Fünf Payment-Trends, die die PSD2 bringt

Der erste Startversuch der neuen EU-Zahlungsrichtlinie PSD2 ist gründlich schiefgegangen: Knapp drei Wochen vor dem geplanten Start am 14.9.2019 hat die deutsche Finanzaufsicht Bafin   die Notbremse gezogen. Sie gewährte Onlineshops einen Aufschub für die Umsetzung der strengen Vorgaben zur Nutzeridentifikation bei Kreditkartenzahlungen. "Zahlungsdienstleister mit Sitz in Deutschland dürfen Kreditkartenzahlungen im Internet weiterhin auch ohne die sogenannte starke Kundenauthentifizierung ausführen", teilte die Bafin mit. Die Bafin wird es nicht beanstanden, wenn noch die alten Verfahren verwendet werden.

Dabei ist bislang völlig unklar, wie lange sie diese Übergangsfrist anhalten wird. Sicher ist nur: Die Bafin hat die Entscheidung wohl nicht ganz alleine gefällt, sondern auf Befindlichkeiten anderer Länder Rücksicht genommen. Denn tatsächlich hatte zuerst die europäische Bankenaufsicht Eba   signalisiert, nationalen Behörden ein längeres Zeitfenster für die Umsetzung einzuräumen. Dänemark, Großbritannien, Frankreich, Irland, Italien und die Niederlande nahmen die Gelegenheit dankbar wahr und räumten bereits im Juni eine Frist zur Umsetzung von 18 Monaten ein. Diese Entscheidung dürfte wohl auch die deutsche Aufsichtsbehörde beeinflusst haben: Denn unterschiedliche Starttermine in den verschiedenen Mitgliedsstaaten würden paneuropäisch agierende Händler vor Probleme stellen.

Doch aufgeschoben ist nicht aufgehoben. Die vollständige Umsetzung der PSD2 wird kommen - und hat das Zeug, den Finanzmarkt durcheinanderzuwirbeln. Nur auf den ersten Blick ist die Direktive ein harmloser Verwaltungsakt, der nichts anderes bewirken soll, als zwei Fliegen mit einer Klappe schlagen:

• Sie soll den Zahlungsverkehr sicherer machen und
  
• zugleich die Markteintrittsbarrieren für Zahlungsanbieter senken (Open Banking).

Mit dem ersteren Teil dürften inzwischen schon beinahe alle Verbraucher der EU in Berührung gekommen sein, seit es beim Login zum Homebanking nicht mehr genügt, sich mit Benutzernamen und Passwort anzumelden. Neuerdings ist eine Authentifizierung über zwei Faktoren erforderlich, die dabei aus zwei von drei unterschiedlichen Kategorien stammen müssen. Vorgesehen sind diese Kategorien:

• Wissen (Passworter, PIN, persönliche Daten, Antworten auf Sicherheitsfragen etc.)
  
• Besitz (Zahlungskarte, Smartphone, TAN-Generator etc.)
  
• Biometrie (Fingerabdruck, Iris, Gesichts- oder Stimmerkennung etc.)

Smartphone rückt in den Mittelpunkt

Bei regulären Kartenzahlungen in einem Geschäft oder an einem Terminal ändert sich dadurch nichts. Dort wird schon immer eine Zahlungskarte (Sicherheitsfaktor: Besitz) mit einer PIN (Sicherheitsfaktor: Wissen) kombiniert (für Kleinbeträge unter 30 Euro entfällt auch zukünftig die Authentifizierungspflicht).

Komplizierter sieht es bei Online-Zahlungen oder dem Zugang zum Konto aus. Um eine Kreditkartenzahlung auszulösen, genügte bislang das Wissen um die Kartennummer und Sicherheitscode. Auch bei einer Überweisung vom Girokonto genügte bislang die Kenntnis von Benutzername und Passwort sowie einer gültigen TAN. Beide Faktoren stammen aus der Kategorie Wissen (gedruckte iTAN-Listen sind nach der PSD2 ohnehin nicht mehr zulässig). Nach der PSD2 sehen die typischen Homebanking-Szenarien daher so aus:

• Der Kunde loggt sich wie bisher im Browser mittels Benutzernamen und Passwort ein (Sicherheitsfaktor: Wissen). Zusätzlich wird ihm ein Einmal-Passwort auf sein Smartphone bzw. der dort installierten App geschickt (Sicherheitsfaktor: Besitz), das er in den Browser übertragen muss.
  
• Alternativ öffnet er die Homebanking-App auf seinem Smartphone und authentifiziert sich mittels Fingerabdruck (Biometrie). Da die App auf dem registrierten Gerät läuft, ist zugleich das zweite Sicherheitskriterium (Besitz) erfüllt.

Genauso läuft das Verfahren ab, wenn eine Überweisung ausgelöst werden soll:

• Nach der Anmeldung im Browser mittels Benutzernamen und Passwort (Sicherheitsfaktor: Wissen) wird ein Einmal-Passwort an eine auf dem Smartphone installierte App geschickt (Sicherheitsfaktor: Besitz) und dann abgetippt.
  
