Nach einer Abgrenzung des Begriffs 'Homebanking' wurde die Bedeutung des Homebankings und die Notwendigkeit seiner Absicherung gegen Mißbrauch hervorgehoben.
Bei der Darstellung der Genese des neuen Homebanking-Standards HBCI wurde aufgezeigt, daß seine Entwicklung wesentlich durch den BdB einerseits und durch die Sparkassenorganisation andererseits geprägt ist. Dies hat zu zwei alternativen Sicherheitslösungen geführt, die den Standard (abgesehen von den inkorporierten Fremdformaten) unnötig komplex machen. Außerdem existieren nun Client- und Server-seitig zwei konkurrierende Implementationen von HBCI. Kritisch zu bemerken ist, daß der Standard kein Testprotokoll für deren Zertifizierung festschreibt.
Anschließend wurden die wichtigsten Elemente der HBCI-Spezifikation vorgestellt. Den Schwerpunkt bildeten hierbei der grundlegende Aufbau von HBCI-Nachrichten und alle sicherheitsrelevanten Aspekte. Die konkreten Formate bestimmter Geschäftsvorfälle waren für diese Arbeit nicht von Belang. Die in ihnen enthaltenen Informationen wurden aber innerhalb der Schutzbedarfsanalyse aufgeführt.
Eine Würdigung der durch HBCI verwendeten kryptographischen Algorithmen und ihrer inhärenten Risiken ergab keine wesentlichen Sicherheitsbedenken. Auf längere Sicht erscheint jedoch die RSA-Schlüssellänge von 708 bis 768 Bit als zu kurz.
Das HBCI-API des BdB implementiert das RDH-Verfahren mit einem software-basierten Sicherheitsmedium. Das Konzept zum Schutz persistenter Daten wurde vom Autor mitentwickelt und in dieser Arbeit eingehend beschrieben. Detailliert wurde die Berechnung von Sicherheitscodes, die Datenspeicherung und die Erzeugung von Pseudo-Zufallszahlen dargelegt. Bei dem Entwurf der internen Sicherheitsmechanismen des API wurde großer Wert auf die Chiffrierung sensitiver Daten und eine sichere Verarbeitung der Paßphrase gelegt.
Die Vorstellung der Grundlagen beschloß eine Diskussion der Sicherheitsaspekte von PCs und der Betriebssysteme Windows 95 und Windows NT.
Als Vorbereitung der Risikoanalyse wurden verschiedene Ansätze zur methodischen Durchführung der Untersuchung besprochen. Das im IT-Sicherheitshandbuch des BSI vorgestellte Verfahren erwies sich als adäquat für die hier vorgenommene Risikoanalyse. Die dort verwendete Terminologie wurde anhand der 'Operationsfolge eines Angriffs' nach Howard eingeführt. Es folgte die Klassifikation der Täter und der Angriffe. Für letztere wurden drei Perimeter unterschieden, die den Einwirkungsgrad eines Angriffs auf den Kunden-PC charakterisieren.
Die Risikoanalyse wurde nach Eingrenzung des Untersuchungsgegenstands für ein HBCI-Kundensystem auf Basis des HBCI-API durchgeführt. Dies setzte die Verwendung eines 32-Bit-Windows-Betriebssystems, den Einsatz des RDH-Verfahrens mit software-basiertem Sicherheitsmedium und die Kommunikation via TCP/IP voraus. Bewertungen und die Festlegung der Sicherheitsziele erfolgten aus Sicht eines Privatkunden.
Die Schutzbedarfsanalyse wurde bezogen auf einzelne Geschäftsvorfälle durchgeführt. Sie bestätigte, daß Homebanking ein hohes Sicherheitsniveau erfordert.
Innerhalb der Bedrohungsanalyse wurde, getrennt nach acht Objektgruppen, eine Vielzahl von Schwachstellen identifiziert. Einige davon ließen sich direkt aus der HBCI-Spezifikation ableiten. Andere betrafen zum Beispiel technische Probleme der Hardware oder Sicherheitslücken in den Windows-Betriebssystemen. Außerdem wurden Schwächen im Pseudo-Zufallszahlengenerator des HBCI-API aufgedeckt.
Anschließend wurden die Schutzmaßnahmen betrachtet, von denen angenommen werden konnte, daß sie in jedem Kundensystem vorhanden seien. Sodann konnten die verbleibenden Bedrohungen identifiziert werden. Es folgte eine Abschätzung der Schadenswerte und Eintrittshäufigkeiten und schließlich die Ableitung der vorherrschenden Risiken.
Die Risikoanalyse ergab mehrere untragbare Risiken, die vor allem mit Gefährdungen im Bereich der Hardware, Software und Kommunikation einhergehen. Besonders hohe Risiken bestehen für die Kompromittierung der beiden primären Schutzmaßnahmen, namentlich der Paßphrase und der Sicherheitsdiskette. Die Sicherheitsziele werden daher nicht erreicht und eine Nachbesserung der Schutzmaßnahmen wird dringend empfohlen.