Wie sich EBICS verbessern lässt, Teil 8 – Doppeleinreichungen mit EBICS-Mitteln verhindern: Was geht da?

Schnell ist es passiert. Die Zahlungsverkehrsaufträge wurden per EBICS versehentlich doppelt zur Bank übertragen. Keiner hat es bemerkt. Gleich mehrere solcher Fehlerfälle fallen einem da ein:
  1. In der Zahlungserfassung wird eine Zahlung doppelt erfasst und gesendet.
  2. Die Datei mit den Zahlungsaufträgen wird erneut und damit doppelt übertragen.
  3. Die Zahlungsdatei wird aus technischen Gründen doppelt übertragen, da der Übertragungsstatus des ersten Transfers unklar war.
Wesentlich für eine Doppeleinreichung ist, dass ein Kunde eine Zahlung bzw. Datei mit identischen Angaben in einem festgelegten Zeitraum erneut bei der Bank einreicht. Aber ist eine identische Einreichung stets eine generell abzulehnende Doppeleinreichung? Nein, denn manche Zahlungen werden vom Einreicher bewusst mehrfach ausgestellt und übertragen.


Wie also kann die Bankseite echte Doppeleinreichungen sicher erkennen und einen Schaden für den Kunden abwenden?

Es ist möglich, zumindest offensichtliche Doppeleinreichungen bereits bei der Einreichung im EBICS-Bankrechner zu erkennen und abzulehnen.

Im Fall der technischen Doppeleinreichungen (siehe 3.) erkennt das EBICS-Protokoll bis zur EBICS-Version 2.4, wenn ein Kunde eine vom EBICS-Client vergebene Order-ID in einem definierten Zeitraum erneut verwendet. Ab EBICS V2.5 vergibt der EBICS-Bankrechner bereits beim Aufbau der Kommunikation eine eindeutige Order-ID. Ein Doppeleffekt wie bei EBICS V2.4 kann somit nicht auftreten.

Der Fall, dass eine Datei oder ein Auftrag aber versehentlich mit einem neuen Transfervorgang und somit einer neuen Order-ID noch einmal gesendet wird (siehe 2.), kann mit den bestehenden EBICS-Mitteln auf dem EBICS-Bankrechner derzeit nicht ausgeschlossen werden. Um dafür eine effektive Doppeleinreichungsprüfung auf Dateiebene zu ermöglichen, soll mit der nächsten EBICS-Version der EBICS-CR EB-14-08 DoubleUploadControl umgesetzt werden.

Dieser CR verpflichtet den EBICS-Client, einen Hashwert über die Zahlungsdatei an den EBICS-Bankrechner zu übermitteln. Der Client erstellt diesen Hashwert ohnehin für die Signaturerzeugung. Der EBICS-Bankrechner muss prüfen, ob der Hashwert im betreffenden Zeitraum schon mal vorgekommen ist, und den Auftrag bei Doppeleinreichung ablehnen.

Eine weitergehende Doppeleinreichungsprüfung, z. B. auf Einzeltransaktionsebene (Fall 1.) ist schon komplizierter und muss nach wie vor außerhalb von EBICS gelöst werden. Ggf. muss ein Bankmitarbeiter in Rücksprache mit dem Kunden ermitteln, ob die doppelte Einreichung nicht doch gewollt ist.

Mit dem geplanten EBICS-CR EB-14-08 DoubleUploadControl wird EBICS um eine weitere sinnvolle Funktion ergänzt und verbessert. Dies ist auch erforderlich. Versehentliche Doppeleinreichungen können so frühzeitig verhindert werden. Allerdings kommt damit kein Allheilmittel. Die Bankanwendungen können auf weitergehende Doppelprüfungen nach wie vor nicht verzichten.

Michael Lembcke 

UBS goes EBICS

Patrik Giger, Head Payment Connectivity Services, UBS Switzerland AG

Bereits zum fünften Mal in Folge konnte UBS im Rahmen des von Euromoney durchgeführten Cash Management Surveys 2015 die Auszeichnung als "Best Domestic Cash Manager Switzerland" entgegennehmen. Dieser Erfolg beruht auf langjährigem Fokus auf Kundenbedürfnisse und optimaler Produkt- und Servicequalität.

Ein Bestandteil dieses Serviceangebots ist die Infrastruktur für die Direktanbindung von Kundensystemen. Hier hat sich über Jahre eine Schnittstelle bewährt, welche auf einem proprietären Datenaustausch basiert. Diese Direktanbindung wird von Kunden in der Schweiz genutzt. International nutzen Kunden vorwiegend eine Anbindung über SWIFT for Corporates oder Multibank-Angebote, um Zahlungsdaten und Reportings mit ihrem Finanzinstitut auszutauschen.

