EBICS - Elektronischer Zahlungsverkehr für Firmenkunden

Das DFÜ-Abkommen enthält folgende technische Anlagen:

Anlage 1: Spezifikation für die EBICS-Anbindung

Die Anlage 1 „Spezifikation für die EBICS-Anbindung“ beschreibt die Verfahren, die für die multibankfähige und sichere Kommunikation über das Internet zwischen Kunde und Bank erforderlich sind. Die Anlage 3 „Spezifikation der Datenformate“ enthält alle für den Inlands-, SEPA- und Auslands-Zahlungsverkehr erforderlichen Formatspezifikationen.

Anlage 2: (Spezifikation für FTAM) ist per 31.12.2010 entfallen

Anlage 3: Spezifikation der Datenformate

Anlage 3 enthält auch die Datenformate für das Dokumenten- und Wertpapiergeschäft, sowie zu Kontoinformationen im SWIFT-Format und im XML-Format (camt). Die Anlage 3 richtet sich an die mit der Implementierung von Electronic Banking-Lösungen betrauten Personen (aus dem IT-Bereich von Firmenkunden und Herstellern). Sie dient darüber hinaus auch Kunden, die Dateien gemäß Anlage 3 einreichen, um ihre Dateien bei Formatfehlern entsprechend überprüfen zu können.

Das aktuelle DFÜ-Abkommen ist hier einsehbar.

Die aktuelle EBICS-Spezifikation (Anlage 1 des DFÜ-Abkommens) ist in der Version 3.0 verfügbar.

Ab dem 22.November 2021 ersetzt die Version 3.0 die Version 2.5. Ab diesem Zeitpunkt wird die EBICS-Version 3.0 von allen deutschen Kreditinstituten unterstützt.

Ein wesentlicher Bestandteil der EBICS-Version 3.0 ist die Harmonisierung der Kennzeichnung von Geschäftsvorfällen, die in Deutschland als Auftragsartenkennungen bekannt sind. Künftig werden diese als „Business Transactions and Formats (BTF) bezeichnet.

Die Deutsche Kreditwirtschaft (DK) hat ein nationales Begleitdokument für das Mapping der DK-Auftragsarten zum BTF-Konzept entwickelt und veröffentlicht.

Nähere Informationen zu EBICS und somit auch zum DFÜ-Abkommen finden Sie auf der Webseite der Deutschen Kreditwirtschaft.

Die Anlage 3 wurde von der Deutschen Kreditwirtschaft überarbeitet und liegt nun – mit Gültigkeit ab dem 20. November 2022 – in der Version 3.6 vor.

Mit Blick auf das Inkrafttreten der PSD2 im September 2019 und der damit verbundenen gesetzlichen Anforderung an eine starke Kundenauthentifizierung (SCA) hat die Deutsche Kreditwirtschaft konkrete Hinweise für Hersteller von EBICS-Kundensystemen veröffentlicht.

Insbesondere ergeben sich zusätzliche Sorgfaltspflichten bei der Erzeugung und Verwendung von privaten Schlüsseln auf Legitimations- und Sicherungsmedien sowie ergänzende Sicherheitsanforderungen an die Übermittlung und Autorisierung von Zahlungsaufträgen.

Es ist zwingend erforderlich, private Schlüssel auf dem Sicherheitsmedium (kryptografisch) zu schützen. Private Teilnehmerschlüssel sind unter Einbeziehung eines vom Benutzer frei wählbaren Kennwortes verschlüsselt auf den Legitimations- und Sicherheitsmedien abzulegen. Der Zugriff auf die verschlüsselten Daten darf nur über die manuelle Eingabe des entsprechenden Kennwortes möglich sein. Analog der entsprechenden Funktion der SECCOS-Chipkarte ist sicherzustellen, dass spätestens nach fünfmaliger Fehleingabe des Kennwortes der Zugriff auf das Sicherheitsmedium (dauerhaft) gesperrt ist.

Den vollständigen Text der Veröffentlichung der Deutschen Kreditwirtschaft können Sie hier einsehen.

In BFS-windata wurde ein Fehlversuchszähler implementiert, durch den Betrugsszenarien erschwert bzw. verhindert werden sollen.

Nach fünfmaliger Fehleingabe ist der Zugriff auf die Unterschriftdatei nicht mehr möglich.

Sie erhalten nach Eingabe eines falschen Passwortes einen entsprechenden Hinweis über die Anzahl Ihrer Fehlversuche. Der EBICS-Zugang des Teilnehmers muss nach der fünfmaligen Fehleingabe des falschen Passwortes dann vollständig neu initialisiert werden.

Die Bank für Sozialwirtschaft empfiehlt daher zeitnah einen Umstieg auf eine aktuelle BFS-windata Version (mindestens 8.8.0.57). Alle windata-Updates erhalten Sie über die Online-Update Funktion in Ihrer BFS-windata-Software.

In den derzeit aktuellen Bedingungen zur elektronischen Kontoführung sind die zu beachtenden Sorgfaltspflichten genauer aufgeführt (siehe dort unter Punkt 10).

direkt zu den aktuellen Bedingungen zur elektronischen Kontoführung

Besondere Sorgfaltspflichten bei Erzeugung von Legitimations- und Sicherungsmedien durch den Kunden

Die Bank veröffentlicht demnächst die aktuellen Sonderbedingungen, in denen u. a. die im Folgenden erläuterten Sorgfaltspflichten aufgenommen werden.

Mit Veröffentlichung werden diese dann Vertragsbestandteil. Ein Verstoß gegen die Sorgfaltspflichten hat Auswirkungen auf die Haftungsregelungen. Die jetzigen Bedingungsregelungen (Sonderbedingungen und Verfahrensbeschreibungen)  werden dann in den Bedingungen zur elektronischen Kontoführung und den Bedingungen für die Datenfernübertragung dargestellt.

Soweit der Kunde seine Legitimations- und Sicherungsmedien nach den Vorgaben der EBICS-Spezifikation selbst erzeugt und er diese bei seiner Bank initialisiert, hat er Folgendes sicherzustellen:

• In allen Phasen der Authentifizierung, inklusive Anzeige, Übermittlung und Speicherung sind Vertraulichkeit und Integrität des Legitimationsmediums zu gewährleisten.
• Private Teilnehmerschlüssel auf den Legitimations- und Sicherungsmedien dürfen nicht im Klartext abgespeichert werden.
• Spätestens nach fünfmaliger Fehleingabe des Passwortes wird das Legitimationsmedium gesperrt.
• Die Generierung der privaten und öffentlichen Teilnehmerschlüssel muss in einer sicheren Umgebung erfolgen.
• Die Legitimations- und Sicherungsmedien sind ausschließlich und eindeutig dem Teilnehmer zuzuordnen und zu verwenden.

Daraus ergeben sich wiederum konkrete Vorgaben an die Hersteller, z. B. von EBICS-Software-Produkten. Näheres dazu finden Sie unter dem Punkt „Hinweise der Deutschen Kreditwirtschaft für Hersteller von EBICS-Kundensystemen“.