Gleichberechtigung für EBICS – Anwendungsfall Instant Payments Bulk

Auch wenn es auf den ersten Blick merkwürdig erscheint: In Deutschland werden derzeit auch für die Kunde-Bank-Beziehung Instant-Payments-Anwendungsfälle für das dateibasierte EBICS-Transferprotokoll diskutiert und spezifiziert. Die Anwendungsfälle konzentrieren sich in diesem Fall auf das Firmenkundengeschäft. Insbesondere größere Firmenkunden haben die Anforderung, Sammeleinreichungen an die Banken übermitteln zu können. Daher hat man sich hierzu in der DK etwa für die SEPA-Credit-Transfer-Einreichung auf die spezielle Form der Sammeleinreichung von Instant Payments (Instant Payments Bulk) verständigt, basierend auf dem XML-Format ISO pain.001. Auch für die Rückrichtung der Zahlungsinformationen in der Zahlungskette – vom Empfänger beziehungsweise den Banken – werden entsprechende Geschäftsvorfälle und Formate (etwa Payment Status im Format pain.002) festgelegt. Die so spezifizierten Geschäftsvorfälle und Formatvorgaben werden in Deutschland voraussichtlich ab November 2019 offiziell gültig sein und können von Banken optional angeboten werden.

Was ist die Besonderheit von Instant Payments Bulk? 

Der Unterschied zu reinen Instant-Payments-Prozessen, die beispielsweise am „Point of Sale“ synchron ausgeführt werden, liegt im Fall Instant Payments Bulk über EBICS darin, dass die Einreichung selbst hier nicht als „instant“ gilt. Vielmehr handelt es sich um eine Einreichung zur Ausführung als Instant Payments (SCTINST). Die ausführende Bank des Einreichers zerlegt die Sammeldatei in die einzelnen Transaktionen und führt die Zahlungen als SCTINST aus, sofern der Zahlungsempfänger auf diesem Wege erreichbar ist. Erst ab diesem Zeitpunkt gelten die Bedingungen für die SCTINST. Die Daten der Rückrichtung werden dann von der Bank des Einreichers wieder auf dem EBICS-Kanal an den Einreicher zurückgeliefert. Das bedeutet konkret in diesem Fall für den Standardweg, dass die Daten von der Bank zur Abholung im EBICS-Bankrechner bereitgestellt werden. Im Firmenkundengeschäft nimmt die Bank in der für EBICS definierten Beziehung zwischen Kunde und Bank bekanntlich ausschließlich die passive Rolle ein. Eine aktive Benachrichtigung an den Sender über EBICS ist daher im Firmenkundengeschäft derzeit nicht vorgesehen.

Instant Payments Bulk weil es dringend ist? 

Firmenkunden wollen mit den neuen Geschäftsvorfällen Zahlungen gesammelt und gleichzeitig kurzfristiger einreichen. Auf diese Weise kann mit dem Geld bis zur Einreichung länger gearbeitet werden. Zudem sind die Zahlungen dann sofort garantiert und ausgeführt. Hierbei ist wie für die Empfangsseite auch für den Rückweg eine unverzügliche Benachrichtigung gewünscht. Da im EBICS-Rollenmodell derzeit eine aktive Benachrichtigung des Kunden durch die Bank nicht vorgesehen ist, werden dafür derzeit in Deutschland verschiedene Schnittstellen (APIs) und Verfahren (etwa E-Mail-Push) diskutiert. Dabei ist es eigentlich doch relativ einfach: Warum nicht das bilaterale EBICS nutzen, wie es heute bereits im Interbankenverkehr etabliert ist. Beide Parteien, Kunde und Bank, haben dabei gleichberechtigte Sende- und Empfangsrollen. Es bedarf lediglich der Erweiterung der EBICS-Kundenanwendungen um vereinfachte EBICS-Server-Funktionen. Die Firmenkunden, die Instant-Payments-Bulk-Zahlungen einreichen, könnten dann Daten aus diesen Prozessen auch aktiv empfangen. Solche Anwendungen sind sogar bereits am Markt verfügbar. Die neuen Geschäftsvorfälle sind somit vollständig über den bestehenden Standard und mit den bestehenden Lösungen umsetzbar. Zeit- und aufwandsträchtige Diskussionen über zusätzliche Schnittstellen, Protokolle und Vereinbarungen können entfallen.

Michael Lembcke

10 Jahre EBICS – Eine Erfolgsgeschichte

Zu Beginn des Jahres 2008 war es endlich soweit: Jeder Firmenkunde in Deutschland konnte ab diesem Zeitpunkt sicher sein, dass er mit einem einheitlichen und sicheren Verfahren im Electronic Banking alle Banken und Sparkassen über das Internet erreichen konnte, um Überweisungen, Lastschriften und andere Aufträge zu senden und Kontoinformationen abzuholen. Die für Firmenkunden überaus wichtige Multibankfähigkeit wurde durch das DFÜ-Abkommen der Deutschen Kreditwirtschaft (DK) garantiert, das alle Kreditinstitute in Deutschland ab dem 1. Januar 2008 verpflichtete, ein neues einheitliches Verfahren namens EBICS (Electronic Banking Internet Communication Standard) im Datenaustausch mit Firmenkunden zu unterstützen.Auch wenn bereits damals abzusehen war, dass EBICS erfolgreich sein würde, war doch nicht mit der Erfolgsgeschichte zu rechnen, die EBICS seitdem geschrieben hat. EBICS ist inzwischen ein europäischer Standard für den sicheren Datenaustausch, nicht nur im Electronic Banking mit Firmenkunden, sondern auch im Interbankenzahlungsverkehr und hat das Zeug, auch für aktuelle Entwicklungen wie Instant Payments zum Standard zu werden. Doch davon später mehr.

