Neue Authentifizierung im Onlinebanking (RZ-Bankinfo & Co) - PSD2-Umsetzung

[#1]

Im Rahmen der KOB-Seminare zum DUO-Experten kam in den letzten Tagen schon mehrmals das Thema  "eventuelle Änderung bei der Verifikation der Authentifizierung im Onlinebanking irgendwann in 2019" zur Sprache.

Nix genaues weiß bis dato noch niemand, außer "dass da was kommt"

Gibt es dazu hier schon mehr Informationen?

Ist ja letztendlich kein reines DATEV-Thema. Aber betroffen werden dann wieder alle Anwender sein, die RZ-Bankinfo bzw. entsprechende Derivate nutzen.

Danke für Feedback bzw. Aufklärung.

VG, A. Hofmeister

13.8.2018

[#2]

Gemeint ist sicherlich die PSD2-Umsetzung, die im September 2019 verbindlich wird. Infos dazu schaffen die Suchdienste

Payment Services Directive – Wikipedia

Wie vieles umgesetzt werden muss, ist noch gar nicht klar. Es wird aber "härter", Verfahren werden anders umgesetzt oder ganz abgeschafft.

[#3]

Danke, rsichmann​!

Ja, das ganze "firmiert" ja unter PSD2. Wollte aber nicht gleich mit dem Begriff hier "reinschneien".

Nun ist es hier aber drin und kann entsprechend fortgeführt werden.

Wie vieles umgesetzt werden muss, ist noch gar nicht klar. Es wird aber "härter", Verfahren werden anders umgesetzt oder ganz abgeschafft.

Ihre Meinung spiegelt die allgemeine Unsicherheit durchaus wider! Zumal es ja nicht unerheblichen Aufwand für die Steuerkanzleien bedeutet.

Und je früher man damit anfängt....

VG, Andreas Hofmeister

[#4]

Hallo Herr Hofmeister,

heute morgen aus dem Zug war ich etwas kurz dabei, sorry dafür.

Ja, das frühe Anfangen ist zwar nicht verkehrt, aber man sollte auch nicht in Panik verfallen. Auf dem letzten Drücker sollte man die Dinge natürlich nicht erledigen wollen, siehe DSGVO-Umsetzung (wir lieben Abkürzungen).

Wenn es um Schnittstellen zu den Banken geht:
Das PIN&TAN-Verfahren wird - zumindest sehr wahrscheinlich - in den modernen Formen weiter bestehen bleiben dürfen, also im sogenannten Zweischrittverfahren, bei der die Auftragskontrolle an einem getrennten Gerät passiert (z.B. einem Kartenleser). Vom Verfahren her unsichere Uraltverfahren wie TAN-Listen sind natürlich dann (endlich) Altpapier. Meines Wissens kann aber un-/regelmäßig zum Abruf der Umsatzdaten eine TAN gefordert werden. Das bedeutet also wahrschenlich sehr viel mehr Aufwand für Kanzleien, die auf diese Technik setzen und viele Konten für Mandanten abrufen. Da die Zugänge personenbezogen sind, müssten sehr viel mehr Vollmachten eingerichtet werden, etc.

Spannend darf es für EBICS werden.

Es kann durchaus sein, dass die Signatur im Datei- und womöglich sogar im Chipkartenverfahren in der aktuellen Form nicht mehr ausreichen, aber das würde auch ja dann auch das SRZ-Verfahren (Abruf über Rechenzentrum) betreffen und auch den Datenaustausch der Banken untereinander. Aktuell würde ich das entspannter sehen.

Meine Wissen ist aber leider so unkonkret und lückenhaft wie die aktuellen Auslegungen zu der Richtlinie. Kommen werden die Änderungen auf jeden Fall, nur wie aufwändig es wirklich an allen Schnittstellen umgesetzt wird, das wird für alle sehr spannend, die mehr als zwei Banken und zwei Konten pflegen müssen.

