Kundenauthentifizierung im Onlinehandel: Neue Richtlinien für 2019

Ab September 2019 treten für den (Online-)Handel neue technische Regulierungsstandards der Europäischen Bankenaufsicht in Kraft. Die Richtlinien sind verpflichtend und sollen die Sicherheit von Online-Transaktionen und Kunden-Accounts erhöhen.

Wenn man den Zahlen der Europäischen Zentralbank (EZB) glauben schenken darf, dann sind kriminelle Transaktionen mit Debit- und Kreditkarten rückläufig. Das soll aber nicht heißen, dass nicht nach wie vor rechtswidrig über Online-Transaktionen betrogen wird. Laut EZB gingen im Jahr 2016 fast drei Viertel (73 Prozent) der illegalen Transaktionen auf diesen Kanal zurück.

Am 14. September 2019 tritt nun eine neue Verordnung der Europäischen Bankenaufsicht in Kraft. Die Richtlinie setzt neue technische Regulierungsstandards und nimmt unter anderem die Forderung nach einer stärkeren Kundenauthentifizierung auf. Als Folge müssen dann bis auf vom Gesetzgeber definierte Ausnahmen alle von der Regulierung erfassten Zahlungssysteme mit einer Zwei-Faktor-Authentifizierung erfasst werden.

Neue Regulierungsstandards zur Kundenauthentifizierung versprechen mehr Sicherheit

Kartenherausgeber müssen gewährleisten, dass zwei von drei Sicherheitsstandards abgefragt werden. Neben dem Besitz einer Karte oder des Smartphone können auch Wissen (zum Beispiel durch die Eingabe eines PINs) oder biometrische Daten wie Fingerabdruck oder Gesichtserkennung zur Legitimation verknüpft werden. Um eine Transaktion zu authentifizieren, muss also ein physischer Gegenstand (Debit- oder Kreditkarte, Smartphone) mit einer einmaligen PIN beziehungsweise mit einem einmal gültigen Passwort oder dem Fingerabdruck kombiniert werden. Statische Kennungen werden nicht mehr ausreichen – zumindest nicht in Europa.

Die neuen regulatorischen Anordnungen versprechen mehr Sicherheit und eine einfache Handhabung. Für Onlinekäufe via Kartenzahlung galt bislang und seit vielen Jahren das 3-D Secure-Verfahren als »State of the Art«. Dies ist mittlerweile jedoch technisch überholt und entspricht nicht in Gänze den neuen Standards der Europäischen Union.