Einführung in die Zweite Zahlungsdiensterichtlinie (PSD2)

Die Zahlungsdiensterichtlinie 2 (PSD2) ist ein von der Europäischen Union (EU) erlassenes Gesetz, das die Art und Weise, wie Unternehmen und Verbraucher grenzüberschreitende Zahlungen verwalten, grundlegend verändert hat. Sie stellt ein wichtiges Ergebnis der Vision der Europäischen Kommission eines digitalen Binnenmarktes dar und zielt darauf ab, sicherere, kostengünstigere und innovativere Zahlungsdienste in der EU zu schaffen.

PSD2, oder die zweite Zahlungsdiensterichtlinie, hebt das Monopol traditioneller Banken auf Nutzerdaten auf. Dies wird dadurch ermöglicht, dass Bankkunden, einschließlich Geschäftseinheiten und Privatverbraucher, die Dienste von Drittanbietern zur Verwaltung ihrer Finanzen nutzen können. Diese bahnbrechende Verordnung bietet einen robusten rechtlichen Rahmen für die Tätigkeit dieser Drittanbieter. Innerhalb dieses Rahmens dürfen Drittanbieter auf die finanziellen Daten der Nutzer direkt von den Banken zugreifen, sofern der entsprechende Nutzer seine ausdrückliche Zustimmung für diesen Zugriff erteilt hat.

Die Bedeutung der PSD2 geht über die bloße Kontrolle der Nutzer über ihre Daten hinaus. Sie legt auch den Grundstein für das Entstehen und die Verbreitung neuer und innovativer Zahlungs- und Kontodienste. Durch diese Fortschritte in der Finanztechnologie zielt die Richtlinie darauf ab, einen deutlichen Anstieg des Verbraucherschutzes im sich schnell entwickelnden Bereich der digitalen Zahlungen zu erleichtern.

PSD2 zielt darauf ab, Finanzdaten zu demokratisieren, Wettbewerb und Innovation in der Finanztechnologiebranche zu fördern und die Rechte und den Schutz der Verbraucher im digitalen Raum zu stärken.

In diesem Artikel werden wir PSD2 genauer untersuchen, insbesondere seine Schlüsselelemente, Compliance-Anforderungen, wie es sich von PCI DSS unterscheidet und vieles mehr.

Die Entstehung von PSD2

PSD2 ist eine Weiterentwicklung der ursprünglichen Zahlungsdiensterichtlinie (PSD), die 2007 verabschiedet wurde. Die initiale Richtlinie etablierte ein Regelwerk, um grenzüberschreitende Zahlungen genauso einfach, effizient und sicher zu gestalten wie ‘nationale’ Zahlungen innerhalb eines EU-Landes. Jedoch machte die stetige Evolution des digitalen Zahlungsverkehrs und das Aufkommen neuer Zahlungsdienstleister (PSPs) ein Update notwendig, was zur Einführung von PSD2 im Januar 2018 führte.

Seit ihrer Einführung hat PSD2 verschiedene Iterationen durchlaufen, um der sich wandelnden Landschaft des digitalen Zahlungsverkehrs gerecht zu werden. Ein wichtiger Meilenstein war die Annahme der Regulatory Technical Standards (RTS) im Jahr 2019, die spezifische Anforderungen für starke Kundenauthentifizierung (SCA) und sichere Kommunikation festlegten. Die Richtlinie entwickelt sich weiter, um mit dem Fortschritt der Technologie, dem Aufstieg von Fintech-Unternehmen und Veränderungen im Kundenverhalten Schritt zu halten.

PSD2 vs. PCI DSS: Gemeinsamkeiten und Unterschiede

Die Zweite Zahlungsdiensterichtlinie (PSD2) und der Payment Card Industry Data Security Standard (PCI DSS) sind zwei bedeutende regulatorische Standards in der Finanzdienstleistungsbranche. Die PSD2, eingeführt von der Europäischen Union, ist eine Richtlinie, die darauf abzielt, den paneuropäischen Wettbewerb und die Teilnahme am Zahlungsverkehr, einschließlich Nicht-Banken, zu erhöhen und durch die Harmonisierung des Verbraucherschutzes sowie der Rechte und Pflichten von Zahlungsdienstleistern und Nutzern einheitliche Rahmenbedingungen zu schaffen. Im Gegensatz dazu ist PCI DSS ein proprietärer Informationssicherheitsstandard, der vom Payment Card Industry Security Standards Council verwaltet wird und darauf ausgelegt ist, Kreditkartenbetrug durch erhöhte Kontrollen rund um Kartendaten zu reduzieren.

