WO2011009840A1 - Sicheres anzeigen von nutzdaten auf einem telekommunikationsendgerät - Google Patents

Abstract

Bei einem Verfahren zum Anzeigen von Nutzdaten (6) auf einer Anzeigeeinrichtung (4) eines Telekommunikationsendgeräts (2) werden zunächst Anzeigedaten (5) auf der Anzeigeeinrichtung (4) angezeigt, die die Nutzdaten (6) und die Nutzdaten (6) verschleiernde Stördaten (7) umfassen, um dann die angezeigten Anzeigedaten (5) mit Filterdaten (8) zu überlagern. Hierbei werden die Stördaten (7) und die Filterdaten (8) von einem mit dem TeIekommunikationsendgerät (2) verbundenen portablen Datenträger (1) derart aufeinander abgestimmt zeitlich variiert, dass in den angezeigten Anzeigedaten (5) die Nutzdaten (6) erkennbar sind.

Description

Sicheres Anzeigen von Nutzdaten

auf einem Telekommunikationsendgerät

Die vorliegende Erfindung betrifft ein Verfahren zum Anzeigen von Nutzdaten auf einer Anzeigeeinrichtung eines Telekommunikationsendgeräts mit Hilfe eines portablen Datenträgers, einen derartigen portablen Datenträger, einen kartenförmigen Datenträger sowie eine entsprechende Anzeigeanordnung.

Für vielerlei elektronische Anwendungen, in deren Rahmen eine Datenkommunikation zwischen einem Telekommunikationsendgerät, beispiels- weise einem Mobilfunkendgerät, und einem Server über eine Datenkommunikationsverbindung durchgeführt wird, ist entscheidend, dass ein Benutzer des Telekommunikationsendgeräts davon ausgehen kann, dass auf einer Anzeigeeinrichtung des Telekommunikationsendgeräts angezeigte, von dem Server oder einer anderweitigen vertrauenswürdigen Stelle stammende Nutzdaten unmanipuliert und integer sind. Dies gilt in besonderer Weise für sicherheitskritische Nutzdaten im Zusammenhang mit Online- Transaktionen, z.B. Transaktionsdaten, Kennwörter oder dergleichen.

Bei der Anzeige solcher Nutzdaten auf einer Anzeigeeinrichtung eines TeIe- kommunikationsendgeräts besteht jedoch zumeist das Problem, dass die Anzeigeeinrichtung prinzipiell unsicher ist, da sie von einem Betriebssystem des Telekommunikationsendgeräts aktiviert und gesteuert wird, welches den betreffenden Datenverkehr nicht gesondert sichert. Dies eröffnet die Möglichkeit eines so genannten„Man-in-the-Middle"- Angriffs, bei dem sich ein Angreifer, zum Beispiel in Form eines Schadcodes als Trojaner oder dergleichen, auf dem Telekommunikationsendgerät zwischen dessen Anzeigeein- richtung und das Betriebssystem schaltet und dann die anzuzeigenden Nutzdaten mitlesen oder sogar manipulieren kann.

Basierend auf den Methoden der visuellen Kryptographie offenbart die WO 03/085632 A2 ein Verfahren, gemäß dem zwei elektronische Anzeigeeinrich- hingen verwendet werden, deren jeweils angezeigte Pixelgraphiken derart überlagert werden können, das eine Nutzdaten wiedergebende Gesamtgraphik entsteht, wobei jeder einzelne Pixelgraphik kein Hinweise auf die Nutzdaten zu entnehmen ist. Die DE 102007018 802 B3 offenbart ein Verfahren zur gesicherten Datenübertragung im Rahmen des Online-Bankings basierend auf visueller Kryptographie. Dabei werden die entsprechenden Nutzdaten nicht im Klartext, sondern in Form von Koordinatendaten übertragen, die über ein auf einer Anzeigeeinrichtung angezeigtes Tastenfeld eingegeben werden. Das Bild des anzuzeigenden Tastenfeld wird gemäß der visuellen Kryptographie derart in zwei weitgehend zufällige Teilbilder zerlegt, dass aus jedem einzelnen Teilbild das Bild des Tastenfelds nicht abgeleitet werden kann. Das Tastenfeld kann dann von einem Nutzer sichtbar gemacht werden, indem ein Teilbild auf der Anzeigeeinrichtung angezeigt wird und das andere Teilbild in Form einer bedruckten Folie von dem Nutzer derart auf die Anzeigeeinrichtung gelegt wird, dass sich die beiden Teilbilder wieder zu dem Bild des Tastenfelds kombinieren. Hierbei muss einem Nutzer jedoch das zweite Teilbild in Form von Folien bereitgestellt werden. Zudem sind bei jeder weiteren Trans- aktion bisher nicht verwendete Folien einzusetzen, da anderenfalls auf die gesicherten Nutzdaten zurück geschlossen werden kann.

Demzufolge ist es die Aufgabe der vorliegenden Erfindung, Nutzdaten si- eher auf einer prinzipiell unsicheren Anzeigeeinrichtung anzuzeigen, ohne dass hierfür Verbrauchsmaterial oder dergleichen benötigt wird.

Bei einem erfindungsgemäßen Verfahren zum Anzeigen von Nutzdaten auf einer Anzeigeeinrichtung eines Telekommunikationsendgeräts werden zu- nächst Anzeigedaten auf der Anzeigeeinrichtung angezeigt, die die anzuzeigenden Nutzdaten und zusätzliche Stördaten umfassen, welche die Nutzdaten derart verschleiern, dass die Nutzdaten in den angezeigten Anzeigedaten zunächst nicht erkennbar sind. Die verschleierten Nutzdaten werden dann erkennbar gemacht, indem die angezeigten Anzeigedaten mit Filterdaten überlagert werden, wobei die verschleiernden Stördaten und die überlagerten Filterdaten derart aufeinander abgestimmt zeitlich variiert werden, dass in den angezeigten Anzeigedaten die Nutzdaten schließlich erkennbar sind, da die Filterdaten die Stördaten ausblenden. Die Nutzdaten werden also dadurch erkennbar, dass einerseits die Filterdaten den verschleiernden Effekt der Stördaten kompensieren und andererseits eine synchronisierte, aufeinander abgestimmte zeitliche Variation der Stördaten und der Filterdaten erfolgt, so dass zu jedem Zeitpunkt diejenigen Filterdaten verwendet werden, die darauf abgestimmt sind, die gerade angezeigten, zeitlich variierenden Stördaten zu kompensieren.

