DE19505848C2 - Bargeldloses Zahlungssystem - Google Patents

Description

Die Erfindung betrifft ein bargeldloses Zahlungssystem.

Aus der US 45 62 341 ist ein bargeldloses Zahlungssystem bekannt, bei dem ein Kunde eine Kreditkarte als Zahlungsmittel präsentiert. Der An­ bieter kann auf elektronischem Wege überprüfen, ob der eingeräumte Kre­ dit noch nicht erschöpft ist, ob die Karte gültig ist, der Kreditrahmen eingehalten wird usw. Es erfolgt jedoch keine elektronische Übertra­ gung von Geldbeträgen.

Aus der US 50 36 461 ist ein Transaktionsterminal bekannt, das unter­ schiedliche Kreditkarten akzeptiert, wobei eine Schnittstelleneinheit für den Empfang einer Mehrzahl von Modulen vorgesehen ist. Jeder Modul enthalt Programmierinformation entsprechend der Transaktion, die mit mindestens einer der verschiedenen Identifikationskarten ausgeführt werden kann, die der Maschine präsentiert werden. Ein Finanzinstitut, das Karten ausgibt, kann unabhängig seine eigenen Sicherheits- und Transaktionsroutinen arrangieren und programmieren, die mit den Karten auszuführen sind und solche Routinen in sicherer Weise für Verwendung mit einem gemeinsamen Terminal vorsehen.

Die DE 42 01 239 A1 befaßt sich mit dem Gebiet der Geldspielautomaten und bezieht sich insbesondere auf Mängel, die bei den üblichen Spiel­ automaten auftreten und zu Manipulationen führen können. Bei einem ge­ gebenenfalls absichtlich herbeigeführten Stromausfall gehen die im flüchtigen Speicher des Automaten gespeicherten Daten verloren. Auch wird der gesetzlich vorgeschriebene Auslesezyklus von maximal 60 Tagen nicht geräteintern überwacht und daher häufig überschritten. Um diese Manipulationsmöglichkeiten zu verhindern, werden die Daten über eine ge­ sonderte im Gerät eingebaute Ausleseeinrichtung in ein wiederum ausles­ bares Medium übertragen, wobei eine eigene Stromversorgung und/oder ein nicht flüchtiger Speicher verhindern sollen, daß die Daten verlorenge­ hen. Der Programmablauf wird in dem Spielautomaten so geändert, daß das Auslesen und Speichern sichergestellt sind, anderenfalls das Gerät außer Betrieb kommt.

Ein Anbieter von Waren oder Dienstleistungen kann sich bei einem solchen System die bekannten Vorteile der bargeldlosen Zahlung zunutze machen, ohne das Risiko eingehen zu müssen, daß ein etwa entgegengenommener Scheck nicht gedeckt oder eine Kreditkarte gefälscht ist, da ja in jedem Fall der abgespeicherte Betrag vorausbezahlt oder vorauskreditiert ist, die Identität des Inhabers der elektronischen Geldbörse also belanglos ist.

Oft werden solche elektronischen Geldbörsen für die Entrichtung kleinerer Beträge verwendet, etwa an Warenautomaten, Fahrkartenautomaten, öffentli­ chen Telefonzellen, in Parkhäusern und so weiter.

Im einfachsten Fall gehören die Anbieter der Datenträger (oder der Auf­ ladung von deren Speicher) und die Anbieter der Waren oder Dienstleistun­ gen zu einundderselben Institution, und es wird in jedem Falle mit Bar­ geld vorausgezahlt - insoweit ist der Begriff "bargeldloses Zahlungs­ system" nur teilweise zutreffend -; ein bekanntes Beispiel sind Telefon­ karten, die bei der Telefongesellschaft erworben werden und auch bei de­ ren öffentlich zugänglichen Telefonapparaten "abtelefoniert" werden. Ein anderes Beispiel ist der Betrieb eines Parkhauses, bei dem der Benutzer eine bestimmte Parkdauer bei dem Betreiber vorausbezahlt und dann "ab­ parkt".

