WO2011088970A1 - Verfahren zum durchführen einer transaktion zwischen einem tragbaren datenträger und einem terminal - Google Patents

Abstract

Die Erfindung betrifft ein Verfahren zum Durchführen einer Transaktion zwischen einem tragbaren Datenträger (1), insbesondere einer Chipkarte, und einem Terminal (3). Erfindungsgemäß wird bei der Übertragung von Transaktionsdaten mittels einer Kommunikation (K) zwischen dem tragbaren Datenträger (1) und dem Terminal (3) eine Information (TID) zu dem Terminal (3) an den tragbaren Datenträger (1) übermittelt, wobei sich für den tragbaren Datenträger (1) aus der Information eine Ortsposition (ZID, WID, GID) des Terminals (3) ergibt. Ferner wird eine Ortsposition (OP) des tragbaren Datenträgers (1) festgestellt, auf welche der tragbare Datenträger (1) Zugriff hat. Schließlich vergleicht der tragbare Datenträger (1) die Ortsposition (ZID, WID, GID) des Terminals mit seiner Ortsposition (OP) und veranlasst im Falle, dass eine Abweichung zwischen den beiden Ortspositionen (ZID, WID, GID; OP) eine vorbestimmte Schwelle überschreitet, eine Maßnahme zum Schutz der Transaktion.

Description

V e r f a hr e n zu m D u rc hf ü hr en e i n er T r a n s akt i o n z w i s c he n ei n e m tr a gb a r e n D a t entr ä g e r u n d ei ne m T e r mi n al

Die Erfindung betrifft ein Verfahren zum Durchführen einer Transaktion zwischen einem tragbaren Datenträger, insbesondere einer Chipkarte, und einem Terminal.

Bei der Durchführung von Transaktionen, insbesondere von Bezahlvorgängen, zwischen einem tragbaren Datenträger und einem Terminal werden zwischen dem Datenträger und dem Terminal sensible Transaktionsdaten ausgetauscht, die Ziel von Angriffen Dritter sein können. Insbesondere bei einer NFC-Kommunikation (NFC = Near Field Communication), die heutzutage immer häufiger zum kontaktlosen Austausch von Transaktionsdaten zwischen Datenträger und Terminal eingesetzt wird, sind sog. Reichweite- nerhöhungs- Angriffe bekannt, die auch als Relais- Angriffe bezeichnet werden. Bei einem Relais- Angriff erweitert ein Angreifer die Kommunikationsreichweite eines tragbaren Datenträgers mit einem Spezialterminal, um Transaktionsdaten auszulesen, die dann über einen Dummy -Datenträger an einen entfernt von dem angegriffenen Datenträger positionierten regulären Terminal zur Durchführung von Transaktionen genutzt werden.

Zur Verhinderung von Angriffen, bei denen ein Angreifer unbefugt Transak- tionsdaten eines tragbaren Datenträgers an einem Terminal verwendet, der entfernt von dem angegriffenen Datenträger positioniert ist, sind aus dem Stand der Technik Verfahren bekannt, bei denen die Ortsposition des tragbaren Datenträgers mit der Position des Terminals verglichen wird, an dem eine Transaktion durchgeführt wird. In dem Dokument US 2009/0012898 AI werden bei der Durchführung einer Transaktion zwischen einer Bezahlkarte und einem Transaktions-Terminal die übermittelten Transaktionsdaten an ein Transaktions- Verarbeitungs-Netzwerk weiter geleitet, in dem basierend auf den Transaktionsinformationen der Ort der Transaktion ermittelt wird. Die Bezahlkarte ist dabei einem Mobilfunkgerät zugeordnet, dessen Position, z.B. über ein Mobilfunknetz, von einem Server bestimmt wird oder diesem bereitgestellt wird. Anschließend erfolgt ein Vergleich des Orts der Transaktion mit der Position des Mobilfunkgeräts. Sollte nicht ausreichende Übereinstimmung zwischen diesen beiden Positionen vorliegen, wird die Transaktion blockiert. Die Druckschrift KR 2003 0043886 beschreibt ein System zur Bestätigung eines über eine Kreditkarte durchgeführten Bezahlvorgangs. Ein Terminal, der die Daten von der Kreditkarte zur Durchführung der Bezahlung ausliest, übermittelt die ausgelesenen Daten sowie seine Position an ein Bestätigungssystem, in dem die Gültigkeit der Kreditkarte überprüft wird. In dem Bestä- tigungssystem wird ferner eine Überprüfung der aktuellen Position des Mobilfunkgeräts des Kreditkartenbesitzers über ein Mobilfunknetz veranlasst. Anschließend wird im Bestätigungssystem die Position des Mobilfunkgeräts mit der Position des Terminals verglichen. Im Falle, dass die beiden Positionsdaten nicht überemstimmen, wird der Bezahlvorgang über das Bestäti- gungssystem nicht autorisiert.

Die aus dem Stand der Technik bekannten Verfahren ermöglichen zwar einen Schutz gegen die oben beschriebenen Relais- Angriffe über einen Vergleich der Position des Datenträgers mit der Position des Terminals, weisen jedoch den Nachteil auf, dass zum Positionsvergleich immer ein Hintergrundsystem verwendet wird, an dem die sensiblen Transaktionsdaten übermittelt werden. Die Transaktionen können somit unter Umständen im Hintergrundsystem manipuliert werden und ein Benutzer muss sich bei der Durchführung der Transaktionen auf einen ausreichenden Schutz des Hintergrundsystems vor Angriffen verlassen.

