Wenige Monate bevor die starke Kundenauthentifizierung (SCA) für elektronische Bezahlungen aufgrund der EU-Zahlungsdienste-Richtlinie (PSD2) am 14. September obligatorisch wird, fällt der Europäischen Bankenaufsicht (EBA) plötzlich ein, dass auch für Lastschriftmandate eine Zwei-Faktor-Autorisierung (2FA) erforderlich sein soll.

Das mit 20 Prozent Marktanteil zweitbeliebteste Online-Zahlverfahren ist damit (mal wieder) in seiner Existenz bedroht. Und das Drama PSD2-Umsetzung um ein Kapitel reicher.

Dieser Beitrag ist eigentlich überflüssig, denn es gibt bereits einen hervorragenden Podcast zum Thema von PayTechLaw. Darin wird das Problem umfassend erläutert und eingeordnet. Ich höre so gut wie nie Podcasts, den habe ich mir angehört und empfehle ihn Payment-Interessierten und eLastschrift-Anwendern dringend weiter. Für Nicht-Podchast-Hörer hier die EBA-Posse schwarz-auf-weiß. In my own words, getreu dem Meeting-Motto: Es ist schon alles gesagt, nur noch nicht von jedem. Brannte mir eh auf der Tastatur:

Eine Antwort, die neue Fragen aufwirft

Die EBA hat am 22. Februar 2019 eine Antwort auf eine Frage zur PSD2 im Sinlge Rulebook Q&A veröffentlicht. Danach soll plötzlich und unerwartet für die Erteilung eines Lastschrift-Mandats einmalig eine „starke Kundenauthentifizierung“ erforderlich sein – jedenfalls, wenn sie per „remote channel“ erfolgt.

„Where the mandate of the payer to the payee to initiate these transactions is provided through a remote channel, the setting up of such a mandate is subject to strong customer authentication, as this action may imply a risk of payment fraud or other abuses within the meaning of Article 97(1)(c) of the PSD2“

Davon war bislang noch nie die Rede. Soweit ich das mitgeschnitten haben, waren Lastschriften bei der SCA immer außen vor. Im gesamten, langjährigen und turbulenten Diskussionsprozess um die Richtlinie und ihre Umsetzung (RTS) war klar: Lastschriften sind kein PSD2- und insbesondere kein SCA-Thema.

Warum die EBA sie nun plötzlich über den Buchstaben „c“ des Artikel 97 (1) („the payer … (c) carries out any action through a remote channel which may imply a risk of payment fraud or other abuses.) einer SCA-Pflicht unterwerfen will, bleibt für Außenstehende im Londoner Nebel verborgen.

Die Lastschrift wird eben nicht – wie es Art 97 (1) PSD2 verlangt – vom Zahler (Payer) initiiert, sondern vom Zahlungsempfänger (Payee). Sie kann auch deshalb 13 Monate lang ohne Angaben von Gründen durch den Kontoinhaber zurückgerufen werden, wenn kein wirksames Mandat vorlag (ansonsten acht Wochen lang). Worin die EBA das systemische Risiko sieht, dass einen harten Markteingriff wie die verpflichtende „Zwei-Faktor-Autorisierung“ rechtfertigt, bleibt ihr Geheimnis. Erklärt wird die neue Rechtsauslegung in der dürftigen und unscheinbaren Antwort nicht.

Missbrauch bei Lastschriften trifft den Zahlungsempfänger

Wenn mit Lastschriften betrogen wird, wie jüngst im Fall der Bahn-Karten, dann ist das in der Regel ein Problem des Zahlungsempfängers, nicht des Kunden. Der Zahlungsempfänger kann reagieren und seine Sicherungssysteme optimieren oder eben ganz auf Lastschriften verzichten. BTW: Deshalb verzichtet die Bahn seit round about 2006 auf ELV beim Kassieren in den Zügen (keine Online-Bonitätsprüfung möglich).

Ein Marktversagen, dass eine Regulierung rechtfertigen würde, ist nicht deshalb aber nicht erkennbar. Schon bei Kreditkarten und den übrigen Zahlverfahren die von der SCA betroffen sind, kann man den Regulierungsbedarf für den „Zwei Faktor Unsinn“ grundsätzlich hinterfragen. Zahlungsverkehrsexperte wie der Computop CEO Ralf Galdis sind gar der Auffassung, die PSD2 bewirke mit der 2FA-Pflicht das Gegenteil von dem, was der EU-Gesetzgeber ursprünglich im Sinn hatte: Den Wettbewerb der Zahlungsverfahren, respektive Anbieter zu erhöhen. Bei Lastschriften wird der Übereifer des Regulators aus den genannten Gründen aber absolut absurd.

