Einige Programme führen den Schlüsselwechsel beim Dateiverfahren nicht automatisch durch, sondern benötigen eine Bestätigung durch den Benutzer. Der Hashwert ist für jede Bank unterschiedlich, exemplarisch der Hash über den neuen GLS Bank HBCI-Schlüssel:
RDH-10 (Signaturdatei): 4F E6 89 17 E7 34 67 1F AA 0E E2 B0 66 64 4B F3
E4 2B 29 CA 86 D8 5C E3 3C E0 D5 59 92 3C 1C F4
Mir bekannte Programme:
MoneyMoney (Mac)
Hibiscus (Windows, Mac, Linux):
Am Server der Atruvia werden ab dem 26.04.2025 die alten EBICS-Schlüssel mit 1984 Bit Schlüsselstärke nicht mehr akzeptiert, damit läuft die „Sonderlocke“ für alte Chipkarten aus. Gleichzeitig ist die EBICS-Version 2.4 Geschichte. Wer also eine Chipkarte nutzt, benötigt unter Umständen eine neue Karte. Auf Bankseite ist es unerheblich, ob von einem EBICS-User eine Chipkarte oder eine Signaturdatei eingesetzt wird, dies „merkt“ die Bank in der Regel gar nicht.
Keine neue Karte vorhanden?
Als Zwischenlösung können Sie den Zugang zurücksetzen lassen und eine Signaturdatei einrichten. Wenn Sie weiterhin mit einer Chipkarte arbeiten möchten, besorgen Sie sich eine Karte der neuen Generation, Ihre Bank sollte diese besorgen können. Zur Not kann man offensichtlich auch EBICS-Karten bei der Commerzbank im Shop bestellen, diese sind in der Lage mit 2048 Bit zu arbeiten. Ihre Bank „merkt“ nicht, welches Label die Karte besitzt. Den genossenschaftlichen Banken stehen die neuen Karten erst seit wenigen Wochen zur Verfügung. Die meisten Banken setzen ausschließlich sogenannte personalisierte Karte ein, diese müssen bestellt werden und das dauert einige Tage.
Einstellen der EBICS-Version 2.5?
Die Version 2.5 ist seit Jahren Standard und wurde in der Regel vor Jahren bereits eingestellt. Auf der Bankseite „sieht“ man nur die Version des Teilnehmers, der sendet und nicht die Version der Unterschrift für die Aufträge. Es kann also sein, dass bankseitig noch eine Version 2.4 bei diversen Usern vermerkt ist, weil diese seit der Initialisierung vor Jahren nie Daten übertragen haben, sondern lediglich unterschreiben.
Alle mir bekannten Programme können auf die Version 2.5 (H0004) umgestellt werden, wie dies aber geht, ist je nach Software sehr unterschiedlich.
Bei den meisten Lösungen ist es ein einfacher Klick in der Versionseinstellung an der Bankparameter-Einstellung (das ist in der Regel eine Admin-Aufgabe), bei anderen müssen die Teilnehmer*innen offensichtlich die Umstellung durch eine Aktion selbst einleiten.
Für Profi cash habe ich die Anleitung hier veröffentlicht:
https://vrkennung.de/profi-cash-ebics-version-einstellen/
Am 26.04.2025 schaltet die Atruvia die alte EBICS-Version 2.4 ab, die nötige EBICS-Version ist dann 2.5 bei allen Genossenschaftsbanken und der GLS Bank.
Es muss lediglich die Version umgestellt werden, eine Initialisierung oder Datenübertragung mit der Bank ist nicht nötig.
Anleitung:
In Profi cash stellt der master die Version zentral für alle User ein. Wenn Sie getrennte Datenbanken nutzen, z.B. weil Sie nicht im gleichen Netzwerk arbeiten, dann muss dies an jedem Arbeitsplatz umgestellt werden. Das gilt auch, wenn Sie mehrere Firmen (also Mandanten) nutzen, die Einstellung gilt pro Firma.
Version 12.x:
Wählen Sie das Menü „Einstellungen“ und dort dann auf „EBICS-BPD-Verwaltung“.
Wählen Sie oben das BPD-Kürzel aus und stellen Sie die Version um. Speichern nicht vergessen.
Version 11 (läuft 2025 aus), Update oder Programmwechsel wird dringend empfohlen.
Wählen Sie als master das Menü „Stammdaten“, „EBICS-BPD-Verwaltung“ an.
Wählen Sie oben das BPD-Kürzel aus und stellen die Version auf 2.5 um.
Bestätigen Sie mit „Speichern“. Fertig.
