Bank of America Merrill Lynch Leitfaden zur starken Kundenauthentifizierung

Transkript

1 Verbesserter Sicherheitsprozess für Internetkäufe mit Firmenkarten Zum 2. November 2018 wird für Interneteinkäufe mit EMEA-Firmenkarten der Marke Bank of America Merrill Lynch ein neuer Sicherheitsprozess mit starker Kundenauthentifizierung (Strong Customer Authentication, SCA) eingeführt. Internetkäufe mit Firmenkarten bezieht sich auf Online-Einkäufe mit Karte, z. B. Online- Kartenzahlung für Zugtickets auf der Webseite des Anbieters. Wenn der Karteninhaber einen Internetkauf mit der Firmenkarte vornimmt, wird Ihnen per SMS- Nachricht ein Einmal-Zugangscode an die registrierte Mobilfunknummer des Karteninhabers gesendet. Der Einmal-Zugangscode muss zusammen mit den Kartendetails eingegeben werden, um den Kauf abzuschließen. Wenn der Karteninhaber uns keine Mobilfunknummer zur Verfügung stellt, können Internetkäufe abgelehnt werden, weil der Einmal-Zugangscode nicht gesendet und die SCA nicht abgeschlossen werden kann. Wir bitten Karteninhaber, uns eine Firmenmobilfunknummer zur Verfügung zu stellen, wenn verfügbar. Andernfalls akzeptieren wir auch eine private Mobilfunknummer. Gemäß unserer Datenschutzerklärung müssen wir gegebenenfalls persönliche Daten erfassen und verarbeiten, um die gewünschte Dienstleistung zu erfüllen. Die Datenschutzerklärung für Karteninhaber deckt die Telefonnummer ab und alle erfassten persönlichen Daten werden lediglich für legitime Geschäftszwecke genutzt. In diesem Fall, um Internetkäufe zu ermöglichen und gesetzliche Vorschriften einzuhalten. Hierbei handelt es sich um eine behördliche Vorschrift gemäß den Richtlinien der European Banking Authority (EBA) zur Security of Internet Payments and Second Payment Services Directive (PSD2), die Banken dazu verpflichtet, sicherzustellen, dass Karteninhaber SCA für Internetkäufe mit Firmenkarten verwenden. Bestimmte Transaktionen erfordern SCA nicht. Weitere Informationen hierzu können Sie den Häufig gestellten Fragen (FAQs) entnehmen. Für Interaktionen in Läden ändert sich nichts. Hier werden Karteninhaber auch weiterhin ihre Karte verwenden und ihre PIN zur Authentifizierung eingeben. Wie funktioniert SCA? Der Karteninhaber schließt einen Internetkauf ab und gibt die Kartendaten im Zahlungsbildschirm ein Ihm wird per SMS-Nachricht ein Einmal- Zugangscode an seine registrierte Mobilfunknummer gesendet. Ein Bildschirm erscheint, in dem zur Eingabe des Einmal- Zugangscodes aufgefordert wird. Geben Sie den Einmal- Zugangscode ein, um die Zahlung abzuschließen Der SCA-Prozess wird den Mastercard SecureCode ersetzen, der aktuell für Internetkäufe verwendet wird. Einfach ausgedrückt: Wenn für eine Transaktion aktuell der Mastercard SecureCode erforderlich ist, wird es in Zukunft die SCA sein. 1

2 Die meisten Internetbuchungen, die über das Online-Buchungs-Tool der Travel Management Companies (TMCs) abgeschlossen werden, erfordern SCA nicht, da sie Global Distribution Systems (GDS) zur Buchung der Transaktionen verwenden. Zudem wird auch bei Lodge-Karten, Virtual-Karten und Bestellungen per Post/Telefon SCA nicht erforderlich sein. Weitere Details entnehmen Sie den Häufig gestellten Fragen (FAQs). SCA ist erforderlich, wenn die Buchung direkt auf der Website des Händlers vorgenommen wird, z. B. für die Online-Zahlung von Zugtickets per Karte auf der Website des Anbieters. Beispiel eines Bildschirms zur Eingabe des Einmal-Zugangscodes Bei der Bezahlung eines Internetkaufs erscheint ein Bildschirm, in dem zur Eingabe des Einmal- Zugangscodes aufgefordert wird. Der Karteninhaber muss den richtigen Einmal-Zugangscode eingeben, um die Zahlung abzuschließen. 2