UBS-Kunden können bereits heute ihre globalen Finanzgeschäfte - vor allem auch für internationale Niederlassungen - sicher abwickeln. Ein grosses Ziel mit der neuen Infrastruktur ist, die Anbindung an Finanzinstitute noch sicherer, komfortabler und standardisierter zu gestalten.


Harmonisierung Zahlungsverkehr als Chance – und Herausforderung

Mit dem Gemeinschaftsvorhaben "Harmonisierung Zahlungsverkehr" haben sich die Schweizer Banken auf Plan geeinigt, bis im Jahre 2020 den Zahlungsverkehr in der Schweiz auf den internationalen ISO-20022-Standard zu heben (Details siehe http://www.paymentstandards.ch).
Konkret werden sich in den nächsten 4 Jahren bestehende Formate und Prozesse verändern, um Synergien in der Wertschöpfungskette zwischen Zahlungsverkehrsdienstleistern, Finanzinstituten und den Konsumenten nachhaltig ausschöpfen zu können. Diese Synergien werden schlussendlich zu Vorteilen für alle involvierten Akteure im Zahlungsverkehr führen. Der zu begehende Weg dahin ist nicht nur steil. Auch die Zeitvorgabe, um das Ziel zu erreichen, wurde sportlich berechnet. Was oft unterschätzt wird, sind die Auswirkungen, die diese Transformation auf Kunden haben wird. So wird die Formatveränderung mit grosser Sicherheit auch Veränderungen in den Prozessabläufen bei Firmenkunden nach sich ziehen.

Software-Partner als Drehscheibe der Harmonisierung

Die Informatikabteilung der Kunden sowie die IT-Berater respektive Software-Häuser spielen eine tragende Rolle bei der Migration des schweizerischen Zahlungsverkehrs. So verwenden über 90 Prozent der UBS-Kunden eine Standard-Software eines im Markt etablierten Herstellers für die Direktanbindung an ihre Banken. Kunden haben hier die klare Erwartung, dass die entsprechenden ERP (Enterprise Ressource Planning) respektive TMS (Treasury Management Software) Programme zeitgerecht und verlässlich mit den neuen ISO-Formaten umgehen können. Um den Software-Häusern den Weg zu den neuen ISO-20022-Formaten zu vereinfachen, stellt UBS eine dedizierte Testplattform zur Verfügung. Über diese können sowohl mittels manuellem Upload als auch über einen EBICS-Kanal Testdateien hochgeladen und validiert werden. Testergebnisse enthalten nebst den standardisierten Fehlercodes sehr detaillierte Informationen über allfällige Fehler oder suboptimale Nachrichtengestaltungen. Die Testplattform bietet Software-Anbietern auch einen "Readiness Test" an, welcher ihnen und ihren Kunden die ISO-20022-Fähigkeiten attestiert.

Bewährte proprietäre Lösung wird ersetzt

Bereits seit 2013 bietet UBS ihren Kunden EBICS als Kommunikationskanal an. Dieses Angebot wurde vereinzelt von Kunden mit sehr spezialisierter Finanz-Software gewählt. Die Mehrzahl der Kunden setzt nach wie vor die proprietäre Lösung ein. Dies ist vor allem darauf zurückzuführen, dass der Zahlungsverkehr in der Schweiz sehr stabil ist und sich über Jahrzehnte sehr wenig verändert hat. Es gab keinen Grund für Kunden, wie auch für lokale Software-Anbieter, die bestehenden und funktionierenden Lösungen im Bereich Zahlungsverkehr anzupassen. Das gleiche galt auch für Banken.

EBICS als idealer Kanal für ISO 20022

Weshalb nun zu den Formaten auch noch gleichzeitig die Kommunikationskanäle verändern? Analysen haben ergeben, dass der Aufwand sowohl auf Kunden- als auch auf Software-Partner- und Bankseite vergleichbar hoch ist, die neuen Formate im alten (proprietären) Kanal einzubauen, beziehungsweise die Bereitstellung über den neuen standardisierten EBICS-Kanal sicherzustellen. Führende Schweizer Finanzdienstleister bieten die Anbindung über EBICS bereits an oder sind in der Planung, diese Anbindung in naher Zukunft anzubieten.

Der Vorteil des EBICS-Standards liegt auf der Hand: Kunden werden davon profitieren, dass "Banken die gleiche Sprache sprechen". In der Schweiz haben wir zudem den Vorteil, dass wir auf bereits Bewährtes zählen können, denn EBICS hat sich in den letzten 10 Jahren, seit der Einführung in Deutschland, als stabiler und verlässlicher Kommunikationsstandard etabliert. Mit dem Beitritt der Schweiz als drittes Mitgliedsland in die EBICS-Gesellschaft (neben Deutschland und Frankreich) ist ein klares Signal gesetzt, dass die Schweizer Finanzdienstleister EBICS nicht als Nebenprodukt, sondern als strategischen Kommunikationskanal fördern.

