Institut für Internet-Sicherheit – if(is)

Erstmals tauchte die Kreditkarte in dem Science-Fiction Roman „Looking Backward or Life in the Year 2000“ von Edward Bellamy aus dem Jahre 1887 auf. Er beschrieb sie als Karte von der der der Wert eines Einkaufs abgezogen wird. Bevor jedoch die erste universelle Kreditkarte von Di-ners Club ausgegeben wurde vergingen noch etwa 63 Jahre (9). In 2013 besaßen schätzungsweise 36,64 Millionen Deutsche eine Kreditkarte (10).

An der Abwicklung einer Kreditkartentransaktion sind mehrere Parteien beteiligt. Im Einzelnen sind dies:

• die kartenausgebende Stelle, auch Issuer genannt, die eine Lizenz zur Vergabe der Karten hält
• der Karteninhaber oder Konsument, der eine Ware erwirbt und diese Leistung mit seiner Kreditkarte bezahlt
• der Händler, der eine Zahlung des Konsumenten empfängt, und
• der Acquirer, der alle Forderungen des Händlers an den entsprechenden Issuer weiterleitet.

Issuer und Acquirer sind dabei über ein internationales Kreditkartennetzwerk miteinander verbunden. In einigen Fällen werden Issuer, Acquirer und/oder Händler durch ein Unternehmen vertreten.
In den Schritten 1 – 7 werden jeweils die Transaktionsdaten zwischen den einzelnen Parteien ausgetauscht. Der Acquirer fordert in Schritt 3 – 4 eine Autorisierung der Transaktion durch den Issuer an. Dieser prüft u.a. die Bonität des Kunden und akzeptiert die Transaktion oder lehnt sie ab (Schritte 5 – 6). Ist die Transaktion akzeptiert, erhält auch der Kunde die Transaktionsdaten im Rahmen seiner Abrechnung (Schritt 7), um diese zu begleichen (Schritt 8). Der Issuer, das Kreditkartennetzwerk und der Acquirer erhalten jeweils die Zahlung und leiten diese nach Abzug Ihrer Gebühren an die nächste Stelle weiter (Schritte 9 – 11).

Für die Nutzung im Internet planten Visa, MasterCard, IBM, Microsoft, Netscape, Verisign, RSA und andere ab 1996 den Secure Electronic Transaction Standard, kurz SET. Dieser spezifiziert ein Protokoll zur Kommunikation zwischen Kunden, Händlern und Banken, um Zahlungen zu tätigen. Hierbei ist sowohl für den Kunden als auch für den Händler eine gesonderte Registrie-rung nötig, bei der jeder Teilnehmer entsprechende digitale Zertifikate bekommt (11), mit denen er übertragene Daten verschlüsseln und signieren kann (12). Die Zahlung läuft dabei so ab, dass der Händler nur die Bestelldaten und die Bank nur die Bezahldaten lesen kann (11). Aufgrund der komplexen Registrierung für den Kunden und den damit verbundenen hohen Kosten setzte sich SET nie durch.

Heute laufen aus diesem Grund Bezahlvorgänge mit Kreditkarten über das Internet durch Einga-be von Kartennummer, Ablaufdatum der Karte und Prüfziffer. Diese Daten sind direkt auf die Kar-te gedruckt bzw. geprägt und werden an den Händler übermittelt. Dieser leitet sie wiederum zu-sammen mit dem Rechnungsbetrag an seinen Acquirer weiter. Jeder Händler – egal ob stationär oder im Internet – kennt diese Daten, sofern bei ihm die entsprechende Kreditkarte bereits zuvor eingesetzt wurde. Deshalb setzen die Betreiber der Kreditkartennetzwerke bei der Nutzung im Internet auf eine zusätzliche Authentifizierung des Kunden. Dieses Verfahren trägt bei Visa den Namen verified by Visa, bei MasterCard SecureCode und bei anderen Anbietern J/Secure oder SafeKey. Allen Verfahren gemeinsam ist, dass der Kunde vor Durchführung der Transaktion auf Seiten des Kreditkartenherausgebers geleitet wird und sich dort mit einem selbst gewählten Passwort authentifizieren muss. Erst nach erfolgreicher Authentifizierung erfolgt die Zahlung (13). Dieses Kennwort wird dabei niemals an den Händler übermittelt sondern ausschließlich an die Bank des Kunden übermittelt. Dieses Verfahren wurde 2011 laut einer Studie von ibi research von 48% der befragten Händler eingesetzt.