DE102011015318B4

DE102011015318B4 - Securing a transaction, in particular at an ATM

Info

Publication number: DE102011015318B4
Application number: DE102011015318.7A
Authority: DE
Inventors: Walter Daguhn
Original assignee: EK ELEKTROTECHNIK GmbH; EK-Elektrotechnik GmbH
Current assignee: EK ELEKTROTECHNIK GmbH; EK-Elektrotechnik GmbH
Priority date: 2011-03-28
Filing date: 2011-03-28
Publication date: 2018-07-19
Anticipated expiration: 2031-03-29
Also published as: DE102011015318A1

Abstract

Verfahren zur Sicherung einer Transaktion an einem Selbstbedienungsterminal, insbesondere einem Geldautomaten, mit den Schritten:- Auslesen einer Kundeninformation von einem Datenträger an dem Selbstbedienungsterminal,- Ermitteln zumindest eines die Transaktion charakterisierenden Kriteriums und Vergleichen des ermittelten Kriteriums mit einem Vergleichskriterium,- Abfragen zumindest einer Benutzerinformation von einem Benutzer an dem Selbstbedienungsterminal abhängig von dem Vergleichsergebnis,- Überprüfen der Benutzerinformation mit Hilfe der Kundeninformation,- Freigeben der Transaktion abhängig von der Überprüfung.Method for securing a transaction at a self-service terminal, in particular an ATM, comprising the steps: - reading customer information from a data medium at the self-service terminal, - determining at least one criterion characterizing the transaction and comparing the determined criterion with a comparison criterion, - querying at least one user information from a user at the self-service terminal depending on the result of the comparison, - checking the user information with the help of the customer information, - releasing the transaction depending on the check.

Description

Der Gegenstand betrifft ein Verfahren als auch ein System zur Sicherung einer Transaktion, insbesondere einer Transaktion an einem Geldautomaten.The subject matter relates to a method as well as a system for securing a transaction, in particular a transaction at an ATM.

Die Druckschrift US 2003 / 0 101 134 A1 beschreibt eine Methode sowie ein System zur Durchführung einer vertrauenswürdigen Transaktion. Bevorzugt sollen mit Hilfe der beschriebenen Methode bereits vorhandene Transaktions-Verfahren optional erweitert werden, um eine höhere Sicherheit der Transaktion zu gewährleisten. Zusätzlich zur grundsätzlichen Auswahl einer vertrauenswürdigen Abfrage bietet die Methode die Definition eines Transaktionsmusters an. In Abhängigkeit einer Übereinstimmung einer Transaktion mit dem vorgegebenen Transaktionsmuster wird in diesem Fall eine zusätzliche vertrauenswürdige Abfrage über einen anderen, sicheren Kommunikationskanal (Telefon, Handy, Web-Handy, Pager) eingeleitet.Document US 2003/0 101 134 A1 describes a method and a system for carrying out a trustworthy transaction. Preferably, existing transaction methods should optionally be extended with the aid of the described method in order to ensure greater security of the transaction. In addition to the basic selection of a trusted query, the method offers the definition of a transaction pattern. Depending on a match of a transaction with the given transaction pattern, in this case an additional trusted request is initiated via another secure communication channel (telephone, mobile, web-phone, pager).

Dienstleistungen für Kunden, insbesondere im Bankensektor, werden zunehmend an Selbstbedienungsterminals, wie beispielsweise Geldautomaten, angeboten. Durch den Einsatz von Geldautomaten sparen sich die Geldinstitute Personalkosten, da insbesondere das Geld Abheben besonders einfach durch den Kunden selbst an einem Geldautomaten durchgeführt werden kann.Services for customers, especially in the banking sector, are increasingly offered at self-service terminals, such as ATMs. Through the use of ATMs, the financial institutions save personnel costs, since in particular the withdrawal money can be carried out particularly easily by the customer himself at an ATM.

Der Abhebevorgang ist hinlänglich bekannt, so dass dieser nachfolgend nur kurz umrissen wird. Der Kunde, der Geld abheben möchte, führt seine Kundenkarte, eine Bankkarte, eine Girokontokarte, eine Kreditkarte oder dergleichen, die einen Magnetstreifen als auch einen Mikrochip aufweist, in einen Kartenleser des Geldautomaten ein. Der Kartenleser erfasst vorzugsweise über den Magnetstreifen die Kundennummer und/oder die Kontonummer des Kunden und/oder Identifikationsdaten der Karte. Dann fordert der Geldautomat den Kunden auf, über ein Tastenfeld (PIN-Feld) eine Geheimzahl (Persönliche Identifikations Nummer PIN) einzugeben. Diese Geheimzahl ist vorzugsweise nur dem Kunden bekannt.The lifting process is well known, so that this will be outlined only briefly. The customer who wishes to withdraw money inserts his loyalty card, a bank card, a current account card, a credit card or the like, which has a magnetic strip as well as a microchip, into a card reader of the ATM. The card reader preferably detects via the magnetic strip the customer number and / or the account number of the customer and / or identification data of the card. The ATM then asks the customer to enter a PIN (Personal Identification Number PIN) via a keypad (PIN field). This secret number is preferably known only to the customer.

