EBICS und die API-Diskussionen – Ein Statusupdate aus der Schweiz

Seitdem SIX Interbank Clearing (SIC) als Repräsentant des Finanzplatzes Schweiz im Frühling 2015 als offizielles Mitglied in die EBICS SCRL aufgenommen wurde, hat sich im Bereich der Firmenkundenschnittstellen bei Banken (Neudeutsch auch „Corporate Communication Interfaces“) einiges getan. Und aktuell rumort es ebenfalls wieder auf dem Gebiet der elektronischen Schnittstellen, sodass es sich lohnt, in diesem Blog wieder einmal einen Blick auf die aktuelle Situation in diesem Bereich in der Eidgenossenschaft zu werfen.

Natürlich soll hier auch die Rede von APIs (Application Programming Interfaces) sein, denn in manchen Geschäftsleitungs-Etagen bei Banken erscheinen diese drei Buchstaben als der große Heilsbringer in der Digitalisierungsstrategie. Haben also APIs, insbesondere für die Abfrage von Kontoinformationen oder die Beauftragung von Zahlung das Potential, die altgedienten Dateitransferprotokolle wie EBICS obsolet zu machen? Insbesondere vor dem Hintergrund, dass gerade neue Startups und FinTechs diese schlanken APIs dem doch etwas aufwändig zu implementierenden EBICS bevorzugen?

Um diese Frage für die Schweiz beantworten zu können, benötigt der mit dem Finanzplatz Schweiz weniger vertraute Leser aktuelle Hintergrund-Informationen. Zunächst einmal ist festzuhalten, dass die Schweiz als Nicht-EU-Mitglied in keiner Weise an die PSD2 (Payment Service Direktive) gebunden ist. Womit ein großer Treiber, die Pflicht eine API anzubieten, für Banken erstmal wegfällt. Des Weiteren gibt es in der Schweiz auch keine standardisierte Schnittstelle fürs Onlinebanking à la FinTS wie in Deutschland. Nichtsdestotrotz ist die frohe Botschaft der Europäischen Union natürlich auch in der Schweiz vernommen worden.

Bevor wir uns etwas vertiefter mit den zurzeit heiß diskutierten API-Initiativen beschäftigen, soll noch einmal die EBICS-Verbreitung gewürdigt werden. In den letzten gut fünf Jahren hat sich das Protokoll nach dem Vorbild der deutschen Implementierung bei allen größeren Instituten als Standardangebot für den elektronischen Austausch von Daten mit Firmenkunden durchgesetzt. Die Protokolleigenschaften, sehr große Volumina transferieren zu können sowie neuerdings auch der Einsatz der VEU (Verteilte Elektronische Unterschrift), werden von mittleren und größeren Firmenkunden sehr geschätzt. Auch alle namhaften Schweizer Softwareanbieter mit Lösungen im Electronic Banking haben EBICS im Angebot.

Soweit so gut, könnte man meinen. Wie eingangs erwähnt, ist hierzulande die API-Diskussion ebenfalls in vollem Gange und wir beobachten momentan drei erwähnenswerte Initiativen, welche nachfolgend kurz vorgestellt werden. Um es an dieser Stelle vorweg zu nehmen, aus Sicht des Autors sind diese Initiativen kein Ersatz für EBICS, sondern ergänzen ein Schnittstellen-Angebot eines Finanzinstitutes für ein bestimmtes Kundensegment (in der Regel kleinere Firmenkunden, die über eine Cloud-Lösung mit der Bank Informationen in beide Richtungen austauschen).

Sehr vielversprechend erscheint momentan „Corporate API“, die Initiative von SIX und den Schweizer Banken. Unter diesem Namen entwickelt die SIX zusammen mit Vertretern der Banken und Software-Hersteller nicht nur einen frei verfügbaren Standard, sondern gleich noch die passende Plattform dazu. Diese Plattform erlaubt eine sehr einfache Teilnahme an einem neu entstehenden Öko-System, das Services weit über den PSD2-Rahmen (AIS, PIS) hinaus anbieten wird.

Als Formate werden bei der „Corporate API“ JSON und ISO20022 XML angeboten. Die JSON-Variante wird dabei sehr einfach und rasch zu implementieren sein und zielt auf SW-Anbieter, welche nicht die Komplexität der ISO20022-Meldungen benötigen. Die ISO20022 XML-Variante unterstützt das gesamte Spektrum der aus der Migration ZV CH bekannten Möglichkeiten. Bereits gegen Ende 2018 werden erste Tests mit Pilot-Banken und -herstellern durchgeführt werden.

Ein weiteres Projekt läuft unter dem Namen „Common API“. Das Common API der SFTI (Swiss Fintech Innovations) lehnt sich stärker an PSD2 bzw. die Implementierung der BerlinGroup an. Gegenüber der Corporate API-Variante formuliert die Spezifikation der SFTI das API allgemeiner und überlässt die Wahl der Zielgruppe dem Service Provider. Gemäß Informationen der SFTI sind bei der Entwicklung dieses Standards die großen Bankapplikations-Anbieter mit an Bord. SIX hat den Entwicklungsprozess der SFTI-Spezifikation von Anfang an begleitet und wird zukünftig die Ergebnisse der SFTI-Arbeitsgruppe weiterführen. Gut möglich also, dass aus zumindest in Teilen die Standards kompatibel ausfallen werden.

