Bezahlen im Web: Was ändert sich durch die Zwei-Faktor-Authentifizierung?

Ab September 2019 tritt die neue EU-Zahlungsdiensterichtlinie PSD2 in Kraft. Händler sollten sich jetzt informieren, was sich durch die neue Regelung ändert.

Wozu dient die Zwei-Faktor-Authentifizierung?

Durch die Zwei-Faktor-Authentifizierung soll gewährleistet werden, dass Verbraucher zweifelsfrei identifiziert werden können, bevor eine Zahlung ausgelöst wird. Dadurch soll Betrug verhindert werden.

Wie läuft eine Zwei-Faktor-Authentifizierung ab?

Um einen Kaufvorgang abzuschließen, müssen bei der Zwei-Faktor-Authentifizierung zwei von drei Elementen aus den Kategorien Wissen (z.B. Passwörter, PIN-Codes, Mädchenname der Mutter…), Besitz (z.B. Smartphones, Tablets, Smartwatches…) und Inhärenz (z.B. Fingerabdruck, Face-ID, Stimmerkennung…) in den Kaufvorgang eingebunden werden.

Um eine Zahlung freigeben zu können, müssen also beispielsweise ein Passwort mit einem Fingerabdruck oder eine Einmal-TAN mit einem Smartphone gekoppelt werden.

Welche Zahlarten sind betroffen?

Nach den Vorgaben der PSD2 müssen die Transaktionen nicht bei allen Bezahlverfahren durch einen zweiten Faktor gesichert werden.

Kreditkartenzahlungen müssen in Zukunft beim Online-Shopping immer mit einem zweiten Faktor abgesichert werden. Bei Bezahlarten wie Rechnungskauf, Sofortüberweisung und Giropay hingegen greifen die Sicherungsmechanismen des Online-Bankings, die über die PIN -Anmeldung hinaus bereits standardmäßig mit einmaligen TANs für einen zweiten Faktor sorgen. Die PIN ist hier “etwas, das nur der Nutzer weiß” und die TAN, die der Nutzer auf seinem Handy empfängt, “etwas, das nur der Kunde besitzt”. Lastschriftverfahren stellen eine Ausnahme dar, da die Zahlung in diesem Fall nicht vom Online-Shopper selbst, sondern von dessen Gläubiger, in diesem Fall dem Shop Betreiber, angestoßen wird. Bei Paypal, Amazon Pay, Paydirekt und Klarna kommt es darauf an, welche Zahlart der Kunde hinterlegt hat. Wird die Zahlung per Lastschrift abgewickelt, ist auch hier keine Authentifizierung nötig, bei einer Kreditkartenzahlung hingegen schon. Google Pay und Apple Pay verwenden bereits heute eine Zwei-Faktor-Authentifizierung.

Übersicht: Auswirkungen der EU-Zahlungsdiensterichtlinie PSD2

Was muss ich als Online-Händler tun?

Die gute Nachricht für Online-Händler: Prinzipiell sind die Zahlungsdienstleister dafür verantwortlich, dass die Vorgaben eingehalten werden. Online-Händler sollten jedoch darauf achten, wann und in welcher Form die Zahlungsdienstleister die Vorgaben tatsächlich umsetzen. Eventuell müssen außerdem die Systeme an einigen Stellen angepasst werden.

Quelle: Internet World Business, Ausgabe 13/19