Ringen um standardisierte Auftragsarten

Betreffend der Auftragsarten hat sich in der Schweiz der deutsche Ansatz durchgesetzt (Angabe des Inhaltes mit der Auftragsart), verglichen mit dem französischen Ansatz, der als Auftragsart lediglich "Upload" und "Download" kennt. Die Auftragsarten in der "Schweizer Empfehlung" werden weitestgehend harmonisiert. Durch die Migration des Zahlungsverkehrs besteht die grosse Chance, hier noch einen Schritt weiter zu gehen. So ist aktuell die Schweizer EBICS-Auftragsart "XE2" für Inlandüberweisungen sowie für SEPA- und für Auslandüberweisungen gültig. UBS setzt sich dafür ein, dass künftig die Auftragsarten ausgebaut werden, um den vollen Synergieeffekt von ISO 20022 und EBICS erzielen zu können. Konkret diskutiert man separate EBICS-Auftragsarten für Inlandzahlungen, Auslandzahlungen und SEPA-Zahlungen. Dieser Vorschlag wird innerhalb der relevanten Gremien intensiv diskutiert und UBS hofft, dass sich hier eine Standardisierung mit zusätzlichem Synergieeffekt erzielen lässt.

UBS goes EBICS – Globally!

UBS hat sich entschieden, die bestehende Kommunikations-Infrastruktur für den Massenzahlungsverkehr in der Schweiz mit einer standardisierten EBICS-Infrastruktur zu ersetzen. UBS geht noch einen Schritt weiter und plant EBICS auch als künftiges Protokoll für ihre Kunden in den globalen Buchungszentren sowohl in Europa als auch in Asien und den USA. Wichtig für diese Umsetzung ist, dass die Infrastruktur stabil und standardisiert ist. Durch die enge Zusammenarbeit mit der Firma PPI sind wir zusätzlich in der Lage, Kunden ohne EBICS-fähige Software künftig ein Plug-in zu empfehlen, welches für die Software des Kunden die Kommunikation übernimmt. Ausserdem wird zukünftig die Möglichkeit des EBICS-Portals "UBS KeyPort Web" als Alternative angeboten, wenn Kunden ihre Transaktionen als Dateien manuell über ein Internetportal hoch- beziehungsweise die Reporting Meldungen herunterladen wollen.

Das EBICS-Angebot von UBS richtet sich in erster Linie an Kunden, welche das Bedürfnis nach einer Direktanbindung an ihre ERP- und TMS-Systeme haben und in zweiter Linie an Kunden, welche ein "Multi-Booking-Center"-fähiges Portal für ihre Massenzahlungen benötigen. Für Individualtransaktionen und zusätzliche Informationen steht unseren Kunden nach wie vor das moderne und sehr vielseitige UBS e-banking zur Verfügung.

EBICS muss sich weiterentwickeln

UBS wird sowohl den deutschen (DK) als auch den französischen Standard unterstützen. Die Dringlichkeit einer weiteren Harmonisierung ist gegeben, denn schon mit drei Mitgliedern der EBICS-Gesellschaft ist die Vielzahl der unterschiedlichen Implementierungen hoch. Eine entsprechende weitere Harmonisierung wird von der EBICS-Gesellschaft unter dem Projektnamen BTF vorangetrieben (vgl. Artikel in diesem Blog von Sabine Wenzel, EBICS SCRL, http://www.ebicsblog.com/de/international-harmonisch-mit-ebics-btf/). Aus Sicht des Autors ist es essentiell, dass diese Harmonisierung mit sehr hoher Priorität vorangetrieben wird. Wir sind zuversichtlich, dass sich EBICS weiter global als Kommunikationsstandard ausbreiten wird. UBS ist hier an vorderster Front mit dabei und setzt auf EBICS in der Schweiz, in Deutschland, in Europa, in Asien und in den USA.