Aus der WO 2009/035824 A ist eine Mobileinheit bekannt, das die Ortsposi- tion eines Terminals prüft. Die Mobileinheit enthält ein Sicherheitselement und eine besondere vertrauenswürdige Ausführungsumgebung. In einer sicheren Speichereinheit werden alle sicherheitsrelevanten Transaktionsdaten gespeichert werden. Zur Prüfung der Ortsposition übermittelt das Terminal der Mobileinheit ein Zertifikat, das auch die Ortsposition des Termi- nals beinhaltet. Das Zertifikat kann von einer unabhängigen dritten Instanz herausgegeben sein. Die Mobileinheit prüft das Zertifikat und anschließend die Ortsposition, wozu sie ihre eigene Ortsposition bestimmt. Die bekannte Lösung erlaubt es manipulierte Terminals zu erkennen. Relais- Angriffe kann sie jedoch nicht zuverlässig verhindern bzw. sie liefert in diesem Fall irrefüh- rende Ergebnisse.

Aufgabe der Erfindung ist es, ein Verfahren zur Durchführung von Transaktionen und einen entsprechenden tragbaren Datenträger zu schaffen, bei denen ein verbesserter Schutz vor Angriffen Dritter bei der Ausführung der Transaktionen gewährleistet ist.

Diese Aufgabe wird durch das Verfahren gemäß Patentanspruch 1 bzw. den tragbaren Datenträger gemäß Patentanspruch 10 gelöst. Weiterbildungen der Erfindung sind in den abhängigen Ansprüchen definiert.

Das erfindungsgemäße Verfahren dient zum Durchführen einer Transaktion, insbesondere zur Durchführung eines Bezahlvorgangs, zwischen einem tragbaren Datenträger, wie z.B. einer Chipkarte, und einem Terminal, insbesondere einem öffentlichen, frei zugängHchen Terminal, an dem Nutzer mit einem tragbaren Datenträger entsprechende Transaktionen veranlassen können.

In dem erfindungsgemäßen Verfahren werden im Rahmen der Durchfüh- rung der Transaktion entsprechende Transaktionsdaten mittels einer Kommunikation zwischen dem tragbaren Datenträger und dem Terminal übermittelt, wobei die Transaktionsdaten eine Information zu dem Terminal umfassen, welche an den tragbaren Datenträger übertragen wird. Aus dieser Information ergibt sich für den tragbaren Datenträger eine Ortsposition des Terminals. Gegebenenfalls kann die Information zu dem Terminal bereits der Ortsposition des Terminals entsprechen. Ebenfalls ist es möglich, dass die Ortsposition aus der Information zu dem Terminal im tragbaren Datenträger abgeleitet wird. In dem erfindungsgemäßen Verfahren wird ferner eine Ortsposition des tragbaren Datenträgers festgestellt, auf welche der tragbare Datenträger Zugriff hat. Die Ortsposition kann dabei z.B. mit einem oder mehreren der weiter unten beschriebenen Lokalisationsverfahren ermittelt werden. Anschließend vergleicht der tragbare Datenträger die Ortsposition des Termi- nals mit seiner Ortsposition und veranlasst im Falle, dass eine Abweichung zwischen den beiden Ortspositionen eine vorbestimmte Schwelle überschreitet, eine Maßnahme zum Schutz der Transaktion. Die Schwelle, bei deren Überschreitung eine entsprechende Schutzmaßnahme eingeleitet wird, ist dabei insbesondere derart eingestellt, dass beim Überschreiten der Schwelle davon ausgegangen werden kann, dass das Terminal, mit dem der tragbare Datenträger kommuniziert, nicht im unmittelbaren Umkreis des Datenträgers liegt, sondern in einer gewissen Entfernung von diesem angeordnet ist. Zum Beispiel kann die Schwelle derart gewählt sein, dass sie größer als die Korrimunikationsreichweite einer NFC-Kommunikation zwischen Datenträ- ger und Terminal ist. Die Schwelle kann insbesondere auch die Genauigkeit der für das Terminal und den Datenträger ermittelten Positionen berücksichtigen. Das erfindungsgemäße Verfahren weist den Vorteil auf, dass ein Vergleich der Ortspositionen von Terminal und Datenträger direkt vom tragbaren Datenträger vorgenommen wird, ohne dass hierzu sensible Transaktionsdaten an weitere Stellen zur Überprüfung übermittelt werden müssen. Auf diese Weise hat der Benutzer des tragbaren Datenträgers die Sicherheit, dass die Prüfung der Ortspositionen auch tatsächlich durchgeführt wird und nicht durch Manipulationen in Hintergrundsystemen beeinflusst wird.

Das erfindungsgemäße Verfahren wird insbesondere für Transaktionen eingesetzt, bei denen die Transaktionsdaten zwischen Datenträger und Termi- nal basierend auf einer NFC-Kommunikation (NFC = Near Field Communi- cation) übertragen werden. Die schon erwähnte ISTFC-Kommunikation nach ISO/IEC 18092 ist kompatibel zu ISO/IEC 14443 und beruht insbesondere auf dem darin standardisierten Übertragungsprotokoll . Mit dieser Kommunikation werden Daten basierend auf hochfrequenten magnetischen Wech- selfeldern über kurze Reichweiten übermittelt.

In einer weiteren bevorzugten Ausführungsform umfasst die Information zu dem Terminal, welche an den tragbaren Datenträger übermittelt wird, eine Terminal-Identifikation und in dem tragbaren Datenträger ist eine Liste bzw. Tabelle hinterlegt, welche als Einträge eine Mehrzahl von Terminal- Identifikationen mit einer oder mehreren, der jeweiligen Terminal- Identifikation zugeordneten Ortspositionen enthält, wobei durch Vergleich der übermittelten Terminal-Identifikation mit den Terminal-Identifikationen der Liste die Ortsposition des Terminals ermittelt wird. Das heißt, durch ein Nachschlagen der übermittelten Terirünal-Identifikation in der Liste ergeben sich ein oder mehrere Ortspositionen des Teirrünals.