Die Situation für Softwarehersteller ist somit in der Schweiz nicht gerade einfach, da einerseits mit EBICS ein etabliertes produktives Protokoll zur Verfügung steht und neue Initiativen in den Startlöchern stehen. Je nach Kundensegment und Geschäftsmodell stellt sich für Lösungsanbieter die Frage, eine oder allenfalls auch gleich mehrere Implementierungen anzubieten. Kommt hinzu, dass einige Banken bereits proprietäre Interfaces publiziert haben (etwa die Hypothekarbank Lenzburg, welche als sehr innovative Fintech-Bank auftritt). Weitet man das Einsatzgebiet auf Europa aus, dann kommen noch bereits bekannte Initiativen wie „Berlin Group“, „STET“ oder „Open Banking“ dazu. Typischerweise hat der Finanzplatz Schweiz keinen existierenden Standard übernommen, da hierzulande das „Swiss Finish“ immer noch hoch im Kurs ist.

Carsten Miehling



Gleichberechtigung für EBICS – Anwendungsfall Instant Payments Bulk

Auch wenn es auf den ersten Blick merkwürdig erscheint: In Deutschland werden derzeit auch für die Kunde-Bank-Beziehung Instant-Payments-Anwendungsfälle für das dateibasierte EBICS-Transferprotokoll diskutiert und spezifiziert. Die Anwendungsfälle konzentrieren sich in diesem Fall auf das Firmenkundengeschäft. Insbesondere größere Firmenkunden haben die Anforderung, Sammeleinreichungen an die Banken übermitteln zu können. Daher hat man sich hierzu in der DK etwa für die SEPA-Credit-Transfer-Einreichung auf die spezielle Form der Sammeleinreichung von Instant Payments (Instant Payments Bulk) verständigt, basierend auf dem XML-Format ISO pain.001. Auch für die Rückrichtung der Zahlungsinformationen in der Zahlungskette – vom Empfänger beziehungsweise den Banken – werden entsprechende Geschäftsvorfälle und Formate (etwa Payment Status im Format pain.002) festgelegt. Die so spezifizierten Geschäftsvorfälle und Formatvorgaben werden in Deutschland voraussichtlich ab November 2019 offiziell gültig sein und können von Banken optional angeboten werden.

Was ist die Besonderheit von Instant Payments Bulk? 

Der Unterschied zu reinen Instant-Payments-Prozessen, die beispielsweise am „Point of Sale“ synchron ausgeführt werden, liegt im Fall Instant Payments Bulk über EBICS darin, dass die Einreichung selbst hier nicht als „instant“ gilt. Vielmehr handelt es sich um eine Einreichung zur Ausführung als Instant Payments (SCTINST). Die ausführende Bank des Einreichers zerlegt die Sammeldatei in die einzelnen Transaktionen und führt die Zahlungen als SCTINST aus, sofern der Zahlungsempfänger auf diesem Wege erreichbar ist. Erst ab diesem Zeitpunkt gelten die Bedingungen für die SCTINST. Die Daten der Rückrichtung werden dann von der Bank des Einreichers wieder auf dem EBICS-Kanal an den Einreicher zurückgeliefert. Das bedeutet konkret in diesem Fall für den Standardweg, dass die Daten von der Bank zur Abholung im EBICS-Bankrechner bereitgestellt werden. Im Firmenkundengeschäft nimmt die Bank in der für EBICS definierten Beziehung zwischen Kunde und Bank bekanntlich ausschließlich die passive Rolle ein. Eine aktive Benachrichtigung an den Sender über EBICS ist daher im Firmenkundengeschäft derzeit nicht vorgesehen.

Instant Payments Bulk weil es dringend ist? 

Firmenkunden wollen mit den neuen Geschäftsvorfällen Zahlungen gesammelt und gleichzeitig kurzfristiger einreichen. Auf diese Weise kann mit dem Geld bis zur Einreichung länger gearbeitet werden. Zudem sind die Zahlungen dann sofort garantiert und ausgeführt. Hierbei ist wie für die Empfangsseite auch für den Rückweg eine unverzügliche Benachrichtigung gewünscht. Da im EBICS-Rollenmodell derzeit eine aktive Benachrichtigung des Kunden durch die Bank nicht vorgesehen ist, werden dafür derzeit in Deutschland verschiedene Schnittstellen (APIs) und Verfahren (etwa E-Mail-Push) diskutiert. Dabei ist es eigentlich doch relativ einfach: Warum nicht das bilaterale EBICS nutzen, wie es heute bereits im Interbankenverkehr etabliert ist. Beide Parteien, Kunde und Bank, haben dabei gleichberechtigte Sende- und Empfangsrollen. Es bedarf lediglich der Erweiterung der EBICS-Kundenanwendungen um vereinfachte EBICS-Server-Funktionen. Die Firmenkunden, die Instant-Payments-Bulk-Zahlungen einreichen, könnten dann Daten aus diesen Prozessen auch aktiv empfangen. Solche Anwendungen sind sogar bereits am Markt verfügbar. Die neuen Geschäftsvorfälle sind somit vollständig über den bestehenden Standard und mit den bestehenden Lösungen umsetzbar. Zeit- und aufwandsträchtige Diskussionen über zusätzliche Schnittstellen, Protokolle und Vereinbarungen können entfallen.