Patrik Giger

EBICS und TLS 1.2 – etwas sicherer, aber nicht ohne Tücken

Curd Reinert, Projektleiter EBICS-Kernel, PPI AG


Wer einen Blick in die aktuelle EBICS-Spezifikation wirft, stellt womöglich überrascht fest, dass dort für die Transport Layer Security (TLS) noch die Version 1.0 vorgeschrieben ist. Das war mal eine sehr kluge Wahl: Bei Veröffentlichung der EBICS-Spezifikation war TLS 1.0 der Stand der Technik. Man hat sich also vor allem gegen SSL entschieden. Und damit waren die Hersteller und Betreiber z. B. bei POODLE fein raus: EBICS schließt SSL aus, die EBICS-Anwendungen waren vor POODLE sicher. Ohnehin hätte POODLE bei einem EBICS-Client kaum eine Chance: Der Angreifer bringt den Client dazu, tausende Anfragen an den HTTPS-Server zu schicken, um z. B. an das Session-Cookie zu kommen. Bei EBICS wird aber weder ein Session-Cookie genutzt, noch sind die Clients Web-Anwendungen, die man per JavaScript dazu bringen kann, tausende Anfragen zu schicken. Aber erklären Sie das mal der Revision!


Und das war ja auch nur einer der bösen Angriffe mit den lustigen Namen: HEARTBLEED nutzte einen Fehler in der TLS-Implementierung von OpenSSL aus. Und dann ist da noch BEAST. Wie schon bei POODLE eignet sich EBICS auch nicht für den BEAST-Angriff. Aber der Ruf von TLS 1.0 ist nachhaltig beschädigt, und alle Seiten raten zum sicheren Nachfolger TLS 1.2.

Das hat man auch bei EBICS erkannt und entsprechende Change Requests für die nächste Version vorgesehen, um TLS 1.2 zu unterstützen. Leider verzögert sich diese nächste Version, und in der Zwischenzeit fragen die Revisoren: Wieso macht ihr mit EBICS noch TLS 1.0? „Weil es so in der Spezifikation steht“, reicht als Argument kaum noch aus, wenn das BSI offiziell vor dieser Version warnt. Auf der offiziellen EBICS-Seite stehen darum jetzt Sicherheitsempfehlungen, die zu TLS 1.2 raten – ohne zu erklären, wie sich das mit der Spezifikation vereinbaren lässt.

Wir haben 82 EBICS-Server in Deutschland und Frankreich getestet: Gerade einmal 52 Server konnten mit uns TLS 1.2 sprechen. Wenn Sie sich also als Kundenprodukthersteller heute dazu entschließen, TLS 1.0 gar nicht mehr zu unterstützen, dann können Sie sich mit ca. einem Drittel der EBICS-Server nicht mehr verbinden. Server-Betreibern dürfte es mit den Kundenprodukten in den unterschiedlichsten Versionen noch schlechter ergehen.



Was kann man dann tun? Man kann TLS 1.2 anbieten, ohne TLS 1.0 zu verbieten. Das geht sowohl als Client als auch als Server, und im TLS-Handshake einigen sich beide Seiten auf die sicherste gemeinsame Variante – so die Theorie. Bei immerhin 28 der getesteten Server hat das auch funktioniert. Leider haben wir aber auch zwei Server gefunden, die die Kommunikation rigoros abbrechen, wenn der Client TLS 1.2 vorschlägt. Das ist für die Hersteller von Kundenprodukten sehr unangenehm, weil die Clients dann nicht einfach „auf Verdacht“ TLS 1.2 vorschlagen können – oder sie nehmen in Kauf, dass die Kommunikation mit einigen wenigen Servern scheitert.

Wir haben die Betreiber der beiden EBICS-Server benachrichtigt. Da unser Test aber nicht alle EBICS-Server umfasst, sollte jeder Betreiber das Verhalten seines EBICS-Servers selbst prüfen.
Eine Frage drängt sich noch auf: Wie gefährlich wäre eine Entschlüsselung des TLS-Layers in EBICS überhaupt; welche Daten wären sichtbar? Die Auftragsdaten selber werden ein zweites Mal verschlüsselt und bleiben für den Angreifer unsichtbar. Es bleibt der XML-Rahmen um die Auftragsdaten, oder wie man es in der Post-Snowden-Ära nennt: Metadaten. Das sind vor allem die Auftragsart bzw. das Fileformat, die Kunden- und die Teilnehmer-ID. Mit anderen Worten: nicht besonders viel. Ob man damit die Gemüter beruhigen kann, steht auf einem ganz anderen Blatt.

Curd Reinert

EBICS auf der iberischen Halbinsel

2014 haben die meisten portugiesischen Banken einen EBICS-Kanal eröffnet, der auf der Version 2.4.2 des Protokolls basiert. Tatsächlich eingesetzt wird bis dato allerdings nur das T-Profil, obwohl viele Unternehmen persönliche Signaturen verwenden möchten. Dies lässt darauf schließen, dass das TS-Profil in Kürze bereitgestellt wird.

