Das ePI-Protokoll hinter eps — XML-Nachrichten, STUZZA-Hub, Casino-Workflow
Available in USWer eps in der Tiefe verstehen will, muss bei ePI ansetzen — der eps-Protokoll-Initiative, die das XML-basierte Nachrichten-Modell zwischen Casino-Backend, STUZZA-Hub und Hausbank definiert. Aus Spieler-Sicht ist ePI unsichtbar, aus Operator-Sicht ist es das Rückgrat, das jede Buchung trägt.
In sechs Jahren Beobachtung habe ich oft erlebt, wie Operatoren mit der Spezifikation ringen, weil sie auf XML-Strukturen setzt, die heute weniger gebräuchlich sind als REST-JSON. Trotzdem läuft ePI seit 2001 stabil, kontinuierlich weiterentwickelt, mit klar versionierten Schemas. Dieser Leitfaden zeigt, was darin steht und warum es funktioniert.
XML-Architektur — warum nicht REST oder JSON
ePI nutzt XML-Nachrichten nach einem definierten Schema. Jede Initiierung sendet ein TransferInitiatorDetails-Element, das Empfänger-Daten (STUZZA-Hub), Betrag, Verwendungszweck und einen vom Casino vergebenen RemittanceIdentifier enthält. Die Antwort ist ein BankConfirmationDetails-Element mit Status, Zeitstempel und einer Bank-eigenen Referenz.
Warum XML statt REST? Historisch: 2001, als eps spezifiziert wurde, war XML der Standard für strukturierte B2B-Nachrichten zwischen Finanzinstituten. Pragmatisch: XML erlaubt Schema-Validierung mit XSD, was bei Bank-Schnittstellen üblich ist; jede Nachricht kann vor Verarbeitung gegen das Schema geprüft werden, fehlerhafte Nachrichten werden früh abgelehnt. Strukturell: XML ist mächtiger in der Beschreibung komplexer Hierarchien, was bei multi-leg Banking-Operationen Vorteile hat.
REST-JSON-Wrapper existieren auf der Operator-Seite — die meisten Casino-Backends sprechen REST mit ihrem Payment-Provider, der wiederum die XML-Nachrichten an STUZZA übersetzt. Damit ist ePI für moderne Casino-Backends nicht direkt sichtbar; sie sehen eine REST-Abstraktionsschicht. Im Hintergrund läuft trotzdem das XML-Protokoll.
Die Rolle der STUZZA als zentraler Hub
STUZZA ist die Studiengesellschaft für Zusammenarbeit im Zahlungsverkehr, eine Gemeinschaftseinrichtung der österreichischen Banken seit 2001. Ihre zentrale Aufgabe: Betrieb des eps-Hubs, der die Nachrichten zwischen Casino-Backends und Bank-Backends vermittelt. Ohne diesen Hub müsste jeder Casino-Operator mit jeder Bank separat integrieren — bei zehn Banken in Österreich wären das zehn Schnittstellen pro Operator, hunderte Schnittstellen insgesamt.
Stattdessen läuft alles über einen Punkt. Der Operator spricht mit STUZZA, STUZZA spricht mit allen angeschlossenen Banken. Für die Banken ist es ähnlich: Sie sprechen mit STUZZA, STUZZA spricht mit allen angeschlossenen Operatoren. Mehr als 80 Prozent der österreichischen E-Commerce-Shops sind direkt oder indirekt über diesen Hub angebunden — eine Reichweite, die ohne zentrale Vermittlung nicht möglich wäre.
STUZZA selbst sieht den Buchungs-Inhalt nur in dem Maße, wie es für Routing und Garantie nötig ist. Persönliche Login-Daten passieren STUZZA nie — die liegen ausschließlich zwischen Spieler und Bank-Frontend. Diese Trennung ist regulatorisch wichtig und macht eps zu einer datenschutz-freundlichen Architektur.
Der Transaktions-Lebenszyklus in ePI
Phase eins: Initiierung. Das Casino-Backend ruft den eps-Endpoint auf, sendet ein TransferInitiatorDetails mit Spieler-IBAN, Betrag und Verwendungszweck. STUZZA validiert die Struktur, leitet an die im IBAN angegebene Hausbank weiter.
Phase zwei: Bank-Verarbeitung. Die Hausbank empfängt die Anfrage, präsentiert dem Spieler die Login-Maske, holt Bestätigung über pushTAN oder cardTAN ein. Bei erfolgreicher Bestätigung sendet die Bank ein BankConfirmationDetails zurück an STUZZA.
Phase drei: Hub-Weiterleitung. STUZZA empfängt die Bestätigung, leitet sie weiter an das Casino-Backend, das die Buchung dem Spieler gutschreibt. Parallel läuft auf der finanziellen Schicht die SEPA-Überweisung zwischen Hausbank und Casino-Bankkonto — typischerweise im Hintergrund über den nächsten SEPA-Verrechnungszyklus.
Phase vier: Garantie-Verbuchung. STUZZA überwacht die SEPA-Endabrechnung. Bei der eps-Spezifikation gibt es eine Zahlungsgarantie bis 10 000 Euro pro Initiierung — eine Bestätigung der Bank ist für den Casino-Operator finanziell verbindlich. Diese Garantie ist der Grund, warum eps für Operatoren attraktiv ist; sie eliminiert das Risiko einer späteren Rückbuchung.