Die abgestimmte Synchronisation der zeitlichen Variation der Stördaten und Filterdaten hat insbesondere den Vorteil, dass ein Angreifer, beispielsweise in Form eines auf dem Telekommunikationsendgerät installierten Schadcodes, die Anzeigedaten nicht durch manipulierte Anzeigedaten mit manipu- lierten Nutzdaten ersetzen kann, da er die zentral gesteuerte und nahezu beliebige zeitliche Variation der Stördaten und Filterdaten nicht kennen oder vorhersehen kann. Er kann deshalb manipulierte Anzeigedaten auch nicht mit manipulierten Stördaten versehen, die beim Zusammenwirken mit den unmanipulierten Stördaten die manipulierten Nutzdaten kenntlich machen könnten. Dies gilt insbesondere auch für den Fall, dass dem Angreifer das prinzipielle Konzept der Kompensation von Stördaten durch Filterdaten bekannt ist. Falls ein Angreifer dennoch manipulierte Abbildungsdaten auf der Anzeigeeinrichtung des Telekommunikationsendgeräts anzeigen würde, wäre dies für einen Nutzer daran zu erkennen, dass die manipulierten Nutzdaten zumindest nicht statisch bzw. konstant erkennbar sind, sondern nur in denjenigen kurzen Zeitabschnitten, in denen die zeitlich variierenden Filterdaten zufällig die manipulierten Stördaten kompensieren. Ein Benutzer des Telekommunikationsendgeräts kann also dann sicher sein, dass unmanipulierte Nutzdaten auf der Anzeigeeinrichtung angezeigt werden, wenn diese statisch dargestellt erscheinen, d.h. über einen längeren Zeitraum erkennbar sind.

Bei dem erfindungsgemäßen Verfahren können die Nutzdaten variabel sein, das heißt es können bei jeder Anwendung des Verfahrens individuelle Nutzdaten angezeigt werden, die sich von den bisher angezeigten Nutzdaten unterscheiden, denn die Nutzdaten können sehr leicht durch Stördaten ver- schieiert werden und die entsprechend darauf abgestimmte Filterdaten können ausgehend von den Stördaten leicht bestimmt werden. Umgekehrt kann ein Angreifer jedoch bestenfalls die Anzeigedaten mit Nutz- und Stördaten manipulieren, eine Abfrage- oder Manipulationsmöglichkeit der Filterdaten besteht für den Angreifer jedoch nicht. Bei einer bevorzugten Ausführungsform der vorliegenden Erfindung stimmt ein portabler Datenträger, der mit dem Telekommunikationsendgerät elektrisch verbunden ist, zum Anzeigen von Nutzdaten die Stördaten und die Filter daten zeitlich variierend aufeinander ab. Der portable Datenträger fungiert also als zentrale Einrichtung, die auf der Anzeigeeinrichtung anzuzeigende Nutzdaten geeignet mit zeitlich variierenden Stördaten verschleiern und gleichzeitig die darauf abgestimmten zeitlich variierenden Filterdaten bereitstellen kann.

Vorzugsweise ist der portable Datenträger eine Mobilfunkkarte, die in ein Mobilfunkendgerät als Telekommunikationsendgerät eingesetzt wird. In jedem Falle umfasst ein solcher portabler Datenträger eine Schnittstelle zum elektrischen Verbinden mit dem Telekommunikationsendgerät sowie eine Steuereinrichtung, die die Anzeigedaten auf einer Anzeigeeinrichtung des Telekommunikationsendgeräts anzeigt und dabei die Stördaten und die zum Überlagern der angezeigten Anzeigedaten bestimmten Filterdaten derart aufeinander abgestimmt zeitlich variiert, dass in den angezeigten Anzeigedaten die Nutzdaten erkennbar sind, sofern die angezeigten Anzeigedaten mit den Filterdaten überlagert sind.

Der portable Datenträger erzeugt insbesondere zeitlich variierende Farbfilterdaten, z.B. in Form von variierenden einfarbigen Farbflächen, die bei der Überlagerung mit den Anzeigedaten die zeitlich variierenden, ebenfalls als Farbdaten bzw. Farbflächen vorliegenden Stördaten synchronisiert kompensieren und dadurch die Nutzdaten erkennbar machen. Dabei wird eine Farbmischung der Farbfilterdaten mit den Stördaten und mit den Nutzdaten durchgeführt, so dass das Ergebnis der Farbmischung der Farbfilterdaten und der Stördaten derart unterschiedlich zu dem Ergebnis der Farbmischung der Farbfilterdaten und der Nutzdaten ist, dass die Nutzdaten möglichst deutlich vor dem Hintergrund der Stördaten erkennbar sind. Eine derartige Farbmischung kann beispielsweise eine additive Farbmischung mit den Grundfarben Rot, Grün und Blau sein oder eine subtraktive Farbmischung mit den Grundfarben Cyan, Magenta und Gelb.

Vorzugsweise werden von dem portablen Datenträger die Filterdaten unabhängig von den Nutzdaten erzeugt, so dass die Kenntnis der Filterdaten alleine keinerlei Möglichkeit eröffnet, ohne die erfindungsgemäß vorgesehene synchronisierte Überlagerung der Abbildungsdaten durch die Filter da ten auf die Nutzdaten zu schließen.

Die Farbfilterdaten können in verschiedener Weise den angezeigten Anzeigedaten überlagert werden, zum Beispiel in Form von einer zeitlich und farb- lieh variierenden Hintergrundbeleuchtung der Anzeigeeinrichtung, welche beispielsweise über farbige Leuchtdioden (LED) bereitgestellt werden kann. Beim Betrachten der Anzeigeeinrichtung überlagern sich also die angezeigten Anzeigedaten und die farbige Hintergrundbeleuchtung der Anzeigeeinrichtung, so dass die erfindungsgemäße Kompensation der Stördaten durch die Farbfilterdaten stattfindet.

