Author Archives: Raimund

Die Bezeichnungen der Felder in den verschiedenen Zahlungsverkehrsprodukten sind leider nicht eindeutig. z.B. wird das Feld Kunden-ID in der FinTS/HBCI-Software manchmal als „Kundennummer“ bezeichnet, obwohl der Begriff in der Genowelt schon anders besetzt ist, entsprechend schnell passieren Missverständnisse.

Ich beschreibe die Einstellungen und Felder möglichst allgemeingültig, obwohl es womöglich sogar „falsch“ ist und versuche ein paar Begriffe zu erklären.

Also, da wäre als erstes:

Benutzername, Zugangsname, Bankkontakt, etc.: Darunter verstehen die meisten Programme einen bezeichnenden Namen für den Bankzugang. Denn das Computerprogramm kann ja nicht wissen, wer am Rechner sitzt. Dieser Name kann üblicherweise frei vergeben werden. Er steht nicht unbedingt an erster Stelle, bei einigen Programmen wird dieses Feld auch nicht angeboten. Damit nach den richtigen Zugangsdaten gefragt werden kann, ist es sinnvoll, möglichst sprechende Namen zu vergeben, unterscheidbar nach Nutzer/in, ggf. Zugangsart und sogar Bankbezeichnung, wenn die Feldlänge dies hergibt.

Das erste Feld „Benutzerkennung“:
Häufig das erste Feld nach der BLZ. Hier scheinen sich die Programmierer weitestgehend einige zu sein. Das Feld wird gefüllt, je nach Bankzugang, mit:

• PIN & TAN-Verfahren: VR-NetKey oder Alias
• Signaturdatei: Benutzerkennung nach dem Muster 672…
• Chipkarte: wird bei personalisierten Karten ausgelesen, sie enthält die Benutzerkennung auch nach dem Muster 672…
  (Bei den selten gewordenen unpersonalisierten Karten wird die Benutzerkennung von der Software in den Kartenspeicher programmiert. )

Das zweite Feld, „Kunden-ID“:
Es wird auch häufig fälschlich nach Kundennummer oder sogar nach dem alten Begriff „VR-Kennung“ oder ähnlichem gefragt. Es ist eigentlich immer das nächste Feld direkt nach der Benutzerkennung. Falls es nicht leer bleiben kann, einfach das erste Feld kopieren.

Zugangsdetails der exGAD-Banken (auch GLS-Bank)
Sicherheitsdatei: nur noch RDH-10
Chipkarte: RDH-7 (Karte mit Namensaufdruck), unpersonalisiert: RDH-9 (Ini-Briefe werden ausgetauscht)
Kommunikationsadresse: fints1.atruvia.de
(bei eher südlichen, also ehemaligen Fiducia Banken fints2.atruvia.de)
Port für FinTS/HBCI: 3000 (muss manchmal in Routern, Firewalls oder Proxys frei gegeben werden)

PIN&TAN-Zugang
Kommunikationsadresse: https://fints1.atruvia.de/cgi-bin/hbciservlet
(für ex-GAD-Banken wie die GLS Bank, für ex-Fiducia-Banken 1 durch 2 ersetzten)
FinTS Version 3.0
TLS 1.2 nötig seit Juli 2019
Base64 encoding (meist automatisch)
Port für FinTS/HBCI: 443 (meist automatisch richtig)

TAN-Medien/Verfahren
Um die Richtlinien zu erfüllen, ist seit 2019 die TAN-Eingabe Pflicht (zweiter Faktor) beim Abruf von Daten und bei der Transaktionsfreigabe. Die Banken mit „Erlaubnis“ dürfen auf die tägliche Eingabe verzichten, spätestens alle 180 Tage ist sie aber nötig. Auch bei Kleinstbetragsbuchungen darf die Bank die Buchung ohne zweiten Faktor durchwinken. Daher muss ein gültiges Verfahren ausgewählt werden, also die Art der TAN-Erzeugung oder Freigabe per App. In den allermeisten Programmen bekommt man die Art des TAN-Mediums angeboten, für die man freigeschaltet ist. Bei der chipbasierten TAN-Erzeugung kann das Sm@rtTAN manuell, optisch (Flackerbild), photo (farbiges Pixelbild) oder per USB-Leser sein und für die App SecureGo plus Direktfreigabe (decoupled) oder SecureGo (TAN-Erzeugung mit Eingabe).

Die TAN-Medienbezeichnung muss bei uns nicht ausgewählt werden, damit ist beim Sm@rtTAN-Verfahren die Karte gemeint. Am VR-NetKey kann bei Sm@rtTAN nur eine einzige Chipkarte aktiv sein, bei der SecureGo plus App können aber bis zu drei Geräte pro Kunde, nicht pro VR-NetKey gleichzeitig gültig sein.

Die Einrichtung eines Bankkontaktes ist in Alf BanCo durch den eingebauten Assistenten wirklich einfach.

Wählen Sie „Einen neuen Online-Zugang…“,

dann HBCI / FinTS Zugang,

und der Assistent startet.

Die Voreinstellungen werden nach Eingabe der BLZ automatisch korrekt eingestellt.

Das Verfahren HBCI-PIN/TAN ist der erste Eintrag.

