*0000000000002081709260* 0000000000002081709260 Bedingungen für Datenfernübertragung [Gültig ab 05.10.2025] Sparkasse Paderborn-Detmold-Höxter Fassung Juli 2025 Hathumarstr. 15-19, 33098 Paderborn 1. Leistungsumfang (1) Die Sparkasse steht ihrem Kunden (Kontoinhaber), der kein Verbraucher ist, für die Datenfernübertragung auf elektronischem Wege – nachfolgend „Datenfernübertragung“ oder „DFÜ“ genannt – zur Verfügung. Die Datenfernübertragung umfasst die Einreichung und den Abruf von Dateien (insbesondere Übermittlung von Aufträgen und Informationsabruf). (2) Die Sparkasse gibt dem Kunden die Dienstleistungsarten bekannt, die er im Rahmen der Datenfernübertragung nutzen kann. Zur Nutzung der Datenfernübertragung gelten die mit der Sparkasse vereinbarten Verfügungslimite. (3) Die Datenfernübertragung ist über die EBICS-Anbindung (Anlagen 1a bis 1c) möglich. (4) Der Satz- und Dateiaufbau für die Übermittlung von Aufträgen und den Informationsabruf wird in der Spezifikation der Datenformate (An- lage 3) beschrieben. 2. Nutzer und Teilnehmer, Legitimations- und Sicherungsmedien (1) Aufträge können über die EBICS-Anbindung nur vom Kunden oder seinen Kontobevollmächtigten erteilt werden. Kunde und Kontobevoll- mächtigte werden im Folgenden einheitlich als „Nutzer“ bezeichnet. Zur Autorisierung von per DFÜ übermittelten Auftragsdaten mittels Elekt- ronischer Unterschrift benötigt jeder Nutzer jeweils individuelle, von der Sparkasse freigeschaltete Legitimationsmedien. Die Anforderungen an die Legitimationsmedien sind in Anlage 1a definiert. Wenn mit der Sparkasse vereinbart, können per DFÜ übermittelte Auftragsdaten mit unterschriebenem Begleitzettel/Sammelauftrag autorisiert werden. (2) Für den Datenaustausch über die EBICS-Anbindung kann der Kunde zusätzlich zu den Bevollmächtigten „Technische Teilnehmer“ benen- nen, die lediglich befugt sind, den Datenaustausch durchzuführen. Nutzer und Technische Teilnehmer werden im Folgenden unter dem Begriff „Teilnehmer“ zusammengefasst. Für die Absicherung des Datenaustauschs benötigt jeder Teilnehmer jeweils individuelle, von der Sparkasse freigeschaltete Sicherungsmedien. Die Anforderungen an die Sicherungsmedien sind in Anlage 1a beschrieben. 3. Verfahrensbestimmungen (1) Für das zwischen Kunde und Sparkasse vereinbarte Übertragungsverfahren gelten die in Anlage 1a sowie die in der Dokumentation der technischen Schnittstelle (Anlage 1b) und der Spezifikation der Datenformate (Anlage 3) beschriebenen Anforderungen. (2) Der Kunde ist verpflichtet sicherzustellen, dass alle Teilnehmer das DFÜ-Verfahren und die Spezifikationen beachten. (3) Die Belegung der Datenfelder richtet sich nach den Belegungs- und Kontrollrichtlinien des jeweils genutzten Formates (Anlage 3). (4) Reicht der Nutzer eine Datei mit mehreren SEPA-Überweisungen oder SEPA-Echtzeitüberweisungen ein, entscheidet er durch Verwen- dung der vereinbarten Auftragsart1, ob die Empfängerüberprüfung gemäß dem Hinweis in den Bedingungen für den Überweisungsverkehr durchgeführt werden soll. Verzichtet der Nutzer auf die Empfängerüberprüfung, führt die Sparkasse die in der Datei enthaltenen Überweisungsaufträge anhand der vom Nutzer angegebenen Kundenkennungen aus. Dies kann im Einzelfall dazu führen, dass das Geld auf ein Zahlungskonto eingeht, dessen Inhaber nicht der vom Nutzer namentlich angegebene Zahlungsempfänger ist. Reicht der Nutzer eine Datei mit nur einer einzigen SEPA-Überweisung oder SEPA-Echtzeitüberweisung ein, so ist die Sparkasse unabhän- gig von der Entscheidung des Nutzers berechtigt, die Empfängerüberprüfung durchzuführen oder gemäß den Bedingungen für den Überwei- sungsverkehr die Ausführung des Auftrags abzulehnen. Dieser Absatz gilt nicht für per DFÜ übermittelte Auftragsdaten mit unterschriebenem Begleitzettel/Sammelauftrag. (5) Vor der Übertragung von Auftragsdaten an die Sparkasse ist eine Aufzeichnung der zu übertragenden Dateien mit deren vollständigem Inhalt sowie der zur Prüfung der Legitimation übermittelten Daten zu erstellen. Diese ist von dem Kunden mindestens für einen Zeitraum von 30 Kalendertagen ab dem in der Datei angegebenen Ausführungstermin (für Überweisungen) bzw. Fälligkeitstermin (Lastschriften) oder bei mehreren Terminen dem spätesten Termin in der Form nachweisbar zu halten, dass die Datei auf Anforderung der Sparkasse kurzfristig erneut zur Verfügung gestellt werden kann, sofern nichts Abweichendes vereinbart wird. (6) Außerdem hat der Kunde für jede Einreichung und jeden Abruf von Dateien ein maschinelles Protokoll, das inhaltlich den Bestimmungen von Kapitel 10 der Spezifikation für die EBICS-Anbindung (Anlage 1b) entspricht, zu erstellen, zu seinen Unterlagen zu nehmen und auf Anforderung der Sparkasse zur Verfügung zu stellen. (7) Soweit die Sparkasse dem Kunden Daten über Zahlungsvorgänge zur Verfügung stellt, die noch nicht endgültig bearbeitet sind, stellen diese lediglich eine unverbindliche Information dar. Die Daten sind jeweils besonders gekennzeichnet. (8) Die per DFÜ eingelieferten Auftragsdaten sind wie mit der Sparkasse vereinbart entweder mit Elektronischer Unterschrift oder dem unter- schriebenen Begleitzettel/Sammelauftrag zu autorisieren. Diese Auftragsdaten werden als Auftrag wirksam a) bei Einreichung mit Elektronischer Unterschrift, wenn – alle erforderlichen Elektronischen Unterschriften der Nutzer per Datenfernübertragung innerhalb des vereinbarten Zeitraumes eingegan- gen sind und – die Elektronischen Unterschriften mit den vereinbarten Schlüsseln erfolgreich geprüft werden können oder 110 270.000 D1 (Fassung Juli 2025) - v7.1 © S-Management Services • DSV Gruppe b) bei Einreichung mit Begleitzettel/Sammelauftrag, wenn – der Begleitzettel/Sammelauftrag im vereinbarten Zeitraum bei der Sparkasse eingegangen ist und – der Begleitzettel/Sammelauftrag der Kontovollmacht entsprechend unterzeichnet worden ist. (9) Wird für eine Datei mit SEPA-Überweisungen oder SEPA-Echtzeitüberweisungen die Empfängerprüfung gemäß Nummer 3 Absatz 4 durchgeführt, wird die Sparkasse den Nutzer über das Ergebnis informieren. Der Nutzer entscheidet dann, ob – er die Datei zur Ausführung freigibt oder – die Datei nicht ausgeführt werden soll. Der Auftrag ist in Abweichung von Nummer 3 Absatz 8 Satz 2 erst dann wirksam, wenn der Nutzer die Datei nach Satz 2 freigegeben hat. Seite 1 von 6 Bedingungen für Datenfernübertragung 4. Verhaltens- und Sorgfaltspflichten im Umgang mit den Legitimationsmedien für die Autorisierung des Auftrags (1) Der Kunde ist in Abhängigkeit von dem mit der Sparkasse vereinbarten Übertragungsverfahren verpflichtet sicherzustellen, dass alle Nutzer die Pflichten aus diesen Bedingungen und die in Anlage 1a beschriebenen Legitimationsverfahren einhalten. (2) Mithilfe eines von der Sparkasse freigeschalteten Legitimationsmediums kann der Nutzer Aufträge erteilen. Der Kunde stellt sicher, dass jeder Nutzer dafür Sorge trägt, dass keine andere Person in den Besitz seines Legitimationsmediums kommt, sowie Kenntnis von dem zu dessen Schutz dienenden Passwort erlangt. Denn jede andere Person, die im Besitz des Mediums oder eines entsprechenden Duplikates ist, kann in Verbindung mit dem dazugehörigen Passwort die vereinbarten Dienstleistungen missbräuchlich nutzen. Insbesondere Folgendes ist zum Schutz des Legitimationsmediums und des Passwortes zu beachten: – Das Legitimationsmedium muss vor unberechtigtem Zugriff geschützt und sicher verwahrt werden; – das zum Schutz des Legitimationsmediums dienende Passwort darf nicht auf dem Legitimationsmedium notiert oder als Abschrift mit diesem zusammen aufbewahrt werden oder ungesichert elektronisch abgespeichert werden; – das Legitimationsmedium darf nicht dupliziert werden; – bei Eingabe des Passwortes ist sicherzustellen, dass andere Personen dieses nicht ausspähen können. 5. Verhaltens- und Sorgfaltspflichten im Umgang mit den Sicherungsmedien für den Datenaustausch Der Kunde ist im Rahmen der EBICS-Anbindung verpflichtet sicherzustellen, dass alle Teilnehmer die in Anlage 1a beschriebenen Siche- rungsverfahren einhalten. Mithilfe der von der Sparkasse freigeschalteten Sicherungsmedien sichert der Teilnehmer den Datenaustausch ab. Der Kunde ist dazu ver- pflichtet sicherzustellen, dass jeder Teilnehmer dafür Sorge trägt, dass keine andere Person in den Besitz seines Sicherungsmediums kommt oder dieses nutzen kann. Insbesondere im Falle der Ablage auf einem technischen System muss das Sicherungsmedium des Teilnehmers in einer technischen Umgebung gespeichert werden, die vor unautorisiertem Zugriff geschützt ist. Denn jede andere Person, die Zugriff auf das Sicherungsmedium oder ein entsprechendes Duplikat hat, kann den Datenaustausch missbräuchlich durchführen. 6. Sicherheit des Kundensystems Der Kunde hat für einen ausreichenden Schutz der von ihm für die Datenfernübertragung eingesetzten Systeme Sorge zu tragen. Die für das EBICS-Verfahren geltenden Sicherheitsanforderungen sind in Anlage 1c beschrieben. 7. Sperre der Legitimations- und Sicherungsmedien (1) Gehen die Legitimations- oder Sicherungsmedien verloren, werden sie anderen Personen bekannt oder besteht der Verdacht ihrer miss- bräuchlichen Nutzung, so hat der Teilnehmer unverzüglich seinen DFÜ-Zugang bei der Sparkasse zu sperren oder sperren zu lassen. Nähe- res regelt die Anlage 1a. Der Teilnehmer kann der Sparkasse eine Sperranzeige jederzeit auch über die gesondert mitgeteilten Kontaktdaten aufgeben. (2) Der Kunde kann außerhalb des DFÜ-Verfahrens die Verwendung der Legitimations- und Sicherungsmedien eines Teilnehmers oder den gesamten DFÜ-Zugang über die von der Sparkasse bekannt gegebene Sperrfazilität sperren lassen. (3) Die Sparkasse wird den gesamten DFÜ-Zugang sperren, wenn der Verdacht einer missbräuchlichen Nutzung des DFÜ-Zugangs besteht. Die Sparkasse wird den Kunden hierüber außerhalb des DFÜ-Verfahrens informieren. Diese Sperre kann mittels DFÜ nicht aufgehoben werden. 8. Behandlung eingehender Auftragsdaten durch die Sparkasse (1) Die der Sparkasse im DFÜ-Verfahren übermittelten Auftragsdaten werden im Rahmen des ordnungsgemäßen Arbeitsablaufes bearbeitet. (2) Die Sparkasse prüft anhand der von den Teilnehmern mittels der Sicherungsmedien erstellten Signaturen, ob der Absender berechtigt ist, den Datenaustausch durchzuführen. Ergibt die Prüfung Unstimmigkeiten, wird die Sparkasse die betreffenden Auftragsdaten nicht verarbeiten und dem Kunden hierüber unverzüglich eine Information zur Verfügung stellen. (3) Die Sparkasse prüft die Legitimation des Nutzers bzw. der Nutzer und die Autorisierung der per DFÜ übermittelten Auftragsdaten anhand der von den Nutzern mittels der Legitimationsmedien erstellten elektronischen Unterschriften oder des übermittelten Begleitzettels/Sammelauf- trags sowie die Übereinstimmung der Auftragsdatensätze mit den Bestimmungen gemäß Anlage 3. Ergibt die Prüfung Unstimmigkeiten, wird die Sparkasse die betreffenden Auftragsdaten nicht bearbeiten und dem Kunden hierüber unverzüglich eine Information zur Verfügung stellen. Die Sparkasse ist berechtigt, nicht vollständig autorisierte Auftragsdaten nach Ablauf des von der Sparkasse gesondert mitgeteilten Zeitlimits zu löschen. (4) Ergeben sich bei den von der Sparkasse durchgeführten Prüfungen der Dateien oder Datensätze nach Anlage 3 Fehler, so wird die Spar- kasse die fehlerhaften Dateien oder Datensätze in geeigneter Form nachweisen und sie dem Nutzer unverzüglich mitteilen. Die Sparkasse ist berechtigt, die fehlerhaften Dateien oder Datensätze von der weiteren Bearbeitung auszuschließen, wenn die ordnungsgemäße Ausführung des Auftrages nicht sichergestellt werden kann. (5) Reicht der Nutzer eine Datei mit mehreren SEPA-Echtzeitüberweisungen ein, wird die Sparkasse die einzelnen SEPA-Echtzeitüberwei- sungen unverzüglich herauslösen. Der Zugang der herausgelösten einzelnen SEPA-Echtzeitüberweisung bestimmt sich nach Nummer 1.4 Bedingungen für den Überweisungsverkehr. (6) Die Sparkasse ist verpflichtet, die Abläufe (siehe Anlage 1a) und die Weiterleitung der Aufträge zur Bearbeitung im Kundenprotokoll zu dokumentieren. Der Kunde ist seinerseits verpflichtet, das Kundenprotokoll zeitnah abzurufen und sich über den Status der Auftragsbearbei- tung zu informieren. Bei Unstimmigkeiten soll er sich mit der Sparkasse in Verbindung setzen. 9. Rückruf 110 270.000 D1 (Fassung Juli 2025) - v7.1 (1) Vor der Autorisierung der Auftragsdaten kann der Kunde die Datei zurückrufen. Änderungen einzelner Auftragsdaten sind nur durch Rück- ruf der gesamten Datei und erneute Einlieferung möglich. Die Sparkasse kann einen Rückruf nur beachten, wenn ihr dieser so rechtzeitig zugeht, dass seine Berücksichtigung im Rahmen des ordnungsgemäßen Arbeitsablaufes möglich ist. (2) Die Widerrufbarkeit eines Auftrags richtet sich nach den dafür geltenden besonderen Bedingungen (z. B. Bedingungen für den Überwei- sungsverkehr). Der Widerruf von Aufträgen kann außerhalb des DFÜ-Verfahrens oder, wenn mit dem Kunden vereinbart, nach den Vorga- ben von Kapitel 11 der Anlage 3 erfolgen. Hierzu hat der Kunde der Sparkasse die Einzelangaben des Originalauftrages mitzuteilen. Seite 2 von 6 Bedingungen für Datenfernübertragung 10. Ausführung der Aufträge (1) Die Sparkasse wird die Aufträge ausführen, wenn alle nachfolgenden Ausführungsbedingungen vorliegen: – Die per DFÜ eingelieferten Auftragsdaten wurden gemäß Nummer 3 Absatz 8 unter Berücksichtigung von Nummer 3 Absatz 9 autorisiert. – Das festgelegte Datenformat ist eingehalten. – Das Verfügungslimit ist nicht überschritten. – Die Ausführungsvoraussetzungen nach den für die jeweilige Auftragsart maßgeblichen besonderen Bedingungen (z. B. ausreichende Kon- todeckung gemäß den Bedingungen für den Überweisungsverkehr) liegen vor. (2) Liegen die Ausführungsbedingungen nach Absatz 1 nicht vor, wird die Sparkasse den Auftrag nicht ausführen und den Kunden über die Nichtausführung unverzüglich auf dem vereinbarten Weg unterrichten. Soweit möglich, nennt die Sparkasse dem Kunden die Gründe und Fehler, die zur Nichtausführung geführt haben, und Möglichkeiten, wie diese Fehler berichtigt werden können. 11. Haftung 11.1 Haftung der Sparkasse bei einer nicht autorisierten DFÜ-Verfügung und einer nicht, fehlerhaft oder verspätet ausgeführten DFÜ-Verfügung Die Haftung der Sparkasse bei einer nicht autorisierten DFÜ-Verfügung und einer nicht, fehlerhaft oder verspätet ausgeführten DFÜ-Verfü- gung richtet sich nach den für die jeweilige Auftragsart vereinbarten besonderen Bedingungen (z. B. Bedingungen für den Überweisungs- verkehr). 11.2 Haftung des Kunden bei missbräuchlicher Nutzung der Legitimations- oder Sicherungsmedien 11.2.1 Haftung des Kunden für nicht autorisierte Zahlungsvorgänge vor der Sperranzeige (1) Kommt es vor der Sperranzeige zu nicht autorisierten Zahlungsvorgängen aufgrund einer missbräuchlichen Nutzung der Legitimations- oder Sicherungsmedien, haftet der Kunde gegenüber der Sparkasse für die ihr dadurch entstehenden Schäden, wenn der Teilnehmer fahrläs- sig oder vorsätzlich gegen seine Verhaltens- und Sorgfaltspflichten verstoßen hat. Der § 675v des Bürgerlichen Gesetzbuchs findet keine Anwendung. (2) Der Kunde ist nicht zum Ersatz des Schadens nach Absatz 1 verpflichtet, wenn der Teilnehmer die Sperranzeige nach Nummer 7 Absatz 1 nicht abgeben konnte, weil die Sparkasse nicht die Möglichkeit zur Entgegennahme der Sperranzeige sichergestellt hatte und der Schaden dadurch vermieden worden wäre. (3) Die Haftung für Schäden, die innerhalb des Zeitraums, für den das Verfügungslimit gilt, verursacht werden, beschränkt sich jeweils auf das vereinbarte Verfügungslimit. (4) Die Absätze 2 und 3 finden keine Anwendung, wenn der Teilnehmer in betrügerischer Absicht gehandelt hat. 11.2.2 Haftung des Kunden bei sonstigen nicht autorisierten Vorgängen vor der Sperranzeige Beruhen nicht autorisierte Vorgänge, die keine Zahlungsvorgänge sind, vor der Sperranzeige auf der Nutzung eines verloren gegangenen oder gestohlenen Legitimations- oder Sicherungsmediums oder auf der sonstigen missbräuchlichen Nutzung des Legitimations- oder Siche- rungsmediums und ist der Sparkasse hierdurch ein Schaden entstanden, haften der Kunde und die Sparkasse nach den gesetzlichen Grund- sätzen des Mitverschuldens. 11.2.3 Haftung der Sparkasse ab der Sperranzeige Sobald die Sparkasse eine Sperranzeige eines Teilnehmers erhalten hat, übernimmt sie alle danach durch nicht autorisierte DFÜ- Verfügungen entstehenden Schäden. Dies gilt nicht, wenn ein Teilnehmer in betrügerischer Absicht gehandelt hat. 11.3 Haftungsausschluss Haftungsansprüche sind ausgeschlossen, wenn die einen Anspruch begründenden Umstände auf einem ungewöhnlichen und unvorherseh- baren Ereignis beruhen, auf das diejenige Partei, die sich auf dieses Ereignis beruft, keinen Einfluss hat, und dessen Folgen trotz Anwendung der gebotenen Sorgfalt von ihr nicht hätten vermieden werden können. 12. Schlussbestimmungen Die in diesen Bedingungen erwähnten Anlagen sind Bestandteil der mit dem Kunden geschlossenen Vereinbarung. Anlage 1a: EBICS-Anbindung Anlage 1b: Spezifikation der EBICS-Anbindung Anlage 1c: Sicherheitsanforderungen an das EBICS-Kundensystem Anlage 2: Spezifikation der Echtzeitbenachrichtigungen Anlage 3: Spezifikation der Datenformate Anlage 1a: EBICS-Anbindung 1. Legitimations- und Sicherungsverfahren Der Kunde (Kontoinhaber) benennt der Sparkasse die Teilnehmer und deren Berechtigungen im Rahmen der Datenfernübertragung. Folgende Legitimations- und Sicherungsverfahren werden in der EBICS-Anbindung eingesetzt: – Elektronische Unterschriften – Authentifikationssignatur – Verschlüsselung Für jedes Legitimations- und Sicherungsverfahren verfügt der Teilnehmer über ein individuelles Schlüsselpaar, das aus einem privaten und 110 270.000 D1 (Fassung Juli 2025) - v7.1 einem öffentlichen Schlüssel besteht. Die öffentlichen Teilnehmerschlüssel sind der Sparkasse gemäß dem in Nummer 2 beschriebenen Ver- fahren mitzuteilen. Die öffentlichen Bankschlüssel sind gemäß dem in Nummer 2 beschriebenen Verfahren gegen unautorisiertes Verändern zu schützen. Die Schlüsselpaare des Teilnehmers können auch für die Kommunikation mit anderen Kreditinstituten eingesetzt werden. 1.1 Elektronische Unterschriften der Teilnehmer Für die Elektronischen Unterschriften (EU) der Teilnehmer sind die folgenden Unterschriftsklassen definiert: – Einzelunterschrift (Typ „E”) – Erstunterschrift (Typ „A“) – Zweitunterschrift (Typ „B“) – Transportunterschrift (Typ „T“) Seite 3 von 6 Bedingungen für Datenfernübertragung Als bankfachliche EU bezeichnet man EU vom Typ „E“, „A“ oder „B“. Bankfachliche EU dienen der Autorisierung von Aufträgen. Aufträge können mehrere bankfachliche EU benötigen, die von unterschiedlichen Nutzern (Kontoinhaber und deren Bevollmächtigte) geleistet werden müssen. Für jede unterstützte Auftragsart wird zwischen Sparkasse und Kunde eine Mindestanzahl erforderlicher bankfachlicher EU vereinbart. EU vom Typ „T“, die als Transportunterschriften bezeichnet werden, werden nicht zur bankfachlichen Freigabe von Aufträgen verwendet, sondern lediglich zu deren Übertragung an die Banksysteme. „Technische Teilnehmer“ (siehe Nummer 2.2) können nur eine EU vom Typ „T“ zugewiesen bekommen. Mit dem vom Kunden verwendeten Programm können verschiedene Nachrichten (z. B. Aufträge für den Inlands- und Auslandszahlungsver- kehr, aber auch für Initialisierung, den Protokollabruf und die Abholung von Konto- und Umsatzinformationen etc.) erstellt werden. Die Spar- kasse teilt dem Kunden mit, welche Nachrichtenarten genutzt werden können und welcher EU-Typ hierfür anzuwenden ist. 1.2 Authentifikationssignatur Im Gegensatz zur EU, die Auftragsdaten signiert, wird die Authentifikationssignatur über die einzelne EBICS-Nachricht einschließlich Steue- rungs- und Anmeldedaten und die darin enthaltenen EU gebildet. Mit Ausnahme einiger in der EBICS-Spezifikation definierter systembeding- ter Auftragsarten wird die Authentifikationssignatur bei jedem Transaktionsschritt sowohl vom Kunden- als auch vom Banksystem geleistet. Der Kunde muss gewährleisten, dass eine Software eingesetzt wird, die die Authentifikationssignatur jeder von der Sparkasse übermittelten EBICS-Nachricht unter Berücksichtigung der Aktualität und Authentizität der gespeicherten öffentlichen Schlüssel der Sparkasse gemäß den Vorgaben der EBICS-Spezifikation (siehe Anlage 1b) prüft. 1.3 Verschlüsselung Zur Gewährleistung der Geheimhaltung der bankfachlichen Daten auf Anwendungsebene sind die Auftragsdaten vom Kunden unter Berück- sichtigung der Aktualität und Authentizität der gespeicherten öffentlichen Schlüssel der Sparkasse gemäß den Vorgaben der EBICS-Spezifi- kation (siehe Anlage 1b) zu verschlüsseln. Darüber hinaus ist auf den externen Übertragungsstrecken zwischen Kunden- und Banksystem zusätzlich eine Transportverschlüsselung vor- zunehmen. Der Kunde muss gewährleisten, dass eine Software eingesetzt wird, die gemäß den Vorgaben der EBICS-Spezifikation (siehe Anlage 1b) Aktualität und Authentizität der hierfür eingesetzten Serverzertifikate der Sparkasse überprüft. 2. Initialisierung der EBICS-Anbindung 2.1 Einrichtung der Kommunikationsverbindung Der Kommunikationsaufbau erfolgt unter Verwendung einer URL (Uniform Resource Locator). Alternativ kann auch eine IP-Adresse der jewei- ligen Sparkasse benutzt werden. Die URL oder die IP-Adresse werden dem Kunden bei Vertragsabschluss mit der Sparkasse mitgeteilt. Die Sparkasse teilt den vom Kunden benannten Teilnehmern zur Aufnahme der EBICS-Anbindung folgende Daten mit: – URL oder IP-Adresse der Sparkasse – Bezeichnung der Sparkasse – HostID – zulässige Version(en) für das EBICS-Protokoll und die Sicherungsverfahren – Partner-ID (Kunden-ID) – User-ID – System-ID (für technische Teilnehmer) – weitere spezifische Angaben zu Kunden- und Teilnehmerberechtigungen Für die dem Kunden zugeordneten Teilnehmer vergibt die Sparkasse jeweils eine User-ID, die den Teilnehmer eindeutig identifiziert. Soweit dem Kunden ein oder mehrere technische Teilnehmer zugeordnet sind (Multi-User-System), vergibt die Sparkasse zusätzlich zur User-ID eine System-ID. Soweit kein technischer Teilnehmer festgelegt ist, sind System-ID und User-ID identisch. 