Andererseits ist es auch möglich, ein baulich eigenständiges, zeitlich variierendes Filterelement vorzusehen, das transparent oder zumindest semitransparent ist und auf die Anzeigeeinrichtung so aufgelegt werden kann, dass die angezeigten Anzeigedaten durch das Filterelement hindurch sichtbar sind. Ein solches separates Filterelement kann beispielsweise eine einzelne elektrochrome Folie oder ein kartenförmiger Datenträger sein, bei dem ein elektrochromes Folienelement zur flächigen Darstellung von Farbfilterdaten in dem Kartensubstrat angeordnet ist. Die auf der Folie oder dem Folienele- ment dargestellten Farbfilterdaten können dann den auf der Anzeigeeinrichtung eines Telekommunikationsendgeräts angezeigten Anzeigedaten leicht überlagert werden. Vorzugsweise steht hierbei der kartenförmige Datenträger mit dem portablen Datenträger derart in Datenkommunikation, dass die Steuereinrichtung des portablen Datenträgers die zeitliche Variation der Farbfilterdaten in Synchronisation mit der zeitlichen Variation der Stördaten veranlasst.

Hierzu können prinzipiell beliebige elektrochrome, transparente Materialien verwendet werden, beispielsweise elektrochrome Polymerfolien oder dergleichen. Das farblich variierende Filterelement in Form einer elektrochro- men Folie oder eines mit einem elektrochromen Filterelement versehenen kartenförmigen Datenträgers kann von der Steuereinrichtung des portablen Datenträgers entweder kontaktbehaftet angesteuert werden, z.B. über das übliche Kontaktfeld gemäß ISO 7816, oder kontaktlos über ein geeignetes elektromagnetisches Feld, z.B. über Nahbereichskommunikation (NFC), Funkfrequenzidentifikation (RFID) oder dergleichen. Hierbei wird eine kontaktbehaftete oder kontaktlose Datenkommunikationsverbindung zwischen dem portablen Datenträger und dem Filterelement bzw. dem kartenförmigen Datenträger aufgebaut, in deren Rahmen die Steuereinrichtung Steueranweisungen an das Filterelement überträgt, die die erwünschte, zeitlich abgestimmte Variation der von dem Filterelement angezeigten Farbfilterdaten bewirkt. Gleichzeitig überträgt die Steuereinrichtung über eine kontaktbehaftete Datenkommunikationsschnittstelle Steueranweisungen an das TeIe- kommunikationsendgerät, die die gleiche zeitlich abgestimmte Variation der Stördaten in den angezeigten Anzeigedaten bewirkt.

Bei einer kontaktlosen Datenkommunikation zwischen dem portablen Datenträger und dem Filterelement bzw. dem kartenförmigen Datenträger können die entsprechenden Steueranweisungen der Steuereinrichtung zunächst kontaktbehaftet gemäß dem SWP-Protokoll („Single Wire Protocol") an eine NFC-Schnittstelle des Telekommunikationsendgeräts weitergeleitet werden, um von dort über die Nahbereichskommunikation kontaktlos wei- ter an das Filterelement bzw. den kartenförmigen Datenträger übertragen zu werden. Hierfür ist das entsprechende Filterelement bzw. der kartenförmige Datenträger mit einem geeigneten NFC-Empfänger ausgestattet. Die notwendige Betriebsenergie für das von der Energieversorgung des Telekommunikationsendgeräts unabhängige Filterelement kann ebenfalls kontaktlos über ein elektromagnetisches Wechselfeld oder dergleichen bereitgestellt werden.

Vorzugsweise wird auf der Anzeigeeinrichtung des Telekommunikationsendgeräts eine Positionsmarke angezeigt, die einem Nutzer des Telekommu- nikationsendgeräts einen Hinweis gibt, wie das Filterelement bzw. der kartenförmige Datenträger auf der Anzeigeeinrichtung zu positionieren ist, um die Nutzdaten wie gewünscht kenntlich zu machen. Sofern die Farbfilterdaten jedoch über einzeln ansteuerbare LEDs für die Hintergrundbeleuchtung der Anzeigeeinrichtung erzeugt werden, ist eine solche Positionsmarke nicht notwendig.

Insbesondere ist es auch möglich, dass die Farbfilterdaten nicht zu jedem Zeitpunkt als großflächige Farbflächen ausgestaltet sind, sondern in mehrere Teilflächen oder Quadranten unterteilt sind, die ihrerseits unabhängig von- einander zeitlich variierende Farbfilterdaten bereitstellen. Darüber hinaus können die Filterdaten auch komplexe farbliche Muster oder dergleichen wiedergeben. Selbstverständlich sind derartige Farbanordnungen in mehreren Teilflächen oder Quadranten bzw. komplexeren Mustern so zu wählen, dass die Stördaten ihrerseits derart gewählt werden können, dass lediglich bei Überlagerung der vorgesehenen Stördaten mit den vorgesehenen Filterdaten die Nutzdaten erkennbar werden.

Darüber können die Farbfilterdaten mit unterschiedlicher Frequenz variiert werden. Bei einer zeitlich langsamen Variation (niedrigere Frequenz) sind die Mischfarben, die sich aus der Überlagerung der Farbfilterdaten und der Anzeigedaten ergeben, für einen Betrachter der Anzeigeeinrichtung zeitlich aufgelöst deutlich erkennbar. Bei einer zeitlich schnellen Variation (höhere Frequenz) können die einzelnen Mischfarben für den Betrachter der Anzei- geeinrichtung eventuell nicht mehr zeitlich auflösbar sein, so dass sie für den Betrachter eher als statische, homogene Farbhintergrundfläche erscheinen, vor der sich die Nutzdaten erkennbar abzeichnen. Wenn zum Beispiel als zeitlich ausreichend schnell variierende Farbfilterdaten die subtraktiven Primärfarben Cyan, Magenta und Gelb verwendet werden, erscheint bei ei- ner Frequenz oberhalb der Wahrnehmungsschwelle des menschlichen Sehapparats ein nahezu homogener weißer Hintergrund, vor dem die Nutzdaten farbig zu erkennen sind. Bei einem Einsatz der additiven Primärfarben Rot, Grün und Blau würde entsprechend ein weitgehend homogener schwarzer Hintergrund erscheinen.

