DE19539801A1 - Überwachung von Transaktionen mit Chipkarten - Google Patents

Description

Gebiet der Erfindung

Die Erfindung betrifft die Überwachung von Transaktionen mit Chipkarten.

Stand der Technik

Chipkarten werden heute unter anderem zur bargeldlosen Bezahlung eingesetzt. Hierfür enthält die Chipkarte eine Börse, auf der ein bestimmter Geldbetrag gespeichert werden kann. Bei einer Zahlung an einer Kasse, oder an einem entsprechenden Automaten, wird der zu bezahlende Geldbetrag von der Chipkarte des Kunden zu dem Empfänger des Geldes, z. B. einem Händler, transferiert. In der Regel wird bei einer solchen Transaktion die Börse des Kunden um einen bestimmten Betrag verringert und dieser Betrag dem Transaktionspartner gutgeschrieben. Dieser rechnet den gutgeschriebenen Betrag dann, direkt oder indirekt, mit der Bank ab.

Für die Durchführung der Transaktionen sind eine Reihe von Verfahren, wie z. B. das IBM MONDEX, ec-Karte, VISA etc., bekannt. Alle diese Verfahren benutzen geheime Schlüssel, um den Transfer der Geldbeträge zu sichern. Diese Schlüssel müssen in einem Sicherheitsmodul, z. B. auf einer zweiten Chipkarte oder speziellen, durch Hardware realisierten Sicherheitsmodulen gespeichert werden. Die Verteilung und Sicherung dieser, für einen Transfer zu benutzenden Schlüssel ist sehr aufwendig. Wird der geheime Schlüssel z. B. durch Diebstahl bekannt, so müssen alle Schlüssel im System ausgewechselt werden. Da die Börsen in der Regel anonym sind und große Geldbeträge im System umlaufen, ist es sehr schwierig, einen Mißbrauch rechtzeitig zu entdecken. Selbst wenn die Schlüssel geheim bleiben, kann es durch Fehler, z. B. in Soft- und Hardware, zu Fehlern im System kommen.

Bei der Verwendung von Börsen auf Chipkarten ist zu unterscheiden zwischen sogenannten anonymen und nicht-anonymen Börsen. Bei nicht-anonymen Börsen liefert die Chipkarte eine entsprechende, diese Chipkarte kennzeichnende, individuelle Kennung bei einer Transaktion an den Transaktionspartner. Für diese Transaktion wird nun ein Transaktionsdatensatz erstellt, der es beispielsweise einem Händler ermöglicht, die Transaktion mit einer Bank abzuwickeln, um so an den Geldbetrag als Gutschrift zu erhalten. Da aus diesem Transaktionsdatensatz ein unmittelbarer Rückschluß auf die Chipkarte und damit auf den Chipkarteninhaber gegeben ist, lassen sich aus einer Vielzahl von Transaktionsdatensätzen Verhaltensweisen der Chipkarteninhaber ableiten. Dies ist jedoch vielfach allein aus Datenschutzaspekten nicht gewünscht.

Bei anonymen Börsen hingegen liefert die Chipkarte keine die Chipkarte kennzeichnende Kennung bei einer Transaktion an den Transaktionspartner. Auch bei dieser Transaktion wird ein Datensatz erstellt, der es beispielsweise einem Händler ermöglicht, die Transaktion mit einer Bank abzuwickeln. Dieser Transaktionsdatensatz erlaubt jedoch keinen Rückschluß auf den Chipkarteninhaber. Anonyme Börsen werden heute aus Gründen des Datenschutzes bevorzugt, da eine Nachprüfbarkeit und Reproduzierbarkeit des Kundenverhaltens nicht ermöglicht werden soll.

Fig. 1 zeigt schematisch die Abwicklung von Transaktionen mit Chipkartenbörsen. Eine Chipkarte 10 wird für eine Transaktion mit einem entsprechenden Gerät 20, z. B. einem Chipkartenlesegerät, eines Transaktionspartners, z. B. einem Händler, in Kontakt gebracht. Bei dieser Transaktion wird nun ein Transaktionsdatensatz TD erzeugt, der dem Transaktionspartner eine Abrechnung dieser Transaktion ermöglicht. Der Transaktionspartner tritt für die Abrechnung dieser Transaktion mit einer entsprechenden Vorrichtung 30, z. B. einem Bankenterminal, mittelbar oder unmittelbar in Verbindung und übermittelt den Transaktionsdatensatz TD an die Vorrichtung 30. Dem Transaktionspartner wird dann der der Transaktion entsprechende Betrag gutgeschrieben.

Beim heute üblichen Bankenzahlungsverkehr, z. B. durch Schecks oder Überweisungen, erfolgt die Prüfung des korrekten Ablaufs von Transaktionen in der Regel durch den Kunden. Der Kunde selbst hat ein fundamentales Interesse daran, daß seine Zahlungen korrekt durchgeführt werden. Anhand des Kontoauszuges oder der eingelösten Schecks kann der Kunde die erfolgten Zahlungen und Transaktionen kontrollieren. Hiermit wird eine angemessene Überwachung des Zahlungsverkehrs erreicht.

