DE19723862C2 - Mobiler Datenträger für Sicherheitsmodule - Google Patents

Description

Die Erfindung betrifft einen mobilen Datenträger, insbesondere eine Chipkarte, mit einem Prozessor, einem Speicher und einer Schnittstelle, wobei der mobile Datenträger in ein Terminal einsteckbar ist und wobei der mobile Datenträger über die Schnittstelle Daten mit dem Terminal austauschen kann.

Derartige mobile Datenträger werden beispielsweise in Verbindung mit einer elektronischen Börse genutzt. Bei der elektronischen Börse handelt es sich um eine moderne Art der bargeldlosen Bezahlung von Waren und Dienstleistungen. Hierbei gibt ein Geldinstitut, welches der Inhaber der elektronischen Börse ist, eine Chipkarte an einen Kunden aus und registriert die Daten des Kunden und der ausgegebenen Chipkarte. Zu den zu registrierenden Daten gehören insbesondere Art und Weise der Verwendung der Chipkarte, die Kredithöhe, die Gültigkeitsdauer und das Buchungsverfahren.

Die Chipkarte wird vor der Herausgabe an den Kunden initialisiert, d. h. es werden Anwendungsdaten auf der Chipkarte eingebracht, die es erlauben, die Chipkarte im Rahmen bestimmter Anwendungen zu nutzen. Dem Kunden wird bei der Herausgabe der Chipkarte mitgeteilt, für welche Anwendungen seine Chipkarte nutzbar ist.

Um mit der Chipkarte Waren und Dienstleistungen bezahlen zu können, muß auf der Chipkarte zunächst ein Geldbetrag gespeichert sein. Zu diesem Zweck übergibt der Kunde an einem Schalter des Geldinstitutes eine bestimmten Betrag als Bargeld oder läßt den bestimmten Betrag von seinem Konto abbuchen. Auf der Chipkarte wird dann ein Guthaben in der Höhe des bestimmten Betrages gespeichert. Bis zu dieser Höhe kann der Kunde die Chipkarte nun zur Bezahlung nutzen. Das Geldinstitut überweist denselben bestimmten Betrag auf ein Börsenkonto. Von diesem Börsenkonto erhält später ein Händler sein Geld, wenn der Kunde bei diesem Händler mit der Chipkarte bezahlt hat.

Ist das Guthaben verbraucht, muß die Chipkarte wieder geladen werden. Das Laden eines Guthabens auf die Chipkarte kann mit einem dazu geeigneten Lade-Terminal von einem Schalterbeamten des Geldinstitutes ausgeführt werden. Darüber hinaus sind hierfür beliebige mit dieser Funktion ausgestattete Bankautomaten nutzbar.

Möchte der Kunde zu einem späteren Zeitpunkt im Laden eines Händlers eine Ware mit Hilfe seiner Chipkarte bezahlen, so ist diese Transaktion an einem POS-Terminal (Point-of-sale- Terminal) ausführbar.

Die Chipkarte wird in einen im POS-Terminal angeordneten Chipkartenleser eingesteckt. Mit Hilfe des Chipkartenlesers können Daten von der Chipkarte gelesen werden oder Daten auf die Chipkarte geschrieben werden. Insbesondere wird das auf der Chipkarte gespeicherte Guthaben um den Betrag verringert, welcher für die Ware beim Händler zu zahlen ist. Es verbleibt ein Restguthaben auf der Chipkarte.

Im Rahmen der Transaktion beim Händler werden in dem POS- Terminal gleichzeitig die Daten gespeichert, die Informationen darüber enthalten, welches der zu zahlende Betrag war, welches Restguthaben verbleibt, welches Geldinstitut das Börsenkonto unterhält und weitere Kundendaten. Diese Daten werden in dem POS-Terminal als eine Transaktionseinheit gespeichert. Nach Ablauf eines Tages oder eines anderen Zeitraumes werden eine oder mehrere Transaktionseinheiten an das Geldinstitut, welches das Börsenkonto unterhält, übermittelt. Durch das Geldinstitut wird überprüft, ob die Transaktion beim Händler korrekt ausgeführt wurde. Wenn festgestellt wird, daß die Daten in der Transaktionseiheit auf einem korrekten Zahlungsvorgang basieren, wird der Zahlbetrag vom Börsenkonto an den Händler überwiesen.

