DE19501601C1 - Verfahren und Vorrichtung zum sicheren Erfassen von Daten der Nutzung eines Kommunikationssystems - Google Patents

Description

Die Erfindung betrifft ein Verfahren nach dem Oberbegriff des Anspruchs 1 und eine Vorrichtung nach dem Oberbegriff des Anspruchs 16 zum sicheren Erfassen von Daten der Nutzung eines Kommunikationssystems.

Bei der entgeltlichen oder kostenpflichtigen Nutzung eines Kommunikationssystems, wie insbesondere eines Telefonnetzes, aber auch von über ein solches erreichbare Datenbanken oder dergleichen tritt das Problem auf, daß die Nutzung des Systems durch unberechtigte Dritte zu Lasten des Teilnehmers erfolgen kann, die sich beispiels­ weise auf die ungesicherte Verbindungsleitung des Teil­ nehmers zum Kommunikationssystem in einem Bereich auf­ schalten können, der außerhalb des Einflußbereiches des Teilnehmers liegt. Beispielsweise können sich unberech­ tigte Dritte auf Telefonleitungen eines Teilnehmers aufschalten, insbesondere eine vom Teilnehmer erstellte Verbindung zu einer Ortsvermittlung durch Einschalten eines niederohmigen Abschlusses aufrechterhalten und für eigene Kommunikationen nutzen. Dies kann erhöhte Telefon­ rechnungen für einen Teilnehmer ergeben, aufgrund von Telefongesprächen, die er nicht geführt hat.

Aufgrund dieses Problems sollen für Teilnehmer Einzelab­ rechnungen erfolgen, die aber das Grundproblem der unbe­ rechtigten Nutzung nicht lösen, sondern für Teilnehmer und Systembetreiber bestenfalls nachträglich eine unzu­ lässige Nutzung erkennbar machen; auch ergeben sich Probleme des Datenschutzes, auch wenn einige Endziffern der in der Einzelaufstellung enthaltenen angewählten Telefonnummern fortgelassen werden, wenn die entsprechen­ den Aufstellungen Mitbewohnern oder anderen Mitarbeitern zugänglich werden.

Bei einem Kommunikationssystem, wie insbesondere dem Telefonnetz, ist es möglich, die Daten der Nutzung eines Teilnehmers, die zur Abrechnung verwendet werden, d. h. insbesondere Daten über die Identität des Teilnehmers und Daten über die Zeit oder Intensität der Nutzung zu mani­ pulieren, sei es insbesondere letztere durch den Teilneh­ mer selbst, sei es, indem Dritte die Leitung eines Teil­ nehmers und damit auf Kosten desselben das Kommunika­ tionssystem nutzen und damit über die Identität des tatsächlichen Nutzers irreführen bzw. diese manipulieren. Hierdurch kann entweder der Systembetreiber, in Deutsch­ land bisher eben im Festnetz die Telekom, oder aber auch ein Nutzer geschädigt werden. Hierbei sind die Daten oder Nutzungsdaten des Teilnehmers, die zur Abrechnung verwen­ det werden, streng von Nutzdaten, womit die übertragene Sachinformation bezeichnet wird, zu unterscheiden.

So betrifft die WO93/21711 ein Verfahren zum Erkennen einer unberechtigten Wiedereinspielung beliebiger von einem Sender zu einem Empfänger übertragener Daten, also von Daten, die schon einmal übertragen wurden. Sie sieht hierzu vor, daß die übertragenen Daten aus Nutzdaten bestehen, die die eigentliche zwischen Sender und Empfän­ ger übermittelte Sachinformation enthalten, und aus einer Signatur, die aus den Nutzdaten selbst entwickelt wurde, also für die Nutzdaten charakteristisch ist, wobei die Signatur symmetrisch verschlüsselt wird und der Schlüssel von die Übertragung zwischen Sender und Empfänger be­ zeichnenden Kopplungsdaten abhängig sein sollen. Nach Anspruch 2 der Druckschrift sollen die Kopplungsdaten dabei Daten der Zeit oder des Empfängers beinhalten, wobei im Grunde lediglich die Daten der Zeit der ersten Übermittlung das der Druckschrift zugrunde liegende Problem lösen, nämlich ein Wiedereinspielen erkennbar zu machen.

Die Druckschrift betrifft daher nicht ein Verfahren zum sicheren Erkennen von Daten der Nutzung eines Kommunika­ tionssystems, also der Daten, die insbesondere Informa­ tionen über Dauer, Datenvolumen, Absender und Empfänger enthalten, gegenüber dem Systembetreiber, sondern es geht um die Sicherung der zwischen Sender und Empfänger ausge­ tauschten Nutzdaten als übertragener Sachinformation.

Die unter anderem auf die Erfinder der WO93/21711 zurück­ gehende DE-Z: Leclerc, M. et al.: Sichere Kommunikations­ netze und deren Protokolle, in: Informationstechnik it 32, 1990, H.1, S. 33-45, betrifft einen ähnlichen Sach­ verhalt wie die vorgenannte WO93/21711. Sie befaßt sich mit der Sicherung der zwischen Sender und Empfänger übermittelten Sachinformation gegenüber dem Empfänger, also zwischen den beiden Endsystemen, wobei als wichtig­ ster Punkt die Senderauthentifizierung (gegenüber dem Empfänger) als Authentifizierung des Nachrichtenursprungs angesprochen wird. Der Netzbetreiber kommt in diesem Artikel nur insofern vor, als er ggf. die Authentifizie­ rung bzw. den Schutz der übertragenen Daten sicherzustel­ len hat. Auch diese Druckschrift befaßt sich damit nicht mit dem sicheren Erfassen von Daten der Nutzung eines Kommunikationssystems eines Systembetreibers durch einen Teilnehmer bei einer Kommunikation mit einem anderen Teilnehmer und kann daher nicht als gattungsgemäße ange­ sehen werden.

Der Erfindung liegt ausgehend von dem eingangs genannten Stand der Technik und der eingangs geschilderten Proble­ matik die Aufgabe zugrunde, unter Vermeidung der vorge­ nannten Nachteile ein Verfahren und eine Vorrichtung zum sicheren Erfassen von Daten der Nutzung eines Kommunika­ tionssystems eines Systembetreibers durch einen Teilneh­ mer zu schaffen, die sowohl eine unberechtigte Nutzung durch den Teilnehmer selbst oder sich unzulässig ein­ schaltende Teilnehmer vermeidet als auch für einen Teil­ nehmer die Nutzungsdaten korrekt und nachprüfbar erfaßt, so daß Schädigungen von Teilnehmer und/oder Systembetrei­ ber ausgeschlossen werden.

Erfindungsgemäß wird die genannte Aufgabe bei einem Verfahren der eingangs genannten Art gelöst durch das kennzeichnende Merkmal des Anspruchs 1 und bei einer Vorrichtung durch das kennzeichnende Merkmal des Anspruchs 16.

Als Teilnehmerdaten kommen allgemein Daten in Frage, die in einer entsprechenden Sicherheitseinrichtung fest eingespeichert sind, oder Daten, die nur einem Teilnehmer zugänglich sind und durch diesen bei einer Verbindungsan­ forderung eingegeben werden können. Die Sicherheitsein­ richtung kann in ein Telefon oder eine Nebenstellenanlage integriert sein, sie kann auch ein hiervon separates, zusätzliches Teil sein. Bei einer bevorzugten Ausgestal­ tung der erfindungsgemäßen Vorrichtung dahingehend, daß die Sicherheitseinrichtung einen Anschluß für ein porta­ bles Sicherheitsmodul aufweist, kann es sich bei den den Teilnehmer charakterisierenden, zur Durchführung der Authentifikation verwendeten Daten auch um in einem solchen Modul gespeicherte Teilnehmer-Daten handeln. Ein solches portables Sicherheitsmodul ist in der Regel als sogenannte Chip-Karte ausgeführt.

Authentifikation beinhaltet hierbei, daß die Sicherheits­ einrichtung dem Kommunikationssystem bzw. dem Systembe­ treiber beweist, daß er eben der fragliche Teilnehmer ist und niemand sonst dem System beweisen kann, daß er der fragliche Teilnehmer ist, wobei je nach Ausgestaltung des Verfahrens nicht einmal der Systembetreiber selbst dies tun könnte. Geeignete Authentifikationsverfahren sind als solche bekannt.