Michael Lembcke

10 Jahre EBICS – Eine Erfolgsgeschichte

Zu Beginn des Jahres 2008 war es endlich soweit: Jeder Firmenkunde in Deutschland konnte ab diesem Zeitpunkt sicher sein, dass er mit einem einheitlichen und sicheren Verfahren im Electronic Banking alle Banken und Sparkassen über das Internet erreichen konnte, um Überweisungen, Lastschriften und andere Aufträge zu senden und Kontoinformationen abzuholen. Die für Firmenkunden überaus wichtige Multibankfähigkeit wurde durch das DFÜ-Abkommen der Deutschen Kreditwirtschaft (DK) garantiert, das alle Kreditinstitute in Deutschland ab dem 1. Januar 2008 verpflichtete, ein neues einheitliches Verfahren namens EBICS (Electronic Banking Internet Communication Standard) im Datenaustausch mit Firmenkunden zu unterstützen.Auch wenn bereits damals abzusehen war, dass EBICS erfolgreich sein würde, war doch nicht mit der Erfolgsgeschichte zu rechnen, die EBICS seitdem geschrieben hat. EBICS ist inzwischen ein europäischer Standard für den sicheren Datenaustausch, nicht nur im Electronic Banking mit Firmenkunden, sondern auch im Interbankenzahlungsverkehr und hat das Zeug, auch für aktuelle Entwicklungen wie Instant Payments zum Standard zu werden. Doch davon später mehr.

Die Vorgeschichte: Der Weg zu EBICS

Genaugenommen ist EBICS älter als 10 Jahre, denn die eigentliche Geburtsstunde von EBICS ist der 18. Juli 2003. An diesem Tag stellte die SIZ GmbH auf einer Sondersitzung des damaligen ZKA (Zentraler Kredit Ausschuss = alter Name der DK) ein internetbasiertes Electronic-Banking-Verfahren namens WOP vor mit dem Ziel, entweder dieses Verfahren oder zumindest die Designgrundlagen dieses Verfahrens zur Basis eines neuen, multibankfähigen Internetstandards für die gesamte Deutsche Kreditwirtschaft zu machen. Das DFÜ-Abkommen des ZKA garantierte seit 1995 im Firmenkundengeschäft ein multibankfähiges Verfahren, BCS-FTAM. Doch dieses Filetransferverfahren basierte auf dem OSI-Standard FTAM für X.25- und ISDN-Verbindungen und war im Internetzeitalter längst nicht mehr „state of the art“. Trotz einiger Versuche war es seitdem nicht gelungen, einen gemeinsamen IP-basierten Standard zu etablieren. Es gab herstellerspezifische (z. B. MultiWeb, MCFT) und verbandsinterne Lösungsansätze (BCS-FTP), denen jedoch das Entscheidende fehlte: die Multibankfähigkeit. An diesem 18. Juli 2003 nun schien die Zeit reif für einen neuen Standard. Spontan bildete sich auf der Sondersitzung eine Arbeitsgruppe der DK mit dem Auftrag, einen gemeinsamen IP-basierten multibankfähigen Kommunikations- und Sicherheitsstandard zu entwickeln. Auf den Designgrundlagen von WOP entstand EBICS. Das von der Arbeitsgruppe erstellte Grobkonzept war die Basis für die EBICS-Spezifikation, die in der Version 1.0 bereits Mitte 2005 vorgelegt werden konnte.

EBICS war keine Revolution, sondern basierte von Beginn an auf einem evolutionären Konzept. Die Elemente von BCS-FTAM, die sich seit über 10 Jahren bewährt hatten, wurden beibehalten, und nur die Elemente, die nicht mehr dem aktuellen Stand der Technik entsprachen, wurden neu konzipiert. So wurde das Konzept der Auftragsarten und damit die Anwendungsneutralität ebenso beibehalten wie die Autorisierung von Zahlungsdaten durch Elektronische Unterschriften (EU). Neu an EBICS war vor allem, dass die X.25- bzw. ISDN-basierte Kommunikation von BCS-FTAM durch ein modernes, auf Internetstandards basierendes XML-Kommunikationsprotokoll ersetzt wurde. Des Weiteren wurde die EU durch das Konzept der Verteilten Elektronischen Unterschrift (VEU) erweitert, die es Firmenkunden ermöglicht, Aufträge, die z. B. automatisiert aus der Buchhaltung an die Bank übertragen werden, unabhängig von Zeit und Ort mittels EU zu autorisieren und dabei auch mobile Endgeräte zu nutzen.

Die SIZ GmbH hat die Entwicklung von EBICS im Jahre 2003 angestoßen und seitdem kontinuierlich begleitet. 2005 wurde das SIZ die Leitstelle der Deutschen Kreditwirtschaft für EBICS (Anlage 1 des DFÜ-Abkommens) und für die Datenformate im Electronic Banking und Zahlungsverkehr (Anlage 3 des DFÜ-Abkommens).

Die Sparkassen-Finanzgruppe war 2006 die erste Institutsgruppe in Deutschland, die EBICS flächendeckend unterstützte. 2007 folgten dann die genossenschaftlichen und öffentlichen Institute sowie Großbanken und andere Privatbanken.

