AVS - RKSV Installation Sicherheitseinrichtung - fiskaltrust (1.7.9)

Voraussetzungen

AVS-Version 1.7.9/115 oder höher (1.7.9_166, avs.exe vom 20.2.2016)
Zugangsdaten der Apotheke für fiskaltrust vorhanden

Kurzanleitung

einen USB-Stick auf einem PC (nicht am Server!) anstecken
(der zweite bleibt als Ersatzteil in der Apotheke; eventuell mit Klebeband am Server anbringen)
ATrust a.sign-Client und fiskaltrust-Personalisierungstool installieren und starten
(Installationsmedien im AVS unter 'Hilfe - Anleitungen im Web - RKSV')
im Personalisierungstool mit den Zugangsdaten der Apotheke anmelden
USB-Stick personalisieren ('vorkonfigurierte SmartCard')
(falls nach Klick auf 'vorkonfigurierte SmartCard' keine Bezeichnung vorgeladen wird
und diese auch nicht auswählbar ist, abbrechen und den Verlags-Support kontaktieren;
bei Apotheken mit Filiale muss die richtige Bezeichnung ausgewählt werden!)
[SmartCard schreiben und im fiskaltrast.Portal speichern], bei Fehler zusätzlich
[SmartCard auslesen und im fiskaltrust.Portal speichern]
Personalisierungstool am PC beenden, USB-Stick am PC ab- und am Server anstecken;
am Server am Fiskaltrust-Portal anmelden (wieder mit den Zugangsdaten der Apotheke), Klick auf 'Konfiguration';

5a. Seriennummer Zertifikat lokale SEE (nicht bei der Online-SEE!) eintragen/speichern
(weil Fehler im Personalisierungstool fiskaltrust)
Klick auf 'Signature Creation Unit', dann Klick auf 'Configuration' (= Button mit Zahnrad);
ist unter 'Zertifikat Seriennummer' eine HEX-Zahl sichtbar, Klick auf [Speichern und weiter];
anderenfalls zuvor die Seriennummer aus der Übersicht in das Eingabefeld kopieren
Klick auf 'CashBox', Rebuild Configuration (Klick auf grauen Button),
DotNetLauncher herunterladen (Klick auf Button mit Weltkugel) und entpacken
(Ordner am AVS/Oracle-Laufwerk, z.B. d:\fiskaltrust) (Offline-Launcher darf nicht verwendet werden!)
fiskaltrust-Dienst einrichten (Befehl 'install-service.cmd' als Administrator ausführen; Windows Server 2003 siehe Seite 9) und manuell starten,
Abmeldung im fiskaltrust-Portal am Server
auf einem Taraplatz am fiskaltrust-Portal anmelden (wieder mit den Zugangsdaten der Apotheke),
Klick auf 'Konfiguration' und danach 'CashBox'
Zugangsdaten in den AVS-Betriebsdaten eintragen (Karteireiter Zugangsdaten, Kennwort 'rksv2017';
Daten aus der aufgeklappten CashBox aus dem fiskaltrust-Portal kopieren;
localhost in URL muss durch IP des Servers ersetzt werden;
Verbindungstest durchführen;bei Fehlermeldung URL prüfen bzw. ob vor/nach den Werten Blanks vorhanden sind)
den Startbeleg erstellen und ausdrucken (dieser muss signiert sein)
(Menüpunkt 'Verkauf - RKSV - 'Inbetriebnahmebeleg (Startbeleg)')
auf allen anderen Kassenplätzen AVS beenden, neu starten und auf jedem Platz zumindest 1 signierten Beleg erstellen
(kann auch ein Nullbeleg sein)
Überprüfung auf nicht signierte Belege
(Menüpunkt 'Verkauf - RKSV - Signierung nach Ausfällen';gegebenenfalls Klick auf 'Ausführen' damit nachsigniert wird)
Prüfen, ob die Queue aktiv ist und FON-Meldungen erstellt wurden
(Konfiguration - Queue: blauer Haken in der Spalte 'Aktiv' Apotheke(r) - AT FinanzOnline Meldungen: 3 [Nicht-Sorglos] bzw. 4 [Sorglos] FON-Meldungen/Prüfungen), danach Abmeldung im fiskaltrust-Portal
Apotheker/Benutzer auf 'Hilfe - Anleitungen im Web' hinweisen
(insbesondere Hinweis auf zusätzliche Anleitungen bei Installationen ohne Sorglos-Paket)
Prüfen, ob mit der lokalen Signaturerstellungseinheit (SEE) signiert wird Scannen QR-Code eines Beleges und Vergleich der Seriennummer des Zertifikats mit den Daten im fiskaltrust-Portal