Die Vorgeschichte: Der Weg zu EBICS

Genaugenommen ist EBICS älter als 10 Jahre, denn die eigentliche Geburtsstunde von EBICS ist der 18. Juli 2003. An diesem Tag stellte die SIZ GmbH auf einer Sondersitzung des damaligen ZKA (Zentraler Kredit Ausschuss = alter Name der DK) ein internetbasiertes Electronic-Banking-Verfahren namens WOP vor mit dem Ziel, entweder dieses Verfahren oder zumindest die Designgrundlagen dieses Verfahrens zur Basis eines neuen, multibankfähigen Internetstandards für die gesamte Deutsche Kreditwirtschaft zu machen. Das DFÜ-Abkommen des ZKA garantierte seit 1995 im Firmenkundengeschäft ein multibankfähiges Verfahren, BCS-FTAM. Doch dieses Filetransferverfahren basierte auf dem OSI-Standard FTAM für X.25- und ISDN-Verbindungen und war im Internetzeitalter längst nicht mehr „state of the art“. Trotz einiger Versuche war es seitdem nicht gelungen, einen gemeinsamen IP-basierten Standard zu etablieren. Es gab herstellerspezifische (z. B. MultiWeb, MCFT) und verbandsinterne Lösungsansätze (BCS-FTP), denen jedoch das Entscheidende fehlte: die Multibankfähigkeit. An diesem 18. Juli 2003 nun schien die Zeit reif für einen neuen Standard. Spontan bildete sich auf der Sondersitzung eine Arbeitsgruppe der DK mit dem Auftrag, einen gemeinsamen IP-basierten multibankfähigen Kommunikations- und Sicherheitsstandard zu entwickeln. Auf den Designgrundlagen von WOP entstand EBICS. Das von der Arbeitsgruppe erstellte Grobkonzept war die Basis für die EBICS-Spezifikation, die in der Version 1.0 bereits Mitte 2005 vorgelegt werden konnte.

EBICS war keine Revolution, sondern basierte von Beginn an auf einem evolutionären Konzept. Die Elemente von BCS-FTAM, die sich seit über 10 Jahren bewährt hatten, wurden beibehalten, und nur die Elemente, die nicht mehr dem aktuellen Stand der Technik entsprachen, wurden neu konzipiert. So wurde das Konzept der Auftragsarten und damit die Anwendungsneutralität ebenso beibehalten wie die Autorisierung von Zahlungsdaten durch Elektronische Unterschriften (EU). Neu an EBICS war vor allem, dass die X.25- bzw. ISDN-basierte Kommunikation von BCS-FTAM durch ein modernes, auf Internetstandards basierendes XML-Kommunikationsprotokoll ersetzt wurde. Des Weiteren wurde die EU durch das Konzept der Verteilten Elektronischen Unterschrift (VEU) erweitert, die es Firmenkunden ermöglicht, Aufträge, die z. B. automatisiert aus der Buchhaltung an die Bank übertragen werden, unabhängig von Zeit und Ort mittels EU zu autorisieren und dabei auch mobile Endgeräte zu nutzen.

Die SIZ GmbH hat die Entwicklung von EBICS im Jahre 2003 angestoßen und seitdem kontinuierlich begleitet. 2005 wurde das SIZ die Leitstelle der Deutschen Kreditwirtschaft für EBICS (Anlage 1 des DFÜ-Abkommens) und für die Datenformate im Electronic Banking und Zahlungsverkehr (Anlage 3 des DFÜ-Abkommens).

Die Sparkassen-Finanzgruppe war 2006 die erste Institutsgruppe in Deutschland, die EBICS flächendeckend unterstützte. 2007 folgten dann die genossenschaftlichen und öffentlichen Institute sowie Großbanken und andere Privatbanken.

EBICS: Der sichere Tunnel in unsicheren Netzen

Grundlage für die Entwicklung von EBICS war vor allem ein detailliertes Sicherheitskonzept. Da Daten im Electronic Banking und Zahlungsverkehr besonders geschützt werden müssen, wurden aus den möglichen Bedrohungen Sicherheitsanforderungen und Sicherheitsmaßnahmen für EBICS abgeleitet, die durch verschiedene kryptografische Maßnahmen die Vertraulichkeit, Integrität und Authentizität der Daten in potenziell unsicheren Netzen (z. B. Internet) garantieren. Dabei werden die Vertraulichkeit und die Integrität der Daten durch ein EBICS-spezifisches Verschlüsselungsverfahren gewährleistet, das zusätzlich zur TLS-Verschlüsselung auf der Transportebene eine End2End-Verschlüsselung der sensitiven Daten im Electronic Banking bietet. Die Authentizität der Kommunikation wird durch die Authentifikationssignatur eines jedes Datenpakets hergestellt. Die Autorisierung von Zahlungen erfolgt schließlich durch Elektronische Unterschriften, wobei je nach vertraglicher Vereinbarung zwischen Kunde und Bank verschiedene Berechtigungsmodelle zum Zuge kommen können (Einzel- und Mehrfachunterschriften, EU-Klassen, Limite etc.). Das Sicherheitskonzept wird seitdem regelmäßig überprüft und EBICS bei Bedarf weiterentwickelt, um das Verfahren an neue oder geänderte Bedrohungslagen und/oder technische Standards anzupassen. EBICS hat sich im Laufe der Jahre als ein überaus sicherer Standard bewährt: Bis zum heutigen Tag sind keine erfolgreichen Angriffe auf EBICS bekannt geworden.

