Hallo zusammen,

ich starte gerade mit meinen ersten Versuchen zu SFirm und habe dazu wahrscheinlich eine Anfängerfrage. Im Forum habe ich dazu aber noch nichts gefunden.

Bei uns gibt es drei Zweigstellen, die alle selbstständig arbeiten und eigene Konten (HASPA / 3 verchiedene Kunden-IDs) haben. Nun soll die Geschäftsführung, zusätzlich zu den Mitarbeitern vor Ort, in allen drei Filialen Zugriff auf die Konten bekommen.

Eine Installation von SFirm mit zentraler Datenbank via VPN (ADSL) kann ich wohl leider vergessen, wenn ich die Beiträge im Forum richtig verstanden habe. Es wird also in jeder Einrichtung eine eigene Installation von SFirm geben.

Der Zugriff auf die Konten erfolgt mit FTAM und ich würde gerne Chipkarten einsetzen, auch wenn sie von der HASPA nicht unterstüzt werden. Dazu habe ich mir eine Testkarte (matekey) bestellt und will erste Versuche starten. Die Hotline sagte mir, dass ich für die Geschäftsführung nicht eine Diskette für alle Standorte einsetzen kann, sondern jeweils eine neue erstellen muss. Gilt das auch für die Chipkarte? Würde der Geschäftsführer also mit drei Chipkarten hantieren müssen?

Wenn ich die Technik richtig verstanden habe, würde ich sagen, dass ich nur eine Karte brauche. Aber ihr wisst es sicherlich besser...

Schon mal vielen Dank für Eure Hilfe,

Jason

Das eine Chipkarte drei Kunden-IDs bedienen kann müsste funktionieren.
Im Gegensatz zu HBCI werden auf der Karte bei FTAM keine Kommunikationsdaten abgelegt.
Die Kom-Daten stammen aus Sfirm, von der Karte wird nur der private Key zum Verschlüsseln verwendet.
Der kann für alle Kunden-IDs in einem Institut und wie bekannt auch Bankübergreifend einheitlich sein.
Nach meiner Meinung geht das mit Disketten übrigens genauso.

Entweder ist die Geschäftsführung dabei jeweils ein eigener Teilnehmer in den bestehenden Kunden-IDs der Firmen oder sie wird sinnvollerweise (Auszüge) als eigene Kunden-ID mit Berechtigung für alle drei Konten/Firmen seperat angelegt.
Dann kann die Geschäftsführung allerdings nicht mit unterschreiben, was aber bei nicht zentraler Datenbank eh flachfällt. Oder hat die HASPA die Möglichkeit die Unterschriftenmappe aus FTAM/WEB in Sfirm zu nutzen? Dann könnte sie unvollständig unterschrieben Aufträge vom Host abholen und vervollständigen.

Eine Lösung mit einer zentralen Datenbank geht auch bei ADSL -> Terminalserver. Allerdings ist die Geschichte mit der Ansteuerung der Kartenleser dann nicht ganz trivial, aber sehr wohl möglich.

Im Prinzip spricht der Sfirm Automat auf dem Terminalserver dann den Leser an der entferneten Workstation per LAN-CTAPI (ähnlich wie eine LAN-CAPI für ISDN) über die Leitung an.

Einfacher ist das natürlich per Diskette/USB Wechselmedium.

hi,

die HASPA bietet Ihren Kunden auch den FTAM/WEB-Zugang an.
Die Frage ist nur, ob man dort auch das WEB-SIGN-Modul kaufen kann.
Das weiß cih leider nicht. Ich würde einfach mal bei dem HSAP-Berater anrufen und fragen.
Mit dem Modul kannste wunderbar die Aufträge unterschreiben und brauchst nicht 3 verschiedene ID´s.
Problematisch wird es erst, wenn Du noch weitere Banken mit SFIRM32 bedienen willst, da der WEB-Zugang nur mit Sparkassen funktioniert.