2.2 Initialisierung der Teilnehmerschlüssel Die vom Teilnehmer eingesetzten Schlüsselpaare für die bankfachliche EU, die Verschlüsselung der Auftragsdaten und die Authentifikations- signatur müssen zusätzlich zu den in Nummer 1 beschriebenen allgemeinen Bedingungen den nachfolgenden Anforderungen genügen: 1. Die Schlüsselpaare sind ausschließlich und eindeutig dem Teilnehmer zugeordnet. 2. Soweit der Teilnehmer seine Schlüssel eigenständig generiert, sind die privaten Schlüssel mit Mitteln zu erzeugen, die der Teilnehmer unter seiner alleinigen Kontrolle halten kann. 3. Sofern die Schlüssel von einem Dritten zur Verfügung gestellt werden, ist sicherzustellen, dass der Teilnehmer in den alleinigen Besitz der privaten Schlüssel gelangt. 4. Für die zur Legitimation eingesetzten privaten Schlüssel definiert jeder Nutzer pro Schlüssel ein Passwort, das den Zugriff auf den jeweili- gen privaten Schlüssel absichert. 5. Für die zur Absicherung des Datenaustausches eingesetzten privaten Schlüssel definiert jeder Teilnehmer pro Schlüssel ein Passwort, das den Zugriff auf den jeweiligen privaten Schlüssel absichert. Auf dieses Passwort kann verzichtet werden, wenn das Sicherungsmedium des Teilnehmers in einer technischen Umgebung gespeichert ist, die vor unautorisiertem Zugriff geschützt ist. Für die Initialisierung des Teilnehmers bei der Sparkasse ist die Übermittlung der öffentlichen Schlüssel des Teilnehmers an das Banksystem erforderlich. Hierfür übermittelt der Teilnehmer der Sparkasse seine öffentlichen Schlüssel auf zwei voneinander unabhängi- gen Kommunikationswegen: – über die EBICS-Anbindung mittels der hierfür vorgesehenen systembedingten Auftragsarten – mit einem vom Kontoinhaber oder einem Kontobevollmächtigten unterschriebenen Initialisierungsbrief Für die Freischaltung des Teilnehmers überprüft die Sparkasse auf Basis der vom Kontoinhaber oder einem Kontobevollmächtigten unter- 110 270.000 D1 (Fassung Juli 2025) - v7.1 schriebenen Initialisierungsbriefe die Authentizität der über EBICS übermittelten öffentlichen Teilnehmerschlüssel. Zu jedem öffentlichen Teilnehmerschlüssel enthält der Initialisierungsbrief die folgenden Daten: – Verwendungszweck des öffentlichen Teilnehmerschlüssels: – Elektronische Unterschrift – Authentifikationssignatur – Verschlüsselung – die jeweils unterstützte Version pro Schlüsselpaar – Längenangabe des Exponenten – Exponent des öffentlichen Schlüssels in hexadezimaler Darstellung – Längenangabe des Modulus Seite 4 von 6 Bedingungen für Datenfernübertragung – Modulus des öffentlichen Schlüssels in hexadezimaler Darstellung – Hashwert des öffentlichen Schlüssels in hexadezimaler Darstellung Die Sparkasse prüft die Unterschrift des Kontoinhabers bzw. des Kontobevollmächtigten auf dem Initialisierungsbrief sowie die Übereinstim- mung zwischen den über die EBICS-Anbindung und den schriftlich übermittelten Hashwerten des öffentlichen Schlüssels des Teilnehmers. Bei positivem Prüfergebnis schaltet die Sparkasse den betreffenden Teilnehmer für die vereinbarten Auftragsarten frei. 2.3 Initialisierung der bankseitigen Schlüssel Der Teilnehmer holt den öffentlichen Schlüssel der Sparkasse mittels einer eigens dafür vorgesehenen systembedingten Auftragsart ab. Der Hashwert des öffentlichen Bankschlüssels wird von der Sparkasse zusätzlich über einen zweiten, mit dem Kunden gesondert vereinbar- ten Kommunikationsweg bereitgestellt. Vor dem ersten Einsatz von EBICS hat der Teilnehmer die Echtheit der ihm per Datenfernübertragung übermittelten öffentlichen Bankschlüs- sel dadurch zu überprüfen, dass er deren Hashwerte mit den Hashwerten vergleicht, die von der Sparkasse über den gesondert vereinbarten Kommunikationsweg mitgeteilt wurden. Der Kunde muss gewährleisten, dass eine Software eingesetzt wird, die die Gültigkeit der im Rahmen der Transportverschlüsselung einge- setzten Serverzertifikate anhand des von der Sparkasse gesondert mitgeteilten Zertifizierungspfades überprüft. 