EBICS: Der sichere Tunnel in unsicheren Netzen

Grundlage für die Entwicklung von EBICS war vor allem ein detailliertes Sicherheitskonzept. Da Daten im Electronic Banking und Zahlungsverkehr besonders geschützt werden müssen, wurden aus den möglichen Bedrohungen Sicherheitsanforderungen und Sicherheitsmaßnahmen für EBICS abgeleitet, die durch verschiedene kryptografische Maßnahmen die Vertraulichkeit, Integrität und Authentizität der Daten in potenziell unsicheren Netzen (z. B. Internet) garantieren. Dabei werden die Vertraulichkeit und die Integrität der Daten durch ein EBICS-spezifisches Verschlüsselungsverfahren gewährleistet, das zusätzlich zur TLS-Verschlüsselung auf der Transportebene eine End2End-Verschlüsselung der sensitiven Daten im Electronic Banking bietet. Die Authentizität der Kommunikation wird durch die Authentifikationssignatur eines jedes Datenpakets hergestellt. Die Autorisierung von Zahlungen erfolgt schließlich durch Elektronische Unterschriften, wobei je nach vertraglicher Vereinbarung zwischen Kunde und Bank verschiedene Berechtigungsmodelle zum Zuge kommen können (Einzel- und Mehrfachunterschriften, EU-Klassen, Limite etc.). Das Sicherheitskonzept wird seitdem regelmäßig überprüft und EBICS bei Bedarf weiterentwickelt, um das Verfahren an neue oder geänderte Bedrohungslagen und/oder technische Standards anzupassen. EBICS hat sich im Laufe der Jahre als ein überaus sicherer Standard bewährt: Bis zum heutigen Tag sind keine erfolgreichen Angriffe auf EBICS bekannt geworden.

Die wegweisenden Features von EBICS zur sicheren Übertragung sensitiver Daten:


2008: Die Einführung in Deutschland

Am 1. Januar 2008 war es dann soweit: Durch das DFÜ-Abkommen der Deutschen Kreditwirtschaft hatten sich alle Banken und Sparkassen in Deutschland verpflichtet, EBICS auf der Bankseite ab diesem Datum zu unterstützen. EBICS wurde von den Firmenkunden schneller als erwartet angenommen: Bereits im ersten Jahr migrierte ein Großteil der Firmenkunden von BCS-FTAM auf EBICS. Zu groß waren offenbar die Vorteile des neuen Verfahrens. Zu dem rasanten Erfolg von EBICS trug vor allem bei, dass die Übertragungsgeschwindigkeit des IP-basierten EBICS um ein Vielfaches höher war als bei FTAM, dass die Verwendung von Internetstandards die Einbindung in Firmen- und Banknetzwerke wesentlich vereinfachte und dass EBICS neue Features wie die Verteilte Elektronische Unterschrift bot. Entscheidend war aber, dass die für Firmenkunden zentrale Multibankfähigkeit durch das DFÜ-Abkommen der DK von Beginn an garantiert war. Erleichtert wurde der Umstieg dadurch, dass im Verfahren bereits Migrationsszenarien implementiert waren, die es ermöglichten, die Schlüssel für die Elektronische Unterschrift nahezu auf „Knopfdruck“ von BCS-FTAM auf EBICS umzustellen.

EBICS avanciert zum Interbank-Verfahren

Dass EBICS ein sehr sicheres Verfahren ist und gerade zur sicheren und schnellen Übertragung großer Datenmengen konzipiert ist, sprach sich schnell herum. So war es nicht verwunderlich, dass EBICS auch zum Kommunikationsstandard im Interbanken-Zahlungsverkehr avancierte. Vorreiter war hier die Deutsche Bundesbank, die bereits im Jahr 2008 EBICS als Kommunikationsverfahren für den SEPA-Clearer im Rahmen des EMZ einführte. Mittlerweile ist EBICS zum sicheren Austausch zwischen Banken und Clearinghäusern nicht mehr wegzudenken. Neben der Bundesbank setzt auch die EBA-Clearing im STEP2-Zahlungssystem auf EBICS und nicht zuletzt ist EBICS im sogenannten bilateralen Garagenclearing zwischen Banken seit vielen Jahren etabliert.
Auch für die Auslieferung von Daten durch Service-Rechenzentren wurde EBICS sehr schnell eingeführt. Im Jahr 2009 wurde hierzu die entsprechende Richtlinie der DK im Hinblick auf die EBICS-Unterstützung verabschiedet.

EBICS wird zum internationalen Standard

Bereits Ende 2006 wurde die französische Bankwirtschaft (CFONB) bei ihrer Suche nach einem neuen, sicheren und IP-basierten Kommunikationsverfahren auf EBICS aufmerksam. Ähnlich wie in Deutschland stand man auch in Frankreich vor der Situation, einen in die Jahre gekommenen Standard (ETEBAC) durch ein zukunftweisendes Verfahren abzulösen. Nach einer intensiven Evaluation verschiedener Alternativen erwies sich EBICS als das geeignete Verfahren und es kam ab 2008 zu einer Kooperation zwischen der französischen und deutschen Kreditwirtschaft. Im Sommer 2010 wurde dann in Brüssel die europäische EBICS-Gesellschaft nach belgischem Recht, die EBICS SCRL, gegründet. Inzwischen ist EBICS in Frankreich flächendeckend eingeführt und genauso erfolgreich wie in Deutschland. Mit der Gründung der EBICS-Gesellschaft wurde das SIZ zum offiziellen technischen Büro der Gesellschaft (europäische EBICS-Leitstelle) und koordiniert seitdem die EBICS-Workinggroup, also das Gremium der Gesellschaft, das für die Weiterentwicklung von EBICS zuständig ist.