Die bei solchen Authentifikationsverfahren erzeugten authentifizierenden Daten (Authentikatoren) sind bei­ spielsweise: digitale Unterschriften (z. B. nach Digital Signature Standard), message authentification codes (z. B. nach Standard ISO 8731-2) oder Mischformen bzw. Abwand­ lungen davon.

Wesentlicher Kern der Erfindung ist, daß nicht nur der Teilnehmer gegenüber dem Kommunikationssystem authentifi­ ziert wird, sondern darüber hinaus auch eine Authentifi­ kation der Verbindungsdaten erfolgt, da andernfalls ein unberechtigter Dritter eine Verbindung in der schon oben beschriebenen Weise neu aufbauen könnte.

Die Authentifikation der Verbindungsdaten beinhaltet grundsätzlich die Authentifikation von Verbindungsaufbau­ daten. Gemäß alternativer bevorzugter Ausgestaltungen kann darüber hinaus die Authentifikation von Verbindungs­ abbaudaten vorgesehen sein und/oder es kann vorgesehen sein, daß während der Verbindung vom Teilnehmer zum Kommunikationssystem Daten zur Authentifikation übertra­ gen werden.

Werden vom berechtigten Teilnehmer Verbindungsabbaudaten an das Kommunikationssystem übertragen bzw. bricht die während einer Verbindung erfolgte Übertragung authentifi­ zierter Daten ab, so erkennt das Kommunikationssystem, daß der berechtigte Teilnehmer seine Verbindung beendet hat und möglicherweise ein unberechtigter Teilnehmer die aufgebaute Verbindung zu nutzen versucht und kann daher die Verbindung seinerseits beenden.

Verbindungsaufbaudaten können ohne weiteres vor Herstel­ len der physikalischen Verbindungen zu einem gewünschten Zielteilnehmer an das Kommunikationssystem übermittelt werden. Wenn die Authentifikation von Verbindungsabbauda­ ten erfolgen soll, so kann in bevorzugter Ausgestaltung vorgesehen sein, daß nach Beendigung einer Nutzungsver­ bindung durch den Teilnehmer noch für eine vorgegebene kurze Zeit Verbindungsabbaudaten übermittelt werden, worauf eine Weiterbildung vorsieht, daß nach Übermittlung von Verbindungsabbaudaten die Verbindung durch das Kommu­ nikationssystem abgebaut wird. Um darüber hinaus Manipu­ lationen am Rechner des Kommunikationssystems zu verhin­ dern, erweitert sich der erfindungsgemäße Anspruch dahin­ gehend, daß an dieser Stelle überprüfte, z. B. zertifi­ zierte Software einzusetzen ist.

In diesem Falle sind keine aufwendigen vorrichtungsmäßi­ gen Voraussetzungen erforderlich. Wenn Verbindungsdaten während der Teilnehmerverbindung an das Kommunikationssy­ stem, wie eine Ortsvermittlungsstelle, übermittelt werden sollen, so kann dies in einem Telefonnetz per Einwegsi­ gnalisierung über Tonwahl im Rahmen des Mehrfrequenzwahl­ verfahrens (MFV) oder bei Zweiwegsignalisierung über Data-over-Voice-Technologie erfolgen. Dabei wird eine Datenübertragung z. B. in nicht genutzten Frequenzberei­ chen durchgeführt. Bei ISDN können Daten während der Nutzverbindung im Signalisierungskanal, wie dem D-Kanal, übertragen werden. In analoger Form können ebenfalls Verbindungsdaten sowie Authentifikatoren vom Kommunika­ tionssystem zum Benutzer übertragen werden, wobei insbe­ sondere im Fall, daß dies von der Ortsvermittlungsstelle passiert, ohne Schwierigkeiten z. B. in Gebührenimpulsen codierte Information übertragen werden kann.

Es geht bei der Erfindung also um das Verhältnis zwischen dem Teilnehmer oder Nutzer, der gebührenpflichtig das Kommunikationssystem nutzt, und dem Systembetreiber. Die Sicherung der Übertragung der Sachinformation zwischen zwei Teilnehmern, insbesondere einem Sender und einem Empfänger, kann grundsätzlich in der gleichen Weise geschehen, wie dies im zitierten Stand der Technik vorge­ schlagen wird.