Update:
Einige Programme benötigen auch beim Dateiverfahren eine Bestätigung durch den User, die mir bekannten Programme werde ich ->hier veröffentlichen.
Update2:
Fehlermeldung: INERR (9999) Es liegt ein Fehler im Aufbau der Antwort vor. () –
Tritt bei Verwendung der Secoderfunktion mit HBCI-Chipkarte auf. Klicken Sie >>hier<<
Seit Mitte April informieren die ersten Banken über den anstehenden Schlüsselwechsel im HBCI-Verfahren per Banknachricht. FinTS mit PIN und TAN ist nicht betroffen, es geht rein um das RDH-Verfahren der an der Atruvia hängenden Banken.
In Profi cash sieht die Banknachricht der GLS Bank so aus:
Die Nachricht in GLS eBank / windata ist dezenter. Nach dem Abruf des Umsatzes erfolgt der Hinweis als „Neue Institutsmeldungen“
Lesbar wird es mit Erhöhung der Zeilenzahl.
Ein Tool zum Lösen der Problematik: Eine bereits hochgeladene Zahlungs-Datei wird im Onlinebanking nicht akzeptiert… Lesen Sie hier.
und ein kleiner Nebeneffekt:
Falls nicht erlaubte Zeichen in der Message ID-stecken, dann kann man diese mit der Automatik auf einfache Weise los werden. Der Bankserver akzeptiert nur die erlaubten Zeichen.
Funktion:
Die Webseite liefert ein Javascript, um in XML-Dateien das Feld Message-ID auf einfachste Weise änderbar zu machen. Ziel war es, das „Problem“ mit der Dubletten-Erkennung Onlinebankings auf simpelste Weise zu umgehen.
Es passiert dabei alles in Ihrem eigenen Browser, also auf Ihrem Rechner, es werden dabei keinerlei Daten auf meinen Server oder ins Internet geladen!
Wichtig:
Ich habe das Tool nach bestem Wissen getestet und geprüft, kann aber keine Haftung oder irgendeine Garantie übernehmen. Aufgrund der wirklich einfachen Aufgabenstellung gehe ich von einem Funktionieren ohne Fehler aus, aber bitte prüfen Sie immer das Ergebnis, bevor Sie Buchungen freigeben.
Wieso?
Das oben verlinkte Browser-Tool ist das Ergebnis meines Experimentes mit dem kostenlosen Sprachmodell von perplexity Ai, also einer „künstlichen Intelligenz“, die u.a. auch das Programmieren unterstützen kann. Für die Entwicklung der recht einfachen Aufgabe haben die KI und ich 6 Anläufe im Dialog und ca. eine Stunde zum Testen und Ausprobieren gebraucht, um das gewünschte zu generieren. Es war für mich sehr interessant und sogar lustig, wie der Dialog erfolgte und auch welche Fehler mehrfach von der KI erzeugt und kommentiert wurden.
So gab es im Generierungsprozess Sätze sinngemäß wie:
Moment mal, der User hat gesagt, dass das Rückgängig-Machen nicht richtig funktioniert. …
Warte, hier könnte ein Fehler sein….
Es ist besser, wenn wir die Variable…
Ziel war es also für mich nicht unbedingt ein an sich überflüssiges Tool zu basteln, sondern das Beschäftigen mit dem Thema KI als solches. Allerdings hatte ich Anfang des Monats eine Kundin am Telefon, die mit der an sich simplen Änderungs-Aufgabe trotz wirklich einfacher Anleitung überfordert war. Grund war einfach die große, aber eigentlich nicht gerechtfertige Angst davor, Fehler zu machen. Dazu kam allerdings der Kommentar eines Kollegen, dass das Thema sicher schon einige Menschen überfordere und voila…
Update 30.01.25:
Die Deutsche Bank hat die Einstellungen geändert, aktuell klappt es wieder.
Früher oder später wird das allerdings wahrscheinlich wieder zum Thema, ältere Versionen sind dann nicht mehr in der Lage, die Verbindung aufzubauen.
Seitdem die Deutsche Bank am 27.01.25 für die FinTS-Adressen Server Name Indication (SNI) aktiviert hat (ein Zertifikat für mehrere Adressen), kann sich Profi cash nicht mehr mit dem Bankserver verbinden.
Über die bkcemu.ini kann man per Editor (ich empfehle gerne das freie Notepad ++) SNI für die Adresse einstellen. Dieser Abschnitt sollte z.B. am Ende eingefügt werden.
Die BLZ muss entsprechend angepasst werden.