Bei der Verwendung von Börsen auf Chipkarten erfolgt die Prüfung der Zahlungstransaktion ebenfalls durch den Kunden selbst. Nicht-korrekte Abbuchungen werden im allgemeinen ähnlich schnell wie z. B. inkorrektes Wechselgeld vom Kunden erkannt.

Bei der Bezahlung von Geldbeträgen mit Chipkartenbörsen kann eine Kontrolle des vom Geldempfänger tatsächlich abgerechneten Betrages bei den bekannten Verfahren und speziell bei anonymen Börsen nicht erfolgen. Selbst bei nicht-anonymen Börsen ist eine Kontrolle durch den Kunden wenig wirksam, da der Kunde in der Regel nicht bereit ist, die Vielzahl der Zahlungen mit kleinen Beträgen zu überprüfen. Insbesondere kleinere Abweichungen, wie Rundungen oder sonstige Manipulationen des Geldempfängers, bleiben demzufolge für den Kunden meist unentdeckt.

Zusammenfassung der Erfindung

Der Erfindung liegt die Aufgabe zu Grunde, die Überprüfbarkeit von Transaktionen mit Chipkarten zu verbessern. Die Aufgabe der Erfindung wird durch die unabhängigen Ansprüche gelöst.

Erfindungsgemäß wird bei einer Transaktion unter Beteiligung einer Chipkarte, d. h. bei einer Transaktion zwischen der Chipkarte und einem Transaktionspartner, eine Transaktionskennung erzeugt. Die Transaktionskennung ermöglicht eine Identifizierung der getätigten Transaktion und enthält dafür alle für die Identifizierung und Abrechenbarkeit der Transaktion notwendigen Daten. Die Transaktionskennung wird während der Transaktion erzeugt und steht den an der Transaktion Beteiligten, also der Chipkarte und dem Transaktionspartner, zur Verfügung.

Im allgemeinen gibt es bei jeder Transaktion mindestens einen Transaktionsgeber und mindestens einen Transaktionsnehmer. Der Transaktionsgeber übermittelt etwas, z. B. einen Geldbetrag, an den Transaktionsnehmer und der Transaktionsnehmer möchte diese Transaktion dann i.a. mit einem Dritten, z. B. einer Bank oder einem anderen an dem Transaktionssystem, in dem die Transaktion abläuft, Beteiligten, abwickeln. Dabei ist zu verstehen, daß jeder der an der Transaktion Beteiligten sowohl Transaktionsgeber als auch Transaktionsnehmer sein kann. Derjenige der an der Transaktion Beteiligten, der die Transaktion für sich geltend machen möchte, also der Transaktionsnehmer, benötigt für die Abwicklung dieser Transaktion mit dem Dritten zwingend die Transaktionskennung.

Zur Abwicklung der Transaktion übermittelt der Transaktionsgeber einen Transaktionsnehmerdatensatz, der die Transaktionskennung und evtl. weitere Daten aufweist, an den Dritten. Der Transaktionsnehmerdatensatz ermöglicht die faktische Abwicklung der getätigten Transaktion mit dem Dritten und weist hierfür alle notwendigen Daten auf. Die Transaktionskennung dient im wesentlichen dazu, die Transaktion zu identifizieren und evtl. auch dazu, um belegen zu können, daß es sich bei den Transaktionsteilnehmern, also dem Transaktionsgeber und dem Transaktionsnehmer, um zur Transaktion berechtigte Teilnehmer innerhalb des Systems in dem die Transaktion abläuft, handelt. Es ist zu verstehen, daß der Transaktionsnehmerdatensatz mit der Transaktionskennung identisch sein kann, wenn die Transaktionskennung bereits eine faktische Abwicklung der Transaktion ermöglicht.

Zur Überprüfung der (korrekten) Abwicklung der Transaktion übermittelt der Transaktionsgeber erfindungsgemäß ebenfalls einen Transaktionsgeberdatensatz, der die entsprechende Transaktionskennung aufweist, an den Dritten. Der Transaktionsgeberdatensatz kann neben der Transaktionskennung auch weitere Daten aufweisen, die z. B. eine erleichterte Überprüfbarkeit der Transaktionsabwicklung gewährleisten sollen, wie beispielsweise Daten, die den Transaktionsgeber mittelbar oder unmittelbar identifizieren, oder detailliertere Daten zu der Transaktion. Die Transaktionskennung dient hier ebenfalls dazu, die Transaktion identifizieren zu können. Analog zu dem Transaktionsnehmerdatensatz kann der Transaktionsgeberdatensatz mit der Transaktionskennung identisch sein kann, wenn die Transaktionskennung bereits eine Überprüfung der Transaktion ermöglicht.