Nach der Eingabe der Geheimzahl bestehen zwei Möglichkeiten, die Richtigkeit der Geheimzahl zu überprüfen. Zum Einen ist es möglich, dass die Kundeninformationen, die von dem Magnetstreifen ausgelesen worden sind, an den Mikrochip der Kundenkarte übertragen werden. Außerdem wird die eingegebene PIN an den Mikrochip übergeben. In dem Mikrochip kann anhand der Kundendaten und anhand eines aufwändigen Rechenverfahrens die PIN mit Hilfe der Kundeninformationen errechnet werden und mit der eingegebenen PIN verglichen werden. Bei einem positiven Vergleichsergebnis kann eine Freigabe der gewünschten Transaktion, insbesondere des Geld Abhebens, erfolgen.After entering the PIN, there are two ways to verify the correctness of the PIN. On the one hand, it is possible for the customer information that has been read out from the magnetic strip to be transferred to the microchip of the customer card. In addition, the entered PIN is transferred to the microchip. In the microchip, the PIN can be calculated on the basis of the customer data and a complex calculation method with the help of the customer information and compared with the entered PIN. In the case of a positive comparison result, a release of the desired transaction, in particular of the cash withdrawal, can take place.

Eine andere Möglichkeit besteht darin, dass die von dem Magnetstreifen abgefragten Kundendaten zusammen mit der eingegebenen PIN, vorzugsweise verschlüsselt, an einen Abrechnungscomputer (Server) übertragen werden. In dem Server kann die eingegebene PIN mit einer dort gespeicherten Vergleichs-PIN verglichen werden und bei einem positiven Vergleichsergebnis kann ein Freigabesignal zurück an den Geldautomaten übermittelt werden.Another possibility is that the queried from the magnetic stripe customer data together with the entered PIN, preferably encrypted, are transmitted to a billing computer (server). In the server, the entered PIN can be compared with a stored there comparison PIN and a positive comparison result, a release signal can be transmitted back to the ATM.

Bei beiden Verfahren ist die Eingabe der PIN der sicherheitskritische Vorgang. Sobald ein Angreifer die PIN kennt und zusätzlich die ohne Weiteres von dem Magnetstreifen auslesbaren Kundendaten erspäht hat, kann er sich als Kunde ausgeben und beliebige Transaktionen durchführen. In diesem Zusammenhang sind verschiedene sogenannte „Skimming“ Angriffe bekannt geworden, mit deren Hilfe Angreifer die PIN unerlaubterweise abfragen können.In both methods, entering the PIN is the safety-critical process. As soon as an attacker knows the PIN and in addition has spied on the customer data that can be easily read by the magnetic stripe, he can pretend to be a customer and carry out any transactions. In this context, various so-called "skimming" attacks have become known, with the help of which attackers can query the PIN unauthorized.

Eine einmal abgefangene PIN wird zusammen mit den Kundendaten von den Angreifern häufig ins Ausland verschickt, dort wird eine Blankokarte mit den Kundendaten bespielt und Geld wird an im Ausland aufgestellten Geldautomaten mit der PIN abgehoben. Gegen diese Angriffe bestehen derzeit kaum Abwehrmöglichkeiten.A once intercepted PIN is sent together with the customer data from the attackers often abroad, there is a blank card with the customer data recorded and money is withdrawn at ATMs set up abroad with the PIN. There are currently few defenses against these attacks.

Aus diesem Grunde lag dem Gegenstand die Aufgabe zugrunde, Transaktionen gegenüber unberechtigten Zugriffen weiter zu sichern.For this reason, the object of the object was based on transactions against unauthorized access to further secure.

Diese Aufgabe wird mit einem Verfahren nach Anspruch 1 sowie einem System nach Anspruch 10 gelöst.This object is achieved by a method according to claim 1 and a system according to claim 10.

Gegenständlich wird vorgeschlagen, dass, wie bei normalen Vorgängen, zunächst die Kundeninformation von dem Datenträger ausgelesen wird. Diese Informationen können entweder von dem Magnetstreifen oder dem Mikrochip des Datenträgers ausgelesen werden.It is objectively proposed that, as in normal operations, the customer information is first read from the data carrier. This information can be read either from the magnetic stripe or the microchip of the data carrier.

Dann wird vorgeschlagen, dass zumindest ein die Transaktion charakterisierendes Kriterium ermittelt wird. Dieses die Transaktion charakterisierende Kriterium ist zumindest nicht die Eingabe der PIN, sondern dieses Kriterium steht in einem sonstigen räumlichen, zeitlichen oder sachlichen Zusammenhang mit der angeforderten Transaktion. Wie nachfolgend noch ausgeführt wird, kann beispielsweise das Kriterium die Ortsinformation, an dem die Transaktion ausgeführt werden soll, sein. Auch kann das Kriterium abhängig von vergangenen Transaktionen bestimmt werden. Beispielsweise kann ermittelt werden, wie viele Transaktionen in der jüngsten Vergangenheit, beispielsweise am letzten Tag, in der letzten Stunde, durchgeführt wurden. Falls eine bestimmte Grenze überschritten wurde, kann das Kriterium erfüllt sein. Auch kann eine Uhrzeit ein Kriterium sein, welches ermittelt wird.It is then proposed that at least one criterion characterizing the transaction is determined. This criterion characterizing the transaction is at least not the input of the PIN, but this criterion is in another spatial, temporal or factual connection with the requested transaction. As will be explained below, for example, the criterion may be the location information on which the transaction is to be executed. Also, the criterion can be determined depending on past transactions. For example, you can determine how many transactions have occurred in the recent past, such as the last day or the last Hour, were performed. If a certain limit has been exceeded, the criterion can be met. Also, a time may be a criterion that is determined.