Nach Klick auf „Weiter“ startet der Dialog zum Abruf der Bankparameter.

Die Feldbezeichnungen sind vorbildlich und kaum missverständlich. Hier muss ich ein großes Lob an die Alf-Entwickler aussprechen.

Bei einem PIN&TAN-Zugang gehört die VR-Kennung in beide Felder. Komplett mit „VRK“ und allen 16 Ziffern eintragen.

Die PIN ist entweder genau 5 Stellen lang, wenn sie schon länger nicht geändert wurde oder inzwischen mindestens 8 Stellen lang. Beim PIN&TAN-Verfahren ist diese immer gleich zum Onlinebanking (Browserbanking). Das Tastaturfeld ermöglicht die Mausbedienung. Um Keylogger (Spionageprogramme) das Auslesen der Tastatur zu erschweren, kombiniert man idealerweise die Eingabe von Maus und Tastatur.

Nach der weiteren Datenübertragung werden die Konten zurückgemeldet.

Das gewünschte TAN-Verfahren muss ausgewählt werden, wenn man für mehrere TAN-Verfahren freigeschaltet ist, wie ich. Beim SmartTAN Verfahren muss man sich entscheiden, ob man die Tastatur des Kartenlesers nutzen möchte, dann ist „plus“ die richtige Wahl.

Und fertig.

letzte Änderung: 04.01.2021

Es gibt zwei Typen:
Die personalisierte und die unpersonalisierte Karten.

Eindeutiges Erkennungmerkmal:
Auf einer personalisierten Karte ist der Name des/der Karteninhabers/in aufgeprägt.

Die personalisierten Karten sind am aufgedruckten Namen des/der InhaberIn erkennbar. Die Karte ist bereits programmmiert und der Bankschlüssel ist signiert vorhanden. Viele Genobanken haben die girocard („ec-Karte“) um die FinTS-Funktion erweitert. Auf der Rückseite befindet sich dann das FinTS-Logo. Die Karten verwenden die Verschlüsselungstärke RDH-7.

Die Karten  müssen nur eingelesen und nicht mit einer Benutzerkennung programmiert werden. Die Benutzerkennung ist bereits auf dem Chip gespeichert. Die in einem separaten PIN-Brief mitgeteilte 6-stellige PIN (nicht die für den Geldautomaten!) muss nicht geändert werden (kann aber). Ein Vorteil der Karte ist eine sogenannte PUK, die ebenfalls per Sicherheits-Brief mitgeteilt wird. Mit der PUK kann die PIN auch nach einer Sperre durch drei PIN-Fehlversuche in Folge wieder geändert werden, die Karte ist also auch nach dreimaliger Falscheingabe in Folge nicht unbedingt „hinüber“.

Ein Ini-Brief und Prüfung der Schlüssel und Hashwerte ist nicht nötig, auch wenn einige Programme dies suggerieren.

Die unpersonalisierten Karten tragen im Genobranding die Bezeichnung VR-NetWorld card basic und sind zusätzlich erkennbar an der sehr langen, komplett eingedruckten Kartennummer mit 672…. Ein Name ist nicht eingeprägt.

Von „Werk“ aus sind die Karten mit einer 5-stelligen PIN, der sogenannten Transport-PIN, ausgestattet, die vor der Programmierung der Karte mit Zugangsdaten in eine 6 bis 8-stellige eigene PIN geändert werden muss. Die Änderung geschieht dabei am Kartenleser. Einige Institute belegen die Karte vor, um Bedienungsfehler zu minimieren. Die Karten-PIN wurde dann bereits in der Bank geändert. Für diese Karten ist keine PUK erhältlich.

Die Benutzerkennung wird bei der Programmierung der Karte von der Software eingetragen, der öffentliche Schlüssel der Bank und der der Karte müssen ausgetauscht werden. Am Ende des Vorganges wird ein INI-Brief ausgedruckt, der zur Bank geschickt werden muss.

Akzeptanz bei Genobanken und fremde Karten

Nicht alle genossenschaftliche Banken unterstützen diesen Kartentyp, also zur Sicherheit vorher erkundigen. Die Bank benötigt die komplette Kartenseriennummer zur Anlage einer passenden Benutzerkennung.

Die mir bekannten Karten unterstützen bis zu 5 verschiedene Bankkontakte auf einem Chip. Wichtig ist, dass die Karte mit RDH-9 benutzt werden muss. Die Karten werden bei den Genossenschaftsbanken nur noch mit Verschlüsselungsstärke RDH-9 akzeptiert. Karten, die nur RDH-5 schaffen, werden nicht mehr akzeptiert. Gleichwohl können RDH-9 Karten in RDH-5 verwendet werden.

HBCI-Chipkarten und Sm@rtTAN

Nur die personalisierte Karte kann für die TAN-Erzeugung genutzt werden. Damit ist der Kartentyp auch eine Option für Kundinnen und Kunden, die mit eingeschränkter Vollmacht (A, B-, N-Vollmacht) arbeiten und daher keine „normale“ Bankkarte bekommen oder für Menschen, die einfach keine Karte mit Zahlfunktion nutzen möchten. Für die Nutzung ist die Freischaltung zu HBCI nicht nötig, die Karte muss auch nicht initialisiert werden und ein Schlüsseltausch ist nicht nötig.