Hallo erstmal,
leider haben wir ein riesen Problem mit SFIRM:

Wir möchten in ein mit Sparkassenkonten funktionierendes Sfirm ( Pin Opti TAN Verfahren) Volksbank Konten hinzufügen (HBCI mittels Schlüsselaustausch der Bank) leider tritt bei dem Initialisieren/Freischalten folgender Fehler auf:

Verbindung mit Volksbank xxxx xxx eG (BLZ xxxxxxxx) via TCP/IP wird hergestellt
21:24:49 : Internetverbindung wird überprüft...ok
---------------- Benutzerschlüssel werden gesendet ----------------
21:24:56 : Aufträge vorbereiten
21:24:56 : Nachricht wird signiert, verschlüsselt
21:24:56 : Verbindung zum Kreditinstitut wird aufgebaut...ok
21:24:56 : Daten werden an das Kreditinstitut übertragen...ok
21:24:56 : Warten auf Antwort vom Kreditinstitut
21:24:56 : Daten werden vom Kreditinstitut empfangen...ok
21:24:56 : Empfangene Nachricht wird verarbeitet
21:24:56 : Die Verbindung zum Kreditinstitut wird geschlossen...ok

Ergebnis: Es fanden keine Übertragungen statt
Zeit: 05.09.2013 um 21:44:06 Uhr
Meldungen der Übertragungskomponente:

RDH-Schlüsselaustausch mit Bank fehlgeschlagen.
Kernel-Fehlercode -3000005

TCP/IP-Verbindung: Es konnten keine Daten von 'hbci.gad.de:3000' empfangen werden.

Auftrag 1 : RDH-Schlüssel mit Bank austauschen
Ergebnis: Eine Übertragung des Auftrags fand nicht statt


Der Schlüssel den wir generiert haben liegt Probehalber auf dem Desktop.

Info zu unserer Hardware:
SFirm ist auf unserem Server (SBS 2008) installiert und auf dem Client dementsprechend die Client-Version von SFirm unter Windows 7.
Die Version von SFirm ist aktuell.

Nach Telefonaten mit dem Support der Sparkasse und der Volksbank haben wir auch probehalber die Firewall auf dem Server sowie die PandaSecurity-Firewall auf dem Client ausgestellt.

Desweiteren haben wir zunächst versucht den Port 3000 an den Server weiterzuleiten. Als das nicht funktionierte haben wir den Port probehalber auf den Client weitergeleitet.
Zu Letzt haben wir im Router (FritzBox) den Client sowie auch mal den Server als Exposed Host angegeben. Auch das brachte keinen Erfolg.

Wir können uns den Fehler nun nicht mehr erklären und wollten deswegen hier nachfragen, ob jemand eine Lösung für das Problem hat?!

Gruß

Zeig uns mal bitte das HBCI Trace von SFirm zu dieser Aktion.

Und was für eine Meldung kommt, wenn die Adresse http://hbci.gad.de:3000 per Browser aufgerufen wird?

Beim eingeben von: http://hbci.gad.de:3000 hab ich nur die Browserfehlermeldung. Seitenladefehler (Firefox).

...HBCI Trace.... wie und wo komm ich daran ??

Hallo tomas,

ich pers. glaube nicht, das der Trace etwas bringt, da es für mich so aussieht, als ob der Online-Zugriff eher irgendwo geblockt wird. Daher denke ich, die Suche in Firewall, Proxy-Einstellungen usw. dürfte korrekt sein.
Aber trotzdem kann man den Trace so aktivieren:
EXTRAS -> Optionen -> DFÜ-Traces - HBIC-Trace aktivieren.
Dies geht aber nur zusammen mit deiner Sparkasse/Landesbank, da eine Call-ID benötigt wird!
Grundsätzlich kann man zumindest die HBCI-Dialogdatei aktivieren
EXTRAS -> OPTIONEN -> Administrator (1)
Häkchen bei HBCI-Dialogdateien erzeugen

Ich pers. würde eher folgendes probieren:
In den HBCI-Banken diese Einstellungen prüfen (nach Doppelklick auf die entsprechende Volksbank):
1. Unter dem Reiter "Sonstiges" die HBCI-Version auf 3.0 stellen.
2. Doppelklick auf das Sicherheitsmedium unter "Benutzer"- hier unten schauen, ob auch die korrekte Sicherheitsdatei ausgewählt wurde:
a) Stimmt die Pfadangabe und vorallem ist "Sicherheitsdatei RDH (10)" ausgewählt.

