Das bringt die PSD2 für den Online-Handel

Die Änderungen durch die Payment Service Directive 2 (PSD2) im Überblick:

Der Online-Handel muss sich auf wichtige Veränderungen einstellen: Für Zahlungen im Internet werden künftig höhere Sicherheitsanforderungen gelten. Was bedeutet das für Händler und Kunden?

Am 14. September endet die ursprüngliche Frist zur Umsetzung der verordneten technischen Standards (RTS) der europäischen PSD2-Richtlinie. Je näher diese Frist rückt, desto häufiger werden die PSD2 und die mit ihr einhergehende Starke Kundenauthentifizierung diskutiert. Gerade bei Online-Händlern herrscht Unsicherheit über die Anforderungen, die für sie gelten werden. Das ist einer der Gründe, weshalb die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) am 21. August verkündet hat, bei Kreditkartenzahlungen vorerst eine unbestimmte Fristverlängerung zu gewähren. Händler und Unternehmen können also erstmal durchatmen, denn sie haben mehr Zeit, sich mit den neuen Regeln vertraut zu machen und sie umzusetzen bzw. die Kunden über die Neuerungen zu informieren.

Mehr Sicherheit für Verbraucher

Die Payment Service Directive 2 (PSD2) ist die zweite EU-Zahlungsdiensterichtlinie und trat bereits Anfang 2018 in Kraft. Sie soll den Online-Handel und das Online-Banking sicherer, innovativer und benutzerfreundlicher gestalten. Infolgedessen soll ab 14. September die RTS-Verordnung umgesetzt werden, die Drittanbieter wie Fintechs und StartUps stärken soll, indem sie mit Zustimmung des Verbrauchers über neu eingerichtete offene Schnittstellen (API) auf dessen Konten zugreifen können. Die Sicherheit soll zudem durch die Einführung der Starken Kundenauthentifizierung (Strong Customer Authentication – SCA) erhöht werden. Die Regeln werden im Europäischen Zahlungsraum (Single European Payments Area, SEPA), also in den EU-Mitgliedstaaten sowie in Island, Norwegen, der Schweiz, Monaco, Andorra, Liechtenstein, San Marino und im Vatikan, gelten.

Neue Zeitrechnung für Online-Zahlungen

Ausgangspunkt der zweiten Zahlungsdiensterichtlinie waren Auseinandersetzungen zwischen Fintechs und Banken. Vor der Regelung war es zu rechtlichen Streitigkeiten zwischen StartUp-Unternehmen und Kreditinstituten gekommen, die die EU auf den Plan riefen. Die Einrichtung von offenen Schnittstellen zwischen Banken und Drittanbietern soll den Wettbewerb erhöhen, in der Hoffnung, dass durch die Marktöffnung europäische Innovationen gefördert werden. Denn bisher werden innovative Technologien und Systeme vor allem von nicht-europäischen Unternehmen entwickelt. Durch die Stärkung von Fintechs will sich die EU besser positionieren und verhindern, von der globalen Konkurrenz abgehängt zu werden. Das öffnet vor allem neuen Anbietern wie Zahlungsauslösediensten und Kontoinformationsdiensten die Tür. Für den Online-Handel bereitet das die Möglichkeit, künftig zwischen zahlreichen neuen Zahlungsanbietern und -arten wählen zu können. Dass die Banken allerdings ihre Kundendaten künftig teilen müssen und die APIs noch nicht so gut, wie von der BaFin gefordert, eingerichtet sind, begeistert sie nur mäßig.

PSD2 Umsetzung in der Praxis:

Kompliziert ist bislang auch noch die Umsetzung der Starken Kundenauthentifizierung, die in der E-Commerce-Branche vor allem für Kreditkartenzahlungen und Online-Überweisungen relevant ist. Künftig müssen die Verbraucher bei einem Kauf im Internet zwei Faktoren aus drei Kategorien angegeben, um eine Zahlung auslösen zu können:

• Besitz: z.B. Kreditkarte, Smartphone, …
• Wissen: z.B. Karten-PIN, Passwort, …
• Inhärenz: z.B. Fingerabdruck, Gesichtserkennung, …

Der Käufer kann dann selbst zwei aus den drei Kategorien wählen und seine Zahlungen in Zukunft beispielsweise mit einmaligen TAN-Codes, die ihm in einer speziellen App zur Verfügung gestellt werden, oder per Fingerabdruck-Scan mit einem Smartphone verifizieren. Für den Kunden wird die Sicherheit damit erhöht, für den Online-Händler reduziert sich das Betrugsrisiko. Es gibt aber auch Ausnahmen: Zahlungen von Kleinstbeträgen oder das Lastschriftverfahren, wie es auch bei PayPal-Zahlungen zum Einsatz kommt, sind von der SCA ausgenommen. Kreditkartenzahlungen sind jedoch voll betroffen, die Branche hat für die reibungslose Abwicklung von SCA das Sicherheitsprotokoll 3-D-Secure 2 entwickelt. Dieses sollte in Online-Shops integriert werden, während sich Verbraucher bei ihren Kreditinstituten für die Starke Authentifizierung via 3-D-Secure 2 registrieren müssen.