Sowohl beim Laden der Chipkarte am Lade-Terminal, als auch beim Bezahlen mittels der Chipkarte am POS-Terminal des Händlers sind Sicherheitsstandards einzuhalten. Um Manipulationen der elektronischen Geldbörse auf der Chipkarte zu verhindern, werden für den Datenaustausch zwischen der Chipkarte und dem POS-Terminal und für den Datenaustausch zwischen der Chipkarte und dem Lade-Terminal sicherheitsrelevante Funktionen eingesetzt. Hierbei kann es sich insbesondere um das Verschlüsseln und Entschlüsseln von Daten handeln, die zwischen der Chipkarte und dem jeweiligen Terminal auszutauschen sind.

Die genaue Ausführung der sicherheitsrelevanten Funktionen hängt von der konkreten Anwendung, im Rahmen derer das jeweilige Terminal genutzt wird, ab. So kann vorgesehen sein, daß das POS-Terminal im Zusammenhang mit elektronischen Börsen verschiedener Geldinstitute nutzbar ist. Die hierfür jeweils genutzten Sicherheitsfunktionen können sich unterscheiden. Das POS-Terminal muß deshalb an die jeweilige elektronische Börse angepaßt werden. Desweiteren sollte auch ein Lade-Terminal für verschiedene elektronischen Börsen nutzbar sein.

Auch andere Terminals müssen an variierende Anwendungen angepaßt werden. So nutzt ein Terminal, welches den Zugang zu verschiedenen Anwendungen in einem Netzwerk erlaubt, für verschiedene Anwendungen verschiedene Prozeduren, die zu durchlaufen sind, um Zugang zur jeweiligen Anwendung zu bekommen. Die verschiedenen Prozeduren benötigen unterschiedliche sicherheitsrelevante Funktionen. Diese müssen jeweils zur Verfügung stehen.

Eine Möglichkeit zur flexiblen Anpassung von Terminals an verschiedene Anwendungen sind mobile Sicherheitsmodule. Ein derartiges mobiles Sicherheitsmodul ist aus der Patentschrift US-4 969 188 bekannt. Das bekannte Sicherheitsmodul ist als Chipkarte ausgebildet. Auf der Chipkarte sind insbesondere mehrere, hierarchisch geordnete kryptographische Schlüssel gespeichert.

Das bekannte Sicherheitsmodul ist in ein Basisgerät einsteckbar. Mit Hilfe des Basisgerätes können dann sicherheitsrelevante Operationen in einem Netzwerk ausgeführt werden. Die hierzu notwendigen sicherheitsrelevanten Funktionen sind auf der Chipkarte gespeichert. Hierdurch wird eine Trennung zwischen Hardware, die sicherheitsrelevante Daten aufweist, und Hardware, die keine sicherheitsrelevanten Daten aufweist, erreicht.

Nachteil der bekannten Lösung ist es, daß die Chipkarte mit dem darauf angeordneten Sicherheitsmodul nur für eine einzelne Anwendung des Basisgerätes nutzbar ist. Ist das Basisgerät im Zusammenhang mit einer elektronischen Börse als POS-Terminal ausgebildet, so bedeutet dies, daß für elektronische Börsen verschiedener Geldinstitute oder auch anderen Anwendungen des POS-Terminals jeweils eine andere Chipkarte notwendig ist.