Gemäß einer bevorzugten Weiterbildung kann vorgesehen sein, daß die Zahl der Nutzungen teilnehmerseitig gezählt wird und die der jeweiligen Nutzung entsprechende Zahl in die Authentifikation eingeht. Hierdurch wird vermieden, daß ein unberechtigter Dritter Verbindungsdaten, wie insbesondere Verbindungsaufbaudaten, abfängt und zur Erzeugung einer unberechtigten erneuten Verbindung nutzt; in weiterer bevorzugter Ausgestaltung kann vorgesehen sein, daß während der Verbindung ansteigende Zähl-Daten verschlüsselt übertragen werden. Hierdurch wird verhin­ dert, daß ein unberechtigter Dritter während der Verbin­ dung übertragene Daten abfängt und nach Beendigung der berechtigten Verbindung zur Aufrechterhaltung einer eigenen gewünschten Verbindung benutzt. Das erfindungsge­ mäße Verfahren sieht nämlich weiterhin vor, daß das Kommunikationssystem die Verbindung beendet, wenn es keine oder falsche Authentifikations- oder Zähl-Daten empfängt. Während es grundsätzlich möglich ist, daß Nutzungsdaten, also Daten der Nutzung des Systems durch den Teilnehmer, wie eben dessen Teilnehmerdaten und Verbindungsdaten, nur durch das Kommunikationssystem erfaßt werden, sieht eine äußerst bevorzugte Weiterbil­ dung vor, daß auch teilnehmerseitig Nutzungsdaten erfaßt werden. In diesem Falle können die teilnehmerseitig erfaßten Nutzungsdaten an das Kommunikationssystem über­ mittelt und mit den dort erfaßten Nutzungsdaten vergli­ chen werden, so daß sogleich nach Beendigung einer be­ rechtigten Teilnehmerverbindung eine Überprüfung und ein Abgleich erfolgen kann. Im Falle der Zweiwegsignalisie­ rung erfolgt eine gegenseitige Signalisierung und ein Abgleich.

In bevorzugter Ausgestaltung kann vorgesehen sein, daß vom Kommunikationssystem Informationen zur Bestimmung von Nutzungsdaten an den Teilnehmer übermittelt werden. Im Rahmen eines Telefonnetzes als Kommunikationssystem handelt es sich bei den fraglichen Informationen in der Regel um nicht bekannte Gebührenimpulse, die insbesondere auch authentifiziert zum Teilnehmer übertragen werden können. Die erfindungsgemäße Vorrichtung sieht in diesem Falle vor, daß die Sicherheitseinrichtung eine Einheit zum Empfang und zur Verarbeitung von Nutzungs-Informatio­ nen aufweist. Alternativ kann zur teilnehmerseitigen Berechnung von Nutzungsdaten vorgesehen sein, daß die Sicherheitseinrichtung eine Echtzeituhr oder aber eine Funkuhr aufweist. In letzterem Falle wird die Sicherheit des Kommunikationssystems bzw. seines Systembetreibers gegenüber Manipulationen durch den Teilnehmer in bevor­ zugter Ausgestaltung dadurch gewährleistet, daß die Zeitimpulse für die Funkuhr an diese mit einem Authenti­ kator versehen übermittelt werden.

In weiterer bevorzugter Ausgestaltung kann vorgesehen sein, daß Nutzungsdaten teilnehmerseitig gespeichert werden und daß Nutzungsdaten teilnehmerseitig angezeigt werden, wobei insbesondere die Nutzungsdaten verschlüs­ selt werden, so daß diese nur ein berechtigter Teilneh­ mer, der einen entsprechenden Schlüssel besitzt, in Klarschrift lesen kann, womit verhindert wird, daß unbe­ rechtigte Dritte die Nutzungsdaten in Klarschrift zur Kenntnis nehmen.

Während die Erfindung grundsätzlich davon ausgeht, daß neben Teilnehmerdaten auch Verbindungsdaten vom Teilneh­ mer zum Kommunikationssystem übermittelt werden, kann in bevorzugter Ausgestaltung ebenfalls vorgesehen sein, daß das Kommunikationssystem sich gegenüber dem Teilnehmer authentifiziert.

