DE19610070A1 - Chipkarte - Google Patents

Description

Die Erfindung bezieht sich auf eine Chipkarte mit einem Kar­ tenkörper und einem innerhalb des Kartenkörpers untergebrach­ ten Halbleiterchip, auf welchem eine Steuerschaltung und eine mit der Steuerschaltung elektrisch gekoppelte Halbleiterspei­ chereinrichtung integriert ausgebildet ist, welche Steuer­ schaltung mit einer von einer Spannungsversorgungsschaltung erzeugten Versorgungsspannung und einem von einer separat von der Steuerschaltung angeordneten Taktversorgungsschaltung er­ zeugten Takt versorgt ist, wobei die Versorgungsspannung ei­ nen innerhalb vorbestimmter Betriebsspannungsgrenzen liegen­ den Betriebsspannungswert und der Versorgungstakt einen in­ nerhalb vorbestimmter Betriebstaktgrenzen liegenden Betriebs­ taktwert besitzt.

Die Anwendungsmöglichkeiten von in der Regel im Scheckkarten­ format ausgebildeten Chipkarten sind aufgrund einer hohen funktionalen Flexibilität äußerst vielseitig geworden und nehmen mit der steigenden Rechenleistung und Speicherkapazi­ tät der verfügbaren integrierten Schaltungen-weiterhin zu. Neben den derzeit typischen Anwendungsfeldern solcher Chip­ karten in der Form von Krankenversichertenkarten, Gleitzeit­ erfassungskarten, Telefonkarten ergeben sich zukünftig insbe­ sondere Anwendungen im elektronischen Zahlungsverkehr, bei der Zugriffskontrolle auf Rechner, bei geschützten Datenspei­ chern und dergleichen. Beim Einsatz von Mikrocontrollern auf Chipkarten müssen in den meisten Fällen sehr hohe Sicher­ heitsanforderungen eingehalten werden, um einen unbefugten Zugriff auf vertrauliche Daten des Chipkarteninhabers oder eine Manipulation von Geldbeträgen wirksam zu verhindern. In den bisher bekannten Chipkarten werden daher Schutzelemente eingebaut, die hinsichtlich der Funktionsweise in passive und aktive Schutzmechanismen unterteilt werden können, und welche beispielsweise in dem Handbuch mit dem Titel "Chipkarten", Carl Hanser Verlag, 1995, Seiten 208-213 beschrieben sind.

Passive Schutzmechanismen basieren im wesentlichen direkt auf der Technologie der Halbleiterherstellung. Beispielsweise be­ sitzen zur Überprüfung des Chips während der Halbleiterferti­ gung und zur Ausführung der internen Testprogramme sämtliche Mikrocontroller einen sogenannten Testmodus, bei dem die Halbleiterschaltungen noch auf dem Wafer oder im Modul beim Hersteller geprüft werden können. Dieser Testmodus erlaubt Zugriffsarten auf den Speicher, die später strikt verboten sind, so daß die Umschaltung vom Testmodus in den Benutzermo­ dus irreversibel ausgestaltet sein muß. Dies wird in der Re­ gel mit Polysilizium-Sicherungen auf dem Chip bewerkstelligt. Darüber hinaus ist es bekannt, die internen Busse auf dem Chip, die den Prozessor mit drei verschiedenen Speichertypen ROM, EEPROM und RAM verbinden, somit nicht nach außen geführt und danach auch mit sehr aufwendigen Verfahren nicht kontak­ tierbar sind, über verschlüsselte Anordnungen der einzelnen Busleitungen in einer wirren und mehrfach gegeneinander ver­ tauschten Lage anzuordnen. Damit besteht keine Möglichkeit für einen unbefugten Angreifer, den Adreß-, Daten- oder Steuerbus des Mikrocontrollers abzuhören oder zu beeinflussen und dadurch Speicherinhalte auszulesen. Weiterhin kann durch Unterbringung der Halbleiterspeicher nicht in den obersten und damit am leichtesten zugänglichen Schichten, sondern in den unteren Siliziumschichten verhindert bzw. erschwert wer­ den, den Inhalt eines Festwertspeichers mit einem Lichtmikro­ skop Bit für Bit auszulesen. Eine weitere Gefahr stellt die Analyse von elektrischen Potentialen auf dem Chip während des Betriebes dar. Bei einer genügend hohen Abtastfrequenz be­ steht die Möglichkeit, Ladungspotentiale, d. h. Spannungen, auf sehr kleinen Kristallbereichen zu messen und auf diese Weise Rückschlüsse auf Dateninhalte des Halbleiterspeichers vom wahlfreien Zugriffstyp (RAM) während des Betriebes zu ziehen und damit Zugriff auf vertrauliche Daten des Chipkar­ teninhabers zu erhalten. Dies kann in gewisser Weise durch eine zusätzliche Metallisierungsschicht über den entsprechen­ den Speicherzellen verhindert werden. Wird diese Metall­ schicht beispielsweise auf chemischem Weg entfernt, ist der Chip nicht mehr funktionsfähig, da die Metallisierungsschicht als elektrische Spannungszuführung für eine ordnungsgemäße Funktion des Chips benötigt wird.

