Verification of Payee (VoP)

[wienen-it-dev]

Hallo zusammen,

wird es für die neue FinTS Spezifikation "Namensabgleich (Verification of Payee)" eine Änderung für php-fints geben, und sind Änderungen an der eigenen Applikation notwendig?

https://www.fints.org/de/spezifikation/aenderungen

[roben]

Das hier sollte tatsächlich bald relevant werden und, so wie ich das sehe, auch ein Blocker für SEPA-Überweisungen sein. Heise hatte kürzlich einen allgemeinen Artikel dazu:

https://www.heise.de/news/IBAN-Namensabgleich-wird-Pflicht-fuer-EU-Banken-Betrugsgefahr-bleibt-10476058.html

Es wird für alle Banken verpflichtend, also am Ende leider auch für uns.

Die Kollegen sind auch nicht gerade begeistert: https://homebanking-hilfe.de/forum/topic.php?t=26979

[witschko]

Heute kam mit der FinTS Bankenliste die Info, dass VOP ab Anfang Oktober umzusetzen ist? Gibt es dazu Neuigkeiten zur Implementierung in der Schnittstelle?

[ampaze]

Oktober rückt näher (obwohl es bankentypisch bestimmt wieder verschoben wird), die Banken die wir nutzen bieten Verification of Payee noch nicht an.

Dem Kundenprodukt wird durch das Vorhandensein der Parametersegmente von HKVPP, HKVPA und HKVOO in der BPD mitgeteilt, dass das Kreditinstitut die VOP-Verarbeitung bereits unterstützt.

Ich könnte daher aktuell höchstens eine Blind-Implementation machen ohne es testen zu können. Gibt es hier schon Nutzer deren Banken VoP schon anbieten?

[witschko]

Ich könnte daher aktuell höchstens eine Blind-Implementation machen ohne es testen zu können. Gibt es hier schon Nutzer deren Banken VoP schon anbieten?

Ich habe mal bei Volksbank und Sparkasse nachgeschaut. Volksbank listet die Segmente überhaupt nicht, Sparkasse folgendermaßen: HKVPP:N:HKVPA:N:HKVOO:N

Ich vermute "N" steht dabei für "nicht unterstützt"?

[ampaze]

Auf die Schnelle würde ich denken, dass heißt für diese Segmente ist keine TAN erforderlich.

[witschko]

Ah ok, verstehe. Kann ich dann irgendwas zur Verfügung stellen, das bei der Blind-Implementierung helfen würde?

[ampaze]

Ich weiß aktuell nicht wie der ganze Prozess aussähe, bislang ist mir nur klar:

Es muss SendSEPATransfer.php abgeändert werden

• prüfen ob VoP erforderlich, via HIVPPS (einfach)
• wenn ja, dann muss beim Einreichen der Überweisung ein HKVPP Segment mitgesendet werden (einfach)
• dann muss in processResponse auf die Antwort (HIVPP) reagiert werden, es kann das Prüfergebnis enthalten sein, muss aber nicht
• ggf. wenn das Ergebnis nicht bereitsteht, muss periodisch das Ergebnis des Prüfauftrags abgefragt (via HKVPP + VOP-ID) werden
• der Kunde oder der Programmierer (also z.B. immer trotzdem überweisen) muss entscheiden was abhängig vom Ergebnis passieren soll.
• wenn die Überweisung unabhängig vom Ergebnis trotzdem getätigt werden soll, dann muss die Überweisung erneut eingereicht werden, diesmal mit HKVPA-Segment und passende VOP-ID
• Wenn der Name übereinstimmt ist es auch möglich, auf die VoP Bestätigung (HKVPA) zu verzichten, das hängt aber wieder von der Bank ab

Also alles nicht so einfach, ggf. kann man es mit dem Decoupled Tan Mechanismus verbinden.

Was meint @Philipp91 ?

[Philipp91]

ggf. kann man es mit dem Decoupled Tan Mechanismus verbinden.

In meiner Endanwendung ist phpFinTS nicht die einzige Bibliothek um Umsätze abzurufen. Gerade für ausländische Banken habe ich auch andere Plugins. Dort hat sich das Muster bewährt, neben needsTan() (wo man dem Endanwender den Inhalt eines TanRequests präsentieren und auf seine Mitwirkung/Rückmeldung hoffen muss) auch needsTime() zu haben (wo man dem Nutzer einfach eine Meldung mit einer Statusinformation zeigt und ansonsten nur wartet).