Sowohl PSD2 als auch PCI DSS konzentrieren sich auf den Schutz sensibler Zahlungsinformationen. PSD2 erreicht dies durch die Einführung strenger Sicherheitsanforderungen für die Initiierung elektronischer Zahlungen und den Schutz finanzieller Daten, wodurch das Betrugsrisiko bei elektronischen Transaktionen verringert und der Schutz von Verbraucherdaten verbessert wird. Ähnlich sind die Anforderungen des PCI DSS darauf ausgerichtet, sicherzustellen, dass alle Unternehmen, die Kreditkarteninformationen verarbeiten, speichern oder übermitteln, eine sichere Umgebung aufrechterhalten und so einen robusten Schutz für Kartendaten bieten.

Dennoch gibt es trotz dieser gemeinsamen Ziele wesentliche Unterschiede zwischen den beiden Vorschriften. PSD2 verpflichtet Banken, ihre Zahlungsinfrastruktur und Kundendaten für Drittanbieter zu öffnen, was neue Geschäftsmöglichkeiten und gesteigerten Wettbewerb bietet. Im Gegensatz dazu fordert PCI DSS kein Datenteilen und konzentriert sich ausschließlich auf die Sicherung von Kartendaten, um Betrug und Datenverletzungen zu verhindern.

Im Hinblick auf die Compliance müssen Unternehmen, die Zahlungstransaktionen abwickeln – unabhängig von Art oder Volumen – die PCI DSS-Standards einhalten. Dies betrifft Händler, Finanzinstitute, Anbieter von Point-of-Sale-Systemen sowie Entwickler von Hardware und Software, die an der Zahlungsabwicklung beteiligt sind. Andererseits gilt die PSD2 speziell für Zahlungsdienstleister im Europäischen Wirtschaftsraum, einschließlich Banken, Bausparkassen, E-Geld-Instituten und allen Drittanbietern, wie Kontoinformationsdienstleistern und Zahlungsauslösedienstleistern.

Es ist erwähnenswert, dass PCI DSS die PSD2 in vielerlei Hinsicht ergänzt. Während PSD2 Wettbewerb und Innovation im Zahlungsmarkt fördert, sorgt PCI DSS dafür, dass diese neuen Zahlungsdienste das höchste Sicherheitsniveau zur Schutz der Kartendaten der Inhaber aufrechterhalten. Unternehmen, die diese Zahlungsdienste nutzen, können sich so einen Wettbewerbsvorteil verschaffen, da Verbraucher eher Dienste vertrauen und nutzen, die die Sicherheit ihrer Daten priorisieren.

Letztendlich spielen sowohl PSD2 als auch PCI DSS eine entscheidende Rolle in der Finanzbranche, indem sie eine sichere und innovative Zahlungslandschaft fördern. Obwohl sie unterschiedliche Geltungsbereiche haben und sich auf verschiedene Entitäten beziehen, ist ihr oberstes Ziel der Verbraucherschutz. Indem Unternehmen diese Standards einhalten, entsprechen sie nicht nur den gesetzlichen Anforderungen, sondern gewinnen auch das Vertrauen der Kunden, welches für die Nachhaltigkeit und das Wachstum ihrer Geschäftstätigkeit unerlässlich ist.

Die Struktur der PSD2

Die überarbeitete Zahlungsdiensterichtlinie (PSD2) ist ein bedeutendes Gesetzgebungswerk, das einige entscheidende Elemente enthält, die alle darauf abzielen, eine offene und wettbewerbsfähigere Marktsituation für Zahlungsdienste zu schaffen. Dazu gehört die Einführung innovativer Arten von Zahlungsdienstleistern, die Einführung einer verpflichtenden starken Kundenauthentifizierung (SCA), verbesserte Sicherheitsmaßnahmen für Verbraucherrechte und die Vorschrift, dass Banken Drittanbietern Zugang zu den Kontoinformationen der Kunden gewähren müssen.

