Hallo,

ich habe zwei Fragen/Probleme:

1. Meine Raiffeisenbank (im Fiducia-Verbund) hat mir mitgeteilt, dass sie zum Ende des Jahres die Unterstützung von HBCI via "Schlüsseldiskette" nicht mehr unterstützt.
Nun war mein erster Gedanke, auf die Chipkarte umzusteigen. Allerdings steht unter https://www.willuhn.de/wiki/do…banken:vrb , dass dies derzeit nicht unterstützt wird. Ist das so noch korrekt?
Gilt das auch für das neue "chipTAN USB"-Verfahren?

2. Da ich einen Kartenleser (cyberJack RFID Standard, mit chipTAN USB-Upgrade) und auch eine "VR-NetWorld-Card" habe, wollte ich dieses Verfahren mal probieren.
Ich scheitere aber schon bei der Konfiguration der Karte.
Ich habe diesen Artikel gefunden: forum/topic.php?t=21409
Leider erscheint bei mir bei einem Klick auf "Bankdaten ändern" die Meldung "Fehler 6A82: Datei wurde nicht gefunden". (Der Kartenleser blinkt allerdings in dem Moment ein paar Mal mit der grünen LED.)
Was kann ich tun?
Ich habe es auch mal mit meiner ec-Karte versucht, bekomme aber den gleichen Fehler.

Danke und Grüße
Pummi

HBCI mit Schlüsseldatei wird leider nicht mehr "alt". Bei Deiner Bank ist das Ende schon abzusehen. Ob die VR-Networld-Card dauerhaft "überlebt" wird man abwarten müssen - je nachdem wie die Vorgaben der EU ausgelegt werden.

Wofür verwendest Du die derzeit? Wenn du HBCI damit erst "mal probieren" willst? In Hibiscus kannst Du mit der VR-Networld-Card generell nicht arbeiten, die Implementierung dieser hochkomplexen Chipkarten ist so aufwändig, dass das in Hibiscus nicht gemacht wurde und nach Angaben des Programmierers wohl auch nie gemacht werden wird - zumal eben auch die Zukunft des Verfahrens an sich ungewiss ist. Die Fehlermeldungen sind darauf zurückzuführen, dass Hibiscus mangels Programmierung mit der Karte überhaupt nicht sinnvoll kommunizieren kann.

HBCI mit ChipTAN ist hingegen implementiert. Erst mal als "normales" ChipTAN-Verfahren mit einem TAN-Generator über diesen FlackerCode. Zusätzlich kann Hibiscus die Daten des Flackercodes auch via usb an geeignete Kartenleser (mit entsprechendem Update der Firmware für das ChipTAN-usb-Verfahren) übertragen und die TAN dann zurück ins Banking. Als Karte kommt dabei die GiroCard (ecKarte) zum Einsatz - die allerdings Bankseitig für ChipTAN freigeschaltet sein muß. In der südlichen Hälfte Deutschlands am RZ Fiducia braucht man dafür einen "VR-NetKey" mit TAN-Verfahren ChipTAN, in der nördlichen Hälfte am RZ GAD heißt das "VR-Kennung" ebenfalls mit ChipTAN (damit kann man dann auch WebBanking nutzen). Wenn das dann soweit mit einem TAN-Generator läuft, kann man es auch über entsprechende Kartenleser via usb machen.

Ob ChipTAN-usb ein adäquater Ersatz für Schlüsseldatei oder VR-Networld-Card ist, hängt vom Einsatzzweck ab. Für eine Privatperson ist ChipTAN usb in jedem Falle gut als Ersatz geeignet. Problematischer sieht es aus, wenn man damit VIELE Zahlungsaufträge zu übertragen hat. Bei Schlüsseldatei gibt man zum Start der Übertragung das Datei-Passwort ein und dann werden alle Zahlungsaufträge in einem Rutsch übertragen. Bei ChipTAN wird nach jedem Auftrag im Kartenleserdisplay der Betrag und die Empfänger-IBAN angezeigt, muß überprüft und dann mit OK am Leser bestätigt werden. Woraufhin eine TAN generiert und übertragen wird. Das dauert natürlich erheblich länger und ist erheblich langwieriger. Wenn man Dutzende Zahlungsaufträge zu übertragen hat, ist das kaum anwendbar.

Das Todesurteil der Schlüsseldatei ist übrigens, dass sie leicht kopiert werden kann und damit die Doppelte sicherheit "Besitz und Wissen" nicht mehr greift. Bei der Networld-Card könnte das klappen, denn sie ist nicht kopierbar (Besitz). Ein weiteres Problem ist, dass gefordert wird, dass vor Freigabe auf einem unabhängigen Weg die freizugebenden Auftragsdaten geprüft werden können müssen. Bei VR-Networld-Card geht das über das Secoder-Verfahren. Bei ChipTAN über die Anzeige im TAN-Generator oder auf dem usb-Kartenleser. Bei Schlüsseldatei geht es nirgends - also ist das Verfahren "tot".