3. Besondere Sorgfaltspflichten bei Erzeugung von Legitimations- und Sicherungsmedien durch den Kunden Soweit der Kunde seine Legitimations- und Sicherungsmedien nach den Vorgaben der EBICS-Spezifikation selbst erzeugt und er diese bei seiner Sparkasse initialisiert, hat er Folgendes sicherzustellen: – In allen Phasen der Authentifizierung, inklusive Anzeige, Übermittlung und Speicherung sind Vertraulichkeit und Integrität des Legitimati- onsmediums zu gewährleisten. – Private Teilnehmerschlüssel auf den Legitimations- und Sicherungsmedien dürfen nicht im Klartext abgespeichert werden. – Spätestens nach fünfmaliger Fehleingabe des Passwortes wird das Legitimationsmedium gesperrt. – Die Generierung der privaten und öffentlichen Teilnehmerschlüssel muss in einer sicheren Umgebung erfolgen. – Die Legitimations- und Sicherungsmedien sind ausschließlich und eindeutig dem Teilnehmer zuzuordnen und zu verwenden. Der Nutzer überprüft die Auftragsdaten auf ihre Richtigkeit und stellt sicher, dass genau diese Daten elektronisch unterschrieben werden. Bei Aufnahme der Kommunikation werden seitens der Sparkasse zuerst teilnehmerbezogene Berechtigungsprüfungen durchgeführt, wie etwa die Auftragsartberechtigung oder gegebenenfalls vereinbarte Limitprüfungen. Die Ergebnisse weiterer bankfachlicher Prüfungen wie beispiels- weise Limitprüfungen oder Kontoberechtigungsprüfungen werden dem Kunden im Kundenprotokoll zu einem späteren Zeitpunkt mitgeteilt. 4. Auftragserteilung an die Sparkasse Auftragsdaten, die an das Banksystem übermittelt werden, können wie folgt autorisiert werden: 1. Alle erforderlichen bankfachlichen EU werden zusammen mit den Auftragsdaten übertragen. 2. Sofern mit dem Kunden für die jeweilige Auftragsart die Verteilte Elektronische Unterschrift (VEU) vereinbart wurde und die übermittelten EU für die bankfachliche Freigabe nicht ausreichen, wird der Auftrag bis zur Abgabe aller erforderlichen EU im Banksystem gespeichert. 3. Soweit Kunde und Sparkasse vereinbaren, dass die Autorisierung von per DFÜ übermittelten Auftragsdaten mittels gesondert übermittelten Begleitzettels/Sammelauftrags erfolgen kann, ist anstelle der bankfachlichen EU des Nutzers eine Transportunterschrift (Typ „T“) für die technische Absicherung der Auftragsdaten zu leisten. Hierfür ist die Datei mit einer speziellen Kennung zu versehen, die angibt, dass es außer der Transportunterschrift (Typ „T“) keine weitere EU für diesen Auftrag gibt. Die Freigabe des Auftrags erfolgt nach erfolgreicher Prüfung der Unterschrift des Nutzers auf dem Begleitzettel/Sammelauftrag durch die Sparkasse. 4.1 Auftragserteilung mittels Verteilter Elektronischer Unterschrift (VEU) Die Art und Weise, wie die Verteilte Elektronische Unterschrift durch den Kunden genutzt wird, muss mit der Sparkasse vereinbart werden. Die Verteilte Elektronische Unterschrift (VEU) ist dann einzusetzen, wenn die Autorisierung von Aufträgen unabhängig vom Transport der Auf- tragsdaten und gegebenenfalls auch durch mehrere Teilnehmer erfolgen soll. Solange noch nicht alle zur Autorisierung erforderlichen bankfachlichen EU vorliegen, kann der Auftrag von einem hierzu berechtigten Nutzer gelöscht werden. Soweit der Auftrag vollständig autorisiert wurde, ist nur noch ein Rückruf gemäß Nummer 9 der Bedingungen für die Daten- fernübertragung möglich. Die Sparkasse ist dazu berechtigt, nicht vollständig autorisierte Aufträge nach Ablauf des von der Sparkasse gesondert mitgeteilten Zeitlimits zu löschen. 4.2 Legitimationsprüfung durch die Sparkasse Per DFÜ eingelieferte Auftragsdaten werden als Auftrag durch die Sparkasse erst dann ausgeführt, wenn die erforderlichen bankfachlichen EU bzw. der unterschriebene Begleitzettel/Sammelauftrag eingegangen sind und mit positivem Ergebnis geprüft wurden. 4.3 Kundenprotokolle Die Sparkasse dokumentiert in Kundenprotokollen die folgenden Vorgänge: – Übertragung der Auftragsdaten an das Banksystem – Übertragung von Informationsdateien von dem Banksystem an das Kundensystem – Ergebnis einer jeden Legitimationsprüfung von Aufträgen des Kunden an das Banksystem – Weiterverarbeitung von Aufträgen, sofern sie die Unterschriftsprüfung und die Anzeige von Auftragsdaten betreffen Der Teilnehmer hat sich durch zeitnahen Abruf des Kundenprotokolls über das Ergebnis der aufseiten der Sparkasse durchgeführten Prüfungen zu informieren. Der Teilnehmer hat dieses Protokoll, das inhaltlich den Bestimmungen von Kapitel 10 der Anlage 1b entspricht, zu seinen Unterlagen zu 110 270.000 D1 (Fassung Juli 2025) - v7.1 nehmen und auf Anforderung der Sparkasse zur Verfügung zu stellen. 