Die wegweisenden Features von EBICS zur sicheren Übertragung sensitiver Daten:


2008: Die Einführung in Deutschland

Am 1. Januar 2008 war es dann soweit: Durch das DFÜ-Abkommen der Deutschen Kreditwirtschaft hatten sich alle Banken und Sparkassen in Deutschland verpflichtet, EBICS auf der Bankseite ab diesem Datum zu unterstützen. EBICS wurde von den Firmenkunden schneller als erwartet angenommen: Bereits im ersten Jahr migrierte ein Großteil der Firmenkunden von BCS-FTAM auf EBICS. Zu groß waren offenbar die Vorteile des neuen Verfahrens. Zu dem rasanten Erfolg von EBICS trug vor allem bei, dass die Übertragungsgeschwindigkeit des IP-basierten EBICS um ein Vielfaches höher war als bei FTAM, dass die Verwendung von Internetstandards die Einbindung in Firmen- und Banknetzwerke wesentlich vereinfachte und dass EBICS neue Features wie die Verteilte Elektronische Unterschrift bot. Entscheidend war aber, dass die für Firmenkunden zentrale Multibankfähigkeit durch das DFÜ-Abkommen der DK von Beginn an garantiert war. Erleichtert wurde der Umstieg dadurch, dass im Verfahren bereits Migrationsszenarien implementiert waren, die es ermöglichten, die Schlüssel für die Elektronische Unterschrift nahezu auf „Knopfdruck“ von BCS-FTAM auf EBICS umzustellen.

EBICS avanciert zum Interbank-Verfahren

Dass EBICS ein sehr sicheres Verfahren ist und gerade zur sicheren und schnellen Übertragung großer Datenmengen konzipiert ist, sprach sich schnell herum. So war es nicht verwunderlich, dass EBICS auch zum Kommunikationsstandard im Interbanken-Zahlungsverkehr avancierte. Vorreiter war hier die Deutsche Bundesbank, die bereits im Jahr 2008 EBICS als Kommunikationsverfahren für den SEPA-Clearer im Rahmen des EMZ einführte. Mittlerweile ist EBICS zum sicheren Austausch zwischen Banken und Clearinghäusern nicht mehr wegzudenken. Neben der Bundesbank setzt auch die EBA-Clearing im STEP2-Zahlungssystem auf EBICS und nicht zuletzt ist EBICS im sogenannten bilateralen Garagenclearing zwischen Banken seit vielen Jahren etabliert.
Auch für die Auslieferung von Daten durch Service-Rechenzentren wurde EBICS sehr schnell eingeführt. Im Jahr 2009 wurde hierzu die entsprechende Richtlinie der DK im Hinblick auf die EBICS-Unterstützung verabschiedet.

EBICS wird zum internationalen Standard

Bereits Ende 2006 wurde die französische Bankwirtschaft (CFONB) bei ihrer Suche nach einem neuen, sicheren und IP-basierten Kommunikationsverfahren auf EBICS aufmerksam. Ähnlich wie in Deutschland stand man auch in Frankreich vor der Situation, einen in die Jahre gekommenen Standard (ETEBAC) durch ein zukunftweisendes Verfahren abzulösen. Nach einer intensiven Evaluation verschiedener Alternativen erwies sich EBICS als das geeignete Verfahren und es kam ab 2008 zu einer Kooperation zwischen der französischen und deutschen Kreditwirtschaft. Im Sommer 2010 wurde dann in Brüssel die europäische EBICS-Gesellschaft nach belgischem Recht, die EBICS SCRL, gegründet. Inzwischen ist EBICS in Frankreich flächendeckend eingeführt und genauso erfolgreich wie in Deutschland. Mit der Gründung der EBICS-Gesellschaft wurde das SIZ zum offiziellen technischen Büro der Gesellschaft (europäische EBICS-Leitstelle) und koordiniert seitdem die EBICS-Workinggroup, also das Gremium der Gesellschaft, das für die Weiterentwicklung von EBICS zuständig ist.