Wenn ich meine Kristallkugel poliere, würde ich vermuten, dass es trotz evtl. höherer Kosten mehr in Richtung EBICS und/oder Rechenzentrumsanschluss geben wird, weil es eben eher als Standard geeignet ist. Wer hier eh in diese Richtung tendiert, kann durchaus schon mal die Anträge stellen. Wer eher lieber davon weg möchte: Das würde ich mir unter dem PSD-Damoklesschwert gut überlegen.

Herzliche Grüße

Raimund Sichmann

[#5]

Guten Abend Herr Sichmann,

vielen Dank für Ihre Rückmeldung.

Wir sind in diesem Thema sehr viel unterwegs, so dass ich das jetzt zum Anlass genommen habe, das Thema  mal hier zu erfragen. Man sieht es ja an Ihrer Reaktion, dass es zumindest nicht gänzlich unbekannt ist.

Aus den Erfahrungen der Umsatzübermittlung bzw. den entsprechenden "Praktiken" der einzelnen Kreditinstitute möchte ich nur ein ungefähres Gefühl dafür bekommen, was da auf uns zukommt.

Zumindest kann ich mit Ihrer Einschätzung jetzt konkret die weiteren Schritte planen und habe was konkretes in der Hand (auch wenn es auch sehr vage ist - aber immerhin).

Vielen Dank für Ihre (ich hoffe auch weitere) Unterstützung und einen schönen Abend!

MfG

A. Hofmeister

[#6]

Hallo Herr Hofmeister,

was hier noch nicht thematisiert wurde, ist ja die neue PSD2-Schnittstelle, die zusammen mit der Umsetzung der Richtlinie kommen wird und seitens der Bankseite kommen muss.

Wie die genau ausschauen wird, ob sie auf Kosten der etablierten Schnittstellen kommt und ob der "Wildwuchs" eher schlimmer denn weniger wird, steht noch in den Sternen. In dieser Hinsicht bin ich eher pessimistisch.
Die Vorteile werden hoffentlich sein: Es könnte für Bankkunden viel einfacher werden, Dienstleister z.B. mit der automaitisierten Verwaltung von Umsatzdaten zu beauftragen. Bis jetzt muss ja die jew. Bank oder Sparkasse vom Bankgeheimnis ggü. dem Rechenzentrum befreit werden oder es müssen Vollmachten her. Dies dürfte in Zukunft elektronisch gehen.

Herzliche Grüße und bis demnächst
Raimund Sichmann

[#7]

Die Vorteile werden hoffentlich sein: Es könnte für Bankkunden viel einfacher werden, Dienstleister z.B. mit der automaitisierten Verwaltung von Umsatzdaten zu beauftragen. Bis jetzt muss ja die jew. Bank oder Sparkasse vom Bankgeheimnis ggü. dem Rechenzentrum befreit werden oder es müssen Vollmachten her. Dies dürfte in Zukunft elektronisch gehen.

Ich sehe, mit Ihnen einen profunden Mitstreiter gefunden zu haben. Zumindest ist das Problem schon mal umrissen.

Ich hoffe, Ihre zitierte Hoffnung wird denn mal so verfolgt. Denn: das ist ja meine Befürchtung: "man hat gehört, dass da was kommt. Aber keiner weiss, was." Nach dem Motto, "hätte, wäre, könnte".

Und: man sollte das ganze auch nicht zu tief stapeln. Da hängen schon eine Menge DATEV-Prozesse dran. Und wenn ich die Formalismen mit diversen Banken (die dann auch noch von den "örtlichen  Kompetenzen abhängen") jetzt schon sehe, bin ich mir fast sicher, dass dann im nächsten Sommer wieder Panik ausbricht. Hatten wir alles schon bei SEPA. Aber auch da früh angefangen und keine Probleme gehabt....

VG,

A. Hofmeister

[#8]

Re: elektronisches Bankbuchen und DUO

Wie gewünscht Herr Hofmeister

[#9]

Lt unserer Volksbank ist wg PSD2 für Privatkonten kein EBICS-Zugang mehr möglich, da Wissen und Besitz nicht getrennt wären.