Nachdem das die Transaktion charakterisierende Kriterium ermittelt wurde, wird dieses mit einem Vergleichskriterium verglichen. Das Vergleichskriterium kann beispielsweise ein Wohnort des Nutzers sein. So ist es beispielsweise möglich, dass das Vergleichsergebnis bei einer Abweichung des ermittelten Kriteriums, im Beispiel der Ort, an dem die Transaktion durchgeführt wird, von dem Vergleichskriterium, das heißt, wenn die Transaktion z.B. außerhalb des Wohnorts vom Kunden durchgeführt werden soll, negativ ist.After the criterion characterizing the transaction has been determined, it is compared with a comparison criterion. The comparison criterion may be, for example, a residence of the user. It is thus possible, for example, for the comparison result to be different from the criterion determined, in the example the location at which the transaction is carried out, from the comparison criterion, that is, when the transaction is e.g. is to be performed outside the place of residence by the customer is negative.

Ist das Vergleichsergebnis negativ, ist das ermittelte Kriterium ein Indiz dafür, dass die Transaktion nicht einem üblichen Schema folgt. In diesem Fall werden zumindest auch andere und/oder ergänzende Benutzerinformationen abgefragt, als bei einem positiven Vergleichsergebnis. Somit wird abhängig vom Vergleichsergebnis eine Benutzerinformation von dem Nutzer abgefragt.If the result of the comparison is negative, the criterion determined is an indication that the transaction does not follow a standard pattern. In this case, at least other and / or supplementary user information is queried, as in a positive comparison result. Thus, depending on the comparison result, user information is requested by the user.

Anschließend wird die abgefragte Benutzerinformation mit Hilfe der Kundeninformation überprüft. Diese Überprüfung kann identisch zu der zuvor beschriebenen Überprüfung der PIN sein. Jedoch wird hier nicht ausschließlich eine PIN, wie herkömmlich bekannt, geprüft, sondern es können zusätzliche Benutzerinformationen überprüft werden, beispielsweise Geburtsdatum, Postleitzahl, Hausnummer, Geburtsjahr, Teile von der Personalausweisnummer oder auch eine zweite PIN.Subsequently, the queried user information is checked using the customer information. This check may be identical to the previously described PIN check. However, not only a PIN, as conventionally known, checked here, but it can be checked additional user information, such as date of birth, postal code, house number, year of birth, parts of the identity card number or a second PIN.

Die eingegebene Benutzerinformation wird überprüft. Ist die Benutzerinformation korrekt, so wird die Transaktion freigegeben.The entered user information is checked. If the user information is correct, the transaction is released.

Gemäß einem vorteilhaften Ausführungsbeispiel wird vorgeschlagen, dass bei einem positiven Vergleichsergebnis eine erste Benutzerinformation abgefragt wird und dass bei einem negativen Vergleichsergebnis zumindest eine zweite Benutzerinformation abgefragt wird. Das Vergleichsergebnis ist abhängig von dem Vergleichskriterium. Je nachdem, wie das Vergleichskriterium definiert wird, kann das die Transaktion charakterisierende Kriterium mit dem Vergleichskriterium übereinstimmen oder nicht.According to an advantageous embodiment, it is proposed that in a positive comparison result, a first user information is queried and that at least a second user information is queried in a negative comparison result. The comparison result depends on the comparison criterion. Depending on how the comparison criterion is defined, the criterion characterizing the transaction may or may not agree with the comparison criterion.

Beispielsweise kann das Vergleichskriterium der Wohnort des Kunden sein. In diesem Fall kann verglichen werden, ob die Transaktion bzw. das die Transaktion charakterisierende Kriterium dem Wohnort des Kunden entspricht. Ist dies der Fall, wäre das Vergleichsergebnis positiv.For example, the comparison criterion may be the residence of the customer. In this case, it can be compared whether the transaction or the criterion characterizing the transaction corresponds to the place of residence of the customer. If this is the case, the comparison result would be positive.

Auch kann beispielsweise ein räumlicher Zusammenhang der letzten zehn Transaktionen ermittelt werden, beispielsweise kann ein Abhebemuster oder ein Transaktionsmuster, welches einer räumlichen Bewegung des Kunden entspricht, ermittelt werden. Fällt die Transaktion bzw. das ermittelte Kriterium der Transaktion in dieses Muster, wäre das Vergleichsergebnis positiv, ansonsten negativ.Also, for example, a spatial relationship of the last ten transactions can be determined, for example, a lift-off pattern or a transaction pattern, which corresponds to a spatial movement of the customer, can be determined. If the transaction or the determined criterion of the transaction falls into this pattern, the comparison result would be positive, otherwise it would be negative.

Auch kann beispielsweise überprüft werden, die wievielte Transaktion die aktuelle Transaktion in einem bestimmten Zeitfenster ist. Wird mit der aktuellen Transaktion eine maximal zulässige Anzahl von Transaktionen in einem definierten Zeitraum überschritten, so kann das Vergleichsergebnis negativ sein. Auch kann die Höhe eines Geldbetrages mit einem Vergleichskriterium verglichen werden und bei einem sehr hohen Geldbetrag kann das Vergleichsergebnis negativ sein, da das Vergleichskriterium beispielsweise ein niedriger Betrag ist.It is also possible to check, for example, how many transactions the current transaction is in a certain time window. If the current transaction exceeds a maximum number of transactions in a defined period, the result of the comparison may be negative. Also, the amount of money may be compared with a comparison criterion, and if the amount of money is very large, the comparison result may be negative because the comparison criterion is, for example, a small amount.

Auch kann eine Kombination aus einer Höhe eines Geldbetrages und einer Uhrzeit als Vergleichskriterium dienen. Dann wäre das Vergleichskriterium ein maximaler Betrag zu einer bestimmten Uhrzeit und wenn der maximale Betrag zu der bestimmten Uhrzeit überschritten wurde, wäre das Vergleichsergebnis negativ.Also, a combination of a height of a sum of money and a time can serve as a comparison criterion. Then the comparison criterion would be a maximum amount at a certain time and if the maximum amount was exceeded at the given time, the comparison result would be negative.

