FinTS Schnittstelle zu CRM

Zahlungsverkehr direkt online über eine Webanwendung ist nicht ohne, sicherheitstechnisch gesehen.
Hast du dir Gedanken über die damit verbundenen Risiken gemacht? Ich würde dir spontan eher empfehlen, die Schnittstelle beim Kunden laufen zu lassen und nicht im Web.

Gruß
Raimund

Bevor Du auf technischer Ebene weiter machst, müßtest Du wohl eher erst mal die juristische Seite abklären! Entweder der Kunde muß Dir seine eigenen Zugangsdaten aushändigen, zur Hinterlegung auf diesem Webserver. Dies ist aber in den AGB sämtlicher Banken absolut verboten. Der Kunde darf seine Daten nur auf entsprechenden Seiten der Bank eingeben...

Alternativ müßte der Kunde Dir/dem Anbieter - in jedem Falle aber einer natürlichen Person! - eine Bankvollmacht erteilen. Entweder zum Abruf der Umsätze oder gar zum Senden von Zahlungsaufträgen. Erstens kann ich mir nicht vorstellen, dass viele Kunden das tun würden und zweitens wäre die "Last" auf den Schultern der entsprechenden natürlichen Person schon sehr groß. Wenn doch mal irgendwas passiert und über die Kontovollmachten Gelder überwiesen werden, wäre wohl diese natürliche Person voll haftbar - ggf. für Unmengen von Kundenkonten. Auch dies erscheint mir nicht machbar.

Eine Alternative wäre, dass man den Weg als "Servicerechenzentrum" geht. Dies wird von Rechenzentren genutzt, die z.B. Gehaltsabrechnungen erstellen. Diese (z.B. DATEV) erstellen die Gehaltabrechnungen und die nötigen Überweisungsdateien dazu. Nach entsprechender Freischaltung können sie diese Zahlungsdatei dann auf die div. Bankrechner hochladen aber NICHT freigeben. Dies macht der Kunde selbst. Möglich ist hier z.B., dass die bereitstehende Datei dem Kunden in seinem Webbanking (also auf der Seite der Bank!) angezeigt wird und dieser sie dann durch Eingabe einer TAN freigeben kann. In deinem Fall könnte Deine Software die Zahlungen erzeugen und auf die Bank des Kunden hochladen und der Kunde gibt dann den Sammler frei. Somit liegt die Hoheit über sein Konto und auch das Risiko beim Kunden selbst.

Weiterhin ist es auch möglich, auf diesem Weg Umsätze abzurufen, wenn man dafür entsprechend freigeschaltet wird. Auch das macht z.B. die DATEV, um diese Umsätze direkt in gehostete Buchhaltungen von Steuerberatern zu übernehmen.

Ich denke, dass so ein Weg für Dich geeignet wäre.

Oder man wählt den klassischen Ansatz vieler anderer CRM/ERP Lösungen:

Umsatzimport über das Format CAMT5X oder SWIFT MT94X und Zahlungsexport über eine enstprechende SEPA pain Variante...

Das "Datenschleudern" obliegt dann dem Kunden mit seiner OB-Lösung...HBCI/FinTS oder EBICS oder Web-Banking... je nach Bank
und Kundenanforderung... In die gängingen Lösungen lassen sich dann die Zahlungen importieren oder zum Versenden einlesen und
diese stellen dann auch die Umsatzdaten bereit für den Import im CRM-Tool.

Od

Die SRZ Lösung hast du zutreffend beschrieben. Technisch kann das Ongum oder EBICS sein. Kommt auf das RZ an. Musst du bei den RZ's mal nachfragen, was die heutzutage benutzen. Wenn es sich auf wenige Banken konzentriert könnt ihr auch mit den Banken direkt sprechen. Manchmal werden auf diesem Wege auch EBICS Vereinbarungen getroffen, um den Weg über die RZ zu ersparen, der manchmal etwas mühsam ist.

Übrigens ist es nicht verboten, Zugangsdaten zu speichern - im Sinne von Strafrecht - sondern es widerspricht den Nutzungsbedingungen. Damit handelt der Teilnehmer grob fahrlässig und die Standard Haftung der Bank nach PSD ist in Gefahr. Kleiner aber wesentlicher Unterschied.

Nein. Zugangsdaten sind in beiden Fällen immer höchstpersönlich. Ausnahme ist der sog. "technische Teilnehmer" bei EBICS, der für automatische maschinelle Übertragungen (sowohl Umsätze von Bank zu Kunde als auch Zahlungsvorgänge von Kunde zu Bank) vorgesehen ist. Dieser technische Teilnehmer hat allerdings keine Unterschriftsberechtigung.

Hintergrund ist, dass die Bank immer eine Person benennen können muß, die eine Zahlung getätigt hat. Erstens schon im eigenen Interesse (wer ist verantwortlich, dass das Geld weg ist) und zweitens auch z.B. Behörden gegenüber (Geldwäsche ect..). Somit muß ein Zugang mit Unterschriftsberechtigung immer einer natürlichen Person ausgestellt werden. Einen technischen Teilnehmer gibt es bei HBCI übrigens nicht.