Hallo msa!

VIELEN DANK! Das sollte so in's hibiscus-Wiki
Das ist eine super-Zusammenfassung!

Die VR-Networld-Card und den Kartenleser habe ich mir vor einiger Zeit mal geholt und ein bisschen rumgetestet. Bin dann aber bei Hibiscus (und Schlüsseldatei) geblieben, da es einfach das beste Tool für mich ist.

Dass die Schlüsseldatei sicherheitstechnisch schlecht ist, ist klar. Ist völlig in Ordnung, dass die abgeschafft wird.

Einen VR-NetKey habe ich (das ist doch einfach die User-ID mit der man sich über den Browser einloggt, oder?) - Aber derzeit nur mit SMS-Tan.

Ich werde dann wohl auf chipTAN USB umsteigen. Gebe das gleich meiner Bankberaterin weiter. Da ich das Homebanking nur privat nutze, reicht mir das aus.

Interessanterweise wird mir auf der Website bei der Freischaltung zu "SmartT@N plus" (ist es das?) sowohl meine ec-Karte als auch meine VR-Networld-Card angeboten. Ich bin versucht, es mal mit der VR-Networld-Card zu probieren (Wohlwissend, dass es nicht das Standard-VR-Networld-Card-Verfahren wäre sondern ChipTAN mit der VR-Networld-Card. Wäre mir aber lieber, dann müsste ich die ec-Karte nicht jedes Mal aus dem Geldbeutel nehmen)

@Infoman: Ja ich habe vorher noch auf die aktuelle Version upgedatet. Danke

Hallo Zusammen,

Die VR-NetWorld Card kannst Du vermutlich auch für Sm@rt plus/optik verwenden, deine Bank muss das nur intern verschlüsseln.

Da die Aussagen von msa grundsätzlich richtig sind, ergänze/korrigiere nur da wo es nicht ganz passt.

Die VR- NetWorld card erfüllt auf jeden Fall die Vorgaben der EU. Das ist also nicht das Problem.

Den Faktor Besitz erfüllt die Schlüsseldatei - sowie sie heute umgesetzt ist- in der Tat nicht. Das ist aber keineswegs automatisch und vorallem nicht endgültig das Todesurteil für die Schlüsseldatei.
Hier hängt viel von den Ansprüchen ab, die die Aufsicht anlegt.
Zur Anzeige: Ein weiteres Gerät ist nicht gefordert, sonst würden die ganzen Freigabe Apps nur noch bedingt nutzbar sein. Es reicht sicher und integer (meine ich).

Viele Grüße
Holger

So ist es! Und das "nur" ist unangebracht. Du kannst für die Kennung übrigens zwei TAN-Verfahren parallel haben - einerseits ChipTAN und andererseits SMS- oder SecureGo (bei den Sparkassen PushTAN genannt, also Freigabe über Smartphone-App). Nur SMS und App geht nicht gleichzeitig.

Wie gesagt - geht zusätzlich. Zumindest bis alles läuft würde ich das aktuelle TAN-Verfahren beibehalten. Bank-Verkäuferin ( ) benötigst Du dazu übrigens nicht.

Ja genau das ist das. Hier kannst Du Dich selbst für ChipTAN freischalten. Und normalerweise wird die GiroCard verwendet - wenn der Kunde eine andere Karte zu dem Konto besitzt, auf deren Chip die TAN-Anwendung vorhanden ist, kann natürlich auch diese verwendet werden. Deine Überlegung, die GiroCard nicht immer aus dem Geldbeutel holen zu müssen - würde ich genau so machen - zumal man ChipTAN unterwegs wohl eher garnicht macht. Wenn man auch mal unterwegs bankt, dann könnte man das mit der parallelen Alternative SMS-TAN machen - solange es auf einem anderen Gerät stattfindet - SMS-Empfang und Bank-App auf einem Gerät ist aus sicherheitstechnischen Erwägungen nicht erlaubt - Stichwort Kanaltrennung. Aber hierfür würde es sich anbieten, die SMS-TAN auf SecureGo-App umzustellen. Die darf auf dem gleichen Smartphone/Tablet laufen, wie die genutzte Banking-App. So hättest Du letztendlich alle Freiheiten, zu nutzen, was Dir gerade am praktischsten erscheint.

Vielen Dank.