Mit der Einführung von EBICS in Frankreich etablierten sich allerdings unterschiedliche „Dialekte“ in den beiden Ländern. Ganz pragmatisch im Vorgehen akzeptierte man, dass es aufgrund unterschiedlicher Anforderungen in den beiden Ländern auch unterschiedliche Ausprägungen des EBICS-Standards gab. Dies betraf vor allem die Darstellung von fachlichen Geschäftsvorfällen, die in Deutschland durch die bekannten dreistelligen Auftragsartenkürzel erfolgt, während in Frankreich Formatparameter zur Kennzeichnung genutzt werden. Daneben gab es weitere Unterschiede, so z. B. dass in Frankreich die verwendeten kryptografischen Schlüssel im X.509-Standard genutzt werden, während in Deutschland weiterhin ein aus BCS-FTAM stammendes proprietäres Format verwendet wird. In beiden Ländern wurde zwar im Kern EBICS „gesprochen“, aber bei der länderübergreifenden Kompatibilität hakte es doch, man sprach und spricht unterschiedliche „Mundarten“.

So richtig deutlich wurde dieses Manko, als 2015 mit der Schweiz ein weiteres Land Mitglied der EBICS-Gesellschaft wurde. Die Schweiz stand vor dem Dilemma, welchem „Dialekt“ sie denn nun folgen oder ob sie gar eine dritte, schweizerische „Mundart“ sprechen sollte.

Es war offensichtlich, dass unterschiedliche EBICS-Dialekte für die gewünschte Verbreitung des Standards in Europa nicht förderlich sind. Die Lösung konnte nur in einer Harmonisierung von EBICS liegen, die in der neuen EBICS V3.0 endlich angegangen wurde. Vor allem wurde durch die Einführung von BTFs (Business Transaction and Formats) eine zukunftsfähige, flexible und vor allem einheitliche Kennzeichnung von Geschäftsvorfällen für EBICS eingeführt. Zudem konnten weitere wichtige Harmonisierungen im EBICS-Standard erreicht werden, die EBICS zu einem einheitlichen internationalen Standard machen. Denn im elektronischen Zahlungsverkehr ist es wichtig, dass sich Partner erreichen, verstehen und vertrauen können. Für das Verstehen sorgen vor allem gemeinsame SEPA-Datenformate und die EBICS-einheitliche Kennzeichnung durch BTFs, für das Erreichen und das Vertrauen sorgt EBICS als gemeinsamer Kommunikations- und Sicherheitsstandard. EBICS V3.0 ist verabschiedet und kann ab Herbst 2018 eingeführt werden. In Deutschland wird EBICS V3.0 durch das DFÜ-Abkommen der DK ab 2021 verpflichtend für alle Institute der Deutschen Kreditwirtschaft.

10 Jahre EBICS: Rückblick und Ausblick

Heute gilt es zurückzublicken auf 10 Jahre EBICS in Deutschland. Was als Versuch begann, unterschiedliche, inkompatible  Entwicklungen im Electronic Banking in Deutschland einzufangen und die Multibankfähigkeit für Firmenkunden auch im Internetzeitalter zu gewährleisten, entwickelte sich zu einer Erfolgsgeschichte, die die nationalen Grenzen längst überwunden hat. Als offener Standard zum sicheren Austausch von Dateien ist EBICS weltweit bekannt und wird auch in Ländern genutzt, die (noch) nicht Mitglied in der EBICS-Gesellschaft sind. EBICS ist mittlerweile nicht nur ein Kunde-Bank-Verfahren, sondern ein etablierter Standard im Interbankenzahlungsverkehr und wird voraussichtlich auch eine wichtige Rolle sowohl in der Einreichung als auch im Clearing von Instant Payments spielen.

Doch was sind die Gründe für diesen lang anhaltenden Erfolg? Mir scheinen hier vor allem folgende Punkte ausschlaggebend:
  • Die Anwendungsneutralität von EBICS
    EBICS ist anwendungsneutral und kann die unterschiedlichsten Daten übertragen, da weder Formate noch bankfachliche Festlegungen in das Übertragungsprotokoll modelliert wurden. Darum kann EBICS so leicht in unterschiedlichen Ländern  und in unterschiedlichen Anwendungsszenarien eingesetzt werden.
  • Die Sicherheitsfeatures von EBICS
    Indem EBICS voneinander unabhängige kryptografische Verfahren für die Vertraulichkeit der Daten, für die Authentizität der Partner und der Kommunikation und für die Autorisierung von Aufträgen kombiniert, bietet es einen sicheren Tunnel in unsicheren Netzen.
  • Die Multibankfähigkeit
    Sowohl in Deutschland als auch in Frankreich ist EBICS ein multibankfähiges Verfahren. In Deutschland wird die Multibankfähigkeit durch das DFÜ-Abkommen der DK garantiert.
  • Die Anpassungsfähigkeit von EBICS
    Als offener Standard lässt sich EBICS durch seine Architektur an unterschiedliche Anforderungen anpassen und wird durch die EBICS-Gesellschaft kontinuierlich weiterentwickelt.
EBICS hat viel Vergangenheit hinter sich, sogar noch mehr als die 10 Jahre seit der verpflichtenden Einführung in Deutschland. Doch die Geschichte ist noch lange nicht zu Ende: Als offenem und sicherem Kommunikationsstandard steht EBICS die Zukunft offen. Die Erfahrung, dass die grundlegenden Designentscheidungen auch heute noch tragen und dass die Flexibilität des Verfahrens es ermöglicht, EBICS an neue Anforderungen anzupassen, stimmt zuversichtlich, dass EBICS weiterhin ein wichtiger Baustein im elektronischen Zahlungsverkehr in Europa sein wird.