Auch können die Nutzdaten ebenfalls farblich variieren und z.B. als zeitlich variierendes„Laufband" konzipiert sein, in dem die Nutzdaten symbolweise angezeigt werden. Ebenso kann in die Nutzdaten ein optisches Wasserzeichen eingebracht werden, das auch durch die Stördaten verschleiert wird und, genau wie die Nutzdaten, nur erkennbar ist, wenn es mit Farbfilterdaten in der entsprechenden zeitlichen Variation überlagert wird. Dadurch kann sichergestellt werden, dass die angezeigten Nutzdaten auch tatsächlich von einem personalisierten portablen Datenträger, einem autorisierten Server oder dergleichen stammen. Weitere Merkmale und Vorteile der Erfindung ergeben sich aus der folgenden Beschreibung verschiedener erfindungsgemäßer Ausführungsbeispiele und Ausführungsalternativen im Zusammenhang mit den begleitenden Zeichnungen. Darin zeigen:

Fig. 1 eine Anzeigeanordnung umfassend ein Mobilfunkendgerät, eine mit diesem verbundene Mobilfunkkarte sowie ein Farbfilterelement; Fig. 2 ein Ablaufdiagramm des erfindungsgemäßen Verfahrens;

Fig. 3 eine besondere Ausführungsform des Filterelements als Chipkarte;

Fig. 4 ein Beispiel für verschleierte und erkennbare Nutzdaten.

Fig. 1 zeigt ein Telekommunikationsgerät eines Benutzers in Form eines Mo- bilfunkendgeräts 2, in das eine Mobilfunkkarte 1 als portabler Datenträger derart eingesetzt ist, dass der Benutzer des Mobilfunkendgeräts 2 eine Verbindung mit einem Mobilfunknetz herstellen und über eine Antenne des Mobilfunkgeräts 2 Sprachdaten übertragen und empfangen kann. Das Mobilfunkendgerät 2 umfasst ferner eine Anzeigeeinrichtung in Form eines Anzeigedisplays 4, das z.B. als LCD-Display ausgestaltet ist.

Derartige Mobilfunkendgeräte 2 werden in Kombination mit einer Mobil- funkkarte 1 häufig zur Übertragung und zum Empfang von sicherheitsrelevanten Nutzdaten, zum Beispiel im Zusammenhang mit Online- oder Mobile-Banking-Transaktionen, bei denen Kennungen, Transaktionsdaten oder dergleichen von dem Mobilfunkendgerät 2 an einen Transaktionsserver einer Bank oder einer ähnlichen Institution gesendet und empfangen werden. Häufig werden empfangene Nutzdaten 6, z.B. Transaktionsdaten, die von dem Transaktionsserver empfangen und zurücksendet werden, auf dem - prinzipiell unsicheren - Display 4 des Mobilfunkendgeräts 2 angezeigt, damit sie der Benutzer verifizieren und anschließend, z.B. mit einer Transakti- onsbestätigung, freigeben kann. Beispielsweise repräsentiert beiden dem bekannten mTAN-Verfahren (mTAN: mobile Transaktionsnummer) die von dem Transaktionsserver an das Mobilfunkendgerät eines Benutzers gesendete mTAN Nutzdaten, die auf dem unsicheren, weil für Schadcode, wie z.B. Viren oder Trojaner, anfälligen, Display 4 anzuzeigen sind.

Das Anzeigedisplay 4 des Mobilfunkendgeräts 2 kann zum Beispiel ein LCD- Display mit einer höheren Punktauflösung, ein TFT-Display oder dergleichen sein. Insbesondere ist das Anzeigedisplay 4 geeignet, farbige Daten anzuzeigen, d.h. es ist eine mehrfarbige Farbdarstellung gemäß einem geeigne- ten Farbraum möglich, z.B. gemäß einem der üblichen Farbräume RGB, CMY oder CMYK.

Prinzipiell ist die Anzeige von Nutzdaten 6 auf einem derartigen Display 4 als unsicher einzustufen, da sie im Klartext von einem Transaktionsserver über ein öffentliches, nicht abhörgesichertes Mobilfunknetz oder dergleichen übertragen und angezeigt werden. Ebenso kann auf einem Mobilfunkendgerät 2, wie bereits erwähnt, relativ einfach Schadcode und Computerschädlinge in Form von Trojanern oder Viren von Dritten installiert werden, die anzuzeigende Nutzdaten 6 vom Benutzer unbemerkt abhören oder manipulie- ren können.

Deshalb werden aus Sicherheitsgründen anzuzeigende Nutzdaten 6, beispielsweise eine mTAN, zu bestätigende Transaktionsdaten oder dergleichen, nicht im Klartext auf dem Anzeigedisplay 4 angezeigt, sondern in Form von Anzeigedaten 5, die zusätzlich zu den Nutzdaten 6 Stördaten 7 umfassen, die die Nutzdaten 6 unter Ausnutzung von optischen Effekten derart verschleiern, dass diese für einen Betrachter des Anzeigedisplays 4 in den angezeigten Anzeigedaten 5 jedenfalls ohne weitere Hilfsmittel nicht zu erkennen sind. Dies kann beispielsweise dadurch erreicht werden, dass eine Steuereinrichtung (nicht abgebildet) der Mobilfunkkarte 1, die ein Anzeigen der Anzeigedaten 6 auf dem Display 4 des Mobilfunkendgeräts 2 durch entsprechende Steueranweisungen 11 veranlassen kann, die anzuzeigenden Nutzdaten 6, die zuvor z.B. von einem Transaktionsserver verschlüsselt empfangen wurden, durch eine farbliche Hinterlegung mittels auf die Farbdarstellung der Nutzdaten 6 abgestimmten Stördaten 7 verschleiert. Eine solche Farbe bzw. Farbzusammenstellung der Stördaten 7 unterscheidet sich zwar technisch bzw. farbanalytisch von der/den Farbe(n) der Nutzdaten 6, diese farbanalytisch feststellbare Unterscheidbarkeit liegt jedoch unterhalb der Wahrnehmungsschwelle des menschlichen visuellen Systems, so dass ein Betrachter der Anzeigedaten 5 die Nutzdaten 6 nicht von den Stördaten 7 unterscheiden kann und lediglich ein Farbmuster sieht, dem keine erkennbare Information zu entnehmen ist. Eine solche Situation ist beispielsweise in Fig. 3 (links) anhand einer sogenannten Ishihara-Tafel gezeigt.