Der Aufbau der Nutzverbindung kann erst nach erfolgter Eingabe der Wählinformation durch den Teilnehmer erfol­ gen; die Beendigung der Eingabe der Wählinformation kann in einfachster Weise dadurch angezeigt werden, daß das Wählen mit einem Endezeichen, beispielsweise dem bei einem Telefon vorgesehenen "*" (einem Stern), beendet wird. Alternativ kann vorgesehen sein, daß der Aufbau einer Nutzverbindung durch die Sicherheitseinrichtung zur Zeit der Eingabe der Wählinformation vom Teilnehmer erfolgt. In diesem Falle fügt die Sicherheitseinrichtung die Authentifikationsdaten in eine zeitlich gespreizte Absendung der Wählsignale ein.

Wenn ein portables Sicherheitsmodul, wie eine Chip-Karte, verwendet wird, so kann weiterhin vorgesehen sein, daß in diesem durch geeignete externe Einrichtungen Kommunika­ tionsgebühren eingespeichert werden, so daß sogleich eine Abrechnung der Kommunikationskosten nach Beendigung der Verbindung durch das portable Sicherheitsmodul erfolgen kann.

Die Sicherheitseinrichtung kann neben der Authentifika­ tion auch zum Erbringen zusätzlicher Sicherheitsfunktio­ nen dienen, wie beispielsweise einer Verschlüsselung der Kommunikation; weiterhin kann sie mit einer Sprachausgabe versehen sein.

Weitere Vorteile und Merkmale der Erfindung ergeben sich aus den Ansprüchen und aus der nachfolgenden Beschrei­ bung, in der ein Ausführungsbeispiel der Erfindung unter Bezugnahme auf die Zeichnung im einzelnen erläutert ist. Dabei zeigt

Fig. 1 eine schematische Darstellung der bevorzugten Ausgestaltung der erfin­ dungsgemäßen Vorrichtung zur sicheren Erfassung von Daten der Nutzung eines Kommunikationssystems; und

Fig. 2 ein eine bevorzugte Ausgestaltung des erfindungsgemäßen Verfahrens darstellendes Ablaufdiagramm.

Die erfindungsgemäße Vorrichtung 1 zur sicheren Erfassung von Daten der Nutzung eines Kommunikationssystems weist zunächst eine Sicherheitseinrichtung 2 auf. Im darge­ stellten Ausführungsbeispiel ist die Sicherheitseinrich­ tung 2 teilnehmerseitig mit einer Telefondose 3 verbun­ den. Es kann sich hierbei um eine Telefondose für ein analoges Telefon 4 handeln, wie sie derzeit als TAE-Dose realisiert ist; die Telefondose 3 kann auch eine Telefon­ dose für ein digitales Telefonsystem, ein ISDN-System, sein. Über die Telefondose 3 erfolgt die Verbindung zu einer digitalen Ortsvermittlung 6 mit einem Gebührener­ fassungsrechner als Teil der Kommunikationseinrichtung des Systembetreibers, der im dargestellten Ausführungs­ beispiel der Betreiber des entsprechenden Telefonsystems ist.

Bei dem Telefon 4 handelt es sich in der Regel um ein Tastaturtelefon mit einer Telefontastatur, wobei das Telefon in der Regel im Mehrfrequenzwählverfahren (MFV) betrieben wird, womit üblicherweise die Steuerung von Geräten möglich ist.

Bei der Sicherheitseinrichtung 2 handelt es sich im dargestellten Ausführungsbeispiel um ein dein Telefon 4 vorgeschaltetes Gerät. Die Sicherheitseinrichtung 2 weist einen Anschluß 2a auf, durch den ein portables Sicher­ heitsmodul 2b angeschlossen werden kann, in dem geheime Teilnehmerdaten gespeichert und gegebenenfalls bearbeitet werden können. Beim Sicherheitsmodul 2b kann es sich konkret um eine sogenannte Chip-Karte mit eigenem Prozes­ sor handeln. In diesem Falle ist der Anschluß 2a als schlitzförmige Aufnahme für die Chip-Karte ausgebildet. Alternativ könnten auch sämtliche zur Durchführung des Verfahrens erforderlichen Einheiten, insbesondere die geheimen Teilnehmerdaten und eine Einrichtung zur Bear­ beitung derselben in einer stationären Sicherheitsein­ richtung 2 selbst integriert sein.

