HBCI

HBCI

 

[Abk. für Home Banking Computer Interface; »Computerschnittstelle für Bankgeschäfte von zu Hause aus«], Standard der deutschen Bankwirtschaft zur Kommunikation zwischen Bankcomputer und Kundencomputer (Electronic Banking). Diese werden intern in einem Format abgewickelt, das auf dem EDIFACT-Standard basiert (Electronic Data Interchange for Administration, Commerce and Transport).

 

Die Bankwirtschaft sieht unterschiedliche Vorteile bei der Verwendung von HBCI. So ist die Schnittstelle zwischen Benutzer und Bank flexibel, lässt sich mithin vergleichsweise einfach und ohne große Schwierigkeiten für den Kunden an neue technische Gegebenheiten anpassen. Der Standard ist daneben auch unabhängig von der Art der Darstellung am Computer. Damit sind unterschiedlichste Institutionen und Anwendungsprogramme in der Lage HBCI-Daten anzubieten. HBCI ist außerdem, wie ältere Standards auch, Multibanking-fähig, man kann also mit einem Programm per HBCI unterschiedliche Konten verwalten. Ein weiterer wesentlicher Aspekt für die Bankwirtschaft ist die Möglichkeit, auch neue Geschäftsarten zu erschließen, in denen HBCI zum Einsatz kommen kann, etwa den An- und Verkauf von Aktien oder sogar den Einsatz im E-Commerce bzw. M-Commerce.

 

Eingeführt wurde der Standard 1997 als Alternative zum bis dahin vorherrschenden PIN/TAN-Verfahren (Persönliche Identifizierungsnummer, PIN, Transaktionsnummer, TAN), mit dem Home Banking vorwiegend über Btx, den Vorläufer von T-Online, abgewickelt wurde. Obwohl dieses Verfahren als sehr sicher gilt, bietet es nur wenig Komfort.

 

Für den Kunden einfacher und unter Sicherheitsaspekten ebenfalls vielversprechend sind die beiden in HBCI definierten Verfahren, mit denen sich ein Benutzer am Bankrechner anmelden und seine Geschäftsvorgänge abwickeln kann. Beide Verfahren verwenden zwei Schlüssel (Datenverschlüsselung), um eine Nachricht zu ver- oder zu entschlüsseln.

 

Beim MAC-Verfahren (Message Authentication Code, »Nachrichtenbeglaubigungscode«) kennen sowohl Kunde als auch Bank - und nur diese beiden - beide Schlüssel. Ein Schlüssel dient als Signierschlüssel, mit ihm werden Nachrichten »unterschrieben«. Der zweite Schlüssel ist ein Chiffrierschlüssel, mit dem Nachrichten verschlüsselt werden. Das MAC-Verfahren ist besonders für den Einsatz von Chip-Karten geeignet, da dann die beiden Schlüsselcodes nie die Chip-Karte verlassen müssen. Der Vorteil dieses Verfahrens liegt zudem darin, dass der Kunde seine Bankgeschäfte (mit der Karte) prinzipiell an jedem beliebigen Ort mit Kartenlesegerät und Online-Verbindung zur Bank durchführen kann. Für das Home Banking hat dieses Verfahren allerdings den Nachteil, das zunächst ein Kartenlesegerät angeschafft und an den eigenen Computer angeschlossen werden muss.

 

Rein Software-mäßig arbeiten dagegen Verfahren auf der Basis der RSA-Verschlüsselung. Hierbei werden Schlüsselpaare verwendet, die aus je einem privaten Schlüssel (engl. private key) und einem öffentlichen Schlüssel (engl. public key) bestehen. Die beiden öffentlichen Schlüssel tauschen Bank und Kunde untereinander aus. Die privaten Schlüssel könnte der Kunde mit seiner Software selbst erzeugen, aber auch hier gehen die Banken dazu über, den Private Key des Kunden bereits bei Eröffnung des Kontos zu erstellen und mit den Public Keys dem Kunden zu übergeben. Dies bedeutet i. d. R., dass der Kunde zunächst eine Mitteilung seiner Bank, einen sog. Ini-Brief, und danach einen Datenträger mit den beiden öffentlichen Schlüssel erhält. Er ist dabei verpflichtet, diesen Datenträger nur dann in den Computer zu laden, wenn er seine Bankgeschäfte abwickelt. Zu anderen Zeiten muss der Datenträger sicher und geschützt aufbewahrt werden, da sonst die Banken keine Haftung übernehmen.

 

Ähnlich wie bei MAC signieren Kunde und Bank ihre jeweiligen Nachrichten mit einem Schlüssel, hier dem Private Key, und chiffrieren sie mit dem anderen, bei RSA also dem Public Key. Hat der Kunde also mit seinem Privatschlüssel signiert und mit dem öffentlichen chiffriert, so dekodiert die Bank die Nachricht mir ihrem Private Key und überprüft die Korrektheit der Signatur mit dem öffentlichen Schlüssel des Kunden.

 

Sowohl unter MAC als auch unter RSA wird für die eigentlich über das Internet übertragene Nachricht, inklusive aller Verschlüsselungen, aus dem öffentlichen Schlüssel ein völlig zufälliger und nur für diese Nachricht gültiger Schlüssel erzeugt und der Nachricht vorangestellt. Mit dessen Hilfe wird per Triple-DES-Verfahren (DES) die gesamte Nachricht kodiert und somit für Dritte unleserlich gemacht. Auf Bankseite wird dann zunächst der DES-kodierte Nachrichtenschlüssel entschlüsselt und danach Nachricht und Unterschrift mithilfe der bei der Bank bekannten Keys.

 

Ohne eigenständige HBCI-fähige Finanzprogramme bzw. spezielle Browser Plug-ins ist ein Bankzugang über HBCI nicht möglich. Dies ist aber für Privatkunden nicht problematisch, da einerseits die verbreitete T-Online-Software 4.0 HBCI-kompatibel ist und andererseits Banken gerne fehlende Software zur Verfügung stellen - durch Home Banking können sie erhebliche Personalkosten einsparen. Wenn HBCI-Transaktionen - wie dies i. d. R. der Fall ist - über das Internet abgewickelt werden, wird kein eigenes Protokoll, sondern meistens TCP/IP verwendet. Lediglich für die Transportschicht (OSI-Schichtenmodell) gibt es eigene Spezifikationen. Alle HBCI-Daten werden über den Port 3000 versendet, der für HBCI Client Software frei zugänglich ist, auf Bankseite aber gesondert gegen Missbrauch oder Datendiebstahl abgesichert werden kann.

 

International ist HBCI nicht im Einsatz. In den USA beispielsweise wird für Electronic Banking per Internet OFX häufig verwendet, als Verschlüsselungsverfahren ist u. a. SSL weit verbreitet.