Allerdings können die Nutzdaten 6 jedoch mittels eines über das Anzeigedisplay 4 gelegten Filterelements 3 erkennbar gemacht werden, das die Stördaten 7 derart kompensiert bzw. im Vergleich zu den Nutzdaten 6 verändert, dass die Nutzdaten 6 für einen Betrachter des Anzeigedisplays 4 erkennbar werden, so wie es z.B. anhand der Ishihara-Tafel in Fig. 3 (rechts) gezeigt ist. Das Filterelement 3 ist transparent beziehungsweise zumindest semitransparent, so dass die Nutzdaten 6 durch das Filterelement 3 hindurch erkannt und abgelesen werden können. Als derartige Filterelemente kommen insbesondere auf das Anzeigedisplay 4 auflegbare Farbshutter in Frage, beispielsweise elektrochrome transparente Farbfolien 3 oder elektrochrome transparente Chipkarten 9, wie in Fig. 4 gezeigt. Alternativ ist es auch möglich, statt eines Farbfilters 3 eine farbige Hin- tergrundbeleuchtung des Anzeigedisplays 4 als Filterelement einzusetzen. In allen Fällen bewirkt die Farbe der Farbfilter, dass die Stördaten 7 kompensiert beziehungsweise ausgeblendet werden und lediglich die Nutzdaten 6 erkennbar sind. Da elektrochrome Folien bistabil sind und sehr wenig Energie zum Wechseln der Farbfilterdaten 8 benötigen, kann die Energie zum Anzeigen von Farbefilterdaten 8 bzw. zum Umschalten auf geänderte Farbfilterdaten 8 insbesondere kontaktlos aus einem elektromagnetischen Wechselfeld gewonnen werden, wie es beispielsweise bei der Nahbereichskommunikation (NFC) auftritt. Sowohl die angezeigten Stördaten 7 als auch eine von dem Filterelement 3 angezeigte Farbe werden hierbei zeitlich aufeinander abgestimmt variiert. Die von der Steuereinrichtung mittels Steuer an Weisungen 12 zeitlich variierten Stördaten 7 werden also nur dann ausgeblendet, wenn die Steuereinrichtung mittels Steueranweisungen 11 gleichzeitig die Filter daten 8 auf dem Filterelement 3 entsprechend zeitlich variiert. Die Stördaten 7 werden also nur zu solchen Zeitpunkten von den Filterdaten 8 kompensiert bzw. ausgeblendet, so dass die Nutzdaten 6 sichtbar werden, zu denen gleichzeitig die „richtigen" kompensierenden Filterdaten 8 angezeigt werden. Diese Synchronisation der zeitlichen Variation der Stördaten 7 und Filterdaten 8 wird von der Steuereinrichtung der Mobilfunkkarte 1 mittels der Steueranweisungen 11, 12 sichergestellt, indem Steueranweisungen 11 an das Filterelement 3 einen Farbwechsel der Filterdaten 8 bewirken und nahezu zeitgleiche Steueranweisungen 12 an das Anzeigedisplay 4 einen darauf ab- gestimmten Wechsel der Stördaten 7 bewirken. Hierbei können die Steueranweisungen 12 nicht nur einen Wechsel der Stördaten 7 anweisen, sondern auch genaue Vorgaben der Farbgebung der Stördaten 7 bzw. der Anzeigedaten 5 inklusive der Nutzdaten 6 betreffen.

Durch die Synchronisation der Verschleierung der Nutzdaten 6 durch die Stördaten 7 und der Kenntlichmachung der Nutzdaten 6 durch die Filterdaten 8 sind nur solche Nutzdaten 6 lesbar, die von der Steuereinrichtung der Mobilfunkkarte 1 als graphische Repräsentation in die Anzeigedaten 5 ein- gebracht wurden, denn ein Angreifer oder ein auf dem Mobilfunkendgerät 2 installierter Schadcode kann die zur Kenntlichmachung etwaiger manipulierter Nutzdaten 6 erforderliche Synchronisation der Stördaten und Filterdaten 8 nicht wissen, abhören oder vorhersehen. Die zentrale Synchronisation durch die Steuereinrichtung der Mobilfunkkarte 1 gewährleistet also, dass die jeweiligen Stördaten 7 zu jedem Zeitpunkt durch die darauf abgestimmten Filterdaten 8 (und zwar nur durch diese) ausgeblendet werden können. Sofern die Nutzdaten 6 lediglich intervallartig, zeitlich intermittierend erkennbar sind, kann also von einer Manipulation der Anzeigedaten 6 ausgegangen werden, da dies nur aus einer inkorrekten zeitlichen und/oder farb- liehen Synchronisation der Stördaten 7 und der Filterdaten 8 resultieren kann.