z.B. Scannen QR-Code *) ergibt:

_R1-AT1_Test3b_ftF7#147_2017-02-11T18:05:18_0,00_10,00_0,00_0,00_0,00_vf+i/OU=_5a218bed_WL8jKTS4dOQ=
_fFWf72DhFzhTm8aTznVIK1iz5Qy0FJfGdVVcFiL1PFls6lmpoq4GHOPbkfTUlps1sPn8UndPlxWAef9X7wFhNw==

R1-AT1	Registrierkassenalgorithmuskennzeichen
Test3b	Kassenidenfifikationsnummer
ftF7#147	Belegnummer fiskaltrust
2017-02-11T18:05:18	Signaturzeitpunkt
0,00_10,00_0,00_0,00_0,00	Umsätze (= signierte Beträge) pro Umsatzsteuersatz **)
vf+i/OU=	codierter Umsatzzähler (= Summe der signierten Beträge)
5a218bed	Seriennummer des Zertifikats (zwischen 11. und 12. '_')
WL8jKTS4dOQ=	Verkettungswert voriger Beleg
fFWf72DhFzhTm8aTzn.......	Signaturwert

**) <Satz Normal>_<Satz Ermässigt_1>_<Satz Ermässigt_2>_<Satz_Null>_<Satz_Besonders>

Wenn im Beispiel im fiskaltrust-Portal bei der lokalen SEE (nicht bei der Online-SEE) die Seriennummer 0x5a218bed eingetragen ist, passt alles. Anderenfalls muss Punkt 5a. und ein 'Rebuild Configuration' noch einmal ausgeführt und danach der Dienst neu gestartet werden (nach dem nächsten Geschäftsfall wieder Überprüfung des QR-Codes).

Wichtig ist, dass mit der lokalen SEE signiert wird. Online-SEE (deren Bezeichnung beginnt immer mit 'Online') sollen nur dann zum Einsatz kommen, wenn die lokale SEE ausgefallen ist.

*) alternativ kann man im AVS unter 'Verwaltung - Import / Export - Export über Ausführung SQL-Statement ausführen:

SELECT
sit_rksv_rect_resp_id "NR", data "Signaturstring"
FROM sit_r_rksv_rect_resp_sign
WHERE signature_format = 3
ORDER by 1 DESC

Personalisierung alternativ am Server durchführen

Die Punkte 1. - 5. können alternativ auch am Server durchgeführt werden, allerdings muss in diesem Fall nach erfolgreicher Einrichtung des fiskaltrust-Dienstes (also nach Punkt 7.) am Server im AVS-Ordner der Befehl
sit_uninstall_atrust_ft.exe
ausgeführt werden, damit der a.sign-Client und das Personalisierungstool wieder deinstalliert werden.

Detaillierte Beschreibung

1. einen USB-Stick auf einem PC (nicht am Server!) anstecken
^{(der zweite bleibt als Ersatzteil in der Apotheke; eventuell mit Klebeband am Server anbringen)}

Dabei gegebenenfalls USV-Verlängerungen oder USB-Splitter verwenden.
In virtualisierten Umgebungen ohne Zugriff in der VM auf die USB-Ports des Trägerservers wird der Einsatz eines Netzwerk-USB-Hubs empfohlen (z.B. DIGI Anywhere USB/2). Der fiskaltrust-Dienst sollte möglichst am AVS-Server laufen, damit künftig eine Ansteuerung dieses Dienstes (z.B. ein Neustart) aus dem AVS-Applikationsserver heraus erfolgen kann.