Besonders krass und unverständlich, wenn dieser Eifer auch noch ohne jedwede Ankündigung und in dieser Form – en passant im Rahmen von FAQs daherkommt. Nicht der demokratisch legitimierte EU-Gesetzgeber wird auf Basis einer ordentlichen Folgenabschätzung im Sinne einer „better regulation“ aktiv, sondern eine wild gewordene Aufsichtsbehörde, dehnt den Anwendungsbereich der PSD2 mal eben im Vorbeigehen drastisch aus.

Zur Dimension: In Deutschland wird rund die Hälfte des bargeldlosen Zahlungsverkehrs per Lastschrift abgewickelt. Im E-Commerce haben Lastschriften laut EHI Retail Institute einen Anteil von 20 Prozent und sind damit nach dem Rechnungskauf das zweitbeliebteste Zahlverfahren.

Hoffnung auf das Hornberger Schießen 3.0

Nun hoffen deutschen Onlinehändler, Gas-, Strom- und Wasserwerke, Fernsprechanbieter, Versicherer und Spendenorganisationen aller guten Zwecke, dass das Hornberger Schießen der SEPA-Lastschrift sich wiederholt. Diese sollte ursprünglich europaweit schriftlich erteilt werden, was in Deutschland auch die Schriftform (Papier und Unterschrift) gemeint hätte (instruktiv zur damaligen Debatte: zB dieser Beitrag). Nach einem Sturm der „lastschriftenziehenden Wirtschaft“ hatten Bundesfinanzministerium und die nachgeordnete Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) aber ein Einsehen und drückten ein Auge zu. Deshalb kann das Lastschriftmandat auch weiterhin per Klick und E-Mail erteilt werden. Oder es wird (regelwidrig) einfach munter weiter eingezogen und weggeguckt. Wo kein Kläger, da kein Richter.

BaFin muss über EBA-Vorgabe entscheiden

Ob das noch so funktioniert, wenn die EBA – immer noch sauer auf die EU-Kommission, weil sie bei den RTS zur SCA erst zurechtgewiesen und dann übergangen wurde – nun eine starke Kundenauthentifizierung für die Mandatserteilung verlangt? Traut sich die BaFin so weit weg von der europäischen Fahrrinne? Ich schicke mal eine Anfrage raus. 🙂

Die Frankfurter täten gut daran, die Frage/Antwort „2018_4359“ der EBA zu ignorieren, beziehungsweise, zu erklären („comply or explain“), warum eine eLastschrift keiner SCA Bedarf. Kleine Hilfestellung dazu: Es gibt keine Legitimation einer Aufsichtsbehörde den Anwendungsbereich der PDS2-Richtlinie derart auszuweiten. Es gibt keinen Bedarf für eine 2FA – jedenfalls keinen validen Nachweis eines systemischen Sicherheitsrisikos bei eLastschriften. Es würde ein kostengünstiges, europäisches und verbraucherfreundliches Zahlverfahren aus dem Weg räumen behindern. Es würde mittlere und kleinere Onlinehändler im Wettbewerb noch mehr benachteiligen als es die SCA ohnehin schon strukturell tut (Whitelist, Login-Effekt, AmazonPay, ApplePay & Co.). Es spielt den amerikanischen Kreditkartengesellschaften und den asiatischen Payment- und Lifestyleschemes in die Hand. Das größte Risiko bei Lastschriften trägt der Händler. Der weiß, welches Risiko im dräut und kann reagieren – oder vom Markt verschwinden. Es gibt keinen Grund für den Gesetzgeber zu handeln. Dann erst recht nicht für eine Aufsichtsbehörde, sieben Monate vor Inkrafttreten der Regelung für die der Gesetzgeber den Marktteilnehmern 12 Monate Übergangsfrist gewährt.

Online Blümchen bestellen mit doppelter Autorisierung?

Warum sollte ein Online-Blumenhändler oder eine Internet-Kartendruckerei auf die kostengünstige, bequeme und verbraucherfreundliche Lastschrift verzichten bzw. die Mandatserteilung mit einem zweiten Faktor absichern müssen? Liebe BaFin: Lasst Lastschriften lange leben!

Selbst wenn die BaFin aber erneut ein Einsehen und ein Herz für die Lastschrift hat, bleibt die EBA-Vorgabe ein Ärgernis. Die Lastschrift hätte eine gute Chance, Basis für ein europäisches Zahlverfahren zu werden und auch in anderen Mitgliedsstaaten deutlich an Bedeutung zu gewinnen (keine Gebühren, Einzug durch den Zahlungsempfänger). Völlig unnötig schmeißt die EBA dem Zahlverfahren nun Steine in den Weg, wo EZB und EU-Kommission sich doch so sehr ein europäisches Zahlungsscheme wünschen, das Mastercard, Visa, Amex, PayPal, Alipay, WeChat & Co. Paroli bieten kann.

