Hibiscus – VR-Kennung Blog

15Sep. 2025

Liste der ZV-Programme und Versionen, die die Namensprüfung (VoP) bei SEPA-Überweisungen (nicht) umsetzen können

by Raimund ⋅ 4 Comments

Suchwort: #VOPVER
letzte Änderung: 29.10.2025

So sieht eine typische Fehlermeldung aus, wenn eine Überweisung mangels Namensprüfung abgelehnt wird:

(Nachricht) HIRMG (9050) Die Nachricht enthält Fehler () (Auftrag) HIRMS (9076) Namensabgleich erforderlich. ()

FinTS/HBCI: Die Sammlerausführung von Echtzeitüberweisungen (Instand-Payment) (HKIPM) ist erst ab dem 25.10.2025 verfügbar bei den Atruvia-Banken.

EBICS:
Die Arbeitsweise ändert sich bei der Namensprüfung grundsätzlich: Erst zur Namensprüfung senden, dann Ergebnis prüfen und auf dem Server unterschreiben mit der verteilten elektronischen Unterschrift, kurz VEU. Denken Sie daran, den Verarbeitungsbericht (z.B. PTK) abzurufen und zu lesen!

Das Sendeprotokoll heißt lediglich, dass Sie Aufträge senden dürfen – nicht, dass diese verarbeitet werden konnten und freigegeben wurden!

Bei Einzelaufträgen ist nach den SEPA-Regularien die Namensprüfung Pflicht, egal ob Verbraucherkonto oder nicht. Die Bafin-Duldung nutzen nicht alle Banken, weil hier die Haftung ungeklärt ist und weil diese Duldung jederzeit erlöschen kann.

Es gibt hunderte von Zahlungsverkehrsprogrammen, die aktuell über die Schnittstellen FinTS/HBCI oder EBICS Zahlungsverkehr durchführen können. Der Namensabgleich bei SEPA-Überweisungen macht hier für jedes dieser Programme Updates nötig, wenn der Namensabgleich vollständig unterstützt werden soll.

Es ist bekannt, dass einige Programme diese Updates nicht oder nicht rechtzeitig zur Einführung ab dem 05.10. erhalten werden, viele Updates können aufgrund der knappen Zeit erst „auf dem letzten Drücker“ veröffentlicht werden und sind wahrscheinlich nicht in allen Details final durchgetestet.

Um mir selbst und anderen Orientierung zu geben, werde ich hier die mir bekannten Daten zu Programmen und Versionen notieren. Wer mir helfen will oder andere Daten kennt: Über die Kommentarfunktion oder im Homebanking-Hilfe Forum bin ich erreichbar.

Prüfen Sie, ob Ihr Softwareanbieter eine neue Version anbietet und Updates/Aktualisierungen. Da die letzten Spezifikationen erst im Sommer 2025 veröffentlicht wurden (!), muss Ihre Software sehr neu sein. Ältere Versionen werden sehr wahrscheinlich Probleme bei Überweisungen haben.

Wenn Ihre Software kein Update erhält, machen Sie sich bitte rechtzeitig mit Alternativen vertraut, z.B. indem Sie den Export von Zahlungsdaten nutzen und zum Überweisen das Onlinebanking.

Sobald Ihre Bank die Namensprüfung freischaltet (ab dem 05.10. starten die Genossenschaftsbanken und Sparkassen) sollten Sie Ihren Bank-Zugang aktualisieren („Synchronisieren“, „abgleichen“, „Benutzerdaten aktualisieren“).

Lastschriften sind nicht betroffen, diese können Sie – wahrscheinlich – noch länger mit älteren Programmversionen verarbeiten.