Weiterhin sind aktive Schutzmechanismen bei Chipkarten be­ kannt, die einen unbefugten Zugriff auf Dateninhalte verhin­ dern sollen. Beispielsweise kann eine Sensorschaltung vorge­ sehen sein, die über eine Widerstands- oder Kapazitätsmessung feststellt, ob die auf dem Siliziumchip zur Verhinderung ei­ ner Oxidation auf der Chipoberfläche aufgetragene Passivie­ rungsschicht noch vorhanden ist, welche bei der Vornahme von Manipulationen auf dem Chip entfernt werden muß. Ist die Pas­ sivierungsschicht nicht mehr vorhanden oder beschädigt, wird entweder ein Interrupt in der Chipsoftware ausgelöst oder der gesamte Chip von der Hardware abgeschaltet, so daß alle dyna­ mischen Analysen zuverlässig verhindert werden. Weiterhin be­ kannt ist es, auf dem Chipkarten-Mikrocontroller eine Span­ nungsüberwachungsschaltung vorzusehen, welche für ein defi­ niertes Abschalten des Bausteins sorgt, wenn die oberen oder unteren Grenzen der Betriebsspannung über- bzw. unterschrit­ ten werden. Damit -erhält die Software die Sicherheit, daß ein Betrieb in den Grenzbereichen, in denen der Chip nicht mehr voll funktionsfähig ist, unmöglich ist. Ein weiterer bekann­ ter Sensor, der zum Teil auf der Spannungsdetektion aufbaut, stellt die sogenannte Power-On-Erkennung dar. Diese ebenfalls in dem Chip vorhandene Detektion eines Power-On unabhängig vom Resetsignal sorgt dafür, daß der Chip beim Anschalten im­ mer in einem definierten Bereich gesetzt wird. Weiterhin ist es bekannt, auf dem Chip eine Funktionsbaugruppe zur Unter­ frequenzdetektion integriert auszubilden. Diese verhindert, daß der angelegte Takt in unzulässiger Weise erniedrigt wer­ den kann. Die Taktversorgung der Chipkarte läuft in der Regel extern, so daß die interne Rechengeschwindigkeit völlig von außen bestimmt wird. Damit bestünde theoretisch die Möglich­ keit, von außen den Mikrocontroller im Einzelschrittbetrieb zu fahren. Dies würde zu unbefugten Analysemöglichkeiten vor allem in der Messung von Stromaufnahmen und elektrischen Po­ tentialen auf dem Chip führen.

Allen bisher bekannt gewordenen Schutzmaßnahmen zur Verhinde­ rung des unbefugten Zugriffs auf vertrauliche Dateninhalte bei Chipkarten ist gemeinsam, daß nach einer Auslösung der betreffenden Schutzmaßnahme die Chipkarte insgesamt nicht mehr funktionsfähig ist.

Der Erfindung liegt die Aufgabe zugrunde, eine aktive Schutz­ einrichtung für eine Chipkarte der gattungsgemäßen Art zur Verfügung zu stellen bzw. dahingehend zu verbessern, daß die Gefahr eines unbefugten Zugriffes auf Dateninhalte von Spei­ cherzellen des innerhalb der Chipkarte untergebrachten Halb­ leiterspeichers vom wahlfreien Zugriffstyp wirksam ausge­ schlossen werden kann, gleichzeitig die vom unbefugten Zu­ griff nicht betroffenen Schaltungskomponenten der Chipkarte funktionsfähig bleiben.

