Kann in Zukunft jeder Drittanbieter Kundendaten abrufen und einsehen, ohne dass Kunden davon Kenntnis haben?

Nein! Auch zukünftig können Drittanbieter nur dann Kontoinformationen abrufen, wenn Kunden explizit ihre Einwilligung dazu erteilt haben. PSD2 regelt streng und unter Einhaltung höchster Sicherheitsstandards den Datenaustausch zwischen Bank und Drittanbietern. Die Deutsche Bank überprüft die ausdrückliche Zustimmung des Kunden, die stets vorliegen muss, damit die jeweiligen Abfragen vom Kunden autorisiert werden. Diese Autorisierung erfolgt durch personalisierte Sicherheitsmerkmale, die der Kunde von der Deutschen Bank erhalten oder mit ihr vereinbart hat (z.B. PIN, photoTAN).

Warum heißt es in der Presse, dass Drittanbieter ab dem 13. Januar 2018 auf Kundendaten zugreifen dürfen, wenn dazu weiterhin das Einverständnis des Kunden notwendig ist?

In der Vergangenheit war es Kunden gemäß relevanten Geschäftsbedingungen bei einigen Banken untersagt, persönliche Login-Daten an Dritte zu geben. Insofern konnten diese Kunden Drittanbieter nicht nutzen, ohne gegen geltende Bestimmungen der Bank zu verstoßen. Mit den gültigen Änderungen der relevanten Geschäftsbedingungen, sind die entsprechenden Passagen nun bei allen Banken einheitlich. Unverändert gilt, dass Kunden gewissenhaft mit ihren Login-Daten und TAN-Verfahren umgehen sollten, um die Weitergabe dieser Daten nur an autorisierte Dritte sicherzustellen.

Wer kann alles als Drittanbieter am Markt auftreten und ab wann?

Als Drittanbieter (Zahlungsauslösedienstleister, Kontoinformationsdienstleister) dürfen Zahlungsdienstleister agieren, die in ihrer jeweiligen Rolle bei der BaFin angemeldet sind und ein entsprechendes Zertifikat vorweisen können.

Wie erhalte ich einen Überblick über Drittanbieterzugriffe auf meine Konten?

Im Service-Bereich des Deutsche Bank OnlineBankings, unter dem Menüpunkt „Banking über Drittanbieter“, gibt es die Möglichkeit den Zugriff über Drittanbieter zu verwalten und auch bereits getätigte Zugriffe nachzuvollziehen.

Was passiert mit dem iTAN-Verfahren (TAN-Block)?

Die iTAN wurde mit Umsetzung der PSD2 zum 11.09.2019 abgeschafft, da sie nicht mehr den Sicherheitsanforderungen entspricht. Die PSD2 verlangt, dass bei der Erzeugung einer TAN künftig die Transaktionsdaten (Zahlungsempfänger und Betrag) enthalten sein müssen und ein Sicherheitsverfahren nicht kopierbar sein darf (was z.B. beim TAN-Block der Fall wäre).

Was ist Zwei-Faktor-Authentifizierung (2FA) / Starke Kundenauthentifizierung (SCA)?

Die starke Kundenauthentifizierung (SCA), auch Zwei-Faktor-Authentifizierung (2FA), bedeutet, dass ein Kunde, um sich zu authentifizieren, mindestens zwei Faktoren aus den drei Kategorien Wissen (z.B. Passwort), Besitz (z.B. TAN-Generator, Handy zum Empfang der mobileTAN), Inhärenz (z.B. Fingerabdruck) verwenden muss.

Dies ist heute auch schon bei Überweisungen notwendig und wird zukünftig auch beim Login ins Online- und Mobile-Banking und beim Zugriff über HBCI/FinTS erforderlich.

Warum werde ich beim Login nach einer TAN gefragt?

Die PSD2 schreibt vor, dass beim Zugriff auf Zahlungsverkehrskonten (dies entspricht dem Login ins Online-Banking) eine starke Kundenauthentifizierung, also die Nutzung von 2 Faktoren (z.B. PIN und TAN), erforderlich ist. In der Deutsche Bank Mobile-App können die beiden Faktoren zusammengefasst werden, indem die Deutsche Bank Mobile App mit dem Online-Banking verknüpft wird.

Hierbei wird nur einmalig eine TAN für die Verknüpfung benötigt. Bei jedem weiteren Login ersetzt das verknüpfte Gerät die TAN-Eingabe (Besitz) und der Login erfolgt wie heute, schnell und einfach mit PIN, Fingerprint oder FaceID (Inhärenz).

Welche Auswirkung hat die Zwei-Faktor-Authentifizierung auf den HBCI/FinTS-Kanal?

Bitte beachten Sie:

Da wir festgestellt haben, dass die Banking-Software einiger Hersteller noch Probleme mit der Umsetzung durch die Anforderungen der PSD2 aufweisen, haben wir bis auf weiteres den Abruf von Umsatzdaten auf maximal 90 Tage rückwirkend beschränkt. Dies bedeutet, dass vorerst keine starke Kundenauthentifizierung bei der Dialoginitialisierung oder beim Abruf von Umsätzen erforderlich ist.

Auch für HBCI/FinTS schreibt die PSD2 die Nutzung von zwei Faktoren beim Zugriff auf Zahlungsverkehrskonten vor. Analog zum Login ins OnlineBanking wird dies hier bei der Dialoginitialisierung notwendig werden. Hier wird jedoch eine Vereinfachung möglich sein, indem die starke Authentifizierung nur alle 90 Tage erneuert werden muss.

Kunden werden hier initial nach dem 11.09.2019 eine Zwei-Faktor-Authentifizierung während der Dialoginitialisierung durchführen müssen. Nach Ablauf der 90 Tage wird die Zwei-Faktor-Authentifizierung während der Dialoginitialisierung erneut notwendig. Dazwischen wird entsprechend kein zweiter Faktor abgefragt werden.

Eine Ausnahme besteht jedoch wenn der Kunde Umsätze abruft, die älter als 90 Tage sind. Für diese Umsätze ist vorgeschrieben, dass immer eine starke Authentifizierung eingeholt werden muss. Sollte dies bereits beim Login (Dialoginitialisierung) geschehen sein, erhält der Kunde keine gesonderte Abfrage. Ist der Kunde jedoch mit nur einem Faktor eingeloggt, da er sich innerhalb des 90-Tage Zeitrahmens befindet, wird im Dialog gesondert eine starke Authentifizierung abgefragt.

Weiterhin wird die Nutzung eines TAN-Verfahrens für bereits heute TAN-pflichtige Geschäftsvorfälle (z.B. Überweisungen) notwendig sein.