Was ist die Zahlungsdiensterichtlinie 2? 

Die Zahlungsdiensterichtlinie 2 (PSD2) ist eine Verordnung der Europäischen Union, die eine starke Kundenauthentifizierung für elektronische Zahlungen vorschreibt, Open Banking über sichere APIs vorschreibt und digitale Zertifikate zur Identifizierung von Banken und Drittanbietern von Zahlungen verlangt.

PSD2 ist eine EU-Verordnung, die seit Januar 2018 gilt und elektronische Zahlungen durch starke Kundenauthentifizierung schützt . Sie öffnet Bankdaten für lizenzierte Drittanbieter über sichere APIs. Zur Identifizierung und Verschlüsselung der Kommunikation zwischen Banken und Anbietern sind qualifizierte Website-Authentifizierungszertifikate und qualifizierte Zertifikate für elektronische Siegel erforderlich.

Wichtige Erkenntnisse

• PSD2 ersetzte PSD1 (2007), um die Lücken zu schließen, die durch das rasante Wachstum digitaler Zahlungen und Drittanbieter von Zahlungen entstanden waren.
• Die starke Kundenauthentifizierung (SCA) erfordert für die meisten elektronischen Zahlungen zwei von drei Faktoren: Wissen, Besitz und Inhärenz.
• Payment Initiation Services (PIS) und Account Information Services (AIS) ermöglichen es lizenzierten Drittanbietern, mit Zustimmung des Kunden Zahlungen auszulösen und Kontodaten zu aggregieren.
• PSD2 verlangt qualifizierte Website-Authentifizierungszertifikate (QWAC) und qualifizierte Zertifikate für elektronische Siegel (QSealC) zur Identifizierung und Verschlüsselung der Kommunikation zwischen Banken und Drittanbietern.
• Wiederkehrende Zahlungen unter 30 Euro und ausgewählte Transaktionen mit geringem Risiko können gemäß den regulatorischen technischen Standards von der vollständigen SCA ausgenommen werden.

Welches Problem löst PSD2, das PSD1 nicht löste?

Die 2007 eingeführte PSD1 standardisierte die Zahlungsabwicklung in der gesamten EU, berücksichtigte jedoch nicht den Aufstieg digitaler Zahlungsmethoden und Drittanbieter. Die 2015 verabschiedete und am 13. Januar 2018 in Kraft getretene PSD2 schließt diese Lücke mit strengeren Authentifizierungsanforderungen und einem Rechtsrahmen für Open Banking.

Was sind die beiden Kernbereiche von PSD2?

PSD2 reduziert das traditionelle Bankenmonopol durch zwei neue regulierte Dienstleistungen und verschärft gleichzeitig die Sicherheit der Kundendaten.

• Payment Initiation Service (PIS): Ermöglicht es einem lizenzierten Payment Initiation Service Provider, eine Zahlung direkt vom Bankkonto eines Kunden auszulösen und dabei die Kartennetzwerke zu umgehen.
• Kontoinformationsdienst (AIS): ermöglicht es einem lizenzierten Kontoinformationsdienstanbieter, die Kontodaten eines Kunden über mehrere Banken hinweg in einer einzigen Ansicht zusammenzuführen.

Welche digitalen Zertifikate benötigt PSD2?

Art des Zertifikats	Zweck
Qualifiziertes Website-Authentifizierungszertifikat (QWAC)	Identifiziert Banken und Drittanbieter und sichert die Peer-to-Peer-API-Kommunikation mittels TLS.
Qualifiziertes Zertifikat für elektronische Siegel (QSealC)	Siegelt Daten oder Dokumente, um deren Herkunft von einer juristischen Person nachzuweisen, unter Verwendung von ETSI-Standards wie PAdES, CAdES oder XAdES.

Ein Zahlungsdienstleister erhält diese Zertifikate, indem er sich bei seiner nationalen zuständigen Behörde registriert und anschließend ein qualifiziertes Zertifikat von einem qualifizierten Vertrauensdienstleister anfordert, der den Zahlungsdienstleister anhand des öffentlichen Registers validiert, bevor er das QWAC oder QSealC ausstellt.

Was ist starke Kundenauthentifizierung (SCA)?

Die starke Kundenauthentifizierung (SCA) verpflichtet Online-Zahlungsanbieter, die Identität eines Kunden anhand von mindestens zwei der drei unabhängigen Faktoren zu überprüfen: etwas, das der Kunde weiß (z. B. ein Passwort), etwas, das der Kunde besitzt (z. B. ein Telefon, das einen Einmalcode generiert), und etwas, das der Kunde ist (z. B. ein Fingerabdruck ). Durch die dynamische Verknüpfung wird jedes Authentifizierungstoken an einen bestimmten Transaktionsbetrag und Zahlungsempfänger gebunden, sodass ein Token nicht für eine andere Zahlung wiederverwendet werden kann.

Wie Verschlüsselungsberatung hilft

Die PKI-as-a-Service- und Compliance-Beratungsdienste von Encryption Consulting unterstützen Zahlungsdienstleister bei der Beschaffung, Implementierung und Rotation von QWAC- und QSealC-Zertifikaten sowie bei der Entwicklung von SCA-Prozessen (Strong Customer Authentication), die den regulatorischen technischen Standards der PSD2 entsprechen. Die Dienstleistungen basieren auf ISO/IEC 27001:2022- und SOC 2-zertifizierten Verfahren.

Häufig gestellte Fragen

Worin besteht der Unterschied zwischen QWAC- und QSealC-Zertifikaten?

Ein QWAC authentifiziert die Endpunkte eines Kommunikationskanals, beispielsweise zwischen einer Bank und einem Drittanbieter, und sichert die Datenübertragung mittels TLS. Ein QSealC versiegelt ein bestimmtes Dokument oder einen Datenblock, um dessen Herkunft von einer juristischen Person nachzuweisen und schützt so ruhende und übertragene Daten, selbst über einen Vermittler.

Welche Transaktionen sind von der starken Kundenauthentifizierung ausgenommen?

Die regulatorischen technischen Standards der PSD2 befreien wiederkehrende Zahlungen und Transaktionen unter 30 Euro sowie höherwertige Transaktionen, bei denen eine Bank nachweisen kann, dass die Betrugsrate unter einer festgelegten Betrugsschwelle liegt, beispielsweise bis zu 100 Euro, sofern die Betrugsrate unter 0.13 Prozent bleibt.

Wer muss PSD2 einhalten?

Banken, Fintech- und Neobank-Anbieter sowie alle Drittanbieter oder ausländischen Zahlungsdienstleister, die Dienstleistungen für EU-Kunden anbieten, müssen PSD2 einhalten, unabhängig davon, ob der Anbieter selbst in der EU ansässig ist.

In welchem ​​Zusammenhang steht PSD2 mit eIDAS?

Die regulatorischen technischen Standards der PSD2 erfordern QWAC- und QSealC-Zertifikate. Beide sind qualifizierte Zertifikatstypen gemäß der eIDAS-Verordnung. Ein gemäß eIDAS anerkannter qualifizierter Vertrauensdienstleister ist diejenige Stelle, die diese Zertifikate an Zahlungsdienstleister ausstellt.

Erfüllen Sie die Zertifikats- und Authentifizierungsanforderungen von PSD2.

Encryption Consulting unterstützt Zahlungsdienstleister bei der Beschaffung von QWAC- und QSealC-Zertifikaten und der Integration starker Kundenauthentifizierung in ihre Zahlungsprozesse. Mehr erfahren PKI-as-a-Service um zu sehen, inwiefern es die PSD2-Konformität unterstützt.