SofortIdent klonen

Hallo zusammen,

ich habe einige Fragen zur Programmierung einer Webapplikation die mit Banken kommuniziert und in diesem Forum scheinen viele Leute zu sein, die sich damit auskennen.

Ich würde mich freuen wenn ich einige Tips bekommen könnte, wie ich die von mir gewünschte Applikation möglichst kostengünstig und zeiteffizient realisieren könnte.

Ersteinmal zu der Applikation:
Das ganze ist schnell erklärt, ich möchte als Bestandteil meiner Webseite genau den Service anbieten, den die payment network AG unter sofortident.de anbietet.
Also Kunden sollen ihre Bankdaten inklusive PIN angeben und wir nutzen diese um bei den Banken die Identität des Nutzers zu erfragen. Mit dieser Information können wir dann einen Datenabgleich bei der Schufa machen um den jeweiligen User zuverlässig zu verifizieren. Allerdings sind die Gebühren die sofortident.de verlangt (3-4€/User) zu hoch für uns.

Auf der Suche nach Möglichkeiten diesen Service selbst zu entwickeln bin ich auf einige Möglichkeiten gestoßen und würde mich über etwas feedback freuen was ihr von den verschiedenen Möglichkeiten haltet.

Möglichkeit 1 (Alles selber machen):
Die Applikation komplett von grund auf selber programmieren. Dies scheint mir aber als zu aufwendig, da es so viele Banken in Deutschland gibt mit denen der Datenaustauch funktionieren muss.

Möglichkeit 2 (Aqbanking und AqHBCI):
Die opensource-Bibliotheken scheinen einem bereits eine Menge Arbeit abzunehmen und da sie kostenlos verwendbar sind wären sie sicher sehr interessant. Aber inwieweit sind sie für mein Vorhaben einer webbasierten Applikation die die Identität eines Nutzers online abfragt hilfreich? Ist die Bibliothek immer ziemlich up-to-date und mit den meisten deutschen Banken einsetzbar?

Möglichkeit 3 (Subsembly jsHBCI Bibliothek):
Diese Bibliothek scheint schon sehr auf Webapplikationen zugeschnitten zu sein und da es eine kommerzielle Bibliothek ist, ist sie sicherlich auch immer up-tp-date und zuverlässig. Allerdings kostet sie natürlich auch Geld im Vergleich zu Aqbanking.

Möglichkeit 4 (DDBAC)
DDBAC scheint der Marktführer für die Bankenkommunikation zu sein. Allerdings auch am teuersten. Welche Vor- und Nachteile hat DDBAC beispielsweise gegenüber Subsembly?

Noch ein paar Hintergrundinfos zur Realisierung dieses Projekts:
Ich selbst habe ein BWL Studium und habe die Geschäftsidee entworfen für die wir diese Applikation nutzen wollen. Für die technische Umsetzung habe ich einen guten Programmierer im Team, welcher allerdings noch keinerlei Erfahrung mit HBCI und dem Datenaustausch mit Banken hat. Die Applikation ist nicht der Kern unserer Geschäftsidee aber spielt eine wesentliche Rolle. Anders als sofortident möchten wir die Verifizierung nur für uns nutzen und nicht über eine Schnittstelle anderen Seiten zugängig machen.

Es wäre super wenn einige Personen die schon Erfahrungen mit dem HBCI Standard und Aqbanking, subsembly, oder DDBAC haben ihre Meinung geben könnten welchen Weg sie für am sinnvollsten halten.

Vielen Dank schonmal!

Kai

Meine Daten gibt es auch nicht für so etwas. Zum Glück gibt es neben deiner seriöse Möglichkeiten, sich zu legitimieren.

Bei sofortueberweisung.de wird das auch gemacht mit der PIN Speicherung. Und da läuft noch eine Klage. Vielleicht sollte man das erst abwarten, bevor man es denen nachmacht...

Im übrigen finde ich es unterste Schublade, dass man ein Identifizierungssystem darauf aufbaut, dass der Kunde zwangsläufig gegen die Onlinebankingbedingungen seiner Bank verstoßen muss.
Das würde ich mir noch ein paar mal überlegen.

Die elektr. Signatur und der RFID Ausweis sind doch für diese Zwecke erfunden worden. Und wenn diese Möglichkeiten zu teuer, zu langwierig oder zu wenig verbreitet sind hat das seinen Grund. Das darf doch nicht dazu führen, dass ich unlautere Methoden anwende, um es trotzdem zu erreichen.
Meine Empfehlung: Sucht euch ein anderes Business wo die Identifizierung nicht so wichtig ist. Für eure jetzige Idee seid ihr und noch viele viele andere einfach zu früh. Das Internet hat sich derzeit noch nicht durchgesetzt als Kanal zur Legitimationserhebung.

Es geht um die generelle elektr. Speicherung von Zugangsdaten, wie auch der PIN.
Wo kann man deine Behauptung nachlesen?

sofortueberweisung.de hat das gemacht. Und das ist ein Service von welcher Firma?