Dieter Schweisfurth

Leiter Electronic Banking
SIZ GmbH

EBICS im „Private Banking“ – Anwendungsfälle ausserhalb des Zahlungsverkehrs

EBICS wird gemeinhin als sicheres Übertragungsprotokoll für den Austausch von Zahlungsverkehrsdateien (Aufträge und Auszüge) angesehen. Insbesondere im Segment der Firmenkunden ist diese Anwendung mit Sicherheit auch die am weitesten verbreitetste. Ich möchte an dieser Stelle einen anderen, in der Schweiz sehr aktuellen Anwenderfall vorstellen: EBICS-Angebote im Private Banking.


Hiesige Privatbanken haben aktuell einen noch schwereren Stand als bisher und geraten von mehreren Seiten unter Druck. Regulierung, Margendruck, besser informierte Kunden, das Aufbrechen der Wertschöpfungskette und die Digitalisierung sind nur einige Themen, welche heute auf der Agenda von Privatbankvorständen anzutreffen sind. Im Bereich Automation beobachten wir in der Schweiz zurzeit eine erwähnenswerte EBICS-Initiative - den Einsatz als Schnittstelle für Börsengeschäfte.

Auf Anregung grösserer institutioneller Anleger und professioneller Vermögensverwalter, welche ihrerseits ebenfalls ein Interesse an mehr Automation haben, werden neuerdings vermehrt EBICS-Transaktionsarten aus dem Ordergeschäft angeboten. Typischerweise sind dies Auftragsarten für das Einliefern und Verarbeiten von Börsenaufträgen (Upload) und Auftragsbestätigungen, Abrechnungen und Depotauszüge (Download). Als Formate kommen die SWIFT (MT5xx) und PDF zum Einsatz. Konkret umgesetzt werden sie als institutsspezifische Auftragsarten (XYZ).

Schaut man sich nun die gesamte Wertschöpfungskette einer Börsentransaktion an, so kann diese im Idealfall voll automatisiert durchgeführt werden. Das Portfoliomanagement-System des Vermögensverwalters erkennt ein Missverhältnis der Anlagestrategie zum Portfolio des Kunden und generiert den Börsenauftrag für die Umschichtung. Mittels der Standards EBICS und SWIFT (z. B. MT502) wird der Auftrag automatisch beim Institut ausgelöst und die Bestätigung abermals über EBICS zurückgemeldet (z. B. MT509). Diese Automation reduziert auf allen Seiten den Aufwand der Abwicklung massiv. Zusätzlich reduziert sich gegenüber den heute noch weit verbreiteten manuellen Prozessen die Fehlerquote in grossem Masse.

Zusammengefasst kann man festhalten, dass innovative Privatbanken EBICS bereits heute anbieten oder in Kürze mit Angeboten im Markt auftreten werden. Da traditionellerweise der Zahlungsverkehr in diesem Geschäft eine nicht so dominante Rolle wie bei Universalbanken einnimmt, verlagert sich der EBICS-Schwerpunkt auf Börsentransaktionen und das Vermögensausweis-Reporting. Da auch Vermögensverwalter und institutionelle Anleger mehr Automation anstreben, entsteht eine Win-Win-Situation. Ideal wäre es, wenn sich die Standardisierungsgremien möglichst schnell auf universelle und einheitliche Auftragsarten (oder neu ab EBICS 3.0 sog. BTF-Spezifikationen) und Formate festlegen könnten.

Carsten Miehling

EBICS 3.0 mit BTF macht den Weg frei

Der europäische Zahlungsverkehr wächst dank SEPA und EBICS zusammen. Mit EBICS 3.0 verschmelzen nun auch die verschiedenen EBICS-Dialekte. Das Konzept dahinter heißt BTF. BTF steht für Business Transaction Format. BTF  vereinheitlicht die Beschreibung der zu transferierenden Formate in Deutschland, Frankreich und der Schweiz. Diese Harmonisierung macht den Weg frei für eine wachsende EBICS-Community.


Die neue EBICS 3.0-Spezifikation ist ab dem 27. November 2018 gültig. Termine zur Einführung können in den einzelnen Ländern abweichen. EBICS 3.0 bringt folgende Vereinheitlichungen:
  • einheitliche EBICS-Version in den drei EBICS-Ländern
  • einheitliche Identifikation der Geschäftsprozesse und Formate (BTF)
  • einheitliches X.509-Format für die Schlüsselablage
Damit ist die Kompatibilität der EBICS-Dialekte gewährleistet.