Dementsprechend umfasst das in Fig. 2 illustrierte Verfahren zum Anzeigen der Nutzdaten 6 auf dem Anzeigedisplay 4 zumindest die fünf essentiellen Schritte Sl bis S5, wobei der Synchronisationsschritt Sl sowie die beiden Anzeigeschritte S2 und S3 im Wesentlichen zeitgleich durchgeführt werden. In Schritt Sl wird eine Synchronisation zwischen der zeitlich variierenden Anzeige von Farbfilterdaten auf dem Filterelement 3 (Schritt S2) und der zeitlich variierenden Darstellung von Stördaten 7 im Rahmen der Anzeige der An- zeigedaten 5 auf dem Anzeigedisplay 4 hergestellt, indem zum Beispiel Synchronisationsdaten erzeugt und berücksichtigt werden (z.B. in Form der Steueranweisungen 11, 12), die zeitlich und farblich aufeinander abgestimmte Änderungen der Stördaten 7 und der Filterdaten 8 betreffen. In den Schrit- ten S2 zum Anzeigen der Stördaten 7 und S3 zum Anzeigen der Farbfilterdaten 8 werden einerseits die Anzeigedaten 5 mit in bestimmter Weise zeitlich und farblich variierenden Stördaten 7 auf dem Anzeigedisplay 4 gemäß den Synchronisationsdaten (z.B. der Steueranweisungen 12) angezeigt (Schritt S2) und gleichzeitig werden farbliche und zeitliche Änderungen der Farbfilter- daten 8 gemäß den Synchronisationsdaten (z.B. der Steueranweisungen 11) auf dem Farbfilterelement 3 vorgenommen (Schritt S3). Beim Anzeigen der Anzeigedaten 5 (Schritt S2) werden die Nutzdaten 6 durch die Stördaten 7 derart verschleiert, dass sie ohne Überlagerung der Anzeigedaten 5 mit den Farbfilterdaten 8 nicht erkennbar sind, da sie nicht von den Stördaten 7 zu unterscheiden sind. Hierfür können die Nutzdaten 6 beispielsweise auf einem LCD-Farbanzeigedisplay 4 durch Einblenden von farblich vorgegebenen Stördaten 7 verschleiert werden. Dementsprechend werden durch Überlagern des Anzeigedisplays 4 die Stördaten 7 von den auf diese abgestimmten Filterdaten 8 zeitlich synchronisiert ausgeblendet. Da die beiden Anzei- geschritte S2 und S3 über das Synchronisationssignal Sl zeitlich und farblich aufeinander abgestimmt variierend synchronisiert werden, werden in Schritt S4 die Stördaten 7 der Anzeigedaten 5 ausgeblendet und die in die Anzeigedaten 5 zunächst nicht erkennbar eingebetteten Nutzdaten 6 werden für den Betrachter des Anzeigedisplays 4 erkennbar (Schritt S5).

Die in den Anzeigedaten 5 eingebetteten Nutzdaten 6 können hierbei einerseits durch eine synchronisierte Änderung des Farbspektrums in der Hintergrundbeleuchtung des LCD- Anzeigedisplays 4 kenntlich gemacht werden, wobei die synchronisierten Änderung der Hintergrundbeleuchtung des Dis- plays 4 den Filterdaten 8 entspricht und die einzeln ansteuerbaren Leuchtdioden, die die Hintergrundbeleuchtung des Displays 4 erzeugen, repräsentieren das Filterelement 3. In dieser Ausführungsform wird also die Hintergrundbeleuchtung der Displays 4 von den Steuer anweisungen 11 synchroni- siert gesteuert über in dem Anzeigedisplay 4 vorhandene, verschiedenfarbige Leuchtdioden, die jeweils einzeln durch die Steuereinrichtung über Steueranweisungen 11 angesteuert werden können.

Andererseits können die Nutzdaten 6 auch mittels eines auf das Anzeigedis- play 4 aufgelegten Farbfilterelements 3 bzw. Farbshutters kenntlich gemacht werden, der mit der Mobilfunkkarte 1 verbunden ist und Steueranweisungen 11 von deren Steuereinrichtung empfängt. Als Filter- bzw. Folienmaterial eines solchen separaten Filterelements 3 werden bevorzugt elektrochrome Folien verwendet. In der Ausführungsform der Fig. 1 umfasst das Filterele- ment z.B. eine großflächig angeordnete elektrochrome Folie, während in der demgegenüber bevorzugten Ausführungsform der Fig. 4 die elektrochrome Folie 3 in eine Chipkarte 9 bzw. in deren Kartensubstrat 10 eingebettet ist.

Bei elektrochromen Folien oder bei auf solchen Folien basierenden Anzeige- elementen (elektrochrome Displays, ECD) wird Energie bzw. ein

Strom(impuls) nur dann benötigt, wenn die jeweilige Anzeige, im vorliegenden Fall ein- oder mehrfarbige Farbfilterdaten 8, geändert werden soll. Hierzu ist es, wie zum Beispiel in den Fig. 1 und 4 angedeutet, möglich, die Energie zum Umschalten der Farbefilterdaten 8 einer Chipkarte 9 mit integrierter elektrochromer Filterfolie (bzw. eines elektrochromen Filterelements 3) kontaktlos aus einem elektromagnetischen Wechselfeld zu beziehen, beispielsweise aus einem Wechselfeld zur Nahbereichskommunikation (NFC), das von dem Mobilfunkendgerät 2 mittels einer Antennenspule 13 erzeugt wird. Die betreffende Energie wird dann z.B. durch eine NFC-Schnittstelle 14 der elektrochromen Chipkarte 9 aufgenommen, wodurch die Farbfilterdaten 8 (bzw. deren Farbe(n)) geändert werden. Entsprechend kann die Ansteuerung des elektrochromen Filterelements 3 durch Steueranweisungen 11 der Steuereinrichtung der Mobilfunkkarte 1 auch kontaktlos erfolgen. Hierzu kann z.B. eine kontaktlose Schnittstelle der Mobilfunkkarte 1 genutzt werden, z.B. über eine eigene Antennenspule der Mobilfunkkarte 1 oder die Antennenspule 13 des Mobilfunkendgeräts 2. Insbesondere können die Steueranweisungen 11 von der Steuereinrichtung der Mobilfunkkarte 1 gemäß dem SWP- Protokoll („Single Wire Protocol") zunächst kontaktbehaftet über das ISO- 7816-Kontaktfeld der Mobilfunkkarte 1 an die NFC-Schnittstelle 13 des Mobilfunkendgeräts 2 weitergegeben werden, um dort von der NFC- Schnittstelle 13 kontaktlos z.B. an den NFC-Empfänger 14 der Chipkarte 9 mit integrierter elektrochromer Folie 3 gemäß Fig. 4 übertragen zu werden. Hierbei können zur Sicherstellung, dass die Nutzdaten 6 tatsächlich von einer autorisierten Stelle, z.B. einem Transaktionsserver einer Bank oder der Mobilfunkkarte 1 selbst, stammen, in die Nutzdaten 6 optische, vorzugsweise farbige Wasserzeichen eingebettet werden, die ebenso wie die Nutzdaten 6 von den Stördaten 7 verschleiert werden und nur erkennbar sind, wenn eine Überlagerung der Anzeigedaten 5 mit den Filterdaten 8 vorgenommen wird. Die Anzeigedaten 5 können auch Positionsmarken umfassen oder es können Positionsmarken in die Anzeigedaten 5 eingeblendet werden, so dass das Farbfilterelement 3 bzw. die Chipkarte 9 derart genau auf dem Anzeigedisplay angeordnet werden kann, dass der beschriebene Effekt eintritt.