3 Beispiel einer SMS mit dem Einmal-Zugangscode Beim Einmal-Zugangscode handelt es sich um einen sechsstelligen, numerischen Code. Die SMS enthält den Einmal-Zugangscode, die Transaktionswährung, den Transaktionsbetrag, den Namen des Händlers und die letzten vier Stellen Ihrer Firmenkarte. <xxxxxx> ist der OTP für Ihre Transaktion über <currency> <amount> bei <merchant> auf Ihrer Karte mit den Endziffern <xxxx> Häufig gestellte Fragen (FAQ) Was ist die Strong Customer Authentication (SCA, starke Kundenauthentifizierung)? Was bedeutet das für Kunden mit Firmenkarten? Was gilt als Internetkauf mit einer Firmenkarte? Wann tritt SCA in Kraft? Worin liegt der Vorteil von SCA? Für welche Kunden/Karteninhaber ist diese Änderung relevant? Müssen Kunden/Karteninhaber etwas Bestimmtes tun? Ist SCA obligatorisch? Ist für alle Internetkäufe mit Firmenkarten SCA vonnöten? Ist SCA für Buchungen über Travel Management Companies (TMCs) erforderlich? 3

4 Gibt es andere Methoden, um SCA abzuschließen, als SMS-Nachrichten? Können Karteninhaber eine private Mobilfunknummer verwenden? In welchem Bezug steht dies zum Datenschutz und zur DSGVO? Was geschieht, wenn ein Karteninhaber keine Mobilfunknummer oder eine falsche Mobilfunknummer angibt? Kann der Einmal-Zugangscode an eine andere Mobilfunknummer gesendet werden? Kann der Einmal-Zugangscode an mehrere Mobilfunknummern gesendet werden? Was geschieht, wenn der Karteninhaber einen falschen Einmal-Zugangscode eingibt? Wie lange ist der Einmal-Zugangscode gültig? Können Einmal-Zugangscodes erneut generiert/gesendet werden? Hat SCA Auswirkungen auf Einkäufe in Läden? Welche behördlichen Vorgaben machen SCA nötig? Wen kann ich mit Fragen kontaktieren? Was ist die Strong Customer Authentication (SCA, starke Kundenauthentifizierung)? SCA ist eine behördlicher Anforderung, die die Sicherheit bei Internetkäufen stärkt. Um dieser Anforderung zu entsprechen, müssen Authentifizierungen auf zwei oder mehr Elemente zurückgreifen, die als Wissen (etwas, das nur der Benutzer weiß), Besitz (etwas, das nur der Benutzer besitzt) und Inhärenz (etwas, das nur der Benutzer ist) kategorisiert sind und voneinander unabhängig sind. Was bedeutet das für Kunden mit Firmenkarten? Wenn der Karteninhaber einen Internetkauf vornimmt, wird ihm per SMS-Nachricht ein Einmal- Zugangscode an seine registrierte Mobilfunknummer gesendet. Der Einmal-Zugangscode ist einzigartig für jede Transaktion und ist an den Transaktionsbetrag und den Begünstigten gebunden. Kartennummer, Gültigkeitsdatum und CVV gelten als Wissenselement und der Einmal-Zugangscode wird als Besitzelement erachtet. Beide Elemente müssen gemeinsam eingegeben werden, um die Zahlung abzuschließen. Dieser Prozess wird den Mastercard SecureCode ersetzen, der aktuell für Internetkäufe verwendet wird. Was gilt als Internetkauf mit einer Firmenkarte? Internetkäufe mit einer Firmenkarte bezieht sich auf Online-Einkäufe mit Karte, z. B. Online- Kartenzahlung für Zugtickets auf der Webseite des Anbieters. Nicht darunter fällt es beispielsweise, per Internet eine Zahlung vorzunehmen, um eine ausstehende Firmenkartenrechnung zu begleichen. Wann tritt SCA in Kraft? Dieser verbesserte Sicherheitsprozess wird am 2. November 2018 eingeführt. 4

