Rezension von Knud Böhle, ITAS
Die Tatsache, daß das Bundesamt für Sicherheit in der Informationstechnik (BSI) sich um die neuen elektronischen Zahlungsverfahren kümmert, kann nur auf den ersten Blick erstaunen. Denn der gesetzliche Auftrag des BSI sieht explizit die „Beratung der Hersteller, Vertreiber und Anwender in Fragen der Sicherheit in der Informationstechnik unter Berücksichtigung der möglichen Folgen fehlender oder unzureichender Sicherheitsvorkehrungen“ vor (§ 3 BSI-Gesetz). Angesichts der wachsenden Bedeutung von Geldkarten und Bezahlverfahren im Internet dürfte es kaum noch überraschen, das hochaktuelle Thema auf der Tagesordnung des BSI zu finden.
Wie aus der zitierten Stelle des BSI-Gesetzes bereits hervorgeht, interessieren das Bundesamt nicht nur Sicherheitsfragen im technischen Sinn, sondern auch Risiken und Schadenspotentiale nicht-technischer Art. In diesem Sinn wird von einem „ganzheitlichen Sicherheitsbegriff“ gesprochen. Damit wird der Blick geöffnet für die Folgen unzureichender technischer Sicherheit im gesellschaftlichen, rechtlichen und wirtschaftlichen Umfeld. Ein zweiter gesellschaftlicher Bezug der Sicherheitsfragen ergibt sich daraus, daß Zahlungsverkehrssysteme keine abgekapselten, sondern in den gesellschaftlichen Alltag eingebettete technische Systeme sind, zu deren Sicherheit alle beteiligten Parteien einen Beitrag leisten können. Darauf zielt das Konzept „mehrseitiger Sicherheit“, das im Ladenburger Kolleg „Sicherheit in der Kommunikationstechnik“ der Gottlieb Daimler- und Karl Benz-Stiftung erarbeitet wurde, und aus dem sich folgern läßt, daß alle Akteure, die für die Sicherheit Verantwortung übernehmen, auch einen Anspruch haben, in die Ausgestaltung der technischen Systeme einbezogen zu werden. Von dieser Sicherheitsauffassung ist es dann nur noch ein relativ kleiner Schritt zu einer „Technikfolgenabschätzung zu möglichen Folgen fehlender oder unzureichender IT-Sicherheitsvorkehrungen im elektronischen Zahlungsverkehr“ (S. 15).
Genau so lautete der Auftrag des BSI, der an das Fraunhofer-Institut für Systemtechnik und Innovationsforschung in Karlsruhe (ISI) vergeben wurde. Zu einer Technikfolgenabschätzung gehört unter anderem, daß die interessierten Parteien, vielfach auch die Öffentlichkeit, einbezogen werden. Als Ergebnisse werden in erster Linie Orientierungswissen und Handlungsoptionen erwartet. Um die involvierten Akteure an einen Tisch zu bekommen, gibt es ein Verfahren, das sich derzeit einer gewissen Beliebtheit erfreut: die Veranstaltung sogenannter Diskurse. Diskursveranstaltungen unterscheiden sich von üblichen Workshops dadurch, daß eine gezielte Klärung unterschiedlicher Positionen und Argumentationen und eine gewisse Verbindlichkeit für künftiges Verhandeln und Agieren der Beteiligten angestrebt wird. Drei solcher Diskursveranstaltungen wurden von der fünfköpfigen Projektgruppe des ISI unter der Leitung von Peter Zoche im Projektzeitraum durchgeführt, denen allerdings, wie die Autoren selbst zu verstehen geben, keine hohe Verbindlichkeit bescheinigt werden kann (S. 12). Ungeachtet dieser Einschränkung ist die Reihe der namentlich erwähnten Teilnehmer (S. II und S. 25), die durch Expertisen und Beiträge zu dem Projekt beitrugen, beachtlich: B. Beykirch (SIZ, Bonn), W. Bieser (BMI), A. Büllesbach (Daimler-Benz AG), Ch. Capellaro (IABG, Ottobrunn), M. Findeisen (BAKred), R. Grimm (GMD, Darmstadt), D. K. Herreiner (Universität Bonn), G. Krummeck (IABG, Ottobrunn), B. Lutterbeck (TU Berlin), G. Müller (Universität Freiburg), N. Mundorf (University of Rhode Island), A. Pfitzmann (TU Dresden), U. Schläger (Hamburgischer Datenschutzbeauftragte), H. Strube (Verbraucher-Zentrale Nodrhein-Westfahlen), G. Weiß (Technologie und Innovationsberatung für Arbeitnehmer Tib e.V.).
