Smartcard-Tools Wie sicher ist die heutige Chipkarten-Software?

Wer hatte Anfang 2010 nicht Probleme mit seiner EC- oder Kreditkarte? Zumindest im Ausland konnte man im bargeldlosen Zahlungsverkehr die Auswirkungen eines kleinen, fehlerhaften Softwareprogramms im Mikrocontroller einiger Millionen Bankkarten spüren. Dies ist aber nur ein kleiner Ausschnitt der Komplexität heutiger Chipkartentechnik. Welche Programmiermöglichkeiten schaffen hier Sicherheit?

Anbieter zum Thema

Heitec AG

E.E.P.D. Electronic Equipment Produktion & Distribution GmbH

Eurocircuits GmbH

IAR Systems GmbH

Bankkarten, elektronische Ausweise (ePA, ePASS), Gesundheitskarten (eGK) oder Mitarbeiterausweise – jeder kommt damit in Verbindung, aber kaum jemand kennt die Sicherheitsstandards.

Szenario 1: Geht jemand in Deutschland zum Arzt, nutzt er die Krankenversichertenkarte. Auf dem Chip sind Daten wie Name, Anschrift, Geburtsdatum, Krankenkasse und Versicherungsstatus hinterlegt. Durchaus schützenswerte Daten, jedoch keine besonders sensiblen Daten wie Krankheitsbild, Röntgenbilder oder Verlauf einer Krankheit. Dieses soll sich trotz kontroverser Diskussionen in Zukunft ändern und eine elektronische Gesundheitskarte mit einem Prozessorchip zum Einsatz kommen.

Szenario 2: Menschen wickeln bereits heute die Bankgeschäfte online über das Internet ab. Viele nutzen dafür das bekannte PIN/TAN-Verfahren, weitere setzen auch das wesentlich sicherere FinTS-/HBCI-Banking ein, das aber nicht von allen Geldinstituten unterstützt wird.

Generell werden Chipkarten – oft auch Smartcard oder Integrated Circuit Card (ICC) genannt – anhand ihrer Schnittstelle zur Außenwelt in kontaktbehaftete und kontaktlose Karten (RF-Karten) unterschieden. Weiterhin unterscheiden sie sich durch ihre Logik: als Speicherchipkarten und Prozessorchipkarten. Erstere weisen eine recht einfache Logik auf und werden synchron angesprochen. Die anderen besitzen weitergehende Eigenschaften wie Kryptographie, benötigen ein eigenes Betriebssystem und werden asynchron angesteuert. Es existieren auch Mischformen aus diesen Varianten.

Speicherchipkarte vs. Prozessorchipkarte

Die Anwendungsgebiete der einfachen Speicherchipkarten beschränken sich auf Bereiche, bei denen die reine Speicherung der Daten im Vordergrund steht und keine komplexen Vorgänge abgewickelt werden (Bild 2a). Als Beispiel lassen sich die Krankenversicherten- oder Telefonkarte im kontaktbehafteten und die Zutrittskontrolle bei Skiliften oder Hotelzimmern im kontaktlosen Bereich nennen. Die Chipkarte kann dabei in Abhängigkeit des eingesetzten Chips, durch Passwörter (PIN) vor dem Zugriff Dritter geschützt werden.

(ID:334108)