Ich bin gerade dabei einige Konto, die bei der BfS geführt werden, in SFirm zu integrieren. Dazu wurde bei uns für die berechtigten Teilnehmer EBICS bei der BfS beauftragt, was auch soweit eingerichtet wurde.

Jetzt dazu meine Frage: Ich habe die Zugangsdaten eines Benutzers im SFirm als technischer Teilnehmer definiert ("T-Teilnehmer"). Initialisiert und gesendet hab ich die Schlüssel etc. als User SFIRM. Das Abholen der Kontoauszüge usw. klappt damit auch.

Hintergrund ist, das ich erreichen möchte, das gewisse SFirm-Nutzer, die jedoch keine eigene EBICS-Benutzerkennung und Sicherheitsdatei haben, z.B. Kontoauszüge über diesen Zugang abrufen können. Dazu habe ich über das Konto, Rechtsklick, Bankverbindung ändern, Bankparameter, Weitere z.B. für einen Nutzer STA-Berechtigung vergeben. Nur kommt egal was ich dort für weitere Berechtigungen vergebe die Meldung "Der Status des Benutzers XYZ ist nicht ausreichend für EBICS-Aufträge".

Wo liegt mein Denkfehler?

T-User ist nicht gleich technischer Teilnehmer. Der T-User ist unter EBICS dass, was früher ein N-User (nur senden) war.

Du musst noch einen weiteren Benutzer einrichten, der T-User ist.

Ich lege dann z.B. immer für Herrn Müller von der Firma Meier 2 User-ID`s an. 1x E, A oder B und dann eben die zweite Kennng mit dem Recht "T"

Dann klappt es auch....

Bei den Bankparametern ist aber die User-ID gekennzeichnet als "User-ID ist technischer Teilnehmer". Die selbe User-ID kann ich auch nicht nochmal mit einer anderen Berechtigung hinzufügen, da SFirm meldet das die User-ID bereits verwendet wird.

Du musst für das Konstrukt "technischer Teilnahmer" immer 2 getrennte EBICS-ID's und 2 getrennte SFirm-User haben. Anders kann es nicht gehen - zumindest ist mir nichts bekannt. Nur der technische Teilnehmer lässt die Speicherung des Auth-Kennwortes (früher DFÜ-Kennwort) für die Abfrage von Protokollen, STA etc zu

Hmmm, das heißt jetzt praktisch was?

Wir haben für fünf Mitarbeiter im Unternehmen hier EBICS-Zugänge, die aber i.d.R. selbst nicht damit arbeiten (sprich Chefs). Nun dachte ich mir kann ich es so einrichten, das z.B. die Mitarbeiter in der kaufm. Abteilung Kontorundrufe etc. selbst auslösen können. Das Problem ist, das diese Mitarbeiter selbst keine EBICS-Zugänge haben. Wir kann ich da also vorgehen? Wenn mir da der technische Teilnehmer nicht hilft, würde es ja nur so funktionieren das die Finanzleute sich temporär mit den Logindaten eines Chefs am SFirm anmelden und dann die Aufträge absenden, Kontoauszüge abholen etc.?

HBCI PIN/TAN war in der Beziehung ja wesentlich einfacher zu handlen

Wenn die Chef`s schon (laut gedacht) ihr EU-Kennwort weitergeben, dann sollte es am SFirm32-Login nicht scheitern. Die BIVG hält aber tolle Infos für den technischen-Teilnehmer bereit. Da ist das genau erklärt.

Du kannst an der Stelle einem Konto eine zweite Bankparameterdatei zuordnen. Sprich ein Konto mit 2 Banken oder wenigstens 2 Kunden-IDs einer Bank verknüpfen. Das braucht man nur in Spezialfällen wo eine Bank für eine andere Konten führt und erstere nur ein Schattenkonto bereitstellt. In deinem Fall ist das nicht zielführend, du hast keine zweite Kunden-ID. Weitere heisst also weitere Kunden-ID, nicht weiterer User!



Eine User-ID kann gleichzeitig nicht verschiedene Rechte und auch nicht verschiedene Schlüssel haben. Wie soll irgendein EDV-System solche Sachen auseinanderhalten? Sfirm bemängelt das nur, weil es keinen Sinn ergibt. Wird die gerade benötige Unterschriftsklasse abhängig vom aktuellen Sonne-Erde Abstand vergeben? Interessant wäre das aber schon, ich sehe schon einen CR beim ZKA. Neue Unterschriftsklasse Z wie Zufall. Nicht erst nehmen, hab gerade zu viel gegessen....

--

zum eigentlichen Problem:
Es reicht, einen Umsatz-Abholauftrag oder den Rundruf für das Konto, in deinem Fall mit dem User Sfirm, anzulegen und das Kennwort für diesen Auftrag bzw. den Rundruf zu speichern. Den Auftrag kann dann trotzdem jeder User senden. Ist nicht anders als unter FTAM oder HBCI. Der dortige User muss zwingen weder technischer Teilnehmer, noch T-Berechtigter sein. Das kann auch Chef mit E sein, das Kennwort ist nicht für andere Zwecke nutzbar.

--

Der technische Teilnehmer ist für deinen Fall eigentlich unnötig, den benötigt man zwingend nur z.B. um Aufträge nachts zu senden, wenn gar keiner am Rechner sitzt. Die Passwörter und die Signaturdatei für technische Teilnehmer lassen sich nämlich komplett speichern, also auch über den reinen Kontoumsatzabruf hinaus. Der technische Teilnehmer hat aber immer nur eine T-Berechtigung, kann also keine "echte" Unterschrift leisten. Sinnvoll ist dass, wenn große Dateien das Tagesgeschäft nicht stören sollen. Und EBICS verlangt ja für jeden Dateiversand eine EU/Signatur, sie muss aber nicht gleichzeitig bankfachlich gelten (E/A/B).

Ein technischer Teilnehmer ist immer ein User mit T-Berechtigung, ein User mit T-Berechtigung aber nicht zwangsläufig technischer Teilnehmer.