DE20310759U1

DE20310759U1 - Bezahlvorrichtung und Terminal

Info

Publication number: DE20310759U1
Application number: DE20310759U
Authority: DE
Original assignee: Individual
Current assignee: Individual
Priority date: 2003-07-11
Filing date: 2003-07-11
Publication date: 2004-11-18
Anticipated expiration: 2013-07-12

Abstract

Bezahlvorrichtung mit
– einem Hintergrundsystem (30) mit Zugriff auf Datenbanken (34, 35, 39, 37),
– einer ersten Gruppe von Terminals, insbesondere mit zumindest einem Händler-Terminal (10; 10'),
– einer zweiten Gruppe von Terminals, insbesondere zumindest einem Kunden-Terminal (20; 20*), und
– einem Verschlüsselungssystem
– zum Durchführen einer geldwerten Transaktion im Bereich des Hintergrundsystems (30) durch eine Übertragung von Daten zwischen einem ersten Terminal (10; 10') der ersten Gruppe von Terminals und einem zweiten Terminal (20, 20*) der zweiten Gruppe von Terminals, dadurch gekennzeichnet, dass
– im Verschlüsselungssystem zum Übertragen zumindest eines Teils der Daten zwischen dem ersten Terminal (10; 10'), dem zweiten Terminal (20; 20*) und/oder dem Hintergrundsystem (30) Schüssel (ÖSK, PSK; ÖKS, PKS; ÖSH, PSH; ÖHS, PHS; ÖKH, PKH; ÖHK, PHK) mit einem individuellen Schlüssel (ÖSK, ÖKS, ÖHS, ÖSH, ÖKH, ÖHK, PKS, PSK, PSH, PHS, PHK, PKH) bereitgestellt und verwendet werden.

Description

Die Erfindung bezieht sich auf eine Bezahlvorrichtung mit den oberbegrifflichen Merkmalen des Anspruchs 1, ein Terminal für eine solche Bezahlvorrichtung zum Durchführen eines elektronischen Bezahlvorgangs.
Zum Bezahlen von Dienstleistungen oder Waren oder auch zum sonstigen Übertragen von Geld gibt es eine Vielzahl elektronischer Bezahlvorrichtungen. Allgemein bekannt ist dabei eine Bezahlvorrichtung mit einem Hintergrundsystem mit Zugriff auf Datenbanken, in denen Daten zu Händlern und potentiellen Kunden, insbesondere Bankkunden mit Bankkonten abgespeichert sind. Die Bezahlvorrichtung weist außerdem eine erste Gruppe von Terminals auf, welche als Händler-Terminals an Verkaufsstellen oder Dienstleistungsstellen verfügbar sind. Weiterhin weißt die Bezahlvorrichtung eine zweite Gruppe von Terminals als Kunden-Terminals auf, wobei die Kunden-Terminals von Benutzern bedient werden, welche eine Zahlung am Händler-Terminal oder gegenüber einem Händler-Terminal vornehmen möchten. Allgemein bekannt ist, auch ein einfaches Verschlüsselungssystem zu verwenden, um die Daten nicht als unverschlüsselten Klartext zu übertragen. Die Bezahlvorrichtung dient somit zum Durchführen einer geldwerten Transaktion durch eine Übertragung von Daten zwischen einem bestimmten ersten Terminal der ersten Gruppe von Terminals und einem bestimmten zweiten Terminal der zweiten Gruppe von Terminals.
Problematisch bei derartigen Bezahlvorrichtungen ist jedoch die Sicherheit der Autorisierung der Zahlung durch den Kunden, wobei gegen Missbrauch nicht sichergestellt werden kann, dass derjenige, der die Zahlung auslöst, auch tatsächlich derjenige ist, der dazu berechtigt ist. Oftmals ermächtigt ein Kunde lediglich eine Zentrale, Geld von seinem Konto einem Konto des Händlers gutzuschreiben. Die Zentrale kann dabei eine Bank, ein Kreditkarteninstitut usw. sein. Üblicherweise genügt am Ort der Handlung bzw. eines Kaufs die Unterschrift des Kunden auf einem Formular, welches der Händler als Kreditkartenbeleg, Lastschriftbeleg usw. erhält, nachdem der Kunde seine Karte in ein entsprechendes Händler-Terminal gesteckt hat. Nach einer Unterschrift des Kunden prüft der Händler lediglich durch Vergleich der Unterschrift auf dem Beleg und der Unterschrift auf der Karte des Kunden, ob es sich um den vermeintlich richtigen Karteninhaber handelt. Eine etwas höhere Sicherheit bietet die Eingabe einer persönlichen Identifizierungsnummer (PIN), welche der Kunde in das Händler-Terminal eingibt.
In jedem Fall besteht aber das Problem, dass der Kunde konkrete Daten seiner Karte und ggf. konkrete persönliche Daten über seine eigene Person in das Händlerterminal überträgt, so dass der Händler sensible Daten erhält, welche durch den Händler missbräuchlich verwendet werden können.
Die Übertragung der Daten zum Hintergrundsystem, die im Händler-Terminal eingegeben wurden, kann auf unterschiedliche Art und Weise erfolgen. Üblich sind zur Übertragung der Datentelefonverbindungen mit speziellen Protokollen der Datenübertragung, wie beispielsweise Zahlungs-Verkehrs-Terminals (ZVT). Bekannt ist auch die Verwendung von Mobilfunkgeräten, wobei der Vorteil genutzt wird, dass der Kunde dem Mobilfunkbetreiber bekannt ist und dieser die Erlaubnis hat, als Inkassogesellschaft Beträge gemeinsam mit der Mobilfunkrechnung einzuziehen. Außerdem besteht der Vorteil, dass der Kunde sich durch die Übertragung der Mobilfunknummer seines als Kunden- Terminal dienenden Mobilfunkgerätes authentifiziert oder im besten Fall durch die Eingabe einer weiteren PIN oder vergleichbaren Identifikation für eine zusätzliche Absicherung sorgt.
Aus DE 199 03 363 C2 ist ein Verfahren zum Durchführen von bargeldlosen Finanztransaktionen bekannt, bei dem bei der Übermittlung der Daten zwischen Händler-Terminal und Kunden-Terminal im wesentlichen auf eine Infrarot-Schnittstelle zurückgegriffen wird. Eine solche Infrarot-Schnittstelle ist in üblichen Mobilfunkgeräten, Notebooks und dergleichen standardisiert eingerichtet. Nachteilhaft bei solchen Infrarot-Schnittstellen ist jedoch eine große Unsicherheit durch den großen Streuwinkel, da mittels einfachster und unauffälliger Technik alle Daten von einer separaten Einrichtung in der Nähe des übertragenden Terminals mitgelesen, kopiert und auch generiert werden können. Sicherheit für Geldtransaktionen ist somit nicht gewährleistet. Außerdem werden bei diesem Verfahren Daten zwischen dem Kunden und Händler direkt ausgetauscht. Damit sind Manipulationen verschiedenster Art und Weise ermöglicht, insbesondere eine Manipulation mit Kreditkartendaten bei unseriösen Händlern. Außerdem ist die Anonymität des Kunden gegenüber dem Händler nicht gewährleistet. Das Verfahren weißt außerdem ein Hintergrundsystem mit einem Hintergrundverfahren zur Bonitätsprüfung, Berechtigungsprüfung, usw. auf, wobei diese Verfahrensweise im wesentlichen den Standardverfahren üblicher Onlinezahlungen wie bei der Verwendung einer EC-Karte (EC: Eurocheque) in Verbindung mit einer PIN-Eingabe entspricht.
Aus WO 98/47116 ist eine elektronische Bezahlvorrichtung bekannt, welches im wesentlichen für sich bekannten Verfahren aus dem Bereich von Kreditkartenanfragen und dem sogenannten E-Cash sowie vom Laden elektronischer Geldbörsen entspricht. Bei diesem Verfahren sind Kundenterminal, Händlerterminal und ein Server im Hintergrundsystem während des Vorgangs miteinander verbunden, womit es sich um ein Online-Verfahren handelt. Hingewiesen wird auch auf die Möglichkeit des Einsatzes von Verschlüsselungsverfahren, wobei eine konkrete Beschreibung der Art der Verschlüsselung nicht gegeben ist. Nachteilhaft ist jedoch, dass Kundendaten in der sogenannten SIM-Karte (SIM: Subscriber Identification Module) gespeichert werden, in der auch die der SIM-Karte eindeutig zugeordnete IMSI-Kennung (IMSI: International Mobile Subscriber Identity) abgespeichert ist. Die SIM-Karte ist durch eine 4-stellige PIN vor Missbrauch geschützt, so lange die PIN geheim gehalten wird. Nachteilhaft ist insbesondere das Abspeichern von Kundendaten in der SIM-Karte.
Problematisch bei den bekannten Verfahren ist die Übermittlung sensibler Daten bei der Übertragung von Daten bzw. Datensätzen beim bargeldlosen Bezahlen, da diese ein erhebliches Sicherheitsrisiko darstellt. Insbesondere bei Bezahlungen über das Internet aber auch bei den derzeit üblichen Verfahren zum Bezahlen mit EC-Karte im Offline-Verfahren, d.h. einem elektronischen Lastschriftverfahren (ELV) sind Manipulationen, Betrug und Datendiebstahl ein alltägliches Problem. Die Nutzung der Mobilfunktechnologie unter Ausnutzung des GSM (GSM: Global System for Mobile communications) bzw. des UMTS (UMTS: Universal Mobile Telecommunications System) bietet zwar eine Authentisierung des Inhabers der SIM-Karte im verwendeten Kunden-Terminal, verhindert aber einen Datenmissbrauch durch beispielsweise Abfangen eines Datensatzes und mehrfaches wiederholtes Aussenden des Datensatzes zur Schädigung des Kunden nicht.
Bei den bekannten Verfahren des Bezahlens mit einem Mobilfunkgerät ist keine zusätzliche PIN erforderlich, womit der Diebstahl eines eingeschalteten Handys Missbrauch zulässt.
Die Aufgabe der Erfindung besteht darin, eine Bezahlvorrichtung zum elektronischen Durchführen einer geldwerten Transaktion, beziehungsweise Terminals für eine solche Bezahlvorrichtung zum Durchführen eines elektronischen Bezahlvorgangs weiter zu entwickeln.
Diese Aufgabe wird durch eine Bezahlvorrichtung mit den Merkmalen des Patenanspruchs 1, Terminals für eine solche Bezahlvorrichtung mit den Merkmalen der Patenansprüche 23 und 24 gelöst. Vorteilhafte Ausgestaltungen sind Gegenstand abhängiger Ansprüche.
Ausgegangen wird von einer elektronischen Bezahlvorrichtung mit einem Hintergrundsystem, welches einen Zugriff auf Datenbanken ermöglicht. In üblicher Art und Weise sind in den Datenbanken erforderliche Daten von Händlern und Kunden sowie insbesondere von Bankkonten dieser Händler und Kunden hinterlegt. Ein Zugriff von außen auf diese Daten wird blockiert.
Die Bezahlvorrichtung weist außerdem zwei Gruppen von Terminals auf, eine erste Gruppe von Terminals, die als Händler-Terminals dienen, und eine zweite Gruppe von Terminals, die als Kunden-Terminals dienen, wobei von dem Betreiber eines Kundenterminals eine Zahlung an den Betreiber eines Händlerterminals veranlasst wird. Der Begriff Terminal ist dabei weit zu sehen und umfasst passive Geräte mit einem elektronischen Chip, welcher bei Kontaktierung durch ein von außen einwirkendes Feld aktiviert wird, um einen Datenaustausch vorzunehmen. Weiterhin sind unter einem Terminal beispielsweise Mobilfunkgeräte mit einer SIM-Karte zu deren Identifizierung in einem bestimmten Mobilfunknetz, mobile Computer mit Funknetz-Schnittstellen und Netzterminals mit einem Netzzugang zu einer entfernten Datenquelle zu verstehen.
