Werden Banken bei der Implementierung des digitalen Euros eine Rolle spielen?

Die zweijährige Analysephase der Europäischen Zentralbank (EZB) zum digitalen Euro ist noch nicht beendet und viele Fragen sind aktuell noch unbeantwortet. Bei manchen Themen, wie zum Beispiel dem Umsetzungsmodell bzw. der Rollenverteilung, gibt es jedoch bereits erste Tendenzen.

Unter Berücksichtigung der Grundvoraussetzung einer digitalen Zentralbankwährung (CBDC) wie beispielsweise bargeldähnliche Sicherheit, Schutz der Privatsphäre, nutzerfreundliche Peer-to-Peer-Zahlungen und einer flächendeckenden Verbreitung werden aktuell verschiedene Umsetzungsszenarien diskutiert.

In diesem Artikel werden wir auf zwei verbreitete Umsetzungsszenarien eingehen:

1. Direkter CBDC
Bei dem direkten Ansatz würde die Europäische Zentralbank den digitalen Euro in Eigenregie entwickeln und die Schnittstelle zu den Nutzern darstellen.

Folglich ist die EZB dafür verantwortlich, die Infrastruktur aufzubauen, das System zu betreiben, das Kundenonboarding durchzuführen und die Zahlungen abzuwickeln.
All diesen Themen stehen enorme Aufwände aufseiten der EZB gegenüber, da neben der Entwicklung von Back- und Frontend auch die anschließende Administration und Verwaltung auf die EZB wartet. Kunden müssen beispielsweise durch Prozesse wie KYC- und AML-Prüfungen geführt werden. Offen bleibt darüber hinaus, ob Nutzer in diesem Modell ein separates Konto bei der EZB für die Zahlungsaktivitäten erhalten.

Neben den Faktoren Aufwand und Zeit wird zusätzlich noch das aktuell bestehende Ökosystem untergraben, da weder Geschäftsbanken noch Finanzdienstleister als Distributoren an der Kunde-Bank-Schnittstelle agieren werden.

Weitaus wahrscheinlicher ist daher das Szenario des indirekten CBDC:

2. Indirekter CBDC
 
Der digitale Euro wird in diesem Modell von der EZB emittiert und über geprüfte Intermediäre, z. B. Banken und Zahlungsdienstleister an den Endkonsumenten verteilt. Die Distribution wird ähnlich dem aktuellen Bargeldsystem aussehen, nur eben in digitaler Form. Der Nutzer hat folglich keinen direkten Kontakt zur Zentralbank, jedoch einen direkten Rechtsanspruch gegenüber dieser.

Das Modell würde das bestehende Ökosystem stärken, indem die Rolle der Intermediäre gesichert wird und diese in die Bereitstellung des digitalen Euros eingebunden sind.
Neben der Verwaltung werden die Intermediäre auf etablierte Prozesse (u. a. KYC- und AML-Prüfungen), Onboardingmechanismen und Frontend-Entwicklungen aufbauen können.
In diesem Modell ist darüber hinaus zu berücksichtigen, dass die Weiterentwicklung von Mehrwertdiensten im Zusammenhang mit bestehenden Anwendungsfällen der Banken und dem digitalen Euro entstehen können. Die Innovationsfähigkeit wird gesteigert und Konsumenten können auf eine optimierte User Experience hoffen.

Aus den benannten Gründen gehen wir aktuell davon aus, dass die Geschäftsbanken in die Verteilung des digitalen Euros eingebunden werden, um etablierte Prozesse zu nutzen und den direkten Kundenkontakt zu stärken. Offen bleibt allerdings die Frage, ob neben klassischen Geschäftsbanken auch andere Anbieter die Rolle eines Intermediär einnehmen können.

Wir von PPI verfolgen dieses Thema mit großer Begeisterung und sehen die Innovationsfähigkeit des Zahlungssystems als unabdingbar für die Wirtschaft. Um Sie über aktuelle Entwicklungen auf dem Laufenden zu halten, werden wir Sie auf diesem Wege regelmäßig über Neuigkeiten zum digitalen Euro informieren.

Übrigens: Am 20. September findet der dritte Teil unserer Webinar-Reihe zum Thema digitaler Euro statt. Auf dieser Seite können Sie sich für das Webinar anmelden. Sollten Sie Teil 1 und/oder Teil 2 der Webinar-Reihe verpasst haben, können Sie sich die Aufzeichnungen dort auch noch einmal ansehen.

