AUTHENTIFIZIERUNG.
IST ER / SIE ES WIRKLICH?
Nach der Identifikation folgt wegen der besonderen Wichtigkeit bei Zahlungen der Nachweis einer Identität - die Authentifizierung. Im Zahlungsverkehr spielt die Authentifizierung eine wichtige Rolle in der Betrugsprävention. Durch die Authentifizierung wird sichergestellt, dass der Zahler zugriffsberechtigt für das in der Identifikation ermittelte Konto ist.
Wegen der besonderen Bedeutung in der Betrugsprävention ist die Kundenauthentifizierung für den Zahlungsverkehr in der EU gesetzlich geregelt (im Rahmen der PSD2). Damit wurde eine starke Kundenauthentifizierung erstmals verpflichtend. Ebenso wurden statische Verfahren, wie sie vorher genutzt wurden, für nicht ausreichend erklärt.
AUTHENTIFIZIERUNG BEI
Beitrag von Sam Boboev; Auch auf LinkedIn: https://www.linkedin.com/feed/update/urn:li:activity:7248935088824979456/
Konvergenz von Identität und Zahlung
Das Zusammenwachsen von digitaler Identität und Zahlungsprozessen steht seit Jahren im Mittelpunkt des Interesses, wobei ein Gleichgewicht zwischen Komfort und Sicherheit angestrebt wird. Mit der Einführung des Europäischen Rahmens für die digitale Identität ist die Notwendigkeit einer zuverlässigen Identifizierung während der gesamten Customer Journey noch deutlicher geworden.
Erste Formen der Kombination von digitaler Identität und Zahlung gibt es schon seit Jahren, wobei Unternehmen wie Google und Apple mit ihren lokalen Zahlungs-Wallets den Weg geebnet haben. Diese Wallets speichern tokenisierte Kreditkarten und integrieren eine biometrische Autorisierung zur Bestätigung von Transaktionen. Neue Ansätze, wie die Sicherstellung einer delegierten Authentifizierung im Einklang mit der PSD2, erleichtern eine nahtlose Authentifizierung, die es Händlern ermöglicht, Transaktionen effizient zu verarbeiten.
Die Integration von digitaler Identität und Zahlungsnachweisen in einer einzigen Wallet wird von Tech-Giganten als strategischer Schritt zur Verbesserung des Zahlungsökosystems angesehen. Die European Digital Identity Wallet (EUDIW) zeichnet sich durch einen dezentralen, datenschutzorientierten und standardisierten Ansatz aus. Durch den Einsatz von überprüfbaren Berechtigungsnachweisen erhöhen diese Wallets das Vertrauen und ebnen den Weg zu einer sichereren digitalen Landschaft.
In den kommenden Pilotprojekten wird die Relevanz der digitalen Identität in verschiedenen Zahlungskontexten untersucht und möglicherweise auf Initiativen wie den digitalen Euro ausgeweitet. Ob zur Altersüberprüfung, für Zahlungen im Auto oder für künftige Web3-Überprüfungen - die Aussichten für die Integration der digitalen Identität in Zahlungssysteme sind vielversprechend und hängen von der Akzeptanz der Nutzer und Dienstleister ab.
Die Absicht der Europäischen Kommission, digitale Zahlungsmittel mit der EUDIW zu verknüpfen, zielt darauf ab, ein kohärentes und effizientes elektronisches Transaktionsumfeld in der gesamten EU zu schaffen.
Auswirkungen der digitalen Identitätsbörse auf die Banken
Cyber-Security muss in Banken neu gedacht werden. Ihre Bedeutung wurde durch die Corona-Pandemie weiter verstärkt. Die Einführung von EUDIW wird die Digitalisierungsbemühungen unterstützen und den Kunden Komfort, Umweltvorteile und Kosteneinsparungen bieten. Die Banken könnten innerhalb des neuen Ökosystems mehrere Rollen übernehmen:
- Als Emittenten von Wallets würden Banken als vertrauenswürdige Instanzen fungieren, die für Sicherheit und Datenschutz verantwortlich sind - eine Rolle, die im ersten Teil ausführlich behandelt wurde.
