DK Infoveranstaltung. girocard im Internet. Matthias Hönisch, BVR. Berlin, 9. September 2013

Transkript

1 DK Infoveranstaltung girocard im Internet Matthias Hönisch, BVR Berlin, 9. September 2013

2 Themen Grundsätzliche Marktbetrachtungen Neue regulatorische Vorgaben Die Vision: girocard im Internet

3 Titel der Veranstaltung, Datum DYNAMIK

4 Der Fokus der DK liegt noch auf klassischem POS Geschäft. E-Commerce und M-Commerce sind aber adressiert Im Einzelhandel (POS) dominiert Bargeld und girocard im E-Commerce dominieren Vorauskasse / Rechnung und PayPal M-Commerce könnte für neue Anbieter das Einfallstor in das POS Geschäft sein. Hauptfokus der Banken liegt (noch) auf dem klassischen EH >600 Mrd. >35 Mrd.? Klassischer EH E-Commerce M-Commerce Bargeld: ~300 Mrd. Rechnung: >10 Mrd.? girocard: ~125 Mrd. PayPal: > 9 Mrd.?. Titel der Veranstaltung, Datum 4

5 Steigende Risikokosten und sinkende Erlöse sind wichtige Determinanten für die Authentikationsstrategie der Banken FRAUD FÜR Kartenherausgeber (Erfahrungen aus EU-Ländern (aus Internet - Transaktionen): Frankreich / UK: Fraud Rate aus 2012: >0,34% (jeweils > 200 Mio. ) (Europol-Zahlen für EU: > Mio. p.a.) Zur Info: Fraudkosten bei PayPal: >0,3%*. ERLÖSE FÜR KARTENHERAUSGEBER Vorschlag der EU für künftige Interchange in der EU: max. 0,2% Debit max. 0,3% Kredit Daraus ergibt sich u.a., dass Transaktionen nur mit softwarebasierter Sicherheit dazu führen werden, dass dieses Geschäft für Banken wirtschaftlich anspruchsvoll ist. Fraud-Bekämpfung und Konditionengestaltung ein sehr wichtiges Thema ist Titel der Veranstaltung, Datum *(vgl. ebay / PayPal report Q3-2012)

6 Themen 1. Grundsätzliche Marktbetrachtungen 2. Neue regulatorische Vorgaben 3. Die Vision: girocard im Internet

7 EZB und nationale Behörden demonstrieren Entschlossenheit bei der Einführung stringenter Regeln für Internet-ZV SecuRePay Forum Europ. Forum zur Sicherheit des ZV (Online/ Karte / etc.) Ausblick / Fokus der EZB: Mobile Zahlungen / NFC PSD II Erweiterter Info-Zugriff von Behörden PAA (Payment Account Access) Diskussion Umsetzung bis Diskussion Umsetzung tbd Titel der Veranstaltung, Datum

8 SecuRePay: Eine einschneidende Regulierung Was ist SecuRePay? Am 31. Januar 2013 hat die EZB das Dokument Recommendations for the Security of Internet Payments (SecuRePay) veröffentlicht. Die Bankaufsicht (BaFin) wird diese Empfehlungen bis zum 1. Februar 2015 umsetzen (MaRisk). Damit sind dies Vorgaben für Banken (und keine Empfehlungen) für die Jahresabschlussprüfung (vgl. 25a KWG). Zusätzlich können sich durch die PSD II (Payment Service Directive) weitere Verschärfungen ergeben - insbesondere bei der Transaktionsabsicherung. Titel der Veranstaltung, Datum

9 SecuRePay führt zu einer Veränderung bei Bezahlprozessen Was heißt das konkret? Allein Username / Password -basierte Zahlungssysteme können die Anforderungen an Strong Authentication nicht erfüllen. Kreditkartenzahlungen im E-Commerce allein mit der PAN und dem expirydate (ohne Hintergrundabsicherung), erfüllen die Anforderungen nicht. Auch PayPal Zahlungen sind betroffen, zumal auch das Auffüllen mit echtem Geld z.b. per Kreditkarte oder per giropay nur mit starker Authentikation durchzuführen sein dürfte. Authentikationsverfahren, die dasselbe Mobiltelefon zur Transaktionsabwicklung und zum Erhalt einer Mobil-TAN nutzen, dürften die Anforderungen an Strong Authentication nicht erfüllen. Titel der Veranstaltung, Datum

10 SecuRePay und steigende fraud-raten führt zu einer Veränderung bei Bezahlprozessen nicht nur bei klassischen Banken.. Wie geht z.b. PayPal damit um? Titel der Veranstaltung, Datum

11 PayPal ändert die Authentikationsstrategie Konversion findet also doch statt neben SecuRePay gibt es eine Reihe weiterer Gründe, warum rein username / password basierte Systeme nicht mehr zeitgemäß sind Passwords just do not work: Titel der Veranstaltung, Datum

12 Die Grundzüge der Authentikationsstrategien werden durch SecuRePay beeinflusst Bei SecuRePay wird unter einer starken Kundenauthentikation ein Verfahren verstanden, das mindestens zwei der folgenden Merkmale verbindet: 1. etwas, das nur der Kunde weiß (Passwort, PIN) WISSEN 2. etwas, das nur der Kunde besitzt (z.b. Token, Smart Card) BESITZ 3. etwas, das der Kunde ist (biometrisches Merkmal) Sein (z.b. BIOMETRIE) Aber: Die Sicherheitsmerkmale Wissen und Sein (Biometrie) sind prinzipiell wiederverwertbar und kopierbar. Zudem werfen biometrische Verfahren datenschutzrechtliche Fragestellungen auf. Titel der Veranstaltung, Datum

