Am 14. September 2019 sollten eigentlich eine Reihe neuer, von der EU erlassener Sicherheitsmaßnahmen im Zusammenhang mit Kartenzahlungen, die sogenannte SCA (Strong Customer Authentication), in Kraft treten. Die Umsetzung wurde jedoch verschoben, worauf ich gleich noch näher eingehen werde. Es ist dennoch ratsam, sich mit den Vorschriften vertraut zu machen, da sie zu einem späteren Zeitpunkt in Kraft treten werden.
TL;DRDie EU-Vorschriften zur starken Kundenauthentifizierung, die Teil der PSD2-Richtlinie sind, schreiben eine Zwei-Faktor-Authentifizierung für Online-Kartenzahlungen vor und werden erhebliche Auswirkungen darauf haben, wie Unternehmen Reisen buchen und Transaktionen mit Firmenkreditkarten abwickeln. Unternehmen, die für Flug- und Hotelbuchungen im Auftrag ihrer Mitarbeiter auf Kreditkarten zurückgreifen, müssen ihre Zahlungsprozesse überprüfen, da diese Vorschriften letztendlich vollständig in Kraft treten werden.
Die neuen Vorschriften können Unternehmen, die Firmenkreditkarten für Online-Transaktionen (einschließlich der Bezahlung von Flügen und Hotels) nutzen, dazu zwingen, ihre Buchungs- und Zahlungsabläufe anzupassen. Die neuen Sicherheitsmaßnahmen sollen Betrug im Zusammenhang mit Online-Transaktionen verhindern, insbesondere bei Zahlungen mit Firmenkreditkarten. Eine Möglichkeit, dies zu gewährleisten, besteht darin, einen zweiten Identifikationsfaktor bzw. eine Zwei-Faktor-Authentifizierung einzuführen, bei der für jede Transaktion die Eingabe eines PIN-Codes erforderlich ist. Dabei handelt es sich um einen PIN-Code, den nur der Karteninhaber über ein mobiles Gerät abrufen kann. So wird es beispielsweise für Sekretärinnen schwierig sein, Flug- und Hotelbuchungen im Namen anderer vorzunehmen.
SCA ist Teil der EU-Richtlinie PSD2 (überarbeitete Zahlungsdiensterichtlinie), die am Samstag, dem 14. September 2019, in Kraft getreten ist. PSD2 ist eine überarbeitete Richtlinie im Bereich des Zahlungsverkehrs und tritt an die Stelle der PSD1, die bereits 1997 in Kraft getreten war.
In Dänemark haben wir die Richtlinie bereits umgesetzt, da wir zum 1. Januar 2018 das „Zahlungsgesetz“ eingeführt haben. Diese Rechtsvorschriften berücksichtigten die PSD2 und damit auch die SCA. Doch obwohl wir früh dabei waren, stehen wir nun, 20 Monate später, immer noch vor zahlreichen Herausforderungen, um das System zum Laufen zu bringen. Das Problem lässt sich kurz gesagt so zusammenfassen: Die meisten Bank-APIs – also die Software, die für die sichere Integration zwischen Bankensystemen und Anwendungen von Drittanbietern erforderlich ist – sind nicht einfach zu entwickeln. Hinzu kommt, dass voraussichtlich auch Probleme im Zusammenhang mit dem durch die PSD2 ermöglichten Datenaustausch auftreten werden. Aber das wird sich erst mit der Zeit zeigen.
Ziel der PSD2 ist es, die fortschreitende Digitalisierung der Gesellschaft zu „ support “, damit sowohl die Wirtschaft als auch die Verbraucher von neuen financial services profitieren können. Die PSD2 wird Innovation und Entwicklung innerhalb der Fintech-Sektor, in dem Acubiz ansässig ist.
Kein Grund zur Panik. Wir können Parallelen zu der Zeit ziehen, als wir uns auf DSGVO; niemand hat wirklich alle Details und die Auswirkungen verstanden, aber es war wichtig, sich gut vorzubereiten. Damals haben wir uns bei Acubiz darauf vorbereitet, und das tun wir jetzt wieder.
Ein weiterer und wichtiger Grund, nicht in Panik zu geraten, ist, dass die dänische Finanzbehörde, wie bereits erwähnt, am 3. September 2019 beschlossen hat, das Inkrafttreten der SCA-Vorschriften in Dänemark zu verschieben. Das Inkrafttreten wird um 18 Monate verschoben. Mit dieser Entscheidung hat die Finanzbehörde Kartenausstellern, Zahlungsabwicklern und Acquirern sowie Online-Händlern weitere 18 Monate Zeit gegeben, um die Einhaltung der neuen Vorschriften sicherzustellen.
