Neue Datenformate und die Notwendigkeit eines EBICS-Updates für die Schweiz – Was ist zu beachten?

Mit der SIX-Publikation Swiss Market Practice Guidelines EBICS für EBICS V3.0 vom Juni 2020, die die Empfehlungen für die Umsetzung des EBICS-Standards für den Finanzplatz Schweiz enthält, zieht nun auch die Schweiz nach und passt den Standard an das europäisch harmonisierte Protokoll an. Haupttreiber der Harmonisierung waren die Mitglieder der EBICS-Gesellschaft, namentlich die Finanzplätze Deutschland, Frankreich und die Schweiz (neuestes Mitglied ist Österreich).

Per Definition werden auch in der Schweiz jeweils zwei Versionen von EBICS unterstützt, d. h. in Zukunft die Version 2.5 und die Version 3.0. Somit könnte man auf den ersten Blick meinen, dass seitens der Kunden und Softwarehersteller kein akuter Handlungsbedarf besteht, da die bisherige Version ja noch angeboten wird. Gäbe es in der Schweiz da nicht diesen Absatz 2.2.1 EBICS Timeline im SIX-Dokument mit folgendem Hinweis: „Für die Unterstützung der ISO 20022 Schema-Migration auf die Version 2019 ist die Verwendung von EBICS 3.0 erforderlich.“

Wie gut informierte Fachleute wissen, soll die ISO-Version 2019 ab 2022 auch in der Kunde-Bank-Schnittstelle eingeführt werden. Per 2024 sollen dann die aktuellen Versionen nicht mehr unterstützt werden. Dies entspricht dem Trend der globalen Migration auf diese neue Version, z. B. in den Vorhaben SEPA-, SWIFT MX- oder der TARGET2-Migration. Nicht zuletzt auch vor dem Hintergrund der geplanten Einführung von Instant Payments in der Schweiz per 2023 ist diese Migration von grosser Wichtigkeit.

Der Finanzplatz Schweiz hat sich also entschieden, den Upgrade der EBICS-Version mit dem Upgrade der ISO-Version zu verknüpfen. Für Kunden und Softwarehersteller ergeben sich vor diesem Hintergrund ein paar Fragen und auch nicht zu unterschätzende Herausforderungen. Die wichtigsten Punkte werden in den nachfolgenden Absätzen beleuchtet, und es werden – wo immer möglich – auch gleich Lösungsansätze aufgezeigt.

EBICS 3.0 spätestens ab November 2021 auch in der Schweiz 

Die EBICS-Kommunikation hat sich in der Schweiz mittlerweile voll etabliert und ist aus dem Finanzsektor nicht mehr wegzudenken. Bisher wird die EBICS-Version 2.5 von der Mehrheit der Finanzinstitute in der Schweiz angeboten.

Wie bereits eingangs erwähnt, wird mit den Empfehlungen für die Umsetzung des EBICS-Standards für den Finanzplatz Schweiz (Version 1.0 vom 01.06.2020 der SIX, www.six-group.com) die neuere EBICS-Version 3.0 in der Schweiz ab November 2021 offiziell für das Firmenkundengeschäft mit Finanzinstituten eingeführt.

Festlegungen der Schweiz für den Umgang mit den neuen Geschäftsvorfällen in EBICS

Mit der Einführung der neuen Version V3.0 soll die Vorgängerversion EBICS 2.5 dann noch bis Ende 2024 offiziell von Finanzinstituten unterstützt werden. Zudem wird für die Entgegennahme der neuen Schweizer ISO20022-Formate in der Version 2019 EBICS 3.0 vorausgesetzt. Dies bedeutet für Firmenkunden, dass jeder, der seine Schweizer ISO-Formate einmal aktualisiert hat, nicht mehr ohne Weiteres noch EBICS 2.5 dafür nutzen kann.

Es ist an der Zeit, zu planen

Diese anstehenden Aktualisierungen erfordern es, rechtzeitig eine Anpassung der Softwarelösungen einzuplanen und vorzunehmen. Hier sind die Finanzinstitute, Firmenkunden und Softwarehersteller gefragt.

Die Aktualisierung der ISO20022-Datenformate auf die Version 2019 ist da nur eine Sache. Nicht zu unterschätzen sind jedoch die Änderungen des EBICS-Protokolls, die mit der Version 3.0 umzusetzen sind. Die wichtigsten Anforderungen sind:

• Das neue Business Transaction Format (BTF) löst die bisherigen Auftragsarten und Fileformat-Parameter ab.
• Der Transport der öffentlichen Schlüssel erfolgt einheitlich jetzt mit Zertifikaten.
• Die kryptografischen Verfahren sind verbessert.
• Der Umgang mit Bankschlüsseln ist verbessert.
• Es gibt zusätzliche Steuerungsparameter zur elektronischen Unterschrift.
• Eine Prüfung auf Doppeleinreichung findet auf Dateiebene statt.
  

Wie also mit diesen neuen Anforderungen umgehen?

Nicht nur die Banken, auch die Softwarehersteller von EBICS-Clients, haben die Aufgabe, ihre Softwarelösungen um EBICS 3.0 zu erweitern, so dass die Firmenkunden frühzeitig Updates durchführen und produktiv setzen können.

Es müssen alle Besonderheiten von EBICS 3.0 im Client berücksichtigt sein, und u. U. muss ein Mischbetrieb von unterschiedlichen EBICS-Versionen je nach Bankzugang und EBICS-Usern möglich sein. Zudem sollten dem Anwender unterstützende Migrationsoptionen für die EBICS-Umstellung angeboten werden, die nach Möglichkeit eine erneute Initialisierung vermeiden (Stichwort Erhöhung von Minimal-Schlüssellängen).

Die EBICS-API – Entkopplung von Fachlichkeit und Technik

Aus eigener Erfahrung wissen wir, dass die Migration auf die Version 3.0 nicht einfach ein Mapping von Auftragsarten zu BTF-Kombinationen darstellt. Es gibt viele weitere Knackpunkte zu lösen, respektive neu zu programmieren. Insbesondere, wenn die Bank, der Softwarehersteller und der Kunde diese Migration möglichst automatisiert durchführen möchten. PPI bietet schon seit Jahren den TRAVIC-EBICS-Kernel, eine API-Lösung für die Integration in eigene EBICS-Clients, an. Dieser ist in Europa bei fast jeder zweiten EBICS-Client-Software der zentrale Baustein für die Abwicklung der EBICS-Kommunikation.

Mit der aktuellsten Version sind natürlich auch die neuen Spezifika rund um EBICS 3.0 bereits implementiert. Richtig angebunden, wickelt die API das eBanking für den Client transparent in all seinen Ausprägungen und Versionen ab. TRAVIC-EBICS-Kernel entlastet somit den Softwarehersteller von eBanking- und Zahlungsverkehrsanwendungen bei der Implementierung des Standardprotokolls und deren Syntax sowie bei Sicherheitsverfahren. Diese Lösung bildet die EBICS-Spezifikation vollständig ab und bietet eine einfach zu integrierende Schnittstelle, die Softwarehersteller als komfortablen und schnell nutzbaren Kommunikationsbaustein in ihre Softwareprodukte einbinden können.

Betrachtet man das Aufwand-/Ertragsverhältnis bei der Integration des TRAVIC-EBICS-Kernels, ist es nicht verwunderlich, dass dieses Produkt so ein Bestseller ist. Softwarehersteller, welche nicht den Kernel einsetzen, können sich jederzeit mit uns in Verbindung setzen und den Erhalt einer Testlizenz anfragen. Der Zeitpunkt dazu war noch nie so gut wie vor der bevorstehenden Umstellung auf EBICS 3.0.