• Wird eine Smartphone-App für das Homebanking verwendet, kann das Einmalpasswort automatisch an die Banking-App übertragen werden, da das Smartphone bereits den zweiten Sicherheitsfaktor (Besitz) erfüllt.

Analog dazu funktioniert das Verfahren für Kreditkartenzahlungen: Auch hier muss die Zahlung zusätzlich über einen zweiten Faktor bestätigt werden - häufig mit dem ans Handy geschickten Einmal-Passwort. Von diesem Verfahren sind auch Zahlungen betroffen, die durch eine beim Händler- oder Zahlungsdienstleister hinterlegte Kreditkarte ausgelöst werden. Das heißt: Wenn ein Kunde mit Kreditkarte zahlen will, muss er jeden Einkauf mit einer Zwei-Faktor-Authentifizierung bestätigen.

Händler müssen nichts tun

Die gute Nachricht für Onlinehändler lautet dabei: Sie selbst müssen nichts tun. Die Vorgaben der PSD2 müssen von den Anbietern der Zahlungsdienste, also den Kreditkartenunternehmen, Banken oder Paypal erbracht werden. Und nicht von Onlinehändlern.

Aber es gibt auch eine schlechte Nachricht. Sie lautet: Je nach Ausgestaltung des Paymentprozesses kann er zum wahren Conversionkiller werden. Im besten Fall würde das Handy kurz vibrieren und der Nutzer müsste lediglich eine Pushnachricht biometrisch bestätigen. Im schlechtesten Fall wird dem Kunden jedoch ein Einmal-Passwort auf sein Smartphone geschickt, das er zur Authentifizierung manuell in seine (ebenfalls zu öffnende) Homebanking-App übertragen muss, um dann die Zahlung auszulösen. Ein umständliches Verfahren, das im schlimmsten Fall sogar zum Kaufabbruch führen kann - insbesondere, wenn das Produkt auch bei anderen Händlern verfügbar oder der Kaufdruck gering ist.

Allerdings erscheint es auch unwahrscheinlich, dass der Onlinehandel insgesamt große Umsatzeinbußen erleiden wird, wie manche Pessimisten befürchten. Die wenigsten Verbraucher werden wohl nicht wegen einer Komplikation im Bezahlverfahren gleich ihr gesamtes Einkaufsverhalten ändern. Eher werden sie Vermeidungsstrategien entwickeln.

Kunden werden einfache Prozesse suchen

Zunächst bietet es sich beispielsweise an, zu einem Händler zu wechseln, der ein einfacheres Verfahren anbietet. Google Pay   oder Apple Pay   haben das Potential, trotz 2-Faktor-Authentifizierung ein bequemes Zahlverfahren zu sein. Solange sich der Mehraufwand darauf beschränkt, eine Pushnachricht mit einem Fingerabdruck zu bestätigen, könnte diese zusätzliche Verifizierung vom Verbraucher sogar als Sicherheitsgewinn empfunden werden.

Außerdem sind der Einkauf auf Rechnung oder der Lastschrifteinzug nicht von den neuen Bestimmungen betroffen. Wer bei seinem Händler eine dieser beiden Bezahlarten wählt, kommt ohnehin an der 2-Faktor-Authentifizierung vorbei. Gerade in Deutschland erfreuen sich diese Zahlarten hoher Beliebtheit. Ob sich diese Auslegung auch auf Paymentdienste wie Paypal   ausdehnen lässt und ob sie ihren Kunden Bezahlprozesse zumuten wollen, die sich je nach hinterlegtem Zahlungsmittel unterscheiden, bleibt hingegen abzuwarten.

Zudem bieten sich zwei weitere Schlupflöcher an: Zum einen kann der Kunde bestimmte Zahlungsempfänger auf eine Whitelist setzen lassen. Händler und Marktplätze vom Schlage eines Amazon   oder Ebays   könnten davon profitieren. Außerdem dürfen Zahlungsanbieter anhand einer Transaktions-Risiko-Analyse (TRA) ermitteln, ob bestimmte Vorfälle unter einer bestimmten Risikoschwelle liegen. Ist dies der Fall, dürfen sie ebenfalls auf die Zwei-Faktor-Authentifizierung verzichten.

5 Payment-Trends, die die PSD2 auslösen wird

Klar ist dagegen soviel: Die PSD2 kommt mit Verspätung - aber sie kommt. Schon alleine die teilweise Verschiebung des Starts kann als Indiz dafür gewertet werden, dass sie zu bedeutenden Verwerfungen führen wird. Wäre es anders, hätten die betroffenen Akteure nicht mehr Zeit für Anpassungen eingefordert. Der Aufschub gibt den Akteuren mehr Zeit, wird die Marktveränderungen aber nicht aufhalten.

