PSD2

Am 13. Januar 2018 sind aufgrund europäischer Vorgaben mit der "Payment Services Directive2" (PSD2) bzw. dem "Gesetz zur Umsetzung der zweiten Zahlungsdiensterichtlinie" neue gesetzliche Bestimmungen für die Erbringung von Zahlungsdiensten in Kraft getreten. Kontoführende Zahlungsdienstleister, zu denen auch die Volksbanken und Raiffeisenbanken zählen, müssen seit dem 14. September 2019 Drittanbietern einen Zugang zu den Konten ihrer Kunden zur Verfügung stellen – vorausgesetzt, die Kunden haben ihnen dafür eine Erlaubnis erteilt. Zuvor waren die Daten der Bankkunden durch das Bankgeheimnis grundsätzlich geschützt. Jetzt kann der Kunde aber im Sinne seiner eigenen Daten-Souveränität selbst entscheiden, ob er die Daten bzw. seine PIN an Drittdienste weitergeben möchte. Ihre Erlaubnis vorausgesetzt, erfolgt dann der Zugriff dieser Drittdienste über eine technische Schnittstelle Ihrer VR Bank Heilbronn Schwäbisch Hall eG. Mit dieser Schnittstelle werden natürlich die hohen Sicherheitsstandards weiterhin gewahrt.

Nein, ein Drittanbieter kann grundsätzlich nur mit Ihrer vorherigen Zustimmung auf Ihre Kontodaten zugreifen. In unserem OnlineBanking steht Ihnen eine entsprechende Zugriffsverwaltung zur Verfügung, mit der Sie beispielsweise auch Drittanbietern Zugriffsberechtigungen wieder entziehen können.

Sie können Ihre VR Bank Heilbronn Schwäbisch Hall eG damit beauftragen, die von ihr für alle Kunden eingerichteten Ausnahmen von der starken Kundenauthentifizierung individuell für Sie zurückzunehmen. D. h. die Sicherheitsanforderungen werden damit verschärft. Beispiel: Bietet Ihre VR Bank Heilbronn Schwäbisch Hall eG die TAN-lose Ausführung einer Kleinbetragszahlung im OnlineBanking an, so können Sie diese nur zurücknehmen lassen. Sie müssen dann bei jeder Zahlung eine TAN eingeben. Bitte nehmen Sie zur Änderung Kontakt mit Ihrer Bank auf.

Die PSD 2 erlaubt der Bank, Ausnahmenregelungen von der starken Kundenauthentifizierung zuzulassen. In diesen Fällen müssen Sie die TAN zur starken Kundenauthentifizierung nur alle 90 Tage eingeben. Ihre VR Bank Heilbronn Schwäbisch Hall eG nutzt diese Ausnahmeregelung. Sie wurden das erst Mal Mitte Dezember 2019 beim Log-in im OnlineBanking dazu aufgefordert, sich mit Ihrem VR-NetKey und Ihrem Kennwort bzw. Ihrer PIN sowie einer TAN zu legitimieren.

Drittanbieter nutzen eine sogenannte Schnittstelle, um auf Ihr Konto zuzugreifen. Aktuell nutzen viele dafür die technische Lösung FinTS oder Web-Banking. Beide Lösungen sind übergangsweise erlaubt, dürfen aber mittelfristig nicht mehr verwendet werden. Sie werden durch eine neue technische Lösung mit dem Namen XS2A ersetzt. Das hat die deutsche Bankenaufsicht so festgelegt. Die Zugriffsverwaltung im OnlineBanking ist bereits auf XS2A ausgerichtet. Wenn ein Drittanbieter also XS2A nutzt, sehen Sie dessen Zugriffe auf Ihr Konto auch in der Zugriffsverwaltung. Wenn ein Drittanbieter FinTS oder Web-Banking verwendet, sehen Sie dessen Zugriffe nicht in der Zugriffsverwaltung.