Es sind viele verschiedene Vergleichskriterien denkbar, die alle so definiert sein können, dass sie einen Missbrauch der Kundendaten indizieren. Wird somit durch das Vergleichskriterium ein potentieller Missbrauch indiziert, kann eine zweite Benutzerinformation, beispielsweise auch zusätzlich zu der ersten Benutzerinformation, abgefragt werden. In der Folge bedeutet dies, dass bei einem Angriff auf die Benutzerinformationen im Regelfall lediglich die erste Benutzerinformation abgegriffen werden kann. Möchte der Angreifer dann einen Geldbetrag abheben und verhält sich atypisch, so fällt das Vergleichsergebnis negativ aus und der Angreifer muss die zweite Benutzerinformation eingeben, die ihm nicht mehr vorliegt. Die zweite Benutzerinformation wird nur sehr selten abgefragt, und ist daher in der Regel durch einen „Skimming“ Angriff nicht erreichbar.Many different comparison criteria are conceivable, all of which can be defined to indicate misuse of customer data. If a potential abuse is thus indicated by the comparison criterion, second user information, for example, in addition to the first user information, can also be queried. As a result, this means that in an attack on the user information usually only the first user information can be tapped. If the attacker then wants to withdraw a sum of money and behaves atypically, the result of the comparison is negative and the attacker has to enter the second user information that is no longer available to him. The second user information is queried only very rarely, and is therefore generally unreachable by a "skimming" attack.

Das Abfragen der zweiten Benutzerinformation kann technisch besonders einfach implementiert werden, wenn, wie vorgeschlagen, nach dem Auslesen der Kundeninformationen von dem Datenträger das Vergleichskriterium abhängig von den Kundeninformationen von eine entfernten Server zur Verfügung gestellt wird. Somit kann beispielsweise in dem entfernten Server ein Kundenprofil hinterlegt sein, welches für den Kunden spezifische Kriterien von Transaktionen speichert. Anhand dieser Kriterien können Vergleichskriterien festgelegt werden und werden diese verletzt, kann dies auf eine potentiell unzulässige Transaktion hinweisen. Auch können vom Kunden selbst in dem entfernten Server Vergleichskriterien festgelegt werden, beispielsweise Uhrzeiten, Ortsinformationen, Höchstbeträge oder dergleichen. Wenn das die eigentliche Transaktion charakterisierende Kriterium außerhalb des Vergleichskriteriums liegt, kann somit der Kunde durch die Abfrage der weiteren zweiten Benutzerinformation geschützt werden.The querying of the second user information can be technically particularly easily implemented if, as proposed, after reading the customer information from the disk, the comparison criterion is made available depending on the customer information from a remote server. Thus, for example, a customer profile may be stored in the remote server, which stores for the customer specific criteria of transactions. On the basis of these criteria, comparison criteria can be defined and if these are violated, this can indicate a potentially inadmissible transaction. Also For example, the customer may set comparison criteria in the remote server, such as times, location information, maximum amounts, or the like. If the criterion characterizing the actual transaction lies outside the comparison criterion, the customer can thus be protected by querying the further second user information.

Auch ist es möglich, das bei jeder Transaktion zumindest die erste Benutzerinformation abgefragt wird, die beispielsweise die herkömmlich bekannte PIN ist und dass nur bei einem negativen Vergleichsergebnis zusätzlich die zweite Benutzerinformation abgefragt wird.It is also possible for each transaction to query at least the first user information, which is the conventionally known PIN, for example, and that the second user information is additionally queried only in the case of a negative comparison result.

Gemäß einem vorteilhaften Ausführungsbeispiel wird vorgeschlagen, dass die erste Benutzerinformation, wie bereits beschrieben, eine persönliche Identifikationsnummer ist. Diese persönliche Identifikationsnummer ist beispielsweise mittels eines DES-Verfahrens ermittelt worden und kann mit Hilfe der Kundeninformation in dem Mikrochip des Datenträgers zurückgerechnet werden, um ein Vergleich mit einer eingegebenen PIN zu gewährleisten. Auch ist es möglich, dass diese Information in einem Server gespeichert ist und dort mit der eingegebenen Identifikationsnummer verglichen wird.According to an advantageous embodiment, it is proposed that the first user information, as already described, is a personal identification number. This personal identification number has been determined, for example, by means of a DES method and can be recalculated using the customer information in the microchip of the data carrier in order to ensure a comparison with an entered PIN. It is also possible that this information is stored in a server and there compared with the entered identification number.

Auch wird vorgeschlagen, dass die Transaktion an einem Geldautomaten ausgeführt wird. Vorteilhafterweise ist die Transaktion ein Geld Abheben an einem Geldautomaten, da dort die meisten „Skimming“ Angriffe erfolgen.It is also proposed that the transaction be carried out at an ATM. Advantageously, the transaction is a cash withdrawal at an ATM, since there are the most "skimming" attacks.

Gemäß einem vorteilhaften Ausführungsbeispiel wird vorgeschlagen, dass das Kriterium und/oder Vergleichskriterium eine Ortsinformation, eine Häufigkeitsinformation, eine Zeitinformation und/oder eine Betragsinformation ist. Alle diese Kriterien dienen der Charakterisierung der Transaktion und ermöglichen einen Vergleich der Transaktion mit einem üblichen Verhalten des Nutzers, so dass auf mögliche Angriffe geschlossen werden kann.According to an advantageous embodiment, it is proposed that the criterion and / or comparison criterion is location information, frequency information, time information and / or amount information. All of these criteria characterize the transaction and allow the transaction to be compared to a user's usual behavior so that potential attacks can be inferred.