Für Geschäftskonten gäbe es da "eine Lücke im Gesetz", weshalb eine Änderung des Kontostatuses von privat auf geschäftlich weiterhin eine EBICS-Zugang ermöglichen würde.

Ich habe das so hingenommen.

[#10]

Soweit ich die Sichtweisen bei dem ganzen Regulierungschaos und der Wärme überhaupt noch richtig im Kopf habe, hängt die "Überlebenschance" von EBICS in der aktuellen Interpretation nicht am Status "privat" oder "geschäftlich" des Kontos oder deren Inhaber, sondern daran, ob es als "echtes Online-Verfahren" betrachtet wird oder nicht. Im Vergleich zu FinTS/HBCI oder dem Browserbanking arbeitet EBICS ja nicht direkt sondern verzögert. Wirkt wie Haarspalterei, es scheint aber genügend Willen da zu sein, das aus diesem Blickwinkel wohlwollend pro EBICS zu sehen. Damit fällt es dann nicht unter diese Regulierung.

Herzliche Grüße
Raimund Sichmann

[#11]

Danke Herr Meyer!

Zumindest bleibt so (m.E.) das Thema PSD2 "ein wenig zusammen" und verliert sich hier nicht ganz (noch).

M.E. müssen hier Lösungswege seitens DATEV aufgezeigt werden, um nicht nächstes Jahr im Chaos zu enden.

Ich hoffe, dass das Problem bei DATEV schon auf der Agenda steht.

[#12]

Hallo Herr Hofmeister,

ich hatte die selbe Frage der Datev schon unter dem Post Abruf der Kontoauszüge mittels HBCI/EBICS seit Inkrafttreten PSD2​ gestellt, wie sie darin sehen können lautete die Antwort "wir klären das intern und geben Ihnen dann bescheid"... Auf eine Rückmeldung seitens der Datev warte ich bis heute, vielleicht erhalten wir ja unter Ihrem Post die ersehnte Rückmeldung unseres Softwarehauses.

Viele Grüße

Marc Brost

[#13]

Hallo Herr Brost,

danke für Ihre Antwort.

Klar, Ihren Beitrag kenne ich. Nur leider ist dieser nur KOB-Mitgliedern vorbehalten. M.E. nicht wirklich ein KOB-Thema.

Und die Antwort von kob+club​ hilft zumindest im Moment nicht wirklich weiter. Nur das DATEV anscheinend was tut. Was genau das nun ist, nun ja.

Ehrlich gesagt reicht mir diese Aussage zwar im Moment. Denke ich allerdings an die Einführung von SEPA im Rahmen der Kanzleiprozesse zurück, wird m.E. die Zeit auch schon wieder knapp. Zumal es ja momentan keinerlei Lösungsansätze zu geben scheint.....

[#14]

Hallo Herr Hofmeister,

da das Thema etwas spezieller ist hatte ich es bei den KOBs angesiedelt, da ich zudem nicht sicher war wie weit die Datev hier die Unternehmer mitnimmt, daher wollte ich keine Lawine lostreten bevor nicht das ungefähre Ausmaß und die damit verbundenen Änderungen klar sind.

Ich hätte auch gerne möglichst schnell eine Antwort, da die Änderungen meines Kenntnisstandes nach auf EU-Ebene bereits beschlossen wurden und seit Anfang des Jahres in deutsches Recht umgesetzt werden müssen, was mit zwischen Ende dieses und Mitte nächsten Jahres abgeschlossen sein sollte.´Sobald unsere Politiker damit fertig sind muss die Datev dies dann ja noch programmtechnisch umsetzen, und wir kennen beide die Geschwindigkeit der Datev...

[#15]

Danke Herr Brost. Wir ziehen -was dieses Thema angeht- an einem Strang!

Zumindest werde ich das Thema und die Fragestellungen dazu hier hochhalten.

