Instant Payments: Segen oder Chaos mit Ansage?

Was die Europäer 2018 erwartet, klingt gut: Ein neues europäisches Zahlungssystem, das jeder Kon­to­in­ha­ber in Europa nutzen kann. Geldtransfers werden 365 Tage im Jahr möglich sein und sind europaweit innerhalb von maximal 10 Sekunden abgeschlossen. Instant Payments soll nicht nur im Online-Banking verfügbar sein, sondern auch im Handel an der Kasse, im Internet und als App auf dem Smartphone. Und auch der Datenschutz ist gewährleistet. Wirklich gut, was die Europäische Zentralbank da beschlossen hat, oder?

von Ralf Gladis, CEO Computop

Eine gute Idee muss auch gut umgesetzt werden, und an der Stelle tauchen im gerade laufenden Konsultationsverfahren besorgniserregende Details auf. Instant Payments müssen natürlich sicher sein. Die Sicherheit von Zahlungssystemen regelt in Europa ab 2018 die PSD2 (Payment Service Directive), die eine starke Zwei-Faktor-Authentisierung der Benutzer vorsieht: der Benutzer muss etwas wissen, zum Beispiel eine PIN, und er muss etwas haben, zum Beispiel ein Smartphone, das eine TAN empfängt.

Die European Banking Association (EBA) legt gerade Standards für Instant Payments fest (SCT Inst), die starke Authentisierung (SCA) gehört aber nicht mehr zum Scope. Laut PSD2 soll Verantwortung für die Sicherheit tragen, wer die Zahlung auslöst, also die Händler-Bank, ein Payment Service Provider (PSP) oder der Händler selbst.

Genau hier droht das Chaos: Wenn Händler, Banken und PSPs die Authentisierung des Kunden unterschiedlich durchführen, entsteht für den Konsumenten kein einheitliches Bild von Instant Payments.”

Aus Sicht eines PSPs wie Computop könnte Instant Payments im Online-Shop Zahlungsmethoden wie Vorkasse, Online-Banking und Lastschriften ersetzen. Wenn die Authentisierung bei Instant Payments in jedem Shop anders abläuft, wird das die Käufer irritieren und die Akzeptanz von Instant Payments beschädigen und verlangsamen.

Um Instant Payments zum Erfolg zu führen, sollte die EBA zumindest einen Minimalstandard für die Authentisierung festlegen, den alle Teilnehmer nutzen können, wenn sie keine eigene Authentisierung erfinden wollen.”

Wenn aber von Anfang an alle Teilnehmer eigene Authentisierungsmethoden einsetzen, wird das die Konsumenten stark irritieren.

Ein Standard ist notwendig – der darf die kleinen Anbieter aber nicht benachteiligen

Ein Standard für die Authentisierung von Instant Payments ist auch notwendig, um die Konzentration im Markt zu vermeiden. Soll ein Kunde authentisiert werden, muss man ihn erst identifizieren. Die dafür notwendige Selbstregistrierung der Kunden ist aufwändig. Die Konsumenten werden sich bei Amazon, OTTO oder Zalando sicher problemlos registrieren, weil sie dort häufiger einkaufen. Aber lohnt sich der Aufwand einer Registrierung auch in einem kleinen Shop, den man nur einmal im Jahr nutzt? Durch die notwendige Registrierung droht ein Konzentrationsprozess im Online-Markt, der die Großen bevorzugt und die Kleinen benachteiligt. Das kann nicht gewollt sein. Auch deshalb sollte es für Instant Payments einen Standard für die Authentisierung geben, den kleine Händler ohne komplizierte Registrierungsprozesse nutzen können.

Der Markt wird das alleine nicht schnell lösen können, weil die Bereitstellung einer regulatorisch konformen Authentisierung zum einen die Registrierung von Millionen Konsumenten erfordert und zum anderen die Implementierung in vielen Tausend Online-Shops notwendig macht. Im stationären Handel ist die Lage ähnlich kompliziert: Wenn die Zwei-Faktor-Authentisierung für Instant Payments und für bestehende Zahlarten erzwungen wird, kann das im Handel einen Austausch von POS-Terminals und -Software nötig machen. Das wäre ein teurer und jahrelanger Prozess.

Banken, PSPs und Händler bewegen sich aktuell im regulatorischen Niemandsland.”

2018 soll Instant Payments verfügbar sein. Um Wettbewerb und Innovation zu stärken, ist ausdrücklich vorgesehen, nicht regulierten Dritten wie FinTechs oder PSPs den Zugang zu Instant Payments zu gewähren. Allerdings ist eine Erlaubnis oder eine kleine Regulierung nötig. Da solche Regulierungsprozesse viel Zeit in Anspruch nehmen, wird es höchste Zeit, Klarheit über die Anforderungen zu schaffen, damit alle Marktteilnehmer die Zeit haben, sich auf Instant Payments und Zwei-Faktor-Authentisierung vorzubereiten. Viele Experten zweifeln heute schon, ob der Zieltermin 2018 zu halten sein wird.

Instant Payments und starke Authentisierung sind gut für Europa. Deshalb sollten wir uns bei der Regulierung und Umsetzung keine vermeidbaren Fehler leisten.aj