5 Worin liegt der Vorteil von SCA? Der SCA-Prozess verbessert die Sicherheit und schützt Kunden/Karteninhaber vor Betrug. Für welche Kunden/Karteninhaber ist diese Änderung relevant? SCA kommt für alle Karten der Marke Bank of America Merrill Lynch zu Anwendung, die in EMEA ausgestellt wurden. Es hat keine Auswirkungen auf Karten, die nicht in EMEA ausgestellt wurden. Wenn also ein US-amerikanischer Karteninhaber in die EMEA-Region reist und dort einen Internetkauf tätigt, wird dafür SCA nicht benötigt. Müssen Kunden/Karteninhaber etwas Bestimmtes tun? Ja, Karteninhaber müssen ihre Mobilfunknummer registrieren. Wir brauchen gültige Mobilfunknummern von allen Karteninhabern. Ansonsten können Internetkäufe abgelehnt werden, da der Einmal-Zugangscode nicht zugestellt werden kann. Den Karteninhabern, deren Mobilfunknummer wir noch nicht vorliegen haben, haben wir per entsprechende Hinweise zur Registrierung geschickt. Wir bitten Karteninhaber darum, der Anleitung zu folgen und ihre Mobilfunknummer zu registrieren oder sich bei Fragen an Bank of America Merrill Lynch Global Card Services zu werden. Ist SCA obligatorisch? Ja. Es handelt sich um eine behördliche Vorgabe und Sie können SCA nicht widersprechen. Karteninhaber müssen SCA für alle Internetkäufe mit Firmenkarten abschließen. Ausnahmen gelten jedoch für bestimmte Transaktionen. Der nächsten Frage können Sie weitere Details zu diesem Thema entnehmen. Ist für alle Internetkäufe mit Firmenkarten SCA vonnöten? SCA ist erforderlich, wenn die Buchung direkt auf der Website des Händlers vorgenommen wird, z. B. für die Online-Zahlung von Zugtickets per Karte auf der Website des Anbieters. Für die folgenden Transaktionen wird SCA nicht erforderlich sein: 1. Buchungen über Travel Management Companies (TMCs) Details entnehmen Sie der nächsten Frage 2. Bestimmte Transaktionen mit geringem Risiko, das wir anhand einer für jede Transaktion berechneten Risikobewertung bestimmen 3. Lodge-Karten 4. Virtual-Karten 5. Bestellungen per Post und Telefon Ist SCA für Buchungen über Travel Management Companies (TMCs) erforderlich? Internetbuchungen, die über das Online-Buchungs-Tool der Travel Management Companies (TMCs) abgeschlossen werden, erfordern SCA nicht, da sie Global Distribution Systems (GDS) zur Buchung der Transaktionen verwenden. SCA ist erforderlich, wenn die Buchung direkt auf der Website des Händlers vorgenommen wird, z. B. für die Online-Zahlung von Zugtickets per Karte auf der Website des Anbieters. Der SCA-Prozess ersetzt den Mastercard SecureCode, d. h. für diese Transaktionen kommen bereits zusätzliche Authentifizierungsmaßnahmen zur Anwendung, es ändert sich einzig der Prozess. Einfach ausgedrückt: Wenn für eine Transaktion aktuell der Mastercard SecureCode erforderlich ist, wird es in Zukunft die SCA sein. Wenn Ihre TMC eine Buchung direkt auf der Händler-Website für Sie 5