Schön wär's. Du bist schlecht informiert.


Mehr ein Wunsch denn Realität....


Klar, dass mehrere laufen. Diese Firma wird es schon in sich haben...
Diesen Streit meine ich aber nicht.


Es geht nicht um Diskussion und für und wider und Recht haben und wohlwollen.
Jeder deutsche Onlinebankingteilnehmer hat unterschrieben, dass er die Nutzungsbedingungen seiner Bank einhält.
Und in allen diesen steht, dass der PIN und auch andere Sicherungsmedien nicht elektr. gespeichert werden dürfen.
Und sobald ich als Nutzer meinen Onlinebanking PIN gegenüber einem System bekannt gebe, dass nicht von der Bank ist mit der ich den Vertrag habe verstoße ich dagegen.


Dann bietet etwas an, was nichts mit dem PIN vom Onlinebanking zu tun hat!


Darum geht es nicht. Das wäre Datenmißbrauch, da bin ich noch garnicht mit meiner Argumentation....Wir sind noch einen Schritt davor.
Auch eine Homebanking Software darf einen PIN nicht speichern. Dass viele Produkte es trotzdem anbieten ist schändlich und zeigt die Lücken des deutschen Rechtssystems auf.
Bei einer Onlinebankingsoftware hätte der Nutzer aber wenigstens die Möglichkeit zu prüfen, ob die PIN gespeichert wurde oder nicht, da sich das auf seiner Festplatte abspielt.
Bei einem Online-System geht das nicht und er handelt deshalb von vorn herein grob fahrlässig, einem System den PIN anzuvertrauen, das nicht von seiner Bank selbst ist.

http://www.heise.de/newsticker…52044.html
http://www.ftd.de/it-medien/:d…58669.html

Ganz ehrlich: ich würde mich nicht an die Praktiken dieser Firma ranhängen. Und da kommt noch einiges, glaub mir!

Und eines steht fest: Soweit ein Dienst Abfragen über Umwege macht wird der PIN gespeichert. Ob dies dauerhaft ist oder nicht spielt keine Rolle. Der Nutzer verstößt schlicht gegen die Bedingungen deren Einhaltung er seiner Hausbank unterschrieben hat.

Gegenbeispiel: geldkarte.de Da wirst du zum Bezahlen des Ladebetrags auf die Bankingseite deiner Bank umgeleitet und danach bekommst du eine Schaltfläche "zurück zum Shop".
Das ist eine seriöse Praktik. Da bekommt der Anbieter des Shops - hier geldkarte.de - vom Bezahlvorgang garnichts mit.


Bitte laßt es sein! Damit sind schon andere gescheitert. Onlinebanking ist nicht dafür vorgesehen, Legitimationsdaten zu erheben sondern Onlinebanking zu machen! Ist das so schwer zu verstehen?

aus deinem Link:
"Nach Einschätzung des Bundeskartellamtes sind die AGB der Banken und Sparkassen jedoch nichtig soweit sie bankenunabhängige Direktüberweisungsverfahren den Marktzutritt verwehren."

Sorry, aber das Bundeskartellamt ist nicht der BGH, somit ist hier mitnichten etwas nichtig. (wenn ich krank bin frag ich den Arzt, die Meinung des Metzgers ist mir da wurscht).

Der Einwand:

ist Quatsch, da die Datenbank mit der PIN ja in meinem Eigentum (auf meiner Festplatte) liegt, der Hersteller oder werauchimmer hat hier keinen Zugriff auf meine Legitimationsdaten.

Im Übrigen reihe ich mich in den Kreis der Skeptiker hier ein. Allein die angeführten Rechtsstreite würden mich an deiner Stelle schonmal überlegen lassen, ob mir das Risiko eines ähnlichen Streit ins Haus hole und ob ich da Nerven,Zeit & Geld reinstecken möchte.

Tschau
Majo

Doch genau das heißt es: Es ist für Onlinebanking und damit ungeeignet für Legitimationen fremder Systeme.
Im übrigen wäre das unlauterer Wettbewerb, wenn man ein fremdes Legitimationssystem für eigene Zwecke verwendet. Ihr würdet euch damit kostenmäßig gegenüber denjenigen besser stellen, die selbst ein System dafür bauen oder ein vorhandenes extra dafür vorgesehenes System kaufen/mieten.

Daher nochmal eindringlich: Wenn das ein Wettbewerber oder die richtige Bank mitkriegt wird euch der Rechtsstreit die Existenz kosten.
Verwendet für die Legitimationserhebung und -feststellung Systeme, die dafür vorgesehen sind. Und dazu gehört das Onlinebanking der Banken nicht.

Vielen Dank, das sind schonmal einige nützliche Infos! Hat noch jemand Erfahrungen mit Aqbanking gesammelt?

Ich würde auch vorsichtig sein, welche Daten man wo preis gibt. Habt ihr vom Programm Finanzblick gehört? Ist so ein soziales Finanzprogramm. Da ist es glaube ich auch der Fall, dass die Daten bei dem Programhersteller "gecached" wird.