In der soeben beschriebenen Liste können für eine jeweilige Terminal- Identifikation gegebenenfalls mehrere, auf unterschiedlichen Lokalisations- verfahren beruhende Ortspositionen des entsprechenden Terminals hinterlegt sein. Diese unterschiedlich bestimmten Ortspositionen umfassen dabei insbesondere eine Identifikation der Mobilfunkzelle eines Mobilfunknetzes, in der sich der Terminal mit der jeweiligen Terminal-Identifikation befindet, und/ oder aus einem lokalen Funknetz, wie z.B. eine WLAN-Netz, abgeleitete Ortskoordinaten, wobei in diesem Fall das Terminal in Reichweite des entsprechenden Funknetzes liegt. Alternativ oder zusätzlich kann die Ortsposition auch z.B. durch GPS-Koordinaten (GPS = Global Positioning System) des Terminals oder Positionskoordinaten eines anderen Positionsbestim- mungssystems beschrieben werden. Mit den zuletzt genannten Koordinaten wird die höchste Genauigkeit bei der Positionsbestimmung erreicht. In der soeben beschriebenen Ausführungsform wird insbesondere auch die Ortsposition des tragbaren Datenträgers mit zumindest einem der unterschiedlichen Lokalisationsverfahren festgestellt, um hierdurch einen aussagekräfti- gen Vergleich zwischen den Ortspositionen von Datenträger und Terminal zu ermöglichen.

Durch die Hinterlegung von mehreren, basierend auf verschiedenen Verfahren ermittelten Ortspositionen in der Liste wird der Vorteil erreicht, dass im Falle, dass eine bestimmte Art der Ermittlung der Ortsposition des Datenträgers nicht zur Verfügung steht, die Ortsposition auf andere Art und Weise ermittelt und mit der entsprechenden Ortsposition in der Liste verglichen werden kann. Zum Beispiel kann der Fall auftreten, dass für den tragbaren Datenträger eine Positionsermittlung basierend auf einem Mobilfunknetz nicht möglich ist, da am Ort des Datenträgers kein Netzempfang vorhanden ist. In diesem Fall kann die Position des Datenträgers z.B. über GPS bestimmt werden und mit den GPS-Koordinaten in der Liste verglichen werden.

In einer weiteren Ausgestaltung des erfindungsgemäßen Verfahrens ist in der Liste zu einer jeweiligen Terrninal-Identif ikation eine Zusatzinformation zu dem Terminal mit der jeweiligen Terminal-Identifikation hinterlegt. Diese Zusatzinformation kann unterschiedlich ausgestaltet sein und beispielsweise ein Foto des Terminals, Adressdaten des Terminals, ein Logo der Verkaufsstelle, an dem der Terminal zur bargeldlosen Bezahlung eingesetzt wird, und dergleichen umfassen.

Um Veränderungen von Standorten von Terminals im erfindungsgemäßen Verfahren geeignet zu berücksichtigen, wird in einer weiteren bevorzugten Ausführungsform die oben beschriebene Liste durch eine zentrale Stelle an den Datenträger übertragen und/ oder durch die zentrale Stelle in dem Datenträger aktualisiert, wobei die zentrale Stelle die Liste verwaltet und beispielsweise den Betreiber der entsprechenden Transaktionsanwendung repräsentiert. Die Liste kann dabei z.B. in regelmäßigen Abständen bzw. beim Auftreten von Veränderungen bzw. Ergänzungen in der Liste an den tragbaren Datenträger übermittelt werden. Ebenso besteht die Möglichkeit, dass der tragbare Datenträger selbst die Liste bei der zentralen Stelle anfordert.

Die von dem tragbaren Datenträger veranlasste Maßnahme zum Schutz der Transaktion kann beliebig ausgestaltet sein. Gegebenenfalls kann die Maßnahme auch den Abbruch der Transaktion umfassen. In einer besonders bevorzugten Ausführungsform wird durch den tragbaren Datenträger als Maßnahme jedoch die Ausgabe einer Aufforderung für einen Benutzer zum manuellen Bestätigen der Transaktion veranlasst, wobei nur nach manueller Bestätigung durch den Benutzer die Transaktion abgeschlossen wird. Erfolgt eine solche manuelle Bestätigung nicht, wird die Transaktion nicht ausgeführt, so dass z.B. ein entsprechender Bezahlvorgang schlussendlich nicht ausgelöst wird.

Die Aufforderung zur manuellen Bestätigung der Transaktion kann insbesondere über ein mobiles Gerät ausgegeben werden, an oder in welchem der tragbare Datenträger angeordnet ist. Es besteht somit eine lokale Kommunikationsverbindung zwischen dem mobilen Gerät und dem tragbaren Daten- träger, wobei der tragbare Datenträger beispielsweise in das mobile Gerät eingesetzt sein kann und dort über entsprechende Kontakte mit dem mobilen Gerät verbunden ist. Die Ausgabe der Aufforderung zum manuellen Bestätigen der Transaktion erfolgt dabei vorzugsweise visuell über ein entsprechendes Display an dem mobilen Gerät, wobei das mobile Gerät beispiels- weise ein Mobilfunkgerät und insbesondere ein Mobiltelefon sein kann.