Ich habe versucht, mich selbst für die Smart-TAN freizuschalten. Das ist daran gescheitert, dass die Bank einen "Lesertyp" haben will (12-stellige Hex-Zahl), den man über das Menü des Kartenlesers ermittelt.

Das geht aber laut Reiner SCT nicht, weil es den Lesertyp nur bei optischen Lesern gibt. Da ich den cyberjack standard (mit chipTAN update) habe, gibt es keinen "Lesertyp". Mal sehen, ob meine Bank dafür eine Lösung hat

Das wird sicher funktionieren, denn die Lesererkennung über die Gerätenummer ist nur eine Vereinfachung, um die Versionen auseinanderzuhalten ohne dass man winzige Typenschilder lesen muss. Gib bei der Bank an, dass du es mit dem Flackerverfahren und einem 1.4er Leser versuchen möchtest, dann sollte deine Bank deinen Zugang richtig einstellen.
Gruß
Raimund

da ich meinen o.g. Thread nicht mehr bearbeiten konnte und Reiner SCT ein größeres Update (anscheinend) gefahren hat

Update Base Components (Version 7.6.1) http://support.reiner-sct.de/downloads/bc_7_6_1.exe

Dankeschön. Kann es leider erst morgen testen.
Den Bankzugang muss ich als PIN/TAN einrichten und nicht als "Chipkartenleser", oder?

Dabei wird dann scheinbar auch ein komplett neues Konto angelegt. Gibt es einen Weg, wie ich meine Daten übertragen kann? (Ich habe eine relativ lange Historie von Umsätzen, die immer schön kategorisiert wurden, die ich ungern verlieren will...)

So wie ich das hier bei vielen Fällen vor Dir (ich selbst benutze Hibiscus nicht) mitbekommen habe, kannst Du das neue Konto gleich wieder löschen. Und dem alten Konto wird soweit ich weiß beim Synchronisieren automatisch die neue Bankverbindung mit PIN/TAN zugeordnet bzw. man kann dies auch von Hand in dem Einstellungen des alten Kontos tun. Dann bleibt alles, wie es ist, nur zukünftig wird eben für die Kommunikation der neue Zugang benutzt.

Wie msa schon schrieb. Die Konten sind nur lose mit den Bankzugängen gekoppelt. Die gehen beim Wechsel das Zugangsverfahrens ebensowenig verloren wie die zugehörigen Umsätze.

• Stelle sicher, dass du eine aktuelle Hibiscus-Version (2.8.3) verwendest. Klicke hierzu oben im Menü auf Datei->Einstellungen->Plugins. Aktualisiere ggf. Hibiscus
  
• Öffne die Detailansicht des Kontos durch Doppelklick, wähle den Reiter "Zugangdaten" und stelle in der Auswahlliste "Verfahren" "PIN/TAN" ein.
  
• Lege jetzt den neuen Bankzugang als PIN/TAN an. chipTAN ist eines der möglichen PIN/TAN-Verfahren.
  
• Klicke auf "Konfiguration testen". Hierbei werden auch die bei der Bank verfügbaren Konten abgerufen. Hibiscus führt einen Abgleich mit den bereits vorhandenen Konten durch und legt nur die noch nicht vorhandenen Konten an. Da das Konto in Schritt 1 bereits auf den Typ "PIN/TAN" umgestellt wurde, erkennt Hibiscus, dass es bereits existiert und legt es nicht erneut an.
  
• Sollte das Konto hierbei dennoch doppelt angelegt worden sein, dann vergleiche die Daten der beiden Konten (insbesondere Kundenkennung, IBAN, Kontonummer, Unterkonto, etc.) und übernimmt die geänderten Daten von dem neu angelegten - noch leeren - Konto in dein existierendes. Anschließend kannst du das neu angelegte Konto löschen.
  

Vielen Dank an alle! Ich konnte meine erste Überweisung per ChipTAN durchführen.

Da ich mich beruflich ein wenig mit UX beschäftige, möchte ich ein paar Vorschläge für die Hibiscus-GUI machen, damit es Andere evtl. leichter haben:

• Bei PIN/TAN in Klammern dazuschreiben, dass das auch ChipTAN betrifft. Ich habe zuerst bei "Chipkartenleser" gesucht. Ich würde folgendes ändern:
  
  • Bankzugänge -> neuer Bank-Zugang: Hier in der Dropdown "PIN/TAN inkl. ChipTAN"
    
  • Konten -> Zugangsdaten -> Verfahren: Hier das gleiche. "PIN/TAN inkl. ChipTAN"
    
  
  
• Bank-Zugänge: Der Grund für die Checkbox "Kartenleser per USB zur TAN-Erzeugung verwenden" ist mir unklar. Kann man das nicht immer Auswählen? (bzw. siehe nächster Punkt...)
  