Autoren: Carsten Miehling und Michael Lembcke

Mehr Informationen:
Webseite: EBICS 3.0 | challenge accepted

Flyer: EBICS 3.0 – Was ändert sich?

Weiterlesen

Standardisierung und Automatisierung in der Beziehung mit externen Vermögensverwaltern dank EBICS

Externe Vermögensverwalter (EVV) oder External Asset Manager (EAM) bieten ihren vermögenden Privatkunden oder institutionellen Kunden wie Pensionskassen und Versicherungen verschiedenste Services an (zum Beispiel Steuer- und Immobilienberatung, Handels- und Anlagegeschäfte). Die Kundenkonten liegen meist auf einer oder mehreren Depotbanken. Die Interaktion mit den Finanzinstituten ist dabei oft weder standardisiert noch automatisiert. Die Kommunikation über Briefpost, Telefon, E-Mail und teilweise auch noch Fax dominiert den Geschäftsalltag.

Wenige, grosse Vermögensverwalter verfügen über einen SWIFT-Anschluss und benutzen diesen für die Abwicklung von Treasury- und Fremdwährungsgeschäften (Meldungskategorie 3), Wertschriftengeschäften (Meldungskategorie 5), Edelmetallgeschäften (Meldungskategorie 6) oder Cash-Management-Geschäften (Meldungskategorie 9). Einige haben proprietäre System-zu-System-Verbindungen realisiert, beispielsweise mittels FTP, um Finanzmeldungen auszutauschen. In der Schweiz beobachten wir einen Trend, dass EBICS sich in diesen Fällen als alternative Anbindungsvariante durchsetzen könnte.

Im Rahmen des PPI-Frühstücks im April 2019 in Lausanne hat ein Vertreter von Credit Suisse das Angebot «Private swift Network (PsN)» vorgestellt. Es handelt sich dabei um die Erweiterung des EBICS-Angebots in der Art und Weise, dass ca. 20 neue EBICS-Auftragsarten (Reports für den Download) aus den oben genannten EAM-Anwendungsfällen zur Verfügung stehen. Dank der Kooperation mit führenden Softwareherstellern von Portfolio-Management-Systemen (wie etwa Allocare oder Expersoft) erreicht die Credit Suisse in der Interaktion mit ihren Partnern eine signifikante Steigerung des Standardisierungs- und Automatisierungsgrads. Konkret können die SWIFT-Meldungen der oben genannten Meldungskategorien jetzt auch über EBICS transportiert werden.

Da das EBICS-Protokoll flexibel bezüglich des transportierten Inhalts ist, bietet Credit Suisse darüber hinaus auch weitere Formate wie beispielsweise CSV oder XML für Rapportierung der Transaktionen und Vermögenswerte an, inklusive Stammdaten der entsprechenden Kundendepots. Von dem neuen Angebot profitieren alle Akteure: Vermögensverwalter können vermehrt Banken kostengünstig via EBICS anbinden und ihre Prozesse automatisieren, Softwarehersteller ihren Funktionsumfang sinnvoll erweitern und Banken ihre Attraktivität für EAM steigern. Über alle Stellen und Prozesse gesehen sinkt auch die Fehlerrate und es steigt die Umsetzungsgeschwindigkeit durch den Wegfall von manuellen Eingriffen.

Schweizer Banken, welche aktuell Projekte in diesem Umfeld umsetzen, planen bereits die nächsten Ausbaustufen im EBICS-Angebot. So sollen in Zukunft nicht nur die Reporting-Funktionen (EBICS-Download), sondern auch die Auftragsfunktionen (EBICS-Upload) angeboten werden. Insbesondere Aufträge im Handel (SWIFT-Meldungskategorie 5) sind gut geeignet für die Einreichung via EBICS. Konkret sollen Börsenaufträge (etwa SWIFT MT502) mittels einer eigener Auftragsart vom Vermögensverwalter an die Bank übermittelt werden. Analog der bekannten Zahlungsauftragsschnittstellen werden bankseitig die Börsenorderschnittstellen angebunden. In diesem Kontext ist auch der Einsatz einer VEU denkbar.

Fazit:
Erste Banken in der Schweiz weiten ihr EBICS-Angebot über die Anwendungsfälle des Zahlungsverkehrs hinaus aus. Das Angebot von Credit Suisse für mittlere und grössere Vermögensverwalter setzt im Markt der EAM-Kundschaft ein Zeichen und wird wohl Nachahmer auf den Plan rufen. Softwarehersteller von Portfolio-Management-Systemen lernen langsam aber sicher das EBICS-Protokoll kennen und erweitern ihre Connectivity-Möglichkeiten um diese Anbindungsvariante. Der Phantasie, welche Formate und Standards in Zukunft über EBICS transportiert werden, sind keine Grenzen gesetzt. Es ist davon auszugehen, dass EBICS auch in anderen Domänen ausserhalb des Zahlungsverkehrs für ein bestimmtes Kundensegment eine echte Alternative zur Kommunikation über das SWIFT-Netz darstellt.

Carsten Miehling

Weiterlesen

EBICS und die API-Diskussionen – Ein Statusupdate aus der Schweiz

Seitdem SIX Interbank Clearing (SIC) als Repräsentant des Finanzplatzes Schweiz im Frühling 2015 als offizielles Mitglied in die EBICS SCRL aufgenommen wurde, hat sich im Bereich der Firmenkundenschnittstellen bei Banken (Neudeutsch auch „Corporate Communication Interfaces“) einiges getan. Und aktuell rumort es ebenfalls wieder auf dem Gebiet der elektronischen Schnittstellen, sodass es sich lohnt, in diesem Blog wieder einmal einen Blick auf die aktuelle Situation in diesem Bereich in der Eidgenossenschaft zu werfen.

Natürlich soll hier auch die Rede von APIs (Application Programming Interfaces) sein, denn in manchen Geschäftsleitungs-Etagen bei Banken erscheinen diese drei Buchstaben als der große Heilsbringer in der Digitalisierungsstrategie. Haben also APIs, insbesondere für die Abfrage von Kontoinformationen oder die Beauftragung von Zahlung das Potential, die altgedienten Dateitransferprotokolle wie EBICS obsolet zu machen? Insbesondere vor dem Hintergrund, dass gerade neue Startups und FinTechs diese schlanken APIs dem doch etwas aufwändig zu implementierenden EBICS bevorzugen?

Um diese Frage für die Schweiz beantworten zu können, benötigt der mit dem Finanzplatz Schweiz weniger vertraute Leser aktuelle Hintergrund-Informationen. Zunächst einmal ist festzuhalten, dass die Schweiz als Nicht-EU-Mitglied in keiner Weise an die PSD2 (Payment Service Direktive) gebunden ist. Womit ein großer Treiber, die Pflicht eine API anzubieten, für Banken erstmal wegfällt. Des Weiteren gibt es in der Schweiz auch keine standardisierte Schnittstelle fürs Onlinebanking à la FinTS wie in Deutschland. Nichtsdestotrotz ist die frohe Botschaft der Europäischen Union natürlich auch in der Schweiz vernommen worden.

Bevor wir uns etwas vertiefter mit den zurzeit heiß diskutierten API-Initiativen beschäftigen, soll noch einmal die EBICS-Verbreitung gewürdigt werden. In den letzten gut fünf Jahren hat sich das Protokoll nach dem Vorbild der deutschen Implementierung bei allen größeren Instituten als Standardangebot für den elektronischen Austausch von Daten mit Firmenkunden durchgesetzt. Die Protokolleigenschaften, sehr große Volumina transferieren zu können sowie neuerdings auch der Einsatz der VEU (Verteilte Elektronische Unterschrift), werden von mittleren und größeren Firmenkunden sehr geschätzt. Auch alle namhaften Schweizer Softwareanbieter mit Lösungen im Electronic Banking haben EBICS im Angebot.

