Onlineshopping

"39% aller befragten Surfer haben im letzten Jahr Kaufentscheidungen auf Information, die über das Web beschafft wurde, getroffen. 1995 lag dieser Anteil noch bei 12%. Die Zahl der Surfer, die direkt über das Web gekauft haben, stieg im gleichen Zeitraum von unter 4% auf fast 15% der Befragten." "Schätzungen gehen von über 800 Mrd DM Umsatz im Jahr 2000 aus." Internet Shopping wird immer populärer. Neben den klassischen Vertriebswegen entwickelt sich hier ein völlig neuer Kanal. Diese Form des Einkaufs wird die klassischen Konzepte sicher nicht ablösen, wohl aber ergänzen. Die Vorteile der Geschäftstätigkeit über das Internet sind offensichtlich: schnell, effizient, kostengünstig, ständig und weltweit erreichbar, direktes und individuelles 1:1-Marketing. Von Online-Kaufhäusern über PC-Anbietern, bei denen man sich per Mausklick den Wunschrechner zusammenstellen kann, bis hin zum Pizzabringdienst, sind Shoppingmöglichkeiten im Netz schon gegeben. Doch diese Kommerzialisierung wird noch durch das oben beschriebene Sicherheitsrisiko im Internet gehemmt. Im Hinblick auf die Bezahlung haben sich in den letzten Jahren zwei verschiedene Systeme entwickelt. Entweder sie basieren auf Kreditkarten, oder es wird mit digitalem Geld bezahlt.

4.2.1. Zahlung mit Kreditkarte
Im Prinzip ist das Zahlen mit der Kreditkarte ganz einfach: Zusammen mit der Bestellung schickt der Kunde auch gleich die Daten seiner Kreditkarte (Name des Kontoinhabers, Kartennummer und Gültigkeitsdatum) über das Netz. Dies hat den Vorteil, daß es genauso schnell geht, wie man es vom Zahlen per Karte auf herkömmliche Weise her kennt. Es birgt jedoch große Sicherheitsrisiken in sich. So kann ja bekanntlich jeder die Daten an den Knotenpunkten im Netz abfangen. Zwar gehen die sensiblen Daten in der Informationsflut des Internets unter, doch lassen sie sich mit nur mäßiger krimineller Energie genauso leicht wieder herausfischen. Dem auffälligem Gelb der Quittungen, die beim Kreditkartenkauf auf herkömmlichen Weg entstehen -die ja auch einige unachtsame und arglose Mitmenschen einfach in den Müll werfen-, gleicht nämlich das typische 16-stellige Nummernmuster der Kreditkarte. Das zweite große Risiko ist, daß man nicht absolut sicher sein kann, wem man seine Kreditkartendaten schickt. Denn nicht immer liefert das Geschäft, dem man seine Daten sendet, auch die bestellte Ware; manchmal sammelt es auch bloß Kreditkartennummern.
Soll also im Netz mit der Kreditkarte gezahlt werden, müssen zwei Dinge sichergestellt sein: Zum einen müssen die Daten möglichst abhörsicher transportiert werden, und zum anderen muß sich der Kunde von der Authentizität des Anbieters vergewissern können. Im Prinzip ergibt sich hier das selbe Problem, das oben schon in Verbindung mit den verschiedenen Homebankinganwendungen gezeigt wurde. Auch beim Senden von Kreditkarteninformationen über das Internet zeigen sich die drei Angriffspunkte: Zielserver, Übertragung und Kunden-PC. Die Übertragung der Daten, an dieser Stelle die Kreditkarteninformationen, ist das Hauptproblem, denn dabei können die Kartennummern ausspioniert werden. Die Lösung des Problems sollen sogenannte Protokolle bieten, die den Datenfluß bei der Datenübertragung verschlüsseln. Die zur Zeit aussichtsreichsten Vorschläge sind das "Secure Hypertext Transfer Protocol" (S-HTTP), der "Secure Sockets Layer" (SSL) und das "Secure Encryption Transaction Protocol" (SET).

S-HTTP
S-HTTP wurde von Enterprise Integration Technologies eingeführt und soll sicherstellen, das eine bestimmte Meldung sicher von A nach B kommt. Für das Protokoll spricht zwar seine Flexibilität, bislang finden sich jedoch kaum Impementationen im Netz, zumal die beiden meistgenutzten Webbrowser (Netscape Navigator und Internet Explorer) S-HTTP nicht unterstützen.


SSL
SSL, das Netscape mit der Version 2.0 des Navigators einführte, ist momentan der aktuelle Standard im Netz. Bestandteil von SSL ist die Authentifizierung des Servers mittels digitaler Zertifikate.