• Dafür bei der Abfrage, welche TAN-Methode genau man nehmen will (optical, ...) hier einfach noch einen Eintrag "chipTAN USB" hinzufügen. (Hier fehlt nämlich ein Hinweis auf chipTAN usb völlig. Ich habe optical genommen und es hat funktioniert)
  
• Bei eben genannter Auswahlliste kann man einstellen, dass hibiscus sich das merken soll. Man bekommt dann angezeigt, wo man es zurücksetzen kann. Ich habe es mir nicht gemerkt Ich behaupte mal, die wenigsten User machen das. Gefühlt wäre ein weiteres Dropdown neben dem "Verfahren"-Dropdown bei den Zugangsdaten besser anstelle dem kleinen Dialog, jedes Mal wenn man eine Transaktion ausführt. (Ist ja auch eher eine Einmal-Einstellung.)
  

Wie gesagt, sind nur Vorschläge... Ich bin sehr froh, dass Du Hibiscus so konsequent weiterentwickelst! Vielen Dank. Da fällt mir ein, als zweite Überweisung könnte ich eigentlich ne kleine Spende machen

Ok, den Knopf zum Zurücksetzen des TAN-Verfahrens habe ich gerade gefunden. Er ist bei den Bankzugängen.

Interessanterweise hat das USB-Verfahren für die zweite Überweisung nicht geklappt. Es wurde immer der Flicker-Code angezeigt.
Nachdem ich Hibiscus beendet und neu gestartet habe, hat es sofort geklappt ("Es wurde ein USB-Kartenleser gefunden...").
(Kann aber damit leben )

Ist das immer noch der aktuelle Stand? Meine Bank will die Schlüsseldatei (RDH 10) leider auch zum Jahresende abschaffen. Gab es denn damit Sicherheitsvorfälle? Bei dem ganzen Mobil-Firlefanz ist es doch nur eine Frage der Zeit, bis da wieder Lücken ausgenutzt werden.
Ist es denkbar, daß eine Bank nach außen die Abschaltung verkündet, es intern aber weiter laufen läßt? D.h. wäre mit irgendwelchen Argumenten die Weiternutzung denkbar?

Banken unterliegen unzaehligen strengen gesetzlichen Regularien. Die haben z.Bsp. ganze Abteilungen, die sich nur mit dem Meldeween - https://de.m.wikipedia.org/wiki/Meldewesen_(Bank) - beschaeftigen. Da wird eine Bank ganz sicher nicht "inoffiziell" irgendwas anbieten, was rechtlich nicht ganz koscher ist.

Ich bezog mich auch nur auf Holgers Aussage. Hat sich die Sachlage seitdem geändert?

etwas: Der Ausstieg wird empfohlen, das Verfahren wird aber dann doch nicht durch die PSD2-Richtlinie 2019 hart "sterben".
Jede Bank wird den Weg für sich selbst entscheiden müssen/dürfen. Meiner Meinung nach sollte man das Verfahren mittelfristig auf der Angebotsseite gut ausdünnen, da es für viele sicherere und trotzdem ausreichende komfortable Alternativen gibt.

Danke, also doch nicht der Zwang, als der es dargestellt wird.
Aha, und was wäre das, wenn man weiterhin Hibiscus benutzen will? Für einen Verein oder eine Firma mit vielen Überweisungen/Lastschriften ist es doch unpraktikabel, jede Überweisung/Lastschrift in einer App kontrollieren, TANs abtippen oder irgendwelche Codes scannen zu müssen. Das Hantieren mit Smartphones voller Sicherheitslücken kann man auch kaum als sicherere Alternative bezeichnen.

Ich verwende auch noch die Schlüsseldatei bei meinem VR-Bank-Konto (GAD). Die Bank hat auch zum 31.12.2018 das Ende der Schlüsseldatei angekündigt.

Edit: Bemerkung bzgl. "9390:Signatur-ID ist ungültig" entfernt. Ich hatte mal wieder die Signatur-ID-Syncronisation verbaselt.

Die Bank bietet 3 Verfahren an:

• VR-Secure SIGN App
  
• VR-NetWorld Card
  
• Sm@rt-TAN photo
  

Welches ist mit Hibiscus das sinnvollste bei Privatkonten? Ich tendiere momentan zur VR-Secure SIGN App, aber mit Sm@rt-TAN photo (ChipTAN?) wäre ich unabhängig vom Smartphone.

Man kann die Auftraege ja immerhin zu Sammelauftraegen zusammenfassen. Dann muss man fuer mehere nur eine TAN eingeben. Und per chipTAN USB liesse sich das auch soweit automatisieren, dass man lediglich ein paar mal OK klicken muss.