- Als User könnten Banken Dienste der Wallet für die Benutzerauthentifizierung oder den Zugriff auf qualifizierte Attribute innerhalb der Wallet nutzen.
- Als Anbieter von Attributen könnten die Banken zur Nutzung der Wallet beitragen und diese mit qualifizierten Daten anreichern.
Außer bei besonderen Ausnahmen ist demnach zur Auslösung einer Zahlung eine starke Authentifizierung mit 2 Faktoren nötig.
Die beiden Faktoren müssen dabei aus zwei unterschiedlichen der folgenden Kategorien gewählt sein
- Wissen (z. B. eine PIN)
- Besitz (z. B. der Besitz einer Zahlungskarte)
- Eigenschaft (Inhärenz; z. B. ein biometrisches Merkmal)
Die Faktoren müssen unabhängig von einenander sein. Wird ein Faktor komprommitiert, darf dies nicht automatisch auch für den anderen gelten. Ebenso muss mindestens eines der Elemente nicht wiederverwendbar oder reproduzierbar sein.
Durch die zentrale Regulierung unterscheiden sich Authentifizierung für Karten- und Kontozahlungen nicht grundsätzlich. Es können die gleichen technischen Medien eingesetzt werden. Insbesondere im eher kontenorientierten Banking Kontinentaleuropas erfolgt die Authentifizierung für Kartenzahlungen nicht selten mit den gleichen Authentifizierungsmedien, die im Online-Banking für Kontozahlungen eingesetzt werden.
TRANSAKTIONS-RISIKO-ANALYSE.
Die Transaktionsrisikoanalyse (TRA) ist eine von insgesamt 6 Ausnahmen, die einen Payment Service Provider (PSP) von der Durchführung einer Secure Customer Authentication (SCA) bei einer Zahlungstransaktion rechtlich entbindet. Die nach einigen Verschiebungen seit 15. März 2021 vollständig für Deutschland (sowie anderen europäischen Staaten) gültige Verpflichtung bei bestimmten kartenbasierten Transaktionen eine SCA durchzuführen, führt zu einer Vielzahl an rechtlich notwendigen Authentifizierungen und damit verbunden zu abgebrochenen Transaktionen im eCommerce.
Die TRA ist eine risikobasierte Ausnahme gemäß der PSD2 / RTS zur Abwicklung einer Zahlungstransaktion ohne SCA.
Mittels einer TRA-Ausnahme kann, unter Einhaltung technischer und organisatorisch-rechtlicher Vorgaben, die SCA entfallen. Nach ersten Erfahrungen zählt die TRA zu den am meisten verwendeten Ausnahmen zur SCA.
Hintergrundinformationen
Neben anderen Zielen sollen durch die Payment Service Directive 2 (PSD2) in Verbindung mit den daraus separierten Regulatory Technical Standards (RTS) die Payer besser vor Missbrauch geschützt werden. Dazu wurde eine SCA-Verpflichtung für Zahlungstransaktionen eingeführt.
Für eine bessere User Experience hat der Gesetzgeber 6 Ausnahmen definiert, bei denen wegen niedrigen Betrugsrisikos von einer SCA abgesehen werden kann. Je nach Höhe des Transaktionsbetrages, bestehen verschiedene Möglichkeiten, eine Transaktion von einer SCA zu entbinden oder diese bei Bedarf gezielt mittels SCA abzusichern.
Eine der komplexesten und weitreichendsten Ausnahmen – in Bezug auf deren zusätzlich zu erfüllenden Anforderungen – stellt die TRA-Ausnahme dar. Die TRA-Ausnahme kann unter Einhaltung bestimmter Voraussetzungen bei Transaktionsbeträgen zwischen 0 und 500 EUR angewendet werden.
Darüber liegende Beträge können nur durch nicht-betragsabhängige Ausnahmen ohne SCA durchgeführt werden. Sowohl der PSP des Payer als auch des Payee sind berechtigt, die TRA-Ausnahme zu nutzen bzw. gegenüber dem anderen Zahlungsdienstleister als Ausnahme - mittels Haftungsübernahme – vorzuschlagen.
Mehr zum Thema Transaktion-Risiko-Analyse.