Generell jedoch umfaßt ein solches System mehrere Beteiligte:

• - den vorauszahlenden Kunden,
• - die Institution, an die er die Vorauszahlung leistet,
• - den Anbieter von Waren oder Dienstleistungen, der bargeldlos, nämlich aus der "elektronischen Geldbörse", bezahlt wird.

Wenn der Kunde, anstatt bar vorauszuzahlen, ein Konto bei einer Bank be­ lasten möchte, muß der Speicher seines Datenträgers zusätzlich zum Kre­ ditrahmen auch Daten bezüglich des Kontos und der bezogenen Bank enthal­ ten, und die betreffende Bank ist in das System ebenfalls involviert.

Da es meist mehrere, oft sogar viele voneinander unabhängige Waren- und Dienstleistungsanbieter geben wird, deren Einnahmen unterschiedlichen Konten bei meist unterschiedlichen Banken gutzuschreiben sind, ist noch eine "Clearingstelle" erforderlich, die hier und im folgenden als System­ betreiber mit einer Systemzentrale bezeichnet werden soll. Dieser System­ betreiber erledigt entsprechende Dienstleistungen auch für die Vorauszah­ lungsinstitutionen und eventuell involvierte Banken oder sonstigen Kre­ ditinstitute.

Natürlich muß dafür gesorgt werden, daß ein solches System ein hohes Maß an Sicherheit aufweist, und zwar sowohl hinsichtlich des Betriebsablaufs als auch hinsichtlich der Manipulierbarkeit. So muß beispielsweise über­ prüft werden, ob ein Datenträger einerseits, ein Lesegerät andererseits zum selben System gehören, bevor überhaupt der eigentliche Datenaustausch beginnt.

Das Europäische Institut für Normung erarbeitet derzeit einen Sicher­ heitsstandard für solche Systeme, dessen Kernstück ein Sicherheitsmodul ist, der als "Secure Application Module (SAM)" bezeichnet wird und sowohl bei den teilnehmenden Anbietern von Waren und Dienstleistungen als auch bei den Verkäufern der Datenträger wie auch schließlich beim Systembe­ treiber verfügbar ist. Dieser Sicherheitsmodul ist für diese drei Typen von Teilnehmern etwas unterschiedlich und enthält einen oder mehrere Mikroprozessoren, der bzw. die bei den Waren- und Dienstleistungsanbie­ tern über eine erste Schnittstelle mit dem Lesegerät für den Speicher des Datenträgers verbunden ist bzw. sind und über eine zweite Schnittstelle mit einer eigenen Vorrichtung dieses Anbieters, etwa einem Warenautomat, einer Registrierkasse, einer Fahrschein- oder Parkscheinausgabe. Entspre­ chendes gilt für die Sicherheitsmodule bei den anderen beiden Teilnehmer­ typen.

Bekannt ist mithin, wie im Oberbegriff des Patentanspruchs 1 angegeben, ein bargeldloses Zahlungssystem, bei dem teilnehmende Anbieter von Waren oder Dienstleistungen über einen Sicherheitsmodul verfügen, der über eine erste Schnittstelle mit einem Lesegerät verbunden ist, mittels dem ein als Ausweis für Vorauszahlungen dienender und mit einem elektronischen, den vorausgezahlten Betrag repräsentierenden Speicher versehener Daten­ träger abfragbar und belastbar ist, und der über eine zweite Schnitt­ stelle mit einer anbieterseitigen Vorrichtung verbunden ist. In dem Si­ cherheitsmodul eines solchen Anbieters werden die Daten der innerhalb eines gewissen Zeitintervalls getätigten Transaktionen gespeichert, die dem Systembetreiber zur Kenntnis gebracht werden müssen, damit der Sal­ denausgleich erfolgen kann. Solche Daten definieren zumindest die Summe der Einnahmen; im allgemeinen aber sind noch viel mehr Daten erforder­ lich, beispielsweise solche von zu belastenden Bankkonten.

Entsprechendes gilt natürlich auch für die Verkäufer der Datenträger oder die Nachladestationen.