EP 0 337 185 B1 beschreibt eine tragbare Datenträgeranordnung. In dieser Datenträgeranordnung ist ein zusätzlicher Datenspeicher vorgesehen, dessen Ansteuerung von der Steuereinheit geschützt ist. Das geschützte Ansteuern lässt sich auf verschiedene Weise durch integrierte kryptografische Schaltungsmittel verwirklichen. Die Erfindung ist unabhängig davon anwendbar, ob die integrierten Schaltungen einer Datenträgeranordnung in zwei oder mehrere durch Leitungen verbundene Bausteine aufteilt oder auf einem einzigen Datenträger vereinst sind.

In Beutelspacher, A. und a.: Chipkarten als Sicherheitswerkzeug Berlin, Springer-Verlag, 1991 Seite 85-87 werden unterschiedliche Aspekte einer multifunktionalen Chipkarte diskutiert.

Wie aus Seite 86, dritter Absatz hervorgeht, wird vorgeschlagen, eine derartige Chipkarte in ein CDF (Common Data Field) und ein ADF (Application Data Field) aufzuteilen. Im Rahmen der Erstpersonalisierung sollen dabei insbesondere geheime Schlüssel geladen werden, die zur Authentifizierung der Anwendungsanbieter dienen. Sollen Sicherheitsmechanismen bereitgestellt werden, die von den Anwendungsanbietern auf Wunsch benutzt werden können. Wie aus vorletztem Absatz der Seite 86 hervorgeht, sollen die ADF- Daten Schlüssel enthalten, die nicht der Kontrolle des Kartenherausgebers unterliegen. Der Anwendungsanbieter soll dabei seine Sicherheitspolitik selbständig festlegen können.

DE 195 36 169 A1 beschreibt die Integration mehrerer Anwendungsprogramme auf einer Chipkarte. Erfindungsgemäß erfolgt die Integration mehrerer Anwendungsprogramme auf einer Chipkarte durch eine Trennung und Entkoppelung der einzelnen Programme untereinander.

Hierbei erfolgt die Trennung unterschiedlicher Anwendungen auf einer Chipkarte mit einem Prozessor durch Einfügung einer Separation der Anwendungsteile im Speicherbereich der Chipkarte. Die Separation bewirkt, dass jede Anwendung nur auf einen festlegbaren Bereich innerhalb der Speichers zugreifen kann, und dass Zugriffe außerhalb des vorgegebenen Speicherbereichs für diese Anwendung unterbunden werden. Die Erfindung besteht in einer bevorzugten Ausführungsform aus unabhängigen Einheiten. Jeder dieser Einheiten besteht aus einem separaten Microprozessor und einer separaten Speichereinheit.

Jede einzelne der unabhängigen Einheiten stellt eine abgeschlossene Funktionseinheit dar. Die jeweilige Speichereinheit einer der unabhängigen Einheiten ist nur über den entsprechenden, dazugehörigen Mikroprozessor zugänglich und kann mittels entsprechender, im Stand der Technik bekannten Sicherungsverfahren, geschützt werden.

Aufgabe der vorliegenden Erfindung ist es deshalb, einen mobilen Datenträger der eingangs beschriebenen Art zu schaffen, der flexibel für eine Vielzahl von Anwendungen einsetzbar ist.

Diese Aufgabe wird erfindungsgemäß dadurch gelöst, daß auf dem mobilen Datenträger mindestens zwei Sicherheitsmodule angeordnet sind, wobei die mindestens zwei Sicherheitsmodule jeweils sicherheitsrelevante Daten und/oder sicherheitsrelevante Funktionen umfassen.

Der wesentliche Vorteil, welcher mit der Erfindung gegenüber dem Stand der Technik erreicht ist, besteht darin, daß der mobile Datenträger in einem Terminal nicht ausgetauscht werden muß, wenn ein Terminal für verschiedene Anwendungen nutzbar ist. Durch die Anordnung von mindestens zwei Sicherheitsmodulen auf dem mobilen Datenträger ist eine Materialeinsparung erreicht. Es muß nicht für jede Anwendung ein separater Datenträger mit jeweils einem Sicherheitsmodul hergestellt werden.