13 Da smartphones (eher) unsicher sind, braucht man einen sicheren Anker im ZV-Prozess ODER Titel der Veranstaltung, Datum Spiegel online 27. Feb es bedarf eines überragenden Anti-Fraud-Systems

14 Themen 1. Grundsätzliche Marktbetrachtungen 2. Neue regulatorische Vorgaben 3. Die Vision: girocard im Internet

15 Die Vision: girocard im Internet

16 Technik: girocard im E-Commerce Händler Issuer girocard im E-Commerce nutzt etablierte Infrastrukturen der POS-Welt weiter VPN 1 PSP ISO8583 Autorisierungssystem girocard / Kopfstellen SSL VPN 2 Nachweis der Authentisierung Was der Kunde sieht : Kundenauthentikation Kunde Personal Device Kundendevice SSL Authentikationssystem girocard Titel der Veranstaltung, Datum

17 Die Vision: girocard im E-Commerce Authentikationsstrategie girocard im E-Commerce lässt den Zahlungsdienstleistern die Freiheit bzgl. Ihrer Authentikationsstrategie: 1. Variante POS : Verwendung eines Hardware Lesers und der girocard, Übermittlung der Kryptographie-Daten via Bluetooth 2. Variante Bankleitzahl : Routing zur Bank via Bankleitzahl: dort Eingabe username / password, dann Eingabe z.b. mobile TAN 3. Variante optische Kopplung / Flicker-Verfahren : Verwendung eines Hardware Lesers und der girocard, Übermittlung der Kryptographie-Daten via optischer Kopplung (analog heutiger SmartTAN plus -Online-Banking-Lösung)

18 girocard bietet für die Zahlungsdienstleister verschiedene Optionen der Authentikation an Option 1 POS-Modus Option 2 Bankleitzahl-Modus Option 3 Optische Kopplung (Flicker) Eingabe BLZ

19 Anmerkungen zu den Optionen Option 1 (POS-Bluetooth Modus): Nahezu alle Endgeräte (PC, Tablets, Smartphones) haben heute eine Bluetooth Schnittstelle Bluetooth ist sicherheitstechnisch (hier) unkritisch, da die EMV- Kryptogramme nur transaktionsbezogen gültig sind. Option 3 (Optische Kopplung): Die Strategie folgt der Sicherheitsstrategie im Onlinebanking: bestehende Infrastruktur kann wiederverwendet werden. Weit über die Hälfte der deutschen Online-Banking-Nutzer nutzen bereits heute Hardware-Absicherung in Form von Chip-Tan Leser bzw. Secoder (jeweils ~ ¾ der Online-Banker der Sparkassen und der Volksbanken Raiffeisenbanken)

20 Transaktionsablauf aus Kundensicht am Beispiel der Option 1 // Auswahl des Zahlverfahrens Anzeige auf dem Kundendisplay Kunde wählt girocard als Zahlverfahren aus

21 Anzeige auf dem Kundendisplay System erkennt, dass Kunde Option 1 (POS- Modus) nutzen wird

22 Der Prozess folgt dem bekannten Ablauf am POS Kunde führt Chip in Lesegerät ein girocard-pin wird eingegeben EMV Kryptogramm wird errechnet und via bluetooth übertragen

23 Der Händler erhält eine Zahlungsgarantie der Bank Anzeige auf dem Kundendisplay Händler PSP Issuer Autorisierung Kunde Authentisierung Transaktion ist abgeschlossen

24 Was ist girocard im E-Commerce? Technik: Nutzt vorhandene Infrastrukturen bei Banken und bei Kunden (basiert auf EMV, nutzt die bestehenden Autorisierungs-Kopfstellen etc.) Potential: > 93 Mio. Karten Regulatorik / Entgeltmodell: Konform mit bestehenden und anstehenden regulatorischen Anforderungen Marktbedarf: Kunden wollen ein vertrautes und (wirklich) sicheres Zahlverfahren (GfK-Studie abgeschlossen) Händler wollen ein kostengünstiges und weitverbreitetes Zahlverfahren (Diskussion mit EHI vor dem Abschluss)

25 Nächste Schritte Wie geht es weiter? Status der Spezifikationen: Draft 1.0 (Option 1) Einbeziehung der Netzbetreiber im Sommer 2013, Diskussion mit Bundesbank (September 2013) und Bundeskartellamt Überarbeitung der Vertragswerke und Kundenbedingungen Vertrieb über klassische girocard-netzbetreiber und neue girocard - E-Commerce Netzbetreiber bzw. PSPs Erste Freischaltung von Kunden vermutlich Ende 2014

26 Zusammenfassung Große Dynamik am Markt: epayment und Mobile als Mega-Themen, aber: Tendenz, dass Regelverstöße (zumeist von nicht regulierten Unternehmen) als Innovationen verkauft werden. Zudem massive regulatorische Anforderungen (SecuRePay, PSD II, Begrenzung der Erlöse, Datenschutz etc.) für regulierte Player. Konvergenz wird kommen (aber anders als gedacht): stärkere Transaktionsabsicherung wird durch Regulator vorgeschrieben. girocard wird für den E-Commerce geöffnet. Titel der Veranstaltung, Datum 26

27 Danke für die Aufmerksamkeit Titel der Veranstaltung, Datum 27