Für die Mitteilung solcher Daten an den Systembetreiber könnte man den Sicherheitsmodul herausnehmen und zum Systembetreiber transportieren, wo er ausgelesen wird; damit das System betriebsbereit bleibt, wäre der ent­ nommene Sicherheitsmodul durch einen anderen zu ersetzen. Eine weitere Möglichkeit bestünde darin, mittels eines speziellen Datenträgers - ei­ ner sogenannten collecting card - den Sicherheitsmodul auszulesen und diesen speziellen Datenträger dann beim Systembetreiber auszuwerten. So­ lange der Teilnehmerkreis überschaubar bliebe, wären diese Sammelvorgänge noch mit vertretbarem Aufwand, insbesondere auf der Personalseite, aus­ führbar; es bestünde jedoch der Nachteil, daß die Sammelintervalle rela­ tiv lang wären und damit die Transaktionen mit entsprechender Verzögerung beim Systembetreiber verrechnet würden.

Natürlich könnte man es auch dem einzelnen Teilnehmer überlassen, seinen Sicherheitsmodul selbst auszulesen und die ausgelesenen Daten dem System­ betreiber beispielsweise über ein Modem und eine Telefonleitung zu über­ mitteln. Dies würde aber mit der geforderten Betriebssicherheit eines solchen Systems kollidieren, da die Daten manipulierbar wären.

Aufgabe der vorliegenden Erfindung ist es, ein bargeldloses Zahlungs­ system mit den im Oberbegriff des Patentanspruchs 1 genannten Merkmalen zu schaffen, das besonders für einen großen Kreis unterschiedlicher Teil­ nehmer geeignet ist.

Gemäß der Erfindung wird vorgeschlagen, daß der Sicherheitsmodul der Anbieter von Waren und Dienstleistungen (und vorzugsweise auch der der Anbieter von Datenträgern oder deren Wiederaufladung) über eine dritte Schnittstelle und einen Kommunikationskanal mit der Systemzentrale verbindbar ist.

Auf diese Weise wird ermöglicht, daß ohne oder mit nur sehr geringem Personaleinsatz ein Datenaustausch zwischen der Systemzentrale und den Teilnehmern zu beliebigen Zeitpunkten erfolgen kann. So können zumindest die Sammelabrechnungen erfolgen, ohne daß irgendein Gegenstand zwischen Teilnehmer und Systembetreiber hin- und hertransportiert werden muß. Es können aber auch Daten von dem Systembetreiber zum Teilnehmer übertragen werden, beispielsweise eine Aufforderung abzurechnen und dergleichen. Ebenso können Überwachungsvorgänge über diese dritte Schnittstelle und den Kommunikationskanal vorgenommen werden.

Aus Sicherheitsgründen ist es zweckmäßig, wenn die dritten Schnittstellen und ihre Kommunikationskanäle gegen unbefugten Zugriff geschützt sind; dadurch unterscheidet sich das System gemäß der Erfindung vorteilhaft von solchen, bei denen der Teilnehmer selbst von ihm ausgelesene Daten über einen vorhandenen Kommunikationskanal an die Systemzentrale meldet.

Dieser Schutz vor Zugriff kann im Falle der Schnittstelle darin bestehen, daß sie oder der gesamte Sicherheitsmodul verplombt wird, wobei dieser Begriff im weitesten Sinne zu verstehen ist. Beispielsweise kann der Si­ cherheitsmodul in eine eine Vergußmasse eingebettet sein, bei deren Auf­ brechen der Modul zerstört wird.

Als Kommunikationskanal können drahtgebundene oder drahtlose Verbindungen in Frage kommen. Beide können prinzipiell von Unbefugten angezapft werden. Der Schutz vor Zugriff erfolgt dann dadurch, daß die zu übertragenden Daten verschlüsselt werden; es ist deshalb zweckmäßig, wenn jedem Sicher­ heitsmodul eine Kodier-/Dekodiereinheit zugeordnet wird, über die die Verschlüsselung und Entschlüsselung erfolgt. Es versteht sich, daß im Rahmen des Datenaustauschs zwischen Systembetreiber und Teilnehmer auch solche Verschlüsselungskodes vorgegeben und/oder geändert werden können.

