1. Der Antrag wird online ausgefüllt und in wenigen Schritten erledigt. Man wählt den Loginnamen und PIN (beide können später geändert werden) und bekommt sogar gleich die neue Kontonummer angezeigt. Außer Postident bietet die Bank auch Video-Ident Verfahren. Da ich kein Smartphone habe, blieb mir der Weg zur Post nicht erspart.

2. Drei Tage später kommt ein Begrüßungsschreiben von der Bank. Dort steht schon die Teilnehmernummer, ganz unauffällig, irgendwo im Text. Das Konto ist fürs Online-Banking inkl. HBCI schon freigeschaltet, auch wenn die Webseite behauptet, man sollte sich erst freischalten lassen.

3. Nun kommen zwei sehr wichtige Briefe: Initialisierungs-TAN für Aktivierung vom mTAN-Verfahren und das bunte Bild für Aktivierung vom PhotoTAN-Verfahren. Man kann schon zwischen zwei Verfahren wählen und jederzeit umschalten, zuerst müssen aber beide Wege aktiviert sein. Sonst kann man sich nur einloggen und Umsätze anschauen. Nicht einmal Postfach lässt sich benutzen, bei jedem Schritt kommt die Fehlermeldung, dass PhotoTAN nicht aktiviert ist. Wer kein Smartphone besitzt, kann bei der Bank für 30 Euro einen PhotoTAN-Scanner erwerben. Für PhotoTAN musste ich das Smartphone von meinem Sohn ausleihen: App herunterladen, scannen, TAN ablesen, auf der Webseite ("Persönlicher Bereich -> Online Zugang -> TAN verwalten") eingeben - und schon ist auch dieses Verfahren aktiviert. Danach wähle ich mTAN aus, das Smartphone brauche ich nicht mehr. Die Aktivierung von mTAN erfolgte ganz einfach, das entsprechende Schreiben kann man dann entsorgen, der Brief mit dem bunten Bild sollte man aufheben, weil dieses Bild bei jeder Initialisierung eines neuen Geräts erforderlich ist.

4. Jetzt, wo TANs generiert und gelesen werden, kann auch das Postfach aktiviert werden. Dabei sollte man kurz prüfen, ob das neue Konto auf elektronische Zustellung wirklich umgestellt ist. Somit ist der Web-Zugang eingerichtet.

5. In Online-Banking Software wird mit der bekannten Teilnehmernummer die Schlüsseldatei erzeugt. Die hexadezimalen Hash-Zahlen aus dem INI-Brief (wird von der Software angezeigt) müssen für Initialisierung in "Persönlicher Bereich -> Online-Zugang -> HBCI freischalten" eingegeben und mit TAN bestätigt werden. Nun ist der HBCI-Zugang freigeschaltet.

6. Der erste Umsatzabruf schlägt fast immer mit der HBCI-Meldung 9010 fehl. Leider liefert der CoBa HBCI-Server keine Umsätze, die vor der ersten Initialisierung gebucht wurden. Der Saldo wird zwar korrekt übertragen, aber ohne Umsätze aus der Vergangenheit. Statt aber "Keine neuen Umsätze" zu melden, antwortet der Server mit der besagten Fehlermeldung. Die Lösung ist abwarten und Tee trinken. Kommt nach der Initialisierung der erste Umsatz, so wird er am nächsten Tag mit richtiger Wertstellung vom Server übermittelt. Ab hier läuft alles wie es sein sollte.

7. Die HBCI-Karte bestellt man hier: https://www.chipkartenleser-sh…group/1773. Die Karte kommt leer, man muss sie erst beschreiben. Der einfachste Weg dazu ist, StarMoney Commerzbank Edition in Testversion herunterzuladen und diesen Schritt erledigen lassen. Sonst kämpft man mit diversen HBCI-Fehlermeldungen, wo dies und jenes fehlerhaft ist, vom Server nicht erkannt oder abgewiesen wird. Mit diesen verschiedensten Fehlermeldungen beschäftigte ich mich stundenlang. Weder DDBAC noch 4W waren in der Lage, die Karte zu beschreiben und den öffentlichen Schlüssen zu holen. Auch Internet-Recherchen brachten keine Abhilfe, obwohl viele Leute anscheinend die selben Probleme und Fehler hatten. An dieser Stelle könnte ich einen Roman schreiben, sage aber gleich, dass alles umsonst war und erst mit StarMoney geklappt hat. Der öffentliche Schlüssel wurde endlich geholt und auf der Karte gespeichert.

8. Man beachte, dass beide Wege gleichzeitig (Schlüsseldatei und Karte) nicht funktionieren, weil der Server nur einen aktiven öffentlichen Schlüssel speichert. Entscheidet man gleich für HBCI-Karte, so sollte man den Punkt 5 durch Punkt 7 ersetzen, mit der Initialisierung von der Karte anfangen und die Schlüsseldatei erst gar nicht anlegen. Sonst muss man über die HBCI-Hotline den alten Datei-Schlüssel deaktivieren, damit der andere Schlüssel aktiviert werden kann.