Soweit so gut, könnte man meinen. Wie eingangs erwähnt, ist hierzulande die API-Diskussion ebenfalls in vollem Gange und wir beobachten momentan drei erwähnenswerte Initiativen, welche nachfolgend kurz vorgestellt werden. Um es an dieser Stelle vorweg zu nehmen, aus Sicht des Autors sind diese Initiativen kein Ersatz für EBICS, sondern ergänzen ein Schnittstellen-Angebot eines Finanzinstitutes für ein bestimmtes Kundensegment (in der Regel kleinere Firmenkunden, die über eine Cloud-Lösung mit der Bank Informationen in beide Richtungen austauschen).

Sehr vielversprechend erscheint momentan „Corporate API“, die Initiative von SIX und den Schweizer Banken. Unter diesem Namen entwickelt die SIX zusammen mit Vertretern der Banken und Software-Hersteller nicht nur einen frei verfügbaren Standard, sondern gleich noch die passende Plattform dazu. Diese Plattform erlaubt eine sehr einfache Teilnahme an einem neu entstehenden Öko-System, das Services weit über den PSD2-Rahmen (AIS, PIS) hinaus anbieten wird.

Als Formate werden bei der „Corporate API“ JSON und ISO20022 XML angeboten. Die JSON-Variante wird dabei sehr einfach und rasch zu implementieren sein und zielt auf SW-Anbieter, welche nicht die Komplexität der ISO20022-Meldungen benötigen. Die ISO20022 XML-Variante unterstützt das gesamte Spektrum der aus der Migration ZV CH bekannten Möglichkeiten. Bereits gegen Ende 2018 werden erste Tests mit Pilot-Banken und -herstellern durchgeführt werden.

Ein weiteres Projekt läuft unter dem Namen „Common API“. Das Common API der SFTI (Swiss Fintech Innovations) lehnt sich stärker an PSD2 bzw. die Implementierung der BerlinGroup an. Gegenüber der Corporate API-Variante formuliert die Spezifikation der SFTI das API allgemeiner und überlässt die Wahl der Zielgruppe dem Service Provider. Gemäß Informationen der SFTI sind bei der Entwicklung dieses Standards die großen Bankapplikations-Anbieter mit an Bord. SIX hat den Entwicklungsprozess der SFTI-Spezifikation von Anfang an begleitet und wird zukünftig die Ergebnisse der SFTI-Arbeitsgruppe weiterführen. Gut möglich also, dass aus zumindest in Teilen die Standards kompatibel ausfallen werden.

Die Situation für Softwarehersteller ist somit in der Schweiz nicht gerade einfach, da einerseits mit EBICS ein etabliertes produktives Protokoll zur Verfügung steht und neue Initiativen in den Startlöchern stehen. Je nach Kundensegment und Geschäftsmodell stellt sich für Lösungsanbieter die Frage, eine oder allenfalls auch gleich mehrere Implementierungen anzubieten. Kommt hinzu, dass einige Banken bereits proprietäre Interfaces publiziert haben (etwa die Hypothekarbank Lenzburg, welche als sehr innovative Fintech-Bank auftritt). Weitet man das Einsatzgebiet auf Europa aus, dann kommen noch bereits bekannte Initiativen wie „Berlin Group“, „STET“ oder „Open Banking“ dazu. Typischerweise hat der Finanzplatz Schweiz keinen existierenden Standard übernommen, da hierzulande das „Swiss Finish“ immer noch hoch im Kurs ist.

Carsten Miehling

Weiterlesen

EBICS im „Private Banking“ – Anwendungsfälle ausserhalb des Zahlungsverkehrs

EBICS wird gemeinhin als sicheres Übertragungsprotokoll für den Austausch von Zahlungsverkehrsdateien (Aufträge und Auszüge) angesehen. Insbesondere im Segment der Firmenkunden ist diese Anwendung mit Sicherheit auch die am weitesten verbreitetste. Ich möchte an dieser Stelle einen anderen, in der Schweiz sehr aktuellen Anwenderfall vorstellen: EBICS-Angebote im Private Banking.


Hiesige Privatbanken haben aktuell einen noch schwereren Stand als bisher und geraten von mehreren Seiten unter Druck. Regulierung, Margendruck, besser informierte Kunden, das Aufbrechen der Wertschöpfungskette und die Digitalisierung sind nur einige Themen, welche heute auf der Agenda von Privatbankvorständen anzutreffen sind. Im Bereich Automation beobachten wir in der Schweiz zurzeit eine erwähnenswerte EBICS-Initiative - den Einsatz als Schnittstelle für Börsengeschäfte.

Auf Anregung grösserer institutioneller Anleger und professioneller Vermögensverwalter, welche ihrerseits ebenfalls ein Interesse an mehr Automation haben, werden neuerdings vermehrt EBICS-Transaktionsarten aus dem Ordergeschäft angeboten. Typischerweise sind dies Auftragsarten für das Einliefern und Verarbeiten von Börsenaufträgen (Upload) und Auftragsbestätigungen, Abrechnungen und Depotauszüge (Download). Als Formate kommen die SWIFT (MT5xx) und PDF zum Einsatz. Konkret umgesetzt werden sie als institutsspezifische Auftragsarten (XYZ).

Schaut man sich nun die gesamte Wertschöpfungskette einer Börsentransaktion an, so kann diese im Idealfall voll automatisiert durchgeführt werden. Das Portfoliomanagement-System des Vermögensverwalters erkennt ein Missverhältnis der Anlagestrategie zum Portfolio des Kunden und generiert den Börsenauftrag für die Umschichtung. Mittels der Standards EBICS und SWIFT (z. B. MT502) wird der Auftrag automatisch beim Institut ausgelöst und die Bestätigung abermals über EBICS zurückgemeldet (z. B. MT509). Diese Automation reduziert auf allen Seiten den Aufwand der Abwicklung massiv. Zusätzlich reduziert sich gegenüber den heute noch weit verbreiteten manuellen Prozessen die Fehlerquote in grossem Masse.

Zusammengefasst kann man festhalten, dass innovative Privatbanken EBICS bereits heute anbieten oder in Kürze mit Angeboten im Markt auftreten werden. Da traditionellerweise der Zahlungsverkehr in diesem Geschäft eine nicht so dominante Rolle wie bei Universalbanken einnimmt, verlagert sich der EBICS-Schwerpunkt auf Börsentransaktionen und das Vermögensausweis-Reporting. Da auch Vermögensverwalter und institutionelle Anleger mehr Automation anstreben, entsteht eine Win-Win-Situation. Ideal wäre es, wenn sich die Standardisierungsgremien möglichst schnell auf universelle und einheitliche Auftragsarten (oder neu ab EBICS 3.0 sog. BTF-Spezifikationen) und Formate festlegen könnten.

Carsten Miehling

Weiterlesen

Softwarehersteller und Finanzinstitut fördern EBICS in der Schweiz

Seit 2013 bieten Schweizer Grossbanken ihren Firmenkunden den Kommunikationsstandard EBICS an. Die Schweiz ist seit Mai 2015 offizielles Mitglied der EBICS-Gesellschaft, welche sich zum Ziel gesetzt hat, den Standard in ganz Europa und darüber hinaus zu verbreiten und zu unterhalten. Um EBICS definitiv zum Durchbruch zu verhelfen, bilden der führende EBICS-Hersteller und die Schweizer Grossbank Credit Suisse eine Arbeitsgemeinschaft zur Förderung von EBICS in der Schweiz (AFES). Schweizer Softwarehersteller profitieren von einer Aktion, welche ihnen den Einstieg in EBICS erleichtert.


