Tach Guido,



Unsere Arbeitsweisen moegen unterschiedlich sein. Das ist auch nicht das Thema. Aber ein Szenario: 1000 mal geht's gut. 100.000 mal geht's gut. 1.000.000 mal geht's gut.... und dann..... - Verstehst Du, was ich meine?

Es hilft wirklich nur eine ausfuehrliche Aufklaerung ueber das Thema, am besten sogar noch dokumentiert. Alles andere ist vielleicht ertragbares, aber in jedem Falle zusaetzliches Risiko.

Die BIVG traegt dem uebrigens Rechnung, indem sie seit der Version 2.2 einen moeglichen Passwort-Wechsel ueber die Optionen forciert. Insofern "schwaechelt" unser Thema jetzt sowieso. Wer naemlich will das hinsichtlich eines Berater-Accounts im Support bei Euch pflegen, ohne das der Kunde (telefonisch) das neue Passwort mitbekommt? Willst Du dann einen "forcierten Passwortwechsel" deswegen deaktivieren?? Dann koenntest Du erst recht Haue kriegen!

Ich bleibe dabei: Aufklaerung und Dokumentation! :!:

Hallo Captain FRAG,



Ich habe keine Chance, einen Kompromiss zu schliessen...

Ich klaere den Kunden ueber Vor- und Nachteile eines von wem auch immer administrierten SFIRM32-Accounts auf und dokumentiere dies. Anschliessend **entscheidet** immer der Kunde.

Machen wir uns doch nichts vor!
Manches Mal will der Kunde es leicht haben und entscheidet sich ggf. zu seinem (aus unserer Sicht) gegebenen Nachteil (z.B. sfirm/sfirm). Und ein anderes Mal entscheidet der Kunde sich fuer ein TOP-Security-Level und - naja, was wohl? - entscheidet sich EBENFALLS zu seinem Nachteil (weil, das geht garantiert schief ).

Alles eine Frage der Interpretation, auf die ich mich nicht verlassen will.

Ich wiederhole mich: Eine gegenueber dem Kunden angebrachte, dokumentierte Aufklaerung ueber Vor- und Nachteile und moegliche Risiken ist das einzige, was uns aus der "Risikozone" herausbringt.

Es sei noch das eine erwaehnt: Ich empfinde FTAM und zukuenftig auch EBICS als absolut "ungefaehrliche" Verfahren! Ich bin mir ganz sicher, dass ein sfirm/sfirm-Account diesbezueglich bei einem Kunden nicht zur Verunsicherung beitraegt. Die Attacken, die bspw. aus dem Internet kommen (Phishing, Trojaner etc.), beziehen sich naemlich immer auf "Massenzahlungsverfahren" wie -nur als Beispiel genannt- PIN/TAN.

FTAM/EBICS ist insofern bei Firmenkunden einer echter (!) Verkaufsansatz!
Und weil SFIRM32 das so gut unterstuetzt, waere es auch ein echter Schlager! :idea: