elektronisches Bankbuchen und DUO

[#1]

Hallo zusammen,

wir nutzen als Kanzlei Rechnungswesen und aktuell das elektronische Bankbuchen über Kontoauszüge per RZ Bankinfo.

Unsere Mandanten nutzen DUO und dort Banking mit HBCI oder EBICS.

Wir würden gerne in Kanzlei Rechnungswesen nun das elektronische Bankbuchen über die "DUO Banking-Daten" abwickeln.

Das Dokument 1070861 beschreibt dies ja ganz ausführlich.

Nun jedoch der Haken: Wenn der Mandant die Kontoauszüge über AKTUALISIEREN nicht auf dem aktuellsten Stand hat könnten wir nicht buchen. Wir selbst können zwar auch in DUO auf aktualisieren drücken, jedoch wird dann immer nach der PIN gefragt, die ich nicht habe und auch nicht haben will.

Es ist ja anscheinend so, dass in DUO bei der Bankverbindung nicht die vollen Zugangsdaten inklusive PIN gespeichert werden können.

Wie lösen andere Kanzleien dieses Problem ?

Vielen Dank !!!

[#2]

Hallo Herr Huber,

zu Ihrer Anfrage sind mehrere Varianten vorstellbar:

1.) Umstellen auf RZ-Bankinfo

2.) Nutzung Zahlungsverkehr der Kanzlei und Abholung der Kontoumsätze via HBCI oder EBICS

3.) dem Mandanten eintrichtern, die Kontoumsätze regelmäßig in DUO zu holen

Beachten Sie bitte, dass vermutlich ab 09/2019 die sogenannte „starke Authentifizierung“ eingeführt wird. Das bedeutet nach meinem Kenntnisstand, dass die Banken mindestens alle 90 Tage beim Kontoumsatzabruf via HBCI eine TAN abfragen müssen.

Realistisch beurteilt, bleibt damit mittelfristig für die Kanzleien nur noch die RZ-Bankinfo oder ein regelmäßiges Abholen der Kontoumsätze in DUO durch den Mandanten (dieser hat ja den Zugriff auf die TAN).

Das Importszenario von Kontoumsätzen lasse ich mal unberücksichtigt.

Beste Grüße

[#3]

Hallo Herr Meyer,

vielen Dank für Ihre ausführliche Antwort:

1. Von der RZ Bankinfo wollen wir ja genau weg um auch hier die Bank-Kosten (bis zu 15,00 Euro pro Monat) dem Mandanten zu sparen.

2. Eine Alternative, aber die Zugangsdaten habe ich ungern auf meinem Server.

3. Ist natürlich dann "meine" aktuelle Lösung.

Schade dass die Kontoauszüge hier nicht automatisiert abgeholt werden können.

Sehr interessant auch hier Ihr Ausblick auf 2019, das war mir nicht bekannt.

Nochmals Danke und einen schönen Abend !

[#4]

Hallo Herr Huber,

anbei noch eine Info aus folgender Quelle (es gibt auch unzählige andere Quellen):

PSD2 und die Zukunft der Kundenauthentifizierung: Wissen, Besitz und Inhärenz · IT Finanzmagazin

„Neue Authentifizierungsverfahren: sicher und komfortabel

Der andere hochinteressante Aspekt der PSD2 sind ihre Auswirkungen auf die Kundenauthentifizierung. Bei gewissen Zahlungsverfahren werden durch die überarbeitete Direktive neue Kundenauthentifizierungsmethoden notwendig. So dürfte etwa beim Mobile Payment eine SMS-TAN auf das Smartphone nicht mehr zulässig sein. In Artikel 97 schreibt die PSD2 zwingend eine sogenannte starke Kundenauthentifizierung vor, wenn der Zahlende beispielsweise online auf sein Zahlungskonto zugreift oder einen elektronischen Zahlungsvorgang auslöst. Stark wird die Authentifizierung, wenn dabei wenigstens zwei von drei möglichen Kategorien herangezogen werden. Diese drei Authentifizierungskategorien sind:

1.Wissen: etwas, das nur der Nutzer weiß (etwa ein Passwort).

2.Besitz: etwas, das nur der Nutzer besitzt (etwa eine Chip-Karte).