Diese Aufgabe wird durch eine Chipkarte gemäß Anspruch 1 ge­ löst.

Erfindungsgemäß ist vorgesehen, daß der Steuerschaltung des innerhalb des Kartenkörpers untergebrachten Halbleiterchips eine Sensorschaltung zugeordnet ist, welche eine Abweichung des erlaubten Betriebszustandes der Steuerschaltung und/oder weiterer Schaltungskomponenten des Halbleiterchips erfaßt, und bei Vorliegen eines unerlaubten Betriebszustandes ein Auslösesignal erzeugt, welches einer der Sensorschaltung nachgeschalteten und der Halbleiterspeichereinrichtung zuge­ ordneten Auslöseschaltung zugeführt ist, die als Reaktion auf das Auslösesignal eine wenigstens bereichsweise Löschung des Dateninhalts der Halbleiterspeichereinrichtung steuert. Die Erfindung besteht somit im wesentlichen darin, bei einer be­ liebigen Abweichung des erlaubten Betriebszustandes der in der Chipkarte untergebrachten Steuerschaltung und/oder weite­ rer Schaltungskomponenten selbsttätig eine sofortige Löschung von sicherheitsrelevanten oder personenbezogenen Dateninhal­ ten zu steuern. Eine Abweichung vom erlaubten Betriebszustand der Steuerschaltung wird beispielsweise bei einem unbefugten Zugriff oder eine unbefugte Manipulation an Schaltungskompo­ nenten der Chipkarte hervorgerufen, beispielsweise bei dem Versuch, vertrauliche Daten durch unbefugte Eingriffe aus zu­ lesen. Durch die Abweichung vom erlaubten Betriebszustand wird ein solcher Manipulationsversuch automatisch erkannt und zur selbsttätigen Löschung insbesondere sämtlicher vertrauli­ cher Dateninhalte ausgelöst. Solche Dateninhalte sind bei­ spielsweise in einem mit der Steuerschaltung elektrisch ge­ koppelten Halbleiterspeicher vom wahlfreien Zugriffstyp, dar­ über hinaus jedoch auch beispielsweise in einem der Steuer­ schaltung zugeordneten Speicherregister, beispielsweise einem sogenannten Spezialfunktionsregister, oder in einem Akkumula­ tor zeitweise abgespeichert. Das von der Sensorschaltung bei Abweichung vom erlaubten Betriebszustand erzeugte Auslösesi­ gnal steuert somit nicht nur das Löschen der relevanten Da­ teninhalte vom Halbleiterspeicher vom wahlfreien Zugriffstyp (RAM), sondern auch das Löschen von Dateninhalten von allen weiteren Speicher- oder Registervorrichtungen, in denen we­ nigstens zeitweise solche Daten abgelegt sind, aus denen Rückschlüsse auf vertrauliche Informationen abgeleitet werden können.

Ein wesentlicher Vorteil der Erfindung liegt darin, daß im Falle des Auftretens eines unerlaubten Betriebszustandes die Funktionsfähigkeit der von dem Manipulationsversuch nicht be­ troffenen Schaltungskomponenten, insbesondere die Steuer­ schaltung selbst, unverändert in Betrieb bleiben. Auf diese Weise können nach Auftreten eines Manipulationsversuches noch wirksam Datensignale verarbeitet werden. Beispielsweise kann eine Übertragung von Daten an ein mit der Chipkarte in Ver­ bindung stehendes Terminal erfolgen und eine entsprechende Sperrung der Chipkarte unter Angabe der zugehörenden Perso­ nendaten veranlaßt werden.

Bei einer besonders einfach zu realisierenden Anordnung kann vorgesehen sein, daß nach Erfassung des unerlaubten Betriebs­ zustandes selbsttätig eine vollständige Löschung von Datenin­ halten erfolgt. Dies kann vorzugsweise durch Ausgabe eines Reset-Signales an alle betroffenen Speicher- oder Register der Halbleiterspeichereinrichtung bewerkstelligt werden.