Mit der Einführung von EBICS in Frankreich etablierten sich allerdings unterschiedliche „Dialekte“ in den beiden Ländern. Ganz pragmatisch im Vorgehen akzeptierte man, dass es aufgrund unterschiedlicher Anforderungen in den beiden Ländern auch unterschiedliche Ausprägungen des EBICS-Standards gab. Dies betraf vor allem die Darstellung von fachlichen Geschäftsvorfällen, die in Deutschland durch die bekannten dreistelligen Auftragsartenkürzel erfolgt, während in Frankreich Formatparameter zur Kennzeichnung genutzt werden. Daneben gab es weitere Unterschiede, so z. B. dass in Frankreich die verwendeten kryptografischen Schlüssel im X.509-Standard genutzt werden, während in Deutschland weiterhin ein aus BCS-FTAM stammendes proprietäres Format verwendet wird. In beiden Ländern wurde zwar im Kern EBICS „gesprochen“, aber bei der länderübergreifenden Kompatibilität hakte es doch, man sprach und spricht unterschiedliche „Mundarten“.

So richtig deutlich wurde dieses Manko, als 2015 mit der Schweiz ein weiteres Land Mitglied der EBICS-Gesellschaft wurde. Die Schweiz stand vor dem Dilemma, welchem „Dialekt“ sie denn nun folgen oder ob sie gar eine dritte, schweizerische „Mundart“ sprechen sollte.

Es war offensichtlich, dass unterschiedliche EBICS-Dialekte für die gewünschte Verbreitung des Standards in Europa nicht förderlich sind. Die Lösung konnte nur in einer Harmonisierung von EBICS liegen, die in der neuen EBICS V3.0 endlich angegangen wurde. Vor allem wurde durch die Einführung von BTFs (Business Transaction and Formats) eine zukunftsfähige, flexible und vor allem einheitliche Kennzeichnung von Geschäftsvorfällen für EBICS eingeführt. Zudem konnten weitere wichtige Harmonisierungen im EBICS-Standard erreicht werden, die EBICS zu einem einheitlichen internationalen Standard machen. Denn im elektronischen Zahlungsverkehr ist es wichtig, dass sich Partner erreichen, verstehen und vertrauen können. Für das Verstehen sorgen vor allem gemeinsame SEPA-Datenformate und die EBICS-einheitliche Kennzeichnung durch BTFs, für das Erreichen und das Vertrauen sorgt EBICS als gemeinsamer Kommunikations- und Sicherheitsstandard. EBICS V3.0 ist verabschiedet und kann ab Herbst 2018 eingeführt werden. In Deutschland wird EBICS V3.0 durch das DFÜ-Abkommen der DK ab 2021 verpflichtend für alle Institute der Deutschen Kreditwirtschaft.

10 Jahre EBICS: Rückblick und Ausblick

Heute gilt es zurückzublicken auf 10 Jahre EBICS in Deutschland. Was als Versuch begann, unterschiedliche, inkompatible  Entwicklungen im Electronic Banking in Deutschland einzufangen und die Multibankfähigkeit für Firmenkunden auch im Internetzeitalter zu gewährleisten, entwickelte sich zu einer Erfolgsgeschichte, die die nationalen Grenzen längst überwunden hat. Als offener Standard zum sicheren Austausch von Dateien ist EBICS weltweit bekannt und wird auch in Ländern genutzt, die (noch) nicht Mitglied in der EBICS-Gesellschaft sind. EBICS ist mittlerweile nicht nur ein Kunde-Bank-Verfahren, sondern ein etablierter Standard im Interbankenzahlungsverkehr und wird voraussichtlich auch eine wichtige Rolle sowohl in der Einreichung als auch im Clearing von Instant Payments spielen.

