Posts mit dem Label Marc Dutech werden angezeigt. Alle Posts anzeigen
Posts mit dem Label Marc Dutech werden angezeigt. Alle Posts anzeigen

Ist das EBICS-Protokoll von der starken Authentifizierung (SCA) im Sinne der PSD2 befreit?

Diese Frage wurde uns wiederholt von französischen und europäischen Finanzinstituten gestellt und es war nicht immer ganz einfach, eine ausreichend formelle Antwort zu geben.
Vor kurzem hat die Banque de France eine offizielle Antwort verfasst, in der sie das EBICS-Protokoll auf die Liste der Verfahren und Protokolle setzt, die gemäß Artikel 17 der delegierten Verordnung (UE) 2018/389 von der starken Authentifizierung befreit sind. Die Verordnung besagt: "Bei juristischen Personen, die elektronische Zahlungsvorgänge über dedizierte Zahlungsprozesse oder -protokolle auslösen, die nur Zahlern zur Verfügung stehen, bei denen es sich nicht um Verbraucher handelt, können Zahlungsdienstleister von der Vorgabe einer starken Kundenauthentifizierung absehen, wenn die zuständigen Behörden der Auffassung sind, dass diese Prozesse oder Protokolle mindestens ein vergleichbares Sicherheitsniveau wie das in der Richtlinie (EU) 2015/2366 vorgesehene gewährleisten." 
 
Das bedeutet jedoch nicht, dass EBICS die starke Authentifizierung nicht unterstützt - weit gefehlt! Die Gewissheit, dass das EBICS-Protokoll mindestens vergleichbare Sicherheitsniveaus garantiert, wie sie in der Richtlinie vorgesehen sind, ist schon seit langem gegeben. Vor diesem Hintergrund möchte ich Sie dazu einladen, den Artikel EBICS und PSD2 – Wie kommt das zusammen? zu lesen oder erneut zu lesen, der vor einigen Monaten in diesem Blog veröffentlicht wurde.

Autor: Marc Dutech

Migration zu EBICS 3.0 in Frankreich

EBICS 3.0 ist in Frankreich am 27. November letzten Jahres in Kraft getreten. Gut zwei Monate sind seitdem vergangen und so ist es an der Zeit zu schauen, wie weit die Migration zur neuen Version fortgeschritten ist.

Gegenstand dieser neuen Version ist die Harmonisierung von EBICS mit den folgenden Zielen:
 
  • eine einheitliche EBICS-Version in allen Ländern, in denen EBICS zum Einsatz kommt
  • eine einheitliche Identifizierung der Geschäftsvorfälle und Formate (auch BTF genannt: Business Transaction Format)
  • ein einheitliches X.509-Format für die Schlüsselablage

Das Datum für das Inkrafttreten betrifft nur die französischen Banken und Kreditinstitute und ist nicht verpflichtend für Firmenkunden. Diese können selbst entscheiden, wann sie migrieren möchten.

Die großen französischen Banken arbeiten seit einigen Monaten an den Migrationsprojekten und die meisten können ihren Kunden den EBICS-3.0-Kanal ab sofort anbieten. Die anderen sind in der letzten Testphase und die Öffnung des EBICS-3.0-Kanals steht unmittelbar bevor.

Die kleineren Banken sind noch nicht so weit. Nur wenige haben mit den Migrationsprojekten begonnen.Es ist deshalb sehr wahrscheinlich, dass diese Institute erst in einigen Monaten, vielleicht sogar erst 2020, den EBICS-3.0-Kanal anbieten können.

Diese Unterschiede in der zeitlichen Umsetzung sollten die Firmenkunden, die demnächst auf EBICS 3.0 migrieren wollen, jedoch nicht bremsen. Denn auch die Banken, die schon auf EBICS 3.0 migriert haben, werden in einer mehr oder weniger langen Übergangsphase noch die Version 2.4.2 unterstützen, die seit der Einführung von EBICS in Frankreich in Kraft ist (in Deutschland wird aktuell die Version 2.5 genutzt). Diese Übergangsphase gibt den Firmenkunden Zeit, ihre Client-Software zu aktualisieren.

Vor allem mangelndes Interesse der Firmenkunden an der neuen Version könnte jedoch dafür sorgen, dass die Übergangsphase sich hinzieht. Um dem entgegenzuwirken, können die Banken ihren Firmenkunden zusätzliche Services anbieten, die mit den Erweiterungen der neuen Version möglich werden. Dazu gehören unter anderem das einfachere Einrichten von Transfers und die verteilte elektronische Unterschrift. Sie ermöglicht es Firmenkunden, Aufträge asynchron nach dem Transfer der Datei zu unterschreiben (in der Version 2.4.2 musste die elektronische Unterschrift zusammen mit der Auftragsdatei geschickt werden), und verhilft ihnen so zu mehr Mobilität.