Ein weiterer Vorteil ist, daß bei der Herstellung eines mobilen Datenträgers neben den Sicherheitsmodulen, für die bereits zum Zeitpunkt der Herstellung feststeht, daß sie benutzt werden sollen, weitere Sicherheitsmodule auf dem Datenträger angeordnet werden können. Die weiteren Sicherheitsmodule sind als Optionen vorgesehen, die dann nutzbar sind, wenn der mobile Datenträger im Rahmen seiner Lebensdauer für weitere Anwendungen genutzt werden soll.

Vorteilhaft kann vorgesehen sein, daß mittels der mindestens zwei Sicherheitsmodule jeweils verschiedene Anwendungen, die eine Nutzung des Terminals umfassen, ausführbar sind. Durch die Benutzung eines der mindestens zwei Sicherheitsmodule für nur eine bestimmte Anwendung wird sichergestellt, daß ein Nutzer der bestimmten Anwendung keine Informationen über andere Anwendungen ausspionieren kann.

Eine vorteilhafte Ausgestaltung der Erfindung sieht vor, daß mittels der mindestens zwei Sicherheitsmodule eine Ausführung von Anwendungen, die eine Nutzung des Terminals umfassen, verhinderbar ist. Hierdurch wird gewährleistet, daß die Ausführung einer Anwendung abgebrochen werden kann, wenn festgestellt wird, daß ein Benutzer versucht, das Terminal mißbräuchlich zu nutzen.

Eine vorteilhafte Weiterbildung der Erfindung sieht vor, daß auf dem mobilen Datenträger ein Betriebssystem installierbar ist, wobei die sicherheitsrelevanten Funktionen der mindestens zwei Sicherheitsmodule mit Hilfe des Betriebssystems ausführbar sind. Hierdurch ist eine effiziente Kommunikation zwischen dem mobilen Datenträger und dem Terminal ermöglicht.

Vorteilhaft kann vorgesehen sein, daß mit Hilfe des Betriebssystems ermittelbar ist, welches der mindestens zwei Sicherheitsmodule für eine Ausführung einer bestimmten Anwendung, die eine Nutzung des Terminals umfaßt, nutzbar ist. Hierdurch können beliebige Daten, die vom Terminal an die Chipkarte gesendet werden, mit minimalen Zeitaufwand dem entsprechenden Sicherheitsmodul zugeordnet werden.

Bei einer zweckmäßigen Ausführung der Erfindung sind die mindestens zwei Sicherheitsmodule jeweils mit Hilfe eine Passwortes schützbar, wodurch eine Sicherung gegen einen mißbräuchlichen Zugriff auf die Sicherheitsmodule ausbildbar ist.

Vorteilhaft kann vorgesehen sein, daß die mindestens zwei Sicherheitsmodule in verschiedenen Bereichen des Speichers angeordnet sind, wodurch bei Benutzung eines der zwei Sicherheitsmodule ein Ausspionieren des anderen Sicherheitsmoduls verhinderbar ist.

Zweckmäßig kann eine der Anwendungen, welche die Benutzung des Terminals vorsieht, eine elektronische Börse umfassen. Im Rahmen einer elektronischen Börse sind eine Vielzahl von POS- Terminals mit Sicherheitsmodulen auszustatten. Diese POS- Terminals sind an verschiedenen Orten angeordnet und sollen für möglichst verschieden Börsen nutzbar sein. Deshalb ist in diesem Fall ein mobiler Datenträger mit mindestens zwei Sicherheitsmodulen besonders vorteilhaft einsetzbar.