• Smartphone nimmt zentrale Rolle ein
  Mobile Payment und Smartphone-Banking wird schon seit geraumer Zeit eine goldene Zukunft vorhergesagt. Bislang blieb die Marktdurchdringung - gerade in Deutschland - jedoch deutlich hinter den Erwartungen zurück. Die PSD2 wird diesbezügliche Vorbehalte nicht wirkungslos machen - aber mit Sicherheit abbauen. Die überwiegende Mehrheit der Homebanking-Kunden wird sich vermutlich eine Banking-App auf das Smartphone installieren. Weil es die praktikabelste Art ist, Einmalpassswörter zu empfangen. Sehr viele Kunden werden das Smartphone aber nicht nur als Chip-TAN-Generator verwenden, sondern auch zum Banking einsetzen. Weil das Smartphone den größten Zugangskomfort bietet. Dies wird zu einem mentalen Paradigmenwechsel führen: Während seit der Erfindung von Btx für viele Kunden Homebanking und PC zusammengehören, wird in Zukunft die Verbindung Homebanking und Handy selbstverständlich sein. Dies wird dazu führen, dass auch die diffusen Sicherheitsbedenken abgebaut werden, die bislang viele Menschen von mobile Payment abhalten.
  
  
• Lastschrift und Rechnung werden gewinnen
  Deutschland war noch nie ein Kreditkartenland. Die PSD2 wird daran nicht viel ändern - eher im Gegenteil. Aus Verbrauchersicht werden Lastschrift und Rechnungskauf in Zukunft zu den komfortabelsten Zahlarten im Online-Handel gehören. Wer einfache Zahlungsprozesse schätzt, wird von der komplexen Anwendung einer Kreditkartenzahlung überrascht sein. Höchstens bei der gefühlten Sicherheit kann die Kreditkarte in Zukunft punkten, wenn eine Zahlung durch 2-Faktor-Authentifizierung zusätzlich bestätigt werden muss. Unterm Strich wird die Verbreitung von Kreditkarten langfristig vielleicht aus anderen Gründen steigen - die Einfachheit des Online-Zahlungsprozesses wird wohl eher nicht dazu gehören. Für Onlinehändler wird es deshalb in Zukunft wichtiger denn je, den richtigen Zahlartenmix zu bieten.
  
  
• Marktplätze und große Händler können profitieren
  Die Möglichkeit des Whitelistening und der Transaktions-Risiko-Analysen öffnen dagegen anderen Plattformanbietern eine Türe: Insbesondere Größen wie Amazon oder Ebay, Otto oder Zalando können profitieren. Ihnen bietet sich ein Weg, die Kundenbindung zu steigern, wenn sie viele Kunden davon überzeugen, sie auf die Positivliste zu setzen. Auf diese Weise liegt es noch näher, die ohnehin zu erledigenden Einkäufe bei einigen wenigen, bevorzugten Händlern zu erledigen, mit denen der Verbraucher bereits gute Erfahrungen gesammelt hat. Für Neueinsteiger und ehrgeizige Wettbewerber werden die Einstiegshürden dagegen ein wenig höher. Zum umständlichen Anmeldeprozess kommt noch ein umständlicher Bezahlprozess dazu.
  
  
• Apple Pay und Google Pay könnten gewinnen
  Das selbe gilt für Zahlungsanbieter: Auch hier werden die Großen gewinnen. Das Smartphone steht in Zukunft mir großer Sicherheit im Mittelpunkt einer Zwei-Faktor-Authentifizierung. Entsprechend zentral ist die Rolle, die die Betriebssystemanbieter spielen dürfen. Sie haben den priviligiertesten Zugang zu Gerätefunktionen und können das Bezahlverfahren elegant in die Benutzerführung integrieren. Der Bezahlvorgang bleibt so - trotz PSD2-Konformität - elegant und komfortabel. Insbesondere Google und Apple können diesen Vorsprung nutzen. Sie werden die Messlatte für andere Zahlungsabwickler hoch legen.
  
  
• Alternative Zahlungsanbieter können profitieren
  Insofern schein es paradox, dass ein Ziel der PSD2 darin liegt, den Wettbewerb im Payment-Markt zu erhöhen und Neulingen den Zugang zu erleichtern. Die höhere Komplexität der Zahlungsabwicklung erhöht aber zugleich die Markteintrittshürden. Aber tatsächlich gibt es auch Erleichterungen: Dazu ist festgelegt, dass Banken eine Schnittstelle bereitstellen müssen, die es Drittanbietern erlaubt, Kontofunktionen auszuführen. Auch wenn sich an der Umsetzung dieser Schnittstellen Kritik entzündet, zeigt das Beispiel des Anbieters Giropay doch, wie das Ziel erreicht werden kann. Der Dienst, der Sofortüberweisungen mit Zahlungsgarantie bietet, kann dank PSD2 eine vollumfängliche Abdeckung aller Banken bieten. Bislang fehlten große Kreditinstitute wie die Deutsche Bank oder die HypoVereinsbank auf der Liste der unterstützten Banken. Damit vergrößert Giropay auf einen Schlag sein Nutzerpotential in Deutschland auf rund 45 Millionen Kunden.