Das wird sich vor allem dann bemerkbar machen, wenn die X.509-Zertifikate komplett virtuell sind, so dass die mobile Unterschrift wirklich nutzbar ist. Experten arbeiten an diesem Thema und so sollte es in einigen Monaten effiziente Lösungen geben…

Marc Dutech

EBICS 3.0 in den Startlöchern

Am 19. Mai 2017 fand im Auditorium der Fédération Bancaire Française (Französische Bankenvertretung) ein Themenworkshop des CFONB zur Vorstellung Version 3.0 des EBICS-Protokolls statt.

Mehr als 120 Personen aus unterschiedlichen Bereichen - Banken, Hersteller, Unternehmen, usw. - nahmen an der Veranstaltung teil, im Rahmen derer verschiedene Redner das Grundkonzept dieser neuen Version vorstellten.


Nachdem die Geschäftsführung und einige Vertreter der EBICS SCRL (www.ebics.org) eine Übersicht vorgestellt hatten, wurden einige entscheidende Daten aus der Geschichte von EBICS präsentiert. Sie haben daran erinnert, dass der EBICS-Standard nun nicht mehr in den Kinderschuhen steckt und belegten dies damit, dass bereits vor 12 Jahren die Implementierung in Deutschland begann und vor mehr als 7 Jahren EBICS in Frankreich übernommen wurde. Bei den Schweizer Finanzinstituten wurde dieser Weg erst 2015 eingeschlagen. Eine Präsentation zeigte die derzeitige Verbreitung von EBICS, die sich von der Iberischen Halbinsel bis zur Ostsee und von Irland bis nach Italien erstreckt. Abgesehen von Deutschland, Frankreich, der Schweiz und Portugal ist der Verwendungsgrad in den entsprechenden Staaten jedoch sehr unterschiedlich.

Im Anschluss wurden die Gründe für den Erfolg von EBICS in den vier Ländern (zahlreiche Artikel zu diesem Thema finden Sie in diesem Blog) ebenso wie die Hindernisse einer schnellen gesamteuropäischen Ausweitung genannt. Zu diesen gehören insbesondere:
  • die Unterschiede in der Identifikation der Zahlungsströme zwischen deutschen, französischen und Schweizer Varianten
  • die Verwendung der X.509-Zertifikate in Frankreich und des Schlüsselpaares in Deutschland
  • der Einsatz der verteilten elektronischen Unterschrift in Deutschland und in der Schweiz, aber nicht in Frankreich
Auf die Auflistung der Gründe folgte eine Beschreibung der tiefgreifenden Veränderungen, die die Version 3.0 mit sich bringen wird, vor allem hinsichtlich der Harmonisierung durch die Integration des BTF-Konzepts (Business Transaction Format) und der möglichen Generalisierung der verteilten elektronischen Unterschrift. Weitergehende Informationen zu diesen Themen erhält man über die Website der EBICS SCRL.

Der zweite Teil des Workshops bestand aus einer Diskussionsrunde zum Thema: Warum brauchen wir eine einheitliche EBICS-Version?

Für die Akteure aus dem EBICS-Bereich war dies die Möglichkeit folgende Themen anzuschneiden und zu diskutieren:
  • Vorteile von EBICS aber auch Grenzen der 2.x Version aufgrund mangelnder Harmonisierung
  • Erwartungen an die neue Version und Vorteile, die durch die Harmonisierung entstehen
  • Möglichkeiten der geografischen Ausweitung, auch auf andere Kontinente
    Hier wurde insbesondere Afrika angesprochen, da dort bereits einige Banken den EBICS-Service in einigen französischsprachigen Ländern anbieten.
  • Möglichkeiten der Verwendung von EBICS über die Unternehmen-Bank-Beziehung hinaus
    Hier wurde vor allem die Verwendung von EBICS für STEP2 und RT1 (Instant Payments) mit der EBA Clearing angesprochen.
  • Migrationsmodalitäten
  • Aspekte der zukünftigen Weiterentwicklung des diskutierten Protokolls, die auf die Tagesordnung gesetzt werden können, wie die Vereinheitlichung des AC-Zertifikates und die Möglichkeit Zertifikate zu verwenden, die nicht auf physischen Medien gespeichert sind, um so die Industrialisierung der EBICS-Signaturlösungen für Mobilgeräte zu vereinfachen
  • aktuelle Verwendung der verteilten elektronischen Unterschrift in Deutschland und in der Schweiz und Vorteile, die durch ihre Verwendung in Frankreich entstehen könnten
Diese Veranstaltung war somit der offizielle Startschuss für die Version 3.0. Ab November 2018 wird sie verfügbar sein; ab diesem Zeitpunkt müssen alle Banken die neue Version, zusätzlich zu der in den verschiedenen Gemeinschaften gültigen Version 2.x, anbieten.