[SNI]
20070000=fints.deutsche-bank.de
für die Norisbank:
[SNI]
20070000=fints.norisbank.de
Voraussetzung ist eine aktuelle Version 12.xx, weil der Kernel dies unterstützen muss
Aktuell tritt bei einigen unserer Kunden erneut der Fehler „Kundenschlüssel nicht mehr gültig“ erneut auf, der mir aus den letzten Jahren bekannt vorkommt. Zuletzt hatte Lexware das Problem.
Mit dem ChipcardMaster können Sie HBCI-Karten wieder korrekt einstellen – wenn es sich um eine Karte mit Seccos 6 Chip handelt. Seit ca. April/Mai 2025 werden neue Seccos 7 Karten ausgegeben, leider weigert sich der ChipcardMaster, mit der neuen Kartengeneration zu arbeiten. Es gibt zwar ein älteres Karten-Tool, das diese Probleme nicht hat, aber es ist leider nicht frei verfügbar.
-> So reparieren Sie neue Karten mit dem Admintool des DG-Verlages (DG Nexolution).
Die folgende Anleitung funktioniert mit neuen Karten nicht mehr, da die Inhalte aber bei Suchdiensten verlinkt sind und weiterhin helfen können, lasse ich die Seiten aktiv.
Wichtig:
Prüfen und aktualisieren Sie den Lesertreiber, bevor Sie weiter machen. Starten Sie nach einem Update ggf. neu. Beachten Sie die Installationsanweisung des Herstellers (Install mit Adminrechten bei Reiner SCT-Lesern)
Häufig wurde der Bankzugang nicht neu eingerichtet, sondern die neue Karte wurde mit dem alten Zugang verwendet. Programme sollen am Status des Kartenchips erkennen, dass die Austauschkarte noch nicht initialisiert wurde und reagieren darauf automatisch mit der Einreichung der neuen Schlüssel. Leider machen dies nicht alle Programme richtig. Und schlimmer noch: Sie überschreiben den neuen Inhalt der Karte mit den alten Daten.
Auch ändern einige Programme die aktualisierten Daten nicht, sondern verwalten diese intern (Bankschlüssel und URL-Adresse). Bei einem Programmwechsel funktioniert die Karte dann nicht, obwohl sie noch funktionsfähig wäre.
aus dem Logfile:
Empfangene Nachricht auswerten ##### HIRMG:9050:Die Nachricht enthält Fehler.: ##### HIRMS:9010:Schlüsseleinreichung wurde abgelehnt.: (Seg:4) ##### HIRMS:9010:Schlüsseleinreichung wurde abgelehnt.: (Seg:5) ##### HIRMS:9010:Schlüsseleinreichung wurde abgelehnt.: (Seg:6) HIRMS:0020:*Dialoginitialisierung erfolgreich: (Seg:3)
Die Fehlermeldung lautet "Kundenschlüssel nicht mehr gültig", als ob noch die alte Karte verwendet würde.
Die Karte hatte bereits den Status 04, also „Schlüssel eingereicht“, wie im Bild zu sehen (Chipcard Master, Bedienung siehe unten). Die Übertragung war im Banksystem aber mit RDH2 angezeigt, also eine falschen Version der Verschlüsselung. RDH2 stimmt übrigens nicht wirklich, das Banksystem trägt dies einfach als default-Wert ein weil die Verbindung nicht geklappt hat, aber die Benutzerkennung erkannt wurde.
Nach Änderung auf 01 und Einreichung der Schlüssel funktioniert die Initialisierung der Karte und dann auch der Kontozugriff.
Folgekarten, die abgelaufene HBCI-Karten ersetzen haben, werden erneut von einigen Programmen kaputtgeschrieben, wenn sie nicht neu angemeldet werden.
Die Fehlermeldung lautet meist:
„Die Synchronisierung mit dem Kreditinstititut ist fehlgeschlagen.“ (…)
„Kundenschlüssel nicht mehr gültig. Auftrag abgelehnt“.
Sicher bin ich aktuell nur, dass einige Versionen des b+s (Datadesign)-Kernel ddbac mit den Karten erneut ein Problem haben muss. Die Schlüsselnummer wird vermutlich daher in bestimmten Versionen unter anderem in Lexware, Quicken, MS-Money99, windata, Buhl (wiso..), GLS eBank etc. falsch gesetzt.
Die Fehlermeldung wird in anderen Programmen eventuell mit anderen Texten ausgegeben.
Reparieren kann man die Karte nicht mit den ddbac-Hausmitteln, wie das bei falschen RDH-Versionen funktionieren kann.