5. Änderung der Teilnehmerschlüssel mit automatischer Freischaltung Wenn die vom Teilnehmer eingesetzten Legitimations- und Sicherungsmedien in ihrer Gültigkeit zeitlich begrenzt sind, hat der Teilnehmer der Sparkasse die neuen öffentlichen Teilnehmerschlüssel rechtzeitig vor dem Erreichen des Ablaufdatums zu übermitteln. Nach dem Erreichen des Ablaufdatums der alten Schlüssel ist eine Neuinitialisierung vorzunehmen. Wenn der Teilnehmer seine Schlüssel selbst generiert, so hat er zu dem mit der Sparkasse vereinbarten Zeitpunkt die Teilnehmerschlüssel unter Verwendung der dafür vorgesehenen systembedingten Auftragsarten zu erneuern und rechtzeitig vor dem Erreichen des Ablaufdatums der alten Schlüssel zu übermitteln. Seite 5 von 6 Bedingungen für Datenfernübertragung Für eine automatische Freischaltung der neuen Schlüssel ohne eine erneute Teilnehmerinitialisierung sind die folgenden Auftragsarten zu nutzen: – Aktualisierung des öffentlichen bankfachlichen Schlüssels (PUB) und – Aktualisierung des öffentlichen Authentifikationsschlüssels und des öffentlichen Verschlüsselungsschlüssels (HCA) oder alternativ – Aktualisierung aller drei oben genannter Schlüssel (HCS). Die Auftragsarten PUB und HCA bzw. HCS sind hierfür mit einer gültigen bankfachlichen EU des Nutzers zu versehen. Nach erfolgreicher Änderung sind nur noch die neuen Schlüssel zu verwenden. Wenn die Elektronische Unterschrift nicht erfolgreich geprüft werden konnte, wird wie unter Nummer 8 Absatz 3 der Bedingungen für die Datenfernübertragung verfahren. Die Schlüsseländerung darf erst nach Abarbeitung aller Aufträge erfolgen. Ansonsten sind die noch nicht ausgeführten Aufträge mit dem neuen Schlüssel neu zu erteilen. 6. Sperrung der Teilnehmerschlüssel Besteht der Verdacht des Missbrauchs der Teilnehmerschlüssel, ist der Teilnehmer dazu verpflichtet, seine Zugangsberechtigung zu allen Banksystemen zu sperren, die den/die kompromittierten Schlüssel verwenden. Soweit der Teilnehmer über gültige Legitimations- und Sicherungsmedien verfügt, kann er seine Zugangsberechtigung via EBICS-Anbindung sperren. Hierbei wird durch Senden einer Nachricht mit der Auftragsart „SPR“ der Zugang für den jeweiligen Teilnehmer, unter dessen User- ID die Nachricht gesendet wird, gesperrt. Nach einer Sperre können bis zu der unter Nummer 2 beschriebenen Neuinitialisierung keine Auf- träge von diesem Teilnehmer per EBICS-Anbindung mehr erteilt werden. Wenn der Teilnehmer nicht mehr über gültige Legitimations- und Sicherungsmedien verfügt, kann er außerhalb des DFÜ-Verfahrens seine Legitimations- und Sicherungsmedien über die von der Sparkasse gesondert bekannt gegebene Sperrfazilität sperren lassen. Der Kunde kann außerhalb des DFÜ-Verfahrens die Legitimations- und Sicherungsmedien eines Teilnehmers oder den gesamten DFÜ- Zugang über die von der Sparkasse bekannt gegebene Sperrfazilität sperren lassen. Anlage 1b: Spezifikation der EBICS-Anbindung Die Spezifikation ist auf der Webseite www.ebics.de veröffentlicht. Anlage 1c: Sicherheitsanforderungen an das EBICS-Kundensystem Über die in Anlage 1a Nummer 6 beschriebenen Sicherheitsmaßnahmen hinaus sind durch den Kunden folgende Anforderungen zu berücksichtigen: – Die vom Kunden für das EBICS-Verfahren eingesetzte Software muss die in Anlage 1a beschriebenen Anforderungen erfüllen. – EBICS-Kundensysteme dürfen nicht ohne Firewall eingesetzt werden. Eine Firewall ist eine Einrichtung, die den gesamten ein- und ausge- henden Nachrichtenverkehr überwacht und nur bekannte oder autorisierte Verbindungen zulässt. – Es ist ein Virenscanner zu installieren, der regelmäßig mit den neuesten Virendefinitions-Dateien auszustatten ist. – Das EBICS-Kundensystem ist so einzurichten, dass sich der Teilnehmer vor dessen Nutzung anmelden muss. Die Anmeldung hat als nor- maler Benutzer und nicht als Administrator, der z. B. berechtigt ist, die Installation von Programmen vorzunehmen, zu erfolgen. – Die internen IT-Kommunikationswege für unverschlüsselte bankfachliche Daten oder für unverschlüsselte EBICS-Nachrichten sind gegen Abhören und Manipulationen zu schützen. – Wenn sicherheitsrelevante Updates für das jeweils eingesetzte Betriebssystem und weiterer installierter sicherheitsrelevanter Software- Programme vorliegen, sollten die eingesetzten EBICS-Kundensysteme mit diesen aktualisiert werden. Die Umsetzung dieser Anforderungen liegt ausschließlich in der Verantwortung des Kunden. Anlage 2: Spezifikation der Echtzeitbenachrichtigungen Die Spezifikation ist auf der Webseite www.ebics.de veröffentlicht. Anlage 3: Spezifikation der Datenformate Die Spezifikation ist auf der Webseite www.ebics.de veröffentlicht. Fußnote 1 Als Auftragsart gilt auch das „Business Transaction and Format“ (BTF) ab EBICS Version 3.0 110 270.000 D1 (Fassung Juli 2025) - v7.1 Seite 6 von 6