DUO + HBCI (ein Klärungsversuch)

[#1]

Hallo,

nachdem in letzter Zeit in mehreren Threads immer wieder HBCI-Probleme thematisiert wurden, hier mal ein Blick auf die HBCI-Thematik:

HBCI steht für Homebanking Computer Interface.

HBCI ist somit eine standardisierte Banking-Schnittstelle.

Banken betreiben HBCI-Server, damit Kunden mit HBCI-fähigen Softwarelösungen ihre Bankgeschäfte komfortabel abwickeln können.

Voraussetzung für die Nutzung eines HBCI-Zuganges ist, dass der jeweilige HBCI-Nutzer einen Zugang zum HBCI-Server der Bank erhält.

Dieser stets immer gleiche Prozess zeigt, dass bei der Einrichtung eines angeblichen HBCI-Zuganges in DUO keine wirkliche Verbindung zu einem HBCI-Server einer Bank aufgebaut wird. - (Persönlich kenne ich auch nach jahrelanger Tätigkeit in diesem Bereich keinen Fall, bei dem mittels DUO eine Verbindung zu einem HBCI-Server aufgebaut wurde / wird.) Häufig sind für die Mandanten nicht mal HBCI-Zugänge bei der Bank eingerichtet.

Vielmehr wird bei angeblicher Anlage eines HBCI-Zuganges seitens DUO eine Verbindung über die sog FinAPI an die jeweilige PSD2-Schnittstelle einer Bank hergestellt. 

Das führt gegenüber der echten HBCI-Nutzung zu eingeschränkten Nutzungsmöglichkeiten im SEPA-Zahlungsverkehr (es werden keine Protokolle (Übermittlungsprotokoll + Ausführungsprotokoll) erstellt, über die der Status einer Zahlung nachvollzogen werden kann + Sammelüberweisungen sind oft nur eingeschränkt möglich + nicht immer können zwingend benötigte Purpose-Codes (z.B. Markierung einer Überweisung als Gehaltszahlung) genutzt werden, eingeschränkte Betragslimite, ...)

Alternativ kann mit DUO stattdessen ein sog. EBICS-Zugang (www.ebics.de) genutzt werden.

In diesem Fall würde seitens DUO tatsächlich - mit allen Vorteilen - eine direkte Verbindung zum EBICS-Server der entsprechenden Bank hergestellt werden.

VG 

Sven

[#2]

wird HBCI eigentlich auf breiter (Banken-)Front abgekündigt ?

... jedenfalls stelle ich fest, dass immer mehr Banken (nur noch) mit speziellen (meist bankenspezifischen) Apps arbeiten wollen oder können. Das nervt (mich) extrem.

... und auch beim Onlinebanking mit 'normaler' Banking-Software muss man immer wieder mal Aufträge mit bestimmten Apps explizit freigeben und TANs mit unterschiedlichen Verfahren und Geräten generieren.

Mit HBCI-Karte fand ich das Online-Banking wesentlich komfortabler und 'barrierefreier'

[#3]

Hallo @vogtsburger 

wird HBCI eigentlich auf breiter (Banken-)Front abgekündigt ?

... jedenfalls stelle ich fest, dass immer mehr Banken (nur noch) mit speziellen (meist bankenspezifischen) Apps arbeiten wollen oder können.

einzelne Häuser tauschen die digitale HBCI-Signatur (Schlüsseldatei auf HBCI-Chipkarte oder alternativem Speichermedium) gegen ein TAN-Verfahren (meist photoTAN-Verfahren) aus. Der Hintergrund hat sich mir bisher noch nicht erschlossen, denn auch aus meiner Sicht ist das Verfahren mit Schlüsseldatei deutlich besser nutzbar.

... und auch beim Onlinebanking mit 'normaler' Banking-Software muss man immer wieder mal Aufträge mit bestimmten Apps explizit freigeben und TANs mit unterschiedlichen Verfahren und Geräten generieren.

Für die Freigabe z.B. eines Zahlungsauftrages ist zwingend die Bestätigung über einen 2. Faktor vorgeschrieben.  Dieser 2. Faktor ist - neben dem Kennwort - derzeit meist eine generierte TAN.

Mit HBCI-Karte fand ich das Online-Banking wesentlich komfortabler und 'barrierefreier'

Stimme uneingeschränkt zu. 🙂

Glücklicherweise kann ich mit meinen Softwarelösungen und "meinen" Banken mittels Schlüsseldatei arbeiten.

Die Schlüsseldatei habe ich allerdings nicht auf eine HBCI-Chipkarte kopiert (um keinen Kartenleser nutzen zu müssen), sondern auf einen anderen Datenträger.

VG 

Sven

[#4]

---

@alterSchwede  schrieb:

Für die Freigabe z.B. eines Zahlungsauftrages ist zwingend die Bestätigung über einen 2. Faktor vorgeschrieben.  Dieser 2. Faktor ist - neben dem Kennwort - derzeit meist eine generierte TAN.