Autor: Philipp Schröder

Ein wichtiger Schritt in Richtung Einheit

Ab Ende 2023 erweitert sich der Nutzerkreis des Electronic Banking Internet Communication Standard (EBICS): Im November kommenden Jahres beginnt in Österreich die Migration der Zahlungsverkehrssysteme vom bisher genutzten proprietären Multi Bank Standard (MBS). Für die Unternehmen in der Alpenrepublik bedeutet die Umstellung zunächst einmal Arbeit, hat aber am Ende klare Vorteile. Denn mit EBICS existiert ein nahtloser Anschluss an den größten europäischen Zahlungsverkehrsraum rund um Deutschland und Frankreich. Außerdem lassen die Banken ihre Kunden beim Umstieg natürlich nicht allein. Zunächst allerdings müssen die Institute selbst ihre Hausaufgaben machen. Über Zeitplan, Vorteile und Vorgehensweisen sprechen in einem gemeinsamen Interview Thomas Bargehr, Produktmanager Banking Solutions and Payment Services, Hypo Vorarlberg Bank AG, und Michael Lembcke, Leading Product Manager, PPI AG.

 

  1. Herr Bargehr, im Juli 2020 hat die österreichische Kreditwirtschaft ihren Beitritt zur EBICS-Gesellschaft erklärt, seitdem läuft die Einführung bei den Banken. Wie weit ist Ihr Haus, wie sieht der weitere Fahrplan aus?
    Aktuell stimmen wir in der PSA (Payment Service Austria) die Anforderungen an automatische Migrationsschnittstellen ab. Über diese sollen die Daten und Autorisierungsmethoden aus den Altprogrammen und den MBS-Stammdaten transportiert werden. Damit ist ein benutzerfreundlicher Wechsel von MBS zu EBICS möglich. Die Migration selbst soll nach dem nationalen Projektplan ab November 2023 folgen. Ab dem Zeitpunkt müssen dann auch alle Geschäftskunden auf EBICS wechseln.

  2. Herr Lembcke, deutsche Banken nutzen EBICS schon geraume Zeit, von Problemen ist nichts zu hören. Welche Vorteile hat dieser Standard für die Kreditinstitute, verglichen mit MBS?
    Für Firmenkunden ist vor allem eine länderübergreifende Multibankfähigkeit wichtig. Zu viele unterschiedliche nationale Standards oder Verfahren verursachen Mehraufwand und stören die Abläufe. Eine Vereinheitlichung fördert zudem eine mögliche Prozessautomatisierung im Sinne eines Straight-Through-Processing (STP). Auf der Architekturebene ermöglicht EBICS eine innovative, zeitgemäße Auslegung von Zahlungsverkehrssystemen.

  3. Herr Bargehr, die Weiterentwicklung des MBS ist eingestellt, die Unternehmenskunden müssen also irgendwann zu EBICS wechseln. Das verursacht bei Ihren Unternehmenskunden Arbeit, womit ist das zu rechtfertigen?
    Der Zahlungsverkehr und damit einhergehend die von der Kundensoftware zu unterstützenden Formate sind seit der Euro-Einführung einem ständigen Wandel unterworfen. Dass sich alle paar Jahre etwas ändert, sind die Unternehmen also schon gewohnt. Die Hersteller von Enterprise-Ressource-Planing-Software begleiten diese Entwicklungen in der Regel rechtzeitig und qualitativ sehr gut. Gleiches gilt natürlich auch für unser eigenes Haus, das sich immer als verlässlicher Partner an der Seite der Kunden versteht.
     
  4.  Herr Lembcke, die PPI AG ist Marktführer von EBICS-Lösungen und hat den Standard von Anfang an begleitet. Wie läuft aus der Sicht eines Zahlungsverkehrsberaters die Einführung in Österreich?
    Bislang sind keine signifikanten Probleme erkennbar. Die Herausforderung liegt allenfalls darin, den Übergang für alle Beteiligten so reibungslos wie möglich zu gestalten. Da sind wir natürlich auch als Hersteller von EBICS-Software gefragt, Lösungen zu liefern. Natürlich gab es mit MBS in Österreich auch bisher schon einen funktionierenden eBanking-Standard. Aber zukünftig haben die Institute und Firmenkunden in Österreich einen europäischen Multibank-Standard, der auf State-of-the-Art Architekturen beruht und den Zahlungsverkehr im Land langfristig zukunftsfest macht.

  5. Herr Bargehr, eine solche Migration von Datenverarbeitungsstandards ist keineswegs eine triviale Angelegenheit. Wie stellen Sie sicher, dass nichts schiefgeht und es keine Downtimes gibt?
    Wir erheben bereits weit vor Migrationsbeginn den aktuellen Status des Kunden und stellen so frühzeitig besondere Anforderungen hinsichtlich Technik und Betreuung fest. Entsprechend begleiten wir die Unternehmen dann bis zum Wechsel. Schlüssel zum Erfolg sind eine saubere Übertragung der Kundenzugänge auf den EBICS-Server, ein kurzer und zugleich handhabbarer Übergangszeitraum sowie ein qualitativ hochwertiger Kundenservice.