Vorteilhaft kann vorgesehen sein, daß das Sicherheitsmodul, welches für die Anwendung mit der elektronischen Börse nutzbar ist, eine Funktion zur Begrenzung eines Geldbetrages aufweist, wobei der Geldbetrag die Summe der Guthaben ist, die auf Chipkarten von Kunden der elektronischen Börse ladbar sind. Hierdurch ist bei einem Mißbrauch des Terminals der entstehende Schaden begrenzbar.

Eine vorteilhafte Ausgestaltung der Erfindung sieht vor, daß der Gelbetrag die Summe der Guthaben in einem bestimmbaren Zeitraum umfaßt, wodurch eine zeitliche Nutzungsbegrenzung des Terminals für die Anwendung im Rahmen der elektronischen Börse ausführbar ist.

Zweckmäßig ist die Begrenzung des Gelbetrages nach einer Einabe eines vertraulichen Codes mittels einem Tasturfeld des Terminals veränderbar. So kann sichergestellt werden, daß nur vertrauenswürdige Personen, insbesondere Angestellten des Geldinstitutes, welches Inhaber der elektronischen Börse ist, die Begrenzung des Geldbetrages verändern oder erneuern.

Eine vorteilhafte Weiterbildung der Erfindung sieht vor, daß der Geldbetrag ausschließlich veränderbar ist, wenn zwischen dem Terminal und einer Rechenzentrale der elektronischen Börse eine on-line Verbindung ausgebildet ist. Hierdurch ist die Begrenzung des Geldbetrages ohne größeren Aufwand und zeiteffizient veränderbar oder erneuerbar.

Eine zweckmäßige Ausgestaltung der Erfindung besteht darin, daß das Terminal als off-line Terminal ausbildbar ist. In Verbindung mit off-line Terminals ist die Begrenzung des Geldbetrages besonders vorteilhaft, da bei diesen Terminals die Gefahr des Mißbrauchs, beispielsweise bei gestohlenen Terminals, besonders hoch ist.

Die vorteilhaften Ausführungen der Erfindung in den abhängigen Verfahrensansprüchen weisen die, im Zusammenhang mit den Merkmalen der Vorrichtungsansprüche genannten Vorteile entsprechend auf.

Die Erfindung wird im folgenden an Hand einer Zeichnung näher erläutert.

Fig. 1 zeigt eine schematische Darstellung einer Anordnung zur Ausführung eines Zahlungsvorganges bei einem Händler. Das Terminal 1 weist einen Kartenleser 2 auf. Mittels diesem Kartenleser 2 können sowohl Chipkarten 3 als auch Kreditkarten mit Magnetstreifen 4 gelesen werden. Das Terminal 1 ist als selbständiges Gerät ausführbar, aber auch eine Integrierung in einen Kassierautomaten ist vorsehbar. Des weiteren kann das Terminal 1 mit einem Rechenzentrum online verbunden sein oder auch an ein Netzwerk angeschlossen sein.

Im Terminal 1 ist ein Schreib-/Lesegerät 5 angeordnet. In das Schreib-/Lesegerät 5 wird der mobile Datenträger 6 eingesteckt.

Mit Hilfe des Schreib-/Lesegerätes 5 können Daten zwischen dem mobilen Datenträger 6 und dem Terminal 1 sowie zwischen dem mobilen Datenträger 6 und der Chipkarte 3 oder der Kreditkarte 4 ausgetauscht werden.

Der mobile Datenträger 6 ist vorzugsweise als eine Chipkarte ausgebildet. In diesem Fall ist das Schreib-/Lesegerät 5 als Chipkartenleser ausbildbar. Chipkarten weisen ein handliche Format auf und sind als Massenartikel herstellbar. Dem Fachmann bieten sich auch andere Möglichkeiten zur Ausführung des mobilen Datenträgers. So kann eine Ausbildung entsprechend dem Aufbau einer Steckkarte für einen Computer vorgesehen sein. Eine derartige Ausführung des mobilen Datenträgers 6 weist jedoch nicht die für die Chipkarte genannten Vorteile auf.

