Ing - Was geht bis jetzt? Umsätze+Salden ja, Überweisungen nein?

Hallo,
Das hab ich gemacht: Bei der Ing angemeldet, BPD gelöscht, Zugang erfolgreich getestet, wegen bestehender Konten keine Konten automatisch angelegt. Salden und Umsätze können abgerufen werden.
Überweisungen gehen nicht. Ist das der aktuelle Stand?

Fehlermeldung:
[23.09.2019 13:44:11] *****************************************************
[23.09.2019 13:44:11] Zusammengefasste Fehlermeldungen:
[23.09.2019 13:44:11] Meldung der Bank: 9050:Nachricht teilweise fehlerhaft.
[23.09.2019 13:44:11] Meldung der Bank: 9942:Transaktionen sind hier nicht mehr möglich. Ihre Services finden Sie auf ING.de. (3: CustomMsg.GV.UebSEPA1)
[23.09.2019 13:44:11] Meldung der Bank: 9942:Transaktionen sind hier nicht mehr möglich. Ihre Services finden Sie auf ING.de. (3: CustomMsg.GV.UebSEPA1)
[23.09.2019 13:44:11] Meldung der Bank: 9050:Nachricht teilweise fehlerhaft.
[23.09.2019 13:44:11] Meldung der Bank: 9160:Erforderliche Auftragsreferenz fehlt. (3:4: CustomMsg.GV.TAN2Step1.orderref)
[23.09.2019 13:44:11] Meldung der Bank: 9160:Erforderliche Auftragsreferenz fehlt. (3:4: CustomMsg.GV.TAN2Step1.orderref)
[23.09.2019 13:44:11] Meldung der Bank: 9160:Erforderliche Auftragsreferenz fehlt. (3:4: CustomMsg.GV.TAN2Step1.orderref)

Und bei der ING als HBCI-Version in der PIN/TAN-Konfiguration "HBCI 2.2" einstellen. Bei FinTS3 arbeitet Hibiscus im PSD2-Modus. Das kann die ING aber nicht.

Schon mal was von PSD2 gehört? Europäische Zahlungsverkehrsrichtlinie? Gültig seit 14.9.?
Unter anderem schreibt diese eine "starke Authentifizierung" vor. Bei anderen Banken passiert das über eine TAN-Abfrage im HBCI-Dialog. Deswegen mussten auch alle Bankingprogramme angepaßt werden, weil die das bisher nicht kannten. Normal müßte diese TAN bei JEDER Abfrage von Daten gefordert werden, es kann aber eine Ausnahmeregelung in Anspruch genommen werden, dass dies nur alle 90 Tage nötig ist. Die ING kriegt das bei ihrem HBCI-Server nicht hin, deswegen koppelt sie das sozusagen mit dem WebBanking. Wenn man sich dort einmal - erfolgreich! - einloggt, dann geht auch das HBCI - für 90 Tage.

Erfolgreich und komplett einloggt - das ist das Zauberwort. Hierzu bedarf es eines eingerichteten, gültigen, PSD2-konformen TAN-Verfahrens. Die iTAN von der Liste ist nicht mehr erlaubt - und wurde von allen Banken komplett abgeschafft. Auch hier geht die ING einen Sonderweg, die iTAN wird weiter für Verwaltungsaufgaben benötigt - und für Überweisungen von Extra-Konten, wenn der Kunde kein Girokonto hat.

Du musst also - alternativlos - Pest, Cholera oder Krätze einrichten, Dich mit einem der drei Verfahren "stakr Authentifizieren" im WebBanking, danach wird auch HBCI 2.2 wieder funktionieren. Allerdings mit der Einschränkung, dass es bei Girokonten nur noch eine Umsatzabfrage gibt, und keine Überweisungen. Für die bräuchte es ein PSD2-konformes Bestätigungsmittel (also Pest, Cholera oder Krätze). Von denen kann aber der ING-HBCI-Server bisher nichts sondern nach wie vor nur iTAN, deswegen können auf dem HBCI-Server keine Überweisungen mehr angeboten werden.

Wir dürfen gespannt sein, ob und wann die ING ihren HBCI-Server PSD2-konform umbaut, damit wieder "alles" und "normal" geht. Anfangs meinten die ja, das garnicht zu tun sondern HBCI einfach abzuschaffen - aber ob des Gegenwinds der Kunden hat man wohl angefangen umzudenken.

Das ist komplett unrealistisch. Die ING hat kein ChipTAN und wird auch kein ChipTAN einführen. Das haben sie absolut klar kommuniziert. Marktüblich ist schön und gut, aber Du mußt das nehmen, was die Bank anbietet. Also mußt Du Dich für eines der drei von der ING angebotenen Verfahren entscheiden, an den Verfahren wird sich nichts mehr ändern. Fregabe-App, SMS-TAN oder photoTAN mit exclusivem ING-PhotoTAN-Gerät. chipTAN geht allein deswegen schon nicht, da der Chip der Debit-Karten der ING die chipTAN-Anwendung nicht drauf hat.

Und von wegen "wenn man es nicht nutzt" - man muss es nutzen. Erstmalig sofort und dann spätestens alle 90 Tage für die "starke Authentifizierung". Da geht ohne TAN nichts mehr.