  6. Herr Lembcke, die PPI AG hat zahlreiche Migrationsprojekte in Richtung EBICS begleitet. Welche Vorgehensweise empfehlen Sie einem Finanzinstitut?
    Hier gibt es keine One-Size-Fits-All-Lösung. Das Vorgehen hängt stark von der Strategie und der Kundenstruktur des einzelnen Instituts ab. So ist durchaus eine Big-Bang-Migration denkbar, bei der alle Kunden auf einmal umgezogen werden. Schrittweise Migrationsszenarien haben aber genauso ihre Berechtigung, auch wenn dabei natürlich ein Parallelbetrieb von EBICS und MBS notwendig wird. Wichtig ist der Austausch mit den eigenen Unternehmenskunden, deren Migrationsplanungen abgefragt werden sollten. Für Downtimes gibt es jedenfalls keine Veranlassung, eine Migration im laufenden Betrieb ist absolut machbar.
     
  7. Herr Bargehr, EBICS kennt durchaus regionale Unterschiede, so hat beispielsweise Frankreich auf einige lokale Anpassungen bestanden. Gibt es auch in Österreich Abweichungen vom EBICS-Normalfall?
    Auch wenn EBICS in Österreich noch kein Standard ist, betreiben die meisten Banken aufgrund der Marktanforderungen bereits heute entsprechende Server und Clients. Dabei gehen sie aber unterschiedlich vor: Manche kaufen sich Lösungen von der Stange und betreiben diese ohne weitere Anpassungen an nationale Besonderheiten. Andere dagegen – hier zählt die Hypo Vorarlberg dazu – analysieren eben jene lokalen Anforderungen und berücksichtigen sie bei der Auslegung ihrer Kundensysteme. Für uns hat die PPI die jeweiligen Sonderfälle in die Zahlungsverkehrslösungen eingebaut. Daher sind wir seit 2017 bereits vollständig EBICS-ready.
     
  8. Herr Lembcke, hat EBICS 3.0 das Potenzial, die Diskussion um die Notwendigkeit zusätzlicher, PSD2-konformer APIs zu beenden?
    Das ist letztlich eine Diskussion, bei der es kein Ergebnis im Sinne eines Entscheides geben kann. Denn genauso wie EBICS ein etablierter, von allen Instituten beherrschter Standard ist, sind APIs aufgrund ihrer Anzahl ebenfalls ein fester Bestandteil der IT-Landschaft. Beides wird noch länger nebeneinander existieren.
     
  9. Herr Bargehr, welchen Weg wird die Hypo Vorarlberg Bank gehen? Bieten Sie zusätzliche Schnittstellen an oder setzen Sie erstmal voll auf EBICS?
    Kleinstkunden können wie gewohnt weiter unser Onlinebanking nutzen. Kleine und mittelständische Unternehmen sowie Großkunden werden bei uns aber künftig ausschließlich mit EBICS arbeiten. Wir nehmen die EBICS-Migration zum Anlass, nach und nach alte Zahlungsverkehrs- und Banking-Systeme abzuschalten und damit Doppelgleisigkeiten zu vermeiden.
     
  10. Herr Lembcke, im europäischen Zahlungsverkehr tut sich derzeit ohnehin einiges, als Beispiele lassen sich die SWIFT-Umstellung oder Request to Pay (RTP) nennen. Wie ist EBICS hier einzuordnen?
    Der Standard erfüllt alle wichtigen Voraussetzungen, um die absehbaren Veränderungen im europäischen Zahlungsverkehr miteinander zu harmonisieren. Schon deswegen sollte alles getan werden, EBICS in weiteren Ländern offiziell einzuführen. Dabei ist auch auf eine Vereinheitlichung der Nutzungsweise zu achten, um die Akzeptanz zu erhöhen. Die Einsatzbereiche sind bereits jetzt vielfältig. SEPA Instant Payments lässt sich beispielsweise mit EBICS abwickeln, im Interbankenaustausch wird RTP unterstützt. Für die Teilnahme am Zahlungsverkehr der Zukunft ist EBICS die Eintrittskarte!

Die europäische Retail Payments Strategy – ein Zwischenstand

Im heutigen Beitrag gehen wir in einem kurzen Interview auf die Entwicklung der European Payments Strategy ein. Was gibt es an Bewegung, Neuerungen und Ausblicken? Dazu haben wir als Expertin auf diesem Gebiet unsere Kollegin Swaantje zum Gespräch eingeladen.