Je nach Ausbildung des mobilen Datenträgers 6 ist in dem Terminal 1 ein Schreib-/Lesegerät 5 anzuordnen, welches über eine Schnittstelle auf dem mobilen Datenträger 6 mit demselben kommunizieren kann.

Auf dem mobilen Datenträger 6 sind mindestens zwei Sicherheitsmodule 7, 8 aufgebracht. Die Sicherheitsmodule 7, 8 sind im Speicherbereich des mobilen Datenträgers 6 angeordnet. Sie können in einem einheitlichen Speicherbereich angeordnet sein. Aber auch eine Anordnung der Sicherheitsmodule 7, 8 in getrennten Speicherbereichen ist vorsehbar. Getrennte Speicherbereiche haben den Vorteil, daß es mit Hilfe der Trennung erschwert wird, bei der Nutzung eines Speichermoduls 7 im Rahmen einer Anwendung des Terminals, Daten aus dem Sicherheitsmodul 8 auszuspionieren.

Beide Sicherheitsmodule 7, 8 umfassen sicherheitsrelevante Daten und/oder sicherheitsrelevante Funktionen. Zu diesen sicherheitsrelevanten Daten gehören insbesondere kryptographische Schlüssel zum Verschlüsseln und Entschlüsseln von auszutauschenden Daten.

Möchte ein Kunde bei einem Händler bezahlen und hierzu die Anwendung 'Elektronische Börse' seiner Chipkarte 3 nutzen, so wird die Chipkarte 3 in den Kartenleser 2 eingeführt. Vom Terminal 1 wird danach eine Nachricht an den mobilen Datenträger 6 gesendet. Das auf dem mobilen Datenträger 6 installierte Betriebssystem entnimmt dieser Nachricht, welche Anwendung auszuführen ist. Mit Hilfe dieser Information wählt das Betriebssystem ein entsprechendes Sicherheitsmodul 7 aus. Dieses Sicherheitsmodul 7 steht dann zur weiteren Ausführung der Anwendung zur Verfügung.

Mit Hilfe der Ver- und Entschlüsselungsfunktionen des Sicherheitsmoduls 7 können im Rahmen der auszuführenden Anwendungen Daten zwischen der Chipkarte 3 und dem Terminal 1 ausgetauscht werden. Bei der Anwendung 'Elektronische Börse', werden mit Hilfe der sicherheitsrelevanten Funktionen des Sicherheitsmoduls 7 insbesondere eine Transaktionseinheit erstellt und das Guthaben auf der Chipkarte 3 um den Betrag verringert, welcher dem Händler zu zahlen ist. Die Transaktionseinheit umfaßt beispielsweise Informationen über den Kunden, den Händler und die elektronische Börse, welche genutzt wurde.

Mit Hilfe der Sicherheitsmodule 7, 8 ist einerseits bei deren Nutzung im Rahmen der elektronischen Börse stets prüfbar, ob Manipulationen an der Chipkarte 3 vorgenommen wurden. Andererseits ist der Ablauf der Transaktion am Terminal 1 selbst mittels der Sicherheitsmodule 7, 8 kontrollierbar. Wird eine Unkorrektheit in einem der beiden Fälle festgestellt, so kann die Ausführung der Transaktion mittels der Funktionen in den Sicherheitsmodulen 7, 8 ganz verhindert werden oder abgebrochen werden.

Möchte ein weiterer Kunde zu einem späteren Zeitpunkt mit der Kreditkarte 4 bezahlen, so wählt das Betriebssystem des mobilen Datenträgers 3 auf Anforderung durch das Terminal 1 das Sicherheitsmodul 8 aus. Es stehen dann die für die Anwendung 'Kreditkarte' notwendigen sicherheitsrelevanten Funktionen zur Verfügung.

