Ein EBICS-Schlüsselwechsel bei einer bestehenden Verbindung erfolgt in mehreren definierten Schritten: Neue kryptografische Schlüssel werden im EBICS-Client erzeugt, an die Bank übermittelt, dort geprüft und aktiviert. Der Prozess ähnelt der Erstinitialisierung, setzt jedoch voraus, dass die bestehende Verbindung weiterhin funktionsfähig ist und die Bank den Wechselauftrag korrekt verarbeiten kann.

Für Unternehmen, die EBICS im elektronischen Zahlungsverkehr nutzen, ist das Verständnis dieses Prozesses entscheidend, um Unterbrechungen im Zahlungsbetrieb zu vermeiden. Die folgenden Abschnitte beantworten die häufigsten Fragen rund um den EBICS-Schlüsselwechsel.

Wann ist ein Schlüsselwechsel bei EBICS notwendig?

Ein EBICS-Schlüsselwechsel ist notwendig, wenn kryptografische Schlüssel ablaufen, kompromittiert wurden oder eine Bank aus Sicherheitsgründen eine Erneuerung fordert. Darüber hinaus kann ein Wechsel erforderlich werden, wenn Sie auf eine neue EBICS-Version migrieren, den EBICS-Client wechseln oder interne Sicherheitsrichtlinien eine regelmäßige Schlüsselrotation vorschreiben.

In der Praxis treten folgende Auslöser am häufigsten auf:

• Ablauf von Zertifikaten: Insbesondere bei EBICS-Versionen, die zertifikatsbasierte Schlüssel verwenden, erzwingen Ablaufdaten eine Erneuerung.
• Sicherheitsvorfälle: Besteht der Verdacht, dass ein Schlüssel kompromittiert wurde, ist ein sofortiger Wechsel unerlässlich.
• Systemwechsel: Ein Wechsel des EBICS-Clients, des Betriebssystems oder der Schlüsselspeicherinfrastruktur macht neue Schlüssel erforderlich.
• Bankenseitige Anforderungen: Einige Banken fordern in regelmäßigen Abständen einen Schlüsselwechsel als Teil ihrer Sicherheitspolitik.
• Versionsmigration: Der Wechsel von EBICS 2.x auf EBICS 3.0 geht häufig mit einer Neugenerierung der Schlüsselstruktur einher.

Unabhängig vom konkreten Auslöser gilt: Ein geplanter Schlüsselwechsel ist immer besser als ein erzwungener. Planen Sie den Prozess außerhalb kritischer Zahlungsläufe und stimmen Sie den Zeitpunkt mit Ihrer Bank ab.

Welche EBICS-Schlüsseltypen sind beim Wechsel betroffen?

Beim EBICS-Schlüsselwechsel sind grundsätzlich drei Schlüsseltypen auf Kundenseite betroffen: der Authentifizierungsschlüssel (X002), der Verschlüsselungsschlüssel (E002) und der Unterschriftsschlüssel (A005 bzw. A006). Jeder dieser Schlüssel erfüllt eine eigenständige Funktion im EBICS-Protokoll und muss separat behandelt werden.

• Authentifizierungsschlüssel (X002): Wird zur Authentifizierung der EBICS-Nachrichten gegenüber der Bank verwendet. Er sichert die Kommunikation auf Transportebene.
• Verschlüsselungsschlüssel (E002): Dient der Verschlüsselung der Nutzdaten, die zwischen Client und Bankrechenzentrum ausgetauscht werden.
• Unterschriftsschlüssel (A005/A006): Wird für die elektronische Unterschrift von Aufträgen genutzt. Bei der verteilten elektronischen Unterschrift (VEU) ist dieser Schlüssel besonders sicherheitskritisch.

Zusätzlich zu diesen kundenseitigen Schlüsseln verfügt die Bank über eigene Bankschlüssel, die ebenfalls regelmäßig erneuert werden können. Nach einem Bankschlüsselwechsel erhalten Sie als Teilnehmer in der Regel eine Benachrichtigung und müssen den neuen EBICS-Bankschlüssel in Ihrem System aktualisieren und verifizieren.

Wie läuft der technische Schlüsselwechselprozess Schritt für Schritt ab?

Der technische Ablauf eines EBICS-Schlüsselwechsels folgt einem standardisierten Prozess, der mit der Generierung neuer Schlüssel beginnt und mit der bankenseitigen Aktivierung endet. Die genaue Durchführung hängt vom verwendeten EBICS-Client ab, der Grundablauf ist jedoch einheitlich.