Doch was sind die Gründe für diesen lang anhaltenden Erfolg? Mir scheinen hier vor allem folgende Punkte ausschlaggebend:
  • Die Anwendungsneutralität von EBICS
    EBICS ist anwendungsneutral und kann die unterschiedlichsten Daten übertragen, da weder Formate noch bankfachliche Festlegungen in das Übertragungsprotokoll modelliert wurden. Darum kann EBICS so leicht in unterschiedlichen Ländern  und in unterschiedlichen Anwendungsszenarien eingesetzt werden.
  • Die Sicherheitsfeatures von EBICS
    Indem EBICS voneinander unabhängige kryptografische Verfahren für die Vertraulichkeit der Daten, für die Authentizität der Partner und der Kommunikation und für die Autorisierung von Aufträgen kombiniert, bietet es einen sicheren Tunnel in unsicheren Netzen.
  • Die Multibankfähigkeit
    Sowohl in Deutschland als auch in Frankreich ist EBICS ein multibankfähiges Verfahren. In Deutschland wird die Multibankfähigkeit durch das DFÜ-Abkommen der DK garantiert.
  • Die Anpassungsfähigkeit von EBICS
    Als offener Standard lässt sich EBICS durch seine Architektur an unterschiedliche Anforderungen anpassen und wird durch die EBICS-Gesellschaft kontinuierlich weiterentwickelt.
EBICS hat viel Vergangenheit hinter sich, sogar noch mehr als die 10 Jahre seit der verpflichtenden Einführung in Deutschland. Doch die Geschichte ist noch lange nicht zu Ende: Als offenem und sicherem Kommunikationsstandard steht EBICS die Zukunft offen. Die Erfahrung, dass die grundlegenden Designentscheidungen auch heute noch tragen und dass die Flexibilität des Verfahrens es ermöglicht, EBICS an neue Anforderungen anzupassen, stimmt zuversichtlich, dass EBICS weiterhin ein wichtiger Baustein im elektronischen Zahlungsverkehr in Europa sein wird.

Dieter Schweisfurth

Leiter Electronic Banking
SIZ GmbH

EBICS im „Private Banking“ – Anwendungsfälle ausserhalb des Zahlungsverkehrs

EBICS wird gemeinhin als sicheres Übertragungsprotokoll für den Austausch von Zahlungsverkehrsdateien (Aufträge und Auszüge) angesehen. Insbesondere im Segment der Firmenkunden ist diese Anwendung mit Sicherheit auch die am weitesten verbreitetste. Ich möchte an dieser Stelle einen anderen, in der Schweiz sehr aktuellen Anwenderfall vorstellen: EBICS-Angebote im Private Banking.


Hiesige Privatbanken haben aktuell einen noch schwereren Stand als bisher und geraten von mehreren Seiten unter Druck. Regulierung, Margendruck, besser informierte Kunden, das Aufbrechen der Wertschöpfungskette und die Digitalisierung sind nur einige Themen, welche heute auf der Agenda von Privatbankvorständen anzutreffen sind. Im Bereich Automation beobachten wir in der Schweiz zurzeit eine erwähnenswerte EBICS-Initiative - den Einsatz als Schnittstelle für Börsengeschäfte.

Auf Anregung grösserer institutioneller Anleger und professioneller Vermögensverwalter, welche ihrerseits ebenfalls ein Interesse an mehr Automation haben, werden neuerdings vermehrt EBICS-Transaktionsarten aus dem Ordergeschäft angeboten. Typischerweise sind dies Auftragsarten für das Einliefern und Verarbeiten von Börsenaufträgen (Upload) und Auftragsbestätigungen, Abrechnungen und Depotauszüge (Download). Als Formate kommen die SWIFT (MT5xx) und PDF zum Einsatz. Konkret umgesetzt werden sie als institutsspezifische Auftragsarten (XYZ).

Schaut man sich nun die gesamte Wertschöpfungskette einer Börsentransaktion an, so kann diese im Idealfall voll automatisiert durchgeführt werden. Das Portfoliomanagement-System des Vermögensverwalters erkennt ein Missverhältnis der Anlagestrategie zum Portfolio des Kunden und generiert den Börsenauftrag für die Umschichtung. Mittels der Standards EBICS und SWIFT (z. B. MT502) wird der Auftrag automatisch beim Institut ausgelöst und die Bestätigung abermals über EBICS zurückgemeldet (z. B. MT509). Diese Automation reduziert auf allen Seiten den Aufwand der Abwicklung massiv. Zusätzlich reduziert sich gegenüber den heute noch weit verbreiteten manuellen Prozessen die Fehlerquote in grossem Masse.

Zusammengefasst kann man festhalten, dass innovative Privatbanken EBICS bereits heute anbieten oder in Kürze mit Angeboten im Markt auftreten werden. Da traditionellerweise der Zahlungsverkehr in diesem Geschäft eine nicht so dominante Rolle wie bei Universalbanken einnimmt, verlagert sich der EBICS-Schwerpunkt auf Börsentransaktionen und das Vermögensausweis-Reporting. Da auch Vermögensverwalter und institutionelle Anleger mehr Automation anstreben, entsteht eine Win-Win-Situation. Ideal wäre es, wenn sich die Standardisierungsgremien möglichst schnell auf universelle und einheitliche Auftragsarten (oder neu ab EBICS 3.0 sog. BTF-Spezifikationen) und Formate festlegen könnten.

Carsten Miehling

EBICS 3.0 mit BTF macht den Weg frei

Der europäische Zahlungsverkehr wächst dank SEPA und EBICS zusammen. Mit EBICS 3.0 verschmelzen nun auch die verschiedenen EBICS-Dialekte. Das Konzept dahinter heißt BTF. BTF steht für Business Transaction Format. BTF  vereinheitlicht die Beschreibung der zu transferierenden Formate in Deutschland, Frankreich und der Schweiz. Diese Harmonisierung macht den Weg frei für eine wachsende EBICS-Community.