Zahlungsaufträge aufgeben oder elektronische Kontoauszüge beziehen sind typische EBICS-Transaktionen. Insbesondere im Multibanking ist EBICS sehr beliebt, da Firmen mit nur einer Identifikation verschiedene Banken ansteuern können. In den letzten Jahren sind vermehrt auch mittelgrosse und kleinere Banken in der Schweiz auf den EBICS-Zug aufgesprungen, und die proprietären Schnittstellen verschwinden langsam aber sicher vom Markt. Kürzlich aufgedeckte Internet-Betrugsfälle bei Firmen beflügeln den Standard zusätzlich, denn der EBICS-Mechanismus der verteilten elektronischen Unterschrift (VEU) reduziert das Risiko einer Attacke deutlich.

Die Initiative AFES bietet interessierten Herstellern den bewährten EBICS Kernel von PPI – eine Software-Library, wahlweise in Java- oder C-Code – als Startpaket zu sehr günstigen Konditionen an. Sobald das Wartungsmodell und ein Onboarding-Paket (wahlweise mit Zugang zu einem EBICS-Testserver) vereinbart sind, kann es direkt losgehen. Credit Suisse übernimmt dabei die Rolle des Vermittlers und stellt seine Infrastruktur für Trainings zur Verfügung. So entsteht für alle Akteure eine Win-Situation, und der Finanzplatz Schweiz profitiert von der erwarteten Vereinheitlichung der Corporate-Banking-Schnittstellen.

Die Initiatoren erhoffen sich eine schnellere Verbreitung des Standards in der Schweiz. Dies kommt allen zu Gute, auch ausländischen Finanzinstituten in Europa, welche bereits EBICS als Schnittstelle anbieten. Die Erfahrung hat gezeigt, dass Standardisierung die Basis für mehr Wettbewerb ist und die Bankkunden letztendlich am meisten davon profitieren. Dies zeigen auch die aktuellen Diskussionen in Europa, wonach Banken zunehmend zu offenen Schnittstellen verpflichtet werden sollen. EBICS ist in diesem Zusammenhang sicher ein wichtiger Baustein, und sicher werden weitere Softwarehersteller und Banken gemeinsame Initiativen starten.

Mehr Informationen zur Initiative: www.ebics-initiative.ch.

Carsten Miehling

Weiterlesen

“Offline Zahlungs-Software im Visier von Hackern – Schweizer Unternehmen betroffen”

Obige Schlagzeile ist der Mitteilung der Melde- und Analysestelle Informationssicherung MELANI im Juli dieses Jahres entnommen. Sie beschreibt eine neue Art von Hacker-Angriff auf Unternehmen in der Schweiz.

Firmen verwenden heute für die Abwicklung von Massenzahlungen, insbesondere bei Multibank-Verbindungen, in der Regel eine sog. Offline-Software für die Übermittlung, Freigabe und Ausführung von elektronischen Zahlungsaufträgen. Dabei werden Überweisungen automatisiert direkt aus der ERP-Software ausgelöst und über sichere Protokolle an die Bank übermittelt. Diese Art der Zahlungsverkehrsabwicklung macht den Großteil der heute in der Schweiz elektronisch eingereichten Aufträge aus.


Die in der Meldung von MELANI beschriebene Schadsoftware „Dridex“, die sich über schädliche Microsoft Office Dokumente in E-Mails von vermeintlich legitimen Absendern verbreitet, fokussiert seit neuestem genau diese Offline-Software-Lösungen. Dabei werden gezielt Hersteller attackiert, die im Schweizer Markt eine gewisse Verbreitung haben. Viele Firmen sind aktuell etwas verunsichert, wie sicher ihre Lösung in Tat und Wahrheit noch ist und wie sie sich gegen ähnliche Hacker-Angriffe schützen können.

Zunächst gelten einmal die von MELANI seit langem publizierten Sicherheitshinweise wie Verwendung dedizierter Computer, Ignorierung von Mails mit verdächtigen Attachments, regelmäßige Aktualisierung von Betriebssystemen und Virenschutzprogrammen etc., um die Absicherung der eigenen Infrastruktur zu gewährleisten. Ein Hinweis fällt dabei ins Auge, nämlich der, dass Kollektiv- anstelle von Einzelunterschriften eingesetzt werden sollen. Wie funktioniert das in der Praxis, wo ja keine Papier-Aufträge mehr physisch von den Bevollmächtigten der Firma signiert und an die Bank versendet werden?

Die Banken bieten hier grundsätzlich zwei Lösungen an (teilweise auch in Kombination). Einerseits ist die Freigabe über einen anderen Kanal möglich. Das heißt, die Datei mit den Zahlungsaufträgen wird beispielsweise über das Protokoll EBICS (Electronic Banking Internet Communication Standard) direkt aus der Offline-Software an die Bank übermittelt, wobei der Auftrag aber noch nicht zur Ausführung autorisiert wurde. Mittels Freigabe im Online-Banking der Bank können die Aufträge dann definitiv von einer zweiten Person freigegeben werden.

Eine weitere, sichere und flexible Art der Kollektiv-Unterschrift ist der Einsatz der im EBICS-Standard enthaltenen „Verteilten elektronischen Unterschrift“ (VEU). Der Standard sieht hierbei die Unterschriften-Modelle „Transport“- (keine Autorisierung), „Einzel“-, „Kollektiv A“- und „Kollektiv B“-Unterschriften vor. Pro Auftrag kann zudem auf Seiten der Bank ein Tageslimit definiert werden (wahlweise pro Kunde, Konto und Auftragsart). Die VEU erlaubt dem Kunden eine 1:1 Abdeckung der Unterschriftenregelung seiner Unternehmung und führt in Verwendung mehrerer Kanäle (z. B. Erteilung der zweiten Unterschrift über ein Mobile Device) zu einem sehr hohen Sicherheitsniveau.
Immer mehr Banken in der Schweiz führen die EBICS VEU als Angebot ihrer E-Banking-Lösungen ein. Erkundigen Sie sich bei Ihrem Institut explizit danach oder stellen Sie Ihre Fragen an info@ppi.ch, wenn Sie noch mehr Information zur EBICS VEU benötigen.

Original-Meldung MELANI: https://www.melani.admin.ch/melani/de/home/dokumentation/newsletter/offline-payment-software.html

Carsten Miehling 

Weiterlesen

Migration Zahlungsverkehr Schweiz: echte End-to-End-Tests mit EBICS

Auf dem Finanzplatz Schweiz arbeiten die Banken mit Hochdruck an den Umsetzungsprojekten für die Harmonisierung des Schweizer Zahlungsverkehrs nach ISO 20022. Softwarehersteller und Firmenkunden fordern Testmöglichkeiten für die neuen Zahlungsformate. Gesucht ist ein End-to-End-Testszenario, das die produktive Verarbeitung seitens der Bank bestmöglich abbildet. In der Schweiz können die wenigsten Banken solche Tests anbieten. Dabei kann EBICS helfen.


Die SIX Interbank Clearing, verantwortlich für die Publikation der Schweizer Implementierung, bietet eine sogenannte Validierungsplattform an. Dort können die jeweiligen Meldungen (pain und camt) bezüglich Syntax und einfachen Business-Regeln validiert werden. In der Regel ist dies die erste Anlaufstelle für Tests in der neuen ISO-Welt. Für Hersteller und Kunden reicht diese Prüfung jedoch nicht aus, um anschliessend die produktiven Zahlungsläufe mit ihrer Bank umzustellen.

