Zulassungsverfahren für Online-Bezahldienste hier: Einladung zur Kommentierung. 6. Juni Sehr geehrte Damen und Herren,

Transkript

1 Deutscher Sparkassen- und Giroverband e. V. Charlottenstraße Berlin Kontakt: Robert Kusber Telefon: Fax: AZ DK: GWB-102 AZ DSGV: 7117 Zulassungsverfahren für Online-Bezahldienste hier: Einladung zur Kommentierung 6. Juni 2013 Sehr geehrte Damen und Herren, im Online-Handel haben sich verschiedene Bezahlverfahren etabliert, wobei in den letzten Jahren die sogenannte Online-Überweisung hinzugekommen ist. Hierbei können Kunden den Kaufpreis per Online-Banking- Überweisung unter Einschaltung eines sogenannten Online-Bezahldienstes entrichten. Dabei ist die Autorisierung des Überweisungsvorgangs so ausgestaltet, dass entweder der Kunde seine Online-Banking-Legitimationsdaten (i.d.r. PIN und TAN) selbst beim kontoführenden Institut eingibt (Variante 1) oder er diese dem Online-Bezahldienst zur Verfügung stellt, der diese Daten an das Kreditinstitut des Kunden übermittelt (Variante 2). Bei der Variante 2 nutzen einige Online-Bezahldienste die Online-Banking- PIN des Kunden zu einer sogenannten Kontodeckungsprüfung, um die Bonität des Kunden und die Zahlungswahrscheinlichkeit zu bestimmen. Die Überlassung von PIN und TAN an Online-Bezahldienste durch den Kunden in Variante 2 hat erhebliche Auswirkungen auf die Sicherheit des Online-Banking, so dass sich auf nationaler Ebene verschiedene Behörden sowohl aus wettbewerbsrechtlicher als auch bankaufsichtsrechtliche Perspektive seit einiger Zeit mit der Thematik auseinandersetzen. Auch die Bankaufsichtsbehörden in der Europäischen Union befassen sich seit einiger Zeit im European Forum on the Security of Retail Payments (SecuRe Pay-Forum) mit den sicherheitstechnischen Aspekten bei Online-Bezahldiensten und haben dazu von Februar bis April 2013 eine Konsultation durchgeführt 1. 1 Recommendations for Payment Account Access Services - Draft Document for Public Consultation, siehe: ces draftpc201301en.pdf?58fbe53e8c41d7bb73e5499f89998e22 Federführer: Deutscher Sparkassen- und Giroverband e.v. Charlottenstraße Berlin Telefon: Telefax:

2 Seite 2 von 5 Um den Wettbewerbsmöglichkeiten der Anbieter von Online-Bezahldiensten, den bankaufsichtrechtlichen Anforderungen sowie den Interessen der Kreditinstitute und ihrer Kunden an einem verlässlichen und sicheren Online-Banking Rechnung zu tragen, hat die Deutsche Kreditwirtschaft ein Zulassungsverfahren für Online-Bezahldienste konzipiert. Die Deutsche Kreditwirtschaft hat dieses Konzept bereits dem Bundeskartellamt und der Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) vorgestellt. Nunmehr möchte die Deutsche Kreditwirtschaft das Konzept zum Zwecke eines konstruktiven Austausches mit den Adressaten des Zulassungsverfahrens konsultieren. Um das Verständnis der beigefügten Dokumente zu erleichtern, soll die Konzeption des angedachten Zulassungsverfahrens nachfolgend kurz dargestellt werden. 1. Grundsätzliche Konzeption des Zulassungsverfahrens der Deutschen Kreditwirtschaft für Online-Bezahldienste Das von der Deutschen Kreditwirtschaft erarbeitete Konzept eines Zulassungsverfahrens soll die Sicherheit des Online-Banking bei der Nutzung von Online-Bezahldiensten gewährleisten. Dabei wird ein zweistufiger Ansatz verfolgt: Zunächst müssen die Online-Bezahldienste von der Deutschen Kreditwirtschaft vorgegebene funktionale Anforderungen und/oder Sicherheitsanforderungen erfüllen und deren korrekte Umsetzung in einem Zertifizierungsverfahren nachweisen (Stufe 1). Dabei bestehen für Online-Bezahldienste je nach Ausgestaltung des Zugangs zu den Systemen der Kreditwirtschaft zwei Möglichkeiten, um diesen Nachweis zu führen (dazu näher unter 2.). Daneben ist in einem zweiten Schritt vorgesehen, dass die von der Deutschen Kreditwirtschaft sicherheitstechnisch zertifizierten Online-Bezahldienste Kooperationsvereinbarungen mit den kontoführenden Instituten abschließen, in denen die Nutzung der Online-Banking-Schnittstelle und weitere Details der Zusammenarbeit geregelt werden sollen (Stufe 2). Diese Anforderung dient zum einen dazu, die Entscheidungsfreiheit der Banken und Sparkassen bezüglich der Ausgestaltung der Kooperation mit den jeweiligen Online-Bezahldiensten zu gewährleisten. Denn je nach Ausgestaltung des Online-Bezahldienstes können sich unterschiedliche wirtschaftliche Auswirkungen o- der Risiken für die Institute ergeben, die der Abstimmung bedürfen. Außerdem erfordern folgende rechtliche Aspekte zwingend eine vertragliche Vereinbarung: Das kontoführende Institut ist gemäß der vertraglichen Vereinbarung mit dem Kunden nur gegenüber diesem verpflichtet, Online-Banking-Dienstleistungen zu erbringen. Dritte können aus dieser Vereinbarung zwischen kontoführendem Institut und Kunden keine Rechte herleiten, so dass sie einen eigenständigen vertraglichen Anspruch benötigen, um auf das Online-Banking des Instituts zuzugreifen und die Leistungen des Kreditinstituts an Händler weiterzuverkaufen. Mit dem Zugriff auf das Online-Banking entstehen dem kontoführenden Institut oftmals auch gesonderte Kosten, die von dem beim Online-Banking eingeschalteten Rechenzentren in Rechnung gestellt werden. Nur mit einem Vertrag zwischen Kreditinstitut und Online-Bezahldienst kann eine verursachergerechte Kostenveranlagung erzielt werden.