Um auf diese Aspekte näher einzugehen, hat die Einführung von zwei neuen Arten von Zahlungsdienstleistern, nämlich Zahlungsauslösedienstleistern (PISPs) und Kontoinformationsdienstleistern (AISPs), den Markt erheblich geöffnet und einen gesunden Wettbewerb gefördert. PISPs sind Einrichtungen, die Online-Zahlungen direkt vom Bankkonto des Nutzers ermöglichen und somit die Notwendigkeit herkömmlicher Zahlungsgateways überflüssig machen. Dies gewährt Kunden mehr Autonomie und steigert die Geschwindigkeit und Effizienz von Online-Transaktionen.

Andererseits bieten AISPs Dienste wie die Kontoaggregation an, die es Kunden ermöglicht, einen ganzheitlichen und umfassenden Überblick über ihren finanziellen Status über mehrere Konten hinweg zu erhalten. Ein solcher Dienst ermächtigt Verbraucher dazu, ihre finanziellen Aktivitäten besser zu verwalten und zu überwachen, was zu einer verbesserten finanziellen Gesundheit und Bewusstsein führt.

Um hohe Sicherheitsstandards zu gewährleisten, werden all diese neuen Dienste jedoch durch das Prinzip der starken Kundenauthentifizierung (SCA) untermauert. Die SCA erfordert die Verwendung von zwei oder mehr unabhängigen Validierungsquellen, wie etwas, das der Kunde weiß (ein Passwort oder eine PIN), etwas, das der Kunde besitzt (eine Karte oder ein mobiles Gerät), oder etwas, das der Kunde ist (Biometrie, wie Fingerabdrücke oder Stimmerkennung). Dieses Prinzip stellt sicher, dass ein hohes Maß an Sicherheit bei der Durchführung von Online-Transaktionen erreicht wird und schützt Verbraucher so vor potentiellem Betrug und Cyber-Bedrohungen.

Was PSD2 für Unternehmen bedeutet

Das Aufkommen der PSD2 bringt insbesondere für Unternehmen und vor allem für Firmen im Fintech-Sektor eine Fülle von Möglichkeiten mit sich. Diese neue Richtlinie zielt darauf ab, Innovation und einen gesunden Wettbewerb gegenüber traditionellen Bankinstituten zu fördern.

Der primäre Vorteil der PSD2 liegt in der Bereitstellung für Unternehmen, Zugang zu Kundendaten zu erhalten. Unternehmen können diesen Zugang nutzen, um neue Finanzprodukte und Dienstleistungen zu entwickeln und auf den Markt zu bringen, die mit einem starken Kundenfokus gestaltet sind. Dieses innovative Potenzial geht über das reine Produktdesign hinaus und umfasst die Vereinfachung von Zahlungsverfahren und die Senkung von Transaktionskosten, die beide das Kundenerlebnis und die Kundenzufriedenheit verbessern können.

Neben den Vorteilen von Innovation und Wettbewerb schreibt PSD2 auch strenge Sicherheitsmaßnahmen für Unternehmen vor. Dies wird unweigerlich zu einem Anstieg des Kundenvertrauens führen, da Unternehmen ihr Engagement für sichere Transaktionen und den Schutz von Kundendaten demonstrieren.

Ein wesentlicher Bestandteil dieser Sicherheitsmaßnahmen ist die Notwendigkeit einer starken Kundenauthentifizierung. Es wird erwartet, dass dies die Fälle von Betrug erheblich reduzieren und somit das Kundenvertrauen weiter stärken wird. Wenn Unternehmen beginnen, niedrigere Betrugsraten und die damit verbundenen Kosten zu erleben, ist es wahrscheinlich, dass sie auch einen Anstieg der Kundentreue und -bindung sehen werden. Verbraucher, die das Gefühl haben, dass ihre Daten und Transaktionen sicher sind, bleiben eher bei diesen Unternehmen, was das langfristige Geschäftswachstum und die Nachhaltigkeit unterstützt.