Update 14. März 2019

Ich verweise auf die hilfreichen Kommentare unten zur Einordnung des obigen Beitrags. Wie dort profund erläutert, bezieht sich die EBA-Antwort auf die SCA für das eMandat, nicht für jede Lastschriftzahlung. Das sieht auch die BaFin so, wie ein Sprecher auf Anfrage mitteilt. Man prüfe, ob die bisherige Verwaltungspraxis geändert werden muss und werde dazu alsbald öffentlich Stellung nehmen, so die BaFin in der üblichen, formelhaften Sprachgebrauch einer Aufsichtsbehörde. Der Schluss, den man daraus ziehen kann: Da bisher niemand eMandate einholt, muss auch niemand eine SCA für Lastschriften durchführen.

Im Übrigen habe ich die EBA für die späte Kehrtwendung und Stellungnahme zum Thema gescholten. Der Vorwurf geht fehl. Wie im Disclaimer für eine nachgeordnete Aufsichtsbehörde eine Spur zu deutlich wird, handelt es sich um eine Antwort der EU-Kommission. Die nur „on behalf“ von der EBA übermittelt wird. Man kann auch in formelhafter Sprache viel zwischen den Zeilen sagen oder dort fliegende Einhörner verstecken.

Sehr lesenswert und breit recherchiert zum Thema #PSD2 bzw. „starke Kundenauthentifizierung“ ist der Beitrat von Karsten Seibel in der „Welt“ unter dem vielsagendem Titel: „Wie Brüssel Amazon noch stärker macht“. Vom Autor war auf Twitter auch zu erfahren, dass die BaFin alsbald einen Q&A zum Thema SCA / 2FA veröffentlichen will. Bis zum 14. September ist ja auch noch reichlich Zeit für die rechtsunterworfenen Marktteilnehmer.

Last but not least: Mastercard hat ein kostenloses White-Paper zur SCA-Thematik ins Netz gestellt.

Update 17.4.2019

Nun ist es offiziell und schwarz auf weiß auf der Website der BaFin nachzulesen (was unten in den Kommentaren von kompetenter Seite schon erläutert und gemutmaßt wurde): Unter dem Titel „Anwendung der Starken Kundenauthentifizierung bei Lastschriften im Internet“ erläutert die Aufsichtsbehörde:

„Die BaFin weist darauf hin, dass bei Lastschriftzahlungen im Internet nur dann eine Starke Kundenauthentifizierung gemäß § 55 Absatz 1 Nummer 3 Zahlungsdiensteaufsichtsgesetz (ZAG) erforderlich ist, wenn bei der Erteilung der Zustimmung zur Zahlung durch den Zahler (Lastschriftmandat), diese Erteilung unter direkter Einbindung des Zahlungsdienstleisters des Zahlers erfolgt. Dies ist beim SEPA-Lastschriftmandat nur der Fall, wenn es sich um ein sogenanntes e-Mandat im Sinne des SEPA-Regelwerks handelt.

In der gängigen Praxis der Mandatserteilung im Internet hingegen erfolgt die Mandatserteilung des Zahlers nur gegenüber dem Zahlungsempfänger ohne direkte Einbindung des Zahlungsdienstleisters des Zahlers. Die Auslösung einer Lastschriftzahlung nach erfolgter Mandatserteilung wird ebenfalls nicht durch die Starke Kundenauthentifizierung gemäß § 55 Absatz 1 Nummer 2 ZAG erfasst, da die Auslösung des elektronischen Zahlungsvorgangs nicht durch den Zahler, sondern durch den Zahlungsempfänger erfolgt.“ …

Und wie schreibt das Handelsblatt dazu heute (18.4.) so schön: „Eigentlich war erwartet worden, dass die Aufsicht nicht nur ihre Auffassung zum Thema Lastschrift bekanntgibt, sondern auch zu anderen Bezahlmöglichkeiten – wie beispielsweise dem Onlinezahlverfahren Paydirekt. Auf Anfrage des Handelsblatts teilte die BaFin mit, dass die entsprechende Liste ‚auf unbestimmte Zeit zurückgestellt‘ worden sei.“

Das ist, wenige Monate vor in Kraft treten der SCA-Regeln, eigentlich ein handfester Skandal. Wie soll man sich als Händler und/oder Paymentscheme darauf einstellen?