3 Seite 3 von 5 Die Kontoführungsdatenbanken der Kreditinstitute sind von urheberrechtlichen Schutzrechten erfasst. Auch aus diesem Grund ist eine Zustimmung des Instituts in den Zugriff eines Dritten erforderlich. Bei beiden o.g. Varianten bedarf es einer Vereinbarung, welche Zahlungsnachrichten das Kreditinstitut dem Online-Bezahldienst zur Verfügung stellen soll. Bei Variante 2 muss zudem vertraglich gewährleistet sein, dass der Kunde rechtswirksam das Institut vom Bankgeheimnis entbindet, wenn es berechtigten Online-Bezahldiensten Einblick in die Kontoführungsdaten des Kunden gewährt. Bei beiden o.g. Varianten muss die Haftungsverteilung im Fall von Missbräuchen vorab vertraglich geregelt werden. 2. Sicherheitstechnische Vorkehrungen bzw. Anforderungen an Online-Bezahldienste Den eigentlichen Gegenstand dieser Konsultation bilden die funktionalen und/oder sicherheitstechnischen Anforderungen an Online-Bezahldienste (Stufe 1 des Zulassungsverfahrens). Die konkrete Ausgestaltung des Zertifizierungsverfahrens, in welchem die Einhaltung dieser Anforderungen nachgewiesen wird, wird Gegenstand einer weiteren Konsultation sein. Im Folgenden werden zwei Ansätze für die Zulassung beschrieben: Aus Sicht der Deutschen Kreditwirtschaft ist es sicherheitstechnisch vorzugswürdig, über technische Vorkehrungen zu gewährleisten, dass Online-Bezahldienste ihre Dienste verlässlich ausführen können, ohne auf die Legitimationsdaten des Kunden zugreifen zu müssen. Dies kann durch Nutzung der sogenannten ZOB-Seite erreicht werden (dazu unter a). Für den Fall der Weitergabe von Legitimationsdaten an Online-Bezahldienste muss der Online- Bezahldienst Sicherheitsanforderungen erfüllen, die denen eines Bankenrechenzentrums entsprechen (dazu unter b), um das Sicherheitsniveau des Online-Banking zu wahren. a) Zahlungs-Online-Banking-Webseite (ZOB-Seite) Das als Anlage 1 beigefügte Konzept für die Einführung einer ZOB-Seite bietet den Vorteil, dass der Kunde seine Legitimationsdaten auf der Seite des kontoführenden Instituts eingibt und damit selbstverantwortlich auf das Online-Banking-System zugreift. Auf diese Weise werden die unter 1.) beschriebenen Folgeprobleme vermieden, die dadurch entstehen, dass Dritte Kenntnis von Legitimationsdaten und Kontoführungsdaten des Kunden erlangen. Darüber hinaus hat das Konzept für die Online-Bezahldienste den Vorteil, dass sich die Überprüfung der sicherheitstechnischen Anforderungen anders als bei den unter b) dargestellten Sicherheitsanforderungen auf einige wenige Aspekte beschränken kann, was insbesondere auch für neu in den Markt eintretende Anbieter den Vorteil hat, dass sie kein hochkomplexes Rechenzentrum betreiben und nur eine standardisierte Schnittstelle bedienen müssen.