Optionale Features

Bisher wurden nicht alle EBICS-Features in allen Ländern angeboten. Mit EBICS 3.0 können die Banken ihren Kunden alle optionalen EBICS-Features individuell anbieten. Dazu gehören:
  • Zertifikate
    CA-signierte Zertifikate
    selbstsignierte Zertifikate
  • Berechtigungsmodell
    deutsche T-, A-, B- und E-Autorisierungen
    französische T- und TS-Autorisierungen
    Abschaffung der Fax-Autorisierung
  • Verteilte Elektronische Unterschrift (VEU)
    Die Nutzung der VEU ist in Deutschland obligatorisch, ansonsten optional.
Neuerungen

Die EBICS 3.0-Spezifikation enthält Neuerungen, die bei der Einführung berücksichtigt werden müssen:
  • Mapping
    Die Anpassung von Formatparametern und Auftragsarten an BTF-Standards wird durch Zuordnungsübersichten (Mappings) erleichtert. Auf nationaler Ebene sind Zuordnungsübersichten für Auftragsarten und Formatparameter definiert. Die EBICS-Clients müssen diese Zuordnungen umsetzen. In der Übergangszeit kann es zu Mischformen kommen: Bank A unterstützt bereits BTF, während Bank B nur EBICS 2.x anbietet.
  • Erweiterte Steuerung
    Mit BTF kann nun der EBICS-Client den Bankrechner steuern. Bisher steuerte ausschließlich der Bankrechner die Prozesse. Diese Client-Steuerung öffnet ein neues Kapitel in den Prozessabläufen. Der EBICS-Nutzer kann z. B. vorgeben, ob sein Auftrag direkt in die VEU gehen soll oder die Berechtigung zu prüfen ist. Bei Abweichungen zwischen der BTF-Vorgabe und den Rechten auf dem Bankrechner definiert die EBICS-Spezifikation das Verhalten.
  • Einheitliches Protokoll
    Das strategische Kundenprotokoll in der EBICS 3.0-Spezifikation ist das HAC. Damit wird das alte textbasierte Kundenprotokoll PTK vollständig abgelöst. Das HAC-Protokoll ist maschinenlesbar, da es auf XML basiert. In der Übergangszeit werden PTK und HAC bei einem EBICS-Versionsmix parallel existieren. Nach der EBICS 3.0-Spezifikation sollen BTF-Aufträge nicht mehr im alten PTK angezeigt werden. Wer das dennoch möchte, kann das PTK-Format proprietär erweitern.
EBICS 3.0 ebnet den Weg für eine wachsende EBICS-Community

EBICS 3.0 europäisiert die Nutzung von EBICS. Das ist gut. Damit können Banken neue Märkte und Kunden gewinnen. Der Kunde erhält durch die Flexibilisierung mehr Möglichkeiten. EBICS nutzt nun ausschließlich etablierte Standards.

Existierende Schnittstellen und Vertragskonditionen können fast unverändert bleiben. Das BTF kann im Hintergrund konfiguriert werden. Für Bankrechner und EBICS-Clients bleibt die Fachlichkeit im Vordergrund. Die EBICS 3.0-Spezifikation und die Mappingvorgaben unterstützen das.

Die Einführung von EBICS in neuen Märkten und Ländern ist mit EBICS 3.0 wesentlich erleichtert worden. Die Vorteile von EBICS 3.0 sind unübersehbar. Daher ist eine zeitnahe Einführung in den bestehenden EBICS-Ländern zu empfehlen.

Michael Lembcke

EBICS 3.0 in den Startlöchern

Am 19. Mai 2017 fand im Auditorium der Fédération Bancaire Française (Französische Bankenvertretung) ein Themenworkshop des CFONB zur Vorstellung Version 3.0 des EBICS-Protokolls statt.

Mehr als 120 Personen aus unterschiedlichen Bereichen - Banken, Hersteller, Unternehmen, usw. - nahmen an der Veranstaltung teil, im Rahmen derer verschiedene Redner das Grundkonzept dieser neuen Version vorstellten.


Nachdem die Geschäftsführung und einige Vertreter der EBICS SCRL (www.ebics.org) eine Übersicht vorgestellt hatten, wurden einige entscheidende Daten aus der Geschichte von EBICS präsentiert. Sie haben daran erinnert, dass der EBICS-Standard nun nicht mehr in den Kinderschuhen steckt und belegten dies damit, dass bereits vor 12 Jahren die Implementierung in Deutschland begann und vor mehr als 7 Jahren EBICS in Frankreich übernommen wurde. Bei den Schweizer Finanzinstituten wurde dieser Weg erst 2015 eingeschlagen. Eine Präsentation zeigte die derzeitige Verbreitung von EBICS, die sich von der Iberischen Halbinsel bis zur Ostsee und von Irland bis nach Italien erstreckt. Abgesehen von Deutschland, Frankreich, der Schweiz und Portugal ist der Verwendungsgrad in den entsprechenden Staaten jedoch sehr unterschiedlich.

Im Anschluss wurden die Gründe für den Erfolg von EBICS in den vier Ländern (zahlreiche Artikel zu diesem Thema finden Sie in diesem Blog) ebenso wie die Hindernisse einer schnellen gesamteuropäischen Ausweitung genannt. Zu diesen gehören insbesondere:
  • die Unterschiede in der Identifikation der Zahlungsströme zwischen deutschen, französischen und Schweizer Varianten
  • die Verwendung der X.509-Zertifikate in Frankreich und des Schlüsselpaares in Deutschland
  • der Einsatz der verteilten elektronischen Unterschrift in Deutschland und in der Schweiz, aber nicht in Frankreich
Auf die Auflistung der Gründe folgte eine Beschreibung der tiefgreifenden Veränderungen, die die Version 3.0 mit sich bringen wird, vor allem hinsichtlich der Harmonisierung durch die Integration des BTF-Konzepts (Business Transaction Format) und der möglichen Generalisierung der verteilten elektronischen Unterschrift. Weitergehende Informationen zu diesen Themen erhält man über die Website der EBICS SCRL.