Der Dritte kann dann aus einem Vergleich des, von dem Transaktionsnehmer übermittelten, Transaktionsnehmerdatensatzes mit dem, von dem Transaktionsgeber übermittelten, Transaktionsgeberdatensatz auf eventuelle Unregelmäßigkeiten bei der Transaktion rückschließen, wie z. B. auf mögliche Fehler oder Manipulationen in dem Transaktionssystem, oder aber auch auf bewußte oder unbewußte Manipulationen durch die Transaktionsbeteiligten, insbesondere den Transaktionsnehmer. Dabei identifiziert die Transaktionskennung sowohl den Transaktionsnehmerdatensatz als auch den Transaktionsgeberdatensatz als die zu einer jeweiligen Transaktion entsprechenden Datensätze.

Die erfindungsgemäße Überprüfbarkeit von Transaktionen durch ein getrenntes Übermitteln der Transaktionsdatensätze, also des Transaktionsnehmerdatensatzes durch den Transaktionsnehmer, der diese Transaktionskennung ohnehin zur Abwicklung der Transaktion an den Dritten übermitteln muß, und des Transaktionsgeberdatensatzes durch den Transaktionsgeber, der die Transaktionskennung zur Überprüfbarkeit der getätigten Transaktion an den Dritten übermittelt, erlaubt somit eine wirkungsvolle Kontrolle des Transaktionssystems und auch der an der Transaktion Beteiligten.

Die Überprüfbarkeit durch die Übermittlung des Transaktionsgeberdatensatzes durch den Transaktionsgeber an den Dritten kann vorzugsweise durch den Transaktionsgeber, den Dritten oder durch einen anderen, an dem Transaktionssystem Beteiligten gesteuert werden, d. h. es kann gesteuert werden, welcher Transaktionsgeberdatensatz wann, von wem und unter welchen Umständen übermittelt werden soll. Hierzu wird vorzugsweise ein Überprüfungsparameter gesetzt, der festlegt, ob ein jeweiliger Transaktionsgeberdatensatz an den Dritten von dem Transaktionsgeber übermittelt werden soll. Der Überprüfungsparameter kann hierbei z. B. fest, nach stochastischen Gesichtspunkten, entsprechend der Bedeutung der Transaktion, zur Überprüfung bestimmter Transaktionsnehmer-Gruppen oder gebietsweise gesetzt werden. Wird der Überprüfungsparameter gesetzt, wird der Transaktionsgeberdatensatz der entsprechenden Transaktion vorbereitet und kann dann von dem Transaktionsgeber an den Dritten zur Überprüfung der Transaktion übermittelt werden. Wird kein Überprüfungsparameter gesetzt, unterbleibt eine Überprüfung der Transaktion. Der Überprüfungsparameter kann optional, z. B. durch den Transaktionsgeber, gesetzt werden, oder aber auch zur Überprüfung des Systems von einem Betreiber des Systems vorgegeben werden. Dabei besteht auch die Möglichkeit, daß der Überprüfungsparameter für den Transaktionsgeber unbemerkt gesetzt wird.

Durch die Auswahl der Transaktionskennung und der Transaktionsdatensätze, d. h. welche Informationen jeweils beinhaltet sind, kann die Überprüfbarkeit weiter gestaltet werden. Soll beispielsweise eine Anonymität des Transaktionsgebers erhalten bleiben, so darf die Transaktionskennung und der Transaktionsgeberdatensatz keinen Rückschluß auf die Identität des Transaktionsgebers erlauben.

Vorzugsweise weist die Transaktionskennung Informationen über den Transaktionsnehmer, z. B. eine Händleridentität, und den Transaktionsvorgang, z. B. Datum und den Betrag bei einer Zahlungstransaktion auf. Ist ein Rückschluß auf den Transaktionsgeber gewünscht, kann die Transaktionskennung und/oder der auch Informationen über den Transaktionsgeber aufweisen.

Die erfindungsgemäße Übermittlung des Transaktionsgeberdatensatzes durch den Transaktionsgeber kann weiterhin auch dazu genutzt werden, um für den Transaktionsgeber einen Beleg der getätigten Transaktion zu erzeugen. Der Transaktionsgeber erhält bei der Übermittlung des Transaktionsgeberdatensatzes an den Dritten - z. B. auf Wunsch - einen Transaktionsbeleg für die durch den Transaktionsgeberdatensatz gekennzeichnete Transaktion.