Ebenso ist es möglich, dass die elektrochrome Folie 3 bzw. die Chipkarte 9 zu jedem Zeitpunkt nicht farbhomogene Farbefilterdaten 8 anzeigt, sondern verschiedenfarbige Farbfilterdaten 8a, 8b, 8c, 8d erzeugt, die z.B. mehreren Segmenten oder Quadranten des Filterelements 3 individuelle Farben zu- ordnen. Derartige segmentweise Farbfilterdaten 8 können jeweils zeitlich und farblich völlig unabhängig von etwaigen weiteren Segmenten von der Steuereinrichtung angewiesen werden, so dass auch komplexe Stördaten 7 verwendet werden können, die verschiedene optische Effekte (z.B. additive und subtraktive Farbmischungen) nutzen und damit die Sicherheit des Verfahrens weiter erhöhen. Insbesondere ist es auch möglich, die Stördaten 7 und die Filterdaten 8 als komplexe Muster auszugestalten, wobei derartige komplexe Stördaten 7 neben dem beschriebenen Verschleierungseffekt auch noch einen irreführenden Effekt haben können, wenn mittels der Stördaten 8 absichtlich manipulierte Nutzdaten nachgebildet werden, die auch ohne Filterelement 2 erkennbar sind. Somit wird eine große Gestaltungsfreiheit für die Auswahl der Farbfilterdaten 8 und der korrespondierenden Stördaten 7 erreicht. So kann z.B. in einem ersten Sektor des Filterelements 3 eine additive Farbmischung mit der Farbe Blau erfolgen, in einem zweiten Sektor kann eine subtraktive Farbmischung mit der Farbe Magenta erfolgen, usw., wodurch die Absicherung der Nutzdaten 6 weiter erhöht wird. Insgesamt können also bei der Überlagerung der Filterdaten 8 mit den Anzeigedaten 5 beliebige Farbmischeffekte erzielt werden, die beispielsweise auf einer additiven oder subtraktiven Farbmischung beruhen.

Insbesondere können die Farbfilter da ten 8 alternierend die drei subtraktiven Primärfarben Gelb, Magenta und Cyan oder die drei additiven Primärfarben Rot, Grün und Blau darstellen. Die Steuereinrichtung der Mobilfunkkarte 1 kann hierbei den Wechsel der Farbfilterdaten 8 (und der Stördaten 7) wahl- weise in einer hohen oder in einer niedrigen Frequenz durchführen. Bei einer niedrigen Frequenz, die insbesondere unterhalb der zeitlichen Auflösungsmöglichkeit des menschlichen visuellen System liegt, kann ein Betrachter des Anzeigedisplays 4 sowohl etwaige Farbwechsel der den Vordergrund bildenden Nutzdaten 6 als auch Farbwechsel der den Hintergrund bildenden, überlagerten Stördaten 7 wahrnehmen. Bei einer hohen Frequenz, die insbesondere oberhalb der zeitlichen Auflösungsschwelle des visuellen Systems liegt, erkennt der Betrachter lediglich einen subtraktiven Farbmischeffekt (Weiß) oder einen additiven Farbmischeffekt (Schwarz), zu dem die Nutzda- ten 6 erkennbar kontrastieren.

Claims

P a t e n t a n s p r ü c h e

1. Verfahren zum Anzeigen von Nutzdaten (6) auf einer Anzeigeeinrichtung (4) eines Telekommunikationsendgeräts (2), umfassend die Schritte: - Anzeigen (S2) von Anzeigedaten (5) auf der Anzeigeeinrichtung (4), die die Nutzdaten (6) und die Nutzdaten (6) verschleiernde Stördaten (7) umfassen; und

- Überlagern (S3) der angezeigten Anzeigedaten (5) mit Filterdaten (8); dadurch gekennzeichnet, dass die Stördaten (7) und die Filterdaten (8) der- art aufeinander abgestimmt zeitlich variiert werden (Sl), dass in den angezeigten Anzeigedaten (5) die Nutzdaten (6) erkennbar sind (S4, S5).

2. Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass beim Anzeigen (S2) der Anzeigedaten (6) und beim Überlagern (S3) mit den Filterda- ten (8) ein mit dem Telekommunikationsendgerät (2) elektrisch verbundener portabler Datenträger (1) die Stördaten (7) und die Filterdaten (8) aufeinander abgestimmt zeitlich variiert (Sl).

3. Verfahren nach Anspruch 2, dadurch gekennzeichnet, dass der portab- Ie Datenträger (1) die zeitlich variierenden Stördaten (7) derart erzeugt, dass die Nutzdaten (6) in den angezeigten Anzeigedaten (5) nicht erkennbar sind, und die Filterdaten als Farbfilterdaten (8) derart abgestimmt auf die Stördaten (7) zeitlich variierend erzeugt, dass durch die Überlagerung (S3) der Anzeigedaten (5) mit den Farbfilterdaten (8) eine Farbmischung der Farbfilter- daten (8) und der Anzeigedaten (5) derart erfolgt, dass die Nutzdaten (6) in den überlagerten Anzeigedaten (5) erkennbar sind (S4, S5).

4. Verfahren nach Anspruch 3, dadurch gekennzeichnet, dass die Filterdaten (8) unabhängig von den Nutzdaten (6) erzeugt werden.