Die Bezahlvorrichtung weist ferner ein Verschlüsselungssystem zum Verschlüsseln der zu übertragenden Daten oder Teilen der Daten auf, so dass diese nicht als Klartext übertragen werden können und dadurch ein Abfangen und direktes Verwerten erschwert wird. Die Bezahlvorrichtung dient zum Durchführen einer geldwerten Transaktion durch eine Übertragung von Daten bzw. Datensätzen zwischen einem ersten Terminal der ersten Gruppe von Terminals und einem zweiten Terminal der zweiten Gruppe von Terminals, wobei die Daten nicht zwingend direkt zwischen den betroffenen Terminals ausgetauscht werden müssen.
Zur Erhöhung der Sicherheit wird ein Verschlüsselungssystem zum Verschlüsseln der Daten zwischen dem ersten Terminal, dem zweiten Terminal und/oder dem Hintergrundsystem verwendet, welches eindeutige Schlüsselpaare mit je einem öffentlichen Schlüssel und je einem privaten Schlüssel bereit stellt. Der öffentliche Schlüssel dient dazu, Daten bzw. Datensätze durch eine fremde Einrichtung verschlüsseln zu lassen, bevor die Daten übertragen werden. Empfängerseitig werden die verschlüsselter: Daten dann mit dem privaten Schlüssel entschlüsselt. Verwendet wird somit ein Verschlüsselungssystem mit z.B. einem sogenannten RSR-Schlüsselpaar.
Neben dem Einsatz eines individuellen Schlüssels bzw. Schlüsselpaars für alle oder einen Teil der einzelnen Verbindungen ist gemäß auch eigenständiger erfinderischer Ausgestaltung der ggf. von der Verbindung unabhängige Einsatz eines speziellen Schlüssels vorteilhaft, wenn die Daten über eine Mobilfunkschnittstelle zu dem ersten oder zweiten Terminal übertragen werden. So kann ein Systemschlüssel verwendet werden, wenn vom Hintergrundsystem aus ein Aufladen von im Terminal angeordneten elektronischen Börsen und dergleichen durchgeführt werden soll.
Die Verwendung eines Schlüsselpaars ist besonders dann vorteilhaft, wenn die Übertragung der Daten zwischen dem ersten Terminal und dem Hintergrundsystem, zwischen dem zweiten Terminal und dem Hintergrundsystem und/oder zwischen dem zweiten Terminal und dem ersten Terminal jeweils mit einem oder bevorzugt zwei solcher Schlüsselpaare durchgeführt wird. Bei zwei Schlüsselpaaren wird ein Schlüsselpaar pro Verbindungsrichtung bereitgestellt, so dass in idealer Ausgestaltung jede der Einrichtungen für jede spezielle Verbindung zu einer der anderen Einrichtungen ein eindeutiges Schlüsselpaar aufweist, um mit einem öffentlichen Schlüssel Daten zu verschlüsseln, welche ausschließlich von der empfängerseitigen Einrichtung entschlüsselt werden können.
Neben der direkten Übertragung von Daten aus einer Einrichtung, welche diese Daten mit einem öffentlichen Schlüssel verschlüsselt hat, zu der empfangenden Einrichtung bzw. Station, welche den zugeordneten privaten Schlüssel hat, ist auch eine Übertragung derart verschlüsselter Datenpakete ohne ein erhöhtes Sicherheitsrisiko über dritte Einrichtungen und Stationen möglich. Eine solche dritte Einrichtung kann insbesondere die weitere in der Bezahlvorrichtung vorhandene Einrichtung sein, so dass beispielsweise von dem Hintergrundsystem nach einer Überprüfung für das Kundenterminal als zweitem Terminal verschlüsselte Daten zuerst an das erste Terminal bzw. Händler-Terminal übertragen werden, um schließlich vom ersten Terminal zu dem zweiten Terminal weitergeleitet zu werden. Im zweiten Terminal können die Daten dann mit dem privaten Schlüssel entschlüsselt werden, während im Händler-Terminal lediglich eine Weiterleitung der dort nicht entschlüsselbaren und nicht weiter verwertbaren Daten möglich ist. Eine solche Übertragung kann natürlich in beliebiger Richtung zwischen den drei beteiligten Einrichtungen, Händler-Terminal, Kunden-Terminal und Hintergrundsystem, unter Zwischenschaltung der jeweils dritten dieser Einrichtungen durchgeführt werden, wenn eine entsprechende Anzahl von individuell und eindeutig zugeordneten Schlüsselpaaren in den entsprechenden Einrichtungen bereitgestellt ist. Dies ermöglicht insbesondere auch die Übertragung von Kundendaten durch das zweite Terminal zu dem Händler-Terminal, falls das zweite Terminal momentan oder prinzipiell oder keine direkte Datenverbindung zum Hintergrundsystem aufbauen kann. Das Händler-Terminal leitet die Daten von dem Kunden-Terminal dann über eine beliebige Kommunikationsverbindung an das Hintergrundsystem weiter. Trotzdem ist sichergestellt das ein Missbrauch im Bereich des Händler-Terminals oder der Datenverbindungen nicht ermöglicht wird.
Vorteilhafterweise können Bezahldaten auch vom zweiten bzw. Kunden-Terminal unabhängig vom ersten bzw. Händler-Terminal an das Hintergrundsystem übertragen werden. Dieser Fall ermöglicht z.B. Konstellationen, bei denen Daten des Händlerterminals oder eines Artikels, welcher dem Händler-Terminal zugeordnet ist, manuell oder über eine automatisierte Schnittstelle in das zweite Terminal übertragen werden. In dem zweiten Terminal werden die Daten als Bezahldaten mit dem öffentlichen Schlüssel des Hintergrundsystems verschlüsselt und an dieses übertragen. Das Hintergrundsystem kann daraufhin eine Transaktion mit oder ohne vorherige Rückfrage bei dem ersten und/oder bei dem zweiten Terminal veranlassen.
Vorteilhafterweise werden Daten, die von dem ersten oder zweiten Terminal übertragen werden sollen, vor dem Übertragen um Zusatzdaten ergänzt, die zuvor für den speziellen Bezahlungsvorgang vom Hintergrundsystem angefordert und erhalten wurden. Diese Zusatzdaten bestehen insbesondere aus einer dem Vorgang eindeutig zugeordneten Transaktionsnummer, welche vom Hintergrundsystem beim Empfang entsprechender Daten dem Fallvorgang und der ursprünglich anfordernden Einrichtung eindeutig zugeordnet werden kann. Die Zusatzdaten stellen somit eine Transaktionsnummer dar. Daten, welche von dem ersten Terminal an das zweite Terminal oder umgekehrt übertragen werden, können mit einer solchen Transaktionsnummer versehen werden, insbesondere um anschließend von dem empfangenden Terminal an das Hintergrundsystem weitergeleitet zu werden. In Verbindung mit der Weiterleitung kann eine nochmalige Ergänzung um Daten der empfangenden Station vorgenommen werden, wobei auch diese ergänzenden Daten oder die Gesamtkombination der ergänzenden Daten und der verschlüsselten ursprünglichen Daten wiederum verschlüsselbar sind.
Die Hintergrunddaten können insbesondere auch als ein Schlüssel bzw. Code zum Verschlüsseln weiterer zu übertragender Daten verwendet werden.
Das Verschlüsseln findet vorteilhafterweise jeweils in einer von den Schnittstellen zur Übertragung unabhängigen und von außen nicht zugreifbaren Verschlüsselungs-/oder Steuereinrichtung statt. Vorteilhafterweise kann dazu eine Smartcard ggf. mit Cryptocoprozessor verwendet werden. Für eine besonders gute Absicherung werden der Verschlüsselungseinrichtung ein oder zwei individuelle Schlüsselpaare zugeordnet, welche für die Absicherung der Verbindung zu dem Hintergrundsystem für die Übertragung von Daten von dem Hintergrundsystem verwendet werden. Die Schlüssel, insbesondere der private Schlüssel, werden dabei in einem von außen nicht zugreifbaren und nur von der Smartcard zugreifbaren Speicherbereich abgespeichert.
Für die Übertragung zwischen dem ersten Terminal und dem zweiten Terminal wird vorteilhafterweise eine Schnittstelle für kurze Strecken verwendet, um die Nachteile weit streuender Schnittstellen zu vermeiden. Insbesondere kann dies eine Schnittstelle gemäß ISO 14443 sein die direkt auch mit der Smartcard kommunizieren kann, wenn diese als Dualinterface-Smartcard mit einer solchen Schnittstelle ausgelegt ist.
Zur weiteren Absicherung ist es vorteilhaft, die zu übertragenden Daten vor dem Übertragen mit einer vom Gerät unabhängigen persönlichen Identifizierungsnummer PIN des Benutzers zusätzlich zu verschlüsseln, wobei die PIN nur dem Betreiber des ersten bzw. des zweiten Terminals einerseits bekannt ist sowie andererseits in einer sicheren Datenbank des Hintergrundsystems hinterlegt ist.
Besonders vorteilhaft ist die Übertragung einer Zeitinformation als Zusatzdaten zusammen mit den Daten, wobei derartige Zeitinformationsdaten auch als ein Schlüssel für die Verschlüsselung der Daten bzw. als ein weiterer Schlüssel zu einer weiteren Verschlüsselung einsetzbar sind. Die Zeitinformation wird vorteilhafterweise als Zusatzdaten auf Anforderung vom Hintergrundsystem oder dem jeweiligen Terminal vorgangsindividuell bereitgestellt, so dass das Hintergrundsystem anhand der Zeitinformation empfangener Daten überprüfen kann, ob eine zu lange Zeit seit Beginn des Vorgangs verstrichen ist. Dies verhindert beispielsweise das böswillige Abfangen und wiederholte Versenden eines Bezahldatensatzes. Auch sonst kann die Zeitinformation nachdem Übertragen der Daten empfängerseitig, worunter nicht nur das Hintergrundsystem zu verstehen ist, sondern auch das jeweils mit einem Terminal kommunizierende andere Terminal, hinsichtlich einer maximal zulässigen Vorgangsdauer überprüft werden. Vorteilhafterweise wird die Zeitinformation zusammen mit den zu übertragenden Daten mit dem eindeutigen Schlüssel verschlüsselt, so dass eine die verschlüsselten Daten übertragende weitere Einrichtung nicht in der Lage ist, die angefügte Zeitinformation zu entschlüsseln und vor dem Weiterversand zu manipulieren.
Prinzipiell ist mit einem solchen System auch die Übertragung von Daten als Applikationsdaten zu einem Terminal möglich. Vom Hintergrundsystem können derartige Applikationsdaten an das Terminal, insbesondere an das Kunden-Terminal übertragen werden, so dass dessen Funktionalität oder dessen Einsatzbereich erweitert werden können. Applikationsdaten können neben Daten zum Auffrischen einer elektronischen Geldbörse auch Konzerteintrittskarten oder Fahrkarten für öffentliche Verkehrsmittel sein. Insbesondere können die Applikationsdaten die Funktionalität einer der Steuereinrichtungen des empfangenen Terminals direkt manipulieren um dessen Einsatzbereich bzw. Funktionalität zu erweitern. Die Daten können neben oder anstelle in das eigentliche Terminal vorteilhafterweise auch in eine eigenständige und ggf. austauschbare Prozessorchipkarte bzw. Smartcard eingeladen werden. Auch in andere Speichermedien, z.B. eine austauschbare Speicherkarte, können die Daten vorteilhaft geladen werden.
Vorteilhafterweise findet ein realer Geldfluss nur innerhalb des Hintergrundsystems, nicht aber über die Verbindungen zu dem ersten oder zu dem zweiten Terminal statt. Auch zwischen den beiden Terminals findet kein realer Geldfluss statt sondern lediglich eine Übertragung von verschlüsselten Daten, welche dann nach entsprechender Weiterleitung im Hintergrundsystem zum Auslösen der eigentlichen geldwerten Finanztransaktion verwendet werden.
Vorteilhafterweise weist ein als erstes Terminal für ein solches Transaktionssystem bereit gestelltes Terminal eine Schnittstelle zum Hintergrundsystem und eine weitere Schnittstelle, insbesondere Ausgabeschnittstelle zum zweiten Terminal auf. Die Ausgabeschnittstelle zum zweiten Terminal kann dabei in einfachster Ausführungsart in der Form einer angezeigten Internetseite mit per Hand zu übertragenden Daten ausgebildet sein. Bevorzugt werden jedoch Schnittstellen, die eine direkte automatische Übertragung, insbesondere von verschlüsselten Daten ermöglichen. Außerdem weist das Terminal eine Steuereinrichtung zum Empfangen, Verarbeiten und Übertragen von Daten sowie zum Verschlüsseln der Daten mit von Außen nicht zugreifbaren Schlüssel in einem gesicherten Speicher auf.