Die Erfindung findet vorzugsweise Anwendung für Zahlungstransaktionen, bei denen ein Betrag von einer Börse einer Chipkarte, als Transaktionsgeber, auf einen Transaktionsnehmer, z. B. einen Händler, übertragen werden soll. Während der Kommunikation der Chipkarte mit dem Transaktionsgeber erfährt die Chipkarte von dem Transaktionsgeber dessen Identität und übermittelt diesem den geforderten Betrag. Aus Sicherheitsgründen erfolgt vor Beginn der Kommunikation i.a. eine Sicherheitsüberprüfung, aus der erkennbar wird, ob es sich bei der Chipkarte um eine gültige Chipkarte handelt und ob der Transaktionsempfänger ein gültiger Teilnehmer des Transaktionssystems ist. Aus zumindest diesen Daten, d. h. der Transaktionsgeber-Identität, dem Betrag und einem auf die Sicherheitsüberprüfung bezogenen Datensatz erstellt der Transaktionsnehmer eine entsprechende Transaktionskennung, die er für eine anschließende Abwicklung der Transaktion, also z. B. einer Gutschrift des Betrages, benötigt. Die Transaktionskennung und evtl. weitere Daten werden in einem entsprechenden Transaktionsnehmerdatensatz des Transaktionsnehmers abgelegt.

Ist der Überprüfungsparameter auf der Chipkarte gesetzt, speichert die Chipkarte ebenfalls die Transaktionskennung, vorzugsweise in einem gesonderten Datensatz, dem Transaktionsgeberdatensatz, ab. Bei einer der nächsten Verbindungen sowohl der Chipkarte als auch des Transaktionsnehmers mit für die Abwicklung der Transaktion zuständigen Geräten werden die Transaktionsdatensätze an ein Zentralgerät des Dritten übermittelt. Das Zentralgerät vergleicht nun die übermittelten Transaktionsdatensätze entsprechend der Transaktionskennung, die die getätigte Transaktion identifiziert. Bei Unstimmigkeiten der Transaktionsdatensätze können so entsprechende Maßnahmen eingeleitet werden. Ebenfalls weisen Transaktionsgeberdatensätze, denen kein entsprechender Transaktionsnehmerdatensätze zugeordnet werden kann auf Veränderungen oder Manipulationen der Transaktionskennungen hin.

Das erfindungsgemäße Versehen der an der Transaktion beteiligten Transaktionsdatensätze mit der entsprechenden Transaktionskennung ermöglicht ein genaues Überprüfen und Vergleichen der für die Abwicklung der Transaktion gelieferten Datensätze. Unstimmigkeiten bei den mit entsprechender Transaktionskennung gekennzeichneten Datensätzen deuten so auf Unregelmäßigkeiten im System oder unter den Beteiligten hin und können eine gewollte oder ungewollte Veränderung der Datensätze erkennbar machen. Welche Daten hierfür notwendig sind, kann von Fall zu Fall variieren und kann je nach Vorgaben und Sicherheitsbedingungen definiert werden.

Die erfindungsgemäße Übermittlung der Transaktionskennung ermöglicht eine Überprüfbarkeit von Transaktionen auch bei der Beteiligung von anonymen Chipkartenbörsen. Hierfür ist die Transaktionskennung und der Transaktionsdatensatz entsprechend zu wählen, d. h., die in der Transaktionskennung enthaltenen Daten dürfen die Identität des Chipkartenbörsen-Inhabers nicht preisgeben. Jedoch muß die Transaktionskennung so gewählt werden, daß eine Zuordnung der Transaktionen möglich ist.

In einer bevorzugten Ausführungsform erfolgt eine Überprüfung einer Transaktion nicht standardmäßig, d. h., bei jeder Transaktion, sondern kann z. B. durch den Chipkarteninhaber, dem Zahlungsempfänger oder dem Systembetreiber des Chipkartenbörsen-Systems voreingestellt werden. So kann die Überprüfung der Transaktionen nach statistischen Gesichtspunkten, nach einem Zufallsverfahren oder zur unmittelbaren Kontrolle des Systems oder einzelner Beteiligter durchgeführt werden.

Das erfindungsgemäße Verfahren kann sowohl zur lückenlosen Überprüfung von Börsensystemen mit Chipkarten, z. B. bei einer Systemeinführung, als auch zur statistischen Überprüfung sehr großer Börsensysteme mit beispielsweise Milliarden von Zahlungsvorgängen eingesetzt werden.

Die Erfindung findet vorzugsweise Anwendung für Transaktionen zwischen einer (mobilen) Chipkarte und einem stationären Gerät, das entweder "online" mit dem Zentralgerät des Dritten in Verbindung steht oder "Off-Line", also ohne Verbindung zu dem Zentralgerät des Dritten, betrieben wird. Entsprechend können jedoch auch Transaktionen unter Beteiligung mehrerer Chipkarten, insbesondere Transaktionen zwischen zwei Chipkarten, erfindungsgemäß überwacht werden.