Ich bin aufgrund der SEPA-Erfahrungen (Konglomerat DATEV/Banken) diesbezüglich "sensibilisiert"...Von daher halte ich das Thema für sehr wichtig!

[#16]

Ich denke, dass die Datev hier in kürzester Zeit eine Lösung finden wird, der Austausch zwischen den Banken und der Datev klappt ja scheinbar hervorragend, wie man an der Lohn-ID sehen kann, die Datev kam ja gar nicht hinterher uns über die Neuerung zu informieren, so schnell wie das Projekt umgesetzt war *Ironie off*

[#17]

Bitte hier noch auch noch diese Lohn-ID-Diskussion.....

Danke!

[#18]

keine sorge, bin auch nicht an einer solchen Diskussion interessiert

[#19]

Hallo zusammen,

die DATEV-Zahlungsverkehrslösungen – DATEV Zahlungsverkehr und Bank online (enthalten in DATEV Unternehmen online) - bieten DATEV-Anwendern für das Senden von Zahlungsaufträgen und das Abholen von Kontoumsätzen u.a. das Übermittlungsverfahren FinTS/HBCI.

Bei diesem Übermittlungsverfahren werden die persönlichen Sicherheitsmerkmale des Kunden (PIN und TAN) über das DATEV-Rechenzentrum an die Bankenrechenzentren übermittelt. Da DATEV damit vom Anwender diese "Credentials" erhält, ordnet die BaFin DATEV beim Einsatz des FinTS/HBCI-Verfahrens als Kontoinformationsdienst und auch als Zahlungsauslösedienst im Sinne der neuen Fassung des ZAG ein.

Seit dieser Einordnung ist DATEV mit der BaFin in engem Austausch. Bei der Prüfung steht vorrangig das Interesse der Mitglieder - Rechtskonformität, geringer Prozessaufwand für die tägliche Arbeit und geringe Kosten - im Vordergrund.

Diese Prüfung läuft aktuell und ist noch nicht in allen Teilen abgeschlossen.

Bis September 2019 müssen alle Aspekte des ZAG und der delegierten Verordnungen umgesetzt sein. Dazu gehört auch beispielsweise, dass bei Kontoumsatzabfragen nach spätestens 90 Tagen eine starke Authentifizierung stattfinden muss.

DATEV steht hierzu mit den Banken bzw. ihren Rechenzentren in engem Austausch um Informationen zu erhalten, wie die Banken die sog. Starke Authentifizierung bei Kontoumsatzabfragen umsetzen werden.

DATEV wird alle betroffenen Anwender, voraussichtlich im Herbst 2018 umfassend informieren, sobald es bei dieser Thematik eine verbindliche Information geben wird.

Bitte haben Sie Verständnis dafür, dass DATEV in der Community nicht vorab detaillierte Informationen zum aktuellen Stand der Prüfung kommunizieren kann.

Mit freundlichen Grüßen
Jeannine Schäffler
Produktmanagement Zahlungsprozesse

[#20]

Danke für den derzeitigen Stand der Dinge, Frau jeannine.schäffler​.

Zumindest ist das ein Ansatz. Sicherlich findet sich das auch irgendwann in einem Info-Dokument wieder, welches besser zu verfolgen ist, als ein Beitrag, der dann hier bald wieder verschwindet. Oder gibt es dazu schon ein "Einstiegsdokument"?

VG,

A. Hofmeister

[#21]

Hallo Herr Hofmeister,

entschuldigen Sie die späte Antwort.
Vielen Dank für Ihre Anregung, die wir natürlich umsetzen werden. Wie ich bereits in meinem Beitrag am 14.08. geschrieben habe, werden wir im Herbst 2018 wieder informieren.

Mit freundlichen Grüßen

Jeannine Schäffler

Produktmanagement Zahlungsprozesse

[#22]

Dazu gehört auch beispielsweise, dass bei Kontoumsatzabfragen nach spätestens 90 Tagen eine starke Authentifizierung stattfinden muss.

