EU-ZAHLUNGSRICHTLINIE PSD2

Die PSD2 (Payment Service Directive 2) ist die überarbeitete Zahlungsdienst-Richtlinie der EU. Sie regelt Standards im Umgang von und mit Banken und Zahlungsdienstleistern. 

Online-Händler betrifft die sogenannte starke Kundenauthentifizierung (Strong Customer Authentication, SCA) für bestimmte Zahlungsarten. Die Richtlinie an sich ist bereits seit 2018 aktuell, ab 14.09.2019 muss nun die starke Kundenauthentifizierung umgesetzt sein. 

Update Oktober 2019: Die Europäischen Bankenregulierungsbehörde (EBA) empfiehlt, die Frist für die Umstellung auf der SCA nach PSD2 bis zum 31. Dezember 2020 zu verlängern. Die Finanzbehörden in Deutschland und Österreich haben angekündigt, diese Frist zu übernehmen, genauere Infos und Bedingungen finden Sie in den verlinkten Pressemitteilungen.

Die PSD2 ist eine europäische Richtlinie. Bieten Schweizer Händler Ihre Ware in der EU an und wickeln Zahlungen im EU-Raum ab, muss die Richtlinie befolgt werden. Transaktionen zwischen Schweizer Shops und Schweizer Kunden sind nicht betroffen. Zwar wird eine Anpassung in der Schweiz diskutiert, es gibt allerdings noch keine konkreten Pläne.

Für eine Zahlung müssen zwei voneinander unabhängige Elemente eingegeben werden, die sogenannte Zwei-Faktor-Authentisierung (2FA). Diese Elemente müssen aus zwei der drei Kategorien Besitz (z.B. Kreditkarte), Wissen (z.B. PIN) und Inhärenz (dem Nutzer „zu eigen“, bspw. Fingerabdruck) stammen. Damit soll ein Missbrauch verhindert werden, da die Kombination beider Elemente nur der berechtigte Nutzer angeben kann.  

Die SCA gilt nur für Zahlungen, d.h. Shop-Logins sind nicht betroffen. Rechnung, Vorkasse oder Lastschrift kann wie bisher angeboten werden, da der Nutzer hier aktiv die Bezahlung ausführt und sich dazu entsprechend authentifiziert. Die starke Kundenauthentifizierung muss daher vor allem bei Zahlungen mit Kreditkarten oder Paypal berücksichtigt werden, die bisher ohne 2FA auskamen. Ausnahmen gelten z.B. für sehr kleine Transaktionen (<30€), Abos oder das Whitelisting von Anbietern durch den Kunden.

Für die Umsetzung der starken Kundenauthentifizierung sind die Zahlungsdienstleister, die den entsprechenden Bezahlprozess abwickeln, verantwortlich. Grosse Schweizer Anbieter, wie z.B. SIX Payment Services oder Datatrans, ergreifen bereits entsprechende Massnahmen. Setzen Sie sich daher rechtzeitig mit Ihren Zahlungsdienstleistern in Verbindung, um abzuklären, wie Sie betroffene Zahlungsprozesse zukünftig abwickeln können.