Probleme beim HBCI-Verfahren / Zweitunterschriften

oft ist es sinnvoll bei Problemfällen soviel Details wie möglich zu liefern
... bspw. die Banken/Sparkassen bzw. das Rechenzentrum

Ich denke eher, das SFirm mit der Bankverbindung die Weiterleitung an einen anderen Arbeitsplatz nicht hinbekommt. Das ist aber ein internes Feature von SFirm. Bei Profi cash müßen beide Zeichnenden zwingend beim Sendevorgang am gleichen Rechner die Autorisierung durchführen. Deshalb ist das bei Nutzung über Programm ja auch keine wirklich sinnvolle Herangehensweise.
Der Vorschlag von msa bzgl. EBICS ist tatsächlich die sinnvollste Herangehensweise, auch wenn die meisten Banken für so einen Zugang zusätzliche Gebühren erheben.

Also die Doppelzeichnung per HBCI ansich funktioniert ja.

Nur eben nicht Erstunterschrift an Arbeitsstation Nutzer A und Zweitunterschrift an Arbeitsstation Nutzer B.

Es geht bei Bank2 (Volksbank) nur, wenn die Authentisierung am gleichen Arbeitsplatz sequentiell erfolgt und direkt zum Abschluss gebracht wird.

Bei Bank 1 (Sparkasse) geht es auch von unterschiedlichen Arbeitsstationen aus. Dabei ist es nicht schädlich, wenn Erstunterschrift um 06:00 Uhr und Zweitunterschrift um 19:00 Uhr gegeben wird. Erst wenn die Zweitunterschrift auch vorliegt, bringt S-Firm den Vorgang zum Abschluss.

Na da haben wir es doch schon. Beim Sparkassenrechenzentrum FI ist es möglich, die Unterschriften (TANs) EINZELN nacheinander zu übermitteln. Beim Volksbank-Rechenzentrum Fiduza geht das nicht, da müssen beide TANs im GLEICHEN Sendevorgang miteinander übertragen werden.

Es handelt sich um ein Feature, das vom Bankrechner angeboten werden muss, sonst kann es nicht klappen. Hintergrund ist, dass eine TAN ja nur eine bestimmte Zeit gültig ist. Wenn SFIRM diese erste TAN intern zwischenspeichern würde (was sicherheitstechnisch eh problematisch wäre), dann würde diese erste TAN später bei der Übertragung mit der zweiten TAN schon längst verfallen sein und das Ganze nicht klappen. Somit muss SFIRM bei Volksbank/Fiduzia die Doppelzeichnung sofort direkt hintereinander am gleichen Arbeitsplatz anfordern und sofort übertragen.

Da liegst Du falsch. Es hat sehr viel mit PushTAN 2.0 (oder korrekter mit dem Decoupled Verfahren) zu tun.

Wenn man an zwei Arbeitsrechnern unabhängig voneinander Unterschriften leisten möchte, gab es bisher zwei Ansätze
1. Der Auftrag wird vor dem Versand an einem Arbeitsplatz unterschrieben und in der gemeinsamen Software geparkt. Anschließend nimmt der nächste Anwender den Auftrag an einem weiteren Arbeitsplatz und versendet den Auftrag. Beim Versand erfolgt dann die zweite Unterschrift. Funktioniert in FinTS nur mit den Signaturverfahren

2. Der Auftrag wird am ersten Arbeitsplatz unterschrieben und an die Bank gesendet. Dort wird der Auftrag geparkt und wartet auf die zweite Unterschrift durch den zweiten Arbeitsplatz. Dazu muss der zweite Arbeitsplatz wissen, welcher Auftrag denn bei der Bank liegt. Dazu werden Details vom Auftrag abgerufen, und diese dann am zweiten Arbeitsplatz unterschrieben. Das funktioniert über mehrere Softwareinstallationen hinweg. Würde auch mit allen Sicherheitsmedien grundsätzlich funktionieren. Am "würde" kann man schon erkennen, gibt es in FinTS nicht, bzw. gibt es erst in FinTS 4.X, welches aber bei keiner Bank an der Kundenschnittstelle aktiv ist.

Die Variante 1 funktioniert mit den bisherigen TAN Verfahren nicht, da die Bank der Anwendung mitteilt, wie die TAN zu erzeugen ist. Dazu muss ein Dialog mit der Bank statt finden. Da es Version 2 nicht gibt, bleibt nur die Möglichkeit, dass die TANs innerhalb eines Sendedialoges erzeugt und eingegeben werden. Das könnte man mit einem Server auf dem der FinTS Dialog läuft und zwei Arbeitsplätzen technisch vielleicht hinbekommen, ist aber mit so vielen Haken und Ösen versehen, dass das keine Anwendung macht.

Warum funktioniert das mit PushTAN 2.0?
Push TAN 2.0 ist kein TAN Verfahren. Es bedient sich nur der FinTS Abläufe eines TAN Verfahrens.
Der Ablauf ist daher anders und hat ein wenig von Variante 1 und Variante 2 und eigenen Abläufen.
Der wichtigste Unterschied ist, die Freigabe erfolgt weitestgehend unabhängig von der Software, mit der der Auftrag versendet wurde. Der Auftrag wird ein gereicht, bei der Bank geparkt. Die weiß, dass der Auftrag im Decoupled Verfahren frei gegeben werden soll und Pusht eine Freigabeanforderung an die jeweiligen Apps. Dort erfolgt die Kontrolle und Nachfrage, ob der Auftrag frei gegeben werden soll. Wird das bestätigt, sendet die App, die Freigabe direkt zurück an die Bank. Die Software ist da komplett außen vor. Sie wartet nur darauf, dass die Bank ihr sagt, dass der Auftrag freigegeben ist und der Dialog weiter geführt werden kann. Dazu fragt die Software in einer Schleife ständig bei der Frank nach, wie der Status der Freigabe ist.
Um das zielgerichteter zu können, gibt es die Möglichkeit, dass der Anwender der Anwendung bestätigt, dass die Freigabe erfolgt ist (ein entsprechendes Knöpfchen drückt). Genau das geht hier bei den Sparkassen auch an mehreren Arbeitsplätzen. Der Unterschied ist halt, es gibt keine TAN Eingabe mehr in der Anwendung.
Daher funktioniert das nur mit "PushTAN 2.0".