Von den sechs Kapiteln der vorliegenden Publikation bieten die Kapitel 1 (Zusammenfassung) und 6 (Handlungsoptionen) jeweils eine Art Synthese des Berichts, Kapitel 2 enthält Informationen zum Projektansatz und Projektablauf, worauf im vorigen Absatz bereits eingegangen wurde. Die Kapitel 3, 4 und 5 liefern das Material: Kapitel 3 leistet im wesentlichen eine Bestandsaufnahme neuer elektronischer Zahlungssysteme, in Kapitel 4 wird vornehmlich die technische und die technisch-organistorische Sicherheit behandelt, und in Kapitel 5 werden unter der Überschrift „Chancen und Herausforderungen elektronischer Zahlungsverfahren“ vor allem Konfliktlinien und Konfliktpotentiale herausgestellt, die in Zukunft weiter zu bearbeiten sind und auf faire Lösungen warten: Datenschutzaspekte, Verbraucherfragen, Fragen des freien Zugangs und der Medienkompetenz, volkswirschaftliche Auswirkungen, Geldwäsche, Arbeitsmarktaspekte und Besteuerung im Internet sind die wichtigsten Stichworte.
Die Bestandsaufnahme elektronischer Zahlungsverfahren (Kapitel 3) setzt mit einem knappen Überblick über relevante kryptographische Verfahren ein, dem ein orientierender Abriß der Automatisierungsetappen im bargeldlosen Zahlungsverkehr folgt. Die gegenwärtige Lage ist durch multifunktionale Kartensysteme und softwarebasierten Zahlungsverkehr gekennzeichnet. Entsprechend dieser doppelten Bestimmung werden in dem Bericht zuerst chipkartenbasierte und dann softwarebasierte elektronische Zahlungsverfahren vorgestellt. Im Teil zu den Chipkarten werden die GeldKarte der deutschen Kreditwirtschaft, die PayCard und die P-Card kurz beschrieben und zwanzig internationale Geldbörsenprojekte durch die Wiedergabe einer zuerst im Card-Forum erschienenen Aufstellung (I. Stilke und M. Pruvost in Card-Forum 8/97, S. 33-39) charakterisiert. Eine Bewertung der Systeme wird nicht vorgenommen.