Info-Video zum Ablauf der Empfängerprüfung in der BankingApp:
www.youtube.com/watch?v=_82sOx4NL_c
(aus Datenschutzgründen kein klickbarer Link, kopieren Sie den Link in die Zwischenablage und fügen Sie diesen ein in die Adresszeile Ihres Browser)

Software-Liste ohne Anspruch auf Vollständigkeit und Korrektheit mit Infos und Links

BankingManager: Vollständig vorbereitet – aktuelle Version 1.9.3.6 – prüfen Sie auf Updates

VR-NetWorld Software: Nicht mehr für Überweisungen nutzbar, keine Updates. Lastschriften und Umsätze sind bis März 26 noch nutzbar. Umgehung: Export als Buchungsdatei, Upload im Browserbanking. offizielle Nachfolgesoftware: BankingManager oder Profi cash 12.

Profi cash: Update auf die aktuelle Version 12.98 durchführen. Prüfen und Installieren Sie Anfang Oktober das Update. Die aktuelle Version kann bei der Atruvia geladen werden, atruvia.de/profi-cash
->bekannte Fehler (->weitere Infos VoP hier im Blog)

GLS eBank Basis/Profi und windata: Verwenden Sie die neueste Version 9.3.0.6 vom 28.10.25.
Synchronisieren Sie Ihre Zugänge (EBICS und FinTS/HBCI) nach dem 05.10.
Version 8 erhält seit 2024 keine Updates mehr, Echtzeit fehlt, Umgehung für VoP: der Kernel kann per direktem Update aktualisiert werden (keinesfalls empfohlen)
Infoseite von windata
Bekannter Fehler: Gemeinschaftsvollmachten funktionieren über FinTS/HBCI nicht vollständig. Lesen Sie hier

konfipay: Im Webdienst müssen Sie sich nicht um Updates kümmern, die Freigabeprozesse ändern sich allerdings
https://wiki.konfipay.de/konfipay/verification-of-payee-vop-konfipay

Multicash, Geno Cash (Info Mitte September): GENO cash aktuell Version 4.00.008 Servicepack 14, es soll bis zum 5. Oktober durch ein Online-Update aktualisiert werden.
Angeblich wird nicht jede Version rechtzeitig vollständig VoP fähig, bitte fragen Sie Ihren Lizenzgeber. Infos und webinare bei omikron

Moneyplex (Matrica): Kein Update in Sicht, siehe Homebanking-hilfe.de

Hibiscus: Version 2.12.0 ist VoP fähig mit Jameica 2.12.0. Der Entwickler und die Community hat grandioses geleistet. Mehr willuhn.de und homebanking-hilfe.de

SAP: Gerüchteweise gibt es SAP-Module, die die nötigen Updates für EBICS nicht rechtzeitig erhalten und deshalb keine Einzelbuchung mit Namensprüfung durchführen können. Genaue Daten liegen mir nicht vor. Umgehung: Export als SEPA-XML-Datei, Upload im Browserbanking der Bank (ggf. Freischaltung nötig)

ALF Banco: Aktuelles Update nötig, mindestens Version 10.2. Infoseite ALF

Subsembly Banking4: Aktuelle Version ist VoP fähig

Starmoney: Mindestens Version 14 mit allen Updates ist nötig. Infos dazu

SFirm: Infoseite zum Thema – SFirm 4 Patch 25.08 ist vorbereitet, Empfehlung: Aktualisierung auf SFirm 4 Patch 25.09
FinTS/HBCI mit gemeinsamer Unterschrift (A-/B-Vollmachten): SFirm benötigt einen Patch, weil die Vorabsignaturen nicht mehr unterstützt werden.

DATEV: externer Link: Info der DATEV zum Thema VoP

Lexware (Lexoffice): Info zu VoP, Infos zu den Versionen liegen mir nicht vor. Die FinTS/HBCI-Schnittstelle sollten mit einer aktuellen ddbac VoP fähig werden.

Wiso mein Geld: Da buhl ebenfalls auf die ddbac setzt, dürfte mit einer aktuellen Version auch die Namensprüfung funktionieren. Wie dies aber aussieht konnte ich nicht herausfinden.