Abb 1: Digitales Zertifikat der Bank24

Damit eignet sich SSL grundsätzlich zur Übermittlung von Kreditkarteninformationen, jedoch ist SSL in der internationalen Version nicht so sicher wie es sein könnte. Da in den USA kryptographische Methoden teilweise unter das militärische Exportverbot fallen, arbeitet die Exportversion des Navigators nur mit einer 40-Bit-Verschlüsselung, statt, wie in den USA, mit einer 128-Bit-Verschlüsselung. Diese 40-Bit-Verschlüsselung ist schon mit einem normalen Pentium-Rechner in einingen wenigen Wochen zu knacken. Eine geknackte Verbindung läßt aber keine Rückschlüsse auf andere Verbindungen zu, jede müßte für sich erneut geknackt werden. Vor kurzer Zeit hat die US-Regierung zwar das Export-Verbot für Kypto-Software gelockert, allerdings ist dies nach Ansicht von Harald Summa, Chef des deutschen Electronic Commerce Forum (eco), "in Wirklichkeit nur eine Halbe Sache. Statt mehr Sicherheit in aller Welt, bringe die neue Regelung den Betreibern von Homeshopping-Angeboten in den USA einen weiteren Wettbewerbsvorteil." Denn die angekündigte Lockerung der Exportvorschriften bezieht sich nur auf die in den Browsern enthaltene Client-Software, "die für die Verwendung des starken Schlüssels notwendige Server-Technologie bleibt weiterhin als Kriegswaffe unter Verschluß; lediglich Banken können im Einzelfall und auf besonderen Antrag eine Ausnahmelizenz bekommen."23 Somit kommt der Nutzer nur bei Onlineshops in den USA in den Genuß einer sicheren 128-Bit-Verschlüsselung, was ein "Ungleichgewicht der Chancen" zur Folge hat.


SET
Natürlich sind auch die Kreditkartenunternehmen an sicheren Kreditkartenzahlungen im Internet interessiert. Zu diesem Zweck haben sich Visa und Mastercard zusammengetan und den SET-Standard kreiert. Derzeit laufen rund um den Erdball verschiedene Tests mit SET, mit einer endgültigen Freigabe rechnet man aber nicht vor 1998. Die Chancen für den Standard stehen aber nicht schlecht, denn zum einen hat SET von allen Protokollvorschlägen die mächtigste Lobby, zum anderen ist derzeit geplant, keine Lizensierungsgebühren zu verlangen. Solange es SET noch nicht gibt, warnen Kreditkartenunternehmen wie Mastercard eindringlich davor, Kreditkartennummern dem Internet anzuvertrauen. Hier setzen Broker wie "First Virtual" an.

First Virtual
First Virtual umgeht das Problem, indem erst gar keine Kreditkarteninformationen durch das Netz geschickt werden. Statt dessen arbeitet man mit einem Bestätigungsverfahren. Die Kontoeröffnung läuft in drei Schritten ab: Zuerst teilt man dem Unternehmen Namen, Adresse, E-Mail-Adresse und ein mindestens achtstelliges Paßwort mit. Danach erhält der potentielle Kunde eine E-Mail mit einer Telefonnummer und einem zwölfstelligen Code. Über die Nummer erreicht man einen Telefoncomputer, der dann nach erfolgreicher Legitimation durch den zwölfstelligen Code die Kreditkarteninformationen entgegennimmt. Schließlich bekommt man wieder per E-Mail eine Virtual-PIN. Beim Kauf im Internet gibt man dann den Vertragspartnern von First Virtual die Virtual-PIN an. Die Anbieter wenden sich mit der PIN und dem Rechnungsbetrag an First Virtual, welche darauf per E-Mail beim Kunden nachfragen, ob der Betrag akzeptiert wird. Nur wenn der Kunde diesen Betrag explizit bestätigt, weist First Virtual ihn an. Dieses kreditkartenbasierte Zahlungsverfahren ist zwar ziemlich sicher, doch hat es auch einige Nachteile: Zum einen können mit First Virtual nur digitale Produkte, die auch über das Internet geliefert werden können (Software, Informationen, Musik, u.ä.) gekauft werden, und zum zweiten eignen sich Kreditkarten nicht für kleine und kleinste Beträge. Außerdem ist es nicht wünschenswert, wenn irgendwelche Stellen alle Transaktionen verfolgen können, wie das im Fall der Zahlung mit Kreditkarten der Fall ist. Hier lassen sich Käuferprofile erstellen und der Kunde wird zum gläsernen Kunden. Besser ist es, wenn der Zahlungsvorgang anonym erfolgen kann. Dafür eignet sich digitales Geld.


