Hintergrund:
Wie wir bereits am 19. Juni 2019 berichteten (https://casis.de/starke-kundenauthentifizierung-bei-lastschriften-im-internet/) tritt am 14. September 2019 § 55 Abs. 1 ZAG (Gesetz über die Beaufsichtigung von Zahlungsdiensten) in Kraft.
Damit verpflichten sich die Zahlungsdienstleister, eine „Starke Kundenauthentifizierung“ durchzuführen, wenn der Zahler einen elektronischen Zahlungsvorgang auslöst. Dies gilt auch bei der Zahlung mit Kreditkarte im Internet, weshalb es nicht mehr ausreicht, dass der Karteninhaber bei der Online-Transaktion Kreditkartennummer, Ablaufdatum und Prüfziffer erfasst. Zusätzlich müssen zur Autorisierung der Zahlung zwei Elemente aus den Kategorien ‚Wissen‘ (z. B. PIN), ‚Besitz‘ (z. B. Mobiltelefon) und ‚Inhärenz‘ (z. B. Fingerabdruck) verwendet werden.
Pressemitteilung der BaFin vom 21. August 2019:
Mit der Pressemitteilung vom 21. August 2019 teilt die BaFin mit, dass ab dem 14. September 2019 Kreditkartenzahlungen online vorerst weiterhin ohne die Starke Kundenauthentifizierung durchgeführt werden dürfen.
Hintergrund für diese Entscheidung ist, dass die BaFin bei den Unternehmen, die Empfänger von Kreditkartenzahlungen sind, noch deutlichen Anpassungsbedarf sieht, der jedoch nicht dazu führen soll, dass Online-Kartenzahlungen der Kunden beeinträchtigt würden.
Die BaFin macht aber zugleich auch deutlich, dass es sich hierbei um eine zeitlich befristete Erleichterung handelt, die gegenüber den Beteiligten mit der Erwartungshaltung verbunden ist, dass diese ihre Infrastrukturen schnellstmöglich anpassen, um den gesetzlichen Anforderungen zu entsprechen. Bezüglich des Ablauftermins dieser Übergangsregelung stimmt sich die BaFin aktuell mit den Markteilnehmern, der Europäische Bankenaufsichtsbehörde (EBA) und den nationalen Aufsichtsbehörden ab.
Handlungsbedarf:
- Prüfen Sie, ob die Anforderung der Starken Kundenauthentifizierung im Rahmen der Kreditkartenprozesse umgesetzt ist.