EBICS-Blog:
Hallo Swaantje! Schön, dass du dir die Zeit nimmst. Magst du eingangs kurz etwas zu dir sagen?

Swaantje:
Hallo! Ja, gern. Ich bin Swaantje Völkel, Managing Consultant im Consulting Payments-Bereich für die PPI AG in Hamburg und widme mich den Anpassungen, die auf europäischer Ebene initiiert werden. So auch der EU Digital Finance Strategy und im Konkreten der EU Retail Payments Strategy.

EBICS-Blog:
Worin liegt hier die größte Herausforderung?

Swaantje:
Nun, das Wichtigste vorneweg – eine Strategy ist kein Gesetz, sondern nur eine Art Absichtserklärung, ein Rahmenplan für die Zukunft, für zukünftige Ereignisse. Es gibt keine verpflichtenden Vorgaben und auch keine Termine, es ist ein Wachstumsprozess, wobei Beobachtungsgabe, Interpretation, Erfahrung und Urteilsvermögen gefragt sind.

EBICS-Blog:
Der Wunsch nach Autonomie ist stark, aber das Fleisch ist schwach?

Swaantje:
Die EU Retail Payments Strategy ist Teil der EU Digital Finance Strategy. Beide werden unter anderem durch die Open Strategic Autonomy der EU vorangetrieben, und sollen diese unterstützen. Ja, richtig – der Fokus liegt deutlich auf der Förderung der Open Strategic Autonomy der EU. Die EU Retail Payments Strategy beschreibt 17 Maßnahmen mit unterschiedlicher Größe und Gewichtung. Ein Hauptthema ist die Überprüfung der PSD2, hier setzen wir bei PPI an.

EBICS-Blog:
Bedeutet das, dass es hier konkreter wird und man sich auf Änderungen einstellen kann?

Swaantje:
In der Tat. Dort wird es langsam konkreter: In zwei aktuellen Konsultationen wird aktuell um Feedback zu den Zielen der PSD2 gebeten, einschließlich der Frage, wie erfolgreich die PSD2 bei der Erreichung ihrer Ziele war. Außerdem geht es um Meinungen zur Durchsetzung der PSD2 durch die nationalen Regulierungsbehörden und zu etwaigen Änderungsvorschlägen, die nach Ansicht der Befragten an der Richtlinie vorgenommen werden sollten. Auch wird gefragt, ob der Anwendungsbereich, die Maßnahmen und die Verfahren der PSD2 angemessen sind, wobei ein zukunftsorientierter Ansatz verfolgt wird. Die Antworten auf diese Konsultationen sollen jetzt im Sommer eingereicht werden.

EBICS-Blog:
Gerade die Aufwandsschätzung ist doch entscheidend – lässt sich hier eine Vermutung formulieren?

Swaantje:
Die PSD2 hat sehr große Veränderungen durch die Einführung des Kontenzugriffs durch Third Party Provider und neue Anforderungen an die starke Kundenauthentifizierung mit sich gebracht. Nach der Überprüfung und Änderung der PSD2 erwarten wir Änderungen, aber keine ganz so gravierenden. Aber es können schon große und wichtige Änderungen dabei sein – nur nicht so große wie bei der initialen Einführung der PSD2. Unterm Strich kommt viel Arbeit auf uns zu – denn kleine Änderungen können große Auswirkungen haben und umgekehrt, daher halte ich mich mit Vorhersagen zurück.
 
EBICS-Blog:
Ist das hilfreich, so unprognostizierbar anzusetzen?

Swaantje:
Darin liegt doch eine wertvolle Kreativphase, die uns bisher immer nützliche Erkenntnisse geliefert hat. Ich verweise auf die schwierige Wegfindung beim letzten Mal. Insgeheim hoffen wir aber, dass der Weg zur PSD3 nicht ganz so lang wird wie damals. Insbesondere die permanente Lobbyarbeit, die einerseits für Fortschritte bei der Strategie sorgt, leider auch viele konkurrierende Wünsche aufzeigt, abwägt und versucht unter einen Hut zu bringen, fördert Verzögerungen. Das ist kein beschleunigender Aspekt.

EBICS-Blog:
Dann Hand aufs Herz – wann klappt es mit dem Entwurf einer PSD3?