1. Neue Schlüssel generieren: Im EBICS-Client werden neue kryptografische Schlüsselpaare für die betroffenen Schlüsseltypen erzeugt. Die alten Schlüssel bleiben dabei zunächst aktiv.
2. Schlüssel an die Bank übermitteln: Die neuen öffentlichen Schlüssel werden über den EBICS-Auftragstyp HCA (bei reinen Schlüsselwechseln) oder HSA (bei Signaturschlüsselwechseln) an das Bankrechenzentrum gesendet.
3. EBICS-INI-Brief erstellen und einreichen: In vielen Fällen, insbesondere beim Wechsel des Unterschriftsschlüssels, ist ein neuer EBICS-INI-Brief erforderlich. Dieser enthält den Hash-Wert des neuen öffentlichen Schlüssels und muss unterschrieben bei der Bank eingereicht werden.
4. Bankenseitige Prüfung und Freischaltung: Die Bank prüft die eingereichten Schlüssel anhand des INI-Briefs und schaltet die neuen Schlüssel frei. Dieser Schritt kann je nach Bank zwischen wenigen Stunden und mehreren Werktagen dauern.
5. Neue Bankschlüssel herunterladen und verifizieren: Nach der Freischaltung laden Sie die aktuellen Bankschlüssel über den Auftragstyp HPB herunter und bestätigen deren Echtheit anhand der von der Bank bereitgestellten Hash-Werte.
6. Verbindung testen: Führen Sie nach der Aktivierung einen kontrollierten Testauftrag durch, um sicherzustellen, dass die EBICS-Verbindung mit den neuen Schlüsseln einwandfrei funktioniert.

Wenn Sie SAP-basierte Zahlungsprozesse nutzen, empfiehlt sich eine enge Abstimmung zwischen dem EBICS-Client und den SAP-Konfigurationen, um sicherzustellen, dass alle Schlüsselreferenzen konsistent aktualisiert werden.

Was passiert mit bestehenden Aufträgen während des Schlüsselwechsels?

Bestehende Aufträge, die vor dem Schlüsselwechsel mit den alten Schlüsseln signiert und eingereicht wurden, werden von der Bank in der Regel weiterhin verarbeitet. Während der Phase zwischen Übermittlung der neuen Schlüssel und deren Freischaltung sollten jedoch keine neuen Aufträge eingereicht werden, da die Bank noch nicht auf die neuen Schlüssel umgestellt hat.

Folgende Punkte sind dabei zu beachten:

• Planen Sie den Schlüsselwechsel bewusst in zahlungsarme Zeiträume, zum Beispiel am Wochenende oder außerhalb von Monatsabschlüssen.
• Informieren Sie alle Mitarbeiter, die an der verteilten elektronischen Unterschrift beteiligt sind, rechtzeitig über den bevorstehenden Wechsel.
• Stellen Sie sicher, dass ausstehende Aufträge vor dem Wechsel vollständig freigegeben und übermittelt wurden.
• Dokumentieren Sie den Zeitpunkt des Wechsels revisionssicher, um bei Rückfragen eine lückenlose Nachvollziehbarkeit zu gewährleisten.

Welche Fehler treten beim EBICS-Schlüsselwechsel häufig auf?

Die häufigsten Fehler beim EBICS-Schlüsselwechsel sind ein fehlerhafter oder verspätet eingereichter INI-Brief, die Verwendung veralteter Schlüsselreferenzen im Client nach der Aktivierung sowie eine fehlende Verifikation der neuen Bankschlüssel. Diese Fehler führen in der Regel zu Verbindungsabbrüchen oder abgelehnten Aufträgen.

Konkrete Fehlerquellen im Überblick:

• Falscher Hash im INI-Brief: Wenn der im INI-Brief angegebene Hash-Wert nicht mit dem tatsächlich übermittelten Schlüssel übereinstimmt, lehnt die Bank die Freischaltung ab.
• Alte Schlüssel im Client noch aktiv: Nach der bankenseitigen Aktivierung muss der Client auf die neuen Schlüssel umgestellt werden. Wird dieser Schritt vergessen, schlägt jede Kommunikation fehl.
• Bankschlüssel nicht aktualisiert: Wenn die Bank gleichzeitig ihre eigenen Schlüssel erneuert hat und Sie den HPB-Download vergessen, kommt es zu Verschlüsselungsfehlern.
• Unvollständige Schlüsselübermittlung: Werden nicht alle drei Schlüsseltypen (X002, E002, A005/A006) aktualisiert, obwohl alle erneuert werden müssten, entstehen inkonsistente Zustände.
• Fehlende Abstimmung mit der Bank: Manche Banken benötigen eine vorherige Ankündigung des Schlüsselwechsels. Ohne diese Abstimmung kann es zu Verzögerungen bei der Freischaltung kommen.