Wie bereits ausgeführt, wird vorgeschlagen, dass die zweite Benutzerinformation von der ersten Benutzerinformation verschieden ist. Auch kann die zweite Benutzerinformation einer dem Benutzer persönlich zugeordnete Information, wie beispielsweise Geburtstag, Geburtsjahr, Postleitzahl, Telefonnummer, zumindest Teil einer Telefonnummer, zumindest Teil einer Personalausweisnummer oder dergleichen sein. Hierbei ist es möglich, dass die zweite Benutzerinformation, vorzugsweise verschlüsselt, auf der Karte, z.B. dem Magnetstreifen oder dem Mikrochip, gespeichert ist und bei Bedarf von dort geladen wird. Auch wird vorgeschlagen, dass die zweite Benutzerinformation auf die Karte z.B. dem Magnetstreifen oder dem Mikrochip geladen wird. Hierzu kann beispielsweise eine Karte ohne zweite Benutzerinformation mit dieser beladen werden, so dass für zukünftige Transaktionen die erweitere Sicherheit zur Verfügung steht. Hierdurch ist eine Umstellung der bisherigen Verfahrens auf das hier beschriebene Verfahren besonders einfach.As already stated, it is proposed that the second user information be different from the first user information. Also, the second user information may be information personally associated with the user, such as birthday, year of birth, postal code, telephone number, at least part of a telephone number, at least part of a personal ID number, or the like. In this case, it is possible for the second user information, preferably encrypted, to be stored on the card, e.g. the magnetic strip or the microchip, is stored and loaded from there as needed. It is also suggested that the second user information be added to the card e.g. the magnetic strip or the microchip is loaded. For this purpose, for example, a card without second user information can be loaded with this, so that for future transactions the extended security is available. As a result, a conversion of the previous method to the method described here is particularly simple.

Auch können die zweiten Benutzerinformationen dynamisch erstellt werden, beispielsweise indem eine Ziffernfolge in dem zentralen Server erstellt wird und diese über eine Datenübertragungsstrecke an ein Benutzerterminal, beispielsweise ein Mobiltelefon, übertragen wird. Es ist beispielsweise möglich, dass bei einem negativen Vergleichsergebnis eine Ziffernfolge in dem Server erstellt wird und diese an eine für den Kunden hinterlegte Telefonnummer, beispielsweise per SMS oder Email, übertragen wird. Der Kunde empfängt diese Mitteilung und kann dann die in dieser Mitteilung enthaltene Ziffernfolge als zweite Benutzerinformation eingeben.Also, the second user information may be created dynamically, for example, by creating a digit string in the central server and transmitting it via a data link to a user terminal, such as a mobile phone. It is possible, for example, that in the case of a negative comparison result, a number sequence is created in the server and this is transmitted to a telephone number stored for the customer, for example by SMS or email. The customer receives this message and can then enter the digit sequence contained in this message as second user information.

Um den Kunden zu identifizieren, werden die Kundeninformationen, wie beschrieben, ausgelesen. Kundeninformationen können beispielsweise auf dem Magnetstreifen als auf dem Mikrochip des Datenträgers gespeichert sein. Kundeninformationen können beispielsweise Kontonummer, Kundennummer oder eine Datenträgernummer sein. Andere Kundeninformationen sind ebenfalls möglich.To identify the customer, the customer information is read out as described. Customer information may be stored, for example, on the magnetic stripe as on the microchip of the data carrier. Customer information can be, for example, account number, customer number or a data carrier number. Other customer information is also possible.

Gemäß einem vorteilhaften Ausführungsbeispiel wird vorgeschlagen, dass die Kundeninformation zusammen mit der ersten und/oder zweiten Benutzerinformation an einen auf dem Datenträger angeordneten Mikrochip übermittelt wird und auf dem Mikrochip die Überprüfung der Benutzerinformation durchgeführt wird. Auch wird vorgeschlagen, dass die Kundeninformation zusammen mit der ersten und/oder der zweiten Benutzerinformation, vorzugsweise verschlüsselt, an den entfernten Server übermittelt wird. In dem entfernten Server kann dann die Überprüfung der angegebenen Benutzerinformationen erfolgen.According to an advantageous embodiment, it is proposed that the customer information is communicated together with the first and / or second user information to a microchip arranged on the data carrier and the verification of the user information is carried out on the microchip. It is also proposed that the customer information is transmitted together with the first and / or the second user information, preferably encrypted, to the remote server. The remote server can then check the specified user information.

Ein weiter Aspekt ist ein System zur Sicherung einer Transaktion, insbesondere eine Transaktion an einem Geldautomaten, umfassend Lesemittel eingerichtet zum Auslesen einer Kundeninformation von einem Datenträger, Auswertemittel eingerichtet zum Auswerten und Ermitteln zumindest eines die Transaktion charakterisierenden Kriteriums, Vergleichsmittel eingerichtet zum Vergleichen des ermittelten Kriteriums mit einem Vergleichskriterium, Eingabemittel eingerichtet zum Abfragen zumindest einer Benutzerinformation von einem Benutzer abhängig von dem Vergleichsergebnis, Prüfmittel eingerichtet zum Überprüfen der Benutzerinformation mit Hilfe der Kundeninformation und Freigabemittel eingerichtet zum Freigeben der Transaktion abhängig von der Überprüfung.A further aspect is a system for securing a transaction, in particular a transaction at an ATM, comprising reading means arranged for reading customer information from a data carrier, evaluation means arranged for evaluating and determining at least one criterion characterizing the transaction, comparison means arranged for comparing the determined criterion with a comparison criterion, input means adapted to query at least one user information from a user depending on the comparison result, test means arranged to check the user information with the help of the customer information and release means arranged to release the transaction depending on the verification.