Swaantje:
2023! (lacht)

Paukenschlag zur TRAVIC-Usergroup 2022 - Payments-as-a-Service im Doppelpack

Die TRAVIC-Usergroup hat nach dreijähriger Zwangspause endlich wieder live stattgefunden. Dabei wurden Neuerungen rund um die TRAVIC-Suite und produktbezogene Workshops auf das Parkett gebracht und in einem gemeinschaftlichen Rahmen auf Bedürfnisse und Fragestellungen im Deep Dive eingegangen. Aber: Das war noch nicht alles – die mit Spannung erwarteten Guest Speaker Alexander Merkel (Deutsche Bundesbank) und Nico Frommholz (Hamburg Commercial Bank) ließen aufhorchen: Herr Merkel skizzierte den Status quo und wagte einen Blick über den Tellerrand, indem er beleuchtete, welche Erwartungen, Chancen und Risiken es bei dem Thema „Crypto Currencies / Digitaler Euro“ im Auge zu behalten gilt. Herr Frommholz, seines Zeichens Director Head of Payment Operations, hat das Schwerpunktthema Payments-as-a-Service mit dem Vortrag "SEPA ist live" eröffnet – ein Thema, das PPI AG verstärkt in den Fokus nimmt und zusätzlich zu EBICS, mit aller Kraft um- und antreibt.

Mit dem Go-live der HCOB gelingt es PPI AG, nachweislich eine bedeutungsvolle Lücke am Payments-as-a-Service-Markt zu besetzen. Aber es kommt noch besser: Die britische Internet-Direktbank Revolut setzt für ihre Expansion in den EU-Raum auf die Datenaustauschlösung TRAVIC-Interbank und auch auf das Payment-as-a-Service-Modell – cloudbasiert und von der PPI AG. Die 2015 in London gegründete Neobank Revolut zählt aktuell rund 18 Millionen Privatkunden, die die Finanz-App des Unternehmens nutzen. Im Januar 2022 startete Revolut in Deutschland und neun weiteren europäischen Ländern ihr Bankdienstleistungsangebot. Für die offensive Erschließung des EU-Marktes benötigt Revolut als Nicht-EU-Bank eine Verbindung zur European Banking Authority (EBA) sowie den technischen Anschluss an das EBA Clearing – insbesondere an das Echtzeitzahlungssystem RT1 für SEPA Instant Payments und die STEP2-Plattform für den regulären SEPA-Zahlungsverkehr. Realisiert wird dieser Anschluss durch die Datenaustauschlösung TRAVIC-Interbank sowie das Payments-as-a-Service-Modell.

Das Hamburger Beratungs- und Softwarehaus PPI AG wird so zum Rundum-Dienstleister im europäischen Zahlungsverkehrsgeschäft. Die Payments-as-a-Service-Lösung erweitert die Sparten Consulting und Softwareprodukte um ein Komplettangebot und rundet damit das Leistungsportfolio des Hamburger Unternehmens ab. Somit zählt PPI mit seinen Teams an spezialisierten Beratern und seiner TRAVIC-Suite zu den europäischen Marktführern im Zahlungsverkehr. „Wir sind nun in der Lage, Payments-as-a-Service in der gesamten Bandbreite der Zahlungsabwicklung für Banken anzubieten. Diese können dadurch ihre IT-Abteilungen entlasten, ihre Ressourcen effizient einsetzen und damit ihre Wettbewerbsfähigkeit verbessern“, befand Dr. Thorsten Völkel, Vorstandsvorsitzender der PPI AG. Ein Prachtexempel dafür, dass die TRAVIC-Suite nicht nur die zentrale Softwarelösung dafür ist, sondern vor allem die Zukunft bildet, für eine standardisierte, mehrmandantenfähige, moderne und gehostete Zahlungsverkehrsplattform für den europäischen Bankenmarkt! Mit diesen Leistungen ermöglicht die PPI AG Banken und Versicherungen den Betrieb ganzer Wertschöpfungsketten als Software-as-a-Service. Das modulare Portfolio reicht von der Bereitstellung und dem Betrieb der IT-Infrastruktur bis hin zu vielfältigen Services und begeistert nicht nur auf Grund seiner Internationalität, seiner technischen Komplexität, sondern vor allem auch auf der Compliance- und Legal-Ebene.

Anhand dieser Erfolgsmeldungen sieht man klar, was uns verbindet: die Leidenschaft für exzellente Payments-Software und -Beratungsleistung. Wir sind überglücklich, mit der Usergroup 2022 diesem Streben Ausdruck verliehen zu haben. Wie wir alle gelernt haben, ist es eine Selbstverständlichkeit gewesen, Fakten und Lösungen zu Fragestellungen in digitalen Meetings und Calls auszutauschen. Aber gerade die gegenseitige und gemeinschaftliche Inspiration, von der die Weiterentwicklung der TRAVIC-Produkte seit jeher profitiert, die durch den lebendigen, lebhaften und leibhaftigen Austausch von Angesicht zu Angesicht geprägt ist, vermissten wir. Umso größer war die Freude, an diese symbiotischen Schwingungen wieder feierlich anknüpfen zu können und zwei Tage lang die geschätzte PPI-Kundschaft mit einem prall gefüllten und abwechslungsreichen Programm zu beehren: von der Vorstellung neuer TRAVIC-Produkt-Releases, über Use Cases und jüngste Erfahrungsschätze, bis hin zu vertiefenden Diskussionen mit den Kunden im Rahmen der produktspezifischen Workshops.