Die Kommunikationsverbindung zwischen dem Systembetreiber und den einzel­ nen Teilnehmern braucht nicht permanent zu bestehen. Es ist vielmehr zweckmäßig, daß der Systembetreiber im Zeitmultiplex und nur bei Bedarf mit den einzelnen Teilnehmern kommuniziert. Das bargeldlose Zahlungs­ system gemäß der Erfindung tangiert nämlich nicht die prinzipiell dezen­ trale Organisationsstruktur, bei der der Zahlungsverkehr zwischen Kunden und Teilnehmern grundsätzlich ohne Einbeziehung des Systembetreibers abgewickelt wird und nicht jeder einzelne Zahlungsvorgang beim System­ betreiber und/oder beteiligten Kreditinstituten zu verbuchen ist, sondern Sammelabrechnungen erstellt werden.

Bei einer Weiterbildung der Erfindung sind die Sicherheitsmodule so aus­ gebildet, daß sie (nur) von der Systemzentrale aus aktivierbar und/oder deaktivierbar sind. Die Sicherheitsmodule können dann im Handel frei an jedermann abgegeben werden, sind jedoch erst dann verwendbar, wenn ein potentieller Teilnehmer sich mit dem Systembetreiber in Verbindung ge­ setzt und von diesem in das Teilnehmerverzeichnis aufgenommen worden ist.

Es versteht sich, daß der Kommunikationskanal zwischen Systemzentrale und den Sicherheitsmodulen wie auch die Sicherheitsmodule der Teilnehmer untereinander zumindest bezüglich der dritten Schnittstelle, der Kodier-/Dekodiereinheit und, falls vorhanden, der Aktivierungs- bzw. Deaktivierungsmittel gleichartig sein werden.

Es versteht sich schließlich auch, daß die Kommunikation zwischen System­ zentrale und den Sicherheitsmodulen nicht auf Abrechnungsdaten beschränkt Sein muß. Beispielsweise kann auch von der Zentrale ein Zeittakt über­ tragen werden, wenn dies zweckmäßig ist, um unterschiedlichen Tarifen zu unterschiedlichen Zeiten Rechnung zu tragen, oder es können von den einzelnen Teilnehmern Störungsmeldungen übermittelt werden. Die jeweilige Bedeutung der übertragenen Daten ist nicht Gegenstand der vorliegenden Erfindung.

Claims (6)

1. Bargeldloses Zahlungssystem, bei dem teilnehmende Anbieter von Waren oder Dienstleistungen über einen Sicherheitsmodul verfügen, der über eine erste Schnittstelle mit einem Lesegerät verbunden ist, mittels dem ein als Ausweis für Vorauszahlungen dienender und mit einem elektro­ nischen, den vorausgezahlten Betrag repräsentierenden Speicher versehener Datenträger abfragbar und belastbar ist, und der über eine zweite Schnittstelle mit einer anbieterseitigen Vorrichtung verbunden ist, da­ durch gekennzeichnet, daß der Sicherheitsmodul jedes teilnehmenden An­ bieters über eine dritte Schnittstelle und einen Kommunikationskanal mit einer Systemzentrale verbindbar ist.

2. System nach Anspruch 1, dadurch gekennzeichnet, daß teilneh­ mende Anbieter der Datenträger oder andere Teilnehmer am System, welche das Bewerten oder Aufladen des Datenträgers vornehmen, über einen Sicher­ heitsmodul verfügen, der ebenfalls über eine Schnittstelle und einen Kom­ munikationskanal mit der Systemzentrale verbindbar ist.

3. System nach Anspruch 1 oder Anspruch 2, dadurch gekennzeichnet, daß die dritten Schnittstellen und ihre Kommunikationskanäle gegen unbe­ fugten Zugriff geschützt sind.

4. System nach Anspruch 3, dadurch gekennzeichnet, daß die Schnittstelle verplombt ist.

5. System nach Anspruch 3 oder 4, dadurch gekennzeichnet, daß je­ der Sicherheitsmodul eine Kodier-/Dekodiereinheit für die über den Kommu­ nikationskanal auszutauschenden Daten enthält.

6. System nach einem der vorangehenden Ansprüche, dadurch gekenn­ zeichnet, daß die Sicherheitsmodule über den Kommunikationskanal von der Systemzentrale aus aktivierbar und/oder deaktivierbar sind.