PSD2/ZAG: Starke Kundenauthentifizierung bei Lastschriften
Geschrieben von
BaFin schränkt die Anwendung der starken Kundenauthentifizierung bei Lastschriften ein.
Die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) hat in einem Hinweis für Verbraucher klargestellt, dass Lastschriftzahlungen im Internet in der Regel keine starke Kundenauthentifizierung gem. § 55 Abs.1 Nr. 3 ZAG (Zahlungsdiensteaufsichtsgesetz) voraussetzen. Die BaFin verdeutlicht damit ihre Auslegung einer Stellungnahme der European Banking Authority (EBA), deren Inhalt auch so gedeutet werden konnte, dass eine starke Kundenauthentifizierung erforderlich sei.
Die starke Kundenauthentifizierung (oder auch Zwei-Faktor Authentifizierung) erfordert zum Abschluss einer Transaktion, dass Kunden mindestens zwei von drei Faktoren aus den Kategorien Wissen (z.B. Passwort, PIN oder TAN), Besitz (z.B. Bezahlkarte oder Smartphone) und Inhärenz (z.B. Fingerabdruck oder Stimmerkennung) vorweisen. Der entsprechende § 55 ZAG tritt zum 14. September 2019 als Umsetzung der zweiten Zahlungsdiensterichtlinie (Second Payment Services Directive – PSD2) in Kraft und setzt konkret Artikel 97 PSD2 um. Demnach sind Zahlungsdienstleister zu einer starken Kundenauthentifizierung verpflichtet, wenn der Zahler online auf sein Konto zugreift, einen elektronischen Zahlungsvorgang auslöst oder über einen Fernzugang eine Handlung vornimmt, die das Risiko eines Betrugs im Zahlungsverkehr oder anderen Missbrauchs beinhaltet.
In der Praxis erteilt der Zahler ein Lastschriftmandat nur gegenüber dem Zahlungsempfänger. Der Zahlungsdienstleister des Zahlers (z.B. die Bank oder der Zahlungsauslösedienst) wird so nicht direkt eingebunden. Auch die Zahlungsauslösung erfolgt ohne direkte Verbindung von Zahler und Zahlungsdienstleister, sondern über die entsprechende Aufforderung vom Zahlungsempfänger an den Zahlungsdienstleister. Die direkte Einbindung des Zahlungsdienstleisters durch den Zahler, wodurch eine starke Kundenauthentifizierung erforderlich würde, erfolgt bei einer Lastschrift nur im (in Deutschland) äußerst seltenen Fall des e-Mandats des SEPA-Regelwerks.
Etwa 20 Prozent der Zahlungen im Internet werden per Lastschrift abgewickelt. Es ist mit PayPal-Zahlungen auf Platz 2 der beliebtesten Zahlungsmittel nach dem Kauf auf Rechnung (28 Prozent) und vor Kreditkartenzahlungen (11 Prozent).
Die starke Kundenauthentifizierung (oder auch Zwei-Faktor Authentifizierung) erfordert zum Abschluss einer Transaktion, dass Kunden mindestens zwei von drei Faktoren aus den Kategorien Wissen (z.B. Passwort, PIN oder TAN), Besitz (z.B. Bezahlkarte oder Smartphone) und Inhärenz (z.B. Fingerabdruck oder Stimmerkennung) vorweisen. Der entsprechende § 55 ZAG tritt zum 14. September 2019 als Umsetzung der zweiten Zahlungsdiensterichtlinie (Second Payment Services Directive – PSD2) in Kraft und setzt konkret Artikel 97 PSD2 um. Demnach sind Zahlungsdienstleister zu einer starken Kundenauthentifizierung verpflichtet, wenn der Zahler online auf sein Konto zugreift, einen elektronischen Zahlungsvorgang auslöst oder über einen Fernzugang eine Handlung vornimmt, die das Risiko eines Betrugs im Zahlungsverkehr oder anderen Missbrauchs beinhaltet.
In der Praxis erteilt der Zahler ein Lastschriftmandat nur gegenüber dem Zahlungsempfänger. Der Zahlungsdienstleister des Zahlers (z.B. die Bank oder der Zahlungsauslösedienst) wird so nicht direkt eingebunden. Auch die Zahlungsauslösung erfolgt ohne direkte Verbindung von Zahler und Zahlungsdienstleister, sondern über die entsprechende Aufforderung vom Zahlungsempfänger an den Zahlungsdienstleister. Die direkte Einbindung des Zahlungsdienstleisters durch den Zahler, wodurch eine starke Kundenauthentifizierung erforderlich würde, erfolgt bei einer Lastschrift nur im (in Deutschland) äußerst seltenen Fall des e-Mandats des SEPA-Regelwerks.
Etwa 20 Prozent der Zahlungen im Internet werden per Lastschrift abgewickelt. Es ist mit PayPal-Zahlungen auf Platz 2 der beliebtesten Zahlungsmittel nach dem Kauf auf Rechnung (28 Prozent) und vor Kreditkartenzahlungen (11 Prozent).