Bis heute bieten nur sehr wenige spanische Banken ihren Firmenkunden die Möglichkeit, ihren Zahlungsverkehr über das EBICS-Protokoll abzuwickeln. Die Nachfrage danach nimmt jedoch immer stärker zu. Das beweist auch die hohe Teilnehmerzahl an einer Veranstaltung, die der Spanische Verband der Unternehmensfinanzierer (ASSET) am 20. Januar 2016 organisiert hat.
Einer der Gründe für das steigende Interesse liegt darin, dass bei den spanischen Unternehmen, wie bei den übrigen europäischen Unternehmen auch, der Bedarf wächst, Transaktionen mit Banken außerhalb der iberischen Halbinsel haben durchzuführen.

Die Veranstaltung, die von Gerardo de la Mata, Direktor von ASSET und Leiter des Ausschusses Zahlungsverkehr, geleitet wurde, beinhaltete verschiedene Vorträge, die den anwesenden Unternehmen, Banken und Herstellern den Nutzen von EBICS näherbrachten. Hierfür haben die Redner verschiedene und einander ergänzende Themen aufgegriffen, wie z. B.:
  • Axel Weiß, EBICS-Chairman, sprach zunächst über die Entstehung von EBICS und stellte anschließend dessen wichtigste Eigenschaften und Vorteile vor, bevor er die Arbeitsweise von EBICS SCRL erläuterte.
  • Thomas Stosberg, Deutsche Bank, referierte insbesondere die Gründe für die Einführung von EBICS und gab einen Überblick über die bisherigen Erfahrungen und die zukünftigen Weiterentwicklungen im Rahmen von BTF[1].
  • Mein Vortrag beleuchtete bestimmte Aspekte, z. B. die Sicherheit und die Anwendungsfälle in Frankreich und Deutschland – sowohl beim Zahlungsverkehr zwischen Unternehmen und Banken als auch im Interbankenverkehr. Außerdem habe ich dargelegt, wie EBICS in Frankreich implementiert worden und wie die Migration abgelaufen ist.
Die Fragen der Zuhörer betrafen im Wesentlichen den Punkt, ob man sich für eines der aktuell in Spanien verwendeten Protokolle (Editran, SWIFT) oder EBICS entscheiden solle. Hierfür gibt es vernünftige Entscheidungskriterien.

Es stimmt, dass in Spanien Editran im großen Umfang eingesetzt wird. Jedoch wird es von Banken und Unternehmen außerhalb Spaniens nur selten bzw. überhaupt nicht unterstützt. Deshalb entspricht Editran nicht den Bedürfnissen von Unternehmen und Banken, die grenzüberschreitenden Zahlungsverkehr abwickeln müssen.

Dafür müssen ein oder mehrere Protokolle verwendet werden, die den grenzüberschreitenden Datenaustausch unterstützen. Je nach Kontext ist die parellele Verwendung von EBICS und SWIFT durchaus vorstellbar, wie beispielsweise in Frankreich. EBICS könnte für die Kommunikation mit der wachsenden Anzahl von Banken, die Standorte in mehreren Staaten Europas haben, verwendet werden und SWIFT für die Kommunikation mit den anderen Banken.

Die Kosten für die Nutzung sind ebenfalls ein wichtiges Entscheidungskriterium. Unternehmen könnten (sollten) die Kosten durch den Einsatz des preisgünstigsten Standards optimieren.
Ein Thema, das ebenfalls auf reges Interesse der Teilnehmer stieß, war die verteilte elektronische Unterschrift (VEU) mit EBICS, insbesondere über das Handy, deren Einsatz in Deutschland bereits gang und gäbe ist. Daran ist nichts erstaunlich. Viel erstaunlicher ist hingegen die Tatsache, dass die VEU in Frankreich noch keine breite Anwendung findet.

Eine ähnliche Veranstaltung wird am 24. Februar in Barcelona stattfinden. Dafür haben sich bereits jetzt schon zahlreiche Teilnehmer angemeldet. Dies ist ein weiterer Beleg dafür, dass die Finanzindustrie unbedingt ein standardisiertes, universelles und effizientes Austauschverfahren wie EBICS benötigt (falls es solch eines Beweises überhaupt noch bedarf).

[1] Business Transactions & Formats

Marc Dutech 

International harmonisch mit EBICS BTF

Sabine Wenzel, EBICS Secretary, EBICS SCRL


Im Jahr 2010 haben sich der französische CFONB und die Deutsche Kreditwirtschaft (DK) in der EBICS-Gesellschaft zusammengeschlossen. Eine Vision ist die Harmonisierung von EBICS. Unterschiedliche Vorgängerverfahren in den Ländern haben die EBICS-Spezifikation beeinflusst und erschweren die EBICS-Implementierungen. Deutschland und Frankreich verfolgen abweichende Ansätze zur (Kurz-)Identifizierung von Geschäftsvorfällen und für die zu verwendenden Formate. Neuen Zug hat dieses Thema seit dem Beitritt der Schweiz zur EBICS SCRL. Es wurde ein Harmonisierungsprojekt angeregt mit dem Ziel einer EBICS-weit einheitlichen Vorgehensweise. Diese Konsolidierung heißt EBICS BTF.