Bei einer bevorzugten Ausführung der Erfindung ist vorgese­ hen, daß die Sensorschaltung der Taktversorgung und/oder der Spannungsversorgung der Steuerschaltung zugeordnet ist und eine Abweichung der Versorgungsspannung von der Betriebsspan­ nung und/oder eine Abweichung des Versorgungstaktes von dem Betriebstakt erfaßt und bei Vorliegen einer Abweichung der Betriebsspannung und/oder des Betriebstaktes ein Auslösesi­ gnal erzeugt, welches einer der Sensorschaltung nachgeschal­ teten und der Halbleiterspeichereinrichtung zugeordneten Aus­ löseschaltung zugeführt ist, welche als Reaktion auf das Aus­ lösesignal eine wenigstens bereichsweise Löschung des Daten­ inhalts der Halbleiterspeichereinrichtung steuert.

Insbesondere der in der Chipkarte vorgesehene und zur zeit­ weisen Speicherung personenbezogener Daten dienende Halblei­ terspeicher vom wahlfreien Zugriffstyp (RAM) stellt eine ge­ wisse Schwachstelle des auf dem Halbleiterchip ausgebildeten Mikrocontrollers dar, da deren Speicherzellen vertrauliche Dateninhalte in geordneter Form enthalten, die bei einem un­ befugten Zugriff durch relativ einfach durchzuführende Maß­ nahmen ausgelesen werden können. Durch die Erfindung wird bei einem unbefugten Ausleseversuch der Dateninhalte über Be­ triebsspannungs- bzw. Frequenzmanipulationen selbsttätig eine sofortige Löschung der Speicherzellen hervorgerufen. Durch diese Maßnahme wird ein unberechtigtes Auslesen des Halblei­ terspeichers, in welchem während dem Betriebszustand zeitwei­ se vertrauliche Dateninhalte bzw. Schlüsseldaten abgelegt sind, zumindest erheblich erschwert. Es ist somit insbesonde­ re nicht mehr möglich, den Halbleiterchip in einen unerlaub­ ten Betriebszustand zu bringen, um anschließend in aller Ruhe "quasistatisch" die Dateninhalte, welche der Halbleiterspei­ cher hält, solange die Betriebsspannung noch eingeschaltet ist, auszulesen.

Dem Prinzip der Erfindung folgend kann vorgesehen sein, daß die Sensorschaltung eine Spannungsdetektorschaltung aufweist, welche ein Über- bzw. Unterschreiten der Versorgungsspannung von den vorbestimmten oberen bzw. unteren Grenzwerten der Be­ triebsspannung erfaßt. Des weiteren kann vorgesehen sein, daß die Sensorschaltung eine Frequenzdetektorschaltung aufweist, die ein Über- bzw. Unterschreiten des Versorgungstaktes von den oberen bzw. unteren Grenzwerten des Betriebstaktes er­ faßt.

Bei einer bevorzugten Ausführung der Erfindung kann vorgese­ hen sein, daß die der Sensorschaltung nachgeschaltete Auslö­ seschaltung zur Löschung des Dateninhalts von sämtlichen Speicherzellen des Halbleiterspeichers vom wahlfreien Zu­ griffstyp ein Reset-Signal an den Halbleiterspeicher ausgibt. Hierbei kann insbesondere vorgesehen sein, daß die Steuerung der wenigstens bereichsweisen Löschung des Dateninhalts von Speicherzellen des Halbleiterspeichers vom wahlfreien Zu­ griffstyp vermittels der der Sensorschaltung nachgeschalteten Auslöseschaltung unabhängig von der der Steuerschaltung zuge­ ordneten Taktversorgung erfolgt. Hierbei wird in allen vier denkbaren Fällen, in denen die Sensorschaltung das Auslösesi­ gnal erzeugt, eine Löschung des gesamten Halbleiterspeichers vom wahlfreien Zugriffstyp veranlaßt, die unabhängig vom An­ liegen des Taktes an die Steuerschaltung asynchron erfolgt, um sicherzustellen, daß die Sensorschaltung und Auslöseschal­ tung auch beim totalen Abschalten des Takt es ordnungsgemäß funktioniert.

Weitere Vorteile, Merkmale und Zweckmäßigkeiten der Erfindung ergeben sich aus der nachfolgenden Beschreibung eines Ausfüh­ rungsbeispieles anhand der Zeichnung. Es zeigt:

Fig. 1 eine schematische Draufsicht einer Chipkarte; und

Fig. 2 eine schematische Darstellung der auf dem im Karten­ körper untergebrachten Halbleiterchip vorgesehenen elektronischen Schaltungskomponenten.