Die Erfindung kann mit jeder Datenträgerkarte angewandt werden ist nicht auf solche mit einem Chip beschränkt. Insbesondere lassen sich auch reine Speicherkarten (elektrische, magnetische oder auch optische Speicherkarten) oder Hybridkarten mit einer Kombination aus den Merkmalen von Prozessorkarten, Magnetkarten oder optischen Karten verwenden. Auch können anstelle von Datenträgerkarten auch andere, "Off-Line" betreibbare Medien zur Durchführung von Transaktionen verwendet werden.

Weitere, vorteilhafte Ausführungen der Erfindung finden sich in den Unteransprüchen.

Beschreibung der Zeichnungen

Zur näheren Erläuterung der Erfindung sind im folgenden Ausführungsbeispiele mit Bezugnahme auf die Zeichnungen beschrieben. Funktionsgleiche Elemente sollen gleiche Bezugszeichen tragen.

Fig. 1 zeigt schematisch die Abwicklung von Transaktionen mit Chipkartenbörsen gemäß dem Stand der Technik,

Fig. 2 zeigt den erfindungsgemäßen Vorgang für das Beispiel eines Zahlungsvorgangs mit einer Chipkarte.

Detaillierte Beschreibung der Erfindung

Fig. 2 zeigt den erfindungsgemäßen Vorgang für das Beispiel eines Zahlungstransaktionsvorgangs mit einer Chipkarte, wie er bereits gemäß Fig. 1 dargestellt wurde. Dargestellt werden soll der Zahlungstransaktionsvorgang mit einer anonymen Chipkartenbörse, die Erfindung ist jedoch nicht auf diesen beschränkt. Bei dem Zahlungstransaktionsvorgang werden Daten zwischen der Chipkarte 10 des Kunden und dem entsprechenden Gerät 20 des Zahlungsempfängers, beispielsweise einer Kasse eines Händlers, ausgetauscht. Das Gerät 20 soll im folgenden als Kasse 20 und der Zahlungsempfänger als Händler bezeichnet werden.

Neben den für die Herstellung der Kommunikation zwischen der Kasse 20 und der Chipkarte 10 notwendigen, z. T. verschlüsselten Daten, enthalten die ausgetauschten Daten insbesondere einen Zahlungsbetrag und eine Identifikation des Händlers. Diese Daten sind erforderlich für die spätere Abwicklung des Zahlungsvorgangs, d. h. für die faktische Übertragung des dem Zahlungsbetrag entsprechenden Geldbetrages an den Händler.

Vor Ausführung eines jeweiligen Zahlungsvorgangs erfolgt eine gegenseitige Sicherheitsüberprüfung zwischen der Chipkarte 10 und dem Händler 20, die belegen soll, ob beide autorisierte Teilnehmer in dem Zahlungssystem sind. Hierfür werden auf der Chipkarte 10 zwei Zufallszahlen R1 und R2 generiert. Die Zufallszahl R2 wird mit einem auf der Chipkarte 10 gespeicherten Schlüssel 50 verschlüsselt oder aus einem Satz von gespeicherten Zufallszahlen R21, R22, . . . R2i ausgewählt, wobei beliebige Verschlüsselungsverfahren, z. B. DES (data encryption standard/system), eingesetzt werden können. Das Resultat ist eine Zufallszahl V2=F(S0,R2) oder V2=F(R2i). Der auf der Chipkarte 10 gespeicherte Schlüssel S0 sollte völlig anonym sein, damit die einzelnen Zahlungsvorgänge der Chipkarte 10 anonym abgewickelt werden können.

Auf der Chipkarte 10 befindet sich ein Selektionsparameter S, der angibt, ob die Chipkarte 10 den erfindungsgemäßen Vorgang zur Überprüfung der Richtigkeit der Zahlungstransaktion durchführen soll oder nicht. Der Selektionsparameter S kann, beispielsweise bei einer Personalisierung der Chipkarte 10, von einem Betreiber des Zahlungssystems oder durch einen Algorithmus, z. B. in Abhängigkeit von dem Betrag, der Händlerkennung oder anderen Parametern generiert werden.