Agicap Stand 15.10.2025 scheint die Namensprüfung nicht zu unterstützen. Das bedeutet, dass Sie lediglich EBICS Sammelbuchungen ohne Namensprüfung durchführen können, sofern die Bank nicht die Bafin Duldung gewählt hat. Sie haben die Haftung.

Linux/Unixoide

AqBanking/aqfinance, kmymoney: Mir ist leider nicht bekannt, ob eine Version verfügbar ist, die VoP beherrscht. Der Entwickler hatte auf Mail von mir leider nicht geantwortet und der Support läuft leider nur über eine anstrengende Mailingliste. Meine Empfehlung: Melden Sie sich bei der Mailingliste an und nutzen Sie die Infos von Git. https://www.aquamaniac.de
https://www.aquamaniac.de/rdm/projects/aqbanking/files

Moneyplex und Hibiscus siehe oben

Mac-Programme

MoneyMoney: Mindestens Version 2.4.60, mehr beim Hersteller

Banking4x von Subsembly: Ist in der aktuellen Version vorbereitet für VoP. Wie dies aussieht, ist hier zu finden. Infos zu Updates finden Sie auf banking4.de,

MacGiro: Lt. Webseite des Herstellers ist die Version 15 die notwendige Version.

BankX: Lt. FAQ des Anbieters wird ab heute, 06.10. ein für die meisten User kostenpflichtiges Upgrade auf Version 11 verfügbar gestellt.

PecuniaBanking: Der Entwickler ist lt. Homebanking-hilfe.de am Thema dran, allerdings ist die Herausforderung gigantisch.

07Nov. 2016

Hibiscus HBCI Protokoll exportieren

by Raimund ⋅ Leave a Comment

#Hiblog

Das vollständige Protokoll kann für die Fehlerdiagnose der Bankzugangsdaten und Buchungen sehr hilfreich sein und ist sogar essentiell, um Rückmeldungen vom Server richtig interpretieren zu können.
Lesen Sie hier:
FinTS/HBCI-Fehlermeldungen interpretieren

Hibiscus speichert das Protokoll verschlüssselt in seiner Datenbank. Um es lesen zu können, müssen Sie das Protokoll erst als Datei exportieren: Klicken Sie in Jameica auf das Pluginmenü „Hibiscus“, dort unter „Erweitert“.

hibiscus_hbci_protokoll

Das Log kann nun gespeichert werden. Weil es kritische Daten enthält ist es sehr wichtig, die exportierte Datei sicher, z.B. in einem geschützten Ordner abzulegen und nach der Diagnose zu löschen.

Der rot gedruckte Sicherheitshinweis ist also ernst zu nehmen.

hibiscus_hbci_protokoll_export

Rufzeichen_60 Stellen Sie das Protokoll jemanden zur Diagnose zur Verfügung, entschärfen Sie die enthaltenen Daten! Auch Ihre Bank benötigt nicht die PIN, kein(e) MitarbeiterIn könnte diese prüfen. Löschen Sie auch alles, was zeitlich nicht mit dem Problem zusammenhängt. Durchsuchen Sie das Protokoll nach vertraulichen Daten, das wäre bei der GLS Bank z.B. die VR-Kennung, aber auch Alias, Kundennummer, Kontonummer. Beim Upload in die Öffentlichkeit, also z.B. dem Onlinebanking-Forum gehören zu den vertraulichen Daten auch die Kontonamen/Bezeichnungen und die Daten aus dem Zahlungsverkehr, z.B. die Empfängerdaten einer Buchung.