Für Unternehmen besteht keine Verpflichtung ebenfalls zu diesem Zeitpunkt zu migrieren. Für sie ist eine schlagartige Migration von der 2.x zur 3.0 nicht vorgesehen. Die neuen Gemeinschaften hingegen könnten diese neue Version direkt einsetzen.

Es liegt also viel perspektivische Arbeit vor den Herstellern und Banken. Um ihnen dabei zu helfen, wird im Juli 2017 ein Implementationguide auf Seiten der EBICS SCRL und des CFONB zur Verfügung gestellt.

Ich stelle EBICS häufig in verschiedenen Ländern in Europa und darüber hinaus vor und glaube, dass die Harmonisierung die Werbetätigkeit für dieses Produkt wesentlich erleichtern wird. Ich bin überzeugt davon, dass sie der Schlüssel zum Erfolg ist, damit schließlich der erste Buchstabe von EBICS „European“ bedeutet.

Was wäre, wenn aufgrund der Entwicklungen, die derzeit geprüft werden, der nächste Schritt das Worldwide EBICS wäre?...

Marc Dutech

EBICS auf der iberischen Halbinsel

2014 haben die meisten portugiesischen Banken einen EBICS-Kanal eröffnet, der auf der Version 2.4.2 des Protokolls basiert. Tatsächlich eingesetzt wird bis dato allerdings nur das T-Profil, obwohl viele Unternehmen persönliche Signaturen verwenden möchten. Dies lässt darauf schließen, dass das TS-Profil in Kürze bereitgestellt wird.

Bis heute bieten nur sehr wenige spanische Banken ihren Firmenkunden die Möglichkeit, ihren Zahlungsverkehr über das EBICS-Protokoll abzuwickeln. Die Nachfrage danach nimmt jedoch immer stärker zu. Das beweist auch die hohe Teilnehmerzahl an einer Veranstaltung, die der Spanische Verband der Unternehmensfinanzierer (ASSET) am 20. Januar 2016 organisiert hat.
Einer der Gründe für das steigende Interesse liegt darin, dass bei den spanischen Unternehmen, wie bei den übrigen europäischen Unternehmen auch, der Bedarf wächst, Transaktionen mit Banken außerhalb der iberischen Halbinsel haben durchzuführen.

Die Veranstaltung, die von Gerardo de la Mata, Direktor von ASSET und Leiter des Ausschusses Zahlungsverkehr, geleitet wurde, beinhaltete verschiedene Vorträge, die den anwesenden Unternehmen, Banken und Herstellern den Nutzen von EBICS näherbrachten. Hierfür haben die Redner verschiedene und einander ergänzende Themen aufgegriffen, wie z. B.:
  • Axel Weiß, EBICS-Chairman, sprach zunächst über die Entstehung von EBICS und stellte anschließend dessen wichtigste Eigenschaften und Vorteile vor, bevor er die Arbeitsweise von EBICS SCRL erläuterte.
  • Thomas Stosberg, Deutsche Bank, referierte insbesondere die Gründe für die Einführung von EBICS und gab einen Überblick über die bisherigen Erfahrungen und die zukünftigen Weiterentwicklungen im Rahmen von BTF[1].
  • Mein Vortrag beleuchtete bestimmte Aspekte, z. B. die Sicherheit und die Anwendungsfälle in Frankreich und Deutschland – sowohl beim Zahlungsverkehr zwischen Unternehmen und Banken als auch im Interbankenverkehr. Außerdem habe ich dargelegt, wie EBICS in Frankreich implementiert worden und wie die Migration abgelaufen ist.
Die Fragen der Zuhörer betrafen im Wesentlichen den Punkt, ob man sich für eines der aktuell in Spanien verwendeten Protokolle (Editran, SWIFT) oder EBICS entscheiden solle. Hierfür gibt es vernünftige Entscheidungskriterien.

Es stimmt, dass in Spanien Editran im großen Umfang eingesetzt wird. Jedoch wird es von Banken und Unternehmen außerhalb Spaniens nur selten bzw. überhaupt nicht unterstützt. Deshalb entspricht Editran nicht den Bedürfnissen von Unternehmen und Banken, die grenzüberschreitenden Zahlungsverkehr abwickeln müssen.

Dafür müssen ein oder mehrere Protokolle verwendet werden, die den grenzüberschreitenden Datenaustausch unterstützen. Je nach Kontext ist die parellele Verwendung von EBICS und SWIFT durchaus vorstellbar, wie beispielsweise in Frankreich. EBICS könnte für die Kommunikation mit der wachsenden Anzahl von Banken, die Standorte in mehreren Staaten Europas haben, verwendet werden und SWIFT für die Kommunikation mit den anderen Banken.