Es kann vorteilhaft vorgesehen sein, daß die Sicherheitsmodule 7, 8 auf dem mobilen Datenträger zusätzlich durch ein Passwort geschützt sind. Das Passwort kann insbesondere Zahlen- und Buchstabenzeichen umfassen. Dies bedeutet, daß nachdem ein Sicherheitsmodul 7, 8 für eine bestimmte Anwendung ausgewählt wurde, zunächst eine Passworteingabe von dem Benutzer verlangt wird. Hierzu weist das Terminal 1 ein Tastaturfeld 9 auf. Erst nachdem der Benutzer das richtige Passwort eingegeben hat, steht das Sicherheitsmodul 7, 8 für die weitere Ausführung der Anwendung zur Verfügung. Gibt der Benutzer mehrmals ein falsches Passwort ein, wird die Anwendung abgebrochen.

Neben der Nutzung des erfindungsgemäßen mobilen Datenträgers 6 mit den Sicherheitsmodulen 7, 8 in einem Terminal 1, mittels welchem bei einem Händler gezahlt werden kann, ist es auch möglich, den mobilen Datenträger 6 in einem Bankterminal zu nutzen, wobei an dem Bankterminal ein Guthaben auf die Chipkarte 3 geladen werden kann. Auch bei dieser Anwendung sind sicherheitsrelevante Funktionen zum Laden des Guthabens auf die Chipkarte notwendig. Diese sicherheitsrelevanten Funktionen werden mit Hilfe der Sicherheitsmodule 7, 8 zur Verfügung getstellt.

Das Terminal 1 kann vorzugsweise auch als Ladegerät in Verbindung mit einer elektronischen Börse nutzbar sein. Mit Hilfe dieses Ladegerätes sind Geldbeträge als Guthaben auf die Chipkarten 3 der Kunden der elektronischen Börse ladbar. Bis zur Höhe dieser Guthaben kann der Kunde anschließend seine Chipkarte 3 zum Bezahlen bei den Händlern nutzen.

Die Sicherheitsmodule 7, 8 können, wenn das Terminal 1 auch als Ladegerät ausgebildet ist, eine Funktion aufweisen, mit deren Hilfe ein Höchtsbetrag für die ladbaren Geldbeträge festlegbar ist. Es kann ein Höchstbetrag für einen einzelnen Ladevorgang vorgesehen sein, aber auch eine Höchstbetrag für eine Summe von Ladevorgängen ist vorsehbar. Ist der Höchstbetrag erreicht, so ist im einen Fall verhinderbar, daß ein diesen Höchstbetrag übersteigendes Guthaben geladen wird. Im anderen Fall ist mit Hilfe der Funktion des Sicherheitsmoduls 7, 8 verhinderbar, das weitere Ladevorgänge an dem Terminal 1 ausgeführt werden können. Es muß dann der Höchstbetrag wieder erneuert werden.

Der jeweilige Höchstbetrag ist vorzugsweise bereits beim Aufbringen des Sicherheitsmoduls 7, 8 auf den mobilen Datenträger 3 festlegbar. Er ist aber auch im Verlauf der Lebensdauer des mobilen Datenträgers veränderbar. Beispielsweise kann autorisierten Personen mit Hilfe der Eingabe eines Codes mittels dem Tasturfeld 9 die Möglichkeit gegebenen werden, den Höchstbetrag zu erneuern oder zu verändern. Andererseits kann vorgesehen sein, daß der Höchstbetrag über eine on-line Verbindung des Terminals 1 zu einem Rechenzentrum des Inhabers der elektronischen Börse erneurbar und veränderbar ist.

Besonders vorteilhaft ist die Nutzung des Höchstbetrages auf den Sicherheitsmodulen 7, 8 in Verbindung mit off-line Terminals. Diese Terminals sind hierdurch vor unbegrenztem Mißbrauch schützbar. Wird ein solches Terminal gestohlen, so ist der Schaden dadurch begrenzbar, daß Ladevorgänge mittels dem Terminal nur für eine bestimmten, zeitlich begrenzten Zeitraum ausführbar sind.