4 Seite 4 von 5 b) Sicherheitsanforderungen bei Übergabe der Legitimationsdaten an den Online-Bezahldienst Insbesondere um dem Umstand Rechnung zu tragen, dass es einige Zeit in Anspruch nehmen wird, bis alle deutschen Kreditinstitute ZOB-Seiten anbieten werden, wurden parallel Sicherheitsanforderungen für Online-Bezahldienste aufgestellt, die (weiterhin) Legitimationsdaten entgegen nehmen. Um die Kunden der Banken und Sparkassen vor Schäden durch Missbrauch von ausgespähten Legitimationsdaten zu schützen und damit einhergehende Reputationsschäden für das Online-Banking zu vermeiden, müssen diese Anbieter Sicherheitsanforderungen erfüllen, die inhaltlich den Anforderungen entsprechen, die an Bankrechenzentren gestellt werden. Das als Anlage 2 beigefügte Dokument Sicherheitsanforderungen an Online-Bezahldienste beschreibt die Anforderungen, die Online-Bezahldienste im Rahmen des Zertifizierungsverfahrens nachweisen sollen, sofern sie die Legitimationsdaten des Kunden entgegennehmen. Die Sicherheitsanforderungen sind an die internationalen Standards "PCI PIN Security Requirements" und "PCI Data Security Requirements" der internationalen Zahlungssysteme angelehnt, die ihrerseits an Dienstleister in Kartenzahlungssystemen gerichtet sind und den Schutz sicherheitsrelevanter kundenspezifischer Kartendaten wie PIN, PAN und andere Sicherheitswerte zum Ziel haben. Obgleich diese Anforderungen in einem Zahlungskartenumfeld angesiedelt sind und in bestimmten Details andere Sicherheitswerte betrachten, stellen sie den Stand der Technik in einem vergleichbaren Umfeld dar. Zudem könnte im eigentlichen Zertifizierungsverfahren auf die Expertise von im Markt etablierten Sicherheitsgutachtern zurückgegriffen werden. Diese Sicherheitsanforderungen werden im vorliegenden Dokument um spezifische Anforderungen für die betrachteten Online-Bezahldienste ergänzt, um zum Beispiel die heute in der Regel verwendete TAN ebenfalls zu adressieren. Daneben werden Prüfanforderungen definiert, die durch einen neutralen Sicherheitsgutachter angewandt werden, um in einem Sicherheitsgutachten in standardisierter Weise die Einhaltung der Sicherheitsanforderungen nachzuweisen. Das Sicherheitsgutachten wird nachgelagert durch eine Zertifizierungsstelle bewertet. Bei positiver Bewertung erhält der Online-Bezahldienst ein Zertifikat und hat damit den Nachweis erbracht, dass in seiner IT-Infrastruktur die Sicherheitsdaten der Kunden vergleichbar sicher behandelt werden, wie in der Sicherheitsinfrastruktur der Banken und Sparkassen. Darüber hinaus muss sich der zertifizierte Online-Bezahldienst vertraglich gegenüber dem teilnehmenden Institut verpflichten, die sicherheitstechnischen Anforderungen auch zukünftig zu erfüllen. Zuletzt können die teilnehmenden Institute mit ihren Kunden die Bedingungen für die Nutzung des Online-Bezahldienstes vereinbaren. Im Rahmen eines Konsultationsverfahrens bittet die Deutsche Kreditwirtschaft nun Marktteilnehmer um Kommentierung der beigefügten Dokumente. Mit Hilfe dieser Konsultation soll sichergestellt werden, dass die von der Kreditwirtschaft aufgestellten Anforderungen einerseits zur Wahrung der Sicherheitsanforderungen geeignet sind, zugleich aber auch praxisgerecht sind.

5 Seite 5 von 5 Wir laden Sie herzlich ein, an diesem Konsultationsverfahren teilzunehmen und erbitten um Rücksendung Ihrer Anmerkungen bzw. Änderungsvorschläge (ggf. mit Begründung/Erläuterung) bis zum 15. August 2013 an die oben genannte Adresse. Selbstverständlich stehen wir Ihnen für Rückfragen gerne zur Verfügung. Mit freundlichen Grüßen für Die Deutsche Kreditwirtschaft Deutscher Sparkassen- und Giroverband e.v. i. A. Anlagen: ZOB-Konzept Sicherheitsanforderungen an Online-Bezahldienste