Die Kosten für die Nutzung sind ebenfalls ein wichtiges Entscheidungskriterium. Unternehmen könnten (sollten) die Kosten durch den Einsatz des preisgünstigsten Standards optimieren.
Ein Thema, das ebenfalls auf reges Interesse der Teilnehmer stieß, war die verteilte elektronische Unterschrift (VEU) mit EBICS, insbesondere über das Handy, deren Einsatz in Deutschland bereits gang und gäbe ist. Daran ist nichts erstaunlich. Viel erstaunlicher ist hingegen die Tatsache, dass die VEU in Frankreich noch keine breite Anwendung findet.

Eine ähnliche Veranstaltung wird am 24. Februar in Barcelona stattfinden. Dafür haben sich bereits jetzt schon zahlreiche Teilnehmer angemeldet. Dies ist ein weiterer Beleg dafür, dass die Finanzindustrie unbedingt ein standardisiertes, universelles und effizientes Austauschverfahren wie EBICS benötigt (falls es solch eines Beweises überhaupt noch bedarf).

[1] Business Transactions & Formats

Marc Dutech 

Wie steht es mit EBICS in Marokko?

Der Vormarsch von EBICS in Europa ist inzwischen unumstritten. Wie entwickelt sich der Standard jedoch jenseits der Grenzen der Europäischen Union? Ein Kontinent, der sich in meinen Augen besonders für die Verwendung eines modernen, leistungsfähigen und universellen Protokolls für den elektronischen Zahlungsverkehr wie EBICS eignet, ist Afrika. Genauer gesagt denke ich hier zuallererst an Marokko. Warum?


Seit langem schon orientieren sich die marokkanischen Banken und Finanzinstitute an europäischen Praktiken im Bankwesen, insbesondere an denen französischer Banken. So folgten in den neunziger Jahren die marokkanischen Banken den französischen, indem sie sich im elektronischen Zahlungsverkehr zwischen Unternehmen und Banken für das ETEBAC-Protokoll entschieden. Auf diese Weise wurden die marokkanischen Unternehmen in die Lage versetzt, effiziente Cash Management-Lösungen einzusetzen.

Ebenso orientierte man sich bei dem vom marokkanischen Bankensektor verwendeten Austauschformat für Kontoauszüge, Überweisungen und Lastschriftverfahren stark an den CFONB-Formaten.

Momentan wird in Marokko noch immer das ETEBAC-Protokoll verwendet. Allerdings läuft es unter X.28 über private PADs und die Unternehmen müssen asynchrone Analog-Modems verwenden, die kaum noch zu finden sind. Somit wird es nahezu unmöglich, die Anzahl der Unternehmen zu steigern, die den ETEBAC-Kanal verwenden. Mögliche Ersatzlösungen sind:
  • das Internet-Banking, das jedoch für Unternehmen mit Konten bei mehreren Banken bzw. Unternehmen mit erheblichem Transaktionsvolumen ungeeignet ist,
  • SWIFT, was zu wiederkehrenden Zusatzkosten führt, die nicht unerheblich sind,
  • weniger gebräuchliche Protokolle wie PeSIT, die künftigen Anforderungen nicht gerecht werden.
Der durch marokkanisches Gesetz vorgegebene Rechtsrahmen für den Austausch und Schutz digitaler Daten fördert die Verwendung sicherer Datenaustauschprotokolle mit elektronischer(n) Unterschrift(en). Dadurch werden die Banktransaktionen mit den für sie geforderten Sicherheitsfunktionen wie Authentifizierung, Unveränderlichkeit und Integrität, Geheimhaltung, keine Wiederverwendbarkeit der Unterschrift sowie Nichtabstreitbarkeit ausgestattet. Diese Funktionen werden standardmäßig vom EBICS-Protokoll abgedeckt.

Die marokkanischen Banken, die in Afrika eine Vorreiterrolle einnehmen und in 22 Ländern des Kontinents vertreten sind, benötigen zuverlässige und bewährte Systeme zur Finanzdatenübermittlung zwischen den Banken und über Grenzen hinweg, um unter anderem dafür zu sorgen, dass Marokko zum Drehkreuz von Banktransfers wird und ein Maximum an Transaktionen an sich zieht, die auf sichere und moderne Art und Weise durchgeführt werden. Hierfür bietet sich EBICS als das Mittel der Wahl an.

Übrigens erlaubt EBICS nicht nur, das bestehende Angebot von Diensten für Unternehmen auszubauen, es stellt für die marokkanischen Banken auch eine echte Innovationsmöglichkeit dar, um ganz neue Dienste (z. B. e-Invoicing) anzubieten.