Der zweite Teil des Workshops bestand aus einer Diskussionsrunde zum Thema: Warum brauchen wir eine einheitliche EBICS-Version?

Für die Akteure aus dem EBICS-Bereich war dies die Möglichkeit folgende Themen anzuschneiden und zu diskutieren:
  • Vorteile von EBICS aber auch Grenzen der 2.x Version aufgrund mangelnder Harmonisierung
  • Erwartungen an die neue Version und Vorteile, die durch die Harmonisierung entstehen
  • Möglichkeiten der geografischen Ausweitung, auch auf andere Kontinente
    Hier wurde insbesondere Afrika angesprochen, da dort bereits einige Banken den EBICS-Service in einigen französischsprachigen Ländern anbieten.
  • Möglichkeiten der Verwendung von EBICS über die Unternehmen-Bank-Beziehung hinaus
    Hier wurde vor allem die Verwendung von EBICS für STEP2 und RT1 (Instant Payments) mit der EBA Clearing angesprochen.
  • Migrationsmodalitäten
  • Aspekte der zukünftigen Weiterentwicklung des diskutierten Protokolls, die auf die Tagesordnung gesetzt werden können, wie die Vereinheitlichung des AC-Zertifikates und die Möglichkeit Zertifikate zu verwenden, die nicht auf physischen Medien gespeichert sind, um so die Industrialisierung der EBICS-Signaturlösungen für Mobilgeräte zu vereinfachen
  • aktuelle Verwendung der verteilten elektronischen Unterschrift in Deutschland und in der Schweiz und Vorteile, die durch ihre Verwendung in Frankreich entstehen könnten
Diese Veranstaltung war somit der offizielle Startschuss für die Version 3.0. Ab November 2018 wird sie verfügbar sein; ab diesem Zeitpunkt müssen alle Banken die neue Version, zusätzlich zu der in den verschiedenen Gemeinschaften gültigen Version 2.x, anbieten.

Für Unternehmen besteht keine Verpflichtung ebenfalls zu diesem Zeitpunkt zu migrieren. Für sie ist eine schlagartige Migration von der 2.x zur 3.0 nicht vorgesehen. Die neuen Gemeinschaften hingegen könnten diese neue Version direkt einsetzen.

Es liegt also viel perspektivische Arbeit vor den Herstellern und Banken. Um ihnen dabei zu helfen, wird im Juli 2017 ein Implementationguide auf Seiten der EBICS SCRL und des CFONB zur Verfügung gestellt.

Ich stelle EBICS häufig in verschiedenen Ländern in Europa und darüber hinaus vor und glaube, dass die Harmonisierung die Werbetätigkeit für dieses Produkt wesentlich erleichtern wird. Ich bin überzeugt davon, dass sie der Schlüssel zum Erfolg ist, damit schließlich der erste Buchstabe von EBICS „European“ bedeutet.

Was wäre, wenn aufgrund der Entwicklungen, die derzeit geprüft werden, der nächste Schritt das Worldwide EBICS wäre?...

Marc Dutech

EBA CLEARING führt EBICS als zusätzliches Übertragungsprotokoll für ihr Instant-Payment-System ein

Teilnehmer am EBA-Clearingservice können ab November 2017 sowohl SIANet als auch EBICS für die Verbindung zur neuen paneuropäischen Infrastruktur für Echtzeitzahlungen nutzen. Weitere Alternativen könnten später folgen.

EBA CLEARING hat angekündigt, dass zukünftige Teilnehmer an ihrer paneuropäischen Instant-Payment-Infrastrukturlösung neben SIANet auch den Electronic Banking Internet Communication Standard (EBICS) zum Austausch von Zahlungsverkehrsnachrichten mit der Plattform nutzen können. Das Unternehmen bietet das zusätzliche Übertragungsprotokoll EBICS mit der Einführung des Dienstes im November 2017 an. Ab Juni 2017 steht EBICS für die Testumgebung zur Verfügung.
Lesen Sie hier die Pressemitteilung der EBA CLEARING vom 09. März 2017: Pressemitteilung EBA CLEARING

Michael Lembcke

Wie sich EBICS verbessern lässt, Teil 9 – EBICS ist für den Dateitransfer beliebig großer Dateien geeignet. – Ja, aber …

Auch mit SEPA ändert sich das Datenverhalten im Zahlungsverkehr weiterhin. Neue Prozesse führen dazu, dass Dateien im Austausch zwischen Kunden und Banken sowie im bilateralen Austausch immer größer werden. Insbesondere in der Kunde-Bank-Beziehung spielt die Downloadfunktion für Datenabholungen (z. B. Kontoauszüge) über EBICS eine wichtige Rolle. Und zumindest hier scheint es noch Optimierungsbedarf zu geben. Bei besonders großen Dateien wird es mit dem erfolgreichen Download aus verschiedenen Gründen schwierig.