Autor: Andreas Löwe

 

Prüfung von EBICS-Zertifikaten in Frankreich ohne vertrauenswürdige Drittanbieter

Elektronisches Zertifikat und Anwendungen
Das elektronische Zertifikat ist ein wesentliches Element beim Aufbau von geschützten Bereichen. Es ermöglicht seinem Inhaber, sich zu authentifizieren (Authentifizierungszertifikat), eine Unterschrift zu leisten (Signaturzertifikat), eine sichere Verbindung herzustellen, usw. Für die Funktionen zur Zugangs- und Unterschriftskontrolle verwenden die Anwendungen ein Zertifikat für die Authentifizierung des Inhabers und für die Kontrolle der Informationsintegrität. Es gibt heute zahlreiche Zertifikatsaussteller (Bankensektor, Verwaltung, Unternehmen ...).

Die Anwendungen für die Digitalisierung von Datenströmen sind vielfältig und betreffen alle Wirtschaftsbereiche. Sie setzen die Einrichtung von geschützten Bereichen voraus, in denen es möglich sein muss, die verschiedenen Akteure technisch zu identifizieren und zu authentifizieren sowie die Qualität der Transaktionen und ihrer Aussteller zu überprüfen.
 
Eine Anwendung muss in der Regel Zertifikate von verschiedenen Zertifizierungsstellen akzeptieren können, denn in einer globalen Welt wäre es zu kostspielig und gleichermaßen zu restriktiv, von einem Inhaber ein Zertifikat pro Anwendung zu verlangen.

EBICS und signierte Zertifikate
Um mit Finanzinstituten zu kommunizieren, müssen EBICS-Teilnehmer mit einem T- oder TS-Profil X.509-Zertifikate verwenden. Wenn der Teilnehmer von einer Zertifizierungsstelle (CA) signierte Zertifikate verwendet, müssen diese beim Download der Schlüssel und beispielsweise bei Aufträgen der Auftragsart FUL validiert werden. Die Auftragsarten für die Einreichung und Änderung von Zertifikaten (INI, HIA, H3K, PUB, HCA und HCS) unterstützen sowohl ein einzelnes Zertifikat, als auch Zertifikatsketten.

Validierung des CA-basierten Zertifikats
Die Validierung des CA-basierten Zertifikats kann extern oder intern (für EBICS TS) durchgeführt werden. Ab sofort ist es möglich, intern eingereichte Zertifikate in TRAVIC-Corporate zu prüfen. Dazu werden die Anmerkungen der Sperrliste mithilfe von Zertifikatssperrlisten (Certificate Revocation Lists, CRL) überprüft. Die Zertifikatssperrlisten müssen aus dem Internet heruntergeladen werden. Um die SWIFT-Zertifikatssperrlisten herunterzuladen, ist in der Regel ein Client-Zertifikat für die TLS-Kommunikation erforderlich.

Schnittstelle zur Prüfung interner Zertifikate von TRAVIC-Corporate für EBICS TS

Neben anderen Parametern umfasst die Providerschnittstelle von TRAVIC-Corporate die Prüfung von Zertifikaten, eine Caching-Strategie, die Speicherung von Non-Repudiation-Dateien und die Vorabprüfung von EU-Berechtigungen (EBICS TS) gemäß den CFONB-Spezifikationen. Der Provider kann über den Namen seiner Klasse angegeben und aktiviert werden.

Die Zertifikate werden gegen einen in TRAVIC-Corporate gespeicherten Truststore geprüft. Die gesamte Zertifikatskette wird jeweils bis zum gültigen Root-Zertifikat geprüft. Es werden keine externen Dienste zur Prüfung von Zertifikaten verwendet.

Als Komponenten von TRAVIC-Corporate steuern ein Job-Server und ein Parser diese Verarbeitung. Der Zahlungsauftrag wird freigegeben, wenn das Signaturprofil des EBICS-Teilnehmers mit dem Signaturprofil übereinstimmt, das auf der Ebene der Auftragsart des Kunden konfiguriert wurde.

Das Finanzinstitut kann sich somit vollständig auf seine TRAVIC-Corporate-Lösung verlassen, ohne auf Dritte zurückgreifen zu müssen, wodurch die Systemarchitektur vereinfacht und Kosten gesenkt werden.

