (etwa bei betrügerischen Kontomanipulationen). Das wäre auch kein Datenschutzproblem, da der Anfrager lediglich eine (ebenfalls signierte) Ja-nein-Bestätigung bekäme, ohne Informationen über die Beteiligten und die Höhe der Transaktion.

In dieser Situation hätten Lieferanten die Möglichkeit, ihren Kunden eine Webseite oder E-Mail-Adresse anzubieten, über die sie die Bankbestätigung an ihn schicken können. Dank der Standardisierung des Formats könnte die Buchhaltungssoftware diese Bestätigung ohne menschliches Eingreifen auswerten und den Versand der Ware (oder was auch immer) unmittelbar auslösen.

Analog hätten Lieferanten, die per Bankeinzug bezahlt werden und Rechnungen per E-Mail verschicken, die Möglichkeit, die Daten ihrer (geplanten) Transaktion in diesem Format beizulegen. So könnte eine Finanzverwaltungssoftware mit Zugriff auf die Kontodaten (wie auch immer) die von der Bank gemeldeten Abbuchungen den elektronischen Rechnungen zuweisen. Zumindest könnte die Bestätigungsdatei sehr viel mehr Informationen enthalten als der Kontoauszug.

Kontoauszüge

Wenn man schon über ein einheitliches Format zur Beschreibung von Transaktionen verfügt, bietet es sich an, dies um die Felder zu erweitern, die nötig sind, um auf diesem Weg alle Inhalte eines Kontoauszugs (inklusive Anmerkungen) widerzugeben, so dass die Kunden ihre Kontoauszüge etwa per E-Mail und Web-Download als verschlüsselte und signierte Datei bekommen können, die im Klartext (wegen des offenen Standards) von jeder Software zu verarbeiten ist.

Bonitätsprüfung

Lieferanten, die auf Rechnung bleiefern, könnten sich von ihrem Kunden eine aktuelle Bonitätsbestätigung vorlegen lassen. Der Kunde möchte für den Betrag x bestellen, was der Lieferant nur akteptiert, wenn der Kunde nachweist, dass er den Betrag x (oder einen um einen Sicherheitsaufschlag erhöhten, denn man hat ja noch andere Kosten) zur freien Verfügung hat, dass also die Differenz aus Dispolimit und aktuellem Kontostand mitndestens gleich dem geforderten Betrag ist. Das wäre kein ernsthafter Eingriff in den Datenschutz, da man wohl voraussetzen darf, dass jemand eine Verbindlichkeit, die er einzugehen im Begriff ist, auch begleichen kann, und gleichzeitig keinerlei Aussage über den absoluten Kontostand getätigt würde. Der Kunde könnte per E-Mail und/oder über eine Webseite den gewünschten Betrag eingeben und bekäme dann per verschlüsselter E-Mail oder zum (verschlüsselten) Download von der Webseite eine signierte, automatisch auswertbare Datei mit der gewünschten Bestätigung, also der Bonitätszusage, dem Betrag und dem Zeitstempel.

Natürlich verhindert so ein System aus vielerlei Gründen keine Zahlungsausfälle, aber die aussichtslosen Bestellungen ließen sich so herausfiltern, ohne dass der Lieferant damit zusätzlichen Aufwand hätte (da es für ihn automatisiert abliefe).


Änderungen am Dokument - Übersicht

1.1