Auch können Empfangsmittel eingerichtet zum Empfangen eines Vergleichskriteriums von einem entfernten Server, vorgesehen sein. Also, receiving means arranged to receive a comparison criterion from a remote server may be provided.

Nachfolgend wird der Gegenstand anhand einer ein Ausführungsbeispiel zeigenden Zeichnung näher erläutert. In der Zeichnung zeigt:

1 ein System zur Durchführung eines gegenständlichen Verfahrens;

The article will be explained in more detail with reference to a drawing showing an embodiment. In the drawing shows:

1 a system for carrying out an objective method;

1 zeigt eine Anordnung von räumlich voneinander getrennten Geldautomaten 2a-c. Beispielsweise können die Geldautomaten 2a, 2b in dem gleichen Ort 4 eingerichtet sein. Der Ort 4 kann beispielsweise der Wohnort eines Kunden sein. Der Geldautomat 2c kann beispielsweise in einem anderen Land als dem Land des Ortes 4 angeordnet sein. Die Geldautomaten 2 sind über Datenverbindungen 6a-c jeweils über ein Kommunikationsnetz 8 mit einem zentralen Server 10 verbunden. Der zentrale Server 10 steht beispielsweise in einem Rechenzentrum eines Geldinstitutes. Der zentrale Server 10 muss nicht zwingend an einem einzigen Ort aufgestellt sein, sondern kann sich auch aus verteilten Servern zusammensetzen, die sich gegenüber dem Kommunikationsnetz 8 jedoch als ein einziger Server darstellen. 1 shows an arrangement of spatially separated ATMs 2a-c , For example, the ATMs 2a . 2 B in the same place 4 be furnished. The place 4 may for example be the residence of a customer. The ATM 2c For example, in a country other than the country of the place 4 be arranged. The ATMs 2 are about data connections 6a-c each via a communication network 8th with a central server 10 connected. The central server 10 is for example in a data center of a financial institution. The central server 10 It does not necessarily have to be set up in a single location, but can also be composed of distributed servers that face the communication network 8th however, as a single server.

Gewöhnlich kann ein Kunde dadurch Geld abheben, dass er an einem Geldautomaten 2 seine Kundenkarte in einen Datenleser einführt. Anschließend wird der Kunde aufgefordert, seine persönliche Identifikationsnummer einzugeben. Von der Kundenkarte werden gleichzeitig Kundendaten ausgelesen. Die eingegebene Identifikationsnummer wird verschlüsselt zusammen mit den Kundendaten über die Datenverbindung 6 an den Server 10 übermittelt. In dem Server 10 erfolgt dann eine Überprüfung der eingegebenen personlichen Identifikationsnummer. Ist die Überprüfung erfolgreich, dass heißt, ist die eingegebene Identifikationsnummer korrekt, wird von dem Server 10 ein Freigabesignal an den Geldautomaten 2 übermittelt und der Kunde kann den gewünschten Geldbetrag abheben.Usually, a customer can withdraw money by being at an ATM 2 insert his customer card into a data reader. Subsequently, the customer is requested to enter his personal identification number. Customer data is simultaneously read out from the customer card. The entered identification number is encrypted together with the customer data via the data connection 6 transmitted to the server 10. In the server 10 Then a check of the entered personal identification number. If the verification is successful, that is, the entered identification number is correct, is received from the server 10 a release signal to the ATM 2 transmitted and the customer can withdraw the desired amount of money.

Im Falle eines Angriffs auf die Kundendaten kann ein Angreifer beispielsweise über einen Magnetstreifenleser die Kundendaten von dem Magnetstreifen der Kundenkarte auslesen. Anschließend kann ein Angreifer die von dem Kunden eingegebene PIN im Rahmen eines „Skimming“ Angriffs, der hinlänglich bekannt ist, auslesen. Mit diesen beiden Daten kann der Angreifer dann, solange das Konto nicht gesperrt ist, an jedem Geldautomaten 2 einen beliebigen Geldbetrag abheben. Bis dem Kunden der Angriff aufgefallen ist, können große Schäden aufgetreten sein. Insbesondere können die Kundendaten zusammen mit den persönlichen Identifikationsdaten ins Ausland übermittelt werden und eine Blankokarte kann mit den Kundendaten überschrieben werden. Dann ist ein Abheben innerhalb von Minuten auch im Ausland möglich.In the case of an attack on the customer data, for example, an attacker can read the customer data from the magnetic stripe of the customer card via a magnetic stripe reader. Subsequently, an attacker can read the PIN entered by the customer as part of a "skimming" attack, which is well known. With this two data, the attacker can then, as long as the account is not locked, at each ATM 2 withdraw any amount of money. Until the customer has noticed the attack, great damage may have occurred. In particular, the customer data together with the personal identification data can be transmitted abroad and a blank card can be overwritten with the customer data. Then a withdrawal within minutes is also possible abroad.

Um zu verhindern, dass die „Skimming“ Angriffe erfolgreich sind, wird gegenständlich vorgeschlagen, dass bei jeder Transaktion an einem Geldautomaten 2 neben der PIN auch ein die Transaktion charakterisierendes Kriterium z.B. durch den Geldautomaten 2 oder den Server 10, erfasst wird.In order to prevent the "skimming" attacks being successful, it is objectively suggested that every transaction at an ATM 2 in addition to the PIN, a criterion characterizing the transaction eg by the ATM 2 or the server 10 , is recorded.