Letzte Idee:
EXTRAS->Optionen->Administrator 1->"verfügbare DFÜ-Wege"
1. Haken bei HBCI (Chipkarte/Datei) muss "grün" sein.
Diesen Eintrag makieren und unten auf "konfigurieren".
Auf der nächsten Seite oben "Internetzugang konfigurieren" auf "ändern".
Hier einmal die Einstellungen kontrollieren (auch ob etwas "Falsches" bei Proxy-Einstellungen steht.
Dann unten auf "Verbindungstest", hier HBCI (Chipkarte/Datei) auswählen (oben) und unten den Test starten, hier wird der Port 3000 mit einer anderen Adresse geprüft.
Erfolgreich oder nicht?
Vielleicht bringt Dich irgendwas einer Lösung näher, ansonsten wäre ich erst Montag wieder da
Schönen Gruß und schönes Wochenende!

P.S: Eventuell könnte der (hoffentlich) freundliche Sparkassen-Mitarbeiter mit der VoBa Kontakt aufnehmen und sich erkundigen, ob dort (bzw. in der GAD(Rechenzentrum) etwas "ankommt". Und ob nicht dort ein Problem vorliegt.
(Ist die Freischaltung in der Bank korrekt usw...)

letzteres wird nicht funktionieren, erst nach einer Anmeldung sieht die Bank etwas.

Ihr müsst sicherlich die Clients für den Port 3000 freigeben, der Server spielt nur eine Rolle, wenn er als Proxy läuft oder die Software in einer Terminalserver-Sitzung arbeitet.

Dies meldet der Server bei mir, wenn man http://hbci.gad.de:3000/ in die Browserzeile eingibt:
HNHBK:1:3+000000000124+300+unknown+1+unknown:1'HIRMG:2:2+9800::FGW Die Kundennachricht enthält ungültige Daten.'HNHBS:3:1+1'


Mal ein anderer Vorschlag: Die Volksbank wird garantiert auch das Sm@rtTAN-Verfahren anbieten, dass ihr mit eurem vorhandenen Sparkassenleser auch nutzen könntet.

Die Signaturdatei ist zwar etwas bequemer, aber gilt aufgrund der fehlenden Auftragskontrolle als etwas unsicherer als das optische TAN-Verfahren.

Gruß
Raimund

Vielleicht sollte man dazu sagen, dass hier nicht alle Browser gleich reagieren, weil ja der Antwortheader völlig fehlt.
Z.B. im IE bekomme ich das nicht angezeigt. Im FF hingegen schon.

yep, da hast du Recht. Hatte ich mir gespart, weil Tomas ja vom FF sprach. Im Chrome funzt es übrigens auch, opera hab ich nicht getestet, der basiert aber ja auch inzwischen auf Chrome, sollte also inzwischen dort ähnlich sein.

Gruß
Raimund

Sorry für die späte Antwort!

Also wir haben nun mehrmals mit einem Mitarbeiter der Sparkasse und der Volksbank telefoniert. Beide haben in ihren jeweiligen Abteilungen nachgefragt: Von deren Seite aus ist alles in Ordnung.

Wenn ich http://hbci.gad.de:3000/ bei mir am privaten Laptop im WLAN der Firma im Firefox eingebe erhalte ich auch die von dir genannte Meldung für ca. 2-3 Sekunden danach "Seite kann nicht angezeigt werden."

Deswegen kann es doch auch nicht an den Ports liegen oder?
Wie kann ich denn herausfinden ob das eine Terminalserver-Sitzung arbeitet? Ich weiß nur, dass wir eben den SBS Server haben, auf dem ist SFirm (ich nehme mal an in der Serverinstallation) installiert. Bei den Clients ist jeweils ein Netzlaufwerk verbunden, der auf die Ordner von SFirm auf den Server zeigt. Und dort ist jeweils SFirm in der Client-Version installiert.

Ich habe nun nochmals probiert Panda Anti-Virus komplett zu löschen, damit ging es auch nicht. Wie ich bereits in meinem ersten Post schrieb, habe ich auch die Clients und auch jeweils einmal den Server als "Exposed Host" angelegt. Dann waren ja theoretisch alle Ports auf den Client/Server frei. Selbst dann ging es nicht.
Doofe Frage vielleicht aber ich muss schon TCP Port 3000 an den Client freigeben, richtig?

Die von AP genannten Vorschläge haben wir probiert - leider ohne Erfolg.