Kompetente Hilfe zu Problemen rund um Jameica/Hibiscus finden Sie hier im onlinebanking-forum.de

Je nach Editor können beim Öffnen des Logs Probleme auftreten. Bei mir wurde unter xubuntu bei Mousepad ein Fehler „Ungültige Bytfolge in Konvertierungseingabe.“ ausgegeben, mit einem anderen Editor oder libreoffice war es aber kein Problem, die Datei direkt zu lesen.

hibiscus_hbci_protokoll_fehler_mousepad

06Jan. 2016

PIN&TAN Zertifikat der GAD erneuert: User müssen Fingerprint und Besitzer prüfen

by Raimund ⋅ 2 Comments

Einige FinTS/HBCI-Programme nutzen keine eigenen Zertifikatsspeicher, sondern verwenden die Zertifikatsverwaltung des Betriebssystems oder, wie im Fall von Hibiscus, in der Standardeinstellung die Verwaltung von Java. Im Zweifel lassen sie den User das Zertifikat selbst prüfen. Wenn dann das Serverzertifikat erneuert wird, muss das Programm (z.B. Hibiscus) den Fingerprint zur Prüfung anzeigen, damit ein Angriff ausgeschlossen werden kann.

Die wenigsten Banken veröffentlichen diese Fingerprints auf Papier und eine Online-Veröffentlichung ist eigentlich nicht sinnvoll, den die Seite könnte ja bereits durch die gleiche Attacke manipuliert worden sein.

Die Gültigkeit kann man selbst mit einem aktuellen Browser prüfen. Mozilla-Firefox verwendet unter Windows eine eigene Zertifikatsverwaltung (unter Linux die des Betriebssystems, das dürfte beim Mac ähnlich sein). Der Edge-Browser verwendet die des Windows-Systems. Ich vermute daher, dass man mit dem Edge prüfen kann, ob dies Windows-Zertifikatsverwaltung durch Updates aktualisiert wurden. In Fehlerfall muss also dringend das Betriebssystem auf fehlende Updates geprüft werden.

Betroffenen Programme lassen die User daher die Korrektkeit prüfen. Von Hibiscus (Jamaica Framework auf Java Basis, u.a. in jverein) ist mir das bekannt, ob andere Programme auch zur Bestätigung auffordern, weiß ich leider nicht. Ein Java-Update würde vermutlich helfen, da dies aber andere, womöglich negative Auswirkungen haben kann, sollte man unbedingt sicherstellen, dass alles harmoniert. Mehr zur Verwaltung der Zertifikate bei Hibiscus steht in den >>>FAQ-Seiten<<< ganz unten.

So kann man das Zertifikat der ehemaligen GAD-Banken mit Hausmitteln prüfen:

Geben Sie in die Adresse des Servers in die Browserzeile ein (kopieren) oder klicken Sie hier auf den Link:
https://fints1.atruvia.de/cgi-bin/hbciservlet

Der Browser öffnet eine Seite mit dem Hinweis:

Dieser Server ist nur mit einem Kundenprodukt erreichbar!

Dass dort keine Webseite zu finden ist, erwartet man ja, und wir wollen ja über diese Seite kein Banking durchführen, sondern nur den Browser nutzen, um das neue Zertifikat zu prüfen. Oben in der Browserzeile (je nach Browser) kann man sich das Zertifikat ansehen. So sieht der Vorgang beim Mozilla-Browser aus. (In den Screenshots sind es noch die alten gad.de Adressen.) Zertifikat_Browserpruefung_01

Suchen Sie ggf. das Schloss-Symbol. Der Browser zeigt an, ob er das Zertifikat für gültig hält.

Zertifikat_Browserpruefung_02

Zertifikat_Browserpruefung_03 Vergleichen Sie den Fingerabduck mit den von Ihrem Programm angezeigten Daten, z.B. dem SHA1-Fingerabdruck des neuen Zertifikats und achten Sie darauf, dass der Browser auch den richtigen Besitzer anzeigt (früher Fiducia & GAD IT AG). Letzteres ist besonders wichtig, da im Angriffsfall ja auch der Browser/das Betriebssystem betroffen wäre. Zertifikat_Browserpruefung_04

Ergänzung dazu: Ich weiß, wie die Fachleute darüber denken, DNS-Spoofing kenne ich auch. Allerdings halte ich hier die Gefahr für sehr gering, da man beim PIN & TAN-Verfahren zusätzlich auch ziemlich sicher über einen Auftrag und die Inhalte prüfen kann, mit wem man verbunden ist. Die Geno-Banken setzen kein altes TAN-Verfahren mehr ein, beim dem Aufträge abgeändert werden könnten.