Die Sicherheitseinrichtung 2 weist einen nicht flüchtigen Speicher 8 auf; im Speicher sind die die Teilnehmerstelle (das Telefon 4) bzw. allgemein den Teilnehmer charakte­ risierenden Schlüsseldaten gespeichert. Weiterhin sind Folgezähldaten gespeichert. Es kann sich um solche han­ deln, die die Anzahl der getätigten Anrufe charakterisie­ ren, oder auch zusätzlich kann es sich um Zähldaten handeln, die bei wiederholter Übermittlung von Informa­ tionen durch die Sicherheitseinrichtung an das Kommunika­ tionssystem die Anzahl der getätigten Übermittlungen charakterisieren.

In der Sicherheitseinrichtung 2 ist weiterhin eine Uhr 5, wie eine Echtzeituhr oder eine Funkuhr, integriert. Hierdurch können beim Verbindungsauf- und/oder Verbin­ dungsabbau zusätzlich die Dauer der bestehenden Verbin­ dungen und/oder die aktuelle Uhrzeit mitübertragen wer­ den.

Die Sicherheitseinrichtung 2 weist weiterhin einen Con­ troller 9 auf, dessen wesentliches Element ein Mikropro­ zessor ist. Mit dem Controller 9 sind ein Wähltondetektor 11, ein Signaltongenerator 12, ein Wähltongenerator 13, eine Leitungssteuerung 18 und ein Signaltondetektor 14 verbunden.

Die Leitungssteuerung 18 stellt fest, wenn vom Telefon 4 eine Verbindungsanforderung erfolgt, also der Telefonhö­ rer abgehoben ist und meldet dies an den Controller 9, der wiederum die Leitungssteuerung 18 veranlaßt, die Amtsleitung zu belegen. Der Wähltondetektor 11 stellt fest, wenn über die Tastatur ein Ziel-Teilnehmer ange­ wählt wird und damit Wähltöne erzeugt werden. Der Wähl­ tondetektor 11 meldet dies dem Controller 9. Nach der im weiteren zu erläuternden Überprüfung veranlaßt der Con­ troller 9 den Wähltongenerator 13, in Wähltöne codierte Information weiter an die digitale Ortsvermittlung 6 zu senden.

Der Signaltondetektor 14 wiederum stellt von der digita­ len Ortsvermittlung 6 ankommende Signaltöne, wie Freizei­ chen, Rufton, Besetztzeichen, Gebührenimpulse, fest, die der Controller 9 nach Überprüfung über den Signaltongene­ rator 12 an den Telefonhörer des Telefons 4 weitervermit­ telt.

Entsprechend sind der digitalen Ortsvermittlung 6 ein Signaltongenerator 16 und ein Wähltondetektor 17 vorge­ schaltet.

Die Sicherheitseinrichtung 2 und die digitale Ortsver­ mittlung 6 weisen je eine Datenübertragungseinrichtung 10, 15, beispielsweise in Form eines sogenannten Data- over-Voice-Modems, auf, mit der je nach Ausprägung Daten auch gleichzeitig mit der Nutzverbindung zwischen Sicher­ heitseinrichtung 2 und Ortsvermittlung 6 übertragen werden können.

Um unabhängig von jeder Authentifikation und insbesondere auch bei Ausfall der Sicherheitseinrichtung 2 aufgrund einer Störung, beispielsweise eines Stromnetzausfalles, das Anwählen von Notruf- und gebührenfreien Nummern durch das Telefon 4 zu ermöglichen, ist weiterhin eine Lei­ tungssteuerung 18 mit einer Ausfallsicherung vorgesehen; tritt eine solche Störung auf, so schaltet die Leitungs­ steuerung mit Ausfallsicherung die vom Telefon 4 kommende Leitung 21 zur Sicherheitseinrichtung 2 zu der zur Orts­ vermittlung hin führenden Ausgangsleitung 22 durch.

Der Ablauf einer bevorzugten Ausgestaltung des erfin­ dungsgemäßen Verfahrens wird im folgenden anhand der Fig. 2 erläutert.

