ISSN 1436-3011

02.09.2010

Zahlungssysteme / E-Banking
Einwurf

Sicherheit im Business-to-Consumer-Markt - um jeden Preis?

Selbst heute noch redet alle Welt von den Zauberworten E-Business, E- und M-Commerce als einzige Lösung, um Kunden zu halten, neue zu gewinnen, in neue Märkte zu expandieren, kostengünstiger zu produzieren etc. - kurz, um auch zukünftig wirtschaftlich bestehen zu können. Betrachtet man die Bemühungen der letzten Jahre, Geschäftsprozesse digital abzubilden, und nähme all diese Aussagen ernst, müssten wir mittlerweile von florierenden E-Landschaften umgeben sein.

Ein Blick in die Realität belehrt uns eines Besseren und schon suchen die E-Propheten verzweifelt nach den Gründen. Schnell haben sie neben aktuellen wirtschaftlichen Entwicklungen, wie der Schwächephase der New Economy, vor allem ein Argument zur Erklärung des mangelnden Erfolges der E-Strategien traditioneller Unternehmen ausgemacht: Es fehlte die Sicherheit

Oberflächlich betrachtet mag das ja wohl stimmen und der Ruf nach Sicherheit für E-Commerce und Internet ist nachvollziehbar. Schließlich wird selbst in den Tagesthemen vor Code Red, Melissa oder anderen bösartigen Computerviren gewarnt und von gefährlichen Hackern berichtet. Und wie könnte denn heute ein Unternehmen ohne Schutz seiner Firmencomputer, internen Kommunikationsnetze und damit ohne die Sicherheit seiner Business Assets - den gespeicherten Daten seiner Kunden und Geschäftspartner - existieren. Auch der Kunde wird schließlich daran interessiert sein, im Internet keinen Betrügern aufzusitzen und sicher bezahlen zu können.

Der Ruf nach Sicherheit wurde von der IT-Industrie freudig vernommen und man sprang gerne auf den sicheren Zug. Experten zogen kryptografische Lösungen zur Verschlüsselung, zur digitalen Signatur und Biometrie sowie aufwendige Einsatzszenarien aus der Schublade. Auch hörten wir lange, dass ohne digitale Signaturen mit rechtlichen Regelungen kein wirtschaftlicher Erfolg mit und im Internet zu machen sei. Selbst die Politik wollte sich nicht länger Untätigkeit vorwerfen lassen und als Bremser des E-Commerce dastehen, weshalb hastig entsprechende Gesetze und Verordnungen auf den Weg gebracht wurden.

Alles hätte so schön sein können, aber leider hatten nur wenige aus Wissenschaft, Industrie und Politik das Wichtigste im Blick - den Kunden und Nutzer neuer E-Landschaften sowie dessen Bedürfnisse. Und so stehen wir nun heute - umgeben von Signaturgesetz, Architekten und Produzenten von Hochsicherheitslösungen - immer noch in der E-Wüste und fragen uns: Was ist diesmal schief gelaufen?

Der Einsatz von Internet und Co in Geschäftsprozessen ist zwar für alle Beteiligten vorteilhaft, jedoch sind die Vorteile beim Käufer eher im Bereich Convenience - schneller und jederzeit bestellen - zu suchen, während sie sich beim Verkäufer auch direkt ökonomisch auswirken. Dies motiviert, in Lösungen zur elektronischen Durchführung von Geschäftsprozessen zu investieren und, den E-Propheten folgend, neue Sicherheitstechniken, allen voran PKI und digitale Signatur, gleich mit einzuführen.

Natürlich ist sowohl der Aufbau als auch die Nutzung neuer Sicherheitsdienste mit Aufwand und Kosten für den Betreiber verbunden, und bislang gehen aktuelle Geschäftsmodelle davon aus, dass zusätzliche Kosten für Sicherheit direkt oder indirekt auf den Kunden umgelegt werden können. Entweder kauft also der Kunde selbst die erforderliche Hard- und Software oder er bekommt sie vom Anbieter kostenlos zur Verfügung gestellt und bezahlt sie dann durch höhere Produktpreise peu à peu ab. Freilich hat dieses Geschäftsmodell für Sicherheit einen Haken: Kunden zahlen nicht für sicheres Einkaufen im Internet

