Starke Kundenauthentifizierung gilt nun auch beim Bezahlen mit Kreditkarte

Eigentlich sollte die Zahlungsdiensterichtlinie 2 (PSD 2) bereits seit 14. September 2019 gelten. Konkret bedeutet das, dass Zahlungsdienstleister seitdem eine Zwei-Faktor-Authentifizierung eingerichtet haben müssen und Datenschnittstellen für Drittanbieter bereitgestellt werden müssen.

Obwohl die PSD 2 schon lange angekündigt war, hinkten die Zahlungsanbieter in technischer Hinsicht hinterher. Daher wurde die verpflichtende Anwendung der neuen Pflichten immer weiter verschoben, bzw, häppchenweise eingeführt. Diese Verschiebung kam auch dem Online-Handel entgegen: Dieser fühlte sich teilweise nicht gut vorbereitet, obwohl die Erfüllung der Pflichten auf der ToDo der Zahlungsdienstleister stand.

Seit gestern nun, dem 15. März 2021, ist die letzte Schonfrist abgelaufen.

SCA für das Zahlen per Kreditkarte

Beim Zahlen mit der Kreditkarte mussten Kunden bisher lediglich die Nummer und die Prüfziffer eingeben. Dass ist seit gestern anders: Die sogenannte Zwei-Faktor-Authentifizierung gilt nun auch für Kreditkarten. Das bedeutet, dass der Kunde mit zwei voneinander unabhängigen Daten belegen muss, dass er der berechtigte Benutzer der Karte ist. 

Heise berichtet, dass die Zwei-Faktor-Authentifizierung von jedem Kreditinstitut etwas anders gestaltet ist. So arbeiten manche Zahlungsanbieter mit einem SMS-TAN-Verfahren, während andere Anbieter auf das Einscannen eines Strichcodes per App zurückgreifen. 

Schrittweises Einführen der Zwei-Faktor-Authentifizierung

Seit Beginn des Jahres wurde die Zwei-Faktor-Authentifizierung schrittweise eingeführt. So müssen seit dem 1. Januar zwei Faktoren ab einem Bestellwert von 250 Euro eingegeben werden; seit 15. Februar für Beträge ab 150 Euro. 

Es ist weiterhin möglich, dass Kunden nicht bei jedem Einkauf mit der Kreditkarte zwei Faktoren eingeben müssen. So ist es nach wie vor möglich, bei kleinen Beträgen unter 30 Euro auf diesen Sicherheitsfaktor zu verzichten. Wer oft im selben Shop einkauft, muss möglicherweise auch nicht jedesmal das Prozedere durchlaufen. Inwiefern auf die starke Kundenauthentifizierung in solchen Fällen verzichtet werden kann, hängt allerdings von dem jeweiligen Kreditinstitut ab.