29Juli 2014

Hibiscus: Signaturdatei einrichten

by Raimund ⋅ 6 Comments

letzte Änderung 23.05.2024
#Hibini

So erstellen Sie mit Hibiscus eine neuen Schlüsseldatei („HBCI classic“).

Wichtig

Beachten Sie bitte: Die Einreichung des öffentlichen Schlüssels ist pro Benutzerkennung bei genossenschaftlichen Banken an der Atruvia nur ein einziges Mal möglich. Es gibt hier keine Experimentiermöglichkeiten, wird der Schlüssel erfolgreich bei der Bank eingereicht, dann benötigt die Bank auch genau den zu diesem Schlüssel passenden unterschriebenen Ini-Brief. Wenn es also mit dem Druck z.B. nicht klappt: Den Schlüssel/die Datei nicht löschen, sondern wegsichern und den Druck später wiederholen.

Zuerst: Prüfen Sie die Version im Menü Hibiscus und „Über“ und vergleichen Sie die Version mit den Versionsangaben auf willuhn.de.
Die Nightly-Builds sind Beta-Versionen, allerdings mit einer sehr guten Qualität. Achten Sie auch auf die Version von Jameica.

Hinweis zur Servervariante: Die Erzeugung der Signaturdatei kann nicht in der Serverkonsole erfolgen. Erzeugen Sie die Datei mit dem „normalen“ Hibiscus. Da die Schlüsselübernahme aus anderen Programmen regelmäßig schief läuft, sollte man das Hibiscus-Format zu verwenden.

Die Einrichtung der Bank erfolgt unter „Bank-Zugänge“.

Wählen Sie „Schlüsseldiskette“ als Medium aus.

Wählen Sie „Neuen Schlüssel erstellen“ aus.

Legen Sie Ihren Schlüssel aus Sicherheitsgründen auf einem Wechseldatenträger ab (USB-Stick), damit Sie diesen auch entfernen können.

Wählen Sie das Datei-Format aus. Die Auswahl des Formates wird meines Wissens in neuen Hibiscus-Versionen nicht mehr angeboten. Wählen Sie das Hibiscus-Format aus.
Merken Sie sich den Pfad und den Dateinamen, damit Sie später ein Backup der Sicherheitsdatei erstellen können.

Tragen Sie die Benutzerkennung (672..) einfach in beide Felder ein, also in Benutzerkennung und Kundenkennung. Die Screenshots sind veraltet, sie stammen aus 2016, als es noch die VR-Kennung gab.

Die Serveradressen haben sich ebenfalls inzwischen geändert, Adressen mit gad.de und fiducia.de sind ebenfalls veraltet. Die „nördlichen“ Banken (exGAD) benutzen fints1.atruvia.de, die eher südlichen Banken fints2.atruvia.de.

Die Adresse fints1.atruvia.de gilt auch für die GLS Bank.

Das Passwort schützt die Datei und Ihre Bank kennt das Passwort nicht. Es sollte sorgfältig gewählt werden, da ein Durchprobieren aller Zeichen-Kombinationen keine Sperre verursacht. Es darf von niemanden erraten werden können und muss trotzdem gut merkbar sein. Das Passwort wird bei jeder Datenübertragung zur Bank benötigt, also auch z.B. zur Abfrage der Kontoumsätze. Nichts spricht dagegen, wenn Sie sich das Passwort notieren (auf Zettel, nicht auf dem Rechner), wenn niemand an diese Notizen geraten kann.