Dieser ganze Lebenszyklus läuft typischerweise in 30 bis 60 Sekunden für den Spieler, mit einigen weiteren Stunden im Hintergrund für die SEPA-Endabrechnung — die für den Spieler aber unsichtbar bleibt.
Spezifikation und Versionierung
ePI ist versioniert. Die Spezifikation wurde mehrfach überarbeitet, vor allem 2014 für die giropay-Interoperabilität und 2019 für die PSD2-SCA-Anpassung. Jede Version definiert ein XSD-Schema, das alle teilnehmenden Banken und Operatoren implementieren. Die aktuelle produktive Version ist heute mehrere Generationen weiter als die Ursprungsspezifikation von 2001.
Was die Versionierung praktisch bedeutet: Operatoren müssen mit Bank-Releases mitgehen. Wer auf einer alten Version festsitzt, riskiert Inkompatibilitäten bei bestimmten Banken. STUZZA gibt Übergangsfristen vor, in denen mehrere Versionen parallel laufen — typischerweise sechs bis zwölf Monate.
Für Spieler ist das alles unsichtbar. Sie sehen nur das Casino-Frontend, dahinter läuft die Versions-Verhandlung zwischen Operator und STUZZA automatisch.
Zukunfts-Perspektive — ePI im EU-Kontext
Mit dem Aufkommen pan-europäischer Initiativen (EPI, Wero, SEPA Instant) stellt sich die Frage, wie lange ein nationales XML-basiertes Protokoll wie ePI relevant bleibt. Die kurze Antwort: noch lange. ePI funktioniert, ist verlässlich, hat seine STUZZA-Garantie-Mechanik und ist im österreichischen Markt fest verankert.
Was wahrscheinlich passiert: ePI wird parallel zu Wero und Co. weiterlaufen, mit langsamer Migrations-Bewegung zu modernerer REST-API-basierter Architektur. Die jüngsten Spezifikations-Updates gehen in diese Richtung — STUZZA bietet zunehmend REST-Wrapper an, hinter denen das alte XML-Protokoll weiter läuft, aber für Operatoren bequemer wird. Wer die Cross-Border-Variante als Vergleich sehen will, findet die eps-giropay-Interoperabilität-Geschichte in derselben Reihe.
Ein technischer Blick auf das, was ePI besonders robust macht: Das Protokoll ist idempotent. Eine zweimal gesendete Initiierung mit derselben Referenz-ID wird vom Hub als Duplikat erkannt und nicht doppelt verarbeitet. Diese Eigenschaft ist im Banking-Kontext essenziell, weil Netzwerk-Glitches und Timeouts auf Operator-Seite zu Wiederholungs-Sendungen führen können — ohne Idempotenz würden Spieler-Konten mehrfach belastet, was den ganzen Mechanismus untergraben würde. STUZZA hat diese Eigenschaft tief in der Spezifikation verankert.
Ein weiteres Detail aus der Operator-Praxis: Das ePI-Protokoll unterstützt eine Zwei-Schritt-Konfiguration für besonders sicherheitskritische Buchungen. Der Operator kann beim Initiierungs-Schritt eine „TransactionOkURL“ und eine „TransactionNokURL“ angeben — Adressen, an die STUZZA die Erfolgs- oder Misserfolgs-Bestätigung übermittelt. Diese Trennung verhindert eine Reihe von Manipulationsversuchen, bei denen Angreifer die Bestätigung in eine falsche Casino-Sitzung lenken wollten. Aus Spieler-Sicht ist all das unsichtbar; aus Operator-Sicht ist es eine schlanke, aber wirksame Sicherheits-Schicht.
Eine abschließende historische Notiz: Die XML-Wahl von 2001 wirkt heute wie eine bewährte, aber altmodische Entscheidung. In Wahrheit ist sie der Grund, warum ePI über 25 Jahre weitgehend rückwärts-kompatibel geblieben ist. Eine REST-Umstellung wäre attraktiv für moderne Operatoren, würde aber alle bestehenden Bank-Integrations-Layer neu zu schreiben verlangen. STUZZA hat den pragmatischen Weg gewählt: XML im Kern, REST als optionale Außen-Schicht. Das ist Architekturdisziplin, die im schnellen IT-Markt selten ist.
Wer betreibt den ePI-Hub heute technisch — STUZZA selbst oder ein IT-Dienstleister?
STUZZA betreibt den eps-Hub als Gemeinschaftseinrichtung der österreichischen Banken. Technisch laufen die Operations auf einer hochverfügbaren Infrastruktur, die kontinuierlich weiterentwickelt wird. Operatoren und Banken interagieren ausschließlich mit der STUZZA-Schnittstelle.
Wie werden ePI-Spezifikations-Versionen für Casino-Backends aktualisiert?
STUZZA gibt Spezifikations-Updates an die Mitglieder weiter, mit Übergangsfristen von typischerweise sechs bis zwölf Monaten. Casino-Operatoren bekommen Updates über ihren Payment-Provider und müssen die Implementierung entsprechend anpassen, bevor die Frist abläuft.
Welche Informationen einer eps-Casino-Buchung sieht STUZZA tatsächlich?
STUZZA sieht die Buchungs-Metadaten — Spieler-IBAN, Betrag, Empfänger-Casino, Zeitstempel, Verwendungszweck. Login-Daten und persönliche Bankkontodetails passieren STUZZA nie. Die Trennung zwischen Daten- und Routing-Schicht ist eine zentrale Architektur-Eigenschaft.
Geschrieben von der Redaktion „Casino eps”.