Und vergessen wir nicht zwei weitere Bereiche, in denen EBICS seine Wirkung voll entfalten könnte:
  1. In Europa wird EBICS für den intereuropäischen elektronischen Zahlungsverkehr zwischen den Banken bereits sehr erfolgreich angewandt. Die marokkanischen Finanzinstitutionen könnten nachziehen und hätten somit die Möglichkeit, die Widerstandsfähigkeit und die hohe Verfügbarkeit im bankenübergreifenden Zahlungsverkehr zu verbessern und nebenbei dessen Kosten zu optimieren.
  2. EBICS kann bei Datentransfers für staatliche Digitalisierungsprojekte eingesetzt werden, insbesondere im Zusammenhang mit Sozialdaten, medizinischen und dienststellenübergreifenden Daten.
Ausgehend von obigen Ausführungen erscheint mir das EBICS-Protokoll, das sich – wie der Leser des Blogs mittlerweile hat feststellen können – dank seiner Universalität, seiner einfachen Anwendung, seinem hohen Sicherheitsniveau und der Tatsache, dass mit seiner Verwendung keine wiederkehrenden Kosten verbunden sind, in Europa schnell ausbreitet, eine ideale Alternative für den Business-to-Bank- und Bank-to-Bank-Zahlungsverkehr. Würden zudem die marokkanischen Banken die Anwendung des ISO-20022-Standards in Betracht ziehen, wäre dies ein großer Schritt in Richtung Harmonisierung und Standardisierung des elektronischen Finanzdatenaustauschs, was zu einer Vereinfachung und Optimierung der Transaktionen mit Europa führen würde. Dieser Punkt erscheint mir auch deshalb so wichtig, weil die marokkanische Wirtschaft durch zahlreiche Standortverlagerungen europäischer Unternehmen von der geographischen Nähe Marokkos zum europäischen Kontinent profitiert hat.

Stellt sich schließlich die Frage der Migration nach EBICS. Ist die Migration ein solch komplexes Unterfangen, dass sie sich als ein echtes Hindernis für die Verwendung dieses Protokolls erweisen könnte? Bedenkt man, wie die Migration in Frankreich vonstattenging, ist das meiner Meinung nach nicht der Fall. Die in diesem Zusammenhang nicht nur von den Herstellern für Banken- und Unternehmenssoftware, sondern auch von den in Marokko ansässigen französischen Banken gesammelten Erfahrungen würden eine sanfte Migration ohne große Anfangsschwierigkeiten sicherstellen.

Marc Dutech 

EBICS und der mobile Zahlungsverkehr in Frankreich

In der Reihe „EBICS als europäischer Standard für Mobile Payments“ wollen wir heute den Fall Frankreich näher betrachten.
Eine mobile Lösung, die es jedem Nutzer ermöglicht, Transaktionen von unterwegs - gemäß EBICS TS-Protokoll - zu unterschreiben, würde den Bedürfnissen der immer zahlreicher werdenden „Nomaden“ unter den Unterzeichnern entsprechen, die darauf hoffen, dass Mobile Banking mit EBICS endlich Realität wird.


Voraussetzung wäre, dass eine solche Lösung ausreichend flexibel ist, d. h. auf der großen Mehrheit von Mobiltelefonen und Tablets läuft, unabhängig von deren Betriebssystem (zumindest iOS, Android, Windows Mobile), und genauso ein hohes Sicherheitsniveau bietet wie die EBICS TS-Signatursoftware für PCs, die täglich tausendfach verwendet wird.

Natürlich hat bereits der eine oder andere Softwarehersteller mobile Applikationen entwickelt, doch bleiben diese allesamt unbefriedigend und werden wenig genutzt, weil ihnen die nötige Flexibilität und Benutzerfreundlichkeit fehlt. Um den Spezifikationen des CFONB (französisches Komitee für Organisation und Normierung im Bankwesen) aus dem Implementation Guide zu entsprechen, muss jede Unterschrift über ein persönliches Unterschriftszertifikat auf einem physikalischen Träger verfügen, das von einer von der Bank anerkannten Zertifizierungsstelle ausgestellt wird. Und genau da liegt der Hund begraben: Es ist zwar möglich, einen USB-Token an bestimmte Tablets anzuschließen, aber es ist bis heute nicht möglich, ihn an alle mobilen Geräte unabhängig von ihrer Marke anzuschließen. Nimmt man hohe Adapter- und Anschlusstechnikkosten in Kauf, könnte man dennoch ans Ziel kommen. Doch funktionieren all diese Lösungen eher schlecht als recht, zumal sie den Benutzer zwingen, sein Gerät in einen komplizierten Apparat zu verwandeln, was schließlich den letzten Enthusiasten von einem systematischen Gebrauch solcher Lösungen abhalten wird.
Auch ist es weder vernünftig noch angemessen, die Unterzeichner zu zwingen, sich ein zusätzliches Smartphone oder Tablet zuzulegen, bei dem ein Token einigermaßen komplikationslos angeschlossen werden kann, so dass es bei Bedarf sofort genutzt werden könnte.