Bei dem Zahlungstransaktionsvorgang wird eine Händlerkennzahl HI des Händlers sowie der von der Chipkarte 10 abzubuchende Betrag B von der Kasse 20 an die Chipkarte 10 transferiert. Von der Chipkarte 10 wird die Zufallszahl V2 an die Kasse 20 des Händlers übergeben. In der Kasse 20 des Händlers wird eine Transaktionskennung generiert, die aus der Händlerkennung HI sowie dem Betrag und der erzeugten Zufallszahl V2 besteht. Die Transaktionskennung kennzeichnet den Zahlungstransaktionsvorgang zwischen der Chipkarte 10 und dem Händler. Die Zufallszahl V2 gibt bei der nachfolgenden Abrechnung einen Hinweis darauf, ob es sich bei der Chipkarte 10 und dem Händler um gültige Teilnehmer des Zahlungssystems handeln. Die Transaktionskennung wird in einem Händlerdatensatz DH abgelegt, der noch weitere Daten beinhalten kann, oder in dem eine Vielzahl von einzelnen Zahlungsvorgängen zusammengefaßt werden. Der Händlerdatensatz DH könnte beispielsweise aus der Händlerkennung HI sowie aus Paaren B(1)-V2(1), B(2)-V2(2), . . . besteht, wobei B(i) den Betrag des i-ten Vorgangs und V2(i) die i-te Zufallszahl symbolisiert. Alle Zahlungen sind in diesem Händlerdatensatz DH dokumentiert. Werden beispielsweise der Händlerkennzahl 8 Byte zugerechnet und der Betrag B sowie die Zufallszahl V2 mit jeweils 4 Bytes kodiert, so können 255 Zahlungsvorgänge mit einem Kilobyte protokolliert werden. Dieser Händlerdatensatz DH wird vom Händler zur Abrechnung an die entsprechende Vorrichtung 30, z. B. ein Bankenterminal übertragen. Die Übertragung des Datensatzes DH kann beispielsweise online oder auch mit Hilfe einer speziellen Chipkarte zur Speicherung dieser Daten durchgeführt werden.

Die erfindungsgemäße Kontrolle des Zahlungsvorgangs erfolgt mittels eines Kontrollpfades 50. Bei jedem Zahlungstransaktionsvorgang wird die Händlerkennzahl HI, der Betrag B und die Zufallszahl V2 auf der Chipkarte 10 gespeichert. Damit kann jeweils der letzte Zahlungstransaktionsvorgang, wahlweise auch mehrere Zahlungsvorgänge, überprüft und eventuell auch storniert werden. Der Selektionsparameter S entscheidet, ob die den Zahlungstransaktionsvorgang kennzeichnenden Daten auf der Chipkarte 10 speziell abgespeichert werden sollen. Ist beispielsweise die Zufallszahl R1 größer als ein bestimmter, vorgegebener Schwellwert P, der durch den Selektionsparameter S gesetzt wurde, wird die zu dem Zahlungstransaktionsvorgang gehörende Transaktionskennung bestehend aus H1, B und V2 speziell in einem Kundendatensatz DK abgespeichert. Der Kundendatensatz DK kann zusätzlich noch weitere Informationen beinhalten oder eine Vielzahl von Transaktionskennungen unterschiedlicher Transaktionen zusammenfassen.

Der oder die auf der Chipkarte 10 abgespeicherten Kundendatensätze DK werden bei einem nächsten "Online"-Kontakt der Chipkarte 10 mit der entsprechenden Vorrichtung 30, z. B. bei einem Aufladen der Börse der Chipkarte 10, von der Vorrichtung 30 abgerufen. Der entsprechende Kundendatensatz DK kann dann - mittels der die jeweilige Transaktion kennzeichnenden Transaktionskennung - von dem Systembetreiber mit dem entsprechenden Händlerdatensatz DH, bzw. die entsprechenden den Zahlungstransaktionsvorgang kennzeichnenden Teildaten, verglichen werden.

Der Vergleich der entsprechenden Datensätze erlaubt eine unmittelbare Überprüfbarkeit der über den Selektionsparameter S gekennzeichneten Zahlungsvorgänge. Unterscheiden sich die einen jeweiligen Zahlungstransaktionsvorgang kennzeichnenden Daten des Kundendatensatzes DK und des Händlerdatensatzes DH, so muß ein Fehler entweder auf Seite des Händlers, des Kunden oder innerhalb des Systems liegen, und entsprechende Maßnahmen können eingeleitet werden. Häufungen der Unstimmigkeiten von Datensätzen von einem bestimmten Händler können auf eine bewußte oder unbewußte Manipulation der Daten durch diesen Händler hindeuten. Mit Hilfe des Selektionsparameters S können so wiederum bestimmte Händler, Händlergruppen oder regionale Gebiete wirkungsvoll auf eine korrekte Abwicklung der Zahlungsvorgänge überprüft werden.

Eine Anonymität der Daten bei der Verwendung von anonymen Chipkartenbörsen kann durch eine anonyme Abspeicherung des Kundendatensatzes DK durch den Systembetreiber gewährleistet werden. Mit Einwilligung des Kunden kann der Kundendatensatz DK auch mit seiner Kundenkennung versehen werden, so daß der Kunde seine Zahlungsvorgänge mit der Börse seiner Chipkarte 10 durch Stichproben überprüfen kann. Der Schwellwert P des Selektionsparameters S könnte z. B. auch von dem Kunden auf P=0 gesetzt werden, wenn er beispielsweise für geschäftliche Zwecke Belege für Kleinbeträge erhalten möchte.

Durch die Wahl des Schwellwertes P, z. B. auf P=0, in der Anlaufphase eines Börsensystems kann der Aufwand für die Prüfung und das Geschäftsrisiko für den Betrieb der Börse optimiert werden.