Als sicheres Kommunikationsverfahren sorgt EBICS in erster Linie dafür, dass alle Daten korrekt authentifiziert, verschlüsselt und autorisiert übertragen werden.



Banken und Firmenkunden müssen erkennen können, welcher Service mit dem Auftrag tatsächlich zu erbringen ist. Dementsprechend muss der EBICS-Server z. B. überprüfen
  • ob der Kunde grundsätzlich das richtige Datenformat verwendet, ggf. in der passenden Version (Variante) des Standards und/oder entsprechend speziellen Implementierungsrichtlinien
  • ob Anliefervorschriften beachtet werden und Verarbeitungskennzeichen gesetzt sind
    • Kennzeichen, wie viele Elektronische Unterschriften dem Auftrag beigefügt worden sind und ob der Kunde ggf. eine zusätzlich benötigte Unterschrift per VEU leisten kann
    • Kennzeichen, dass der Auftrag in einen Container gepackt worden ist
  • ob für den Service ergänzende Optionen angegeben sind, z. B. für die DK der Verweis auf das SRZ-Verfahren oder für Frankreich der dort gängige Testmodus
Diese Prüfungen erfordern eine kompakte Angabe, um welchen Geschäftsvorfall es geht und ob die Sendung im korrekten Format angeliefert wurde. Dieser „Aufkleber“ am EBICS-Auftrag sieht aktuell in den Ländern noch unterschiedlich aus.

In Deutschland werden dreistellige Buchstabenkürzel verwendet. Frankreich hat lediglich zwei Standard-Auftragsarten definiert (für Upload und Download), ergänzt um einen Dateiformatparameter. Beide Ansätze reichen für eine internationale Nutzung, aktuell also in der Schweiz, nicht aus. Das uneinheitliche Vorgehen steht der Ausbreitung von EBICS im Weg.
Das EBICS Board of Directors (BoD) hat daher der EBICS Working Group (besetzt mit EBICS-Experten aus Deutschland, Frankreich und der Schweiz) den Auftrag erteilt, eine einheitliche und strukturierte Lösung für die Identifizierung von „Business Transactions & Formats“ (BTF) zu erarbeiten. EBICS BTF soll Bestandteil der nächsten EBICS-Version sein.

Aktuell besteht das BTF-Konzept aus drei Blöcken (Elementgruppen):
  • Content – verwendetes Format/Formatstandard (ggf. verwendete Version)
  • Processing – Kennzeichen zur EU und VEU, verwendete Container
  • Service – Information über das Zielsystem (ggf. mit 1..n Optionen)
Der Vorteil dieser gemeinsamen Entwicklung: Alle Beteiligten haben das gleiche Verständnis von der Belegung der XML-Elemente und –Attribute. Somit wird der „Aufkleber“ bei Standard-Geschäftsvorfällen (z. B. für die SEPA-Überweisung) in allen Ländern gleich belegt. Bei länderspezifischen Ausprägungen werden die BTF-Elemente abweichend gesetzt. Damit sind Unterschiede transparent und schnell zu erkennen.

Für diese einheitliche Denkweise waren intensive fachliche Diskussionen erforderlich – auch darüber, welche Informationen zur Identifizierung und korrekten Weitergabe des Auftrags wirklich benötigt werden. Die Angaben sollen vollständig sowie redundanz- und widerspruchsfrei sein. Insbesondere war man sich einig, möglichst mit externen Codelisten zu agieren (entsprechende Codes für die Datenelemente werden dafür gemeinsam abgestimmt und in der EBICS SCRL weitergepflegt).
In der EBICS Working Group wird diese Lösung als sehr stabil angesehen und hat eine hohe Akzeptanz. Letztendlich müssen die EBICS-Communities entscheiden, in welcher Form und mit welchem Zeitplan sie EBICS BTF in den nächsten Jahren anwenden. Für diese Frage sind Anfang 2016 nationale Konsultationen vorgesehen, die von der EBICS Working Group begleitet werden.

Sabine Wenzel

EBICS – Chancen der Internationalisierung

Thomas Stosberg, GTB Product Management, Deutsche Bank AG

Die Schweiz ist als drittes Land neben Deutschland und Frankreich der EBICS-Gesellschaft beigetreten und markiert damit den nächsten Schritt zur Internationalisierung von EBICS. Hat EBICS das Potenzial zu einem internationalen Standard und ist dieser im Interesse von Kunden und Banken?