Zusammenfassend bietet PSD2, insbesondere für Fintech-Unternehmen, nun die Chance, als starke Konkurrenten in einem zuvor von traditionellen Banken dominierten Bereich hervorzutreten. Sie können dies erreichen, indem sie den durch PSD2 gewährten Zugang zu Kundenkonten nutzen, um personalisierte Finanzangebote zu kuratieren und Zahlungsprozesse zu optimieren. Die durch die Richtlinie durchgesetzten verstärkten Sicherheitsmaßnahmen kommen nicht nur den Kunden, sondern auch den Unternehmen zugute, indem sie das Kundenvertrauen gewinnen, Betrug reduzieren und die Kundenbindung stärken.

Was PSD2 für Verbraucher bedeutet

PSD2 bietet Verbrauchern erhebliche Vorteile in Bezug auf Komfort und persönliches Finanzmanagement. Die durch diese regulatorische Änderung gewährten Freiheiten ermöglichen es Verbrauchern, eine breitere Vielfalt von Zahlungsdiensten zu erkunden, die über das Angebot ihrer eigenen Banken hinausgehen. Dies gibt den Verbrauchern letztlich mehr Kontrolle über ihre persönlichen Finanzdaten und deren Verwaltung.

Zusätzlich fördert diese revolutionäre Richtlinie ein wettbewerbsorientiertes Umfeld unter verschiedenen Zahlungsdienstleistern. Als Ergebnis könnten Verbraucher von niedrigeren Kosten für diese Dienstleistungen profitieren, da Unternehmen bestrebt sein werden, erschwinglichere und attraktivere Optionen anzubieten, um sich abzuheben und die Führung auf dem Markt zu übernehmen.

Trotz ihrer zahlreichen Vorteile bringt die PSD2 auch gewisse Bedenken mit sich, insbesondere hinsichtlich der Privatsphäre und Sicherheit von Daten. Diese Richtlinie legt tatsächlich strenge Sicherheitsvorschriften fest, um die sensiblen Finanzinformationen der Verbraucher während der Übertragung und Speicherung zu schützen. Das Teilen solcher vertraulichen Daten mit Drittanbietern birgt jedoch grundsätzlich einige Risiken.

Daher ist es von größter Wichtigkeit, dass Verbraucher die Implikationen einer Zustimmung zur Datenfreigabe vollständig verstehen. Sie müssen wissen, mit wem sie ihre Daten teilen, wie diese verwendet werden und welche Maßnahmen zum Schutz der Daten ergriffen werden, um fundierte Entscheidungen über ihre persönlichen Finanzdaten treffen zu können.

Anforderungen und Risiken der Compliance

Die Compliance-Anforderungen der PSD2 sind umfangreich und spiegeln die durch technologische Innovationen hervorgerufenen Veränderungen im Finanzdienstleistungssektor wider.

Im Rahmen dieser Richtlinie der Europäischen Union sind Unternehmen verpflichtet, mehrere Auflagen zu erfüllen, um den in dem Rahmenwerk festgelegten Regeln zu entsprechen. Zunächst müssen Unternehmen die notwendigen Lizenzen erwerben, die es ihnen erlauben, innerhalb des Rahmens der PSD2 zu operieren. Diese Lizenzen stellen sicher, dass sie alle Bestimmungen der Richtlinie einhalten und verleihen ihren Dienstleistungen Legitimität nach europäischem Recht. Dieser Prozess könnte gründliche Überprüfungen und Bewertungen beinhalten, um zu gewährleisten, dass die Unternehmen Dienstleistungen anbieten können, die den festgelegten Standards entsprechen.

Als nächstes müssen Unternehmen starke Methoden der Kundenauthentifizierung als wesentlichen Aspekt der PSD2-Compliance implementieren. Dies bedeutet, dass der Prozess der Überprüfung der Kundenidentitäten verstärkt werden muss. Es ist eine wesentliche Anforderung, um Betrug zu verhindern und Vertrauen in das digitale Finanzökosystem zu schaffen. Unternehmen müssen mehrstufige Authentifizierungsverfahren einsetzen, einschließlich Elementen wie PINs, Token, mobilen Apps und biometrischen Daten, um die Identität eines Nutzers zu bestätigen.