Fazit: wer nur einen Web-Zugang braucht und ein Android- oder Apple-Smartphone hat (Windows und BB OS werden nicht unterstützt), kommt mit der Bank ziemlich schnell klar. Sonst sollte man schon ernsthaft überlegen, zu CoBa zu wechseln. Und wenn schon, dann viel Geduld und starke Nerven mitbringen. Auf Anhieb wird hier nichts klappen. Die Seite ist in Hinsicht auf Infos zu HBCI sehr verwirrend. Man tappt buchstäblich im Dunkeln und muss viel im Internet recherchieren. Die Bank ist ziemlich sonderbar und Einrichtung von HBCI-Karte ist eine Herausforderung. Ist sie aber einmal gemeistert, hat man die eigentlichen Probleme hinter sich. Die weitere Nutzung verläuft reibungslos.

Nachtrag: Nach Aussage von Commerzbank-Hotline wird das Verfahren HBCI mit Schlüsseldatei nicht abgeschaltet. Beide Zugangswege - HBCI-Karte und Schlüsseldatei - bleiben weiterhin aktiv. Auf der Webseite ist kein einziger Hinweis bezüglich HBCI/PSD2 zu finden, während über Abschaltung von iTAN ganz laut informiert wird. Auch habe ich keinen Brief oder Mail bekommen, wo die Bank mich zum Umsteigen auffordert. Wie die Commerzbank mit ihrem HBCI-Verfahren durch PSD2 kommt, habe ich nicht gefragt.

Das mit der Schlüsseldatei kann jede Bank selbst "definieren", ob das mit PSD2 vereinbar ist oder nicht. Die Commerzbank hätte ein ganz besonderes Problem, wenn sie die Schlüsseldatei aufgeben würde, sie hat nämlich gar kein anderes HBCI Verfahren außer der Schlüsseldatei. Die HBCI-Chipkarte zählt in diesem Fall nicht, weil die Chipkarte in der Konstellation der Commerzbank (anders als z.B. die NetWorld-Karten der VR-Banken) nur ein Ersatz-Speicherort für den selbst generierten Schlüssel ist. Der Bankrechner "merkt" nicht, ob auf dem Kundenrechner eine Schlüsseldatei oder oder Schlüssel von einer Chipkarte verwendet wird. Und dass die "großen Privatbanken" sehr ungern was an ihren Systemen modifizieren oder erneuern ist ja hinlänglich bekannt. Wenn also die Commerzbank die Schlüsseldatei abschaffen wollte, müsste sie vorher ein anderes HBCI-Verfahren einführen - und das ist aufwändig und teuer.

Übrigens macht auch die HypoVereinsbank keinerlei Anstalten, die Schlüsseldatei abzuschaffen. Obwohl es dort immerhin einfacher wäre, da sie auch HBCI mit PIN/TAN beherrscht. Und das Verfahren (halbwegs) auf die Höhe der Zeit gehoben hat. Bis vor kurzem ging dort via HBCI nur iTAN, inzwischen geht iTAN nicht mehr, dafür geht jetzt neu smsTAN.

Genau das hat mich bei der Einrichtung überrascht. Denn der einzige Unterschied zwischen Schlüsseldatei und HBCI-Karte ist der öffentliche Schlüssel. Es wurde sofort klar, dass die HBCI-Karte in diesem Fall nichs anderes als ein Ablageort ist.

Wobei das auch wieder nicht 100%ig stimmt... Für den Bankrechner ist der Zugriff über eine SchlüsselDATEI und eine Chipkarte kein Unterschied. Es gibt aber trotzdem einen.

Bei der Schlüsseldatei geschieht die Generierung des Schlüssels im Rechner und dieser wird dann in der Datei abgelegt. Wenn nun ein Auftrag signiert wird, wird der Schlüssel von der Datei in den Hauptspeicher geladen und dort die Signatur erstellt. Dabei gäbe es natürlich Möglichkeiten, den Schlüssel abzufischen.

Bei der Chipkarte wird der Schlüssel IM CHIP generiert und der geheime Schlüssel verlässt niemals den Chip - Funktionen den geheimen Schlüssel auszulesen gibt es nicht. Signaturen werden auch im Chip erstellt, nicht im Rechner. Insofern ist dort der Schlüssel selbst natürlich erheblich sicherer aufgehoben und nicht kopierbar. Weiterhin kann man bei der Chipkarte die PIN nur einige Male falsch eingeben, dann sperrt sich der Chip. Bei der Schlüsseldatei kann man das Schlüsselpasswort über unendlich viele Versuche ausprobieren...