Beim Erstellen von Finanzbuchführungen ist das "elektronische Bankbuchen" seit einigen Jahren absoluter Standard. Es ist völlig unmöglich, dass Papierkontoauszüge "eingetippt" werden. Da ist sich jeder einig.

Neben dem  kostenpflichtigen RZ-Bankinfo-Verfahren nutzen wir bei sehr vielen Mandanten seit vielen Jahren einfach den kostenlosen Abruf über HBCI mit DATEV Zahlungsverkehr und lesen die Umsätze völlig automatisiert ins Kanzlei-Rechnungswesen ein.

Das HBCI-Verfahren ist komplett kostenfrei und wir brauchen nur einmalig eine  Hinterlegung des Zugangs. Danach funktioniert alles einfach und tagaktuell. Sofort ergeben sich dadurch die oben beschriebenen dramatischen Effizienzvorteile, daher nutzen wir das ausnahmslos bei allen Buchführungsmandanten.

Gehe ich recht in der Annahme, dass ein Abruf über HBCI mit dem Programm DATEV Zahlungsverkehr damit ab September 2019 nicht mehr dauerhaft ohne Probleme möglich ist, sondern man sich stattdessen regelmäßig in irgendeiner Form "stark authentifizieren" muss?

Wäre in der Praxis nicht darstellbar...

[#23]

Ja genau, ist eine Forderung des Gesetzgebers. Ich kenne einige Kanzleien die sich vom Mandanten einen lesenden HBCI Zugang einrichten lassen. Dann muss man in der Kanzlei lediglich die Passwörter sicher verwalten und kann sich alle 90 Tage neu authentifizieren.

[#24]

Hallo,

geben wir doch Frau Schäffler (siehe Beiträge 18 und 20) die Chance, sich wie angekündigt in einigen Wochen hierzu erneut zu äußern, sobald genauere Details feststehen.

Spekulieren bringt uns meiner Meinung nach aktuell nicht weiter...

Viele Grüße

Christian Wielgoß

[#25]

Na klar!

Auf jeden Fall scheint DATEV etwas in der Pipeline zu haben.

[#26]

Es stehen ja meines Wissens noch Informationen durch die BaFin aus. Die sollte die DATEV auch erstmal abwarten.

Was einige Kanzleien dringend umstellen sollten, ist die - verständlicherweise - gelebte Praxis, dass die FinTS/HBCI-Passwörter und Zugänge mehreren Menschen im Betrieb zur Verfügung stehen und nicht nur dem Inhaber/der Inhaberin des Zugangs. Das dürfte bei den meisten Banken im Widerspruch zu den Onlinebanking-Sonderbedingungen stehen und dies nicht erst seit der DSGVO. Hier wird dann in Zukunft sauberer gearbeitet werden müssen.

Gruß

Raimund Sichmann

[#27]

Das wurde mit der PSD2 ja ausdrücklich aufgehoben. Die Zugangsdaten dürfen jetzt ebenfalls an Drittanbieter gegeben werden, beispielsweise an Zahlungsauslösedienste.

[#28]

die sich dann entsprehend als Dienstleister registrieren lassen müsste und es dürfen meines Wissens auch Kosten in Rechnung gestellt werden. Da kann man imho auch gleich die DATEV als Service-Rechenzentrum eintragen.

Das Thema ist nicht direkt zu vergleichen und zu verwechseln mit der Erteilung einer echten Kontovollmacht für FinTS/HBCI, die man nur natürlichen Personen geben kann. Wenn diese dann die Zugangsdaten Dritten zugänglich machen, handeln sie grob fahrlässig und bestimmt auch gegen die Sonderbedingungen des Onlinebankings. Wirft auf die Kanzlei auch kein gutes Bild...

Herzliche Grüße
Raimund Sichmann

[#29]

Gefunden um DATEV-Magazin 9/2018:

https://www.datev-magazin.de/2018-09/praxis-2018-09/unterschaetzte-brisanz/