3.Inhärenz: etwas, das dem Nutzer persönlich bzw. körperlich zu eigen ist (etwa ein Fingerabdruck).“

Fakt ist, beim heutigen Kontoumsatzabruf via HBCI reicht die „Wissenskomponente“ - also Benutzerkennung und Passwort für das Konto.

Zukünftig wird noch Besitz oder Inhärenz oder beides hinzukommen. Meines Erachtens wird dieses Verfahren (Umsatzabruf via HBCI von der Kanzlei aus) dann für die Kanzleien enden.

Beste Grüße

[#5]

Guten Morgen Herr Meyer,

ich hatte dazu im Juni eine Anfrage hier. Vielleicht könnten Sie Ihren Beitrag auch an diesen nochmal dranhängen?

https://www.datev-community.de/message/60208#60208

Dann bleibt das Thema auch dort im Zusammenhang?

Danke für Feedback!

VG,

A. Hofmeister

[#6]

Hallo,

wenn man allerdings nur die Kontoauszüge abruft gibt es eine Ausnahme, da muss die starke Authentifizierung nur alle 90 Tage durchgeführt werden und dann reicht eine Bestätigung mit einer TAN. Somit auch SMS, bzw. Handy TAN. Siehe Artikel: BaFin - Fachartikel - Starke Kundenauthentifizierung: Neue Pflicht wirkt sich auf …

Übrigens weiß die Datev über RZ-Bankinfo auch noch nicht wie das dann damit weitergeht, weil hier ja auch eine zweite Komponente nötig wäre.

Gruß Daniel Thamm

[#7]

Danke für Deine Antwort.

Übrigens weiß die Datev über RZ-Bankinfo auch noch nicht wie das dann damit weitergeht, weil hier ja auch eine zweite Komponente nötig wäre.

Genau deswegen habe ich jetzt angefangen das Thema "hoch"  zu halten. Es ist zwar noch lange hin, aber trotzdem vergeht ein Jahr sehr schnell. Zumindest kann man ja mal reagieren ......

Oder?

[#8]

Hallo zusammen,

die DATEV-Zahlungsverkehrslösungen – DATEV Zahlungsverkehr und Bank online (enthalten in DATEV Unternehmen online) - bieten DATEV-Anwendern für das Senden von Zahlungsaufträgen und das Abholen von Kontoumsätzen u.a. das Übermittlungsverfahren FinTS/HBCI.

Bei diesem Übermittlungsverfahren werden die persönlichen Sicherheitsmerkmale des Kunden (PIN und TAN) über das DATEV-Rechenzentrum an die Bankenrechenzentren übermittelt. Da DATEV damit vom Anwender diese "Credentials" erhält, ordnet die BaFin DATEV beim Einsatz des FinTS/HBCI-Verfahrens als Kontoinformationsdienst und auch als Zahlungsauslösedienst im Sinne der neuen Fassung des ZAG ein.

Seit dieser Einordnung ist DATEV mit der BaFin in engem Austausch. Bei der Prüfung steht vorrangig das Interesse der Mitglieder - Rechtskonformität, geringer Prozessaufwand für die tägliche Arbeit und geringe Kosten - im Vordergrund.

Diese Prüfung läuft aktuell und ist noch nicht in allen Teilen abgeschlossen.

Bis September 2019 müssen alle Aspekte des ZAG und der delegierten Verordnungen umgesetzt sein. Dazu gehört auch beispielsweise, dass bei Kontoumsatzabfragen nach spätestens 90 Tagen eine starke Authentifizierung stattfinden muss.

DATEV steht hierzu mit den Banken bzw. ihren Rechenzentren in engem Austausch um Informationen zu erhalten, wie die Banken die sog. Starke Authentifizierung bei Kontoumsatzabfragen umsetzen werden.

DATEV wird alle betroffenen Anwender, voraussichtlich im Herbst 2018 umfassend informieren, sobald es bei dieser Thematik eine verbindliche Information geben wird.

Bitte haben Sie Verständnis dafür, dass DATEV in der Community nicht vorab detaillierte Informationen zum aktuellen Stand der Prüfung kommunizieren kann.

Mit freundlichen Grüßen
Florian Janusch
Produktmanagement Zahlungsprozesse / E-Commerce