Die HBCI-Version ist FinTS 3.0.

Hibiscus holt sich online den öffentlichen Schlüssel der Bank und errechnet daraus den Hash, den „Fingerabdruck“ dieses Schlüssels. Vergleichen Sie die Hexzahlen mit den Angaben auf dem INI-Brief Ihrer Bank (Hash 2). Im Bild ist der alte Hashwert der GLS Bank zu sehen, der aktuelle ist auf www.gls.de/hbci zu finden.

Bestätigen Sie die Korrektheit mit „OK“. Stimmt der Hashwert nicht, haben Sie wahrscheinlich eine falsche BLZ oder eine falsche Verschlüsselung ausgewählt.

Folgen Sie nun dem weiteren Assistenten und drucken Sie den INI-Brief aus. Diesen Brief senden Sie eigenhändig unterschrieben zu Bank. Erstellen Sie anschließend eine Sicherheitskopie Ihrer Schlüsseldatei.

Fehlermeldungen finden Sie im Protokoll der Datenübertragung.

26Apr. 2014

Hibiscus: Erweiterung der Signaturdatei auf VR-Kennung

by Raimund ⋅ Leave a Comment

(zuletzt geändert am 28.11.2019)

Diese Anleitung sollte bei keiner Bank mehr notwendig sein, weil sämtliche Systeme meines Wissens inzwischen auf den VR-NetKey umgestellt wurden. Ich lasse sie hier noch stehen, damit die Links nicht ins Leere laufen. Die Versionsangaben sind ebenfalls veraltet.

Hibiscus sollte seit der neuesten Version 2.6.6 auch um die VR-Kennung erweitert werden können. Bisher war bei Signaturdateien eine Änderung nicht möglich, bei älteren Versionenen musste der komplette Initialisierungsvorgang (neue Benutzerkennung, INI-Brief, Freischaltung…) durchgeführt werden.

Es lohnt sich also, den Aufwand zu vermeiden und die aktuellste Version zu installieren, selbstverständlich mit vorherigem Backup, falls Unvorhergesehenes geschieht. Die Update-Installation hat Olaf Willuhn hier vorbildlich beschrieben:
http://www.willuhn.de/wiki/doku.php?id=support:update

Sollte die Änderung nicht möglich sein, könnte ein Update auf die neueste nightly-Version helfen. Diese Versionen sind zwar im Beta-Status, haben aber eine gute Qualität (zumindest zum Zeitpunkt der letzten Änderung dieser Seite). Beachten Sie aber unbedingt die Hinweise zu den „Nightlys“ im Wiki und halten Sie sich über das onlinebanking-forum.de (bzw. jverein.de für die Vereinsverwaltung) auf dem Laufenden.

http://www.willuhn.de/wiki/doku.php?id=support:faq#faq

Außerdem unterstützt Hibiscus nun den Rückmeldecode 3072 aktiv, heißt, dass im Idealfall die VR-Kennung automatisch nachgepflegt wird.

Hibiscus: Version prüfen

Wenn Sie also eine Meldung im Protokoll auf neue Anmeldedaten gefunden haben, aktualisieren Sie auf die neueste Version und aktualisieren Sie das Feld Kundenkennung.

Wählen Sie in der Navigation „Bank-Zugänge“ an.

Wählen Sie den zu ändernden Eintrag mit Doppelklick aus.

Ändern Sie ausschließlich das Feld „Kundenkennung“ auf die VR-Kennung ab. Diese bitte vollständig eintragen, kein Alias und VRK gefolgt mir allen Ziffern.

Unten rechts anschließend auf „Speichern“ klicken und die Übertragung testen.

siehe auch:
http://www.willuhn.de/products/hibiscus/
http://www.onlinebanking-forum.de/forum/topic.php?t=16263

Category Archives: Hibiscus