In ähnlicher Art und Weise ist ein Terminal als zweites Terminal für derartiges Transaktionssystem aufgebaut, wobei dieses in einfachster Ausführungsform lediglich eine Schnittstelle zu entweder dem Hintergrundsystem oder dem ersten Terminal aufweist. In bevorzugter Ausführungsform weist jedoch auch das zweite Terminal zwei Schnittstellen zu einerseits dem Hintergrundsystem und andererseits dem ersten Terminal auf. Prinzipiell können die beiden Schnittstellen auch auf dem gleichen Schnittstellenprotokoll beruhen, so dass sie baulich als eine einzige Schnittstelle bereitgestellt werden können. Dies gilt natürlich auch für das erste Terminal. Das zweite Terminal als Kundenterminal weist insbesondere eine Steuereinrichtung zum Empfang, Verarbeiten und Übertragen von Daten sowie eine Steuereinrichtung zum Verschlüsseln der Daten mit einem sicheren Schlüssel eines Schlüsselpaars auf.
Zur Erhöhung der Sicherheit handelt es sich bei der Steuereinrichtung, welche die Übertragung über eine Schnittstelle koordiniert, und bei der Steuereinrichtung, welche die Verschlüsselung der Daten durchführt, um zwei verschiedene Steuereinrichtungen, obgleich prinzipiell auch eine einzige Steuereinrichtung die gesamten Funktionen übernehmen kann. Die Schlüssel, vor allem die privaten Schlüssel aber vorteilhafterweise auch die öffentlichen Schlüssel werden in einem von außen nicht zugreifbaren Speicher oder direkt bei oder in der für die Verschlüsselung bzw. Entschlüsselung zuständigen Steuereinrichtung von außen nicht zugreifbar hinterlegt.
Neben der Ausstattung eines für sich bekannten Mobilfunkgeräts oder mobilen Computers mit einer solchen Funktionalität, insbesondere durch Einbau eines zweiten Prozessors als zweiter Steuereinrichtung neben einer für sich bekannten SIM-Karte, sind auch einfache Geräte als zweites Terminal bereitstellbar. Einsetzbar ist so beispielsweise auch ein SMS-Pad (SMS: Short Massage Service / Kurznachrichtendienst) welches im Gegensatz zum Mobilfunktelefon keine Sprachfunktionalität aufweist. Die Verschlüsselungseinrichtung ist auch in einem solchen einfachen Gerät vorteilhafterweise ein eigenständiger Chip, insbesondere mit Cryptocoprozessor, welcher eine ausreichende Leistung zur aufwendigen Verschlüsselung der Daten bereitstellt. Bevorzugt wird der Einbau einer für sich bekannten Dualinterface-Smartkarte. Der eigenständige Chip ist dabei zusätzlich zu einer SIM-Karte, die zum Ermöglichen der Kommunikation über die Mobilfunknetze dient, bereitgestellt. Das Verwenden des Kurznachrichtendienstes bietet den weiteren Vorteil, dass Kurznachrichten nicht über eine fest eingebaute Verbindung zwischen den beteiligten Datenendstationen übertragen werden müssen.
Ein solches System ermöglicht insbesondere auch, den eigentlichen Bezahlvorgang durch das Übertragen von Daten durch das zweite bzw. Kunden-Terminal welches vom Zahlenden betrieben wird, auszulösen, wobei vorteilhafterweise sogar eine direkte Einbindung des Händler-Terminals ausgelassen werden kann.
Vorteilhafterweise werden die zwischen zwei Einrichtungen zu übertragenden Daten mit einem Schlüsselpaar verschlüsselt bzw. entschlüsselt, wobei dieses Schlüsselpaar nur den beiden beteiligten Einrichtungen bekannt ist. Für die Übertragung in Rückrichtung wird ein entsprechendes weiteres Schlüsselpaar bereitgestellt. Dies ermöglicht sogar die Übertragung über weitere zwischengeschaltete Einrichtungen, welche als solche eigentlich als nicht vertrauenswürdig einzustufen wären. Durch die Geheimhaltung auch des öffentlichen Schlüssels wird die Sicherheit weiter erhöht.
Die Verschlüsselung erfolgt zweckmäßigerweise mittels einer Chipkarte, wobei eine Bestätigung oder weitere Verschlüsselung mit einer PIN oder einer SIM-Kartennummer vorteilhaft einsetzbar ist. Die Übertragung wird mittels des Kurznachrichtendienstes oder einer ISO 14443-Schnittstelle besonders bevorzugt. Prinzipiell sind aber auch beliebige Verbindungsarten wie Endpunkt-zu-Endpunkt-Verbindungen in einem Mobilfunksystem, in einem leitungsorientierten Festnetz oder paketorientierte Verbindungen über ein mobiles oder leitungsgebundenes Paketdatennetz möglich. Erfindungsgemäß wird eine Übertragung bevorzugt, bei der das erste bzw. Händler-Terminal keine oder nur verschlüsselte und von dem ersten Terminal nicht entschlüsselbare Daten bezüglich der internen Daten des zweiten bzw. Kunden-Terminals oder dessen Betreibers zur Übertragung von bzw. zu dem Hintergrundsystem erhält.
Besonders vorteilhaft ist auch das Einladen von Daten in Applikationen des Terminals insbesondere in dessen Steuereinrichtung, welche Bestandteil einer Chipkarte bzw. Dualinterface-Smartkarte gemäß besonders bevorzugter Ausführungsform ist.
Ausführungsbeispiele werden nachfolgend anhand der Zeichnung näher erläutert. Es zeigen:
1 schematisch eine Bezahlvorrichtung mit einer Vielzahl von Einrichtungen und Übertragungsstrecken, wobei schematisch auch der Ablauf eines Bezahlvorgangs per SMS in einem Geschäft skizziert ist;
2 eine solche Darstellung für einen Bezahlvorgang per SMS für ein Angebot im Internet; und
3 eine solche Bezahlvorrichtung für einen Bezahlvorgang per SMS im Internet bzw. Fernsehen ohne eine bestehende GSM-Verbindung.
Wie dies aus 1 ersichtlich, besteht eine elektronische Bezahlvorrichtung aus einer Vielzahl von Einrichtungen und Komponenten sowie Übertragungsstrecken. Neben der dargestellten Bezahlvorrichtung sind auch Varianten mit zusätzlichen oder alternativen Einrichtungen und Übertragungsstrecken sowie Verfahrensabläufen umsetzbar.
Als Grundsystemkomponenten weist die dargestellte Bezahlvorrichtung ein erstes Terminal als Händler-Terminal 10, ein zweites Terminal als Kunden-Terminal 20 und ein Hintergrundsystem 30 auf, die über Übertragungsstrecken 41–43 untereinander Daten bzw. Datensätze austauschen. Dabei stehen die Terminals 10,20 stellvertretend für eine Vielzahl verschiedenartigster Geräte und Einrichtungen, welche für die Zwecke des Bezahlens über elektronische Wege geeignet sind. Beispielhaft ist das Händler-Terminal eine Registrierkasse 11, welche Daten, insbesondere eine Preisangabe, an eine Schnittstelleneinrichtung 12 überträgt. Zur Steuerung des Betriebs weist das Händler-Terminal außerdem eine Steuereinrichtung C auf. Daten werden in einem Speicher M abgespeichert, welcher Bestandteil einer eigenständigen Speichereinrichtung im Händler-Terminal 10 oder Bestandteil eines Prozessors der Steuereinrichtung sein kann.
Das beispielhaft dargestellte Kunden-Terminal 20 ist ein SMS-Pad 21, welches im wesentlichen mit einem Mobilfunktelefon ohne Sprachübertragungsfunktion vergleichbar ist. Das Kunden-Terminal 20 weist insbesondere eine integrierte erste Schnittstelleneinrichtung 21 zum Aufbau einer Übertragungsstrecke 43 zu der Schnittstelleneinrichtung 12 des Händler-Terminal 10 auf. Über diese Übertragungsstrecke 43 werden beispielsweise als Daten eine Preisinformation, eine Transaktionsnummer TAN, eine Zeitinformation T und/oder Händler-Identifizierungsinformation HID als Daten übertragen. Außerdem weist das Kunden-Terminal 20 eine zweite Schnittstelleneinrichtung 22 auf, die zum Aufbau einer vom ersten Terminal 10 unabhängigen Übertragungsstrecke 42 zu dem Hintergrundsystem 30 ausgebildet ist. Zweckmäßigerweise weist das Kunden-Terminal eine Eingabetastatur 24 für eine manuelle Eingabe von Daten und Befehlen sowie eine Anzeigeeinrichtung 25 zum Anzeigen von Daten, Informationen und Eingabeaufforderungen auf. Um eine Funktionalität zum Übertragen von Kurznachrichten SMS zu ermöglichen, weist das Kunden-Terminal 20 außerdem eine entsprechende Steuer- und Identifizierungseinrichtung mit den entsprechend erforderlichen Komponenten und Daten eines Mobilfunkgerätes auf. Insbesondere zählt dazu eine SIM-Karte SIM. Für weitere Steuerfunktionen und insbesondere Verschlüsselungsfunktionen weist das Kunden-Terminal 20 außerdem eine separate Steuereinrichtung C auf, welche insbesondere als zusätzlicher Chip in dem Kunden-Terminal 20 integriert ist. Dieser zusätzliche Chip ist vorzugsweise eine Dualinterface-Chipkarte mit einem Cryptocoprozessor. Vorzugsweise weist das Kunden-Terminal für den Aufbau der Übertragungsstrecke zum Händler-Terminal 10 als erste Schnittstelleineinrichtung 21 eine handelsübliche Einrichtung auf.
Das Hintergrundsystem 30 weist im wesentlichen einen Zentralrechner bzw. Host 31 auf. Dieser ist mit einer oder mehreren Schnittstellen 32 zum Aufbau von einer ersten Übertragungsstrecke 41 zum Händler-Terminal 10 bzw. einer zweiten Übertragungsstrecke 42 zum Kunden-Terminal 20 ausgestattet. Für die Kommunikation mit der Schnittstelleneinrichtung 32 des Hintergrundsystems 30 weist das Händler-Terminal 10 eine entsprechend geeignete Schnittstelleneinrichtung 13 auf.
Neben der Bereitstellung von verschiedenen Schnittstelleneinrichtungen in den einzelnen Haupteinrichtungen, dem Händler-Terminal 10, dem Kunden-Terminal 20 bzw. dem Host 31 zum Aufbau der ersten, zweite bzw. dritten Übertragungsstrecke 41,42,43, kann jeweils eine einzige Schnittstelleneinrichtung mit einer Doppelfunktion zum Aufbau zweier verschiedener Übertragungsstrecken bereitgestellt sein. Insbesondere ist es prinzipiell auch möglich, sämtliche Übertragungsstecken mit dem gleichen Übertragungsstandard zu betreiben, so dass jede Einrichtung nur eine einzige Schnittstelleinrichtung mit einer Adressierungsmöglichkeit zum Kontaktieren der gewünschten anderen Einrichtung bereit steht.
Der Host 31 des Hintergrundsystem 30 weist zweckmäßigerweise eine zentrale Steuereinrichtung C zur Steuerung des eigenen Betriebsablaufs und zur Bereitstellung sowie Verarbeitung von übertragenen bzw. zu übertragenden Daten auf. Außerdem weist das Hintergrundsystem 30 einen Zeitgeber bzw. eine Uhr zum Ausgeben einer Zeitinformation bzw. eines Zeitstempels T auf, um jeweils zu jedem Zeitpunkt eine aktuelle Referenzzeit verfügbar zu haben. Zur Zwischenverarbeitung weist das Hintergrundsystem 30 zweckmäßigerweise auch einen Speicher, insbesondere einen temporären Speicher M auf. Zum Hinterlegen von Daten der Händler-Terminals 10 sowie der Händlerdaten bzw. Betreiber der Händler-Terminals 10 ist eine Händlerdatenbank 34 bereitgestellt. Entsprechend werden Daten von Kunden-Terminals 20 bzw. von Betreibern der Kunden-Terminals in einer Kundendatenbank 35 abgespeichert.