Taugliche End-to-End-Tests umfassen die Aufträge als Buchungen in die elektronischen Kontoauszüge (z. B. MT940 oder camt.053) und Avisierungen (z. B. MT942 oder camt.052) inklusive Saldo-Nachführung sowie ein Fehlerverhalten, welches der Produktion entspricht (Ausweisung entsprechender Status-Rapporte und Storno-Buchungen). „Die Schwierigkeit von Tests ist oft die Avisierung, welche aufgrund der eingelieferten Daten sich entsprechend verhält“, weiß Christoph Schenker von der PostFinance. „Die Testplattplattform http://isotest.postfinance.ch bietet alle Möglichkeiten, welche der Softwarehersteller für Ein- und Auslieferungen benötigt, um seine Software für den Kunden ‚ISO-ready‘ zu machen.“

Gerade den Fehlerfall möchte der Kunde vor der Einführung simulieren, um seine internen Prozesse der Ausnahmebehandlung zu testen. Typischerweise sind dies Fehler wie „ungenügende Deckung“, „falsches Begünstigtenkonto“ und ähnliche Ausnahmefälle, welche in der Folge im produktiven Betrieb auftreten können.

Fasst man End-to-End etwas weiter, wäre es für den Firmenkunden ideal, wenn er direkt aus seiner ERP-Software mittels EBICS einen Zahlungslauf an eine Testinfrastruktur senden und wiederum mittels EBICS die dazugehörigen Downloads ausführen kann. Nur dann ist ein echter „proof of the pudding“ möglich. Simuliert werden müssen insbesondere die Rückmeldungen bei Fehlern und die Verarbeitung realer Dateigrössen – d. h. ein produktiver Kreditorenlauf mit einigen hundert Zahlungen oder mehr, nicht nur eine Testzahlung. So ist die nötige Sicherheit für einen Produktionsstart gegeben. Die direkte Anbindung einer Testplattform über EBICS ermöglicht es, Testzyklen zu automatisieren und via EBICS-Protokoll grosse Dateien zu übermitteln. Dies ist mit einer Testplattform, welche nur über eine manuelle Web-Upload-Schnittstelle verfügt, nur schwer möglich.

Innovative Schweizer Banken sehen in der Kombination von ISO 20022 und EBICS das ideale Tandem, um ihre Kunden in der Harmonisierung des Zahlungsverkehrs zu unterstützen. Institute, welche zusätzlich eine echte End-to-End-Testmöglichkeit anbieten können, bieten ihren Kunden einen echten Mehrwert. „SAP unterstützt den Credit Transfer mit ISO 20022 schon seit mehreren Jahren. Gute Testplattformen und direkte Ansprechpartner bei Finanzinstituten unterstützen die weitere Umsetzung von ISO20022-Meldungen in der Schweiz“, sagt Rainer Hofmeister vom Hersteller SAP.

Carsten Miehling

Weiterlesen

Blog-Serie: Wie sich EBICS verbessern lässt, Teil 5 – Kunden verwalten Konten und Teilnehmer selbst

EBICS bringt von Haus aus nützliche Auftragsarten für die Abfrage von Kunden- und Teilnehmerinformationen mit (welche notabene nicht alle Hersteller konsequent in ihren Produkten anbieten). Gemeint sind hier z. B. die Auftragsarten HKD (Kundendaten abrufen) und HTD (Teilnehmerdaten abrufen). Nach den Wünschen der Schweizer Grossbanken sollte es möglich sein, diese Stammdaten nicht nur abzufragen, sondern selbst zu verwalten und auch zu verändern.



Eine Besonderheit der Schweizer Implementierung ist aktuell die Beschränkung auf die Unterschriftsarten „T“ und „E“. Im ersten Fall erfolgt die notwendige zusätzliche Freigabe über einen separaten Kanal (z. B. Onlinebanking). Im zweiten Fall wird der Auftrag augenblicklich verarbeitet, da der Auftraggeber selbst für die notwendigen Sicherheitsvorkehrungen zu sorgen hat. In der Regel ist die Person, die signiert hat, im Fall „E“ nicht bekannt, sondern lediglich der Kunde respektive die auftraggebende Firma.

Als wichtigster Grund, die VEU in der Schweiz nicht anzuwenden, wird der zu hohe Aufwand für die Administration der VEU-Rechte auf Teilnehmern und Konten angeführt. Da die Kundenstammdaten der Bank oft nicht direkt mit dem EBICS-Produkt verknüpft sind, fallen Doppelerfassungen an, welche bei einer gewissen Anzahl von Kunden und Veränderungen der Berechtigungen ins Gewicht fallen. Gesucht ist ein Mechanismus im Sinne eines Electronic Bank Account Management (eBAM).
Im Standard ISO 20022 sind für diese Zwecke bereits fünfzehn Meldungen modelliert (siehe Meldungskategorie acmt). Die ISO-Meldungen können als Basis dienen, das EBICS-Protokoll so zu erweitern, dass der Kunde die Konten und Teilnehmer zumindest teilweise selbst verwalten kann. Die mehrfache Bestätigung mittels Signaturen auf Kundenseite und ein Vier-Augen-Prinzip auf Bankseite könnten je nach Sicherheitsanforderung entsprechend kombiniert werden. Der Kunde müsste beispielsweise eine heikle Transaktion doppelt prüfen, und die Bank müsste die Transaktion als letzten Schritt manuell freigeben (jedoch nicht mehr selbst komplett erfassen).

Mit einer institutsspezifischen Auftragsart (XYZ) für die Übermittlung von XML-Konto- und Teilnehmerdaten wäre dies bereits heute möglich. Bankseitig würden die Berechtigungen entsprechend geprüft und mittels Schnittstelle zum EBICS-Produkt (z. B. Webservices) automatisiert angewendet. Aus Schweizer Sicht herrscht diesbezüglich aktuell eher etwas Zurückhaltung, hat man doch bereits zahlreiche Schweizer Auftragsarten auf diese Art und Weise eingeführt, die man in naher Zukunft durch ein generelles Konzept auf Basis der französischen Anwendung von FUL/FDL ablösen möchte. Wir würden es begrüssen, wenn diese Anforderung in eine zukünftige Auftragsbeschreibung in EBICS einfliessen könnte. Von mehr Automation würden sowohl der Kunde wie auch die Bank profitieren.

Carsten Miehling 

Weiterlesen

EBICS als europäischer Standard für Mobile Payments?

Angesichts der aktuellen Entwicklungen beim Thema Mobile Payments verliert man leicht den Überblick. Neue Lösungsanbieter schiessen fast täglich aus dem Boden, und die technischen Standards wuchern vielfältig. Die Banken laufen Gefahr, in einem wachsenden Geschäftsfeld abgehängt zu werden. Könnte ein europäischer Standard wie EBICS da helfen?