Das erfindungsgemäße System zur Überwachung von Transaktionen mit Chipkarten benötigt außer dem auf der Chipkarte 10 gespeicherten individuellen Schlüssel keine weiteren Schlüssel. Zahlungsvorgänge können demnach mit bereits bekannten Chipkarten gemäß dem Stand der Technik durchgeführt werden. Spezielle Sicherheitsmodule sind nicht notwendig. Chipkartenbörsensysteme lassen sich damit schneller und mit geringeren Kosten einführen. Insbesondere eignet sich das erfindungsgemäße Überwachungssystem für kleine lokale Börsensysteme, z. B. in einer Stadt oder einer Region, und läßt sich kostengünstig und schnell implementieren.

Die dargestellte erfindungsgemäß erleichterte Überprüfbarkeit von Zahlungstransaktionen kann ebenfalls zwischen zwei oder mehreren, an einer Zahlungstransaktion beteiligten Chipkarten durchgeführt werden. In diesem Fall wird der Händlerdatensatz DH ebenfalls auf einer Händlerchipkarte gespeichert und erst bei einem nächsten "online"-Kontakt mit dem entsprechenden Gerät 30 an den Dritten zur faktischen Abwicklung, z. B. durch eine Gutschrift oder durch ein Auffüllen einer Börse auf der Händlerchipkarte, weitergeleitet.

Es ist zu verstehen, daß das Gerät 30 auch für ein System von Einzelgeräten stehen kann, das von dem Dritten für das Transaktionssystem zur Verfügung gestellt wird. Der Einfachheit halber wurde das Gerät 30 hier jedoch nur als ein Einzelgerät dargestellt. Auch der Dritte ist nicht auf eine Person festgelegt, sondern kann für eine Vielzahl von natürlichen und auch juristischen Personen stehen, die das Transaktionssystem betreiben und aufrechterhalten.

Claims (18)

1. Verfahren zur Überwachung einer Transaktion zwischen einem Transaktionsgeber und einem Transaktionsnehmer unter Beteiligung einer Datenträgerkarte (10), gekennzeichnet durch die Schritte:

• - Herstellen einer Verbindung zwischen dem Transaktionsgeber und dem Transaktionsnehmer unter Einschluß der Datenträgerkarte (10) zur Kommunikation mit der Datenträgerkarte (10);
• - Durchführen der Transaktion unter Erzeugung einer Transaktionskennung, die eine Identifizierung der Transaktion ermöglicht;
• - Abspeichern der Transaktionskennung auf der Datenträgerkarte (10);
• - Übermitteln eines Transaktionsnehmerdatensatzes (DH), der die Transaktionskennung aufweist, durch den Transaktionsnehmer an einen Dritten zur vorzugsweise faktischen Abwicklung der Transaktion; und
• - Übermitteln eines Transaktionsgeberdatensatzes (DK), der die Transaktionskennung aufweist, an den Dritten durch den Transaktionsgeber.

2. Verfahren nach Anspruch 1, gekennzeichnet durch einen weiteren Schritt des Vergleichens des Transaktionsnehmerdatensatzes (DH) mit dem Transaktionsgeberdatensatz (DK) mittels der Transaktionskennung einer jeweiligen Transaktion durch den Dritten zur Überprüfung der korrekten Abwicklung der Transaktion.

3. Verfahren nach den Ansprüchen 1 oder 2, gekennzeichnet durch einen zusätzlichen Schritt des Setzens eines Überprüfungsparameters, so daß das Übermitteln des Transaktionsgeberdatensatzes (DK) an den Dritten durch den Transaktionsgeber nur dann ausgeführt wird, wenn der Überprüfungsparameter für die Transaktion gesetzt wird.

4. Verfahren nach Anspruch 3, dadurch gekennzeichnet, daß der Überprüfungsparameter durch den Dritten oder durch einen Inhaber der Datenträgerkarte (10) gesetzt wird.

5. Verfahren nach den Ansprüchen 3 oder 4, dadurch gekennzeichnet, daß der Überprüfungsparameter so gesetzt wird, daß der Transaktionsgeberdatensatz (DK) an den Dritten durch den Transaktionsgeber nur dann übermittelt wird, wenn die Transaktion ein vorgebbares Kriterium erfüllt.

6. Verfahren nach den Ansprüchen 3-5, dadurch gekennzeichnet, daß der Überprüfungsparameter nach stochastischen Kriterien gesetzt wird.

7. Verfahren entsprechend einem der vorstehenden Ansprüche, dadurch gekennzeichnet, daß das Übermitteln des Transaktionsgeberdatensatzes (DK) an den Dritten bei einem der Transaktion nachfolgenden "online"-Kontakt mit einer entsprechenden Vorrichtung (30) erfolgt.