[Philipp91]

ggf. wenn das Ergebnis nicht bereitsteht, muss periodisch das Ergebnis des Prüfauftrags abgefragt (via HKVPP + VOP-ID) werden

Muss man das auch dann machen, wenn man eh vorhat, das Ergebnis zu ignorieren und die Überweisung trotzdem zu tätigen?

---

Vielleicht könnten wir zwei neue APIs haben:

1. needsConfirmation() zeigt an, dass man die Aktion noch zusätzlich rückbestätigen muss (mit confirm($action) oder so) bevor sie wirklich ausgeführt wird.
2. Interessierte Anwendungen können zusätzlich getVerificationInformation() oder so aufrufen, um ihren Endanwender zu informieren sodass er entscheiden kann, ob er rückbestätigen will. Wobei diese Funktion auch ein "noch nicht verfügbar" Signal zurückgeben kann, sodass die Anwendung es später nochmal probieren muss.

[ampaze]

ggf. wenn das Ergebnis nicht bereitsteht, muss periodisch das Ergebnis des Prüfauftrags abgefragt (via HKVPP + VOP-ID) werden

Muss man das auch dann machen, wenn man eh vorhat, das Ergebnis zu ignorieren und die Überweisung trotzdem zu tätigen?

Ich glaube ja, weil man die VOP-ID die man für die Freigabe braucht, erst bekommt wenn das Ergebnis vorliegt.

Vielleicht könnten wir zwei neue APIs haben:

1. needsConfirmation() zeigt an, dass man die Aktion noch zusätzlich rückbestätigen muss (mit confirm($action) oder so) bevor sie wirklich ausgeführt wird.
2. Interessierte Anwendungen können zusätzlich getVerificationInformation() oder so aufrufen, um ihren Endanwender zu informieren sodass er entscheiden kann, ob er rückbestätigen will. Wobei diese Funktion auch ein "noch nicht verfügbar" Signal zurückgeben kann, sodass die Anwendung es später nochmal probieren muss.

needsTime und needsConfirmation klingt gut.

[wienen-it-dev]

Hallo zusammen,

vielen Dank, mittlerweile gab es einige Beiträge. Gibt es bereits einen Ansatz oder eine funktionierende Lösung?

Bei der Sparkasse tritt seit neuestem folgender Fehler auf:

FinTS errors: 9050 (global): Die Nachricht enthält Fehler. 9076 (wrt seg 3): Namensabgleich erforderlich. Bitte Software-Update prüfen. FinTS warnings: 3905 (global): Es wurde keine Challenge erzeugt. Request segments: HKCCS:3:1+DEXXXXXXXXXXXXXXXXXXXX:WXXXXXXXXXX:190000000::280:00000000+urn?:iso?:std?:iso?:20022?:tech?:xsd?:pain.001.001.03+@1733@ 0000000000 2025-10-05T21:02:14 1 29.49 190000000 0000000000 TRF 1 29.49 SEPA 1999-01-01 190000000 DEXXXXXXXXXXXXXXXXXXXX WXXXXXXXXXX SLEV NOTPROVIDED 29.49 CXXXXXXXXXX B Solutions GmbH DEXXXXXXXXXXXXXXXXXXXX RE-Nr R000000000 Knd-Nr S0000000000 BelegID 0000

[ampaze]

Mein letzter Stand ist, dass es erst ab 9.10 Pflicht ist. Die Banken auf die ich Zugriff habe, sollen aber seit heute zumindest den Prozess mit VoP ermöglichen. Darauf musste ich warten.

Ich kann leider frühestens Ende der Woche an meinem PR (#499) dazu weiterarbeiten.

Hast du den Zwischenstand aus #499 mal ausprobiert?

[timrasche]

Banking hat bei uns (Volksbank und Sparkasse) aufgehört zu funktionieren genau wegen dem Thema.

'HIRMG:3:2+9050::Die Nachricht enthält Fehler.'HIRMS:4:2:3+9076::Namensabgleich erforderlich.'HNSHA:5:2+4127560''HNHBS:6:1+2'