Unterscheidet sich der Schlüsselwechsel je nach EBICS-Version?

Ja, der EBICS-Schlüsselwechsel unterscheidet sich zwischen EBICS 2.x und EBICS 3.0 in relevanten Punkten. Während EBICS 2.x auf RSA-Schlüsselpaaren basiert, unterstützt EBICS 3.0 auch zertifikatsbasierte Schlüssel, was den Prozess in einigen Aspekten verändert und erweitert.

Schlüsselwechsel unter EBICS 2.x

In EBICS 2.x werden ausschließlich RSA-Schlüsselpaare verwendet. Der Wechsel erfolgt über die Auftragstypen HCA und HSA, und der INI-Brief enthält den Hash des öffentlichen RSA-Schlüssels. Das Verfahren ist etabliert und bei den meisten deutschen Banken gut dokumentiert.

Schlüsselwechsel unter EBICS 3.0

EBICS 3.0 führt eine modernisierte Auftragsstruktur ein und unterstützt neben RSA auch zertifikatsbasierte Authentifizierung. Der Auftragstyp für den Schlüsselwechsel ist hier HCS. Wenn Ihre Bank X.509-Zertifikate verwendet, unterliegt der Schlüsselwechsel zusätzlich den Laufzeiten und Erneuerungsregeln dieser Zertifikate. Das Zertifikat zu erneuern bedeutet in diesem Kontext, ein neues Zertifikat zu erzeugen, es über HCS einzureichen und nach der Freischaltung zu aktivieren.

Wenn Sie planen, von EBICS 2.x auf EBICS 3.0 zu migrieren, empfiehlt sich eine frühzeitige Abstimmung mit Ihrer Bank, da nicht alle Institute EBICS 3.0 bereits vollständig unterstützen. Informationen zu EBICS-Erweiterungen und Konnektivitätslösungen helfen Ihnen dabei, den Übergang strukturiert zu planen.

Wie PAYMENTS.CC Sie beim EBICS-Schlüsselwechsel unterstützt

Ein EBICS-Schlüsselwechsel ist ein technisch präziser Vorgang, bei dem Fehler direkte Auswirkungen auf Ihren Zahlungsbetrieb haben können. Wir bei PAYMENTS.CC begleiten Unternehmen bei diesem Prozess mit fundierter Erfahrung aus zahlreichen nationalen und internationalen Projekten im elektronischen Zahlungsverkehr.

Konkret unterstützen wir Sie bei folgenden Aufgaben:

• Vorbereitung und Planung: Wir analysieren Ihre bestehende EBICS-Konfiguration, identifizieren alle betroffenen Schlüsseltypen und planen den Wechsel in Abstimmung mit Ihrer Bank.
• Technische Durchführung: Wir begleiten die Schlüsselgenerierung, die Übermittlung an die Bank und die Erstellung des EBICS-INI-Briefs.
• Integration in SAP-Systeme: Insbesondere bei Nutzung von SAP Multi-Bank Connectivity stellen wir sicher, dass alle Schlüsselreferenzen im System konsistent aktualisiert werden.
• Verifikation und Test: Nach der Aktivierung prüfen wir die Verbindung und stellen sicher, dass Zahlungsaufträge korrekt verarbeitet werden.
• Dokumentation: Wir sorgen für eine revisionssichere Dokumentation des gesamten Prozesses.

Haben Sie Fragen zu Ihrem EBICS-Schlüsselwechsel oder möchten Sie den Prozess professionell begleiten lassen? Kontaktieren Sie uns gerne, wir beraten Sie schnell, kompetent und lösungsorientiert.

Ähnliche Artikel

• Was ist CGI-MM und welche Rolle spielt es bei der ISO 20022-Einführung?
• Was bedeutet die Abschaltung der SWIFT MT-Nachrichten für Unternehmen?
• Welche Abteilungen im Unternehmen sind von der ISO 20022-Umstellung betroffen?
• Wie sicher ist die Bankenkommunikation über SAP S/4HANA?
• Was kostet eine SAP MBC Implementierung im Jahr 2026?

Dieser Inhalt wurde mithilfe von KI erstellt und kann Fehler enthalten.