Als weitere Komponenten weist das Hintergrundsystem 30 zweckmäßigerweise externe Schnittstellen zu einer Personalisierungseinrichtung 36 und externen Institutionen 37, beispielsweise Banken, Kreditkartenunternehmen und Herausgebern von Sicherheitsinformationen auf. Vorteilhaft ist auch eine Verbindung zwischen dem Hintergrundsystem 30 und einem sogenannten Callcenter 38 zur direkten Kundenbetreuung gegenüber dem Hintergrundsystem 30.
Zum Bereitstellen einer sicheren Bezahlvorrichtung weisen die einzelnen Einrichtungen bzw. das Händler-Terminal 10, das Kunden-Terminal 20 und das Hintergrundsystem 30 Verschlüsselungund Entschlüsselungseinrichtungen auf, die durch die Steuereinrichtung C oder einen speziellen Prozessor ausgebildet werden. Als Schlüssel wird für die einzelnen Übertragungsstrecken 41–43 jeweils ein erstes und ein zweites Schlüsselpaar verwendet, wobei jedes Schlüsselpaar aus einem privaten und einem öffentlichen Schlüssel besteht. Mit dem öffentlichen Schlüssel werden Daten verschlüsselt, wobei eine Entschlüsselung nur mit dem privaten Schlüssel möglich ist. Um die Sicherheit für den Betreiber des Kunden-Terminals 20 bei Übertragungen zwischen dem Kunden-Terminal 20 und dem Hintergrundsystem 30 zu gewährleisten, wird ein Schlüsselpaar mit einem privaten Schlüssel PSK und einem öffentlichen Schlüssel ÖSK bereit gestellt. Dieses Schlüsselpaar wird für Übertragungen von Daten zwischen ausschließlich dem Kunden-Terminal 20 und dem Hintergrundsystem 30 verwendet. Dadurch können mit diesem öffentlichen Schlüssel ÖSK verschlüsselte Daten, die bei der Übertragung über die zweite Übertragungsstrecke 42 von Dritten abgefangen werden, von diesen Dritten nicht entschlüsselt werden. Auch bei einer Übertragung über die dritte Übertragungsstrecke 43 das Händler-Terminal 10 und von dort aus über die erste Übertragungsstrecke 41 zum Hintergrundsystem 30 ist dem Händler und dem Händler-Terminal 10 ein verwertbarer Zugriff über die verschlüsselten Daten verwehrt. Bei diesem einfachen Beispiel ist der öffentliche Schlüssel ÖSK im Kunden-Terminal 20 und der private Schlüssel PSK im Hintergrundsystem 30 hinterlegt.
Prinzipiell kann das gleiche Schlüsselpaar auch zum Verschlüsseln von Daten verwendet werden, welche von dem Hintergrundsystem 30 zum Kunden-Terminal zu übertragen sind. In diesem Fall würden sowohl im Hintergrundsystem als auch im Kunden-Termianal 20 jeweils sowohl der private Schlüssel PFK als auch der öffentliche Schlüssel ÖFK hinterlegt sein.
Gemäß der besonders bevorzugten Ausführungsform werden jedoch für die einzelnen Übertragungsstrecken 41–43 jeweils zwei Schlüsselpaare bereitgestellt. Für die Verschlüsselung von Daten im Kunden-Terminal 20 steht somit ein erster öffentlicher Schlüssel ÖSK für eine Verschlüsselung der zum Hintergrundsystem zu übertragenden Daten und ggf. ein zweiter öffentlicher Schlüssel ÖSK für eine Verschlüsselung von Daten, die zum Händler-Terminal 10 zu übertragen sind, zur Verfügung. Außerdem ist im Kunden-Terminal 20 ein privater Schlüssel PSK hinterlegt, der zum Entschlüsseln von Daten dient, welche im Hintergrundsystem 30 mit dem öffentlichen Schlüssel ÖSK für eine Übertragung zum Kunden-Terminal 20 verschlüsselt wurden. Sofern ein Schlüsselpaar für Übertragungen zwischen dem Kunden-Terminal 20 und dem Händler-Terminal 10 bereitgestellt ist, ist im Kunden-Terminal 20 zusätzlich ein privater Schlüssel PHK zum Entschlüsseln von Daten hinterlegt, welche im Händler-Terminal 10 mit einem öffentlichen Schlüssel ÖHK verschlüsselt wurden.
Vorteilhafterweise sind auch für die Übertragung von Daten zwischen dem Hintergrundsystem 30 und dem Händler-Terminal 10 ein oder vorteilhafterweise zwei Schlüsselpaare bereitgestellt. Das Hintergrundsystem 30 weist dafür einen öffentlichen Schlüssel ÖSH zum Verschlüsseln und einen privaten Schlüssel PHS zum Entschlüsseln von Daten auf, die zum bzw. vom Händler-Terminal 10 übertragen werden. Das Händler-Terminal 10 weist entsprechend einen ersten privaten Schlüssel PSF und einen ersten öffentlichen Schlüssel ÖSH zum Entschlüsseln bzw. Verschlüsseln. von Daten auf, die zum bzw. vom Hintergrundsystem 30 übertragen werden.
Für den Fall einer verschlüsselten Kommunikation zwischen Händler-Terminal 10 und Kunden-Terminal 20 können außerdem ein oder vorteilhafterweise zwei entsprechende Schlüsselpaare mit einem privaten Schlüssel PHK und einem öffentlichen Schlüssel ÖKH für die Übertragung zum bzw. vom Kunden-Terminal 20 bereitgestellt sein. Eine Verschlüsselung von zwischen Händler-Terminal 10 und Kunden-Terminal 20 zu übertragenden Daten ist, sofern überhaupt verwendet, insbesondere für Händler-Terminal 10/Kunden-Terminal 20-Kombinationen zweckmäßig, bei denen ein bestimmter Kunde mit seinem Kunden-Terminal 20 regelmäßig mit einem bestimmten Händler bzw. dessen Händler-Terminal 10 in Kontakt tritt. Dies kann beispielsweise dann von Interesse sein, wenn ein Kunden-Terminal zum Bezahlen von Tankstellenrechnungen bei der Benutzung eines Dienstfahrzeuges verwendet wird, welches von verschiedenen Fahrern verwendet wird, wobei also feste Geschäftskontakte mit wechselnden Personen bestehen.
Das Abspeichern der privaten und öffentlichen Schlüsseln im Hintergrundsystem 30 erfolgt zweckmäßigerweise in der Kundendatenbank 35 bzw. der Händlerdatenbank 34, wobei diese beiden Datenbanken dann gegen unberechtigte Zugriffe gesichert sein müssen.
Nachfolgend wird ein beispielhafter Bezahlvorgang zwischen einem Kunden und einem Händler an einem Verkaufsort beschrieben.
In einem ersten Schritt 1 findet eine Aktion zwischen der Kasse 11 des Händler-Terminals 10 und dessen Schnittstelleneinrichtung 12 als Terminal statt. Eine Preisangabe wird als Datensatz zwischen der Kasse und der Schnittstelleneinrichtung 12 übertragen. Die Datenübertragung kann dabei beispielsweise gemäß dem Standard RS 323 erfolgen.
In einem zweiten Schritt 2 findet eine Übertragung über die erste Übertragungsstrecke 41 vom Terminal 12 des Händler-Terminals 10 zur Schnittstelle 32 des Hintergrundsystems 30 statt. Dabei werden die Preisdaten und zusätzlich die Händler-Identifikationsinformation bzw. Händler-Identifikationsnummer HID optional gemeinsam verschlüsselt und danach übertragen.
Zum Verschlüsseln wird vom Händler-Terminal 10 bzw. von dessen Steuereinrichtung oder von einem speziellen Chip C, insbesondere Cryptocoprozessor, der öffentliche Schlüssel ÖSH des Hintergrundsystem-Händler-Schlüsselpaars ÖSH, PSH verwendet. Der öffentliche Schlüssel ÖSH ist im Speicher M oder in dem speziellen Chip C vor. außen nicht auslesbar abgespeichert. Zweckmäßigerweise handelt es sich bei dem Schlüsselpaar ÖSH, PSH um ein Schlüsselpaar für eine sogenannte RSA-Verschlüsselung oder ein vergleichbar sicheres Verschlüsselungsprinzip.
Die Übertragungsstrecke 41 kann beispielsweise eine Funkverbindung zum Übertragen von Kurznachrichten SMS, Data Call (bidirektionaler Datenruf) oder eine verbindungsorientierte Leitung in einem Festnetz sein. Neben solchen verbindungsorientierten Telekommunikationsnetzen können auch paketorientierte Datennetze zur Übertragung verwendet werden.
Nach dem Empfang der Daten werden die empfangenen Daten im Hintergrundsystem 30 mit dem passenden privaten Schlüssel PSH entschlüsselt, welcher im Speicher, insbesondere in der Händlerdatenbank 34 des Hintergrundsystems 30 sicher und von außen nicht zugreifbar hinterlegt ist. Daraufhin wird überprüft, ob die Händler-Identifikationsnummer HID in der Händlerdatenbank 34 als für die angeforderte Transaktion zulässiger Systempartner registriert ist. Dies kann mit Daten einer Sperrliste 39, die Bestandteil einer weiteren internen oder externen Speichereinrichtung sein kann, durchgeführt werden, um zu prüfen, ob der entsprechende Händler bzw. das entsprechende Händler-Terminal 10 nicht für einzelne, spezielle oder alle Transaktionen gesperrt ist. Wenn die Überprüfung erfolgreich ist, erzeugt die Steuereinrichtung C des Hintergrundsystems 30 eine Transaktionsnummer TAN, welche dem speziellen Transaktionsvorgang zugeordnet wird. Die empfangenen und die zum Versand bereitgestellten generierten Daten werden zweckmäßigerweise in dem temporären Speicher M hinterlegt.
Gemäß einer besonders bevorzugten Ausführungsform werden außerdem momentane Zeitdaten als Zeitinformation T von der Systemuhr bereitgestellt und als separate Daten T oder als integrierter Bestandteil der Transaktionsnummer TAN für den aktuellen Transaktionsvorgang verwendet.
Die bereitgestellten Daten, insbesondere die Preisdaten, die Transaktionsnummer TAN und ggf. die Zeitinformation T werden daraufhin verschlüsselt und zur Übertragung zum Händler-Terminal 10 an der Schnittstelleneinrichtung 32 des Hintergrundsystems 30 bereitgestellt. Zum Verschlüsseln wird wiederum entweder das Händler-Hintergrundsystem-Schlüsselpaar ÖSH, PSH oder bevorzugt ein eigenes Hintergrundsystem-Händler-Schlüsselpaar ÖHS, PHS verwendet. Prinzipiell können dabei je nach Ausgestaltung nur einzelne oder alle übertragenden Daten verschlüsselt werden. Zweckmäßigerweise werden die Verschlüsselungen für diese und auch die anderen Übertragungen so vorgenommen, dass die Empfängerseite der verschlüsselten Daten erkennen kann, welcher der privaten Schlüssel zu verwenden ist.
In einem dritten Schritt werden dann die derart verschlüsselten Daten vom Hintergrundsystem 30 über die erste Übertragungsstrecke 41 zum Händler-Terminal 10 übertragen. Für die Übertragung kann wieder jede beliebige Art einer Übertragungsstrecke verwendet werden, wobei eine Kurznachrichtendienst- oder Festnetz-Verbindung besonders bevorzugt werden.
Im Händler-Terminal 10 werden die derart empfangenen Daten gemäß einer Ausführungsform mit dem passenden privaten Schlüssel PHS des Händler-Terminals entschlüsselt und für eine weitere Übertragung über die dritte Übertragungsstrecke 43 zum Kunden- Terminal 20 verarbeitet. Die Daten werden dann über die dritte Übertragungsstrecke 43 zum Kunden-Terminal 20 übertragen.
Gemäß einer weiteren und besonders bevorzugten Ausführungsform werden die Daten, welche im Hintergrundsystem bereitgestellt werden, bereits im Hintergrundsystem 30 mit einem öffentlichen Schlüssel ÖKS eines Hintergrundsystem-Kunden-Schlüsselpaars ÖKS, PKS verschlüsselt. Die derart verschlüsselten Daten werden dann zum Kunden-Terminal 20 übertragen.
