Anfängerfrage zu SFIRM? Benutzerrechte FTAM vs. HBCI

Hallo,

Sfirm32 ist doch im Netz installiert oder? Prinzipiell kann damit von jeder eingebundenen Arbeitsstation die Unterschrift geleistet und von einer anderen Arbeitsstation mit der DFÜ-Anbindung in Form einer ISDN-Karte oder virtuellen CAPI weggeschickt werden.

Die Rechte werden entsprechend am Bankrechner definiert. Also es können Personen hinterlegt werden, die unterschriftsberechtigt sind oder aber auch Personen, die nur versenden können. Bei der Unterschriftsberechtigung kann man Einzel- oder Gemeinschaftszeichnungsberechtigungen hinterlegen.

Mittels FTAM ist dies gut lösbar. Nachteil ist nur, dass Sie hier immer noch an ISDN gebunden sind und wahrscheinlich auch für das FTAM-Verfahren monatliche Gebühren zahlen müssen.

Es gibt natürlich auch bereits Sfirm32 Web (also unabhängig von ISDN). Dies ist aber eine Lösung, die wiederum nur einige Sparkassen anbieten.

Bei HBCI Chipkarte ist dies wirklich an die Karte gebunden, da beim Abruf von Kontoauszügen bzw. bei der Übertragung von Zahlungen immer die Chipkarte eingelegt werden muss. Auch hier können natürlich Zweitunterschriften hinterlegt werden. Dies ist aber wahrscheinlich von Rechenzentrum zu Rechenzentrum unterschiedlich. Die Rechte werden wiederum am Bankrechner hinterlegt. Also man könnte auch Personen berechtigen, die nur Kontoauszüge abholen sollen. Für mich macht dies aber wenig Sinn.

Bei HBCI+ PIN/TAN ist es ähnlich, da eine Berechtigung immer an eine Person gebunden ist. Also man kann zwar eine Berechtigung vergeben, dass nur Auszüge abgeholt werden kann, aber sobald Zahlungsverkehr im Spiel ist, ist die PIN/TAN-Liste immer an diese Person gebunden.

HBCI war erstens wegen der angeblich einfacheren Handhabung gewünscht und zweitens wegen der höheren Sicherheit. Obwohl FTAM ja auch was die Verschlüsselung angeht als sehr sicher gilt und es intern eigentlich egal sein sollte, ob jetzt jemand "die Karte" oder "die Diskette" entwendet.
Ein, zwei Fragen bleiben für mich noch offen ... wenn die Bank den Schlüssel/die digitale Unterschrift verifiziert muss doch eine Onlineverbindung bestehen, oder? SFIRM ist im Netzwerk eingerichtet und die Unterschrift wird nicht an dem Rechner geleistet, der die direkte ISDN Verbindung hat. Laufen die Aufträge Verifizieren, Versenden, etc. dann quasi in einer Qeue auf bis der ISDN Rechner explizit SFIRM aufruft und den Automaten startet? Dann wäre das 6-Augen Prinzip ja quasi automatisch gewährleistet.
Noch eine weitere Newbie-frage. Vollzugriff heisst alles aber nicht automatisch auch digitale Unterschrift, oder?

Vielen Dank für Eure nette Hilfe hier.

Bei uns funktioniert die Unterschriftsberechtigung im SFIRM32 auch mit HBCI PIN/TAN. Dann kann einer die Aufträge erfassen, einer unterschreiben und die Zahlungen in den DFÜ-Pool verschieben und ein Dritter die Zahlungen dann endgültig versenden.

Allerdings hat dann die Buchhaltung keinen Einfluß mehr auf das letztendliche Versenden.

Gruß ELDI-Man

Hallo,

das Problem kann man doch ganz einfach umgehen. Für den Kontorundruf nutzt man die PIN von einer TAN-Liste, welche nach der PIN-Änderung geschreddert wird.

Danach stattet man nur einzelne User mit einer Chipkarte aus! Über die Benutzerrechte in S-Firm kann man die User einschränken und sogar ein vier Augenprinzip basteln, welches zwar wackelig ist, aber schon machbar ist!

Cu

Michael

Guten Morgen,....

ich kann nur FTAM empfehlen.
Die Dateien kann man einlesen, von jedem Arbeitsplatz aus unterschreiben.

Das weiteren besteht die Möglichkeit SF-Sign zu benutzen, somit kann der Auftrag auch von Extern unterschrieben werden.

Was Sicherheit anbetrifft glaube ich das es nur noch wenige Menschen auf der Welt gibt die eine 1024 bit verschlüsselte Unterschrift decodieren können, und eine Diskette ist nicht zwingend erforderlich. Wer sein PC gut schützt kann den Schlüssel auch auf die Festplatte legen, aber im Zeitalter der Viren, Trojaner und Co. nur mit Vorsicht zu geniessen.

Achja, ein Nachteil gibt es, Sf-Sign ist nicht über VPN Zugang nutzbar.

Gruss

French

Hallo,

es war nur als Anmerkung.
Alleine schon dadurch das wir auch mit SF-Sign arbeiten, ist bei uns dies nicht möglich.

Ansonsten gebe ich bt natürlich vollkommen recht.

Gruss

French