Fig. 1 zeigt eine Chipkarte 1 mit einem Kartenkörper 2 und einem innerhalb des Kartenkörpers 2 untergebrachten Halblei­ terchip 3, der als Bestandteil eines vorgefertigten Chipmo­ duls 4 gefertigt ist, auf deren Oberfläche metallische Kon­ taktelemente 5 für die Energieversorgung und die Datenüber­ tragung nach außen angeordnet sind. Anstelle einer kontaktbe­ hafteten Chipkarte kann die erfindungsgemäße Chipkarte auch eine kontaktlose Karte darstellen.

In Fig. 2 sind die wichtigsten funktionellen Schaltungskom­ ponenten der auf dem Halbleiterchip 3 ausgebildeten Mikrocon­ trollerschaltung 6, die den zentralen Bestandteil der Chip­ karte 1 darstellt, gezeigt. Dargestellt ist eine Steuerschal­ tung bzw. Mikroprozessorschaltung 7 und drei unterschiedliche Halbleiterspeicher, insbesondere ein Halbleiterspeicher vom wahlfreien Zugriffstyp (RAM) 8, ein Festwertspeicher (ROM) 9, sowie ein elektrisch programmierbarer und löschbarer Fest­ wertspeicher (EEPROM) 10. Im ROM-Speicher 9 der Chipkarte 1 befinden sich die meisten Betriebssystemroutinen, sowie di­ verse Test- und Diagnosefunktionen. Diese Programme werden vom Halbleiterhersteller bei der Produktion des Halbleiter­ chips 3 eingebracht. Der gegenüber ROM und RAM technisch auf­ wendigere Speicher EEPROM 10 wird in der Chipkarte 1 für sämtliche Daten und Programme verwendet, die zu einem belie­ bigen Zeitpunkt einmal verändert oder gelöscht werden sollen. Der Funktionalität nach entspricht ein EEPROM der Festplatte eines Personalcomputers, da Daten auch ohne Stromzufuhr er­ halten bleiben und sich bei Bedarf ändern lassen. Der RAM-Speicher 8 stellt den Speicher der Chipkarte 1 dar, in dem Daten während einer Sitzung beliebig oft gespeichert und ge­ ändert werden können. Hinsichtlich der Anzahl der möglichen Zugriffe unterliegt der RAM-Speicher 8 somit keinen Ein­ schränkungen wie etwa der EEPROM-Speicher 10. Zur Datenerhal­ tung benötigt der RAM-Speicher 8 eine Spannungsversorgung. Ist die Betriebsspannung nicht mehr vorhanden, oder fällt sie kurzzeitig aus, ist der Inhalt des RAM-Speichers 8 nicht mehr definiert. Aufgebaut ist der RAM-Speicher 8 aus mehreren Transistoren, die so geschaltet sind, daß sie als bistabile Kippschaltung funktionieren. Der Schaltungszustand repräsen­ tiert hierbei den Speicherinhalt eines Bits im RAM-Speicher 8. Der in der Chipkarte 1 verwendete RAM-Speicher 8 ist vom statischen Typ, d. h. der Speicherinhalt muß nicht periodisch aufgefrischt werden. Damit ist der RAM-Speicher 8 auch unab­ hängig von einem äußeren Takt, im Gegensatz zu einem dynami­ schen RAM-Speicher. Die Verwendung eines statischen RAM-Spei­ chers 8 ist im übrigen auch deshalb wichtig, weil es mög­ lich sein muß, im sogenannten Schlafmodus (Sleep Mode) die Taktversorgung von Chipkarten anzuhalten, was bei dynamischen RAM-Speichern nicht möglich wäre.