@Holger Fischer: Ich bin da noch etwas skeptisch, muss ich sagen:

Der Originalposter schreibt ausdrücklich von TAN-Eingabe und nicht von push-Freigabe.
Ist die Eingabe einer pushTAN bzw. Direktfreigabe nicht zeitbeschränkt? Kann ich eine Freigabeaufforderung (für den zweiten Nutzer) in der App erst Stunden später durchführen? Sollte das da dann nicht längst verfallen sein?

@Raimund Sichmann: Genau so würde ich es auch sehen und hatte es ja auch so geschrieben.

Also erstmal vielen Dank für die vielen Antworten!

Die haben mir geholfen die richtigen Fragen bei der Bank zu stellen und jetzt eine eindeutige Antwort zu erhalten.

Nach Aussage der Volksbank (der Bank, wo das Verfahren nicht ging) ist es wohl wie folgt:

Der Grund, wieso der Abfragedialog in S-Firm (TAN des zweiten Benutzers jetzt oder später) einfach übersprungen wird ist, dass für uns wohl das HBCI/FinTS (PIN-TAN Verfahren) maßgeblich ist. Die Volksbank bzw. deren Rechenzentrum Fiducia unterstützt aber lt. Aussage der Bank keine zeitversetzte TAN Eingabe.

Man vermutet, dass S-Firm die Option (TAN-Eingabe des 2. Benutzers jetzt oder später) deshalb gar nicht anzeigt, weil das Rechenzentrum das nicht anbietet, sondern die Bankserver direkt an S-Firm kommunizieren, dass die TAN-Eingabe sofort erfolgen muss oder der Auftrag abgelehnt wird.

Die Sparkasse bzw. deren Rechenzentrum unterstützt das hingegen schon.

Was ich im Eingangspost nicht erwähnt habe, dass es einen dritten Benutzer gab, mit dem die anderen zwei Benutzer den Abfragedialog (TAN jetzt oder später) erhalten haben. Das hat natürlich alle auf Irrwege getrieben, weil das ja eigentlich nicht sein kann, wenn das Rechenzentrum das nicht unterstützt.

Der Grund, so vermutet man, ist wohl, dass dieser dritte Benutzer im Gegensatz zu den anderen zwei Benutzern eine (E) Vollmacht statt (A) Vollmacht hat.

Also unabhäng davon, dass in S-Firm zwei Benutzer (Ausführend & Beteiligt) für Auftrage bei der Volksbank gewählt wurden und S-Firm auch hier eine zweite Authentisierung abgefragt hat, war die Authentisierung der zweitem Person ohnehin nicht notwendig.

Was für Alternativen sollen lt. Volksbank funktionieren, damit eine zeitversetzte Unterschrift möglich ist:

a) HBCI-Chipkarte (also mit Chipkartenleser und nicht mit PIN/TAN)
b) HBCI-Benutzerkennung (mit Sicherheitsdatei und z.B. Stick)
c) EBICS

Bei HBCI/FinTS geht es wohl bei der Volksbank nur so, dass sich die Mitarbeiter auf den Schoß von dem jeweils anderen Mitarbeiter setzen und an der
gleichen Arbeitsstation authentisieren.

Das kann ich mir nicht verkneifen jetzt: Es war/ist also genau so, wie ich es geschrieben hatte.

Wenn die zeitversetzte Eingabe über das WebBanking funktioniert (woran ich keinen Zweifel habe), dann gibt es noch eine Möglichkeit d). Die wäre dann sicher auch preiswerter als EBICS. Und zur Möglichkeit b): Die sollte man wohl eher nicht mehr ins Auge fassen. Hintergrund ist, dass schon sehr viele VR-Banken die Sicherheitsdatei gekündigt haben und nicht mehr anbieten. Ich gehe davon aus, dass die Methode über kurz oder lang ganz eingestellt wird.

Nun zur Möglichkeit d): Man kann die Aufträge wie bisher ganz normal in SFIRM verarbeiten, dann aber nicht direkt per HBCI senden sondern als SEPA-XML-Datei exportieren. Damit ist der Vorgang für SFIRM dann erledigt. Die XML-Datei lädt dann der erste Zeichnungsberechtigte im WebBanking hoch und gibt sie mit einer TAN frei. Damit steht sie dann teilfreigegeben für den zweiten Zeichnungsberechtigten bereit. Dieser loggt sich orts- und zeitunabhängig in sein WebBanking ein und gibt den Auftrag mit seiner zweiten TAN frei - fertig.

das wird daran liegen, dass SFIRM für eine Genobank eine fremde Software ist. Die Lösung hätte vom SFIRM-Support kommen müssen, so exotisch ist ja das genossenschaftliche Rechenzentrum nicht.
Gruß
Raimund

@Holger Fischer
Die Sparkassen haben da im Zuge des Decoupled TAN anscheinend was eingebaut, was eine zeitversetzte Zweitunterschrift nach Einreichung des Auftrages zuläßt. Meines Wissens nach funktioniert das aber nur Tag gleich.