1.
Endspurt PSD2
Was sich ab September 2019 alles ändern wird
Pressegespräch
Berlin, 3. Juni 2019

2.
©BundesverbanddeutscherBankene.V.
Die Umsetzung der PSD2 befindet sich auf der Zielgeraden …
2
01/16
Direktive
2015/2366
„PSD2“ tritt in
Kraft
01/18
Abschluss
Umsetzung in
nationales
Recht ZAG/BGB
03/18
Veröffentlichung
Technische
Regulierungs-
standards (RTS)
09/19
RTS treten in
Kraft

3.
©BundesverbanddeutscherBankene.V.
1 Kontoschnittstelle für Drittdienstleister
Starke Kundenauthentifizierung2
3
… aber was bedeutet sie eigentlich für Kunden, Banken und
Drittdienstleister?

4.
©BundesverbanddeutscherBankene.V.
Kontoschnittstelle für Drittdienstleister1
4

5.
©BundesverbanddeutscherBankene.V.
5
Kontoinformationsdienst
Zahlungsauslösedienst
Kartenherausgebender Dienst
Welche Arten von Drittdienstleistern gibt es?

6.
©BundesverbanddeutscherBankene.V.
6
 Kreditinstitute müssen Schnittstellen bereitstellen,
über die Drittdienstleister im Auftrag des Kunden auf ihre
Zahlungsverkehrskonten zugreifen können.
 Bankkunden können Drittdienstleister explizit damit
beauftragen, Zahlungen vorzunehmen oder
Kontoinformationen abzurufen (beispielsweise für die
Finanzplanung).
 Hierfür nutzen Kunden ihre gewohnten Online-Banking-
Zugangsdaten.
 Die meisten dieser Services bestehen schon heute, waren
bislang jedoch ungeregelt. Dienstleister unterliegen nun
der Bankenaufsicht.
Welche Anforderungen an die Schnittstelle gibt es?

7.
©BundesverbanddeutscherBankene.V.
14.06.1914.03.19 14.09.19
Sandbox
Testing Go Live
Vorgezogener
Produktions-
betrieb
7
Wo befinden wir uns derzeit bei der Umsetzung?

8.
©BundesverbanddeutscherBankene.V.
8
Fazit zur Kontoschnittstelle für Drittdienste:
 Positiv: Es gibt nun einheitliche rechtliche und technische
Regeln für den Online-Zugriff von Drittdienstleistern.
 Banken ermöglichen Kunden einen sicheren, transparenten und
schnellen Zugang für Drittdienstleister auf ihr Konto.
 Niemand erhält ohne Zustimmung des Kunden Zugriff aufs
Konto (Kunde entscheidet selbst, wem er Zugang ermöglicht).
 Transparenz: Kunde sieht, auf welche Daten zugegriffen wird.
 Drittdienste müssen von BaFin zugelassen und zertifiziert sein.
 Banken fördern Innovationen im Finanzsektor und nutzen
Chancen für neue Angebote.

9.
©BundesverbanddeutscherBankene.V.
Starke Kundenauthentifizierung
 Beim Online-Banking
 Bei Kartenzahlungen
2
9

10.
©BundesverbanddeutscherBankene.V.
10
Wissen
(z. B. PIN)
Besitz
(z. B. SIM-Karte,
Karten-Chip)
Biometrie
(z. B. Fingerabdruck)
Authentifizierungscode
(z.B.TAN,Signatur)
AuthentifizierungaufGrundlagevon
min.zweiunabhängigenElementen
Was bedeutet die Starke Kundenauthentifizierung?

11.
©BundesverbanddeutscherBankene.V.
11
 Kunden müssen zukünftig auch beim Login oder Zugriff
auf sensible Daten eine 2-Faktor-Authentifizierung
nutzen.
 Bei Überweisungen oder Kartenzahlungen sind nur
noch dynamische Verfahren zulässig: Für das Online-
Banking muss die statische iTAN-Liste bis September
ersetzt werden.
 Zugleich existieren Ausnahmen von der Starken
Kundenauthentifizierung: etwa bei Kleinbeträgen oder
kontaktlosen Zahlungen. Diese sind jedoch optional.
Welche Anforderungen gibt es an die Starke Kundenauthentifizierung?