2. ATrust a.sign-Client und fiskaltrust-Personalisierungstool am PC, auf dem USB-Stick angesteckt wurde, installieren

Installationsdateien findet man im AVS unter 'Hilfe - Anleitungen im Web', 'I. Leitfäden', '07 Kommunikation nach außen', 'RKSV Registrierkassensicherheitsverordnung' zum Download.

Beide Programme müssen dort installiert werden, wo der USB-Stick personalisiert wird. Dort, wo der fiskaltrust-Dienst installiert wird (= am Server) werden diese beiden Programme nicht benötigt.

Häkchen 'Launch the program' beim Abschluss der Installation des fiskaltrust Personalisierungstool nicht entfernen!
Nach der Installation ist der a.SignClient im Systray aktiv:

3. im Personalisierungstool mit den Zugangsdaten der Apotheke anmelden

Anmeldebildschirm nach erfolgreicher Anmeldung

4. USB-Stick personalisieren

Klick auf 'Vorkonfigurierte SmartCard' (1)
gegebenenfalls Bezeichnung auswählen (z.B. 'avs1' oder 'AVS Basis' ) (2)
Klick auf [SmartCard schreiben und im fiskaltrust.Portal speichern] (3)

Falls beim Speichern im Portal ein Fehler auftritt, auf den Button [SmartCard auslesen und im fiskaltrust.Portal speichern] klicken.

Während die Smartcard beschrieben wird, am Server-Laufwerk, auf dem sich die AVS Datenbank befindet, einen neuen Ordner 'fiskaltrust' erstellen (z.B.: 'd:\fiskaltrust').
Nachdem die Smartcard beschrieben und erfolgreich gespeichert wurde, mit 'Logout' das Personalisierungstool beenden.

5. USB-Stick am PC ab und am Server anstecken; am Server am Fiskaltrust-Portal anmelden

Öffnen der Internetseite https://portal.fiskaltrust.at, Klick auf 'Portal'
Eingabe der Anmeldeinformation der Apotheke (E-Mail und Passwort) und Klick auf 'Login'

nach erfolgter Anmeldung Klick auf 'Konfiguration'

5a. Seriennummer Zertifikat lokale SEE eintragen/speichern

Klick auf 'Signature Creation Unit'
bei der lokalen SEE (nicht bei der Online-SEE) Klick auf 'Configuration'

Klick auf [Speichern und weiter]

6. DotNetLauncher herunterladen

im Bereich 'Konfiguration – Cashbox' auf 'rebuild configuration' klicken (1)
danach den 'dotnet Launcher' herunterladen (2) und speichern (3)
(Achtung - keinesfalls den Offline Launcher anklicken!)

den Inhalt der heruntergeladenen ZIP-Datei in den zuvor neu erstellten Ordner (z.B.: 'd:\fiskaltrust') entpacken
die Internetseite des fiskaltrust-Portals vorerst geöffnet lassen

Wichtig für Windows 2003 Server:

In der Datei fiskaltrust.exe.config muss man einen kürzeren Pfad für den Servicefolder angeben und die Zertifikatsprüfung ausschalten (falls fiskaltrust.exe.config noch nicht vorhanden ist, 1 Mal test.cmd ausführen und nach Auforderung mit [Enter] beenden)
Details siehe: https://portal.fiskaltrust.at/KBArticle/Show/KBA-01023-T1N7B1

<?xml version="1.0" encoding="utf-8"?>
<configuration>
    <appSettings>
        <add key="cashboxid" value="5c3282f5-19da-4fdd-9879-646b0c5bb969" />
        <add key="accesstoken" value="BMeV31D14URSw1OFh1p3lkM8iostCOdJbh+jORHmeI4pqSAWQ=" />
        <add key="servicefolder" value="D:\fiskaltrust" />
        <add key="sslvalidation" value="False" />
    </appSettings>
</configuration>

7. fiskaltrust-Dienst einrichten und starten

Im Ordner d:\fiskultrust die Datei install-service.cmd als Administrator ausführen
Nach Abschluss der Installation den Dienst fiskaltrust-nnnnnnnn-nnnn…. starten (bzw. neu starten, falls er schon aktiv ist)

wenn der Dienst ordnungsgemäß startet, Abmeldung im fiskaltrust-Portal am Server
Hinweis: Mit der Datei test.cmd kann man das fiskaltrust-service so aufrufen, dass Erfolgs- und Fehlermeldungen angezeigt werden (wird vor allem für die Fehlersuche benötigt).