Ein die Transaktion charakterisierendes Kriterium kann zum Beispiel die Uhrzeit sein. Auch kann ein Kriterium eine Verbindung aus Uhrzeit und Geldbetrag sein. Auch ist es möglich, dass die Ortsinformationen als das die Transaktion charakterisierendes Kriterium erfasst wird. Schließlich ist es möglich, dass das die Transaktion charakterisierende Kriterium der Geldbetrag zusammen mit der Ortsinformation ist.A criterion characterizing the transaction may be, for example, the time of day. Also, a criterion can be a combination of time and amount of money. It is also possible that the location information is detected as the criterion characterizing the transaction. Finally, it is possible that the criterion characterizing the transaction is the amount of money together with the location information.

Das ermittelte Kriterium kann mit einem Vergleichskriterium verglichen werden. Hierbei ist es möglich, dass von einem Server 10 an den Geldautomaten 2 das Vergleichskriterium übertragen wird. Hierzu kann beispielsweise zunächst die Kundeninformation von dem Geldautomaten 2 an den Server 10 übermittelt werden, dieser ermittelt das Vergleichskriterium und sendet diese zurück an den Geldautomaten. In diesem Fall kann der Vergleich des die Transaktion charakterisierenden Kriteriums mit dem Vergleichskriterium in dem Geldautomaten 2 selbst erfolgen.The determined criterion can be compared with a comparison criterion. Here it is possible that from a server 10 at the ATM 2 the comparison criterion is transmitted. For this purpose, for example, first the customer information from the ATM 2 to the server 10 be transmitted, this determines the comparison criterion and sends it back to the ATM. In this case, the comparison of the criterion characterizing the transaction with the comparison criterion in the ATM can 2 yourself.

Andererseits ist es auch möglich, dass das die Transaktion charakterisierende Kriterium zusammen mit der Kundeninformation an den Server 10 übermittelt wird. In den Server 10 wird aus den Kundeninformationen das Vergleichskriterium ermittelt und mit dem, die aktuelle Transaktion charakterisierenden Kriterium verglichen.On the other hand, it is also possible that the criterion characterizing the transaction together with the customer information to the server 10 is transmitted. In the server 10 the comparison criterion is determined from the customer information and compared with the criterion characterizing the current transaction.

Ist das die Transaktion charakterisierende Kriterium derart, dass es in das übliche Schema passt, also mit einem Vergleichskriterium übereinstimmt, kann davon ausgegangen werden, dass es sich um eine übliche Geldabhebung handelt. So kann beispielsweise verglichen werden, ob die Transaktion an einem Geldautomaten 2a, 2b, die beide in dem Ort 4 angeordnet sind, durchgeführt werden. In diesem Fall kann das Vergleichskriterium der Ort 4 sein und stimmt der Ort der Transaktion mit dem hinterlegten Ort überein, kann davon ausgegangen werden, dass kein Angriff stattgefunden hat.If the criterion characterizing the transaction is such that it fits into the usual scheme, that is to say that it matches a comparison criterion, it can be assumed that this is a customary cash withdrawal. For example, can be compared, whether the transaction at an ATM 2a . 2 B both in the place 4 are arranged to be performed. In this case, the comparison criterion may be the place 4 and if the location of the transaction coincides with the place of deposit, it can be assumed that no attack has taken place.

Andererseits ist es möglich, dass wenn Geld an dem Geldautomaten 2c abgehoben werden soll, dass die Transaktion charakterisierende Kriterium beispielsweise eine Auslandsinformation ist, das heißt, dass der Geldautomat 2 c im Ausland aufgestellt ist. In diesem Fall würde mit Hilfe der Kundendaten das Vergleichskriterium ermittelt werden, welches besagt, dass die Transaktion in dem Ort 4 durchgeführt werden müsste. Da die Transaktion an dem Geldautomaten 2c jedoch nicht in dem Ort 4 durchgeführt wird, sondern im Ausland, wäre das Vergleichsergebnis negativ und der Server 10 würde dem Geldautomaten 2c anzeigen, dass eine zweite Benutzerinformation abgefragt werden muss. Diese zweite Benutzerinformation kann dann von dem Server 10 an dem Geldautomaten 2 übermittelt werden. Auch ist es möglich, dass der Server 10 in diesem Fall lediglich den Geldautomaten 2c anweist, die zweite Benutzerinformation abzufragen.On the other hand it is possible that if money at the ATM 2c is to be lifted that the transaction characterizing criterion, for example, is a foreign information, that is, the ATM 2 c is set up abroad. In this case, using the customer data, the comparison criterion would be determined, which states that the transaction is in place 4 would have to be carried out. As the transaction at the ATM 2c but not in the place 4 but abroad, the comparison result would be negative and the server 10 would the ATM 2c indicate that a second user information must be requested. This second user information may then be from the server 10 at the ATM 2 be transmitted. Also, it is possible that the server 10 in this case, only the ATM 2c instructs to query the second user information.