Das Übertragen der mit dem Hintergrundsystem-Kunden-Schlüsselpaar verschlüsselten öffentlichen Schlüssel ÖKS aus beispielsweise der Kundendatenbank 35 erfolgt wahlweise direkt zum Kunden-Terminal 20 über die zweite Übertragungsstrecke 42 oder gemäß bevorzugter Ausführungsform über die erste Übertragungsstrecke 41 zum Händler-Terminal 10. Vom Händler-Terminal 10, welches diese Daten mangels eines geeigneten privaten Schlüssels nicht entschlüsseln kann, werden diese verschlüsselten Daten dann über die dritte Übertragungsstrecke 43 zum Kunden-Terminal 20 weitergeleitet. Im Kunden-Terminal 20 werden die empfangenen Daten dann mit dem entsprechenden privaten Schlüssel PKS entschlüsselt und verarbeitet.
Sofern Ausführungsformen umgesetzt werden, bei denen vom Händler-Terminal 10 oder einem diesen zugeordneten Zentralrechner beim Händler, an dem mehrere Händler-Terminals 10 oder Schnittstellen dafür angeschlossen sind, so dass Transaktionsvorgänge mit mehreren Kunden zugleich vorgenommen werden können, vorzunehmen sind oder falls zeitlich versetzte Transaktionen vorzunehmen sind, bietet sich eine Versendung einer zusätzlichen Kennung zusammen mit den Preis- und Händleridentifikationsdaten beim zweiten Schritt zum Hintergrundsystem 30 an, wobei das Hintergrundsystem 30 dann eine Zurücksendung im dritten Schritt derart vornimmt, dass das Händler-Terminal 10 diese zusätzliche Kennung dem passenden Kunden zuordnen kann, so dass die empfangenen verschlüsselten Daten dem richtigen Kunden-Terminal 20 zugeleitet werden.
Nachdem vom Händler-Terminal 10 durch die Weiterleitung der Daten gegenüber dem Kunden-Terminal 20 bereits indirekt eine Zustimmung zu der Transaktion erteilt wurde, kann der Bediener des Kunden-Terminals 20 nunmehr die empfangenen Daten weiterverarbeiten. Zu dieser weiteren Verarbeitung gehört insbesondere eine Überprüfung und eine Zustimmung zu der geplanten Transaktion. Daraufhin werden die empfangenen Daten mit ggf. weiteren Daten des Kunden-Terminals, welche eine ausreichende Identifizierung des Kunden-Terminals 20 im Hintergrundsystem 30 ermöglichen, verschlüsselt. Zum Verschlüsseln wird ein öffentlicher Schlüssel ÖSK des Hintergrundsystem-Kunden-Schlüsselpaars ÖSK, PSK verwendet. Zum Verschlüsseln wird insbesondere ein Cryptocoprozessor des Kunden-Terminals 20 verwendet, der zu diesem Zweck als eigenständiger Chip im Kunden-Terminal 20 eingesetzt ist. Die derart bereitgestellten verschlüsselten Daten werden dann einer der Schnittstelleneinrichtungen 22 für die Übertragung zum Hintergrundsystem 30 bereitgestellt.
Prinzipiell können die derart bereitgestellten Daten wahlweise über die dritte Übertragungsstelle 43 und das Händler-Terminal 10 als Zwischeneinrichtung und von diesem weiter über die erste Übertragungsstrecke 41 zum Hintergrundsystem 30 übertragen werden. Bevorzugt wird jedoch in einem fünften Schritt 5 die Übertragung der verschlüsselten Daten vom Kunden-Terminal 20 über die zweite Schnittstelleneinrichtung 22 direkt zum Hintergrundsystem 30 bzw. dessen Schnittstelleneinrichtung 32. Für diese Übertragung wird bevorzugt der Kurznachrichtendienst SMS verwendet, wobei auch andere Arten von Übertragungsstrecken und Übertragungssystemen prinzipiell verwendbar sind. Für die Übertragung mit Hilfe des Kurznachrichtendienstes SMS weist das Kunden-Terminal 20 die SIM-Karte SIM auf, welche die Übertragung über die zweite Übertragungsstrecke 42 steuert bzw. Daten bereitstellt, welche für die Übertragung mit Hilfe des Kurznachrichtendienstes SMS erforderlich sind.
Für die Übertragung über die dritte Übertragungsstrecke 43 werden bevorzugt Übertragungssysteme verwendet, welche ein Mitschneiden oder Abfangen der übertragenen Daten so gut wie möglich verhindern. Entsprechend wird eine Schnittstelle gemäß ISO 14443 bevorzugt, wobei auch andere Systeme gemäß beispielsweise Bluetooth, Infrarotschnittstelle als weiter Beispiele für Schnittstellensysteme verwendet werden können.
Beim fünften Schritt 5 werden neben dem Preis, der Transaktionsnummer TAN, der Händler-Identifikationsnummer HID und ggf. der Zeitinformation T weitere Daten übertragen. Diese weiteren Daten dienen der Identifizierung des Kunden-Terminals 20 gegenüber dem Hintergrundsystem 30 und sind insbesondere eine SIM-Nummer, eine Kartennummer der entsprechenden Smartcard, eine persönliche Identifizierungsnummer PIN, welche bevorzugt dem Benutzer des Kunden-Terminals zugeordnet ist, sowie vorzugsweise eine Information über die gewünschte Zahlungsart.
Sofern eine solche Information über die gewünschte Zahlungsart beim fünften Schritt 5 übertragen wird, werden dem Benutzer des Kunden-Terminals 20 für den Fall, das verschiedene Zahlungsarten über verschiedene Bezahlungssysteme oder über verschiedene Konten für den Benutzer möglich sind, bevorzugt entsprechende Zahlungsarten vorgeschlagen. Der Benutzer des Kunden-Terminals 20 kann dann die möglichen Zahlungsarten auf der Anzeigeeinrichtung 25 ablesen und über die Eingabetastatur 24 eine der gewünschten Zahlungsarten auswählen.
Während bei den ersten vier, insbesondere den ersten drei Verfahrensschritten prinzipiell eine einfache Verschlüsselung ausreicht, ggf. sogar ganze auf eine Verschlüsselung verzichtet werden kann, ist die Übertragung von Daten vom Kunden-Terminal 20 ausgehend verschlüsselt vorzunehmen. Wiederum werden beim fünften Schritt 5 einzelne der zu übertragenden Daten oder vorzugsweise sämtliche der zu übertragenden Daten verschlüsselt. Das Hintergrundsystem 30 entschlüsselt die im fünften Schritt 5 empfangenen Daten mit dem entsprechenden privaten Schlüssel PSK und überprüft die Daten auf eine Zulässigkeit der Transaktion. Zu dieser Überprüfung gehört beispielsweise eine Überprüfung des Kunden-Terminals 20 und/oder des Benutzers des Kunden-Terminals 20 anhand der entsprechenden Daten der Kundendatenbank 30, die eingegebene PIN und der Sperrliste 39. Ggf. sind auch Überprüfungen bei externen Institutionen 37 möglich. Außerdem wird die Transaktionsnummer TAN anhand der im temporären Speicher M des Hintergrund-Systems 30 zuvor zwischengespeicherten Daten überprüft. Letztendlich findet eine Überprüfung der Bonität der durch das Kunden-Terminal 20 mitgeteilten Zahlungsart statt. Sofern diese und ggf. weitere Überprüfungsschritte positiv ausfallen, wird die entsprechende Transaktion veranlasst. Dies kann entweder im Hintergrundsystem 30 selber oder bevorzugt durch Übersendung entsprechender Daten an deine externe Institution geschehen.
Letztendlich werden in einem sechsten Schritt 6.1,6.2 Bestätigungsmitteilungen vom Hintergrundsystem 30 über die Schnittstelleneinrichtung 32 abgesendet. Eine erste Bestätigungsmeldung wird über die zweite Übertragungsstrecke 42 insbesondere per Kurznachrichtendienst SMS an das Kunden-Terminal 20 gesendet, um auf dessen Anzeigeeinrichtung 25 eine Bestätigung der Transaktion anzeigen zu lassen. Neben einer Zahlungsbestätigung OK werden insbesondere der Preis, die Händler-Identifizierungsnummer HID und die Zahlungsart bestätigt. Außerdem wird über die erste Übertragungsstrecke 41 eine Bestätigung an das Händler-Terminal 10 gesendet, dass die Zahlung erfolgt ist. Als Daten an das Händler-Terminal 10 werden vorzugsweise neben der Zahlungsbestätigung OK auch die Transaktionsnummer und der Preis übertragen. Im Händler-Terminal 10 kann daraufhin ein entsprechender Beleg zur Übergabe an den Benutzer des Kunden-Terminals 20 ausgedruckt werden.
Vorzugsweise erfolgen auch die Zahlungsbestätigungen jeweils in verschlüsselter Form wobei für die Übertragung zum Kunden-Terminal 20 ein entsprechender öffentlicher Schlüssel ÖKS des Kunden-Hintergrundsystem-Schlüsselpaars ÖKS, PKS verwendet wird. Für die Übertragung zum Händler-Terminal wird entsprechend ein öffentlicher Schlüssel ÖHS des Händler-Hintergrundsystem-Schlüsselpaars ÖHS,PHS verwendet.
Bei Ausführungsformen, welche als zusätzliche Größe die Zeitinformation T verwenden, werden die beim Hintergrundsystem 30 eingehenden Daten vor dem Durchführen einer Transaktion hinsichtlich der seit der Aussendung der ursprünglichen Zeitinformation T verstrichenen Zeitdauer überprüft. Auf diese Art und Weise kann verhindert werden, dass ein insbesondere auf der zweiten Übertragungsstrecke 42 vom Kunden-Terminal 20 zum Hintergrundsystem 30 abgefangener Datensatz mit Schädigungsabsicht mehrfach an das Hintergrundsystem 30 weitergeleitet wird, wodurch möglicherweise eine mehrfache Ausführung der Transaktion bewirkt werden könnte.
Zwischen dem Hintergrundsystem 30 und weiteren externen Einrichtungen findet, sofern entsprechende Tätigkeiten nicht im Hintergrundsystem 30 selber ausgeführt werden, ein Datenaustausch mit externen Einrichtungen statt. Dies betrifft beispielsweise die Personalisierung eines Kunden-Terminals und/oder eines Händler-Terminals durch eine Personalisierungseinrichtung 36. Neben der Vergabe von persönlichen Identifizierungsnummern PIN, Smartcard mit entsprechenden eindeutig vergebenen Identifizierungsinformationen kann dazu auch die Überprüfung der jeweiligen Benutzer gehören.
Weiterhin kann am Hintergrundsystem 30 ein sogenanntes Callcenter 38 angeschlossen sein, über welches per Telefonanruf oder ggf. auch weitere Kommunikationswege wie z.B. den Kurznachrichtendienst oder elektronische Mails seitens beispielsweise eines Kunden Kontakt mit dem Hintergrundsystem 30 aufgenommen werden kann. Neben der Ausnutzung eines Callcenters 38 zur Veranlassung einer Sperrung im Fall beispielsweise des Diebstahls des Kunden-Terminals 20 kann ein solches Callcenter 38 auch für die telefonische Beauftragung einer Transaktion verwendet werden.
Bei Ausführungsformen, bei denen eine Auswahl der Zahlungsart möglich ist, kann bereits beim vierten Schritt 4 als zusätzliche Information an das Kunden-Terminal 20 mitgeteilt werden, welche Zahlungsarten mit Blick auf das kommunizierende Händler-Terminal 10 bzw. dessen Betreiber zulässig sind. Auf der Anzeigeeinrichtung 25 werden dann nur die Zahlungsarten zur Auswahl angezeigt, welche eine Schnittmenge zwischen den mit Blick auf das Händler-Terminal 10 und mit Blick auf das Kunden-Terminal 20 möglichen Zahlungsarten bilden.