Grüße aus dem Nachbar-Bundesland

Der Don

Hallo,

vielen Dank für Eure Antworten. Hier eine kurze Rückmeldung zum aktuellen Stand.

Die Variante mit dem Terminalserver hatte ich auch schon gesehen, aber da wir nur SFirm damit nutzen würden, wäre es etwas heftig.

Die Hotline von der HASPA hat mir aber gesagt, dass mit FTAM/WEB die Möglichkeit besteht, Unterschriften auch dezentral zu leisten. Damit meinte sie wohl die Unterschriftenmappe. Als die Dame allerdings beim Erklären ins Schwimmen kann, habe ich das Gespräch abgebrochen und werde es mir selber anlesen. Dann kann ich ja immernoch die Hotline befragen.

Mein aktuelles Problem ist aber schon die EU mit Chipkarte. Ich habe den ReinerSCT CyberJack und eine matekey-Karte. Ich kann aber kein EU-Schlüsselpaar erzeugen. SFirm meldet mir immer "Kartentyp wird nicht unterstützt!". Laut Knowledgebase von SFirm soll aber die Karte unterstütz werden und dieser Fehler nach dem Update auf die aktuelle Version nicht mehr vorkommen. Hat leider nicht funktioniert.
Auch die Treiber für den CyberJack sind aktuell. Ein Test in SFirm über die Extras -> Kartenleser -> Ändern war erfolgreich.

Die Hotline von SFirm konnte mir für 1,24 €/Min auch nur den Tipp geben, den Treiber des Kartenlesers zu aktualisieren. Und die Kollegen von Reiner haben schon Feierabend und sind morgen erst wieder greifbar.

Hat jemand eine Idee wo mein Problem liegt oder hat jemand die Karte mit SFirm im Einsatz?

Gruß,
Jason

Moin,

ich glaube nicht, dass man besagte Karte für FTAM nutzen kann.
Aber da kann mich ein SFirm-Spezi gerne berichtigen...

Diese Karte mit besagten Kartenleser kommt eher beim Banking über
HBCI zum Einsatz und wird in diesem Zusammenhang natürlich auch auf jeden Fall von SFirm unterstützt. Die HAPSA kann als eine der wenigen Sparkassen auch die "HBCI-Art" mit der man selber eine Chipkarte erstellen kann.

Nur bei FTAM glaube ich das so nicht, da hier die Schlüsselart/-erstellung eine andere ist.

Mit "normalen" SD-Cards sollte es aber auf jeden Fall gehen.

Bin mal gespannt wie es aussgeht...

Od

Standard RSA Chipkarten für HBCI laufen 1a für FTAM.
Liegt einfach daran das der HBCI Zugang mittels RSA (Diskettenlösung und propietäre Chipkarte) einfach aus dem FTAM System übernommen wurde.

Bisher habe ich aber nur 768 bit Karten selber getestet, die 1024 sind allgemein kritischer.

Moin,

...danke.

Ich habe gerade mal nachgeschlagen. Die matekey Karte ist so eine 1024er.

Bis dann

Od

Hab das im Shop von Reiner-Sct gefunden

Moin,

den Hinweis bei Reiner, dass die Karte nicht für Banking-Anwendungen konfiguriert ist, hatte ich gelesen.

Bei SFirm in der Knowledgebase SFirm KB wird diese Karte aber explizit genannt. Bedeutet der Hinweis "nicht konfiguriert", dass ich die Karte vorher in irgendeiner Weise initialisieren muss?

Könnt Ihr mir ansonsten alternative Karten nennen? Am besten mit Typ-Bezeichnung, weil ich auf dieser Ecken nicht so fit bin.

Nachher rufe ich die Jungs von Reiner an. Vielleicht können die mir ja etwas sagen.

Gruß Jason

Es wird in der KB aber auch explizit gesagt:

"Die Karten müssen personalisiert sein, was im Regelfall bereits durch den Hersteller durchgeführt wurde. Dies kann nicht durch den Kunden selbst geschehen."

