letzte Änderung 19.10.2016
Haben Sie den Verdacht, Ihre HBCI-Sicherheitsdatei könnte unberechtigt kopiert worden sein, dann müssen Sie die Sicherheitsdatei austauschen. Dazu ist bei Banken an der exGAD keine neue Benutzerkennung und kein neuer Brief notwendig, Sie erzeugen die neue Verschlüsselung und unterschreiben diese mit ihrer alten Datei.
Bei Programmen, die dies nicht beherrschen, bleibt nur die Neueinrichtung. Ein Passwortwechsel reicht nicht aus, die Kopie behält ja das alte Passwort!
Informationen zum Fehlerhinweis: Signatur-ID ist ungültig oder was already used
So erzeugen Sie eine neue Sicherheitsdatei und reichen diese online ein
Lesen Sie hier weiter für:
Profi cash: Schlüssel austauschen und neues Passwort vergeben
Wenn Ihr Programm nicht mehr läuft, rufen Sie die Bank an. Erreichen Sie diese nicht, nutzen Sie die Sperrhotline, z.B. die Rufnummer 116 116.
VR-NetWorld Software: Schlüsselwechsel und Passwort tauschen
- Wählen Sie Stammdaten/Bankverbindungen an und klicken Sie doppelt auf den zu ändernden Bankkontakt.
- Wählen Sie links im Baum Sicherheitsmedium
- Wählen Sie Schlüsselwechsel aus und folgen Sie dem Assistenten
- Ändern Sie noch das Passwort
Schlüssel sperren mit ddbac-Programmen (windata, Quicken, Lexware…)
eBank/windata und die meisten ddbac Programme, wie Quicken/Lexware etc. bieten den Schlüsseltausch nicht an. Sie können aber die Signaturdatei sperren. Klicken Sie in der ddbac (bei eBank / Windata erreichbar über Stammdaten, Administrator für HBCI) doppelt auf den Bankkontakt und wählen Sie „Zugang sperren“ aus.
Das Programm fragt in einem weiteren Sicherheitsdialog, ob Ihnen der Schlüssel noch zur Verfügung steht und klärt Sie über die Folgen auf.
Das es wirklich ernst ist, zeigt der erneute Hinweis.
Danach geht wirklich nichts mehr mit einer alten Kopie!
Es öffnet sich der gewohnte Dateidialog, selbst jetzt könnte man noch abbrechen. Folgen Sie dem Dialog bis zum Ende.
Seit einer Weile mache ich die Erfahrung, dass das Unterhalten einer FinTS-Infrastruktur zum gleichen Konto an zwei Rechnern (z.B. Laptop und Notebook) daran scheitert, dass der inhalt der privaten Schlüsseldatei bei jeder Transaktion geändert wird, und andere Dateien ebenso. Es ist nicht möglich, wechselweise Transaktionen an beiden Rechnern durchzuführen, es sei denn, mehrere Dateien vom letztbenutzen Rechner werden kopiert.
Dies kann man als Sicherheitsmerkmal ansehen, wobei ich mich frage, ob die Schlüsseldateivariante damit zukunftsfest ist/gemacht wird oder nicht, siehe dazu Info auf z.B. http://www.wikibanking.net/onlinebanking/verfahren/schluesseldatei/ – Stichwort „Besitz“, und nur einmal vorliegen dürfen.
Wie dem auch sei: kann man von zwei Rechnern je für sich einen Initialisierungsvorgang zu einem spezifischen Konto bei der Bank auslösen, damit das beschriebene Problem gelöst ist?
Offensichtlich ist man aktuell der Meinung, dass die Signaturdatei als Sicherungsmedium ausreicht. Trotzdem bleiben genau die Sicherheitsmängel, solange eine Synchronisierung funktioniert. Solange der Besitz nicht an etwas anderes gebunden wird, z.B. an die individuelle Hardware oder die Seriennummer der Software, ist das Verfahren anfällig für Kopierangriffe z.B. per Schadsoftware. Das ist meine persönliche Bewertung und ich kann kaum einschätzen, wie attraktiv dieses Verfahren für Betrüger ist.
Das Problem mit dem „Zähler“ habe ich hier beschrieben:
https://vrkennung.de/fintshbci-signatur-id-ungueltig-oder-was-already-used/
Um Ihr konkretes Problem zu lösen, könnte man bei den meisten Banken einfach zwei Dateien nutzen.
Oder Sie steigen auf ein Programm um, dass den Dateizähler in der Sicherheitsdatei selbst verwaltet (Profi cash, windata, VR-NetWorld Software) und nicht in der Datenbank.
Oder Sie nutzen eine Software, die komplett mobil arbeiten kann, das wären z.B. die gleichen Programme.
Das Thema könnte für viele Menschen interessant sein – stellen Sie das Thema doch auf http://www.homebanking-hilfe.de zur Diskussion.
Herzliche Grüße
Raimund Sichmann
(Ergänzung: Ich habe aus Datenschutzgründen den Namen anonymisiert)