Die neue EBICS 3.0-Spezifikation ist ab dem 27. November 2018 gültig. Termine zur Einführung können in den einzelnen Ländern abweichen. EBICS 3.0 bringt folgende Vereinheitlichungen:
  • einheitliche EBICS-Version in den drei EBICS-Ländern
  • einheitliche Identifikation der Geschäftsprozesse und Formate (BTF)
  • einheitliches X.509-Format für die Schlüsselablage
Damit ist die Kompatibilität der EBICS-Dialekte gewährleistet.

Optionale Features

Bisher wurden nicht alle EBICS-Features in allen Ländern angeboten. Mit EBICS 3.0 können die Banken ihren Kunden alle optionalen EBICS-Features individuell anbieten. Dazu gehören:
  • Zertifikate
    CA-signierte Zertifikate
    selbstsignierte Zertifikate
  • Berechtigungsmodell
    deutsche T-, A-, B- und E-Autorisierungen
    französische T- und TS-Autorisierungen
    Abschaffung der Fax-Autorisierung
  • Verteilte Elektronische Unterschrift (VEU)
    Die Nutzung der VEU ist in Deutschland obligatorisch, ansonsten optional.
Neuerungen

Die EBICS 3.0-Spezifikation enthält Neuerungen, die bei der Einführung berücksichtigt werden müssen:
  • Mapping
    Die Anpassung von Formatparametern und Auftragsarten an BTF-Standards wird durch Zuordnungsübersichten (Mappings) erleichtert. Auf nationaler Ebene sind Zuordnungsübersichten für Auftragsarten und Formatparameter definiert. Die EBICS-Clients müssen diese Zuordnungen umsetzen. In der Übergangszeit kann es zu Mischformen kommen: Bank A unterstützt bereits BTF, während Bank B nur EBICS 2.x anbietet.
  • Erweiterte Steuerung
    Mit BTF kann nun der EBICS-Client den Bankrechner steuern. Bisher steuerte ausschließlich der Bankrechner die Prozesse. Diese Client-Steuerung öffnet ein neues Kapitel in den Prozessabläufen. Der EBICS-Nutzer kann z. B. vorgeben, ob sein Auftrag direkt in die VEU gehen soll oder die Berechtigung zu prüfen ist. Bei Abweichungen zwischen der BTF-Vorgabe und den Rechten auf dem Bankrechner definiert die EBICS-Spezifikation das Verhalten.
  • Einheitliches Protokoll
    Das strategische Kundenprotokoll in der EBICS 3.0-Spezifikation ist das HAC. Damit wird das alte textbasierte Kundenprotokoll PTK vollständig abgelöst. Das HAC-Protokoll ist maschinenlesbar, da es auf XML basiert. In der Übergangszeit werden PTK und HAC bei einem EBICS-Versionsmix parallel existieren. Nach der EBICS 3.0-Spezifikation sollen BTF-Aufträge nicht mehr im alten PTK angezeigt werden. Wer das dennoch möchte, kann das PTK-Format proprietär erweitern.
EBICS 3.0 ebnet den Weg für eine wachsende EBICS-Community

EBICS 3.0 europäisiert die Nutzung von EBICS. Das ist gut. Damit können Banken neue Märkte und Kunden gewinnen. Der Kunde erhält durch die Flexibilisierung mehr Möglichkeiten. EBICS nutzt nun ausschließlich etablierte Standards.

Existierende Schnittstellen und Vertragskonditionen können fast unverändert bleiben. Das BTF kann im Hintergrund konfiguriert werden. Für Bankrechner und EBICS-Clients bleibt die Fachlichkeit im Vordergrund. Die EBICS 3.0-Spezifikation und die Mappingvorgaben unterstützen das.

Die Einführung von EBICS in neuen Märkten und Ländern ist mit EBICS 3.0 wesentlich erleichtert worden. Die Vorteile von EBICS 3.0 sind unübersehbar. Daher ist eine zeitnahe Einführung in den bestehenden EBICS-Ländern zu empfehlen.

Michael Lembcke

EBICS 3.0 in den Startlöchern

Am 19. Mai 2017 fand im Auditorium der Fédération Bancaire Française (Französische Bankenvertretung) ein Themenworkshop des CFONB zur Vorstellung Version 3.0 des EBICS-Protokolls statt.

Mehr als 120 Personen aus unterschiedlichen Bereichen - Banken, Hersteller, Unternehmen, usw. - nahmen an der Veranstaltung teil, im Rahmen derer verschiedene Redner das Grundkonzept dieser neuen Version vorstellten.


Nachdem die Geschäftsführung und einige Vertreter der EBICS SCRL (www.ebics.org) eine Übersicht vorgestellt hatten, wurden einige entscheidende Daten aus der Geschichte von EBICS präsentiert. Sie haben daran erinnert, dass der EBICS-Standard nun nicht mehr in den Kinderschuhen steckt und belegten dies damit, dass bereits vor 12 Jahren die Implementierung in Deutschland begann und vor mehr als 7 Jahren EBICS in Frankreich übernommen wurde. Bei den Schweizer Finanzinstituten wurde dieser Weg erst 2015 eingeschlagen. Eine Präsentation zeigte die derzeitige Verbreitung von EBICS, die sich von der Iberischen Halbinsel bis zur Ostsee und von Irland bis nach Italien erstreckt. Abgesehen von Deutschland, Frankreich, der Schweiz und Portugal ist der Verwendungsgrad in den entsprechenden Staaten jedoch sehr unterschiedlich.