Personalisiert heisst, das sich bereits Schlüssel auf der Karte befinden müssen. Von diesem Schlüsselpaar wird nur der öffentliche Teil von Sfirm ausgelesen und ab dann kann es losgehen.

An der Stelle ist gerade die Unterscheidung zu den älteren 768 bit Karten, diese können nämlich durchaus nackt sein. Sfirm kann an diese Karten einen einfachen Befehl senden, doch jetzt bitte (erneut) ein Schlüsselpaar zu erzeugen. Das geht bei den 1024ern nicht. Warum ist mir nicht bekannt, entweder machen die Karten das generell nicht oder Sfirm beherrscht es nicht.

Ich nutze FTAM bisher nur testweise mit einer solchen 768bit Karte (also A003). Es ist eine Standard HBCI Blanko Karte der HVB, jede andere Blanko geht genauso.

Für die A004 muss was aufwändiges her, was auch definitiv läuft (Eigenerfahrung) sind die S-Trust Signaturkarten (fortgeschritten=. Nur für FTAM sind die aber zu teuer. Die qualifizierten gehen gar nicht, da ist der Schlüssel schon zu lang.
Desweiteren gibt es noch Signaturkarten vom Bankverlag, die ebenfalls laufen. Ebenso gibt es spezielle A004 Chipkarten vom DSV, zu finden im jeweils aktuellen Cards&More Prospekt.

Vielleicht gehen die matekey aber auch, ich kenne sie aber leider überhaupt nicht. Ich weiss auch nicht, ob sie personalisiert sind.

Übrigens:
Es muss nicht immer ein echter Terminalserver her.
Der Standard Win2003 Server lässt auch Remotedesktopverbindungen zu, allerdings nicht mehr als 2 gleichzeitig. Im Prinzip ist der Terminalserver nur eine Lizenz die diese Beschränkung aufhebt.
Bei einer gedachten Installation in einer der Firmen oder bei der Geschäftsführung (lokal) blieben ja nur maximal 3 gleichzeitige Fernzugriffe übrig. 2 davon kann der Standard Server so ab Werk anbieten. In der Regel reicht das, es sei denn die Jungs&Mädels arbeiten den ganzen Tag in Sfirm....

Hallo Jason,

mach doch einmal folgenden Versuch mit Deiner matekey-Karte in S-Firm:

Versuche zunächst nicht ein EU-Schlüsselpaar zu erzeugen, sonder wähle über "Extra" - "FTAM" - den Menüpunkt "EU Kennwort/PIN ändern".

Bei den Seccos-Karten hat das so funktioniert, es musste nur die Transport-PIN geändert werden. Da ich die matekey-Karten nicht kenne weiss ich es natürlich nicht, einen Versuch wäre es aber sicher wert.

Hallo,

inzwischen habe ich eine eindeutige Info von Reiner. Die Karte funktioniert nicht!

Die alte mateKey (mit eingeprägter Nummer) funktioniert, die neue nicht mehr. Insofern ist die KnowledgeBase von SFrim32 nicht ganz auf dem aktuellen Stand.
Die Karte ist zwar eine 1024 bit Karte und auch personalisiert (SFirm bietet nur das Auslesen des öffentlichen Schlüssels an, was bei nicht personalisierten Karten deaktiviert ist), aber neue Karte, neue Technik, geht leider nicht...

Ich werde mir dann jetzt die SECCOS A004 (Art.-Nr.: 2008-BV-SK-01) beim Bankverlag bestellen. Da sie ja bereits erfolgreich im Einsatz ist, bin ich mutig und bestelle nicht nur eine Testkarte, sondern gleich den ganzen Satz. Bei 2 Wochen Lieferzeit würde mir die Doppelbestellung einfach zu lange dauern.

Sobald ich alles, hoffentlich erfolgreich, eingerichtet habe, gebe ich Euch eine Rückmeldung oder stelle fünf neue Fragen.

Schon mal vielen Dank für die Hilfe.

Gruß Jason