Unbestritten ist, dass Privatpersonen, Kunden und potenzielle Käufer ein wachsendes Sicherheitsbedürfnis, genährt durch die zunehmende Bedrohung durch Computerviren, haben. Gerne ist man bereit, privat Geld für aktuellste Sicherheitsprogramme auf dem heimischen PC, wie Virenscanner und Personal Firewalls, auszugeben. Im Kontext von B2C-Anwendungen ist dagegen eine andere - die herrschende - Erwartungshaltung der Kunden zu berücksichtigen. Er sieht es als Pflicht des Verkäufers an, den Schutz und die Sicherheit beim Einkaufen zu garantieren und alles Notwendige dafür zu tun. Schließlich ist dies die primäre Aufgabe eines Anbieters von Waren und Dienstleistungen, um das Vertrauen seiner potenziellen Kunden zu werben und es nicht zu enttäuschen. Sicherheit über das bisher gekannte Maß hinaus wird nicht als eigenständiger Mehrwert vom Kunden wahrgenommen. Eine neue technische Lösung zum sicheren Einkaufen darf weder den Kunden in seinem Komfort einschränken noch bei ihm zu offensichtlichen ökonomischen Belastungen führen.

In der Euphorie über das Internet und neue Sicherheitstechniken hat man schlicht und einfach übersehen, dass der Sicherheitsmechanismus des traditionellen Handels und Wirtschaftens - das Vertrauen - auch weiterhin unerlässlich ist. In der realen Welt sind Geschäfte durch Vertrauenshandlungen und Vertrauenserwartungen von Käufer und Verkäufer charakterisiert. Auch räumliche Trennung der Beteiligten und Kommunikation über Telefon, Fax und Brief änderte an dieser Maxime nichts, denn es gibt etablierte Methoden, um Unsicherheiten vor und nach den Transaktionen zu kompensieren, etwa wenn Warenlieferung und Zahlung Zug um Zug erfolgen. Die Notwendigkeit eines Vertrauensverhältnisses zwischen Kunden und Verkäufer könnte durch Einsatz der Sicherheitstechnologie digitale Signatur und ihre rechtliche Verankerung in Frage gestellt werden, denn sie binden Kunden stärker an die Folgen ihres Handelns im Internet. Prinzipiell korrekt, da im Streitfall vor Gericht die Beweislage bei digital signierten Transaktionen einfacher ist. Allerdings ist es eine Sache, Recht zu bekommen, und eine andere, seine Forderungen bei säumigen Zahlern durchzusetzen. Insgesamt bleibt daher der zeitliche und finanzielle Aufwand zum Durchsetzen berechtigter Forderungen aus Sicht des Verkäufers auch bei Einsatz qualifizierter elektronischer Signaturen gemäß dem Signaturgesetz nahezu unverändert hoch und risikobehaftet.

Der Erfolgsfaktor im klassischen wie auch elektronischen B2C-Markt ist und bleibt ein tragfähiges Vertrauensverhältnis zwischen Kunden und Verkäufer. In langjähriger Erfahrung haben sich im Direkt- und Versandhandel mit physikalischen Gütern Prozesse und Maßnahmen zur Prüfung der Sinnhaftigkeit von Bestellungen und zur Durchsetzung von Regressansprüchen entwickelt und als ökonomisch zweckmäßig erwiesen. Die dort etablierten Geschäftsmodelle basieren auf dem Grundsatz: Einem Kunden lieber erst einmal einen Vertrauensvorschuss zu gewähren, als einen guten Kunden durch überzogene und unbequeme Sicherheitsmaßnahmen zu verprellen.

Die Investition in neue IT-Sicherheit ist kein Selbstzweck und nur dann vertretbar, wenn Aufwände entweder durch Gewinne in bisher nicht erschließbaren Geschäftsfeldern kompensiert werden oder zu Einsparungen an bestehenden System- und Organisationskosten führen. Der Kern und die treibende Kraft von E-Commerce-Anwendungen sind innovative Geschäftsideen und Dienste, jedoch nicht neue Sicherheitstechniken. IT-Sicherheit sollte nur als Hilfsmittel zur Stützung vorhandener Geschäftsmodelle, die auf Vertrauen zwischen Kunden und Verkäufer ausgelegt sind, verstanden werden.

HMD, Heft 224, April 2002