8. auf einem Taraplatz am fiskaltrust-Portal anmelden

wie zuvor am Server mit dem Zugangsdaten der Apotheke
Klick auf 'Konfiguration' und danach 'CashBox'

9. Zugangsdaten in den AVS-Betriebsdaten eintragen

Unter Verwaltung – Einstellungen – Betriebsdaten Apotheke, im Karteireiter Zugangsdaten das Kontrollelement Sicherheitseintrichtung (fiskaltrust) RKSV entsperren. Das Passwort lautet: 'rksv2017' (1)
Die Zugangsdaten eintragen: URL (Queue): http://[Server-IP]:1200/[Kassenidentifikations-Nr]_[BetriebsNr]
Die Cashbox- ID (3) und das Access-Token (4) befinden sich im Bereich 'Konfiguration – Cashbox' im Fiskaltrustportal.
Hier kann auch noch einmal der Pfad der URL(5) avs_[BetriebsNr] überprüft werden.

Wichtig: Statt 'localhost' ist im AVS unbedingt die tatsächliche Server-Adresse einzutragen!

Nun sollte man erfolgreich die Verbindung testen können. (2)
(bei Fehlermeldung prüfen, ob vor/nach den Werten Blanks vorhanden sind)

10. den Startbeleg erstellen und ausdrucken (dieser muss signiert sein)

Klick auf 'Verkauf – RKSV – Inbetriebnahmebeleg (Startbeleg)'
der Ausdruck des Startbelegs ist verpflichtend

11. auf allen anderen Kassenplätzen AVS beenden und neu starten

pro Kassenplatz jeweils einen signierten Beleg erstellen (kann auch ein Nullbeleg sein)

12. Überprüfung auf nicht signierte Belege

Da das Neustarten aller Taraplätze in der Regel nicht gleichzeitig erfolgen wird, kann es sein, dass nach dem Startbeleg (unter bestimmten Umständen auch schon davor) nicht signierte Geschäftsfälle gespeichert werden. Diese müssen nachsigniert werden.
Zum Nachsignieren den Menüpunkt 'Verkauf - RKSV - Signierung nach Ausfällen' aufrufen und - falls die angezeigte Tabelle nicht leer ist - auf den Ausführen-Button (grüner Haken) klicken.

13. Prüfung, ob die Queue aktiv ist und FON-Meldungen erstellt wurden

Queue: Im Bereich Konfiguration – Queue (1) sollte bei der Queue (z.B. 'avs01' oder 'AVS Basis') nun ein blaues Häkchen zu sehen sein (2)

FON-Meldungen: im Menü unter dem Firmennamen sollte unter 'AT FinanzOnline Meldungen' 2 (Nicht-Sorglos) bzw. 3 (Sorglos) Meldungen und 1 Prüfung (Prüfung des Startbeleges) zu finden sein:

Abmeldung im Fiskaltrust-Portal

14. Apotheker/Benutzer auf 'Hilfe - Anleitungen im Web' hinweisen

RKSV - Sicherheitseinrichtung - Beschreibung (für alle Apotheken relevant)
RKSV - Sicherheitseinrichtung - Zusatzanleitung für Installationen ohne Sorglos-Paket
RKSV - Handbuch Registrierkassen in FinanzOnline und Belegcheck-App (nur für Apotheken ohne Sorglos-Paket relevant)

15. Prüfen, ob mit der lokalen Signaturerstellungseinheit (SEE) signiert wird

Details sind bereits in der Kurzanleitung beschrieben.

Übersicht

Inhaltsverzeichnis