Zaher Mahfouz


Quellen: PPI TRAVIC-Corporate, CFONB, X.509-Standards

ISO-Migration im AZV - ein Weckruf

Weltweit werden die Zahlungssysteme auf ISO-20022-Standard UNIFI (universal financial industry message scheme) umgestellt. Im Euroraum begann dieser Prozess mit der SEPA-Einführung 2007. Im kommenden November ist es auch im Individual- und Auslandszahlungsverkehr soweit. Die Finanzwelt verspricht sich viel von der Umstellung. In einer Umfrage von msgGillardon und Unifits haben 99 % der befragten Experten die ISO-Migration sehr oder eher positiv gesehen. Und tatsächlich bietet der neue Standard viele Vorteile, wenn er denn erst einmal möglichst flächendeckend unterstützt wird.

Das Thema ist also alles andere als neu, und doch ist der Weg dahin schwierig und die Einführung musste gleich mehrfach verschoben werden. Dabei setzt das Eurosystem der europäischen Zentralbank auf einen Big-Bang-Ansatz, während SWIFT für den weltweiten Zahlungsverkehr über das SWIFT-Netzwerk eine dreijährige Koexistenzphase von MT- und MX-Formaten vorsieht. Obwohl die Big-Bang-Umstellung wie das schwierigere Projekt wirkt, da alle Banken Europas mit TARGET2 oder EBA Euro1 Anschluss zeitgleich und ohne jede zeitliche Toleranz umstellen müssen, hat auch die Koexistenzphase von MT und MX ihre Tücken.

Die TARGET-MX-Migration ist zunächst viel mehr als nur eine Formatumstellung. So wird zeitgleich der technische Zugang auf ESMIG (Eurosystem Single Market Infrastructure Gateway) umgestellt. Es werden ein ISO-basierter Recall-Prozess sowie ein zentrales Liquiditätsmanagement (CLM) mit neuen Liquiditätskonten (MCA/DCA) eingeführt. Die EZB hat den Banken einen Testzeitraum von rund einem Jahr verordnet und überwacht den Umstieg laufend – bei nicht wenigen Banken stehen die eigenen TGT-MX-Projekte auf gelb oder rot. Der sichere Betrieb des Großbetragszahlungsverkehrs in Europa scheint bei einigen Instituten gefährdet zu sein.
 
Dieser Weckruf bezieht sich jedoch auf die Umstellung im Auslandszahlungsverkehr. Die SWIFT-Initiative CBPR+ (Cross-Border Payments and Reporting Plus) versucht durch die 3-jährige Übergangszeit einen weichen Übergang zu ermöglichen. Jede Bank soll im eigenen Tempo dem Ziel der ISO-Migration nachkommen können. In der Folge wird an vielen Stellen konvertiert anstatt den ISO Datenhaushalt end-to-end zu verarbeiten. Einige Banken senden und empfangen weiterhin MT-Nachrichten für die Zahlungen, andere bereits die ISO-Formate. Darüber hinaus ist die Migration je Nachrichtentyp sowieso zeitlich gestaffelt.

Bei genauer Betrachtung zeigt sich, dass der Übergangszeitraum sowohl für Banken, die noch nicht auf ISO umgestellt haben, als auch für Banken, die eigentlich ISO-ready sind, gewaltige Probleme erwarten lässt:

Banken, die nur MT verarbeiten können, riskieren langsamere Prozesse durch Konvertierungen, müssen zum Beispiel aus Compliancegründen in Übergangslösungen investieren, da in einigen Prozessen doch die Original-ISO-Formate abgeholt und geprüft werden müssen. Das größte Übel: der drohende Datenverlust, bei Adressen beispielsweise…

Andere Probleme kommen auf alle SWIFT-Teilnehmer zu: Die MT/MX-Übergangszeit führt zu einer Vielzahl neuer Szenarien und Use Cases wegen der möglichen Formate in Nachrichten einer Transaktion – Avis in MT, Deckung in MX, Gebührenforderung in MT, Recall in MX etc. Die Transaktionsüberwachung wird erschwert, unterschiedliches Mapping in beteiligten Banken kann zu Fehlinterpretationen führen.

Ein besonders kritisches Szenario möchte ich kurz darstellen: Eine im ISO-Format beauftragte Zahlung wird über eine längere Kette von Korrespondenzbanken, von denen eine nur MT-Format senden kann, ausgeführt. Der MT-Korrespondent empfängt die konvertierte ISO-Zahlung und ist zwar verpflichtet, das Original-ISO-Format abzuholen, kann die abgeschnittenen Daten im MT-Format jedoch nicht weitergeben. Der SWIFT Transaction Monitor enthält noch keine Golden Copy der Originalzahlung, und damit kann die Empfängerbank nun die verlorenen Daten weder aus der MT-Nachricht noch von SWIFT herauslesen oder abfragen. In diesem Szenario werden die Informationen also nicht vollständig vom Auftraggeber an den Empfänger transportiert, obwohl sowohl die Bank des Auftraggebers als auch die Bank des Empfängers bereits mit den ISO-Formaten umgehen können.