Für mobile Zahlungen gelten dieselben Regeln wie für den transaktionsbasierten EBICS-Zahlungsverkehr: Es geht um sichere Kommunikation, eindeutige Authentisierung und die Vertraulichkeit von Auftrags- und Stammdaten. Bei Mobile Payments heißt das dann „Secure Element“ (SD-Karte, SIM, HCE, etc.), und es ist die Rede von den verschiedenen Übertragungstechniken (QR-Code, Barcode, NFC, BLE etc.). Nichts scheint aktuell geregelt zu sein, zumal verschiedenste Akteure in den Markt eintreten: von den grossen Kreditkarten-Anbietern über Hardware-Produzenten (Apple, Samsung) bis hin zu spezialisierten Dienstleistern wollen im Moment alle den Banken den Zahlungsverkehr streitig machen. Für Banken ist die Aufgabe sehr anspruchsvoll, denn nicht alle Institute werden auf alle Pferde gleichzeitig setzen können.
Für einheitliche und sichere Transaktionen im Zahlungsverkehr bräuchten App-Entwickler und Kunden ein Standardprotokoll wie EBICS oder FinTS. Solche Standards sind im übrigen Payments-Umfeld gut etabliert, und mit dem Format ISO 20022 und SEPA als Regelwerk wären ca. 400 Millionen europäische Kontoinhaber sofort erreichbar. Erste Umsetzungen von Standards für mobile Zahlungen finden sich z. B. in der Lösung Jiffy von SIA Italien, die komplett auf SEPA setzt.
Für Konsumenten und Banken hätte dies zudem den Vorteil, dass keine Dritten an den Transaktionsgebühren partizipieren, wie das insbesondere bei Kreditkartenzahlungen – und zusätzlich bei ApplePay – der Fall ist. Die Institute bekämen die Kontrolle über den Markt zurück. Organisationen wie das European Payments Council (EPC) könnten den Standard in Europa einführen und weiterentwickeln.

Vielleicht ist es etwas gewagt, EBICS als Standard für Mobile Payments zu bezeichnen, da EBICS in erster Linie für die asynchrone Verarbeitung entwickelt worden ist. Meine Blog-Kollegen haben jedoch schon auf entsprechende Erweiterungspotenziale von EBICS hingewiesen: Die Interaktionen müssten in Echtzeit ablaufen. Pro Einzeltransaktion wäre eine synchrone Rückmeldung erforderlich. Wenn dann in naher Zukunft noch das Realtime-Clearing in ganz Europa etabliert sein wird, ergibt das Ganze vielleicht Sinn. Auf Rückmeldungen bin ich gespannt.

Carsten Miehling 

Weiterlesen

“EBICS as a Service” – Ein Betriebsmodell für mittlere und kleinere Finanzinstitute

Dass sich EBICS als Protokoll im Transaction Banking in der Schweiz durchsetzen wird, ist eigentlich unbestritten. Großbanken und größere Kantonalbanken bieten es bereits an oder sind dabei, eine EBICS-Schnittstelle für Ihre Firmenkunden zu implementieren. Der nächste Schritt wäre eine gemeinsam nutzbare „EBICS as a Service“-Plattform, für die sich jedoch noch ein Anbieter finden muss. 


Die Vorteile einer sicheren, standardisierten und kostengünstigen Punkt-zu-Punkt-Kommunikation sind offensichtlich, so dass das Thema inzwischen auch auf der Agenda von kleineren und mittleren Finanzinstituten auftaucht. Je nach Institut und der anvisierten Anzahl Kunden, welche über EBICS angebunden werden sollen, erscheint manchem Management der Initialaufwand für die Beschaffung, die Installation und den Betrieb eines EBICS-Produktes als sehr hoch.

Fairerweise muss man diesen Bedenken auch als Produktanbieter Rechnung tragen, denn die Umsetzung eines EBICS-Projektes resultiert in einem fünf- bis sechsstelligen Betrag – für manch kleinere Bank ein bedeutender Posten im Budget. Insbesondere in der Schweiz, wo es rund hundert Institute in diesem Segment gibt, wie zum Beispiel kleinere Kantonal- oder Privatbanken, stellt sich die Frage: Warum bietet noch kein Anbieter „EBICS as a Service“ im hiesigen Markt an? Die Vorteile der gemeinsamen Nutzung einer EBICS-Plattform liegen eigentlich auf der Hand und es gäbe auch prädestinierte Anbieter im Markt, welche so ein Angebot auf die Beine stellen könnten.
Analog der Outsourcing-Services für den Betrieb von Banken-Plattformen könnte ein mandantenfähiges EBICS-Modell implementiert werden. Bereits ab einer geringen Anzahl Bankteilnehmer rechnet sich der Business Case und es entsteht eine Win-Win-Situation für alle Akteure. Der Anbieter der Lösung kann mit einem erweiterten Service-Angebot auftreten und amortisiert bei steigender Verbreitung und Nutzung des Standards die Investition in Kürze. Kunden, in dem Fall Banken, können zu geringen Investitions- und reduzierten Betriebskosten ihren Firmenkunden diesen Zugang anbieten und somit in Bezug auf die Anschlussmöglichkeiten zu den Großbanken aufschließen.

Was braucht es jetzt noch? Natürlich ein entsprechendes Produkt, welches auf den Mandanten-Betrieb ausgelegt und bezüglich Operating-Funktionalitäten auf den Betrieb im Rechenzentrum optimiert ist. Des Weiteren einen innovativen Anbieter für Banken-IT-Lösungen, welcher hier als erster in die Bresche zu springen bereit ist. Kandidaten gäbe es in der Schweiz wie gesagt einige, angefangen bei den Betreibern von Avaloq- oder Finnova-Lösungen über klassische Rechenzentren bis hin zu Insourcing-Lösungen größerer Institute.

Wir sind gespannt, wer sich diese Option im Schweizer Markt sichern wird.

Carsten Miehling 

Weiterlesen

Startschwierigkeiten beim Onboarding von Schweizer EBICS-Kunden

In früheren Blogbeiträgen haben wir bereits über den Start von EBICS in der Schweiz berichtet. Erste Kreditinstitute bieten inzwischen den multibankfähigen Standard an, weitere befinden sich noch in der Angebotsplanung. Der Fokus richtet sich daher nun langsam auf die Firmenkundschaft, die die neuen Schnittstellen nutzen möchte, genauer gesagt auf die dort einzusetzende EBICS-Client-Software.

Die erste Umfrage Anfang dieses Jahres in der Schweizer Softwarehersteller-Gemeinde zum Support von EBICS in ihren Client-Produkten war durchweg positiv. Die Mehrzahl der Anbieter hat EBICS als Protokoll bereits implementiert und kann produktive Verbindungen mit den beiden Großbanken vorweisen. Um dem Kunden das Aufschalten einer neuen Schnittstelle zu vereinfachen, bieten einige der Softwarelösungen sogenannte EBICS-Profile für das jeweilige Institut in ihren Installationsprogrammen an. Der Kunde entscheidet vor der Initialisierung, mit welcher Bank er sich verbinden will und das Programm belegt automatisch Institut-spezifisch die wichtigsten Verbindungs- und Konfigurationsparameter (Version, EU-Verfahren, Hostname, Zertifikat-Aussteller, unterstützte Auftragsarten, URL, etc.).

Möchte nun der Kunde eine weitere Bank anbinden, welche EBICS neu anbietet, benötigt er oftmals eine neue Softwareversion des Herstellers, welche gemäß dem soeben beschriebenen Verfahren die neue Institut-spezifische Konfiguration enthält. Das an sich kundenfreundliche Setup verkehrt sich hier auf einmal ins Gegenteil, denn wer möchte nur wegen einer neuen Bankverbindung gleich die gesamte Software updaten? Gewünscht wäre an dieser Stelle ein konfigurativer Ansatz, bei welchem ich als Kunde die relevanten EBICS-Parameter für die neue Verbindung selbst erfassen kann.
Wenn der Hersteller dann für solche Updates noch Releasegebühren verlangt, wird man den Eindruck nicht los, dass hier auf Kosten des Kunden für ein eigentlich triviales Problem gerne Kasse gemacht wird. Es liegt jetzt wohl an den Banken, sich einen Überblick über die jeweiligen Lösungen zu verschaffen und dieses dann in der Kundenberatung entsprechend einfließen zu lassen, wenn es um die Frage geht, welche EBICS-Software am besten für den Anschluss an das eigene Institut geeignet ist.