Mit der positiven Bestätigung des Bedieners des Kunden-Terminals 20, dass die Zahldaten im fünften Schritt 5 zum Hintergrundsystem 30 übertragen werden dürfen, kann eine weitere Verschlüsselung verbunden sein. Beispielsweise kann auch eine Verschlüsselung der persönlichen Identifizierungsnummer PIN des Kunden erfolgen. Die Verschlüsselung erfolgt dabei direkt in der Chipkarte, insbesondere im Cryptocoprozessor C. Vorteilhafterweise wird auch die Kartennummer bzw. interne Nummer bei der Bildung des zum Hintergrundsystem 30 zu übertragenden Datensatzes verwendet. Bei einer Übertragung per Kurznachrichtendienst SMS wird in üblicher Art und Weise ein Datensatz mit üblichen SMS-Kopfdaten, insbesondere der Telefonnummer der SIM-Karte, und nachfolgend den eigentlichen verschlüsselten Daten versendet. Der Versand erfolgt dabei vorzugsweise direkt vom Kunden-Terminal 20 zu einem Kurznachrichtendienst-Router und von dort zum Hintergrundsystem 30.
2 zeigt ein alternatives Ausführungsbeispiel für einen Transaktionsvorgang in Verbindung mit einer Bezahlung eines Angebots im Internet oder Fernsehen unter Ausnutzung eines Kunden-Terminals 20. Dabei werden Details und Verfahrensschritte bei diesem und einem weiteren Ausführungsbeispiel ausgelassen, welche bereits zuvor beschrieben wurden. Diesbezüglich wird auf die entsprechende vorstehende Beschreibung verwiesen. Insbesondere werden gleiche Bezugszeichen für gleiche oder ähnliche bauliche oder verfahrenstechnische Umsetzungen gewählt.
Anstelle eines direkt aktiv kommunizierenden Händler-Terminals 10 steht der Kunde einem Angebot im Internet oder Fernsehen gegenüber. Das Angebot wird entsprechend von einem Händler-Terminal 10' gegeben, welches aus einer Händlerzentrale 13' und einer daran angeschlossenen Anzeigeeinrichtung 14' besteht. Das Angebot wird in Form eines Artikels mit zusätzlicher Angabe des Preises, einer Artikelnummer und/oder Transaktionsnummer TAN, welche dem Artikel zugeordnet ist, sowie einer Händler- Identifizierungsnummer HID angezeigt. Bei aufwendigen Systemen kann die Transaktionsnummer TAN bereits zu einem früheren Zeitpunkt vom Hintergrundsystem 30 speziell für den ausgewählten Artikels dieses speziellen Händlers bzw. Händler-Terminals 10' vergeben worden sein, so dass die Transaktionsnummer TAN gegenüber dem Hintergrundsystem 30 und bei Rückübermittlung zum Händler-Terminal 10' bereits ausreicht, um das entsprechende Händler-Terminal 10' und den speziellen Artikel zu identifizieren. Dies macht allerdings eine Vergabe jeweils einer eigenen Transaktionsnummer TAN für jeden einzelnen Artikel eines Händlers erforderlich und stellt somit auch eine gewisse Belastung des Gesamtsystems dar. Als weitere Information kann vom Händler-Terminal 10' auf dessen Anzeigeeinrichtung 14' auch eine Information über mögliche Zahlungsarten und/oder Versandarten angegeben werden. Auch diese Informationen können wahlweise als eigenen Nummern, Bestandteil der Artikelnummer und/oder Bestandteil der Transaktionsnummer TAN bereitgestellt werden. Als Versandart ist beispielsweise im Falle einer über das Internet per herunterladbaren Software ein sogenannter Download. Eine weitere mögliche Versandart ist aber auch ein herkömmlicher Versand per z.B. Kurier oder Post. In letzterem Fall muss dem Händler-Terminal 10' allerdings die Kundenanschrift mitgeteilt werden, was eine ansonsten theoretisch mögliche vollständige Anonymität des Kunden oder des Kunden-Terminals 20 gegenüber dem Händler bzw. Händler-Terminal 10' ausschließt.
Der Kunde überträgt die auf der Anzeigeeinrichtung 14' angezeigten Daten per Hand über die Eingabetastatur 24 in das Kunden-Terminal 20. Alternativ kann im Falle eines Angebots im Internet auch eine Übertragung über eine entsprechende Schnittstelleneinrichtung 12" mit Zugriff auf die entsprechende Seite des Händler-Terminals 10' und über eine dritte Übertragungsstrecke 43' durchgeführt werden, welche die Übertragung vom Händler-Terminal 10' zum Kunden-Terminal 20 automatisiert ermöglicht. Im wesentlichen entspricht die Übertragung der Daten wieder dem vierten Schritt 4 des ersten Ausführungsbeispiels.
Der Kunde gibt die entsprechenden Daten in den Kunden-Terminal 20 ein und nimmt entsprechende Auswahlmöglichkeiten wie z.B. das gewünschte Bezahlverfahren vor. Abschließend bestätigt der Kunde seinen Kaufwunsch, woraufhin im Kunden-Terminal 20 ein entsprechender Datensatz erstellt und verschlüsselt wird. Die Bestätigung erfolgt wie oben durch Eingabe der PIN, welche in den Datensatz integriert und verschlüsselt wird.
Alle Daten werden von der Chipkarte C entsprechend verarbeitet und verschlüsselt. Anschließend wird ein Kurznachrichtentext bzw. SMS-Text aus dem verschlüsselten Datensatz generiert und an den GSM-Teil des Kunden-Terminals 20 übergeben. Der GSM-Teil des Kunden-Terminals besteht wiederum aus der SIM-Karte SIM oder umfasst diese als weiteren wesentlichen Bestandteil.
Anschließend wird im fünften Schritt 5 eine Übertragung über die zweite Übertragungsstrecke 42 entsprechend wie beim ersten Ausführungsbeispiel zum Hintergrundsystem 30 vorgenommen. Nachdem Empfang entschlüsselt das Hintergrundsystem 30 die empfangenen Daten und nimmt die entsprechenden Prüfungsschritte bezüglich Händler, Kunde und Bonität vor.
Wenn alle Daten bzw. Eingaben in Ordnung sind, werden wie beim ersten Ausführungsbeispiel im sechsten Schritt 6.1,6.2 Zahlungsbestätigungen an das Kunden-Terminal 20 bzw. das Händler-Terminal 10' übersendet, wobei das Händler-Terminal 10' im vorliegenden Fall bevorzugt ein Rechner zur Abwicklung von Kaufaktionen und zum Veranlassen der Auslieferung angeforderter Artikel bzw. der Veranlassung angeforderter Dienstleistungen ist.
Die Bestätigung an das Händler-Terminal 10' geht im Fall eines Internetsystems als Händler-Terminal 10' vorzugsweise über ein entsprechendes paketgestütztes Datennetz gemäß beispielsweise dem Protokoll TCP/IP. Übertragungsformen wie der Versand einer elektronischen Mail sind z.B. möglich.
Dem Händler-Terminal 10' wird zur Bestätigung vorzugsweise eine weitere Transaktionsnummer TAN 2 übermittelt. Außerdem wird eine Kenninformation übermittelt, welche die Übergabe ermöglicht. Im Fall eines gewünschten Downloads kann beispielsweise ein generierter Code erzeugt werden, welcher sowohl dem Händler-Terminal 10' als auch dem Kunden-Terminal 20 übermittelt wird. Durch Eingabe des Codes seitens des Kunden an einem entsprechenden Internet-Zugangsrechner kann sich dieser gegenüber dem Händler-Terminal 10' ausweisen, so dass der Download freigegeben wird. In diesem Fall benötigt der Händler bzw. das Händler-Terminal 10' vorteilhafterweise keinerlei persönlicher Informationen bezüglich des Kunden oder des Kunden-Terminals 20. Alternativ kann dem Händler-Terminal 10' auch eine Kundenanschrift mitgeteilt werden, wenn dem Kunden ein Artikel zuzusenden oder beim Kunden eine Dienstleistung zu erbringen ist.
Dieses Verfahren benötigt je nach Komplexität einen entsprechend großen Speicherraum für die Händlerdatenbank 34 und/oder eine Verlinkung des Hintergrundsystem 30 mit den Internetangeboten der Händler-Terminals 10'.
3 stellt ein drittes Ausführungsbeispiel dar. Wiederum bezeichnen gleiche oder durch Sterne und Apostroph gekennzeichnete Bezugszeichen Bauelemente oder Verfahrensschritte, welche bereits anhand der vorstehenden Ausführungsbeispiele als gleich, gleichwirkend oder ähnlich beschrieben wurden, weshalb im wesentlichen nur unterschiedliche Merkmale beschrieben werden. Wie bei den vorstehenden Ausführungsbeispielen erfolgt auch bei diesem Ausführungsbeispiel die Übertragung über die erste, zweite und/oder dritte Übertragungsstrecke 41,42,43' vorzugsweise mit dem bereits beschriebenen Verschlüsselungssystem unter Verwendung von Schlüsselpaaren mit privaten und öffentlichen Schlüsseln.
Dargestellt ist eine Bezahlvorrichtung bei dem das Händler-Terminal 10' wiederum als ein Internetanbieter oder ein Angebot über das Fernsehen ausgebildet ist. Natürlich kann auch ein Händler-Terminal wie beim ersten Ausführungsbeispiel als alternative Ausführungsform bereitgestellt werden.
Beim vorliegenden Ausführungsbeispiel wird davon ausgegangen, dass dem Kunden-Terminal momentan kein Mobilfunknetz zur Verfügung steht, so dass eine Übertragung verschlüsselter Daten vom Kunden-Terminal 20*,20 zum Hintergrundsystem 30 über die zweite Übertragungsstrecke 42 beim bisherigen fünften Schritt 5 nicht möglich ist. Trotzdem solle eine Transaktion ermöglicht werden.
Wie bei den vorstehenden Ausführungsbeispielen werden die Daten des Händler-Terminals 10' direkt oder wie dargestellt indirekt auf das Kunden-Terminal 20,20* übertragen. Auf der Anzeigeeinrichtung 14' des Händler-Terminals 10' wird beispielsweise wieder eine ausgewählte Ware mit einem entsprechenden Preis über das Internet angezeigt. Außerdem werden ggf. verschiedene Bezahlverfahren und das Zahlen per Kurznachrichtendienst SMS angeboten.
Der Kunde kann sich wiederum für das Zahlen per Kurznachrichtendienst entscheiden. Die Internetseite oder der Fernsehbildschirm zeigen auf der Anzeigeeinrichtung 14' wiederum die Daten, die Ware bzw. Dienstleistung, Download bzw. Lieferung usw. an. Außerdem werden der Preis, eine Artikelnummer bzw. eine Transaktionsnummer, die speziell für Ware und Stückzahl speziell bereitgestellt werden, angezeigt. Nach der Übertragung der entsprechenden Daten in das Kunden-Terminal 20*,20 findet die Verarbeitung durch das Kunden-Terminal 20,20* in im wesentlichen bereits beschriebener Art und Weise statt. Das Kunden-Terminal 20,20* erkennt jedoch, dass weder GSM-Verbindung zum Versenden einer Kurznachricht SMS noch eine andere geeignete Verbindung verfügbar ist.
Daraufhin berechnet das Kunden-Terminal 20,20* aus den verfügbaren Daten einen Code, wobei dazu vorzugsweise sichere Verfahren wie das für sich bekannte DES (Data Encryption Standard), 3DES (Dreifach Data Encryption Standard), RSA usw. verwendet werden. Insbesondere wird der eigentliche Code vorzugsweise mit dem öffentlichen Schlüssel ÖSK des Hintergrundsystem-Kunden-Schlüsselpaares ÖSK, PSK zur Absicherung gegen einen Missbrauch verschlüsselt, wie dies bei den Daten zur Übertragung im fünften Schritt 5 bei den vorstehenden Ausführungsbeispielen vergleichbar durchgeführt wurde.
Der Code wird in einem fünften Schritt 5* von dem Kunden-Terminal 20 zum Hintergrundsystem 30 übertragen und dort mit dem ggf. entsprechenden privaten Schlüssel PSK entschlüsselt. Weiterhin werden im Hintergrundsystem 30 aus den Daten des Codes die erforderlichen Daten zum Durchführen der Transaktion entnommen, wobei ggf. vom Händler-Terminal 10* ergänzend an das Hintergrundsystem 30 gelieferte Daten zusätzlich verwendet werden.