Darüber hinaus ist es entscheidend, die Sicherheit der Kommunikationskanäle zwischen allen Beteiligten, einschließlich Kunden, Banken und Drittanbietern, zu gewährleisten. Die Richtlinie schreibt vor, dass diese Kanäle verschlüsselt sein und hohen Standards der Datensicherheit entsprechen müssen, um Verletzungen zu verhindern.

Zusätzlich erfordert die Einhaltung der PSD2, dass Unternehmen strenge Datenschutzvorschriften und -regelungen beachten. Die persönlichen Daten der Kunden müssen sorgfältig geschützt werden. Dies beinhaltet strenge Maßnahmen, wie die ausdrückliche Einwilligung des Kunden vor der Weitergabe von Daten und die Annahme von Maßnahmen zur Anonymisierung von Daten, wo dies notwendig ist.

Die Nichtbeachtung dieser Compliance-Anforderungen könnte zu schwerwiegenden Konsequenzen führen. Non-Compliance könnte in erheblichen finanziellen Strafen resultieren – möglicherweise in Millionenhöhe – die die finanzielle Gesundheit des Unternehmens erheblich beeinträchtigen könnten. Darüber hinaus kann es rechtliche Konsequenzen geben, einschließlich, aber nicht beschränkt auf, Klagen und hohe Bußgelder, die von Regulierungsbehörden verhängt werden.

Des Weiteren könnte Non-Compliance zu Schäden am Ruf des Unternehmens führen, insbesondere angesichts des Fokus des digitalen Zeitalters auf Datenschutz und Sicherheit. Ein beschädigter Ruf könnte Kunden und potenzielle Geschäftspartner abschrecken, was zu einem Rückgang des Marktwerts des Unternehmens führen kann.

PSD2-Umsetzung und Anpassungsherausforderungen

Die Einführung der PSD2 bringt eine Fülle von Möglichkeiten und Vorteilen mit sich, geht jedoch auch mit mehreren bedeutenden Herausforderungen einher. Das vorrangige Hindernis, mit dem Unternehmen konfrontiert sind, konzentriert sich auf die technische Umsetzung der PSD2, die komplex sein kann und Expertenwissen erfordert.

Um die Richtlinie einzuhalten, müssen sowohl auf Infrastruktur- als auch auf Systemebene Änderungen vorgenommen werden, was die technische Komplexität erhöht. Diese Änderungen beinhalten die Einrichtung sicherer Kommunikationskanäle und die Implementierung starker Kundenauthentifizierungsmechanismen, um zu gewährleisten, dass Verbraucherdaten robust geschützt sind. Dies kann insbesondere für kleinere Unternehmen und Start-ups eine finanzielle Belastung darstellen, da erhebliche Investitionen erforderlich sein können, um konform zu sein. Dies könnte zu finanziellen Engpässen und erhöhten Betriebskosten führen, was die Wettbewerbsfähigkeit dieser Unternehmen beeinträchtigen könnte.

Darüber hinaus stellt PSD2 eine erhöhte Gefahr von Cyberkriminalität dar. Da Banken verpflichtet sind, ihre Systeme für Drittanbieter zu öffnen, um Kundendaten zu teilen, könnte das Risiko von Cyberangriffen steigen. Dies erfordert weitere Investitionen in Cybersicherheitsmaßnahmen und Infrastruktur.

Diese zusätzliche Komplexität erhöht direkt die finanzielle Belastung für Unternehmen, die nun stärker in Cybersicherheitsstrategien investieren müssen, um sensible Kundendaten zu schützen. Die Verantwortung liegt schwer auf den Unternehmen, sicherzustellen, dass ihre Systeme die Kapazität und Widerstandsfähigkeit haben, potenzielle Cyberbedrohungen und Angriffe in dieser neuen Ära des offenen Bankwesens zu bewältigen.

Die Zukunft von PSD2 und ihre Angemessenheit

Mit der rasanten Entwicklung der Technologie muss sich PSD2 weiterentwickeln, um relevant zu bleiben. Der Aufstieg von Kryptowährungen, digitalen Geldbörsen und Blockchain-Technologie stellt neue Herausforderungen und Chancen für die Richtlinie dar, die eine Anpassung und Aktualisierung der Gesetzgebung erfordern. Es ist zwingend notwendig, dass Regulierungsbehörden und Unternehmen mit dem Tempo des technologischen Fortschritts Schritt halten und sicherstellen, dass die Richtlinie weiterhin ihre Ziele erfüllt.