12.
©BundesverbanddeutscherBankene.V.
Online-Zugriff
auf das Konto
 „Log-In“
 Finanz- und Umsatzübersicht
 Kontorundruf (per HBCI)
Auslösung einer
elektronischen
Zahlung
 Online-Überweisung, Daueraufträge,
Terminüberweisung
 hier: iTAN nicht mehr zulässig
Online-Zugriff
auf sensible
Daten
 Kontoverwaltung
 Elektronisches Postfach
12
Welche Veränderungen gibt es im Onlinebanking?

13.
©BundesverbanddeutscherBankene.V.
 2 Faktoren aus den
Bereichen
Wissen/Sein/Besitz
 Diese müssen aus
unterschiedlichen
Bereichen kommen
 Transaktionsbindung
Anforderungen
Anpassung
ChipprofilePOS
13
Was ändert sich bei der Kartenzahlung am POS?

14.
©BundesverbanddeutscherBankene.V.
eCommerce
 2 Faktoren aus den
Bereichen
Wissen/Sein/Besitz
 Diese müssen aus
unterschiedlichen
Bereichen kommen
 Transaktionsbindung
Anforderungen
14
Was ändert sich bei der Kartenzahlung im Internet?
Anpassung
3D Secure

15.
©BundesverbanddeutscherBankene.V.
Art.
11
 Maximal 50 Euro pro Transaktion
 5 Transaktionen oder
 150 Euro
Kontaktloses
Bezahlen
Art.
16
 Maximal 30 Euro pro Transaktion
 Insgesamt 100 Euro oder
 5 Transaktionen
Kleinbetrags-
zahlungen
Art.
14
 Banken können eine Liste anbieten, in der Kunden
vertrauenswürdige Empfänger eintragen können
 Die Listung eines Händlers muss mit starker
Kundenauthentifizierung erfolgen
Vertrauens-
würdige
Empfänger
15
Welche Ausnahmen von der Starken Kundenauthentifizierung
gibt es beispielsweise?

16.
©BundesverbanddeutscherBankene.V.
16
 Kreditkartenzahlungen mit Unterschrift
 Zahlungen per Brief oder über das Telefon
 vom Händler ausgelöste wiederkehrende
Zahlungen (z. B. Abonnements)
 Einsatz der Karte in Nicht-EWR-Land oder
Karteninhaber stammt nicht aus EWR-Land
Und welche Kartenzahlungen sind grundsätzlich nicht
betroffen?

17.
©BundesverbanddeutscherBankene.V.
Anpassung der Bedingungen an
die technischen Vorgaben der RTS
seit Mai: Unterrichtung der Kunden
über die Bedingungs-Änderungen
ab 14. September: Wirksamwerden
der Bedingungs-Änderungen
StarkeKundenauthentifizierung
SorgfaltspflichtenbeiderPSD2-
Schnittstelle
17
Welche vertragsrechtlichen Anpassungen gibt es für die
Kunden?

18.
©BundesverbanddeutscherBankene.V.
18
 Banken bieten ihren Kunden bereits sichere, moderne und
benutzerfreundliche Verfahren zur Authentifizierung.
 Durch die Umsetzung der Starken Kundenauthentifizierung beim
Onlinebanking sollen Risiken (z.B. durch Phishing-Angriffe) weiter
minimiert werden.
 Banken leiten Kunden Schritt für Schritt in alternative TAN-
Verfahren.
 Sicherheit und Komfort: Gesetzliche Vorgaben ermöglichen einige
Ausnahmen, die die Banken für ihre Kunden nutzen können.
 Bei Kreditkartenzahlungen im Internet müssen Handel und
Kreditkartenausgeber entsprechend der neuen Anforderungen ihre
Zahlungsverfahren anpassen.
Fazit: Starke Kundenauthentifizierung

19.
©BundesverbanddeutscherBankene.V.
Autor:
E-Mail:
Vielen Dank für Ihre Aufmerksamkeit
Bundesverband deutscher Banken
Matthias Lange, Fabian Schuster
matthias.lange@bdb.de, fabian.schuster@bdb.de