Für Schweizer Hersteller, welche noch kein EBICS-Protokoll installiert haben, hier zum Abschluss noch ein Tipp: Die Konfiguration einer neuen EBICS-Verbindung sollte kein „Hexenwerk“ sein, wenn von Anfang an darauf geachtet wird, dass diese z.B. über einen Dialog vom Kunden selbst wahrgenommen werden kann. Für die Einbindung des EBICS-Protokolls sei an dieser Stelle auch noch auf den EBICS-Kernel von PPI verwiesen (siehe Softwarebausteine auf der PPI-Homepage), der den gesamten Umfang von EBICS in Form einer Software-Library zur Verfügung stellt.

Carsten Miehling 

Weiterlesen

Meeting EBICS Working Group: Schweiz sorgt für neuen Schwung bei EBICS

Die Schweizer EBICS-Arbeitsgruppe will noch im September ihre Ideen, insbesondere zu den Auftragsarten, beschreiben. Das ist ein Kernergebnis des Treffens der EBICS Working Group am 28. August. Erstmals seit Bestehen der Deutsch-Französischen EBICS-Kooperation fand es in der Schweiz statt. Hintergrund ist, dass mit der Schweiz ein weiterer Kandidat für die Beteiligung an der EBICS-Gesellschaft in den Startlöchern steht. In Gehdistanz zum Schweizer Antragsteller SIX Interbank Clearing diskutierten die Experten aus den drei Ländern im Hotel Renaissance in Zürich die aktuelle Situation der Schweiz und die geplanten Erweiterungen am neuen elektronischen Zahlungsverkehrsstandard.


Schon der Start der Debatte verlief recht fulminant, stand doch wieder einmal die Frage im Raum, ob die Schweiz eher das Auftragsartenmodell Deutschlands oder die Fileparameter-Variante (FUL/FDL) Frankreichs für die nationale Anwendung verwenden sollte. Albert Apolloner, Leiter der Schweizer EBICS-Arbeitsgruppe stellte in seiner Präsentation die Vor- und Nachteile der jeweiligen Lösung aus Schweizer Sicht dar. Sein Fazit favorisierte die Fileparameter-Variante, welche bereits grundlegende Anforderungen des Schweizer Finanzmarktes abdeckt und als flexibler beurteilt wird. Die deutschen Vertreter verwiesen auf ihre Lösung, mit der jede Transaktionsart einem Issuer, zum Beispiel der Schweiz oder einer größeren Bank, zugeordnet werden kann.

Aus der Diskussion entsprang die Idee, alle deutschen Transaktionsarten gemäß der Fileparameterlogik zu übersetzen. Die Clientsoftwarehersteller würden dann ausschließlich diese Logik in ihren Clients implementieren, was insbesondere im Hinblick auf die Ausweitung in neuen Märkten wie die Schweiz, Spanien, Portugal und andere Kandidaten interessant wäre. Um die Aufwände seitens der deutschen Institute zu minimieren (die bekannten dreistelligen Auftragsarten werden aktuell bis weit in die Verarbeitung weitergereicht), könnte man sich ein Mapping in den Bankrechnerprodukten vorstellen. Aus der Transaktionsart AZV würde dann zum Beispiel pain.xxx.azv. In Kombination mit dem Ländercode und dem sogenannten "Name-/Value-Pair" könnten die Anforderungen jedes Landes und sogar weitere Merkmale großer Marktteilnehmer, wie zum Beispiel „es handelt sich um eine Datei in der Ausprägung Credit Suisse“, abgedeckt werden.
Man kann sich vorstellen, dass auf deutscher Seite nicht gerade ein Begeisterungssturm für die Idee ausgelöst wurde. Als zukünftige Vision für eine EBICS-Harmonisierung könnte man sich aber ein solche Migration durchaus vorstellen. In der Umsetzung könnten sicherlich beide Verfahren für einen Übergangszeit als Standard weiterbestehen. Neue Märkte würden zum eigenen Vorteil gleich auf die universellere Variante FUL/FDL setzen.

Im zweiten Teil des Meetings kam das Thema Sicherheit auf den Tisch, bei dem Deutschland und Frankreich ebenfalls andere Wege gehen. Alain Hiltgen (UBS) regte an, im EBICS Implementation Guide die Verwendung von Hardtokens für das Aufbewahren von Schlüsseln und Zertifikaten zu empfehlen.

Nach dem Mittagessen präsentiert Sabine Wenzel (SIZ) den Schweizer Teilnehmern die EBICS-Gesellschaft, die Organisation und die Entscheidungsprozesse für zukünftige Erweiterungen. Gemäß der aktuellen Planung wäre es bis Ende November 2014 möglich, noch Change Requests für das Release 2.6 (wahrscheinliche Inkraftsetzung 2016) einzureichen. Die Schweizer Arbeitsgruppe will sich noch im September treffen und ihre Ideen, insbesondere zu den Auftragsarten, beschreiben. Idealerweise können diese dann bereits beim nächsten Meeting der internationalen EBICS Working Group im November in Paris diskutiert werden.

Fazit: Ein sehr interessantes Forum für alle EBICS-Begeisterten. Es hinterlässt den Eindruck, dass ein neuer Spieler im Team etwas Schwung in die EBICS-Weiterentwicklung bringen könnte. Fortsetzung folgt.

Carsten Miehling 

Weiterlesen

Das Schlüssel-Birchermüsli

Wie bereits im Blogbeitrag vom 25.07.14 „EBICS auch in der Schweiz angekommen“ erwähnt, gesellt sich nun langsam aber sicher auch der Finanzplatz Schweiz zur EBICS-Gemeinde der beiden großen Nachbarn Deutschland und Frankreich. Bekanntlich interpretieren die Franzosen EBICS etwas anders als die Deutschen und die Schweizer Akteure fragen sich, welche Variante für sie wohl die bessere sei. Bei den Auftragsarten geht die Tendenz aktuell Richtung Frankreich, also FUL/FDL in Verbindung mit den Formatparametern anstelle der vielfältigen Sammlung an Auftragsarten in Deutschland. Komplizierter wird es bei der Anwendung der elektronischen Unterschriften: Wie sollen diese konkret beim Kunden implementiert werden? 

Die deutsche Variante der selbstgenerierten Schlüsselpaare für die Verschlüsselung (E002), Authentisierung (X002) und eben für die Signatur (A005/A006) ist die aktuell in der Schweiz produktiv eingesetzte Variante, wobei das bisher in Deutschland genutzte Konzept der VEU (Verteilte Elektronische Unterschrift) erst in der Planung ist. Dieses erlaubt Unterschriftsmodelle mit mehreren personenbezogenen Signaturen, die mit oder auch nach dem Auftragsversand erstellt und eingereicht werden können. Die Großbanken der Schweiz setzen allerdings aktuell nur die Einzel- und Transportunterschrift ein. Bei der Einzelunterschrift handelt es sich in der Regel um eine sogenannte „Corporate Seal“, d.h. es wird eine Firma identifiziert und nicht die Person, welche tatsächlich den Auftrag freigegeben hat. Die Verwaltung der Nutzung dieser „Corporate Seal“ wird in der Software des Kunden geregelt. Bei der Transportunterschrift erfolgt die Freigabe auf einem separaten Kanal, jedoch nicht wie in Frankreich noch verbreitet manuell mittels Begleitzettel, sondern via Zugriff über Onlinebanking.