Einer der Kernbereiche, auf die sich PSD2 konzentrieren muss, ist der Datenschutz. Angesichts zunehmender Bedenken hinsichtlich des Missbrauchs von Verbraucherdaten muss die Richtlinie ihre Datenschutzmaßnahmen verstärken. Verbesserte Datenverschlüsselung, strengere Zustimmungsmechanismen und bessere Techniken zur Datenanonymisierung könnten potenzielle Schwerpunkte für zukünftige Iterationen von PSD2 sein. Tatsächlich wird der langfristige Erfolg von PSD2 von seiner Fähigkeit abhängen, die Förderung von Innovation mit der Gewährleistung von Sicherheit und Privatsphäre in Einklang zu bringen.

Kiteworks unterstützt Organisationen in der EU bei der Einhaltung von PSD2

PSD2 hat die Landschaft der Zahlungsdienste innerhalb der Europäischen Union tatsächlich revolutioniert. Indem es das Monopol der Banken auf Benutzerdaten aufbricht, hat es Wettbewerb und Innovation im Zahlungsmarkt gefördert. Unternehmen, insbesondere Fintech-Unternehmen, haben die Möglichkeit, Kundendaten zu nutzen, um personalisiertere und kundenorientiertere Finanzprodukte zu erstellen. Gleichzeitig profitieren Verbraucher von einer erhöhten Kontrolle über ihre Finanzdaten und einer größeren Auswahl an Zahlungsdiensten.

Die Richtlinie stellt jedoch auch Herausforderungen dar, insbesondere im Hinblick auf die technische Umsetzung und Cybersicherheit.

Zudem ist es angesichts des rasanten technologischen Fortschritts unerlässlich, dass PSD2 kontinuierlich weiterentwickelt wird, um effektiv und relevant zu bleiben. Dies umfasst die Bewältigung neu auftretender Herausforderungen durch Technologien wie Kryptowährungen und Blockchain sowie die Priorisierung des Datenschutzes. Trotz dieser Herausforderungen ist klar, dass PSD2 ein bedeutender Schritt nach vorne ist, um eine sicherere, effizientere und innovative Zahlungslandschaft in der EU zu schaffen.

Das Private Content Network von Kiteworks, eine FIPS 140-2 Level validierte Plattform für sicheres Filesharing und Managed File Transfer, konsolidiert E-Mails, Filesharing, Webformulare, SFTP und Managed File Transfer, sodass Organisationen die Kontrolle behalten, schützen und nachverfolgen können, wie jede Datei in die Organisation ein- und ausgeht.

Kiteworks ermöglicht es Organisationen zu steuern, wer Zugang zu vertraulichen Informationen hat, mit wem sie diese teilen können und wie Dritte mit dem vertraulichen Inhalt interagieren können (und wie lange). Diese fortgeschrittenen DRM-Funktionen verringern das Risiko von unbefugtem Zugriff und Datenpannen.

Diese Zugriffskontrollen sowie die Funktionen von Kiteworks für sichere Übertragungsverschlüsselung auf Unternehmensniveau ermöglichen es Organisationen auch, strenge Anforderungen an die Datensouveränität einzuhalten.

Die Bereitstellungsoptionen von Kiteworks umfassen On-Premises, gehostet, privat, Hybrid und FedRAMP virtuelle private Cloud. Mit Kiteworks: Zugriff auf sensible Inhalte kontrollieren; diese schützen, wenn sie extern geteilt werden, durch automatisierte Ende-zu-Ende-Verschlüsselung, Multi-Faktor-Authentifizierung und Sicherheitsinfrastruktur-Integrationen; alle Dateiaktivitäten sehen, verfolgen und berichten, nämlich wer was an wen, wann und wie sendet. Und letztlich Konformität mit Vorschriften und Standards wie DSGVO, ANSSI, HIPAA, CMMC, Cyber Essentials Plus, IRAP, DPA und vielen mehr nachweisen.

Um mehr über Kiteworks zu erfahren, vereinbaren Sie heute eine individuelle Demo.

 

Zurück zum Risiko- & Compliance-Glossar