In einer besonders bevorzugten Ausführungsform, bei der in dem tragbaren Datenträger die oben beschriebene Liste mit entsprechenden Zusatzinformationen zu den jeweiligen Terminals hinterlegt ist, wird einem Benutzer im Rahmen der Ausgabe der Aufforderung zur manuellen Bestätigung der

Transaktion die Zusatzinformation zu dem Terminal ausgegeben. Mit Hilfe der ausgegebenen Zusatzinformation kann dann der Benutzer verifizieren, ob das Terminal, an dem die Transaktion durchgeführt wird, mit dem Terminal gemäß der Terminal-Identifikation aus der Liste übereinstimmt. Zeigt die Zusatzinformation beispielsweise ein Foto des Terminals, so kann der Benutzer verifizieren, ob das Terminal, an dem er sich befindet, mit dem Terminal des Fotos überemstirnmt. Ebenfalls können gegebenenfalls angezeigte Adressinformationen mit dem tatsächlichen Standort des Terminals abgeglichen werden oder angezeigte Logos überprüft werden. In einer besonders bevorzugten Ausführungsform wird die Transaktion zwischen einem tragbaren Datenträger in der Form einer Teilnehmer-Identifika- tions-Karte, insbesondere einer SIM und/ oder USIM (SIM = Subscriber Iden- tity Module; USIM = Universal Subscriber Identity Module), und dem Terminal durchgeführt. Das SIM- bzw. USIM-Modul ist in einem entsprechenden Mobilfunkgerät eingesetzt, um eine Kommunikation des Geräts über ein Mobilfunknetz zu ermöglichen. In dieser Variante der Erfindung können Mobilfunkgeräte neben ihrer eigentlichen Funktion auch zur Durchführung entsprechender Transaktionen eingesetzt werden. Es muss dabei lediglich sichergestellt sein, dass eine entsprechende Kornmunikation zwischen dem Mobilfunkgerät und einem entsprechenden Terminal möglich ist. Heutzutage werden immer häufiger Mobilfunkgeräte mit dafür geeigneten Kommunikations-Schnittstellen, insbesondere in der Form von NFC-Schnittstellen, ausgestattet.

Die festgestellte Ortsposition des Datenträgers kann gegebenenfalls von dem Datenträger selbst ermittelt werden oder durch ein mobiles Gerät, an oder in welchem der tragbare Datenträger angeordnet ist. Dieses mobile Gerät kann dabei gegebenenfalls wieder ein Mobilfunkgerät sein, welches als Ortsposition die Identifikation der Mobilfunk-Zelle ermittelt, in dem es sich aufhält. Diese Ortsposition kann dann mit einer entsprechenden Ortsposition des Terminals verglichen werden, welche insbesondere in der oben beschriebenen Liste als Identifikation einer entsprechenden Mobilfunkzelle hinterlegt ist. Die Positionsermittlung kann alternativ oder zusätzlich auch durch ein mobiles GPS-fähiges Gerät erfolgen, welches seine GPS-Position bestimmt, die wiederum vorzugsweise mit einer entsprechenden GPS-Position in der oben beschriebenen Liste verglichen wird. Anstelle einer GPS-Position kann selbstverständlich auch eine Position in einem anderem Positionsbestim- mungssystem genutzt werden, etwa eine Position in dem geplanten Galileo- System. Ebenso kann die Ortsposition z.B. über ein Funkgerät festgestellt werden, welches seine Position in einem lokalen Funknetz bestimmt. Diese Position wird vorzugsweise wiederum mit einer entsprechenden Position aus der oben beschriebenen Liste verglichen. Eine oder mehrere der oben beschriebenen Funktionalitäten zur Positionsbestimmung können gegebenenfalls auch in einem einzigen Gerät implementiert sein, d.h. z.B. in einem Mobilfunkgerät mit GPS- Antenne und einem Funkmodul für ein lokales Funknetz.

Neben dem oben beschriebenen Verfahren umfasst die Erfindung ferner einen tragbaren Datenträger, insbesondere eine Chipkarte, zur Verwendung in diesem Verfahren. Der tragbare Datenträger ist dabei derart ausgestaltet, dass er einen Vergleich einer Ortsposition eines Terminals mit einer Ortspo- sition des tragbaren Datenträgers durchführen kann, wobei im Falle, dass eine Abweichung zwischen den beiden Positionen eine vorbestimmte Schwelle überschreitet, der tragbare Datenträger eine Maßnahme zum Schutz der Transaktion veranlasst. Die Erfindung betrifft ferner ein mobiles Gerät, insbesondere ein Mobilfunkgerät, welches den soeben beschriebenen tragbaren Datenträger umfasst und welches in dem oben beschriebenen erfindungsgemäßen Verfahren zur Durchführung einer Transaktion verwendbar ist. Das mobile Gerät umfasst dabei ferner eine Kommunikations-Schnittstelle, über welche eine Kommu- nikation zwischen dem tragbaren Datenträger und einem Terminal herstellbar ist, um bei der Übertragung von Transaktionsdaten eine Information zu dem Terminal an den tragbaren Datenträger zu übermitteln, aus der sich für den tragbaren Datenträger eine Ortsposition des Terminals ergibt. Darüber hinaus beinhaltet das mobile Gerät ein Mittel zur Feststellung der Ortspositi- on des tragbaren Datenträgers, auf welche der tragbare Datenträger Zugriff hat. Der tragbare Datenträger vergleicht dabei im Betrieb des mobilen Geräts im Rahmen der Durchführung einer Transaktion die Ortsposition des Terminals mit seiner Ortsposition und veranlasst im Falle, dass eine Abwei- chung zwischen den beiden Ortspositionen eine vorbestimmte Schwelle überschreitet, eine Maßnahme zum Schutz der Transaktion.

Ein oder mehrere der im Vorangegangenen, in Bezug auf das erfindungsgemäße Verfahren beschriebenen Merkmale können Bestandteil des erfin- dungsgemäßen tragbaren Datenträgers bzw. des erfindungsgemäßen mobilen Geräts sein, sofern diese Merkmale Eigenschaften des tragbaren Datenträgers bzw. des mobilen Endgeräts betreffen.