Im Rahmen der erfindungsgemäßen Vorrichtung arbeiten dabei die Sicherheitseinrichtung und die Vermittlung (digitale Ortsvermittlung 6 in Fig. 1) miteinander zusam­ men. Bei einer bevorzugten Ausgestaltung des erfindungs­ gemäßen Verfahrens dahingehend, daß dazu zertifizierte Software in der digitalen Ortsvermittlung verwendet wird, wird zusätzlicher Schutz gegen Manipulation durch Mitar­ beiter des Systembetreibers erreicht.

Nimmt ein Nutzer den Telefonhörer 4 ab, so erfolgt hier­ durch vom Telefon 4 eine Verbindungsanforderung an die Sicherheitseinrichtung 2, woraufhin in einem ersten Schritt S1 diese die Verbindungsanforderung erkennt und hierauf mit S2 eine Verbindung zur Vermittlung 6 her­ stellt. Nach Erkennung des von dieser erzeugten Freizei­ chens (S3) speichert die Sicherheitseinrichtung zunächst die von der Tastatur erzeugten Wählzeichen (S4).

In einem weiteren Schritt S5 generiert der Controller 9 der Sicherheitseinrichtung 2 aus den im Speicher gespei­ cherten Zähl- und Schlüsseldaten einen Authentikator, erhöht den Zähler im Speicher 8 und sendet den erzeugten Authentikator sowie die zwischengespeicherten Wählzeichen mit einem diesem zugeordneten Authentikator an die Ver­ mittlung 6.

Diese überprüft Authentikator und Unterschrift und stellt bei Korrektheit den Verbindungsanruf zu dem gewünschten Ziel bzw. Ziel-Teilnehmer her und erzeugt einen Rufton.

Falls Authentikator oder Unterschrift falsch sind, so wird die Verbindungsanforderung zurückgewiesen, es sei denn, es wurde eine gebührenfreie Rufnummer angewählt. Erforderlichenfalls kann an die Sicherheitseinrichtung ein Fehlersignal gemeldet werden, das diese gegebenen­ falls an den Teilnehmer weitergibt (Schritt S6).

Die Sicherheitseinrichtung 2 detektiert den Rufton im Schritt S7 und schaltet nach Herstellen der Verbindung diese zum Telefon 4 durch.

Bei der dargestellten Ausführungsform erzeugt die Ver­ mittlung 6 während des gehaltenen Gesprächs in an sich bekannter Weise Gebührenimpulse, die der Sicherheitsein­ richtung 2 als Nutzungsdaten übermittelt werden; diese zählt die Gebührenimpulse (S8).

Wenn durch den das Telefon 4 benutzenden Teilnehmer das Gespräch beendet wird, indem dieser den Hörer auflegt, so erkennt die Sicherheitseinrichtung 2 dies; sie hält die Verbindung zur Ortsvermittlung 6 noch für eine kurze Zeit aufrecht, berechnet einen Abschlußauthentikator, der die angerufene Telefonnummer, die gezählten Gebührenimpulse, die hieraus berechnete Gesprächsdauer sowie einen Authen­ tikator enthält, und sendet diese Daten an die Ortsver­ mittlung 6 (S9). Diese überprüft schließlich (S10) die empfangenen Daten einschließlich dem Authentikator auf ihre Richtigkeit und speichert die Daten; bei Bedarf gibt sie eine Alarmmeldung aus.

Claims (22)

1. Verfahren zur sicheren Erfassung von Daten der Nutzung eines Kommunikationssystems eines Systembe­ treibers durch einen Teilnehmer bei der Nutzung des Kommunikationssystems zur Kommunikation mit anderen Teilnehmern, gekennzeichnet durch Authentifikation von Teilnehmer- und Verbindungsdaten gegenüber dem Netzbetreiber.

2. Verfahren nach Anspruch 1, gekennzeichnet durch Authentifikation von Verbindungsabbaudaten.

3. Verfahren nach einem der vorangehenden Ansprüche, dadurch gekennzeichnet, daß die Zahl der Nutzungen teilnehmerseitig gezählt wird und die der jeweiligen Nutzung entsprechende Zahl mitübertragen wird.