Eine mögliche Lösung ist der Chipcard Master vom wirklich genialen Chipkarten-Guru Dr. Olaf Jacobsen (auch von hier noch einmal den herzlichsten Dank für alles und den Chipcard Master!). Sinnvoll ist dies nur, wenn man danach eine Software einsetzen kann, die die Karte nicht sofort wieder unbrauchbar macht.
Das kostenlose Tool erhält man bei heise zum freien Download, trotzdem sollte man sich hier www.chipcardmaster.de über den Stand informieren.
Achtung:
Man sollte diese Änderungen nur durchführen, wenn die Karte wirklich nicht funktioniert (letzte Maßnahme). Ich kann keine Haftung für die Bearbeitung übernehmen. Ist die Karte aber eh unbrauchbar, kann man sie kaum kaputter machen.
Prüfen und aktualisieren Sie ggf. den Treiber des Kartenlesers und auch die Firmware des Lesers. Die neue Version beinhaltet auch ein Tool zum Prüfen des Zählerstands des Chips.
In vielen Fällen muss dazu der Gerätemanager (Reiner SCT) mit Adminrechten gestartet werden (Rechte Maustaste auf das Icon).
Ich bin so vorgegangen:
Unter „Kartenleser“, Einstellung des Kartenlesers muss der Leser auf die sichere PIN-Eingabe umgestellt werden. Bei meinem Leser kam es zu Abstürzen, ich habe dann einfach neu gestartet und dann ging es.
Die HBCI-Daten der Karte lese ich unter „Banking“ aus.
Erst nach der PIN-Abfrage erfolgt die Anzeige. Das gesuchte, offensichtliche fehlerhafte Feld finde ich im Chipcard Master unter „Schlüssel Info“.
Bei meiner Folgekarte muss ich alle „001“ in die „002“ abändern und speichern.
Die RDH-Version bleibt bei personalisierten Karten 007, bei Karten ohne Namensdruck 009. Manchmal ist dies auch verstellt, bei einem Lexware-Kunden war es 009001009001009001. Richtig war 007002007002007002 (personalisierte Karte, erste Folgekarte). Leider sieht man im Banksystem nicht auf Anhieb, ob es sich um eine Folgekarte handelt.
Beim ersten Mal habe ich direkt den „Speichern-Befehl“ übersehen, dieser befindet sich unten links.
Danach funktionierte die Karte bei mir wieder, allerdings nur in Profi cash und der VR-NetWorld Software, weil damals die ddbac diesen Fehler ständig wiederholte und die Karte reproduzierbar kaputtschrieb. Ich hatte die Karte in einer ddbac-Software testweise neu initialisiert, danach war die Karte wieder defekt. Eingesetzt wurde ein ddbac-Kernel der Version 5.8.80 und .85, letztere vom 10.01.2020, wenn ich das richtig gesehen habe. Der Fehler trat im März 2024 erneut auf!
Es spricht nichts dagegen, die Folgenummern einfach durchzuprobieren. Sie machen damit nichts kaputt, es ist lediglich etwas lästig, dass man immer den ChipcardMaster beenden muss, um nicht mit der Banksoftware in Konflikte zu kommen.
Ergänzung :
So sieht meine Karte der Generation 1 im Chipcardmaster aus. Die Karte wird im Laufe des Jahres ungültig werden.
Die URL der Karte unter Komm.Adresse ist hier seit 13.03.24 veraltet. Sie lautet für ex-GAD Banken und HBCI-Karten nun: fints1.atruvia.de (ehemalige Fiducia: fints2…). Einige Programme aktualisieren dieses Feld nicht.
Dem Bankschlüssel einfach glauben? Überlegung dazu:
Wenn Sie mit der Serveradresse und Ihrer Karte sich mit einem gefälschten Bankrechner verbinden würden – was könnte passieren? Betrüger könnten Ihren öffentlichen Schlüssel abgreifen und – theoretisch – Ihre Daten mitlesen. Aber es wäre nicht möglich, Zahlungsverkehr auslösen, dazu fehlt der geheime Schlüssel Ihrer Karte. Wer würde diesen Aufwand treiben? Und wäre es nicht für einen Betrüger einfacher, Ihren Rechner zu hacken und die Daten dort abzugreifen? Das wäre ja möglich, weil ja die Bank-Domänen schon umgeleitet werden müssten.
Die Gefahr ist meines Erachtens minimal. Ob Sie also der Hash-Anzeige einer Software vertrauen und den Bankschlüssel bestätigen, liegt bei Ihnen.