Und von wegen Umstellung: Im besten Fall bringt die ING ihrem HBCI-Server ihre bestehenden drei TAN-Verfahren bei und schafft auch direkt via HBCI dann eine entsprechende Login-Lösung - dann könnten auch wieder Giro-Überweisungen via HBCI laufen. Im schlechtesten Falle bekommen sie das nicht hin und ändern garnichts und müssen früher oder später doch HBCI ganz abschalten, weil die BAFIN die merkwürdigen Auslegungen der PSD2-Vorschriften durch die ING nicht akzeptiert. Noch läuft eine verlängerte Übergangsfrist, was danach kommt... abwarten.

chipTAN kannst Du jedenfalls nur einsetzen, wenn Du die Bank wechselst. chipTAN gibt es derzeit nur bei Sparkassen + DKB, VR-Banken und allen, die beim VR-Rechenzentrum Fiducia-GAD rechnen lassen, bei Postbank und SPARDA. Deutsche Bank/Commerzbank/HypoVereinsbank haben sich z.B. für photoTAN (mit App oder einem photoTAN-Gerät das immer nur für die eine Bank geht) entschieden.

Tja, aber gerade Die ist für ängstliche Leute bei der ING besonders böse. Denn die ING ist die einzige Bank, die Banking und Freigabe in EINER App bündelt. Bei den anderen könnte man wenigstens noch NUR die pushTAN- oder Freigabe-App auf dem Smartphone installieren und KEINEN Bankzugang dazu. Nachdem das bei der ING nur eine App ist (komisch, bei denen ist das sicher, bei anderen müssen es 2 Apps sein, weil es sonst unsicher ist), ist also immer "alles" da...

Immerhin kann man nicht für App-Login UND Freigabe einen Fingerabdruck nehmen, wenn man mit Fingerabdruck einloggt, muss man zur Freigabe dann die PIN eintippen. Allerdings sollte man sich auch die ING-Haftungsregeln anschauen. Wenn man das Zeug so nutzt, wie die ING das vorsieht, trägt die ING evtl. Schäden.

nein logischerweise nicht
du kennst nun die Möglichkeiten (hat ja @msa mehr wie ausführlich dargelegt), entscheiden dich für eine oder wechsle die Bank.

wie hoch ist deine Haftung, dass du Dir Gedanken machen musst in Sachen Sicherheit?
+ nein, wäre mir nicht bekannt, dass dies bei einer Bank funktioniert, hinzu kommt, dass SMS nicht mit jeder Festnetzhardware empfangen werden kann und logischerweise über einen Gateway geschleust werden müsste.

So ist es. Selbst wenn ING meine "Hauptbank" war, fand ich zu schade, meine Zeit für irgendwelche Experimente und Notlösungen, fürs Warten auf irgendwas, was wahrscheinlich nie kommt, fürs Lesen von unzähligen Forenbeiträgen, Beschwerden und Bank-Statements zu verschwenden. Als die Bank in Mai 2019 das Ende von HBCI verkündet hat, habe ich am selben Tag mit dem Umzug angefangen. Nachdem alle SEPA-Mandate, Gehalt etc. umgezogen wurden, habe ich das Konto gelöscht. Das ging damals noch sogar mit iTAN. Somit habe ich zumindest dieses Problem gelöst. Es gibt viele wichtigere Dinge im Leben, als sich von einer unfähigen Bank nerven zu lassen.

Naja, man sagt ja auch umgangssprachlich: "Das kommt mir spanisch vor" ;)

Egal wie Du Dich windest, es wird nicht so funktionieren, wie Du es gerne hättest, es läuft so, wie man es Dir anbietet - oder eben garnicht. Du kannst ja auf sicheres Telefonbanking oder Faxaufträge (gibt's die eigentlich noch?) oder immerhin Papieraufträge per Papier umsteigen, um die ungeliebten Onlinebanking-Tatsachen nicht hinnehmen zu müssen. Wenn Du die Zeit hast, weiter zu "zappen" bitte. Und wieso sind Festnetznummern gesperrt? Überleg mal. Ein Mobiltelefon zum SMS-Empfang ist ein persönliches Gerät das - davon kann man weitestgehend ausgehen - unter der Kontrolle der einen Person steht. Eine SMS die darauf eingeht ist im Prinzip jedenfalls nur durch diese Person einzusehen. Eine Festnetznummer ist meistens keine persönliche Angelegenheit sondern für eine Firma, eine Familie usw. gültig. Wer da an den Anruf drangeht (Stichwort Telefonanlage) wenn zufällig gerade der Server des Telefonproviders anruft um die SMS vorzulesen ist nicht vorauszusehen. Zumal die Zustellung von SMS im Festnetz nicht in Echtzeit erfolgt sondern dann, wenn der Server gerade Zeit hat. Evtl. kommt dann also die vorgelesene SMS erst an, wenn der Bankrechner, der auf die TAN wartet, den Vorgang längst wegen Timeout abgebrochen hat. Somit sprechen also sowohl Sicherheitsgründe - schon die SMS-TAN via Mobilfunk wird ja kritisch gesehen - als auch Handling gegen SMS an Festnetznummern. Du kannst Dir ausmalen, dass der Bank-Support dann mit Anrufen a la "aber meine SMS mit der TAN kommt nicht" überflutet werden würde...