---

Meine Bank loggt mich ein (derzeit Fingerabdruck) u. lässt mich dann munter Überweisungen ausführen. Ist der zweite Faktor gegeben?

[#5]

Meine Bank loggt mich ein (derzeit Fingerabdruck) u. lässt mich dann munter Überweisungen ausführen. Ist der zweite Faktor gegeben?

DAS würde ich mir ja gerne mal im Detail ansehen. 🙂

Gerne mal eine PM senden, um welche Bank es geht.

VG 

Sven

[#6]

---

@alterSchwede  schrieb:

DAS würde ich mir ja gerne mal im Detail ansehen. 

Gerne mal eine PM senden, um welche Bank es geht.

DAS muss ich mir nochmal ganz genau überlegen. Ich möchte keine schlafenden Hunde lostreten.

[#7]

---

@alterSchwede schrieb:

In diesem Fall würde seitens DUO tatsächlich - mit allen Vorteilen - eine direkte Verbindung zum EBICS-Server der entsprechenden Bank hergestellt werden.

---

Denke aber an die ABM SmartVerify. Damit man flexibel und mobil bleibt, ist der Einsatz eines SmartLogins an der Stelle zu empfehlen, wenn man nicht noch ein zusätzliches on-premises Programm haben möchte, dass leider nicht im Ansatz so schlau wie pushTAN ist. 

Aber an Zuverlässigkeit gewinnt man. Auch dran denken, dass nicht alle (vor allem) Neobanken EBICS bereitstellen und man daher oftmals eher an klassische Banken (Commerzbank, Sparkasse, VR Bank, deutsche Bank) gebunden ist. Den Spagat schafft meiner Meinung nach Qonto aktuell sehr gut, die auch RZ-Bankinfo bereitstellen. 

Wer sein Business nicht ganz einem Berater in die Hände geben möchte, kann auch Banken seiner ERP/CRP Lösung nutzen, so wie das lexOffice anbietet: lexoffice Geschäftskonto online eröffnen & IBAN sofort erhalten

Hätte sich DATEV zur PSD2 Einführung durch die EU als Bank akkreditieren lassen, hätten wir ggf. all diese Probleme mit HBCI/finAPI in der Form nicht. Es gab seinerzeit aber Gründe, das als eG wohl nicht zu tun. 

[#8]

---

@theo  schrieb:

---

@alterSchwede  schrieb:

Für die Freigabe z.B. eines Zahlungsauftrages ist zwingend die Bestätigung über einen 2. Faktor vorgeschrieben.  Dieser 2. Faktor ist - neben dem Kennwort - derzeit meist eine generierte TAN.

---

Meine Bank loggt mich ein (derzeit Fingerabdruck) u. lässt mich dann munter Überweisungen ausführen. Ist der zweite Faktor gegeben?

---

Der zweite Faktor muss nicht immer zwingend gefordert werden - bei kleinen Beträgen darf die Bank unter bestimmten Umständen darauf verzichten und trägt das erhöhte Risiko.
Bei der "Fingerabdruck-Freigabe" könnte man meinen, die Bank könne diesen prüfen. Technisch ersetzt der Fingerabdruck in der Regel nur ein Passwort, dass eine App autorisiert. Diese verlässt sich auf die biometrische Absicherung des Mobilgerätes und nutzt dabei cryptotechnische Schlüssel (idealerweise der Hardware) zur Legitimation.
Bei dieser Art "TAN-Erzeugung" ist der zweite Faktor also "Besitz", in diesem Fall des Schlüssels in der App/der Hardware, der erste ist das "Wissen" um die Zugangsdaten.
Gruß

Raimund

PS: echtes "HBCI" mit einem Signaturverfahren konnte die DATEV meines Wissens noch nie und die notorisch falsche Bezeichnung sorgt bei Banken, die HBCI anbieten, regelmäßig für Freischaltungen, die in DUO nicht nutzbar sind.

[#9]

---

@rsichmann  schrieb:

---

Der zweite Faktor muss nicht immer zwingend gefordert werden - bei kleinen Beträgen darf die Bank unter bestimmten Umständen darauf verzichten und trägt das erhöhte Risiko. [...]  "Fingerabdruck-Freigabe" [...] Bei dieser Art "TAN-Erzeugung" ist der zweite Faktor also "Besitz", in diesem Fall des Schlüssels in der App/der Hardware, der erste ist das "Wissen" um die Zugangsdaten.

---

Der zweite Faktor auf dem gleichen Gerät mit dem gleichem Fingerabdruck, so wie es deutsche Banken machen hat mich schon immer gewundert. Man hat bloß 2 Apps statt einer.

Anekdote: Ich nutze seit ca. 2 Jahren ausschließlich eine litauische IBAN. Die hat 2 Stellen weniger als eine deutsche u. die BIC hat 3 Stellen weniger. Das führt regelmäßig zu Software-Problemen in Deutschland. Ich konnte aber bisher, wenn auch nach einigen Kämpfen, alle Zahlungen tätigen/erhalten.