BEZUGSZEICHENLISTE

1

Terminal

2

Kartenleser

3

Chipkarte

4

Kreditkarte

5

Schreib-/Lesegerät

6

mobiler Datenträger

7

,

8

Sicherheitsmodul

9

Tastaturfeld

Claims (11)

1. Mobiler Datenträger (6) als Zahlungsmittel zumindest enthaltend,
einen Prozessor,
einen Speicher
eine Schnittstelle, wobei der mobile Datenträger in ein Terminal einsteckbar ist und wobei der mobile Datenträger über die Schnittstelle Daten mit dem Terminal austauschen kann,
zumindest zwei Sicherheitsmodule (7, 8) zur Durchführung verschiedener Zahlungsanwendungen, wobei die Sicherheitsmodule (7, 8) jeweils sicherheitsrelevante Daten und/oder Sicherheitsrelevante Funktionen umfassen und daß die Sicherheitsmodule (7, 8) jeweils mit Hilfe eines Passwortes schützbar sind.

2. Mobiler Datenträger (6) nach Anspruch 1, dadurch gekennzeichnet, daß durch die Sicherheitsmodule (7, 8) eine Ausführung von Zahlungsanwendungen, die eine Nutzung des Terminals (1) umfassen, verhinderbar ist.

3. Mobiler Datenträger (6) nach Anspruch 1, dadurch gekennzeichnet, daß auf dem mobilen Datenträger (6) ein Betriebssystem installierbar ist, wobei die sicherheitsrelevanten Funktionen der Sicherheitsmodule (7, 8) mit Hilfe des Betriebssystems ausführbar sind.

4. Mobiler Datenträger (6) nach Anspruch 3, dadurch gekennzeichnet, daß mit Hilfe des Betriebssystems ermittelbar ist, welches Sicherheitsmodul (7, 8) für eine Ausführung einer bestimmten Zahlungsanwendung, die eine Nutzung des Terminals (1) umfaßt, nutzbar ist.

5. Mobiler Datenträger (6) nach Anspruch 1, dadurch gekennzeichnet, daß die Sicherheitsmodule (7, 8) in verschiedenen Bereichen des Speichers angeordnet sind.

6. Mobiler Datenträger (6) nach Anspruch 1, dadurch gekennzeichnet, daß eine der Zahlungsanwendungen, welche die Benutzung des Terminals (1) vorsieht, eine elektronische Börse umfaßt.

7. Mobiler Datenträger (6) nach Anspruch 6, dadurch gekennzeichnet, daß das Sicherheitsmodul, welches für die Zahlungsanwendung mit der elektronischen Börse nutzbar ist, eine Funktion zur Begrenzung eines Geldbetrages aufweist, wobei der Geldbetrag die Summe der Guthaben ist, die auf Chipkarten von Kunden der elektronischen Börse ladbar sind.

8. Mobiler Datenträger (6) nach Anspruch 7, dadurch gekennzeichnet, daß der Gelbetrag die Summe der Guthaben in einem bestimmbaren Zeitraum umfaßt.

9. Mobiler Datenträger (6) nach Anspruch 7, dadurch gekennzeichnet, daß die Begrenzung des Gelbetrages nach einer Eingabe eines vertraulichen Codes mittels einem Tasturfeld (9) des Terminals (1) veränderbar ist.

10. Mobiler Datenträger (6) nach Anspruch 7, dadurch gekennzeichnet, daß der Geldbetrag ausschließlich veränderbar ist, wenn zwischen dem Terminal (1) und einer Rechenzentrale der elektronischen Börse eine on-line Verbindung ausgebildet ist.

11. Mobiler Datenträger (6) nach Anspruch 7, dadurch gekennzeichnet, daß das Terminal (1) als off-line Terminal ausbildbar ist.