Es gab zahlreiche Bedenken, ob Zahlungen in dänischen Online-Shops nach dem 14. September 2019 abgelehnt würden. Dies wird jedoch nicht der Fall sein. Darüber hinaus wird derzeit diskutiert, ob EU-weit ein einheitlicher Zeitrahmen für die Verschiebung festgelegt werden sollte. Dänemark ist bei weitem nicht das einzige Land, das die Umsetzung der Vorschriften verschieben wird. Ein einheitlicher Zeitrahmen würde zudem verhindern, dass in den einzelnen Ländern unterschiedliche Regelungen gelten, und die Probleme minimieren, die sich daraus möglicherweise ergeben könnten. Aber zurück zu der Frage, was Sie jetzt tun sollten: gar nichts. Für Nutzer von Zahlungskarten bleibt vorerst alles unverändert.
Wenn alles geregelt ist – wie wird die Welt nach der vollständigen Umsetzung der PSD2 aussehen? Abgesehen von der SCA, die wahrscheinlich so gelöst wird, dass Kartenbenutzer mit einer Zwei-Faktor-Identifizierung leben müssen, die sich nicht wesentlich von dem unterscheidet, was wir von NemID kennen, werden wir in Zukunft einen grundlegend veränderten Finanzsektor erleben.
Mit der EU-Richtlinie sind niedrigere Preise für Bank- und financial services zu erwarten. Die Richtlinie wird den Wettbewerb in diesem Sektor ankurbeln. Es ist davon auszugehen, dass sowohl die Bankprodukte, die wir als Verbraucher nutzen, als auch die Zahlungslösungen für Unternehmen kostengünstiger werden.
Sind es nur die Banken, die ihre Preise senken werden? Nein, wahrscheinlich nicht. Die Margen im traditionellen Bankgeschäft werden unter Druck geraten, und das wird durch den Markteintritt neuer Akteure geschehen. Mit der PSD2 ist es möglich, Bankdaten an Dritte weiterzugeben. Ein Dritter kann auf dieser Grundlage und mit Ihrer Zustimmung auf die Finanzdaten Ihres Unternehmens zugreifen, Ihnen Einblicke gewähren und den Markt nach besseren Preisen für verschiedene financial services absuchen. Dies geschieht wahrscheinlich über eine App.
PSD2, der verstärkte Wettbewerb und die neu gewonnene Datenhoheit bedeuten, dass Sie als Verbraucher oder Unternehmensleiter sich darüber im Klaren sein sollten, wem Sie Zugriff auf Ihre Bankdaten gewähren. Es werden viele neue Akteure auf den Markt drängen, darunter auch solche, die Ihre Daten nicht unbedingt in Ihrem besten Interesse behandeln.
Häufig gestellte Fragen
Was versteht man unter einer starken Kundenauthentifizierung und wie wirkt sie sich auf Zahlungen mit Firmenkreditkarten aus?
Die starke Kundenauthentifizierung (SCA) ist eine EU-Sicherheitsmaßnahme, die bei Online-Transaktionen eine Zwei-Faktor-Authentifizierung vorschreibt, einschließlich eines PIN-Codes, den nur der Karteninhaber auf seinem Mobilgerät abrufen kann. Dadurch wird es erschwert, dass eine Person Kartenzahlungen im Namen einer anderen Person tätigt, was sich auf gängige Geschäftspraktiken wie die Buchung von Reisen für Kollegen auswirkt.
Was ist PSD2 und warum ist es für Finanzteams von Bedeutung?
PSD2 ist die überarbeitete Zahlungsdiensterichtlinie der EU, die im September 2019 in Kraft getreten ist. Sie regelt digitale Zahlungsdienste und führt Anforderungen im Bereich Open Banking ein. Für Finanzteams hat dies vor allem unmittelbare Auswirkungen durch die SCA, die die Authentifizierung von Firmenkartentransaktionen verändert, insbesondere bei Online-Käufen.
Können Sekretärinnen oder Reisemanager unter den SCA-Bestimmungen weiterhin Flüge und Hotels mit Firmenkreditkarten buchen?
Unter vollständiger SCA-Durchsetzung ist dies nicht ohne Weiteres möglich. Da die neuen Vorschriften einen PIN-Code vorschreiben, auf den nur der Karteninhaber über sein eigenes Mobilgerät Zugriff hat, wird die zentralisierte Buchung im Namen anderer problematisch. Unternehmen müssen möglicherweise ihre Reisebuchungsprozesse umstrukturieren oder Zahlungslösungen einführen, die speziell auf Unternehmensanwendungen zugeschnitten sind.
Warum hat sich die Umsetzung des SCA verzögert und wann wird es vollständig in Kraft treten?
Die Umsetzung hat sich vor allem deshalb verzögert, weil die APIs der meisten Banken, die für die support Integration zwischen Bankensystemen und Anwendungen von Drittanbietern erforderlich sind, technisch komplex zu entwickeln sind. Zudem hat sich die einheitliche Umsetzung der von der PSD2 geforderten Datenaustauschstandards im gesamten EU-Bankensektor als schwierig erwiesen.