Breiteren Raum nimmt die Darstellung softwarebasierter Verfahren aus aller Welt ein, die in kartenorientierte (6), scheck- und lastschriftorientierte (8), bargeldähnliche Verfahren (3) und Micropayment-Systeme (5) eingeteilt werden. Darunter befinden sich auch die Varianten, die in Deutschland eine Rolle spielen: SSL, SET, CyberCash (edd, CyberCoin), eCash, Millicent und die Kleingeldbörse von germany.net, die hier den Micropayment-Systemen zugeschlagen wird. Die Beschreibungen beziehen Sicherheitsaspekte ein und werden teilweise durch Einschätzungen ihrer Durchsetzungschancen ergänzt; im Zusammenhang mit edd etwa heißt es, „daß die Entwicklung eines lastschriftorientierten Internetzahlungsmittels eine adäquate Antwort auf die Erfordernisse des deutschen (elektronischen) Marktes darstellt (86); in bezug auf ecash, daß die „von verschiedenen Seiten ecash entgegengebrachte Skepsis, z.B. in bezug auf einen möglichen Verlust der Geldmengenkontrolle (Bundesbank) oder eine schwindende Effizienz der Geldwäschebekämpfung (Bundesaufsichtsamt für das Kreditwesen) ... ungeachtet der unbestreitbaren Vorteile dieses Systems und des Engagements der Deutschen Bank die Zukunft dieses Zahlungsinstruments in Deutschland als offen erscheinen“ lassen (S. 91); zur Kleingeldbörse von germany.net erfährt man, daß das „Bundesaufsichtsamt für das Bankenwesen“ (vermutlich ist das BAKred gemeint) das „System zertifiziert und ihm eine Unbedenklichkeitserklärung ausgestellt“ hat (S. 105). Obwohl man an einigen Stellen den Eindruck hat, daß Selbstdarstellungen der Anbieter oder Aussagen einzelner Personen vorschnell für bare Münze genommen bzw. verallgemeinert wurden, wird doch die Fülle unterschiedlicher Zahlungsverfahren deutlich. Schade ist, daß der Kriterienkatalog zur Beurteilung von Zahlungsinstrumenten (vgl. S. 15-17) nicht systematisch angelegt wurde.
Informativ ist das Kapitel 4, das auf einer Expertise der IABG (Industrieanlagen und Betriebsgesellschaft mbH) fußt und sich mit der technisch und technisch-organisatorischen Sicherheit in einer Weise befaßt, die in keiner anderen uns bekannten Studie anzutreffen ist. Hier wird von den ITSEC-Sicherheitsanforderungen an elektronische Zahlungssysteme ausgegangen, die möglichen Bedrohungen werden systematisiert und Bedrohungsklassen, eingeteilt nach essentiellen (I), relevanten (II) und tolerierbaren (III) Bedrohungen, zugewiesen und ein Liste von Maßnahmen aufgelistet, die geeignet erscheinen, die Risiken zu verringern. Im Anschluß daran wird für die GeldKarte und ecash die Probe aufs Exempel gemacht. Das Ergebnis für die GeldKarte lautet: „Wird das Systemdesign und die Implementierung unabhängigen autorisierten Gutachtern zur Prüfung vorgelegt, so kann das GeldKarten-System nach Auffassung des IABG die Anforderungen der Sicherheitsklasse III ereichen" (S. 124). Ähnliches wird für das eCash-System ermittelt, aber mit dem Unterschied, daß hier die Schulung der Anwender als ergänzende Sicherheitsmaßnahme gefordert wird, um den essentiellen, unbedingt zu vermeidenden Risiken des Systems entgegenzuwirken. Es wäre interessant gewesen zu erfahren, ob die Analyse der Systeme ausschließlich der Papierform galt oder auch konkrete Praxistests umfaßte.
In Kapitel 5 werden vor allem die vielfältigen, konfliktträchtigen Punkte aufgerufen, deren Regelung über die Akzeptanz neuer elektronischer Zahlungssysteme entscheidet. Mit Ausnahme des 35 Seiten langen volkswirtschaftlichen Teils, der stellenweise recht spekulativ ausgefallen ist, wird realitätsnah argumentiert. Es kristallisiert sich dabei eine Position heraus, die als Bedingung der Möglichkeit sicherer und akzeptierter elektronischer Zahlungssysteme erstens den Einbezug und die Verantwortung auch der Anwender und Nutzer fordert, zweitens die stärkere Berücksichtigung von Datenschutz- und Verbraucherinteressen zum Schlüssel des Markterfolgs erklärt und drittens Zahlungssystemen, die sich in das Leitbild einer liberalen, bürgerrechtsbewußten Informationsgesellschaft einpassen, zusätzliche Chancen auf Akzeptanz einräumt. Konkret werden für den elektronischen Geschäftsverkehr Datenminimierung und informationelle Selbstbestimmung, Wahlfreiheit der Zahlungsmittel und bargeldnahe, anonyme Bezahlverfahren – auch für das Internet –gefordert. Diese Position enthält eine Absage an staatliche Kryptographieregelungen, eine Absage ebenso an Geldwäscheauflagen aus dem BAKred, die anonyme Formen elektronischen Geldes ausschlössen, als auch an Vorschläge aus dem BMF, dem Besteuerungsproblem im Internet dadurch zu begegnen, daß man die Steuern gleich beim elektronischen Bezahlen abzweigt. Der Staat wird dagegen aufgefordert, die sozialen und ökonomischen Voraussetzungen zur Teilnahme aller am elektronischen Geschäftsverkehr herzustellen und dem Bürger die notwendigen Mittel an die Hand zu geben, um sich innerhalb der neuen Welt des virtuellen Handels ausreichend schützen zu können. Damit der Bürger und Konsument die neuen Anforderungen bewältigen kann, wird Medienkompetenz verlangt, deren Erwerb unter anderem durch Reformen im Bildungswesen leichter möglich werden soll.