Meine Empfehlung ist daher, trotz des akuten Fachkräftemangels die verbliebene Zeit zu nutzen und die AZV-Umstellung mit all seinen vielen Szenarien (die in dieser Ausprägung wirklich neu sind) zu testen. Im Idealfall testen Sie insbesondere mit Ihren Korrespondenten gemeinsam und überprüfen, ob das Mapping von bilateral vereinbarten MT-Belegungen auch in der ISO-Welt noch zusammenpasst.
Schließlich sollten alle Banken, die als Transaktionsbanken agieren, zügig ohne Konvertierung den ISO Datenhaushalt end-to-end verarbeiten können.

Dem internationalen Zahlungsverkehr droht sonst eine dreijährige Zerreißprobe.

Thomas Riedel

Strukturierte Adressen – oder: die Vogel-Strauß-Taktik ist Käse

Die Zeit wird knapp, die nächste große IT-Herausforderung in den ISO-20022-Formaten steht an. Wie schon so oft beginnen die Eidgenossen mit den ersten Regelverschärfungen: Ab November 2022 werden vom Kunden eingereichte ISO-20022-Zahlungen mit unstrukturierten Adressinhalten beim Ultimate Creditor und Ultimate Debtor von den Banken abgelehnt.

Warum nun gerade diese beiden Angaben? Ganz einfach – die in der Masse der Zahlungen eher weniger häufig gefüllten Felder sind Teststrecke und Prüfstand in einem. Eher wenig Transaktionen werden betroffen sein – daher kann man sich dieser Thematik von klein auf und kalkuliert nähern.

„Gar nicht“ geht gar nicht
Für die Anwendungen und deren Entwickler ist das kleinteilige Herangehen allerdings kein gutes Vorgehen. Vieles spricht doch eher für ganz oder gar nicht – Letzteres ist aber keine Option. Dann doch eher, wenn schon strukturierte Adressen, diese bitte überall – also auch beim Creditor, Debtor und den anderen Adressangaben.

Zu kurz gedacht
Wenn Sie jetzt meinen: „Ach, das ist ja die Schweiz, das betrifft mich hier in Deutschland oder Österreich nicht“, dann ist das eine eklatante Fehleinschätzung. Auch im künftigen SWIFT-Zahlungsverkehr sollen ab 2025 ausschließlich nur noch strukturierte Adressen genutzt werden!
Und wer glaubt, dass damit die Kundenschnittstelle, also die korrekte Einlieferung der strukturierten Adressen durch die vielen Kundensysteme, nicht betroffen ist, der übersieht, dass bisher kein System existiert, das eine beliebige, unstrukturiert gelieferte Adresse richtig zerlegen und als strukturierte Adresse weiterverarbeiten kann. Die Vielfalt der internationalen Adressdaten macht dies unmöglich.

Handarbeit ist zumutbar
Also müssen wir jetzt alle ran – Kundenprodukthersteller wie auch Banken selbst. Überall müssen strukturierte Adressen erfasst und über die betroffenen Formate transportiert werden, bis sie dann irgendwann im SWIFT-Netz landen. Erfassungen müssen verändert werden, Datenbankstrukturen angepasst und die inhaltlichen Daten müssen an neuer Stelle im jeweiligen ISO-20022-Format landen. Da wie schon angedeutet eine automatische und fehlerfreie Migration/Wandlung der bisherigen unstrukturierten Adressdaten auf strukturierte Adressdaten nicht möglich ist, müssen wir es unseren Kunden und den Mitarbeitenden in der Bank zumuten, eine menschliche Kontrolle der konvertierten Adressdaten vorzunehmen – ein etwas längeres Projekt also. Für Deutschland wurde dieses schon mal für die neue ISO-Auslandszahlung im ISO-20022-Format pain.001.00.09 festgelegt, ab 2025 dann wirksam.

Zeiträume sind relativ
Wer jetzt noch glaubt, diese Umstellung wird durch ein Wunder irgendwie von selbst passieren, irrt sich: Die Zeit drängt! 3 Jahre sind für die Softwareentwicklung eine denkbar kurze Zeit, und die Arbeiten sind sehr umfangreich. Den Kopf in den Sand stecken, mag bequem erscheinen, führt jedoch schon kurzfristig zum Erblinden. Der frühe Vogel hat Budgets und Order längst vor Augen.

Autor: Michael Schunk