3 stellt alternative Wege zur Übertragung des Codes vom Kunden-Terminal 20*, 20 an das Hintergrundsystem 30 dar.
Bei der ersten Alternative wird auf der Anzeigeeinrichtung 14' des Händler-Terminals 10 im Fall eines Internetzugangs eine neue Maske auf der Anzeigeeinrichtung 14' nach entsprechender Auswahl des Kunden durch seine Eingaben an einer Schnittstelleneinrichtung 12* angezeigt. Auf der Maske werden erste Textinformationen vorbereitet angezeigt, wie der Händlername und die Händler-Identifizierungsnummer HID, der Artikel, eine Artikelnummer und/oder Transaktionsnummer, einen gewünschte Stückzahl, der Preis und ein offenes Feld zur Eingabe des Codes, welcher vom Kunden beziehungsweise Kunden-Terminal 20* zu übertragen ist. Die Schnittstelleneinrichtung kann dabei eine automatische Schnittstelle 12' sein, die über die dritte Übertragungsstrecke 43' mit dem Kunden-Terminal 20*, 20 kommuniziert, womit der Kunde Eingaben direkt über die Tastatur 24 des Kunden-Terminals tätigen kann. Die Eingabeeinrichtung des Händler-Terminals 10' kann aber auch eine Tastatur 12* oder dergleichen am Händler-Terminal 10' sein, welche zur manuellen Eingabe des Codes durch den Kunden beziehungsweise Bediener des Kunden-Terminals 20, 20* dient, welcher den Code dann von der Anzeigeeinrichtung 25 des Kunden-Terminals 20* abliest und überträgt.
Vom Händler-Terminal 10' oder dem hintergeschalteten zentralen Rechner 13' wird dann eine entsprechende Übertragung, beispielsweise per elektronischem Mail-Programm mittels einer elektronischen Mail im fünften Schritt 5* zum Hintergrundsystem 30 vorgenommen. Dabei haben der Händler beziehungsweise das Händler-Terminal 10' keine Zugriffsmöglichkeit zur Verfälschung oder zum Auslesen auf den Code, da dieser vom Kunden-Terminal 20 entsprechend verschlüsselte Daten enthält.
Gemäß der zweiten Alternative fehlt dem Kunden eine Eingabemöglichkeit beim Händler-Terminal 10' beispielsweise mangels einer entsprechenden Schnittstelleneinrichtung 12', 12*, wie dies beim Kauf eines im Fernsehen gezeigten Angebotes der Fall ist. In diesem Fall kann der Kunde beziehungsweise Benutzer des Kunden-Terminals 20* eine Verbindung mit dem Hintergrundsystem 30 in für sich bekannter Art und Weise über das Callcenter 38 in einem fünften Schritt 5°wählen.
Gegenüber einer üblichen Bestellung per Callcenter 38 teilt der Kunde dem Callcenter 28 jedoch den von dem Kunden-Terminal 20* berechneten Code mit, welcher auf der Anzeigeeinrichtung 25 des Kunden-Terminals 20* angezeigt wird. Zur weiteren Absicherung kann optional seitens des Callcenters 28 zusätzlich eine im Hintergrundsystem 30 oder beim Callcenter 38 hinterlegte Sicherheitsfrage gestellt werden, welche vom Kunden richtig zu beantworten ist. Das Callcenter 38 überträgt daraufhin den Code 5 über eine beliebige Verbindungsstrecke an das Hintergrundsystem 30. Durch die Verschlüsselung mit dem öffentlichen Schlüssel ÖSK des Hintergrundsystem-Kunden-Schlüsselpaares ÖSK, PSK ist ein Missbrauch durch das Callcenter 38 nicht möglich. Dies gilt insbesondere dann, wenn im Code eine Zeitinformation integriert ist, welche vom Hintergrundsystem 30 über das Händler-Terminal 10' jeweils aktualisiert, originär vom Händler-Terminal 10' oder vom Kunden-Terminal 20* generiert wurde und mit einer Zeitinformation im Hintergrundsystem 30 abgeglichen werden kann.
Alternativ zur Übermittlung über ein Callcenter 38 können auch andere für sich bekannte Übertragungswege benutzt werden, wie beispielsweise ein Anruf bei einem Sprachcomputer oder einem Computersystem, welches eine Steuerung und Dateneingabe per Telefontastatur ermöglicht.
Auch bei diesen Alternativen kann das Hintergrundsystem 30 eine Transaktion auf Basis einer sicheren Transaktionsanforderung veranlassen und parallel oder anschließend Bestätigungsnachrichten in einem sechsten Schritt 6.1, 6.2 wie bei den vorstehenden Ausführungsbeispielen übersenden. Während die Übermittlung einer entsprechenden Bestätigung an das Händler-Terminal 10' direkt möglich ist, wird eine entsprechende Bestätigungsnachricht in Form einer Kurznachricht SMS über die zweite Übertragungsstrecke 42 im Kurznachrichtendienst-Router zwischengespeichert, bis das Kunden-Terminal 20* wieder eine Kommunikationsverbindung zum Kurznachrichtendienst-Router aufbaut und die Transaktionsbestätigung zeitversetzt empfangen kann.
Möglich ist auch der Einsatz solcher Terminals, die technisch keine GSM / UMTS Module enthalten. Umsetzbar ist z.B. eine Verwendung solcher Terminals als reine Verschlüsselungseinheiten für a) den hier dargestellten Fall und b) wenn die verschlüsselten Daten über ein Terminal der ersten Gruppe an den Server geleitet werden.
Gemäß einfachen Ausführungsformen reicht die Bereitstellung einfacher Händler- beziehungsweise Kunden-Terminals 10, 20 aus, was eine preisgünstige Umsetzung durch Bereitstellung von beispielsweise einem SMS-Pad als Kunden-Terminal 20 ermöglicht. Prinzipiell sind aber auch komplex aufgebaute Terminals ausführbar, beispielsweise ein herkömmliches Mobilfunkgerät mit zusätzlich zu der SIM-Karte einem Verschlüsselungschip C, wobei die Trennung der Funktionalität auf zwei Baueinheiten mit einerseits den Kommunikationsinformationen und Kommunikationsfunktionen und andererseits den Verschlüsselungsdaten und Verschlüsselungsfunktionen ohne Zugriffsmöglichkeit von außen die Sicherheit in bevorzugter Art besonders erhöht. Neben beliebigen Kombinationsmöglichkeiten der einzelnen Aspekte der beschriebenen Ausführungsbeispiele sind auch Kombinationen mit entsprechenden Alternativen für sich bekannter Vorrichtungen und Verfahren möglich, beispielsweise Kombinationen mit verschiedenartigsten Protokollen und Systemen zum Aufbau von Übertragungsstrecken.
Das besonders bevorzugte System besteht somit zusammengefasst aus drei Komponenten, dem Hintergrundsystem 30, dem Händler-Terminal 10 und dem Kunden-Terminal 20, z.B. einem SMS Pad des Kunden mit integrierter Chipkarte (Dualinterface Smartcard, ggf. mit Cryptocoprozessor).
Das Hintergrundsystem besteht dabei aus einem SMS Host zum Senden und Empfangen von SMS Nachrichten und einem Server, der übliche Clearingaufgaben erfüllt und Kunden und Händler nach den bekannten Verfahren prüft. Zusätzlich verfügt er über die jeweiligen RSA Schlüssel zum ver- und entschlüsseln von Datensätzen, die per SMS gesendet und oder empfangen werden.
Das Händlerterminal ist vorzugsweise ein übliches POS-(Point of Sale/Verkaufs) Terminal, ergänzt um eine Schnittstelle nach ISO 14443, ein Internetshop, oder eine GSM Terminal ergänzt um eine Schnittstelle nach ISO 14443.
Das Kunden-Terminal bzw. SMS Pad ist bevorzugt ein Gerät zum Senden und Empfangen von SMS, GPRS, und oder Daten-Rufverbindungen (Data Calls). Es ist mit einer üblichen SIM-Karte ausgestattet, die die Abwicklung der GSM Standards sicherstellt und zusätzlich mit einer Prozessorchipkarte mit integriertem Cryptocoprozessor und Dualinterface, d.h. einer kontaktierten Schnittstelle mit T=1 oder vergleichbar und einer Schnittstelle nach ISO 14443. In dieser Karte können verschiedene Applikationen enthalten sein, z.B. E-Börse, E-Ticket usw., und eine Applikation für die Verschlüsselung von Bezahldaten und die Verwaltung der Daten. In ihr sind ebenfalls sicher die erforderlichen RSA Schlüssel oder Schlüssel anderer Schlüsselsysteme (3DES) gespeichert.
Die Übermittlung von sensiblen Daten bei der Übertragung von Datensätzen beim bargeldlosen Bezahlen stellt immer wieder ein erhebliches Sicherheitsrisiko dar. Insbesondere im Internet aber auch bei den heute üblichen Verfahren zum Bezahlen mit der EC Karte im Offline Verfahren (ELV: Elektronisches Lastschrift Verfahren) sind Manipulationen, Betrug und Datendiebstahl an der Tagesordnung. Die Nutzung der GSM Technologie und des zukünftigen UMTS Verfahrens für Bezahltransaktionen wird deshalb immer wieder als unzureichend sicher beurteilt.
Die vorliegende Erfindung soll diese Lücke schließen. Die Kombination hochverschlüsselter Datensätze in Verbindung mit GSM / UMTS Funk als unabhängige Datenübermittlung kann sichergestellt werden. Die Transaktionsdaten, insbesondere die, bei denen die sensiblen Daten des Kunden, welcher die Zahlung leistet, übertragen werden, erfolgt unabhängig vom Terminal des Händlers oder gar einer Internetverbindung, also auf einem völlig separaten, vom Händler nicht kontrollierbaren Weg. Die Daten werden mit einem RSA Schlüssel verschlüsselt und signiert. Dabei kann sowohl ein System einheitlicher Schlüssel als auch ein Kunden spezifischer Schlüssel verwendet werden. Das Verschlüsseln der sensiblen Daten wird dabei von einer Mikroprozessorchipkarte ggf. auch mit Cryptocoprozessor realisiert. Diese speichert die Schlüssel sicher. Zusätzlich kann mit einer PIN die Authentifizierung des Zahlungsberechtigten zusätzlich gesichert werden. Diese PIN kann sowohl auf der Karte als auch im Hintergrundsystem oder nur im Hintergrundsystem hinterlegt sein. Die Mikroprozessorchipkarte arbeitet in Verbindung mit einem Gerät nach GSM und oder UMTS Standard welches das Senden und Empfangen von SMS sichert, ggf. GPRS und DataCall unterstützt. Weitere Funktionen sind optional. Die Übergabe der erforderlichen Daten des Händlers an den Kunden (Preis, Händlernummer, TAN, Bezahlmöglichkeiten des Händlers u.a.) kann dabei u.a. mittels einer Schnittstelle nach ISO 14443 erfolgen, wenn diese von der Chipkarte oder dem Gerät unterstützt wird. Andere Schnittstellen sind denkbar, da diese Daten nicht sensibel sind. Auch der Weg, dass verschlüsselte Daten an das Händlerterminal. übergeben werden, ist unkritisch, da diese dann verschlüsselt vorliegen.
Weiterhin ist es möglich, dass verschlüsselte Daten an das Gerät gesendet werden und diese vom Gerät mit Hilfe der Chipkarte entschlüsselt werden. Dadurch ist es möglich den Dateninhalt von Chipkartenapplikationen zu verändern. Das kann z.B. per SMS oder per DataCall im Dialogverfahren während einer gehaltenen Verbindung erfolgen. Mit diesem Verfahren können Tickets in den DF-Fahrschein (DF: Data File) einer Geldkarte oder vergleichbare Einrichtung geladen werden oder in E-Börsen geladen werden.
Die Abwicklung im Hintergrundsystem unterscheidet sich gegenüber den bekannten Verfahren insbesondere in Clearingservern durch die Hinterlegung der RSA Schlüssel, die Entschlüsselung der Datensätze, die Prüfung der entschlüsselten PIN, ggf. die Prüfung der SIM Karten Nummer und umgekehrt in der Verschlüsselung von sensiblen Datensätzen an das SMS fähige Gerät, die Einbeziehung des GSM / UMTS Zeitstempels in die Sicherheitsabfrage und ggf. einer Zufallszahl. Bei der Verwendung unterschiedlicher und kartenabhängiger Schlüssel zum Senden und zum Empfangen von Daten ist das „Knacken" eines solchen Systems für die absehbare Zukunft auszuschließen.