Diese Position gibt zwar ein konsistentes Leitbild ab, scheint aber nicht ganz frei von Idealisierungen des Nutzers zu sein, dem implizit eine starke Wertorientierung in seinem Konsum- und Zahlungsverhalten unterstellt wird, während die Rolle materieller Anreize ausgeblendet bleibt. Auch scheint der Zeithorizont des Verfahrens, in dem durch Schulungen und Bildungsreformen aus dem Nutzer als „größtem Bedrohungspotential“ (S. 34) ein aufgeklärter, medienkompetenter und eigenverantwortlicher Zahlungsverkehrsteilnehmer werden soll, doch eher weit zu sein. Ob da eine Option für „idiotensichere“ Systeme, für deren Sicherheitsmängel vorwiegend Systemhersteller und -betreiber zuständig wären, nicht in manchen Fällen die bessere Antwort wäre, bliebe zu diskutieren.
An dem Band insgesamt fällt beim Lesen auf, daß nicht ganz klar wird, welchen Adressatenkreis man mit dem Bericht „Orientierungs- und Gestaltungswissen“, wie es im Vorwort von Otto Ulrich vom BSI heißt, erreichen will. Längere Passagen mit Einführungscharakter stehen neben knappsten Andeutungen (z.B. zu digitalen Signaturen und Signaturgesetz). Spürbar ist auch, daß die Ausrichtung des Berichts etwas schwankt zwischen unbarem, elektronischen Zahlungsverkehr insgesamt, dem spezifischen Phänomen „elektronischen Geldes“ und Internet-Zahlungssystemen. Man merkt dem Bericht an oder muß es zumindest wegen vieler Flüchtigkeitsfehler und kleiner Peinlichkeiten (etwa Bank für Internationale Zusammenarbeit statt Bank für Internationalen Zahlungsausgleich, S. 158) annehmen, daß er unter großem Zeitdruck zusammengestellt wurde. Unbefriedigend ist auch die schlechte Lesbarkeit mancher Grafiken und die unter dem Gesichtspunkt der Lesefreundlichkeit viel zu kleine Schrift. Trotz dieser Einwände muß die facetten- und materialreiche Studie des ISI im Auftrag des BSI als wichtiger Beitrag zur Diskussion gewertet werden, weil es ihr gelungen ist, die neuen elektronischen Zahlungsverfahren als gesellschaftlich wichtiges Thema zu profilieren und eine Position vorzulegen, die ebenso zur Konkretisierung wie zur Auseinandersetzung einlädt.
Bibliographie
Bundesamt für Sicherheit in der Informationstechnik. Erarb. vom
Fraunhofer-Institut für Systemtechnik und Innovationsforschung (ISI):
Elektronischer Zahlungsverkehr –-Folgen fehlender oder unzureichender IT-Sicherheit.
Ingelheim: SecuMedia 1998, DM 43,00