Eine Lösung bestünde darin, anstelle des physikalischen Trägers als Speichermedium für das Zertifikat ein „flüchtiges“, d. h. einmalig zu verwendendes Zertifikat einzuführen. Neben der hierfür unerlässlichen Zustimmung durch das CFONB würde dies jedoch bedingen, dass das Zertifikat, wann immer es verwendet wird, bei der Zertifizierungsstelle neu registriert werden muss, was dem Vorgang jedwede Flexibilität und damit jedweden Charme nähme.

So bleibt das Problem, dass das Verfahren der verteilten Unterschrift nicht standardisiert ist wie bei unseren Nachbarn jenseits des Rheins, die von der Verteilten Elektronischen Unterschrift (VEU) profitieren. Auch wenn es bedauerlich ist, dass EBICS DS bis heute nicht konkretisiert worden ist, so stellt dies doch keinen Hinderungsgrund dafür dar, einen Service mit äquivalenter Funktionsabdeckung anzubieten, also den reisenden Unterzeichnern zu erlauben Aufträge vor der Ausführung zu bestätigen. Die Verwaltung dieser Gruppen von Unterzeichnern und Unterschriftenmappen erfolgt vorher auf einer vom Unternehmen oder von vertrauenswürdigen Dienstleistern bzw. Betreibern betriebenen Plattform. Sobald alle notwendigen Unterschriften vorliegen (unbedingt im Format EBICS [A005 bzw. A006]), werden der Auftrag und die gespeicherten Unterschriften über EBICS im TS-Profil an den entsprechenden Server weitergeleitet. Mit dieser Lösung könnten umfassendere Unterschriftsrechte als mit dem EBICS-Standard (1+1 bzw. 2) verwaltet werden, womit sie den Ansprüchen der Benutzer potenziell näher kommt.

Marc Dutech 

Die Rolle von EBICS beim Datenaustausch über SEPAmail™ zwischen Banken und Unternehmen

SEPAmail™ wurde auf Initiative französischer Großbanken (BPCE, CM-CIC, Société Générale, BNP Paribas, Crédit Agricole) konzipiert, um Unternehmen den elektronischen Austausch nicht buchungsrelevanter Zahlungsdokumente wie Rechnungen, Anweisungen, Avise usw. zu erleichtern. Mit dieser Secure-Messaging-Lösung für den Interbankenaustausch lassen sich die herkömmlichen Zahlungsvorgänge (Überweisung, Abbuchung usw.) um neue kundenorientierte Zahlungsdienste ergänzen.


Dazu gehören:
  • Begleichung elektronischer Rechnungen
  • Erhöhung der Zuverlässigkeit von IBAN-Daten und Bekämpfung von IBAN-Betrug
Alle weiteren Informationen über SEPAmail™ finden Sie unter www.sepamail.eu.
Entsprechend dem 4-Corner-Modell, auf dem die SEPAmail™-Norm basiert, gliedert sich der Austausch in zwei Typen:
  • den Austausch von Nachrichten im Interbankenverkehr (gemäß der SEPAmail™-Terminologie über „Briefe“ bzw. „Missives“): Webservice oder S/MIME
  • den Austausch von Dateien zwischen Banken und Firmenkunden
Als Kanal für den Dateiaustausch hat sich PPI France sehr früh für SEPAmail™ interessiert und seit Dezember 2012 an einem Test mitgewirkt, um die Eignung von EBICS für die Zwei-Wege-Übertragung von SEPAmail™-Daten zu bestätigen.
Der Test bestand aus folgenden Schritten:
  • einen Brief sowie einen Briefstapel mit Auftragseinreichungen über die Auftragsart FUL übertragen,
  • einen Brief sowie einen Briefstapel mit Bestätigungen über die Bearbeitung einer eingereichten Datei vom Typ pain.002 über die Auftragsart PSR abrufen
  • einen Briefstapel mit Transaktionsauszügen über die Auftragsart FDL herunterladen
Nachdem sowohl das Kundensystem als auch der Bankserver entsprechend konfiguriert waren (TRAVIC-Software), hat der erfolgreiche Datenaustauschs bestätigt, dass Banken und Kunden ihre EBICS-Systeme gleichermaßen für den Austausch über SEPAmail™ nutzen können.
Dank dieses Tests können wir einige Empfehlungen geben. Hierzu gehören insbesondere:
  • ein Dokument zur vereinfachten Benennung der Dateien
  • ein Leitfaden über die gemeinsame Umsetzung von SEPAmail™ und EBICS für Banken, Unternehmen und Dienstleister
Einige zuverlässige Dienstleister und Betreiber haben übrigens schnell erkannt, wie wichtig es ist, eine SEPAmail™-Lösung anzubieten, die den EBICS-Kanal unterstützt. Der Hersteller GFI bietet seinen Bank- und Unternehmenskunden die erste vollständig normkonforme Lösung an.
„Die Strategie unseres Angebots beruht auf drei Grundprinzipien: 