Gemäß PSD2 darf die maximale Zeitspanne ohne Aktivität (Session-Timeout) im OnlineBanking nicht mehr als fünf Minuten betragen. Wir haben diese Vorgabe umgesetzt. Bitte beachten Sie, dass zur Verlängerung der Session eine Bewegung der Mouse oder Ähnliches nicht ausreicht. Es ist eine Transaktion erforderlich, die den Online-Banking-Server anspricht. Dabei handelt es sich beispielsweise um den Abruf von Umsatzdaten oder den Aufruf der TAN-Verwaltung bzw. der Zugriffsverwaltung.

2-Faktor-Authentifizierung

Erläuterung der starken Kundenauthentifizierung

Mit der PSD2 werden die Anforderungen an die Authentifizierung der Kunden bei Zahlungen verschärft. Authentifizierung bedeutet, dass nicht nur Sie als Auftraggeber identifiziert werden, sondern dass auch die inhaltliche Richtigkeit Ihrer Willenserklärung geprüft wird. 2-Faktor-Authentifizierung bzw. starke Kundenauthentifizierung bedeutet, dass Sie sich mit zwei von drei möglichen Faktoren "ausweisen" müssen:

• "Wissenselemente": etwas, das nur Sie wissen, wie zum Beispiel eine PIN,
• "Besitzelemente": etwas, das nur Sie besitzen, wie zum Beispiel Ihre girocard (Debitkarte) mit TAN-Generator oder ein Mobiltelefon, an das eine TAN übermittelt wird, oder
• ein "Seinselement" ("Inhärenz"), also etwas, das nur Sie sind, wie zum Beispiel Ihr Fingerabdruck als biometrisches Merkmal.

Die 2-Faktor-Authentifizierung wird in der Regel angewendet bei¹:

• Login zum Online-Banking,
• einer Zahlung (gilt nicht für Lastschriften),
• einer Aktion, die zu einem Risiko führen kann, wie zum Beispiel eine Adressänderung,
• Zahlungen mit Ihrer Debit- oder Kreditkarte von Mastercard®/Visa beim Online-Einkauf und im Geschäft,
• weiteren Produkten der Genossenschaftlichen FinanzGruppe, zum Beispiel giropay.

Sicherheit durch die starke Kundenauthentifizierung

Wenn Sie eine Zahlung über das Online-Banking ausführen, nutzen Sie die mit Ihrer VR Bank Heilbronn Schwäbisch Hall eG vereinbarten Authentifizierungselemente, wie zum Beispiel Online-PIN und -TAN. So können wir feststellen, dass tatsächlich Sie diese Vorgänge berechtigterweise veranlasst haben. Die PSD2 erkennt diese Authentifizierungsverfahren an und regelt diese nunmehr gesetzlich. In der Regel wird bei jeder Transaktion eine starke Kundenauthentifizierung erfolgen. Authentifizierungselemente aus den Kategorien Wissen, Besitz und Sein müssen eingesetzt werden, beispielsweise eine PIN als Wissenselement oder ein Mobiltelefon als Besitzelement, an das eine TAN übermittelt wird. Wie schon bisher werden Sie beim Zugriff auf Kontoinformationen in der Regel zwei Authentifizierungselemente einsetzen: Online-PIN und -TAN. Bei Kreditkartenzahlungen im Internet werden mit der PSD2 die sicheren Bezahlverfahren Mastercard® Identity Check™ oder Visa Secure verpflichtend.

Ausnahmen von der starken Kundenauthentifizierung

Gemäß PSD2 besteht die Möglichkeit, in bestimmten Fällen den Einsatz nur eines Authentifizierungselements anzufordern. Die zweifache Absicherung durch eine starke Kundenauthentifizierung ist nicht nötig, wenn:

• Sie Zahlungen an sich selbst im selben Bankinstitut vornehmen³,
• zum Beispiel mit Kwitt Kleinstbeträge bis 30 Euro elektronisch bezahlt werden³,
• Zahlungen an unbeaufsichtigten Terminals vorgenommen werden,
• es um kontaktlose Kleinbetragszahlungen geht.