4.2.2. Zahlung mit digitalem Geld
Besondere Anforderungen gelten beim elektronischen Geld, dem ECash, Cybermoney - wie immer es heißt. Wer elektronisch bezahlt, will nicht auf die Vorzüge verzichten, die Bargeld auszeichnen: es wird von Jedermann akzeptiert, und man sieht der Banknote nicht an, durch welche Hände sie gegangen ist. Zur Verbindlichkeit kommt die Anforderung nach Anonymität hinzu.
Digitales Geld (Ecash, Cybercash , Digicash ,...) wird auf der Festplatte des Computers gespeichert und kann verwendet werden wie Geldscheine im Portemonnaie. Will man im Internet bezahlen, schickt man dem Händler einfach den Betrag in Form von Digicash durchs Datennetz zu. Um von diesen digitalen Geldscheinen auf der Festplatte nicht einfach Kopien erzeugen zu können, haben sich die Entwickler von Digicash einiges einfallen lassen: Jede digitale Banknote enthält eine Seriennummer, welche das Geldinstitut bei der Einlösung speichert. So kann die Bank verhindern, das ein digitaler Geldschein mehrfach eingelöst wird. Als weiteren Schutz enthält Digicash eine digitale Unterschrift des ausgebenden Kreditinstitutes. Der Käufer des Geldes bleibt durch die sogenannte blinde Signatur unbekannt. Der Händler kann die Signatur des Geldes prüfen, ohne sich mit der Bank in Verbindung setzen zu müssen. Dennoch sollte kein Kunde wagen, mit einem digitalen Schein zweimal zu bezahlen. Denn durch ein spezielles Verfahren kann die Bank bei einer zweifachen Bezahlung, und nur dann, die Daten des Kunden ermitteln. Auch einer zweifachen Einlösung durch den Händler ist ein Riegel vorschoben. Damit die Währung nicht von der Festplatte oder auf dem Weg durchs Netz zum Händler gestohlen bzw. abgehört wird, ist die Währung auf der Festplatte, genauso wie der Datenverkehr im Internet, verschlüsselt. Sofern diese Verschlüsselungen unknackbar sind, ist das System von Digicash eine sichere Art, in Zukunft im Internet zu bezahlen. Viele Unternehmen arbeiten an ähnlichen Zahlungsprotokollen, so zum Beispiel Digial Equipment. ""Millicent" soll neue Formen des Handels im Web ermöglichen. Laut Hersteller Digital Equipment ist es das erste System, das es erlaubt, mit Bruchteilen eines Pfennigs zu kaufen und verkaufen. Damit lassen sich etwa Pay-Per-View für Online-Zeitschriften oder nutzungsbasierende Anwendungen auf der Basis von Java-Applets verwirklichen. Seit der Systems 97 kann jeder Content Provider am Test von Millicent teilnehmen."
"Ein ähnliches Micro-Payment-Verfahren hat T-Online in Vorbereitung. Wie bereits im alten Btx soll es geringe Transaktions-Gebühren im Internet ermöglichen, die mit der Telefonrechnung eingezogen werden. Die Pilotversuche sind weitgehend abgeschlossen. Mit der Einführung für alle T-Online-Kunden ist im März zu rechnen."30

5. Ausblick
Wie sich die Entwicklung von geeigneten Zahlungsmitteln im Internet auf den Bereich des Electronic Commerce auswirken wird, ist nicht schwer vorauszusagen: Das Volumen der Online-Käufe im Netz wird sich sicherlich explosionsartig erhöhen. Informationen, die heute noch vergütungsfrei abgerufen werden können, werden nach entsprechender Entwicklung von Micro-Payment-Verfahren auch Geld kosten. Alles, was bis dahin getan werden kann, um das Business im Internet und per Telefon sicherer zu machen, ist, den Nutzer für die auf ihn lauernden Gefahren zu sensibilisieren: PINs und TANs gehören nicht auf die Festplatte. Man sollte aber auch nicht alles zu ängstlich und negativ sehen, denn Mißbrauchsmöglichkeiten werden nicht grundsätzlich ausgenutzt: Schon seit Jahren kann man telefonisch bei Versandhäusern wie z.B. "Quelle" oder "Otto" bestellen. Diese Bestellwege lassen auch gewisse Möglichkeiten des Mißbrauchs offen, die aber bisher offensichtlich nicht im großen Umfang "genutzt" worden sind. Letztendlich würde eine Aufhebung des amerikanischen Exportverbots für sichere Kryptosoftware dazu beitragen, daß die kommerzielle Nutzung des Internets sicherer wird, aber auch daß der einzelne, potentielle Kunde Vertrauen in das Medium Internet gewinnt; denn das ist die grundsätzliche Voraussetzung für breites Wachstum auf diesem Gebiet.