Der in der Chipkarte 1 zum Einsatz kommende Mikroprozessor 7 stellt einen an sich bekannten Prozessortyp dar, dessen Be­ fehlssatz sich beispielsweise an der Intel 8051-Architektur orientiert und teilweise durch weitere Befehle ergänzt sein kann. Zur Spannungsversorgung der Schaltungskomponenten der Mikrocontrollerschaltung 6 ist eine extern über die Anschlüs­ se GND (= Ground bzw. Masse) und Vcc (= Versorgungsspannung) der Kontakte 5 der Chipkarte 1 gespeiste Spannungsversor­ gungsschaltung 12 vorgesehen, die einen innerhalb vorbestimm­ ter Betriebsspannungsgrenzen liegenden Betriebsspannungswert liefert, beispielsweise etwa 3 bis 5 V ± 10%. Des weiteren ist eine schematisch durch den Anschluß Clk (Clock = Takt) dargestellte Taktversorgungsschaltung 13 vorgesehen, die den Mikroprozessor 7 mit dem für die zeitlich definierte Abfolge der Befehlsabarbeitung erforderlichen und die Rechengeschwin­ digkeit der Mikrocontrollerschaltung 6 bestimmenden Versor­ gungstakt liefert, der einen innerhalb vorbestimmter Betrieb­ staktgrenzen liegenden Betriebstaktwert besitzt, beispiels­ weise zwischen etwa 1 bis 5 Mhz, in zukünftigen Anwendungen etwa 7,5 Mhz, 10 MHz. Gegenüber der Mikroprozessorschaltung 7 ist die Taktversorgung aufgrund der separat hiervon und sche­ matisch dargestellten Taktversorgungsschaltung 13 vorgegeben, so daß die interne Rechengeschwindigkeit völlig von außen be­ stimmt wird. Damit besteht theoretisch die Möglichkeit, von außen die Mikrocontrollerschaltung 6 im Einzelschrittbetrieb zu fahren, was an sich zu unberechtigten Analysemöglichkeiten vor allem in der Messung von Stromaufnahmen und elektrischen Potentialen auf dem Halbleiterchip 3 führen könnte. Erfin­ dungsgemäß ist eine der Taktversorgung und/oder der Span­ nungsversorgung der Steuerschaltung 7 zugeordnete Sensor­ schaltung 14 vorgesehen, welche eingangsseitig über Leitungen 15 und 16 den unmittelbar der Steuerschaltung 7 zugeordneten Versorgungstakt und/oder die Versorgungsspannung erfaßt und bei Vorliegen einer Abweichung von der Betriebsspannung und/oder vom Betriebstakt ein Auslösesignal erzeugt, welches über eine Leitung 17 einer der Sensorschaltung 14 nachge­ schalteten und dem Halbleiterspeicher 8 zugeordneten Auslöse­ schaltung 18 zugeführt ist, welche wiederum als Reaktion auf das Auslösesignal eine wenigstens bereichsweise Löschung des Dateninhalts von Speicherzellen 19 des Halbleiterspeichers 8 steuert. Hierbei umfaßt die Sensorschaltung 14 zum einen eine Spannungsdetektorschaltung 20, welche ein Über- bzw. Unter­ schreiten der Versorgungsspannung von den vorbestimmten obe­ ren bzw. und unteren Grenzwerten der Betriebsspannung erfaßt, und zum anderen eine Frequenzdetektorschaltung 21, welche ein Über- bzw. Unterschreiten des Versorgungstaktes von den obe­ ren bzw. unteren Grenzwerten des Betriebstaktes erfaßt. Vor­ zugsweise erzeugt die über eine Leitung 22 mit dem Halblei­ terspeicher 8 verbundene Auslöseschaltung 18 als Reaktion auf das von der Sensorschaltung 14 gelieferte Auslösesignal ein Reset-Signal, aufgrund dessen die Dateninhalte von sämtlichen Speicherzellen 19 des Halbleiterspeichers 8 gelöschtwerden Dieses Reset-Signal wird unabhängig von einem über den An­ schluß 23 der Kontakte 5 zugeführten externen RST-Signales erzeugt. Gleichzeitig mit der Löschung von Dateninhalten der Speicherzellen des Halbleiterspeichers vom wahlfreien Zu­ können erfindungsgemäß auch Dateninhalte eines der Steuerschaltung zugeordneten, in Fig. 2 schematisch angedeute­ ten Registers oder Akkumulators 11 gelöscht werden.