  • Einfachheit: minimale Auswirkung auf das Informationssystem unserer Kunden
  • Effizienz: beschleunigte Markteinführung
  • Kostenkontrolle: die Erstinvestitionen der Kunden möglichst gering halten, um den Aufbau eines Geschäftspartnernetzes zu erleichtern
Vor diesem Hintergrund hat sich uns die Verwendung des EBICS-Kanals förmlich aufgedrängt. Dieser Kanal gewährleistet das notwendige Maß an Schutz und Rückverfolgbarkeit beim Austausch über SEPAmail™, und das Verfahren ist unseren Kunden aus dem Datenverkehr zwischen Banken und Firmenkunden vertraut “, erklärt uns Lionel Chemla, der Angebotsleiter für SEPAmail™ bei GFI.

Und so, wie sich EBICS außer in Deutschland und Frankreich auch in Portugal, in der Schweiz, in Österreich und demnächst in weiteren europäischen Staaten verbreitet, wird in Zukunft zweifellos auch SEPAmail™ auf der Grundlage der ISO-Norm 20022 das Interesse von europäischen Unternehmen außerhalb Frankreichs wecken...

Marc Dutech 

Serverseitige Erneuerung der EBICS-Zertifikate

Was die französische Version des EBICS-Protokolls anbelangt, so wurden die EBICS-Server überwiegend Ende 2009 sowie im Laufe des Jahres 2010 in Betrieb genommen. Viele von ihnen verwenden selbstsignierte X.509-Zertifikate mit einer Laufzeit von fünf Jahren, weshalb einige Institute bereits mit deren Erneuerung begonnen haben bzw. sich andere darauf vorbereiten.



Auf Kundenseite sieht das EBICS-Protokoll bei der Zertifikatserneuerung entsprechende EBICS-Nachrichten (PUB-, HCA- und HCS-Nachrichten) mit einer entsprechenden client- und serverseitigen Verarbeitung vor, so dass manuelle Eingriffe prinzipiell entfallen (signierte Nachrichten, die keiner zusätzlichen Validierung bedürfen). Bei der serverseitigen Erneuerung der Bankzertifikate verhält es sich jedoch anders: Lediglich die HPB-Nachricht ist dafür derzeit in EBICS verfügbar. Die Validierung der Bankzertifikate umfasst einen manuellen Schritt, nämlich den Abgleich des entsprechenden Hash-Werts. Ein weiterer beträchtlicher Unterschied liegt in der Tragweite des Vorgangs, der sich auf mehrere Tausend Kundenzugänge gleichzeitig auswirken kann.

Um diesen Eingriff im Umgang mit Zertifikaten in EBICS zu erleichtern, sind eine Reihe von Vorkehrungen und Vorsichtsmaßnahmen erforderlich.

Aus unseren Erfahrungen in der Entwicklung und Implementierung von EBICS-Software auf Kunden- wie auf Bankseite konnten wir für die Zertifikatserneuerungen einige Erkenntnisse ableiten. Wir möchten daher denjenigen, die sich mit der EBICS-Server-Administration befassen, folgende Empfehlungen geben:

- Erkundigen Sie sich bei Ihrem Software-Anbieter, nach welchem Verfahren die Zertifikate generiert und aktualisiert werden.

- Meiden Sie bei der Auswahl von Datum und Uhrzeit solche Zeiträume, in denen üblicherweise hohe Belastungen herrschen (Monatsende, Cut-off-Zeiten etc.) oder nur wenige Mitarbeiter auf Kundenseite verfügbar sind (am späten Abend, nachts, in den Schulferien etc.). Da das Ablaufdatum der Zertifikatsgültigkeit vorhersehbar ist, können vorbereitende Maßnahmen schon im Vorfeld ergriffen werden, um sich einen zeitlichen Spielraum zu verschaffen.