Im Anschluss wurden die Gründe für den Erfolg von EBICS in den vier Ländern (zahlreiche Artikel zu diesem Thema finden Sie in diesem Blog) ebenso wie die Hindernisse einer schnellen gesamteuropäischen Ausweitung genannt. Zu diesen gehören insbesondere:
  • die Unterschiede in der Identifikation der Zahlungsströme zwischen deutschen, französischen und Schweizer Varianten
  • die Verwendung der X.509-Zertifikate in Frankreich und des Schlüsselpaares in Deutschland
  • der Einsatz der verteilten elektronischen Unterschrift in Deutschland und in der Schweiz, aber nicht in Frankreich
Auf die Auflistung der Gründe folgte eine Beschreibung der tiefgreifenden Veränderungen, die die Version 3.0 mit sich bringen wird, vor allem hinsichtlich der Harmonisierung durch die Integration des BTF-Konzepts (Business Transaction Format) und der möglichen Generalisierung der verteilten elektronischen Unterschrift. Weitergehende Informationen zu diesen Themen erhält man über die Website der EBICS SCRL.

Der zweite Teil des Workshops bestand aus einer Diskussionsrunde zum Thema: Warum brauchen wir eine einheitliche EBICS-Version?

Für die Akteure aus dem EBICS-Bereich war dies die Möglichkeit folgende Themen anzuschneiden und zu diskutieren:
  • Vorteile von EBICS aber auch Grenzen der 2.x Version aufgrund mangelnder Harmonisierung
  • Erwartungen an die neue Version und Vorteile, die durch die Harmonisierung entstehen
  • Möglichkeiten der geografischen Ausweitung, auch auf andere Kontinente
    Hier wurde insbesondere Afrika angesprochen, da dort bereits einige Banken den EBICS-Service in einigen französischsprachigen Ländern anbieten.
  • Möglichkeiten der Verwendung von EBICS über die Unternehmen-Bank-Beziehung hinaus
    Hier wurde vor allem die Verwendung von EBICS für STEP2 und RT1 (Instant Payments) mit der EBA Clearing angesprochen.
  • Migrationsmodalitäten
  • Aspekte der zukünftigen Weiterentwicklung des diskutierten Protokolls, die auf die Tagesordnung gesetzt werden können, wie die Vereinheitlichung des AC-Zertifikates und die Möglichkeit Zertifikate zu verwenden, die nicht auf physischen Medien gespeichert sind, um so die Industrialisierung der EBICS-Signaturlösungen für Mobilgeräte zu vereinfachen
  • aktuelle Verwendung der verteilten elektronischen Unterschrift in Deutschland und in der Schweiz und Vorteile, die durch ihre Verwendung in Frankreich entstehen könnten
Diese Veranstaltung war somit der offizielle Startschuss für die Version 3.0. Ab November 2018 wird sie verfügbar sein; ab diesem Zeitpunkt müssen alle Banken die neue Version, zusätzlich zu der in den verschiedenen Gemeinschaften gültigen Version 2.x, anbieten.

Für Unternehmen besteht keine Verpflichtung ebenfalls zu diesem Zeitpunkt zu migrieren. Für sie ist eine schlagartige Migration von der 2.x zur 3.0 nicht vorgesehen. Die neuen Gemeinschaften hingegen könnten diese neue Version direkt einsetzen.

Es liegt also viel perspektivische Arbeit vor den Herstellern und Banken. Um ihnen dabei zu helfen, wird im Juli 2017 ein Implementationguide auf Seiten der EBICS SCRL und des CFONB zur Verfügung gestellt.

Ich stelle EBICS häufig in verschiedenen Ländern in Europa und darüber hinaus vor und glaube, dass die Harmonisierung die Werbetätigkeit für dieses Produkt wesentlich erleichtern wird. Ich bin überzeugt davon, dass sie der Schlüssel zum Erfolg ist, damit schließlich der erste Buchstabe von EBICS „European“ bedeutet.

Was wäre, wenn aufgrund der Entwicklungen, die derzeit geprüft werden, der nächste Schritt das Worldwide EBICS wäre?...

Marc Dutech

EBA CLEARING führt EBICS als zusätzliches Übertragungsprotokoll für ihr Instant-Payment-System ein

Teilnehmer am EBA-Clearingservice können ab November 2017 sowohl SIANet als auch EBICS für die Verbindung zur neuen paneuropäischen Infrastruktur für Echtzeitzahlungen nutzen. Weitere Alternativen könnten später folgen.

EBA CLEARING hat angekündigt, dass zukünftige Teilnehmer an ihrer paneuropäischen Instant-Payment-Infrastrukturlösung neben SIANet auch den Electronic Banking Internet Communication Standard (EBICS) zum Austausch von Zahlungsverkehrsnachrichten mit der Plattform nutzen können. Das Unternehmen bietet das zusätzliche Übertragungsprotokoll EBICS mit der Einführung des Dienstes im November 2017 an. Ab Juni 2017 steht EBICS für die Testumgebung zur Verfügung.
Lesen Sie hier die Pressemitteilung der EBA CLEARING vom 09. März 2017: Pressemitteilung EBA CLEARING

Michael Lembcke