Statt der RSA Verschlüsselung kann alternativ auch nahezu jedes bekannte symmetrische und oder asymmetrische Schlüsselverfahren verwendet werden. Auch die Verwendung mehrerer Schlüssel und/oder unterschiedlicher Verfahren mit einer Karte sind möglich.

Claims

Bezahlvorrichtung mit – einem Hintergrundsystem (30) mit Zugriff auf Datenbanken (34, 35, 39, 37), – einer ersten Gruppe von Terminals, insbesondere mit zumindest einem Händler-Terminal (10; 10'), – einer zweiten Gruppe von Terminals, insbesondere zumindest einem Kunden-Terminal (20; 20*), und – einem Verschlüsselungssystem – zum Durchführen einer geldwerten Transaktion im Bereich des Hintergrundsystems (30) durch eine Übertragung von Daten zwischen einem ersten Terminal (10; 10') der ersten Gruppe von Terminals und einem zweiten Terminal (20, 20*) der zweiten Gruppe von Terminals, dadurch gekennzeichnet, dass – im Verschlüsselungssystem zum Übertragen zumindest eines Teils der Daten zwischen dem ersten Terminal (10; 10'), dem zweiten Terminal (20; 20*) und/oder dem Hintergrundsystem (30) Schüssel (ÖSK, PSK; ÖKS, PKS; ÖSH, PSH; ÖHS, PHS; ÖKH, PKH; ÖHK, PHK) mit einem individuellen Schlüssel (ÖSK, ÖKS, ÖHS, ÖSH, ÖKH, ÖHK, PKS, PSK, PSH, PHS, PHK, PKH) bereitgestellt und verwendet werden.
Bezahlvorrichtung, insbesondere nach Anspruch 1, mit – einem Hintergrundsystem (30) mit Zugriff auf Datenbanken (34, 35, 39, 37), – einer ersten Gruppe von Terminals, insbesondere mit zumindest einem Händler-Terminal (10; 10'), – einer zweiten Gruppe von Terminals, insbesondere zumindest einem Kunden-Terminal (20; 20*), und – einem Verschlüsselungssystem – zum Durchführen einer geldwerten Transaktion im Bereich des Hintergrundsystems (30) durch eine Übertragung von Daten zwischen einem ersten Terminal (10; 10') der ersten Gruppe von Terminals und einem zweiten Terminal (20, 20*) der zweiten Gruppe von Terminals, dadurch gekennzeichnet, dass – im Verschlüsselungssystem zum Übertragen zumindest eines Teils der Daten zwischen dem ersten Terminal (10; 10'), dem zweiten Terminal (20; 20*) und/oder dem Hintergrundsystem (30) zumindest ein Schüssel (ÖSK, PSK; ÖKS, PKS; ÖSH, PSH; ÖHS, PHS; ÖKH, PKH; ÖHK, PHK, ÖSK, ÖKS, ÖHS, ÖSH, ÖKH, ÖHK, PKS, PSK, PSH, PHS, PHK, PKH) bereitgestellt und verwendet wird, wobei die Daten über eine Mobilfunkschnittstelle zu dem ersten oder zweiten Terminal übertragen werden. ((Systemschlüssel und Aufladen von elektronischen Börsen und dergleichen))
Zahlsystem nach Anspruch 1 oder 2, bei dem für die Übertragung der Daten zwischen dem ersten Terminal (10; 10') und dem Hintergrundsystem (30), dem zweiten Terminal (20, 20*) und dem Hintergrundsystem (30) und/oder dem zweiten Terminal (20, 20*) und dem ersten Terminal (10, 10') zumindest ein, insbesondere zwei Schlüsselpaare den beteiligten ver- bzw. entschlüsselnden Einrichtungen jeweils eindeutig zugeordnet bereitgestellt werden.
Bezahlvorrichtung nach einem vorstehenden Anspruch, bei dem die Daten für die Übertragung der Daten zwischen dem ersten Terminal (10, 10') und dem Hintergrundsystem (30) vom ersten Terminal (10, 10') über das zweite Terminal (20, 20*) und vom zweiten Terminal (20, 20*) an das Hintergrundsystem (30) übertragen werden und vom ersten Terminal (10, 10') vor dem Übertragen mit einem insbesondere öffentlichen Schlüssel (ÖSH) des Hintergrundsystems (30) beziehungsweise des ersten Terminals (10, 10') verschlüsselt werden, wobei die verschlüsselten Daten vom zweiten Terminal (20, 20*) nicht entschlüsselbar sind.
Bezahlvorrichtung nach Anspruch 4, bei dem der Schlüssel (ÖSH) einem eindeutigen und nur zwischen dem ersten Terminal (10, 10') und dem Hintergrundsystem (30) versendeten Schlüsselpaar (ÖSH, PSH) entstammt.
Bezahlvorrichtung nach einem vorstehenden Anspruch, bei dem die Daten für die Übertragung der Daten zwischen dem zweiten Terminal (20, 20*) und dem Hintergrundsystem (30) vom zweitem Terminal (20, 20*) über das erste Terminal (10, 10') und das Hintergrundsystem (30) übertragen werden und vom zweiten Terminal (20, 20*) vor der Übertragung mit einem insbesondere öffentlichen Schlüssel (ÖSK) des Hintergrundsystems (30) beziehungsweise des zweiten Terminals (20, 20*) verschlüsselt werden, wobei die verschlüsselten Daten vom ersten Terminal (10, 10') nicht entschlüsselbar ist.
Bezahlvorrichtung nach Anspruch 6, bei dem der öffentliche Schlüssel (ÖSH) einem eindeutigen und nur zwischen dem zweiten Terminal (20, 20*) und dem Hintergrundsystem (30) versendeten Schlüsselpaar (ÖSH, PSH) entstammt.
Bezahlvorrichtung nach einem vorstehenden Anspruch, bei dem die Daten als Bezahldaten vom zweiten Terminal (20, 20*) unabhängig vom ersten Terminal (10, 10') an das Hintergrundsystem (30) übertragen werden.
Bezahlvorrichtung nach Anspruch 8, bei dem ein Teil der Daten zuvor vom ersten Terminal (10, 10') auf das zweite Terminal (20, 20*) manuell oder per automatischer Schnittstelle (12; 12') übertragen wird.
Bezahlvorrichtung nach einem vorstehenden Anspruch, bei dem von dem ersten Terminal (10, 10') oder dem zweiten Terminal (20, 20*) übertragene Daten vor dem Übertragen um zuvor vom Hintergrundsystem (30) erhaltene Zusatzdaten (TAN, T) ergänzt werden.
Bezahlvorrichtung nach einem vorstehenden Anspruch, bei dem zwischen dem ersten Terminal (10, 10') und dem zwei ten Terminal (20, 20*) übertragene Daten vor der Übertragung um zuvor vom Hintergrundsystem (30) erhaltene Zusatzdaten ergänzt und zusammen mit den Zusatzdaten (TAN, T) verschlüsselt werden.
Bezahlvorrichtung nach einem vorstehenden Anspruch, bei dem das Verschlüsseln jeweils in einer von den Schnittstellen (12, 12', 12*, 32, 22, 23, SIM) unabhängigen und von außen nicht zugreifbaren Verschlüsselungs- und/oder Steuereinrichtung (C) durchgeführt wird.
Bezahlvorrichtung nach Anspruch 12, bei dem der Verschlüsselungseinrichtung (C) ein eigenes individuelles Schlüsselpaar zugeordnet ist.
Bezahlvorrichtung nach einem vorstehenden Anspruch, bei dem im zweiten Terminal (20, 20*) eine Dualinterface-Smartkarte als eine Verschlüsselungseinrichtung eingesetzt ist und wobei private und/oder öffentliche Schlüssel (PKS, ÖSK, PKH, ÖHK) in von außen nicht zugreifbaren Speicherbereichen(M) abgespeichert sind.
Bezahlvorrichtung nach einem vorstehenden Anspruch, bei dem das erste Terminal (10, 10') und das zweite Terminal (20, 20*) eine Schnittstelle (12, 22) zum Übertragen der Daten über nur eine kurze, abhörsichere Strecke aufweisen, insbesondere eine Schnittstelle gemäß ISO 14443.
Bezahlvorrichtung nach einem vorstehenden Anspruch, bei dem die Daten vor dem Übertragen mit einer geräteunabhängigen persönlichen Identifizierungsnummer (PIN) ergänzt werden, die nur dem Betreiber des ersten Terminals (10, 10') beziehungsweise des zweiten Terminals (20, 20*) einerseits sowie andererseits dem Hintergrundsystem (30, 34; 30, 35) bekannt ist.
Bezahlvorrichtung nach einem vorstehenden Anspruch, bei dem eine Zeitinformation (T) zusammen mit den Daten verschlüsselt übertragen und/oder als zusätzlicher Schlüssel für die Daten beim Verschlüsseln verwendet wird.
Bezahlvorrichtung nach Anspruch 17, bei dem die Zeitinformation (T) vom Hintergrundsystem (30) vorgangsindividuell als Sicherheitsmerkmal benutzt wird.
Bezahlvorrichtung nach Anspruch 17 oder 18, bei dem die Zeitinformation (T) nach dem Übertragen der Daten empfängerseitig hinsichtlich einer maximal zulässigen Vorgangsdauer überprüft wird.
Bezahlvorrichtung nach einem vorstehenden Anspruch, bei dem als die Daten Applikationsdaten vom Hintergrundsystem (30) verschlüsselt an das erste oder zweite Terminal (10, 20) übertragen werden.
Bezahlvorrichtung nach Anspruch 20, bei dem die Applikationsdaten eine Steuereinrichtung des ersten oder zweiten Terminals (10, 20) manipulieren.
Bezahlvorrichtung nach einem vorstehenden Anspruch, bei dem beim Übertragen der Daten kein realer Geldwertfluss über die Übertragungsstrecken von und zu dem ersten Terminal (10, 10') und von oder zu dem zweiten Terminal (20, 20*) stattfindet.
Terminal als erstes Terminal (10, 10') für eine Bezahlvorrichtung nach einem vorstehenden Anspruch mit einer Schnittstelle (23) zum Hintergrundsystem (30) und einer weiteren Schnittstelle, insbesondere Ausgabeschnittstelle (12, 12', 14', 12*), sowie einer Steuereinrichtung (C) zum Empfangen, Verarbeiten und Übertragen von Daten sowie zum Verschlüsseln der Daten und mit von außen nicht zugreifbarem Speicher für Schlüssel.
Terminal als zweites Terminal (20, 20*) für eine Bezahlvorrichtung nach einen der Ansprüche 1 bis 22 mit einer Schnittstelle (23; 22; 25) zum Hintergrundsystem (30) und einer weiteren Schnittstelle, insbesondere Eingabe-Schnittstelle (22; 23; 24), zum Eingeben von Daten des ersten Terminals (10, 10') sowie einer Steuereinrichtung (C) zum Empfangen, Verarbeiten und Übertragen der Daten sowie zum Verschlüsseln der Daten und mit einem von außen nicht zugreifbaren Speicher (N) für Schlüssel.
Terminal nach Anspruch 24 mit der Schnittstelleneinrichtung, insbesondere einer Kurznachrichten- Sende- und/oder Empfangseinrichtung (SIM, 24), und einer Steuer- und Verschlüsselungseinrichtung (C), wobei die Schnittstelleneinrichtung, insbesondere die Kurznachrichten- Sendeund/oder Empfangseinrichtung, und die Verschlüsselungseinrichtung baulich getrennte Einrichtungen sind.
Terminal nach Anspruch 25, bei dem die Verschlüsselungseinrichtung (C) ein eigenständiger Chip ist, insbesondere eine Dualinterface Smartcard mit Cryptocoprozessor und/oder eine andere geeignete Smartcard
Terminal nach einen der Ansprüche 24 bis 26, bei dem eine Eingabeeinrichtung zum Auslösen des Verschlüsselns und Ausgeben der Daten nach dem Übertragen von Daten auf das zweite Terminal (20) ausgelegt ist.