Ein Ausführungsbeispiel der Erfindung wird nachfolgend anhand der beige- fügten Fig. 1 detailliert beschrieben. Diese Figur zeigt in schematischer Darstellung die Durchführung einer bargeldlosen Zahlungstransaktion basierend auf einer Variante des erfindungsgemäßen Verfahrens.

In dem in Fig. 1 gezeigten Ausführungsbeispiel beabsichtigt ein (nicht ge- zeigter) Nutzer mittels seines Mobiltelefons 2 mit darin eingesetzter SIM bzw. USIM 1 die Durchführung einer BezaWfunktion an einer Gegenstelle 3 in der Form eines Bezahlterminals. Die Durchführung der Transaktion erfolgt mittels einer Kommunikation zwischen dem Mobiltelefon 2 bzw. der SIM/ USIM 1 und dem Terminal 3 über eine kontaktlose NFC-Schnittstelle, bei der basierend auf NFC-Kommunikation (auch als Nahfeld- Kommunikation bezeichnet) mittels hochfrequenter magnetischer Wechselfelder Daten übertragen werden. Für die NFC-Kommunikation umfassen das Mobiltelefon 2 und die Gegenstelle 3 entsprechende NFC-Module, wobei der kontaktlose Datenaustausch über diese Module in Fig. 1 mit dem Doppelpfeil K angedeutet ist.

In dem Szenario der Fig. 1 befindet sich das Mobiltelefon 2 in Reichweite ei- ner Basisstation 4 eines Mobilfunknetzes, in dem der Nutzer über sein Telefon mit anderen Teilnehmern kommunizieren kann. Mit dem Doppelpfeil K' wird in Fig. 1 die Kommunikation im Mobilfunknetz angedeutet, wobei es in der nachfolgend beschriebenen Ausführungsform des erfindungsgemäßen Verfahrens jedoch nicht erforderlich ist, dass eine Mobilfunkverbindung über das Mobiltelefon aufgebaut ist.

Wie bereits oben erwähnt, kann ein Nutzer mittels seines Mobiltelefon 2 bargeldlose Zahlungsvorgänge über das Terminal 3 durchführen, wobei das Mobiltelefon in an sich bekannter Weise zur Durchführung von kontaktlosen Zahlungsverkehrsanwendungen vorbereitet ist. Hierzu ist im Mobiltelefon ein Sicherheitselement mit einer entsprechenden Zahlungsverkehrsanwendung vorgesehen, wobei die Zahlungsverkehrsanwendung beispielsweise im Controller der SIM/USIM enthalten sein kann oder auch als zusätzlicher Sicherheitschip in der SIM/USIM untergebracht sein kann. Bei der Durchfüh- rung der Zahlungsverkehrsanwendung besteht dabei die Gefahr, dass durch die eingangs erwähnten Relais- Angriffe die Zahlungsfunktionalität des Mobiltelefons von Dummy-Chipkarten an BezaH-Terminals genutzt wird, welche entfernt von dem Mobiltelefon 2 angeordnet sind. Um solche Angriffe zu erkennen, wird in der hier beschriebenen Ausführungsform ein Vergleich der Ortsposition des Mobiltelefons 2 mit der Ortsposition des Bezahl- Terminals 3 durchgeführt, wie im Folgenden erläutert wird.

Zur Ermittlung der Ortsposition des Terminals 3, mit dem das Mobiltelefon 2 über Nahfeld-Kommunikation zur Durchführung einer Bezahlung kommu- niziert, ist in der SIM/USIM 1 eine Liste L hinterlegt, welche im unteren Teil der Fig. 1 angedeutet ist. Diese Liste enthält fünf Spalten Cl, C2, ..., C5, wobei in der Spalte C4 eine Identifikation TID von einer Mehrzahl von Terminals hinterlegt ist. Die Terminal-Identifikation ist dabei insbesondere in der Form einer IFD-Identität (IFD = Intelligent Field Device) angegeben. Für jede Ternrünal-Identifikation TID, d.h. für jede Zeile in der Liste, sind dabei Ortspositionen zu dem entsprechenden Terminal gespeichert, wobei diese Ortspositionen auf verschiedene Weise ermittelt wurden.

Die Spalte Cl der Liste L enthält als Ortsposition die Identität ZID derjenigen Mobilfunkzelle, in der sich eines jeweiligen Terminals befindet. Die Spalte C2 enthält als Ortsposition WID die über ein lokales WLAN-Netz bestimmten Ortskoordinaten eines jeweiligen Terminals, sofern das Terminal innerhalb eines WLAN-Netzes angeordnet ist. Ferner enthält die Liste in der Spalte C3 die entsprechenden GPS-Koordinaten GID eines jeweiligen Terminals. Gegebenenfalls ist es möglich, dass auch noch auf andere Weise ermittelte

Ortskoordinaten in der Liste hinterlegt sind bzw. nur ein Teil der Ortskoordinaten gemäß den Spalten Cl bis C3 in der Liste enthalten sind bzw. nicht für alle Terminals in der Liste Einträge in jeder der Spalten hinterlegt sind. In der Ausführungsform der Fig. 1 enthält die Liste L ferner in der Spalte C5 Zusatzinformationen ZIN, welche das Terminal in der entsprechenden Zeile charakterisieren, beispielsweise ein Foto des Terminals, ein Logo des Geschäfts, in dem sich der Terminal befindet, die Adresse des Terminalstandorts und gegebenenfalls weitere terminalbezogene Informationen. Diese Informationen können auf dem Mobiltelefon, insbesondere auf dessen Display, ausgegeben werden, wie weiter unten noch näher beschrieben wird.