Sie können den Hashwert Ihrer Bank mit der ddbac aktualisieren (zu finden als 32 Bit-Anwendung in der Systemsteuerung bei windata, GLS eBank, Lexware und einigen anderen).
Es scheint mit dem Zertifikatswechsel nicht getan zu sein. Hier der Thread im Homebanking-Hilfe.de Forum zum Thema VR-NetWorld Software und DKB:
https://homebanking-hilfe.de/forum/topic.php?t=26893
Update (04.12.2024) mit Info aus dem Forum:
Die DKB scheint Änderungen am Server durchgeführt zu haben: Wenn man das neue Zertifikat hat, soll es helfen, die BPD zu löschen und dann den Bankzugang neu zu synchronisieren.
Zertifikatswechsel
Die genossenschaftlichen Programme verwenden eigene Zertifikatsspeicher, die in der Regel über Updates mit den aktuellen Daten versorgt werden. Leider hat es die DKB versäumt, die Zertifikate rechtzeitig vor dem Server-Wechsel an die Softwarehersteller zu verteilen, so dass in dringenden Fällen die nötigen Dateien manuell installiert werden müssen.
Die fehlende Datei müssen Sie bei Ihrer lizenzgebenden Bank anfragen.
Installation:
Laden Sie die Zertifikats-Datei aus dem von der Bank kommunizierten Downloadbereich.
In den Programmen werden die Zertifkatsdateien in einem Unterordner der Installation /certs vorgehalten. Finden Sie den Installationspfad heraus:
Klicken Sie mit der rechten Maustaste auf das jeweilige Programmicon. Wählen Sie im Kontextmenü „Eigenschaften“ aus. Den Programmpfad merken Sie sich oder kopieren Sie aus „Ausführen in“.
Starten Sie den Datei-Explorer und wechseln Sie in den Installationspfad.
VR-NetWorld Software:
Suchen Sie im Programmpfad den Ordner „hbkernel“ und dort „certs“.
Profi cash:
Suchen Sie „im Programmordner „hbci“ und dort nach „certs“. Sollten Sie den Pfad nicht finden, öffnen Sie die „bkcemu.ini“ und schauen Sie dort nach dem Dateipfad für „certs“. Den Ordner suchen Sie auf.
Kopieren Sie die Zertifikatsdatei in diesen Ordner und testen Sie den Zugang, z.B. indem Sie die Umsatzdaten abrufen.
Am 20.11.24 aktualisiert die Atruvia die SSL-Zertifikate für die Dienste FinTS /HBCI mit PIN und TAN und EBICS.
Bei den meisten Programmen und Apps ist keine Aktualisierung notwendig, weil sich die root-Zertifikate der Server nicht ändern werden.
Update:
Meines Wissens sind lediglich ältere Starmoney-Versionen 13.x betroffen, hier hat Starmoney Updates angekündigt.
Die betroffenen URL:
https://ebics.multivia-suite.de/
https://fints1.atruvia.de/cgi-bin/hbciservlet
https://fints2.atruvia.de/cgi-bin/hbciservlet
Der Fehler tritt selten auf, ist aber meist schnell geklärt, wenn man weiß, was damit gemeint ist.
Mit „Key“ ist eine Taste gemeint („Keyboard“) und die steckt fest („stuck“).
Der Fehler meist auf, wenn sich eine Taste einfach verklemmt hat, das kommt meiner Erfahrung nach schon mal vor, wenn z.B. eine der Gummi-Tasten des Vasco-Lesers mit einer Ecke unter das Gehäuse gerät und dann dort festhängt. Das kann man dann mit etwas „Gefummel“ leicht selbst lösen.
Denkbar und kaum lösbar sind natürlich auch Fehler an einem der Kontakte selbst, wenn z.B. eine leitende Flüssigkeit (z.B. leitende Schmiermittel) einen Kurzschluss verursacht hat oder die Gummitasten einem Lösungsmittel ausgesetzt waren (Aceton, Benzin, Verdünnung…) und sie dadurch beschädigt sind. Dann hilft eigentlich nur ein Austausch des Gerätes.
Wer Spaß am Basteln hat, kann natürlich online Videos finden, wie ähnlich aufgebaute Tastaturen (Fernbedienungen z.B.) repariert werden können. Ein Sicherheitsrisiko gibt es nicht bei den Geräten der Genossenschaftsbanken oder Sparkassen mit Kartenslot, weil die „eigentliche Intelligenz“ nicht im Gerät selbst sitzt, sondern im Chip der Karte. In dem Fall also beherzt ran an die Hardware: und „Mach flott den Schrott!“