6 vornimmt, so kann SCA erforderlich sein wenn Sie sich nicht sicher sind, fragen Sie bei Ihrer TMC nach. Gibt es andere Methoden, um SCA abzuschließen, als SMS-Nachrichten? Nein. Derzeit ist die BAML-Lösung, Einmal-Zugangscodes per SMS-Nachricht zu erhalten und so SCA abzuschließen. Alternative Authentifizierungsmethoden sind für 2019 in der Planung. Wir werden Ihnen vor ihrer Einführung weitere Informationen zukommen lassen. Können Karteninhaber eine private Mobilfunknummer verwenden? Ja. Zwar halten wir Karteninhaber dazu an, uns eine Firmenmobilfunknummer zur Verfügung zu stellen, wenn verfügbar. Doch wir akzeptieren auch private Mobilfunknummern für die SCA-Registrierung. Wenn der Karteninhaber uns keine Mobilfunknummer zur Verfügung stellt, können Internetkäufe abgelehnt werden, weil der Einmal-Zugangscode nicht gesendet und die SCA nicht abgeschlossen werden kann. Karteninhaber müssen Global Card Services anrufen, um Mobilfunknummern zu registrieren. Nach der Registrierung können Karteninhaber unmittelbar Einmal-Zugangscodes erhalten, um Transaktionen abzuschließen. In welchem Bezug steht dies zum Datenschutz und zur DSGVO? Gemäß unserer Datenschutzerklärung müssen wir gegebenenfalls persönliche Daten erfassen und verarbeiten, um die gewünschte Dienstleistung zu erfüllen. Die Datenschutzerklärung für Karteninhaber deckt die Telefonnummer ab und alle erfassten persönlichen Daten werden lediglich für legitime Geschäftszwecke genutzt. In diesem Fall, um Internetkäufe zu ermöglichen und gesetzliche Vorschriften einzuhalten. Was geschieht, wenn ein Karteninhaber keine Mobilfunknummer oder eine falsche Mobilfunknummer angibt? Der Einmal-Zugangscode kann nur an im Vorhinein registrierte Mobilfunknummern gesendet werden. Karteninhaber können ihre Mobilfunknummer während Internetkäufen nicht eingeben. Wenn uns keine Mobilfunknummer vorliegt, kann die Transaktion abgebrochen werden, und ein Bildschirm mit der Botschaft kontaktieren Sie uns wird angezeigt. Wenn die Mobilfunknummer nicht stimmt oder sich geändert hat, werden Karteninhaber dazu aufgefordert, den Einmal-Zugangscode einzugeben, aber können die Transaktion nicht abschließen. Karteninhaber müssen Global Card Services anrufen, um ihre Mobilfunknummer zu registrieren oder zu ändern. Nachdem wir seine Mobilfunknummer aktualisiert haben, kann der Karteninhaber unmittelbar Einmal-Zugangscodes empfangen, um Transaktionen abzuschließen. Kann der Einmal-Zugangscode an eine andere Mobilfunknummer gesendet werden? Nein, der Einmal-Zugangscode kann nur an die registrierte Mobilfunknummer des Karteninhabers gesendet werden. Wenn der Karteninhaber seine registrierte Mobilfunknummer ändern will, sollte er Global Card Services anrufen. Kann der Einmal-Zugangscode an mehrere Mobilfunknummern gesendet werden? 6

7 Nein, der Einmal-Zugangscode kann nur an die registrierte Mobilfunknummer des Karteninhabers gesendet werden und nur eine Nummer ist erlaubt. Was geschieht, wenn der Karteninhaber einen falschen Einmal-Zugangscode eingibt? Der korrekte Einmal-Zugangscode muss eingegeben werden, um die Zahlung abzuschließen. Der Karteninhaber hat fünf Versuche, um den korrekten Einmal-Zugangscode einzugeben. Wenn er nicht richtig eingegeben wird, wird die Karte für Online-Transaktionen gesperrt und der Karteninhaber muss Global Card Services anrufen, um sie wieder freizuschalten. Die Sperre hat keinerlei Auswirkungen auf in Läden vorgenommene Zahlungen. Wie lange ist der Einmal-Zugangscode gültig? Jeder Einmal-Zugangscode ist für zehn Minuten gültig. Können Einmal-Zugangscodes erneut generiert/gesendet werden? Ja, auf dem Bildschirm, auf dem der Einmal-Zugangscode eingegeben werden muss, befindet sich eine Erneut Senden -Schaltfläche. Karteninhaber können pro Internetkauf dreimal einen neuen Einmal- Zugangscode anfordern. Hat SCA Auswirkungen auf Einkäufe in Läden? Nein. Für Interaktionen in Läden ändert sich nichts. Hier werden Karteninhaber auch weiterhin ihre Karte verwenden und ihre PIN zur Authentifizierung eingeben. Welche behördlichen Vorgaben machen SCA nötig? Die Regulatory Technical Standards for Strong Customer Authentication aus der Second Payment Services Directive (PSD2) und die von der European Banking Authority (EBA) ausgegebenen Guidelines on the Security of Internet Payments. Wen kann ich mit Fragen kontaktieren? Für Hilfe kontaktieren Sie bitte Global Card Services unter /+44 (0) Klicken Sie hier, um den Marketing-Haftungsausschluss einzusehen Bank of America Corporation 7