Bei dem vorgestellten Beispiel des Abhebens von Geld an dem Geldautomaten 2c wird der Geldautomat 2c durch den Server 10 angewiesen, die zweite Benutzerinformation abzufragen. Der Geldautomat 2c fragt dann zum Beispiel die erste Benutzerinformation als PIN ab und zusätzlich die zweite Benutzerinformation, beispielsweise das Geburtsjahr des Kunden. Der berechtigte Kunde kennt diese Information und kann diese eingeben. Diese Information wird zusammen mit der ersten Benutzerinformation an den Server 10 übermittelt und dort wird deren Korrektheit überprüft. Ist die Information korrekt, gibt der Server 10 ein Freigabesignal an den Geldautomaten 2c, so dass die Transaktion abgeschlossen werden kann.In the presented example of withdrawing money at the ATM 2c becomes the ATM 2c through the server 10 instructed to query the second user information. The ATM 2c For example, then the first user information is requested as a PIN and additionally the second user information, for example the year of birth of the customer. The authorized customer knows this information and can enter it. This information is sent to the server along with the first user information 10 transmitted there and their correctness is checked. If the information is correct, the server gives 10 a release signal to the ATM 2c so that the transaction can be completed.

Anders ist dies beim Unberechtigten. Da dieser bei seinen „Skimming“ Angriff in der Regel bei einer normalen Transaktion durchgeführt hat, kennt er die zweite Benutzerinformation nicht. Wird der Unberechtigte aufgefordert, die zweite Benutzerinformation einzugeben, muss dieser raten und kann diese in der Regel nicht eingeben. Das führt dazu, dass der Server 10 die Freigabe nicht erteilt und der Unberechtigte die Transaktion nicht abschließen kann.This is different with the unauthorized person. Since this has usually done in his "skimming" attack in a normal transaction, he does not know the second user information. If the unauthorized person is asked to enter the second user information, he / she must guess and usually can not enter it. That causes the server 10 the release is not granted and the unauthorized person can not complete the transaction.

Ein weiteres Beispiel wäre, dass ein Kunde in der Regel, wenn er Geldbeträge über 100 EUR abhebt, dies zu Tageszeiten, beispielsweise zwischen 8 und 20 Uhr tut. Dann wäre ein Vergleichskriterium beispielsweise ein Geldbetrag über 100 EUR nur in einer Zeit zwischen 8 und 20 Uhr. Niedrigere Geldbeträge würden alle dem Vergleichskriterium genügen.Another example would be that a customer typically withdraws money in excess of EUR 100 at times of the day, for example between 8 and 20 o'clock. For example, a comparison criterion would be, for example, a sum of more than EUR 100 between 8 and 20 o'clock. Lower amounts of money would all satisfy the comparison criterion.

In der Regel führt dies dazu, dass der Kunde die zweite Benutzerinformation nicht eingeben muss. Nur wenn der Kunde einen höheren Geldbetrag als 100 EUR nach 20 Uhr und vor 8 Uhr abheben möchte, würde er aufgefordert, die zweite Benutzerinformation einzugeben. Ein Angreifer würde die zweite Benutzerinformation daher nur erlangen, wenn er zufällig den „Skimming“ Angriff in der Zeit durchführt, wenn der Kunde eine unübliche Abhebung, mehr als 100 EUR nach 20 Uhr durchführen würde. Da dies mit einer geringeren Wahrscheinlichkeit der Fall ist, werden die meisten „Skimming“ Angriffe verhindert, da die zweite Benutzerinformation nicht abgefragt werden kann. Diese ist jedoch, wenn der „Skimming“ Angriff zu Ende gebracht werden soll, notwendig.As a rule, this means that the customer does not have to enter the second user information. Only if the customer wishes to withdraw a higher amount of money than EUR 100 after 8pm and before 8am he would be asked to enter the second user information. An attacker would therefore obtain the second user information only if he happens to perform the "skimming" attack in time if the customer made an unusual withdrawal, more than EUR 100 after 8 pm. Since this is less likely, most skimming attacks are prevented because the second user information can not be queried. However, this is necessary if the "skimming" attack is to be completed.

Claims

Method for securing a transaction at a self-service terminal, in particular an ATM, comprising the steps of: Reading customer information from a data medium at the self-service terminal, Determining at least one criterion characterizing the transaction and comparing the determined criterion with a comparison criterion, Querying at least one user information from a user at the self-service terminal depending on the comparison result, Checking the user information with the help of the customer information, - Release the transaction depending on the review.

Method according to Claim 1 , characterized in that in a positive comparison result, a first user information is requested at the self-service terminal and that at least a second user information is queried at the self-service terminal in a negative comparison result.

Method according to Claim 1 or 2 , characterized in that after reading the customer information from the data carrier, the comparison criterion is provided by a remote server depending on the customer information.

Method according to Claim 2 or 3 , characterized in that the first user information is a personal identification number (PIN).

Method according to one of Claims 1 to 4 , characterized in that the transaction is carried out at an ATM.

Method according to claim one of Claims 1 to 5 , characterized in that the criterion is location information, frequency information, time information and / or amount information.

Method according to one of Claims 2 to 6 , characterized in that the second user information is different from the first user information and / or that the second user information is an information personally associated with the user.

Method according to one of Claims 1 to 7 , characterized in that the Customer information is an account number, a customer number and / or a data carrier number.

Method according to one of Claims 1 to 7 Characterized in that the customer information is transmitted together with the retrieved user information to a disposed on the disk microchip and the verification of the requested user information is carried out with the microchip or the customer information encrypted together with the retrieved user information, preferably, transmitted to the remote server and that in the server the verification of the user information is performed.

System for securing a transaction at a self-service terminal, in particular a transaction at an ATM, comprising: Reading means arranged for reading out customer information from a data medium at the self-service terminal, Evaluation means arranged for evaluating and determining at least one criterion characterizing the transaction, Comparison means arranged for comparing the determined criterion with a comparison criterion, Input means arranged for querying at least one user information item from a user at the self-service terminal as a function of the comparison result, - Test equipment set up for checking the user information with the help of the customer information, Release means arranged to release the transaction depending on the verification.