Nicht alle Online-Händler sind für die SCA bereit

Und genau hier liegt der Hund begraben: Online-Händler wissen teilweise nicht, welche Anforderungen an sie gestellt werden. Gesetzliche Pflichten gibt es für sie nicht, doch müssen manche die technischen Lösungen zur Umsetzung der SCA durch Updates oder neue Software unterstützen. Wer Payment Service Provider nutzt, sollte in der Regel abgesichert sein, weil diese Anbieter mittlerweile größtenteils PSD2-konforme Lösungen umsetzen, ohne das Händler tätig werden müssen. Auch Banken haben ihre Systeme nach Einschätzung der BaFin ausreichend umgestellt.

Händler, die elektronische Zahlungen in ihren Shops selbst abwickeln und programmieren, könnten allerdings vor Herausforderungen und Problemen stehen. Aber die Informationslage für Online-Händler ist unübersichtlich und mit den zahlreichen Abkürzungen und Fachbegriffen aus der Finanzwelt können gerade kleine und mittelständische Unternehmer nur schwer etwas anfangen. Die Verwirrung ist entsprechend groß.

Das Ende für iTAN-Listen

Die BaFin hat inzwischen auf die Schwierigkeiten bei der Umsetzung der PSD2 reagiert und die Fristen für die Einrichtung der offenen Schnittstellen sowie für die Umstellung auf SCA verlängert – allerdings ausschließlich für Kreditkartenzahlungen. Im Online-Banking und bei Online-Überweisungen gilt weiterhin der 14. September als Frist für die Starke Kundenauthentifizierung. Online-Überweisungen dürfen schon heute nur mit Zwei-Faktor-Authentifizierung durchgeführt werden. Nur sind unter PSD2 ausschließlich „dynamische“ PINs zulässig. Nutzt man also TAN-Codes, müssen diese für jede Nutzung neu und einmalig generiert werden und z.B. per App abgerufen werden. Das bedeutet, dass iTAN-Listen der Vergangenheit angehören.

Durchatmen und Fristverlängerungen nutzen

Auch andere nationalen Aufsichtsbehörden haben die Fristen verlängert, z.B. in Frankreich und in Großbritannien. Doch nicht alle Mitgliedstaaten haben bislang eine Fristverschiebung abgesegnet. Dadurch droht das Worst-Case-Scenario: Eine uneinheitliche Einführung der PSD2-Regeln, die die ganze Idee eines einheitlichen europäischen Zahlungsraums ad absurdum führen würde. Europäische Branchen-Dachverbände wie Ecommerce Europe fordern deshalb in einem gemeinsamen Brief die Europäische Bankenaufsichtsbehörde EBA dazu auf, so schnell wie möglich eine homogene Verlängerung der Frist um 18 Monate durchzusetzen.

Onlinehändler sollten Ihre Zahlungsdienstleister kontaktieren

Bislang ist das allerdings noch nicht passiert, doch es dürfte sehr wahrscheinlich sein, dass die EBA bald tätig wird und eine neue Frist für die SCA bei Kreditkartenzahlungen verkündet. Die Online-Händler sollten die schon jetzt zusätzlich gewonnene Zeit nutzen, um mit den eigenen PSPs (Zahlungsdienstleistern) und Acquirern in Kontakt zu treten. Diese können beraten, erklären und vor allem die individuelle Situation eines Shops abschätzen. 3-D-Secure 2 haben die meisten sowieso schon eingerichtet; wenn nicht, können sie die Händler bei dem Vorgang beraten.

Und noch viel wichtiger: Alle Marktteilnehmer müssen die Verbraucher informieren. Denn wenn die Kunden künftig mit zusätzlichen Klicks und Eingabemasken konfrontiert werden, steigt auch die Wahrscheinlichkeit von Kaufabbrüchen, da die Kunden plötzlich mit zusätzlichen Schritten konfrontiert und überrascht werden.

Der Händlerbund hilft!

Die rechtliche Absicherung ihrer Internetpräsenzen verursacht vielen Online-Händlern einen enormen Mehraufwand. Der Händlerbund steht Ihnen bei juristischen Fragen als kompetenter Partner zur Seite. Wenn Sie sich als Händler jetzt für die umfangreichen Rechtsdienstleistungen des Händlerbundes entscheiden, erhalten Sie mit dem Rabattcode P822#2015 einen Nachlass von 3 Monaten auf das Mitgliedschaftspaket Ihrer Wahl im ersten Jahr. Jetzt informieren!

Über den Autor

Patrick Schwalger ist wirtschaftspolitischer Redakteur beim Händlerbund und hat die wirtschaftspolitischen Entwicklungen rund um den E-Commerce fest im Blick. Auf seinen bisherigen Stationen in Köln, Maastricht und Brüssel war er in die politische Arbeit eines Bundesministeriums, zweier NGOs und innerhalb der EU involviert. Jetzt konzentriert er sich voll auf die Aufbereitung politischer Trends und Zusammenhänge.

Titelbild © Stockwerk-Fotodesign – stock.adobe.com

Beitragsbild © momius – stock.adobe.com

Beitragsbild © Fokussiert – stock.adobe.com