Zur Durchführung einer Bezahltransaktion positioniert ein Nutzer sein Mobiltelefon 2 in Reichweite zu dem Terminal 3, wobei anschließend basierend auf einer NFC-Kornmunikation über einen entsprechenden Datenaustausch die Transaktion durchgeführt wird. Im Rahmen der Transaktion wird dabei die Terrrdnal-Identifikation des Terminals 3 an das Mobiltelefon 2 übermittelt. Vor dem Abschluss des Bezahlvorgangs wird die empfangene Terminal- Identifikation aus der Spalte C4 in der Liste L herausgesucht, so dass in dem Mobiltelefon entsprechende Ortspositionen basierend auf einer Zell-Identität ZID und/ oder basierend auf WLAN-Koordinaten WID und/ oder GPS- Koordinaten GID zur Verfügung stehen. Diese Ortsinformationen werden mit der aktuellen Ortsposition des Mobiltelefons 2 verglichen, wobei diese Position durch das Telefon selbst über geeignete Mittel bestimmt wird. Die vom Telefon ermittelte Ortsposition ist dabei in Fig. 1 durch einen gestrichelten Kreis um das Telefon angedeutet und mit OP bezeichnet. Die am einfachsten zu bestimmende Ortsposition stellt dabei die Identität der Mobil- funkzelle des Mobilfunkbetreibers dar, in der sich das Telefon aktuell befin- det. Diese Information steht der SIM/USIM unmittelbar zur Verfügung. Diese Information kann dann mit dem entsprechenden Eintrag des Terminals 3 aus der Spalte Cl in der Liste L verglichen werden.

Alternativ oder zusätzlich kann das Mobiltelefon 2 seine Position gegebenen- falls auch aus Informationen eins WLAN-Netzes ermitteln, wobei in diesem Fall die Ortsinformation mit dem entsprechenden Eintrag des Terminals 3 in der Spalte C2 der Liste L vergleichen wird. Sollte das Mobiltelefon 2 eine GPS- Antenne aufweisen, kann es auch seine GPS-Ortsposition ermitteln, welche dann mit dem entsprechenden Eintrag des Terminals 3 in der Spalte C3 der Liste L verglichen wird. In der hier beschriebenen Ausführungsform wird somit in der SIM/USIM ein Vergleich von einer oder mehreren, über das Mobiltelefon ermittelten Ortspositionen mit entsprechenden Einträgen in der Liste L durchgeführt. Die SIM/USIM wertet dabei vorzugsweise alle verfügbaren Ortspositionen aus, so dass z.B. auch bei einem nicht-verfügbaren Mobilfunknetz je nach Situation eine Standortvergleich, beispielsweise basierend auf GPS-Koordinaten, durchgeführt werden kann.

Basierend auf dem obigen Vergleich einer oder mehrerer Ortspositionen des Mobiltelefons 2 bzw. SIM/USIM 1 mit entsprechenden Ortspositionen des Terminals 3 gemäß der Liste L werden anschließend in der SIM/USIM Abweichungen zwischen diesen Ortspositionen erfasst. Sollten diese Abweichungen für eine oder mehrere der Ortspositionen einen vorbestimmten Wert überschreiten, deutet dies darauf hin, dass ein Relais- Angriff vorliegt, da das Terminal 3, welches sich eigentlich in unmittelbarer Nachbarschaft zum Mobiltelefon befinden sollte, entfernt von diesem Gerät positioniert ist. In der hier beschriebenen Ausführungsform wird im Falle, dass die Abweichung entsprechender Ortspositionen eine vorbestimmte Schwelle überschreitet, eine Aufforderung für den Benutzer des Mobiltelefons auf dem Display des Telefons ausgegeben. Die vorbestimmte Schwelle kann dabei je nach Ortsauflösung der auf verschiedene Arten bestimmten Ortspositionen unterschiedlich gewählt sein und ist für die jeweilige Ortsposition derart eingestellt, dass Ungenauigkeiten bei der Positionsbestimmung bzw. ein um wenige Meter in Bezug auf das Mobiltelefon versetztes Terminal nicht unmittelbar zur Ausgabe einer Aufforderung an den Benutzer führt.

Über die auf dem Display des Telefons 2 ausgegebene Aufforderung wird der Benutzer darum gebeten, die Transaktion mit der damit verbundenen Zahlung manuell, beispielsweise durch die Eingabe einer speziellen Taste bzw. eines geheimen Codes, zu bestätigen. Nur bei Bestätigung der Transaktion wird diese auch abgeschlossen. Hierdurch wird ein effizienter Schutz gegen unbefugte Relais- Angriffe erreicht. In einer bevorzugten Ausführungsform wird im Rahmen der Ausgabe einer Aufforderung zur Bestätigung der Transaktion auch die bereits oben beschriebenen Zusatzinformationen ZID aus der Liste L ausgegeben, mit denen der Benutzer auf einfache Weise verifizieren kann, ob der von ihm verwendete Terminal auch dem Terminal entspricht, der in der Liste der SIM/USIM hinterlegt ist. Beispielsweise kann das Logo des Geschäfts, ein Foto des Terminals bzw. eine Adresse des Ter- minalstandorts ausgegeben werden, aus denen der Nutzer darauf schließen kann, ob das von ihm verwendete Terminal dem Terminal gemäß den Zusatzinformationen entspricht.

