! API & vollautomatischer Handel *REVISITED*: Comdirect AGB vs. Multi-Broker-API (zulässig!!!!)

[FSQuant]

Liebes Comdirect Team,

Liebe Community,

ich bin durch Zufall über folgendes Detail gestolpert:

- per Comdirect AGB ist die Nutzung der Session-TAN für den vollautomatischen Handel nicht erlaubt; dazu gab es hier auch schon einige Diskussionen

Ich möchte das Thema nochmal aufgreifen, da es hier eine Ungleichbehandlung / Diskriminierung gibt:

Es gibt Webservice wie www.brokerize.com - das ist eine Multi-Broker-API, quasi ein Wrapper um die einzelnen Banken/Brokerage-API; heisst also: Eure App spricht dann mit dem Server von Brokerize.com und der leitet das im Hintergund an die jeweilige Bank weiter.

So, und JETZT DER HAMMER:

- ich habe die schriftliche Aussage vorliegen, dass wenn die eigene App über Brokerize.com auf die Comdirect-API geht, die Nutzung einer Session-TAN durchaus erlaubt ist! 

- Das heisst also, wenn ich über deren Zusatzlayer gehe, kann ich dauerhaft eingeloggt bleiben und muss nicht jede Tranaktion einzeln per 2FA bestätigen

Und da würde mich jetzt wirklich mal die Begründung konkret interessieren! (@Chris_SMT)

Eine Metapher:

Wenn ich in den für mich vorgesehenen Hauseingang reinlaufe (Comdirect API) darf ich "weniger" machen, als wenn ich über den Seiteneingang des Zulieferers ins Hause gehe?!?!??

Liebte Comdirect - das kanns ja wohl nicht sein?

Nochmal zusammengefasst in einem Satz: Wenn ich eine Drittanbieter Multi-Broker-API nutze, ist Session-TAN erlaubt, wenn ich EURE EIGENE API benutze, ist Session-TAN nicht erlaubt??? (ach ja, in dem Fall müsste ich ürbrigens meine API Credentials auf einer fremden Plattform eingeben/hinterlassen - laut Kundenservice von Brokerize.com ist das alles mit Comdirect abgesprochen etc)

Was ist die Begrüdung?

[dg2210]

---

@FSQuant  schrieb:

Eine Metapher:

Wenn ich in den für mich vorgesehenen Hauseingang reinlaufe (Comdirect API) darf ich "weniger" machen, als wenn ich über den Seiteneingang des Zulieferers ins Hause gehe?!?!??

Nicht alles, was hinkt, ist ein Vergleich.

Besseres Bild:

Wenn du dich in einer Strafsache direkt an die Ermittlungsbehörden/das Gericht wendest, hast du weniger Möglichkeiten, als wenn du das über einen zugelassenen Rechtsanwalt machst.

[FSQuant]

Also wenn sich die Antwortqualität bei diesem Thema wie eine Hyperbel entlang der Qualität der Antworten entwickelt, und der erste Kommentar ist gleich lediglich Haarspalterei, dann, so prophezeie ich, werden wir nie eine Antwort auf die Frage bekommen 🤣 🤣 LOL

[FSQuant]

@SMT_Ines 

@SMT_Chris 

Friendly reminder! 

[SMT_Chris]

Hallo @FSQuant,

Nochmal zusammengefasst in einem Satz: Wenn ich eine Drittanbieter Multi-Broker-API nutze, ist Session-TAN erlaubt, wenn ich EURE EIGENE API benutze, ist Session-TAN nicht erlaubt???

Das ist NICHT korrekt. Auch über die comdirect API kann man als Entwickler eine Session-TAN aktivieren, so dass für Transaktionen keine weitere TANs mehr eingegeben werden müssen.

Der Token einer Session läuft nach einer gewissen Zeit ab. Über einen Refresh-Aufruf kann die Session (inkl. Session-TAN) verlängert werden. Auch dieses Verhalten ist beim Entwickler-Zugang und beim Zugang von Partnern identisch geregelt.

VG

Christoph

[FSQuant]

Ciao @SMT_Chris ,

Das ist ja genau der Punkt: Und wenn du dich erinnerst, gabs vor einiger Zeit schon mal einen langlaufenden Thread zu genau der Frage:

Comdirect API direkt von eigener App:

- Session Ticket ist möglich (und Verlängerung nach 10 Min auch)

- Dieses Session Ticket darf aber offenbar nur für Kontostandabfrage/Dokuemtenabfrage/Transaktionsabfrage genutzt werden (also quasi alles was irgendwie "ähnlich zur PSD2 ist") - aber eben *nicht* für den automatischen Handel

- Laut API-AGB ist der automatische Handel per Session Ticket (und nur dieser) ebenfalls verboten

Comdirect API via Multibroker/Drittanbieter App:

- in dieser Konstruktion darf ich das Session Ticket für die automatische Orderausführung nutzen -> habe ich vom Kundenservice von Brokerize.com schriftlich vorliegen

Dein Kollege hat damals ja selbst hier geschrieben:
https://community.comdirect.de/t5/website-apps/rest-api-automatisierte-order-legal/m-p/154764
>>>
...die Nutzungsbedingungen verbieten eine Ausführung der Order durch einen Algorithmus. Erlaubt hingegen ist selbstverständlich, die Order durch ein Tool vorzubereiten und sie händisch freizugeben. Eine Vollautomatisierung würde regulatorische Anforderungen mit sich bringen, die unsere Privatkunden kaum erfüllen können. Das würde evtl. auch zur Folge haben, dass wir gar kein REST API anbieten könnten...
<<<

Jetzt sagst du aber hier in diesem Thread, dass es sehr wohl erlaubt ist?

[FSQuant]

@SMT_Chris 
Der Text der API ist (zu finden in eurer Inbox, nachdem ihr die API aktiviert habt)

>>>>>
.....

2.4 Die Orderanlage über das API darf nur durch den Kunden selbst und nicht durch einen Algorithmus erfolgen

.....

<<<<<

[FSQuant]

Zusatz:

Was mir eben noch auffällt: Die Aussage von eurem Kollegen in dem verlinkten Thread widerspricht genaugenommen den API AGB? Er sagt, Orderanlage per Algo ist möglich, Freigabe aber manuell - die AGB hingegen sagt: Orderanalge über API nur manuell und nicht durch Algo?

Ich glaube wir sind uns einig, dass das nicht klar definiert ist? (-:

[SMT_Chris]

Hallo @FSQuant,

ich hab dein Anliegen weitergeleitet.

VG

Christoph

[FSQuant]

Hi @SMT_Chris ,

ja, bitte bitte bitte - DANKE!

Ich denke, es ist klar, worum es geht - va. da das Thema immer wieder aufkommt und von unterschiedlicher Stelle unterschiedliche Informationen kommen.

Das wäre wirklich mal wichtig, das final zu klären. Ich schicke dir gleich noch die Handynummer per PN, so kann mich ein Kollege aus der Technik (oder ggf. Compliance) zurückrufen.

Grüße