Claims (8)

1. Chipkarte mit einem Kartenkörper (2) und einem innerhalb des Kartenkörpers (2) untergebrachten Halbleiterchip (3), auf welchem eine Steuerschaltung (7) und eine mit der Steuer­ schaltung (7) elektrisch gekoppelte Halbleiterspeicherei­ richtung integriert ausgebildet ist, welche Steuerschaltung (7) mit einer von einer Spannungsversorgungsschaltung (12) erzeugten Versorgungsspannung und einem von einer separat von der Steuerschaltung (6) angeordneten Taktversorgungsschaltung (13) erzeugten Takt versorgt ist, dadurch gekennzeichnet, daß der Steuerschaltung (7) des innerhalb des Kartenkörpers (2) untergebrachten Halbleiterchips (3) eine Sensorschaltung (14) zugeordnet ist, welche eine Abweichung des erlaubten Be­ triebszustandes der Steuerschaltung (7) und/oder weiterer Schaltungskomponenten des Halbleiterchips erfaßt und bei Vor­ liegen eines unerlaubten Betriebszustandes der Steuerschal­ tung (7) und/oder einer weiteren Schaltungskomponente ein Auslösesignal erzeugt, welches einer der Sensorschaltung (14) nachgeschalteten und der Halbleiterspeichereinrichtung Zuge­ ordneten Auslöseschaltung (18) zugeführt ist, die als Reakti­ on auf das Auslösesignal eine wenigstens bereichsweise Löschung des Dateninhalts der Halbleiterspeichereinrichtung steuert.

2. Chipkarte nach Anspruch 1, dadurch gekennzeichnet, daß die der Sensorschaltung (14) nachgeschaltete Auslöseschaltung (18) zur Löschung des Dateninhalts von sämtlichen Speicher­ zellen des Halbleiterspeichereinrichtung (8) ein Reset-Signal an die Halbleiterspeichereinrichtung (8) ausgibt.

3. Chipkarte nach Anspruch 1 oder 2, dadurch gekennzeichnet, daß die Sensorschaltung (14) der Taktversorgung und/oder der Spannungsversorgung der Steuerschaltung (6) zugeordnet ist und eine Abweichung der Versorgungsspannung von der Betriebs­ spannung und/oder eine Abweichung des Versorgungstaktes von dem Betriebstakt erfaßt und bei Vorliegen einer Abweichung der Betriebsspannung und/oder des Betriebstaktes das Auslöse­ signal erzeugt, welches der der Sensorschaltung (14) nachge­ schalteten und der Halbleiterspeichereinrichtung (8) zugeord­ neten Auslöseschaltung (18) zugeführt ist, welche als Reakti­ on auf das Auslösesignal eine wenigstens bereichsweise Löschung des Dateninhalts von Speicherzellen (19) der Halb­ leiterspeichereinrichtung (8) steuert.

4. Chipkarte nach Anspruch 1 bis 3, dadurch gekennzeichnet, daß die Sensorschaltung (14) eine Spannungsdetektorschaltung (20) aufweist, welche ein Über- bzw. Unterschreiten der Ver­ sorgungsspannung von den vorbestimmten oberen bzw. unteren Grenzwerten der Betriebsspannung erfaßt.

5. Chipkarte nach Anspruch 1 bis 3, dadurch gekennzeichnet, daß die Sensorschaltung (14) eine Frequenzdetektorschaltung (21) aufweist, die ein Über- bzw. Unterschreiten des Versor­ gungstaktes von den oberen bzw. unteren Grenzwerten des Be­ triebstaktes erfaßt.

6. Chipkarte nach Anspruch 1 bis 5, dadurch gekennzeichnet, daß die Steuerung der wenigstens bereichsweisen Löschung des Dateninhalts von Speicherzellen (19) der Halbleiterspei­ chereinrichtung (8) vermittels der der Sensorschaltung (14) nachgeschalteten Auslöseschaltung (18) unabhängig von der der Steuerschaltung (6) zugeordneten Taktversorgung erfolgt.

7. Chipkarte nach Anspruch 1 bis 6, dadurch gekennzeichnet, daß die Steuerschaltung (7) eine Mikroprozessorschaltung ei­ ner auf dem Halbleiterchip (3) integriert ausgebildeten Mi­ krocontrollerschaltung (6) darstellt, die neben einem Halb­ leiterspeicher vom wahlfreien Zugriffstyp (8) als weitere Funktionseinheiten insbesondere einen Festwerthalbleiterspei­ cher (9) und/oder einen elektrisch löschbaren Halbleiterspei­ cher (10) umfaßt.

8. Chipkarte nach Anspruch 1 bis 7, dadurch gekennzeichnet, daß gleichzeitig mit der Löschung von Dateninhalten der Spei­ cherzellen des Halbleiterspeichers vom wahlfreien Zugriffstyp auch Dateninhalte eines der Steuerschaltung zugeordneten Re­ gisters oder Akkumulators gelöscht werden.