In einer Variante sendet die SIM/USIM in regelmäßigen zeitlichen Abstän- den bzw. nach jeder Durchführung einer Transaktion eine Anfrage zur Aktualisierung der Liste L über das Mobilfunknetz an eine zentrale Stelle, welche die Inhalte der Liste verwaltet. Die zentrale Stelle kann dabei den Netzbetreiber des Mobilfunknetzes und/ oder den Betreiber der entsprechenden Zahlungsanwendung repräsentieren. In Antwort auf die Anfrage sendet die zentrale Stelle dann eine aktuelle Liste an die SIM/USIM. Hierdurch wird sichergestellt, dass die Liste immer auf dem neuesten Versionsstand ist. Um die Menge an zu übertragenden Daten zu reduzieren, können dabei von der zentralen Stelle gegebenenfalls auch nur die Änderungen übertragen werden, welche seit der letzten Anfrage der SIM/USIM an die zentrale Stelle in der Liste vorgenommen wurden. Sollte eine aktuelle Liste unter bestimmten Umständen (z.B. weil keine Verbindung des Mobiltelefons zum Mobilfunknetz besteht) nicht bereitgestellt werden können, führt dies bei der Durchführung einer Transaktion vorzugsweise nicht zum Abbruch der Transaktion, sondern lediglich zur Ausgabe der oben beschriebenen Aufforderung zur Bestätigung der Transaktion.

Ebenso besteht die Möglichkeit, dass die zentrale Stelle von sich aus eine aktuelle Liste bzw. Änderungen in der Liste an das Mobiltelefon übermittelt. Eine solche, von der zentralen Stelle initiierte Übermittlung der Liste ist da- bei insbesondere dann notwendig, wenn der Mobilfunkbetreiber die Identitäten seiner Mobilfunkzellen urnnummeriert, da hierdurch die entsprechenden Ortspositionen in der Liste verändert werden. Es besteht dabei gegebenenfalls auch die Möglichkeit, dass das Mobiltelefon nicht die Liste mit der Umnummerierung erhält, sondern lediglich durch die zentrale Stelle darüber informiert wird, dass eine Neunummerierung der Mobilfunkzellen durchgeführt wurde. Sofern in dem Mobiltelefon der entsprechende Algorithmus zur Neunummerierung bekannt ist, kann das Telefon dann autark die Zell-Identitäten in seiner Liste aktualisieren.

Die Inbetriebnahme des im Vorangegangenen beschriebenen Zahlungssystems erfordert geringen Aufwand und benötigt keine zusätzliche Infrastruktur. Dabei können in einem ersten Schritt die Terminal-Identifikationen aller einzubindender Terminals mit den jeweiligen Zell-Identitäten des Mobil- funknetzes verknüpft werden. Eine auf dieser Verknüpfung basierende Liste wird dann in der SIM/USIM hinterlegt, so dass die Oppositionen aller Terminals über die entsprechenden Zell-Identitäten von der SIM/USIM überprüft werden können. In einem optionalen Schritt kann die SIM/USIM bzw. das Mobiltelefon nach einer durchgeführten Zahlungstransaktion die aktuell ermittelten Koordinaten des Mobiltelefons (z.B. durch GPS bestimmt) an eine zentrale Datenbank senden, wobei die Koordinaten vorzugsweise über eine Mobilfunkverbindung übertragen werden. Diese Koordinaten werden dann als Position des entsprechenden Terminals hinterlegt. Nachdem eine festzulegende Zahl von gleichen Ortskoordinaten für einen entspre- chenden Terminal nach jeweiligen Zahlungstransaktionen empfangen wurden, kann davon ausgegangen werden, dass die Ortskoordinaten die genaue Position des Terminals festlegen. Diese Position wird dann endgültig in der zentralen Datenbank als Position des Terminals festgelegt, wobei die zentrale Datenbank vorzugsweise von der bereits oben erwähnten zentralen Stelle verwaltet wird. Eine Fälschung der soeben erläuterten Vorgehensweise ist für einen Angreifer verhältnismäßig aufwändig.

Das im Vorangegangenen beschriebene erfindungsgemäße Verfahren weist eine Reihe von Vorteilen auf. Insbesondere ermöglicht es einen einfachen und effizienten Schutz gegen unbefugte Relais- Angriffe, wobei eine bereits vorhandene Infrastrukrur genutzt werden kann. Im Rahmen des Verfahrens muss dabei zur Standordüberprüfung des Terminals kein Hintergrundsystem verwendet werden, so dass keine sensiblen Transaktionsdaten an ent- f ernte Stellen übersendet werden müssen, was aus datenschutzrechtlicher Sicht problematisch sein kann. Darüber hinaus ermöglicht das Verfahren in speziellen Ausführungsformen auch eine Standortbestirnmung unabhängig von der Verfügbarkeit eines Mobilfunknetzes, beispielsweise wenn eine Standortüberprüfung basierend auf GPS-Koordinaten erfolgt.

Claims

P a t e n t a n s p r ü c h e

Verfahren zum Durchführen einer Transaktion zwischen einem tragbaren Datenträger (1), insbesondere einer Chipkarte, und einem Terminal (3), wobei

- bei der Übertragung von Transaktionsdaten mittels einer Kommunikation (K) zwischen dem tragbaren Datenträger (1) und dem Terminal (3) eine Information (TID) zu dem Terminal (3) an den tragbaren Datenträger (1) übermittelt wird, wobei sich für den tragbaren Datenträger (1) aus der Information eine Ortsposition (ZID, WID, GID) des Terminals (3) ergibt;

eine Ortsposition (OP) des tragbaren Datenträgers (1) festgestellt wird, auf welche der tragbare Datenträger (1) Zugriff hat;

der tragbare Datenträger (1) die Ortsposition (ZID, WID, GID) des Terminals (3) mit seiner Ortsposition (OP) vergleicht und im Falle, dass eine Abweichung zwischen den beiden Ortspositionen (ZID, WID, GID; OP) eine vorbestimmte Schwelle überschreitet, eine Maßnahme zum Schutz der Transaktion veranlaßt,

wobei die Information (TID) zu dem Terminal (3), welche an den tragbaren Datenträger (1) übermittelt wird, eine Terminal-Identifikation (TID) umfasst und in dem tragbaren Datenträger (1) eine Liste (L) hinterlegt ist, welche als Einträge eine Mehrzahl von Terminal- Identifikationen (TID) mit einer oder mehreren, der jeweiligen Terminal-Identifikation (TID) zugeordneten Ortspositionen (ZID, WID, GID) enthält, wobei durch Vergleich der übermittelten Terminal- Identifikation (TID) mit den Terminal-Identifikationen der Liste die Ortsposition (ZID, WID, GID) des Terminals ermittelt wird.

2. Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass die Kommunikation (K) zwischen dem tragbaren Datenträger (1) und dem Terminal (3) eine NFC-Kommunikation umfasst.

Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass in der Liste (L) für eine jeweilige Terrrtmal-Identifikation (TID) mehrere, auf unterschiedlichen Lokalisationsverfahren beruhende Ortspositionen (ZID, WID, GID) hinterlegt sind, insbesondere eine Identifikation der Mobilfunkzelle (ZID) einer Mobilfunknetzes, in der sich das Terminal (3) mit der jeweiligen Terrriinal-Identifikation (TID) befindet, und/ oder GPS- Koordinaten (GID) und/ oder aus einem lokalen Funknetz abgeleitete Ortskoordinaten (WID) des Terminals (3) mit der jeweiligen Terminal- Identifikation (TID).

Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass in der Liste (L) zu einer jeweiligen Terminal-Identifikation (TID) eine Zusatzinformation (ZID) zu dem Terminal (3) mit der jeweiligen Terminal- Identifikation (ZID, WID, GID) hinterlegt ist.

Verfahren nach einem der vorhergehenden Ansprüche , dadurch gekennzeichnet, dass die Liste (L) durch eine zentrale Stelle an den tragbaren Datenträger (1) übertragen und/ oder im tragbaren Datenträger (1) aktualisiert wird.

Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass der tragbare Datenträger (1) als Maßnahme zum Schutz der Transaktion die Ausgabe einer Aufforderung für einen Benutzer zum manuellen Bestätigen der Transaktion veranlasst, wobei nur nach manueller Bestätigung durch den Benutzer die Transaktion abge- schlössen wird, wobei die Auff orderung insbesondere über ein mobiles Gerät (2) ausgegeben wird, an oder in welchem der tragbare Datenträger (1) angeordnet ist.

Verfahren nach Anspruch 6, wenn abhängig von Anspruch 4, dadurch gekennzeichnet, dass einem Benutzer im Rahmen der Ausgabe der Aufforderung zum manuellen Bestätigen der Transaktion die Zusatzinformation (ZIN) zu dem Terminal (3) ausgegeben wird.

Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass die Transaktion zwischen einem tragbaren Datenträger (1) in der Form einer Telnehmer-Identifikations-Karte, insbesondere einer SIM und/ oder USIM, in einem Mobilfunkgerät (2) und dem Terminal (3) durchgeführt wird.

Verfahren nach einem der vorhergehende Ansprüche, dadurch gekennzeichnet, dass die Ortsposition (OP) des tragbaren Datenträgers (1) durch diesen selbst oder durch ein mobiles Gerät (2) festgestellt wird, an oder in welchem der tragbare Datenträger (1) angeordnet ist, insbesondere durch ein Mobilfunkgerät (2), welches als Ortsposition (OP) die Identifikation der Mobilfunkzelle des Mobilfunknetzes, in der sich das Mobilfunkgerät aufhält, ermittelt, und/ oder durch ein GPS-fähiges Gerät, welches seine GPS-Position bestimmt, und/ oder durch ein Funkgerät, welches seine Position in einem lokalen Funknetz bestimmt.

Tragbarer Datenträger, insbesondere Chipkarte, zur Verwendung in einem Verfahren zur Durchführung einer Transaktion nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass der tragbare Datenträger (1) einen Vergleich einer Ortsposition (ZID, WID, GID) eines Terminals (3) mit einer Ortsposition (OP) des tragbaren Datenträgers durchführen kann, wobei im Falle, dass eine Abweichung zwischen den beiden Ortspositionen (ZID, WID, GID; OP) eine vorbestimmte Schwelle überschreitet, der tragbare Datenträger (1) eine Maßnahme zum Schutz der Transaktion veranlasst.

Mobiles Gerät, insbesondere Mobilfunkgerät, umfassend einen tragbaren Datenträger (1) nach Anspruch 11, zur Verwendung in einem Verfahren zur Durchführung einer Transaktion nach einem der Ansprüche 1 bis 9, dadurch gekennzeichnet, dass das mobile Gerät (2) ferner um- fasst:

- eine Kommunikations-Schnittstelle, über welche eine Kommunikation (K) zwischen dem tragbaren Datenträger (1) und einem Terminal (3) herstellbar ist, um bei der Übertragung von Transaktionsdaten eine Information (TID) zu dem Terminal (3) an den tragbaren Datenträger (1) zu übermitteln, aus der sich für den tragbaren Datenträger (1) eine Ortsposition (ZID, WID, GID) des Terminals (3) ergibt;

- ein Mittel zur Feststellung der Ortsposition (OP) des tragbaren Datenträgers (1), auf welche der tragbare Datenträger (1) Zugriff hat;

- wobei der tragbare Datenträger (1) im Betrieb des mobilen Geräts (2) die Ortsposition des Terminals (1) mit seiner Ortsposition (OP) vergleicht und im Falle, dass eine Abweichung zwischen den beiden Ortspositionen (ZID, WID, GID) eine vorbestimmte Schwelle überschreitet, eine Maßnahme zum Schutz der Transaktion veranlasst.