Diese Praxis gerät allerdings zunehmend in die Kritik der Rechts- und Sicherheitsabteilungen der Schweizer Finanzinstitute, welche eine eindeutige Authentisierung der Person verlangen, die den Auftrag signiert hat. Die VEU wäre in diesem Fall sicher ein geeignetes Mittel, wobei die Banken aktuell noch die zusätzlichen Prozessaufwände scheuen, welche die Verwaltung der Unterschriftenregeln auf Bankseite mit sich bringen würde.

Als attraktive Kombination wird dabei das Modell TS (Transport and Signature) in Frankreich mit den CA-basierten Zertifikaten für die elektronische Signatur angesehen, da hierbei das Problem der unbeschränkten Gültigkeit der Schlüssel entfällt und die zentrale Sperrung über die CA das Sicherheitsrisiko zu vermindern scheint. Idealerweise wird das Ganze dann noch kombiniert mit einem Hardtoken, welcher nur durch die Person, die den Auftrag erteilt, eingesetzt werden kann. „Wenn schon, denn schon“, ist man versucht zu sagen, aber so sind wir Schweizer eben. Wenn ein Standard solche Funktionalitäten hergibt, warum sollte man sie nicht nutzen? Hinzu kommt, dass es seitens des Regulators auch in die Richtung zu gehen scheint, dass Finanzinstitute in Zukunft nicht einfach mit einem Disclaimer im Vertrag die Risiken beim Einsatz von „Corporate Seals“ von sich weisen können (siehe dazu auch das Dokument der EZB „Assessment Guide for the Security of Internet Payments“).

Einheitliche Rezeptur gewünscht 

Das Problem hierbei ist die Vielfalt der EBICS-Varianten, die sich jetzt ergeben und die Frage, welche Variante dann im Markt von den Teilnehmern - Kunde, Softwarehersteller und Bank - umgesetzt werden soll. Gibt es jetzt CA-basierte Zertifikate und falls ja, für welche Art von Schlüssel? Welche CAs werden bankübergreifend akzeptiert? Welche Qualität sollte so ein Zertifikat aufweisen? Gilt die Anwendung von Hardwaretokens nur für die Signatur (A005/A006) oder auch für die anderen Schlüssel zur Authentisierung und Verschlüsselung? Wäre auch ein Einsatz von Hardtokens ohne CA denkbar, also nur die externe Aufbewahrung der Schlüssel beim signierenden Auftraggeber?

Das Ganze erinnert etwas an unser Birchermüsli, wo es ebenfalls die verschiedensten Varianten und Rezepte gibt. Die EBICS-Gesellschaft verfolgt ja das Ziel, den Standard in Europa zu etablieren. Hier wäre eine einheitliche Rezeptur für das Schlüssel-Birchermüsli sicher ein Pluspunkt, den auch die Anwender schätzen würden. Ansonsten wird es schwierig mit dem länderübergreifenden Standard. Meiner Meinung nach sollte dieser Punkt auf der Agenda der EBICS Working Group einen prominenten Platz einnehmen.

Carsten Miehling 

Weiterlesen

EBICS auch in der Schweiz angekommen

Werfen wir zunächst einen Blick zurück zum siebten Petersberger Electronic-Banking-Forum am 10. November 2011: Christian Schwinghammer von SIX Interbank Clearing Schweiz hielt dort einen Vortrag zum Thema „EBICS goes Europe – Wo steht die Schweiz?“. Christian Schwinghammer, seines Zeichens ein großer Kenner des Finanzplatzes Schweiz, war schon damals recht zuversichtlich, dass der Standard sich auch bei den Schweizer Finanzinstituten durchsetzen wird, zumal mit UBS und Credit Suisse bereits zwei Schwergewichte den Kommunikationskanal EBICS im Angebot hatten.

Wie so oft will aber auch in diesem Fall gut Ding Weile haben. Die oftmals angekündigte Annährung zwischen der EBICS-Gesellschaft und den Schweizer Vertretern wurde ein ums andere Mal verschoben und kam nur harzig in die Gänge. Seitens der Bankmanager trat das Thema EBICS angesichts der intensiven Steuerdebatten mit Europa (Abgeltungssteuer) und den USA (FATCA) in den Hintergrund.

Nichtsdestotrotz konnte die EBICS-Arbeitsgruppe mit Vertretern der Schweizer Großbanken Anfang 2012 eine erste Version des „Implementation Guides EBICS“ zum Review versenden.

Schweizer Alleingang bei Implementierungsrichtlinien

Die Schweizer Implementierungsrichtlinien wurden damals unabhängig von der EBICS-Arbeitsgruppe erstellt, was in der Folge für Diskussionsstoff gesorgt hat und auch noch weiter sorgen wird. So bediente sich die Arbeitsgruppe für die Schweizer EBICS-Auftragsarten nach deutschem Vorbild bei den frei verfügbaren dreistelligen Auftragsarten. Konkret wurde dem Schweizer Datenträger-Austauschverfahren beispielsweise die Auftragsart „XKD“ zugewiesen. Weil sich UBS und Credit Suisse mehrheitlich an der deutschen Implementierung orientiert haben und die dreistelligen Auftragsarten bereits bei den Kunden im Einsatz sind, ist dieses Modell „de facto“ als Standard für die Schweiz gesetzt.

Trotzdem erscheint vielen Schweizern das französische „FUL/FDL“-Modell als flexiblere und architektonisch elegantere Variante. Ihr haftet nicht die deutsche Historie der dreistelligen Auftragsarten an, die schon im Vorgängerprotokoll FTAM verwendet wurden. Zudem scheint bei einer weiteren Ausweitung von EBICS auf zusätzliche Länder in Europa und der Welt der Vorrat an dreistelligen Kombinationen zur Neige zu gehen. Eine Umstellung auf das französische Modell wäre allerdings mit enormem Aufwand verbunden.

Obwohl in diesem Punkt also noch Uneinigkeit herrscht, scheint EBICS definitiv in der Schweiz angekommen zu sein. Die Einführung bei den Kantonalbanken von Luzern im Herbst dieses Jahres und Zürich Anfang nächsten Jahres wird der Verbreitung in der Schweiz den notwendigen Schub verleihen. Dem Vernehmen nach stehen bereits weitere Kantonalbanken in den Startlöchern und evaluieren EBICS-Lösungen für ihre Kunden. Auch in Bezug auf den Beitritt zur EBICS-Gesellschaft ist die Alpenrepublik einen grossen Schritt weiter gekommen: Es liegen konkrete Angebote zum Beitritt in die Gesellschaft vor und ein erstes Dreiländer-Treffen der EBICS-Arbeitsgruppe ist im August in Zürich geplant.

Es wird spannend zu beobachten sein, wie sich die „Ménage-à-trois“ in der Praxis bewähren wird. Den Schweizern könnte hier eine wichtige Rolle zukommen, sind sie doch bekannt für ihr diplomatisches Geschick und ihre Mehrsprachigkeit. Gerüchten zufolge war die Beziehung der deutschen und französischen Akteure in der Vergangenheit nicht immer nur harmonisch. Die Verwendung der bereits erwähnten frei verfügbaren Auftragsarten in der Schweiz ist unter anderem auch ein Auslöser für einen konkreten Change Request zu Händen der EBICS-Gesellschaft (EB-14-DK-int04 OrderType with issuer). Die Verwendung eines „Issuer Codes” zur jeweiligen Auftragsart soll die Verwendung von gleichen Auftragsarten in einer anderen Community erleichtern. Die Schweizer Auftragsart für einen Auftrag im Format pain.001 (CCT) könnte somit zum Beispiel eindeutig von derjenigen in Frankreich und Deutschland unterschieden werden, indem ein „Issuer Code“ für die Schweiz angefügt werden würde.

Weiterlesen