4. Verfahren nach Anspruch 2, dadurch gekennzeichnet, daß nach Beendigung einer Nutzungsverbindung durch den Teilnehmer noch für eine vorgegebene kurze Zeit Verbindungsabbaudaten übermittelt werden.

5. Verfahren nach Anspruch 2 oder 4, dadurch gekenn­ zeichnet, daß nach Übermittlung von Verbindungsab­ baudaten die Verbindung durch das Kommunikationssy­ stem abgebaut wird.

6. Verfahren nach einem der vorangehenden Ansprüche, dadurch gekennzeichnet, daß während der Verbindung vom Teilnehmer zum Kommunikationssystem Daten zur Authentifikation übertragen werden.

7. Verfahren nach Anspruch 5, dadurch gekennzeichnet, daß während der Verbindung ansteigende Zähl-Daten verschlüsselt übertragen werden.

8. Verfahren nach Anspruch 5 oder 6, dadurch gekenn­ zeichnet, daß das Kommunikationssystem die Verbin­ dung beendet, wenn es keine oder falsche Authentifi­ kations- oder Zähl-Daten empfängt.

9. Verfahren nach einem der vorangehenden Ansprüche, dadurch gekennzeichnet, daß durch das Kommunika­ tionssystem zusätzlich Nutzungsdaten erfaßt werden.

10. Verfahren nach einem der vorangehenden Ansprüche, dadurch gekennzeichnet, daß auch teilnehmerseitig Nutzungsdaten erfaßt werden.

11. Verfahren nach Anspruch 6 und 7, dadurch gekenn­ zeichnet, daß teilnehmerseitig erfaßte Nutzungsdaten an das Kommunikationssystem übermittelt und dort mit den dort erfaßten Nutzungsdaten verglichen werden.

12. Verfahren nach einem der vorangehenden Ansprüche, dadurch gekennzeichnet, daß vom Kommunikationssystem Informationen zur Bestimmung von Nutzungsdaten an den Teilnehmer übermittelt werden.

13. Verfahren nach einem der vorangehenden Ansprüche, dadurch gekennzeichnet, daß Nutzungsdaten teilneh­ merseitig gespeichert werden.

14. Verfahren nach einem der vorangehenden Ansprüche, dadurch gekennzeichnet, daß Nutzungsdaten teilneh­ merseitig angezeigt werden.

15. Verfahren nach einem der Ansprüche 9 bis 11, dadurch gekennzeichnet, daß die Nutzungsdaten verschlüsselt werden.

16. Vorrichtung zur sicheren Erfassung der Daten der Nutzung eines Kommunikationssystems eines Systembe­ treibers durch einen Teilnehmer bei Nutzung des Kommunikationssystems zur Kommunikation mit anderen Teilnehmern, mit einem Endgerät für den Teilnehmer und einer Verbindung zum Kommunikationssystem, gekennzeichnet durch eine mit dem Endgerät (4) verbundene Sicherheitseinrichtung (2) zur Authenti­ fikation von Teilnehmer- und Verbindungsdaten gegen­ über dem Netzbetreiber.

17. Vorrichtung nach Anspruch 16, dadurch gekennzeich­ net, daß die Sicherheitseinrichtung (2) einen An­ schluß für ein portables Sicherheitsmodul aufweist.

18. Vorrichtung nach Anspruch 16 oder 17, dadurch ge­ kennzeichnet, daß die Sicherheitseinrichtung (2) eine Einheit zum Erkennen eines die Eingabe von Teilnehmerdaten anzeigenden Endzeichens aufweist.

19. Vorrichtung nach einem der Ansprüche 16 bis 18, dadurch gekennzeichnet, daß die Sicherheitseinrich­ tung (2) eine Einheit zum Empfang und zur Verarbei­ tung von Nutzungsinformationen aufweist.

20. Vorrichtung nach einem der Ansprüche 16 bis 18, dadurch gekennzeichnet, daß die Sicherheitseinrich­ tung (2) eine Echtzeituhr aufweist.

21. Vorrichtung nach einem der Ansprüche 16 bis 18, dadurch gekennzeichnet, daß die Sicherheitseinrich­ tung (2) eine Funkuhr aufweist.

22. Vorrichtung nach einem der Ansprüche 16 bis 21, gekennzeichnet durch einen die Nutzungs-Verbindungen zählenden Zähler.