5. Verfahren nach einem der Ansprüche 3 oder 4, dadurch gekennzeichnet, dass die angezeigten Anzeigedaten (5) mit flächig angeordneten Farbfilterdaten (8) in Form einer farblich variierenden Hintergrundbeleuchtung der Anzeigeeinrichtung (4) oder eines auf die Anzeigeeinrichtung (4) auflegbaren, farblich variierenden Filterelements (3) überlagert werden (S3).

6. Verfahren nach Anspruch 5, dadurch gekennzeichnet, dass das farblich variierende Filterelement (3) in Form einer zumindest semitransparenten und elektrochromen Folie oder eines zumindest teilweise, zumindest semitransparenten und elektrochomen kartenförmigen Datenträgers (9) auf die Anzeigeeinrichtung (4) aufgelegt wird.

7. Verfahren nach Anspruch 2 und 6, dadurch gekennzeichnet, dass der portable Datenträger (1) mit dem farblich variierenden Filterelement (3) in kontaktbehafteter oder kontaktloser Datenkommunikation steht und Steueranweisungen (11) zum abgestimmten zeitlichen Variieren der Farbfilterdaten (8) an das Filterelement (3) überträgt.

8. Verfahren nach Anspruch 7, dadurch gekennzeichnet, dass die Steueranweisungen (11) gemäß dem SWP-Protokoll von dem portablen Datenträger (1) an eine NFC-Schnittstelle (13) des Telekommunikationsendgeräts (2) und von dort kontaktlos an das Filterelement (3) übertragen werden.

9. Verfahren nach einem der Ansprüche 6 bis 8, dadurch gekennzeichnet, dass auf der Anzeigeeinrichtung (4) eine Positionsmarke angezeigt wird, anhand der das Filterelement (3) der Anzeigeeinrichtung (4) derart überlagert werden kann (S3), dass die Nutzdaten (6) in den überlagerten Anzeigedaten (5) erkennbar werden (S5).

10. Verfahren nach einem der Ansprüche 6 bis 9, dadurch gekennzeichnet, dass zum Betreiben des Filterelements (3) eine Betriebsenergie kontaktlos an das Filterelement (3) übertragen wird.

11. Verfahren nach einem der Ansprüche 5 bis 10, dadurch gekennzeichnet, dass die flächig angeordneten Farbfilterdaten (8) mit mehreren verschiedenfarbigen, zeitlich unabhängig variierenden Farbfilterdatenbereichen (8a, 8b, 8c, 8d) auf das zeitliche Variieren der Stördaten (7) abgestimmt erzeugt werden.

12. Verfahren nach einem der Ansprüche 2 bis 11, dadurch gekennzeichnet, dass die Farbfilterdaten (8) zeitlich derart schnell variiert werden, dass die Nutzdaten (6) in einer sich aus den Farbfilterdaten (8) ergebenden Misch- färbe statisch erkennbar sind (S5).

13. Verfahren nach einem der Ansprüche 1 bis 12, dadurch gekennzeichnet, dass in die Nutzdaten (6) ein Wasserzeichen eingebracht wird, dass nur bei Überlagerung (S3) der angezeigten Anzeigedaten (5) mit den Filterdaten (8) erkennbar ist.

14. Portabler Datenträger (1), der mit einem Telekommunikationsendgerät (2) elektrisch verbindbar ist, umfassend eine Steuereinrichtung, die eingerichtet ist, Nutzdaten (6) und die Nutzdaten (6) verschleiernde Stördaten (7) umfassende Anzeigedaten (5) auf einer Anzeigeeinrichtung (4) des Telekommunikationsendgeräts (2) anzuzeigen, dadurch gekennzeichnet, dass die Steuereinrichtung ferner eingerichtet ist, beim Anzeigen der Anzeigedaten (5) die Stördaten (7) und zum Überlagern der angezeigten Anzeigedaten (5) geeignete Filterdaten (8) derart aufeinander abgestimmt zeitlich zu variie- ren, dass in den angezeigten Anzeigedaten (5) die Nutzdaten (6) erkennbar sind, sofern die angezeigten Anzeigedaten (5) mit den Filterdaten (8) überlagert sind.

15. Datenträger (1) nach Anspruch 14, dadurch gekennzeichnet, dass die Steuereinrichtung eingerichtet ist, ein Verfahren nach einem der Ansprüche 2 bis 13 zu realisieren, sofern der Datenträger (1) mit einem Telekommunikationsendgerät (2) elektrisch verbunden ist.

16. Kartenförmigen Datenträger (9) mit einem zumindest semitransparenten, elektrochromen Filterelement (3) zur flächigen Darstellung von Farbfilterdaten (8), das derart in einem Kartensubstrat (10) der Datenträgers (3) angeordnet ist, dass auf dem Filterelement (3) dargestellte Farbfilterdaten (8) auf einer Anzeigeeinrichtung (4) eines Telekommunikationsendgeräts (2) angezeigten Anzeigedaten (5) überlagert werden können, wobei der karten- förmige Datenträger (9) eingerichtet ist, mit einem portablen Datenträger (1) nach einem der Ansprüche 14 oder 15 derart in Datenkommunikation zu stehen, dass der portable Datenträger (1) die dargestellten Farbfilterdaten (8) derart auf zeitlich variierende, von den Anzeigedaten (5) umfasste Stördaten (7) abgestimmt zeitlich variierend erzeugt, dass bei der Überlagerung der Anzeigedaten (5) mit den Farbfilterdaten (8) von den Anzeigedaten (5) umfasste Nutzdaten (6) in den überlagerten Anzeigedaten (5) erkennbar sind.

17. Anzeigeanordnung, umfassend ein Telekommunikationsendgerät (2) mit einer Anzeigeeinrichtung (4), einen mit dem Telekommunikationsendgerät (2) elektrisch verbundenen portablen Datenträger (1) nach Anspruch 14 oder 15 und gegebenenfalls einen mit dem portablen Datenträger (1) in Datenkommunikation stehenden kartenförmigen Datenträger (9) nach Anspruch 16.

18. Anzeigeanordnung nach Anspruch 17, dadurch gekennzeichnet, dass der portable Datenträger (1) eine Mobilfunkkarte ist, die in ein Mobilfunk- endgerät (2) eingesetzt werden kann, und der kartenförmige Datenträger (9) eine Chipkarte ist.