Um das Problem genauer zu beschreiben, muss man zunächst etwas tiefer in das EBICS-Protokoll einsteigen. Datenabholungen (Downloads) über EBICS erfolgen segmentweise immer für alle zur Clientanfrage passenden Daten. Ein EBICS-Client legt beim Empfang einer Anfrage alle Daten für eine Abholung immer in genau einer physischen Datei ab.

Im Downloadprozess von EBICS ermittelt der EBICS-Server nach Empfang eines Abholauftrages zunächst die Anzahl der Segmente, in denen die zu übertragende Datei an den Client übergeben wird. Diese Angabe wird mit dem ersten Segment an den Client zurückgegeben. Sie ist in EBICS verpflichtend. Anschließend ruft der Client jedes Folgesegment sequentiell nacheinander ab und legt die Datei bei sich an.

Bereits der Vorgang zum Zusammenstellen des ersten Segments mit der Gesamtanzahl auf dem EBICS-Server kann je nach Dateigröße und Auslieferungsart (z. B. ZIP-Archiv) längere Zeit beanspruchen. Es muss erst die vollständige Datei komprimiert und verschlüsselt erzeugt werden, damit in der ersten EBICS-Response die korrekte Anzahl an Segmenten an den EBICS-Client mitgeliefert werden kann. Bis der Client in der Initialisierungsphase eine Rückmeldung über die Segmentanzahl bekommt, kann es somit bei großen Datenmengen in der EBICS-Verbindung zu Timeout-Situationen und damit zu Abbrüchen kommen.

Hier liegt das Problem. Daher muss es zukünftig möglich sein, die EBICS-Response auf die EBICS-Initialisierungsanfrage zu beschleunigen.

Die Anzahl der Segmente, die mit dem ersten Segment an den Client zurückgegeben wird, muss heute für den Start der Übertragung nach Möglichkeit korrekt sein. Laut EBICS-Spezifikation 2.5 (siehe Abschnitt 7.2 Umsetzung in den EBICS-Nachrichten, Seite 159) sollte sich der EBICS-Client bei falscher Angabe der Segmentanzahl jedoch tolerant verhalten. In einem solchen Fall müsste der EBICS-Client die laufende Transaktion ordnungsgemäß mit der Quittungsphase fortsetzen, auch wenn der EBICS-Server weniger Segmente liefert, als er in der initialen EBICS-Response angegeben hat. Damit der EBICS-Server bei großen Dateien schneller zu einer Rückmeldung an den Client kommt und ein Timeout vermieden wird, sollte es möglich sein, eine geschätzte Segmentanzahl zu ermitteln und zurückzugeben.

Grundsätzlich wäre eine Erweiterung der EBICS-Spezifikation mit folgenden zwei Teillösungen wünschenswert.

Der EBICS-Client initiiert einen Download mit unbestimmter Größe zur Vermeidung von Timeouts bei großen Datenmengen

Der Bankrechner liefert in seiner Response zusammen mit dem ersten Segment eine Segmentanzahl der zu erwartenden Daten zurück. Wenn es sich um Daten mit der Möglichkeit einer schnellen Zusammenstellung handelt, kann der Bankrechner die Segmentanzahl wie bisher genau liefern. Handelt es sich jedoch um eine größere Datenmenge mit ggf. längerer Aufbereitungszeit (z. B. ZIP), darf auch eine ungefähre Segmentanzahl zurückgeliefert werden.
In jedem Fall muss sich der EBICS-Client so verhalten, dass er so lange Segmente abruft, bis er die Ende-Nachricht bekommt.

Um nun bei Abholungen Timeouts während der Sammel-/Aufbereitungsphase des EBICS-Bankrechners zu vermeiden, sollte der Bankrechner beim Abruf eines Folgesegments auch einen Wert zurückgeben dürfen, der aussagt, dass er mit der Datenzusammenstellung noch nicht fertig ist. Der EBICS-Client kann das gewünschte Segment wiederholt anfragen, bis er es bekommt.

Optionale Begrenzung der abzuholenden Datenmenge durch den EBICS-Client, um zu große Dateien zu vermeiden

Der Download von großen Datenmengen kann aber auch durch Bedingungen problematisch sein, die nicht im Einflussbereich des EBICS-Servers bzw. dessen Betreibers liegen. Ursachen können in der Systemauslegung des Clients oder in der Infrastruktur liegen. In solchen Fällen kann es u. U. helfen, wenn die abzurufende Datenmenge kundenseitig über die heutigen Möglichkeiten hinausgehend (historischer Abruf) weiter eingeschränkt werden kann.

Zum Beispiel wäre es wünschenswert, wenn der EBICS-Client einen Download unter Angabe einer maximalen Größe initiieren kann. Denkbar ist ein neuer optionaler Parameter für die Größe der Abholdaten. Beim Download liefert der EBICS-Bankrechner dann immer vollständige Datenblöcke (z. B. Kontoauszug) und davon mindestens einen. Die Größenbegrenzung sollte stets als Richtwert interpretiert werden, den der Bankrechner auch überschreiten darf. Damit gäbe es auch clientseitig neben der historischen Abholung eine weitere Möglichkeit, die Größe der Abholdaten selbst zu steuern.

Mit diesen beiden Erweiterungen ist EBICS auch zukünftig für die wachsenden Datenmengen gerüstet.

Michael Lembcke