8. Verfahren nach Anspruch 2, dadurch gekennzeichnet, daß dem Schritt des Vergleichens der übermittelten Transaktionsdatensätze ein Schritt des Auswertens der aus dem Vergleich gewonnenen Informationen auf die durchgeführte Transaktion und/oder des Systems in dem die Transaktion abläuft, folgt.

9. Verfahren entsprechend einem der vorstehenden Ansprüche, dadurch gekennzeichnet, daß die Transaktionskennung und/oder der Transaktionsgeberdatensatz (DK) so erzeugt wird, daß ein Rückschluß auf die Identität des Transaktionsgebers nicht möglich ist.

10. Verfahren entsprechend einem der vorstehenden Ansprüche, dadurch gekennzeichnet, daß der Transaktionsgeber nach Übermitteln des Transaktionsgeberdatensatzes (DK) an den Dritten einen Beleg für die getätigte Transaktion erhält.

11. Verwendung eines der vorstehenden Verfahren für Zahlungstransaktionen, wobei die Datenträgerkarte (10) eine Börse aufweist.

12. Verwendung eines der vorstehenden Verfahren für eine Überwachung eines Systems, in dem die Transaktionen ablaufen.

13. System zur Überwachung einer Transaktionen zwischen einem Transaktionsgeber und einem Transaktionsnehmer unter Beteiligung einer Datenträgerkarte (10), mit

• - Mitteln zur Herstellen einer Verbindung zwischen dem Transaktionsgeber und dem Transaktionsnehmer unter Einschluß der Datenträgerkarte (10) zur Kommunikation mit der Datenträgerkarte (10);
• - Mitteln zur Durchführen der Transaktion;
• - Mitteln zur Erzeugung einer Transaktionskennung, die eine Identifizierung der Transaktion ermöglicht;
• - einem Speicher auf der Datenträgerkarte (10) zum Abspeichern der Transaktionskennung;
• - Mitteln zur Übertragung eines Transaktionsnehmerdatensatzes (DH), der die Transaktionskennung aufweist, durch den Transaktionsnehmer an einen Dritten, vorzugsweise zur faktischen Abwicklung der Transaktion;

gekennzeichnet durch:

• - ein Mittel (50) zur Übertragung eines Transaktionsgeberdatensatzes (DK), der die Transaktionskennung aufweist, an den Dritten durch den Transaktionsgeber.

14. Vorrichtung zur Überwachung einer Transaktion zwischen einem Transaktionsgeber und einem Transaktionsnehmer unter Beteiligung einer Datenträgerkarte (10) in einem System, das Mittel zur Kommunikation und zur Durchführen der Transaktion zwischen den Transaktionsgeber und den Transaktionsnehmer unter Einschluß der Datenträgerkarten (10) aufweist, wobei bei der Transaktion eine Transaktionskennung erzeugt wird, die eine Identifizierung der Transaktion ermöglicht; mit

• - einem Mittel (30) zum Empfang eines Transaktionsnehmerdatensatzes (DH), der die Transaktionskennung aufweist, von dem Transaktionsnehmer;
• - einem Mittel (30) zum Empfang eines Transaktionsgeberdatensatzes (DK), der die Transaktionskennung aufweist, von dem Transaktionsgeber; und
• - einem Vergleicher (30) zum Vergleich des Transaktionsnehmerdatensatzes (DH) mit dem Transaktionsgeberdatensatz (DK) mittels der Transaktionskennung.

15. Vorrichtung nach Anspruch 14, mit einem Auswertemittel (30) zur Auswertung der aus dem Vergleich des Transaktionsnehmerdatensatzes (DH) mit dem Transaktionsgeberdatensatz (DK) gewonnenen Informationen.

16. Verfahren zur Überwachung einer Transaktion zwischen einem Transaktionsgeber und einem Transaktionsnehmer unter Beteiligung einer Datenträgerkarte (10) in einem System, das Mittel zur Kommunikation und zur Durchführen der Transaktion zwischen den Transaktionsgeber und den Transaktionsnehmer unter Einschluß der Datenträgerkarten (10) aufweist, wobei bei der Transaktion eine Transaktionskennung erzeugt wird, die eine Identifizierung der Transaktion ermöglicht; mit den Schritten:

• - Empfangen eines Transaktionsnehmerdatensatzes (DH), der die Transaktionskennung aufweist, von dem Transaktionsnehmer;
• - Empfangen eines Transaktionsgeberdatensatzes (DK), der die Transaktionskennung aufweist, von dem Transaktionsgeber; und
• - Vergleichen des Transaktionsnehmerdatensatzes (DH) mit dem Transaktionsgeberdatensatz (DK) mittels der Transaktionskennung.

17. Verfahren nach Anspruch 16, mit einem weiteren Schritt des Auswertens der aus dem Vergleich des Transaktionsnehmerdatensatzes (DH) mit dem Transaktionsgeberdatensatz (DK) gewonnenen Informationen.