- Informieren Sie die Kunden langfristig im Voraus über Datum und Uhrzeit für den Wechsel der Bankzertifikate. Es ist sinnvoll, einige Tage vor dem Termin ein Erinnerungsschreiben zu versenden. Nachfolgend einige Punkte, die ein solches Schreiben unserer Ansicht nach enthalten sollte:
  • Dem Kunden die Kontaktaufnahme mit seinem Softwareanbieter nahelegen, damit der Kunde sicherstellt, dass seine Software die Erneuerung der Bankzertifikate unterstützt und er eine Ablaufbeschreibung der Zertifikatserneuerung erhält, sofern er noch keine besitzt. Wir haben ermittelt, dass zwei verschiedene Kundenprodukte diesen Vorgang nicht zulassen. In beiden Fällen waren die Kunden gezwungen, ihre Zugänge vollständig neu anzulegen.
  • Den Kunden bitten, das Schreiben vom Softwarehersteller ggf. an den Dienstleister weiterzuleiten, dem er einen DFÜ-Zugang übertragen hat. Denn der vorgenannte Punkt gilt für den Dienstleister gleichermaßen.
  • Den Hash-Wert des neuen Bankzertifikats angeben, damit der Kunde den Hash angleichen kann. Die übliche Darstellung als Matrix aus 4 Zeilen zu je 8 Bytes lässt sich durch eine lineare Darstellung (die 32 Bytes in derselben Zeile ohne Trennzeichen) ergänzen, um das Kopieren und Einfügen in die Software des Kunden zu vereinfachen.
  • Den Kunden darauf hinweisen, dass, sofern er seine Einstellungen nicht rechtzeitig aktualisiert, der erste Transfer unter Ausgabe eines Fehlercodes mit dem Wert 091008 und der Kennzeichnung EBICS_BANK_PUBKEY_UPDATE_REQUIRED fehlschlägt. Vor einem erneuten Anstoßen der fehlgeschlagenen Transfers muss er zunächst die neuen Bankzertifikate einspielen.
  • Dem Kunden empfehlen, sich mit dem echten Zertifikatswechsel vorab vertraut zu machen, indem er das aktuelle Bankzertifikat wiederholt abholt (HPB). So lässt sich der Zertifikatswechsel der Bank mit der Client-Software jederzeit simulieren.
Die aktuellen Möglichkeiten zur Erneuerung der EBICS-Bankzertifikate gewährleisten derzeit keinen reibungslosen Ablauf. Ich bin mir sicher, dass es der EBICS-Gesellschaft so wie im Falle der Order-ID gelingt, in der nächsten Zeit Abhilfe zu schaffen und den Standard so weiterzuentwickeln, dass auch dieses Problem gelöst ist.

Marc Dutech 

Portugal im Zeitalter von EBICS

So wie die französischen Banken 2009 und die deutschen Banken 2008 wollen nun auch zahlreiche portugiesische Banken im Finanzverkehr mit Unternehmen auf das EBICS-Protokoll umstellen.

Diese Umstellung hat zwei Hauptgründe:

1. die von Portugal Telecom geplante Abschaltung des X.25-Netzwerks zum 30. Juni 2014,

2. der Umstand, dass einige bisher verwendete Protokolle nicht in der Lage sind, Dateien mit Datensätzen variabler Größe zu übertragen, wie dies bei SEPA-Formaten der Fall ist.
Folglich mussten portugiesische Banken ihren Unternehmenskunden einen alternativen Übertragungskanal anbieten, der gut zugänglich, sicher, kostengünstig und grenzüberschreitend zugleich ist.


Angesichts der positiven Erfahrungen in Deutschland und Frankreich mit der Migration auf EBICS sowie mit dem täglichen Gebrauch des EBICS-Protokolls haben sich die portugiesischen Banken entschlossen, ihr Serviceangebot um den EBICS-Kanal zu erweitern. Einige unter ihnen haben sich dazu für die Lösung TRAVIC-Corporate entschieden, einen Bankserver von PPI.

Dabei fiel die Wahl auf die EBICS-Version 2.4, welche gegenwärtig auch in Frankreich verwendet wird. Betriebsbereit ist bis heute nur das T-Profil.

Die über den EBICS-Kanal vermittelten Daten können unterschiedlichster Art sein: Inlandszahlungen im Format PS2, Überweisungsaufträge im SWIFT-Format MT101, SEPA-Überweisungen (SCT) und SEPA-Lastschriften (SDD), Kontoauszüge, Confirming, Devisenkurse und -notierungen, proprietäre Formate für Schreiben mit abtrennbarem Scheck sowie für das Factoring etc.

Des Weiteren boten einige in Portugal ansässige Hersteller bereits vor mehreren Monaten unternehmensspezifische Softwarelösungen an, die das EBICS-Protokoll unterstützen. Dies gilt insbesondere für MetaCase, den portugiesischen Partner von PPI, der mit Target One ein System zur EBICS-Verwaltung in die von ihm herausgebrachte Verwaltungsplattform implementiert hat. Dass diese Implementierung des EBICS-Protokolls noch erfolgte, bevor portugiesische Banken ihren Kanal öffneten, ist dem Wunsch einiger portugiesischer Unternehmen geschuldet, Finanzdaten mit deutschen und/oder französischen Banken austauschen zu können.

Die von den meisten portugiesischen Banken getroffene Wahl verdeutlicht, wie sehr sich das EBICS-Protokoll für einen großflächigen Einsatz in Europa eignet und so zu einem sicheren, leichteren und kostengünstigen Datenaustausch zwischen Unternehmen und Banken innerhalb des SEPA-Raums beitragen kann.

Marc Dutech