Noch ein Nachtrag:

Wir haben auch von der Volksbank das Programm "VR-Networld" einfach mal auf einem PC installiert. Dort tritt die gleiche Fehlermeldung auf. Aus diesem Grund würde ich sagen, dass es keine Komplikation mit dem Server ist oder? Proxy oder ähnliches haben wir auf dem SBS Server nicht installiert (meines Wissens nach). Kann ich das irgendwo nachprüfen ob einer installiert ist?

Hallo tomas,

hattest Du dies inzwischen getestet:
Also den Port 3000 auf einer anderen Adresse überprüft wie angegeben und die Proxy-Einstellungen? Ist der DFÜ-Weg auch wirklich verfügbar (grüner Haken)?

Ok also zunächst mal ein Screenshot der FritzBox wie sie momentan konfiguriert ist (Siehe Anhänge).
Die zusehende IP ist dementsprechen die IP des Clients. Unser Server hat die Nummer 2 am Ende und ist bei den Clients lediglich als bevorzugter DNS Server eingetragen.

Unter Administrator (1) -> DFÜ Wege festlegen steht:
FTAM - grüner Haken
HBCI (Chipkarte/Diskette) - grüner Haken
HBCI (Pin/Tan) - grüner Haken
EBICS - grüner Haken

Wenn ich nun HBCI Chipkarte/Diskette konfiguriere -> Internetzugang ändern ist "LAN-Verbindung ohne Beachtung...." ausgewählt.

Unter "Proxyeinstellungen ändern" ist "keinen Proxy Server verwenden" ausgewählt.
Klicke ich dort "Proxy-Einstellungen der Windows Internetoptionen verwenden" an, erhalte ich sofort die Meldung "In Ihren Internetoptionen ist keine Verwendung eines Proxy-Servers eingestellt".

Klicke ich bei Internetzugang ändern auf "Verbindungstest",
ist "TCP/IP (HBCI mit Chipkarte oder Sicherheitsdatei" ausgewählt.
Als Host steht direkt "www.sfirm.de" und Port 3000 da.
Test starten -> Verbindungstest erfolgreich abgeschlossen.
Gebe ich bei Host mal hbci.gad.de ein -> Verbindungstest erfolgreich abgeschlossen.

Unter "Internetzugang konfigurieren" gibt es noch den Punkt "Internetoptionen ändern". Wähle ich das an lange ich bei "Eigenschaften von Internet". Gibt es da noch etwas zu beachten?


///////////// Nachtrag:
Also ich habe nun nochmal alle deine vorgeschlagenen Lösungen ausprobiert.
Die Fehlermeldung mit dem Port 3000 tritt so nun nicht mehr auf. Ich erhalte stattdessen am Ende in der Protokollübersicht folgende Fehlermeldungen. (Siehe Fehler1.PNG und Fehler2.PNG)

Moin,

die Kommunikation mit dem Bankserver läuft.
Es kommt eine Fehlermeldung am Server:
Schlüssel nicht freigeschaltet oder nicht gesendet

Also mit der Bank klären welchen Status der Schlüssel bzw. die kennung und dann INI-Brief nachreichen und/oder Schlüssel senden ...
an den Port Einstellungen liegt es nicht (mehr?) - Das Protokoll ist dahingehend eindeutig!

Viel Erfolg

Od

Also beim Sicherheitsmedium für den Benutzer steht "Status: initialisiert"

Der mir angezeigte Hashwert wenn ich dort auf "Initialisieren/Freischalten" drücke weicht aber von den beiden Haswerten ab, die ich im INI-Brief von der Bank stehen habe. Gleichzeitig steht dort aber, dass nach SFirm-Informationen ein Abgleich nicht mehr notwendig ist.

Status initialisiert bedeutet:
Schlüsseldaten wurden an die Bank gesendet - die angezeigten Daten sind die von deinem Schlüssel - nicht von dem der Bank - daher kann der INI Brief der Bank nicht passen. Dein INI Brief muß zur Bank und dort muß dann die Freischaltung erfolgen - feddich

Viel Erfolg

Od

Ich verstehe zwar auch gerade nicht warum, aber die technische Komunikation läuft ja jetzt, wo der entscheidene "falsche" Eintrag war, bleibt ein Rätsel, aber Hauptsache es läuft jetzt

Den Rest hat Odin in meinen Augen völlig richtig beschrieben, notfalls wirklich die VoBa (Fachabteilung) nochmal kontaktieren und den Status abfragen lassen.

Ich glaube, Du bist fast am Ziel

Schönen Gruß