Die verschiedenen Gremien eines Landes, die sich mit der Abwicklung von (nationalem) Zahlungsverkehr beschäftigen, sind bestrebt, im Interesse von Kunden und Banken eine stabile und standardisierte Zahlungsverkehrslösung anzubieten. Die Adaption eines neuen Standards setzt immer eine starke Motivation voraus – meistens resultierend aus Problemen mit der technischen Sicherheit und/oder den Kosten für den Betrieb der bisherigen Lösung; oder anders formuliert: Länder mit einer praktikablen Lösung für alle lokalen Marktteilnehmer werden sich mit hoher Wahrscheinlichkeit nicht mit der Adaption eines neuen Standards auseinandersetzen. Für alle Länder, die sich aber mit einem neuen Standard beschäftigen, könnte EBICS eine geeignete Option sein.

Die Kunden-Sicht

Die Zielkunden von EBICS – Unternehmen jeder Größe, von Kleinstbetrieben bis zu internationalen Konzernen – suchen eine Zahlungsverkehrslösung, die zwei Grundvoraussetzungen erfüllt: zum einen geringe Kosten und zum anderen eine einfache, sichere, revisionskonforme, automatisierte und standardisierte Anbindung der eigenen Infrastruktur an alle Banken (bezogen auf die Bankkommunikation und die genutzten Zahlungsverkehrsformate). Letztere erlaubt eine gleichartige Integration aller Bankpartner mit der Möglichkeit, den Zahlungsverkehr flexibel auf verschiedene Banken zu verteilen und auf technische Probleme im Rahmen einer Notfallplanung reagieren zu können.

EBICS kann diese Anforderungen aus Kundensicht vollständig erfüllen. Bezogen auf die Implementierung in Deutschland kann sogar die vollständige Prozessautomatisierung durch den Einsatz digitaler Signaturen ohne Nutzung von Zertifikaten und einer „Corporate Seal“-Autorisierung erreicht werden.

Die Weiterentwicklung, im deutschen Markt das CGI-MP-XML-Format für die Abwicklung von weltweitem Zahlungsverkehr anzubieten, hat zusätzlich die Grundlage geschaffen, EBICS als globale Bankkommunikation alternativ zu einer SWIFT- bzw. einer Host-to-Host-Anbindung für Kunden zu etablieren.

Die Bank-Sicht

Banken können zukünftig nicht mehr mit proprietären technischen Lösungen am Markt bestehen. Eine bankindividuelle technische Lösung (Bankkommunikation und Zahlungsverkehrsformat) wird von Kunden weder positiv als Alleinstellungsmerkmal und Verkaufsargument wahrgenommen, noch kann sie aus Bankensicht als betriebswirtschaftlich rentable Lösung eingesetzt und gepflegt werden.
Entsprechend wird der Wettbewerb zwischen Banken ausschließlich auf der Grundlage von angebotenen Bankdienstleistungen und deren Preis stattfinden. Die Erwartungshaltung der Kunden ist, dass die zugrundeliegende technische Lösung für Zahlungsverkehr ähnlich standardisiert ist wie Strom aus der Steckdose.

Die Einführung von EBICS in Frankreich hat gezeigt, dass die Auswirkungen eines gemeinsamen Standards auf die eigene Kundenbasis und die Erträge eher gering sind. Dies hängt damit zusammen, dass die Kundenschnittstellen beider Länder unterschiedlich sind und generell Kunden die Auswahl ihrer Bankbeziehungen nicht von den angebotenen Zugangskanälen abhängig machen.
Bezogen auf die Kundenschnittstelle bietet EBICS für Banken die Möglichkeit, einen solchen standardisierten Service für mehrere Länder anzubieten. Daneben kann EBICS auch als Clearing-Zugang für SEPA-Zahlungen verwendet werden.


EBICS als Chance zur Internationalisierung 
      
EBICS ist aus Kundensicht eine attraktive Bankkommunikation. Für Banken bietet sich mit EBICS die Möglichkeit einen standardisierten Zugang für mehrere Länder auf Grundlage einer Infrastruktur anzubieten. Dies ist auch dann zutreffend, wenn eine Bank primär nur in einem Land tätig ist, da man eigene Kunden mit Niederlassungen im SEPA-Raum ohne größere Investitionen unterstützen könnte. Durch die bereits erfolgte Adaption von EBICS in den beiden größten europäischen Ländern und der Schweiz gibt es schon jetzt eine signifikante Anzahl von EBICS-Nutzern außerhalb der Kernmärkte, die sich stetig erhöht und ebenfalls zur offiziellen Etablierung in anderen Ländern und bei weiteren Banken beitragen wird. Eine weitere Verbreitung von EBICS wäre zum Vorteil aller Marktteilnehmer und ist für Länder mit entsprechendem Handlungsdruck die mit Abstand beste Option für die Neugestaltung der Abwicklung des Zahlungsverkehrs.

Thomas Stosberg

Wie sich EBICS verbessern lässt, Teil 7 – Automatisches Bankschlüssel-Update: Geht das überhaupt?



Gemäß EBICS-Spezifikation werden Daten stets signiert und verschlüsselt übertragen. Dies gilt für beide Kommunikationsrichtungen: Kunde > Bank und Bank > Kunde. In Deutschland sind die dafür verwendeten Schlüssel theoretisch unbegrenzt gültig. In Frankreich ist zumindest die Gültigkeit der Zertifikate limitiert. Aus Sicherheitsgründen ist es unabdingbar, dass die Schlüssel regelmäßig erneuert werden. Für die Kundenseite bringt EBICS bereits Funktionen für einen automatisierten Schlüsselwechsel eines einmal initialisierten EBICS-Teilnehmers mit. Die automatisierte Erneuerung der Bankschlüssel hingegen gestaltet sich in der Praxis schwieriger. Ein „weicher Schlüsselwechsel“ ist eine Lösung.



Weshalb Banken ihre EBICS-Schlüssel ungern wechseln

Das EBICS-Kundensystem kann die öffentlichen Bankschlüssel zur Authentifikation (Identifikation der Bank) und Verschlüsselung der Datei-Einreichungen mit der Auftragsart HPB bei der Bank herunterladen. Falls das Kundensystem ungültige oder nicht mehr aktuelle Bankschlüssel nutzt, erhält es gemäß der EBICS-Spezifikation den negativen Return-Code EBICS_BANK_PUBKEY_UPDATE_REQUIRED.

Dies zieht folgende Probleme nach sich:
  • Sobald der EBICS-Client den Return-Code EBICS_BANK_PUBKEY_UPDATE_REQUIRED erhält, sollte er die aktuellen Bankschlüssel per HPB abholen. Dieser Prozess wird von EBICS-Clients nicht immer hinreichend unterstützt.
  • Nach einer erneuten Abholung der Bankschlüssel müssen Schlüssel, die nicht CA- und zertifikatsbasiert sind, im EBICS-Client manuell per Hashwert-Eingabe freigeschaltet werden.
  • EBICS-Clients sind häufig automatisiert im Einsatz. Die Notwendigkeit, bei der Erneuerung der Bankschlüssel manuell eingreifen zu müssen, z. B. erneute Schlüsselabholung oder Schlüsselfreischaltung, wird meistens nicht oder zu spät erkannt. Störungen sind somit vorprogrammiert.
Aus diesen Gründen schrecken Betreiber von EBICS-Bankrechnern vor einem Wechsel der Bankschlüssel zurück. Die folgenden Maßnahmen können Abhilfe schaffen.

Der Weg zum unbeschwerten Bankschlüssel-Wechsel

Um Bankschlüssel und ‑zertifikate ohne Probleme regelmäßig erneuern zu können, sollte zunächst ein „weicher Schlüsselwechsel“ ermöglicht werden. Das heißt, nicht alle Kunden müssen von einem auf den anderen Tag ihre Bankschlüssel aktualisieren.

Ein solcher weicher Schlüsselwechsel ist möglich, wenn der EBICS-Bankrechner mit alten und neuen Bankschlüssel-Paaren parallel arbeiten kann. EBICS-Clients, die einen Wechsel erkennen und die Aktualisierung (ggf. auch automatisch) durchführen, nutzen den neuen Schlüssel, die anderen Clients weiter den alten. Im letzteren Fall kann die Bank die betreffenden Kunden ansprechen.

Als weitere Maßnahme muss der EBICS-CR EB-14-12 auf Client- und Serverseite umgesetzt werden. Der CR ist für die nächste EBICS-Spezifikation beschlossen und sieht u. a. vor, dass bei der Bankschlüssel-Abholung die neuen Bankschlüssel mit dem alten Bank-Authentifikationsschlüssel signiert sind (siehe www.ebics.org). Lediglich bei der ersten Bankschlüssel-Abholung ist dann noch eine manuelle Freischaltung im EBICS-Client erforderlich. Bei jedem weiteren HPB-Auftrag wird die Signatur geprüft, und die Bankschlüssel werden somit nach erfolgreicher Prüfung im EBICS-Client automatisch freigeschaltet.

Mit diesem Funktionsumfang ist es möglich, die Bankschlüssel vollautomatisiert zu erneuern.

Michael Lembcke