Die Uhr tickt: Die Angst der Onlinehändler vor SecuRePay

Das klassische Onlinebezahlverfahren steht dank den Plänen der Europäischen Zentralbank vor dem größten Umbau seiner Geschichte (iBusiness: Payment 2015: Was sich in den nächsten 15 Monaten ändert). Doch in der ECommerce-Branche herrscht vor allem eines: Rat- und Ahnungslosigkeit, wie die iBusiness-Recherche ergeben hat. Das Schlimme daran ist: Bei denjenigen, die das Verfahren innerhalb der nächsten 12 Monate umsetzen sollen, ist es nicht besser.

Auswählen, einloggen, einkaufen - fast alle Onlinehändler bieten es ihren registrierten Kunden an, ein Kundenkonto zu eröffnen und dort Lieferadresse und präferierte Zahlart zu hinterlegen. Wer sich anschließend mit Benutzernamen und Passwort einloggt, kann den Checkout-Prozess so auf wenige Mausklicks abkürzen. Eine bequeme und kundenfreundliche Art einzukaufen, die sich in der Praxis millionenfach bewährt hat. Nun steht sie vor drastischen Einschnitten.

Beinahe unbemerkt von der deutschen Handelslandschaft wird derzeit in Deutschland und den anderen EU-Ländern an der Umsetzung einer Vorgabe Namens "Security on Retail Payments  " (SecuRePay) gearbeitet, die bereits ab dem 1. Februar 2015 angewandt werden soll. Im Kern sieht die Vorgabe vor, dass in Zukunft Internetzahlungen nur noch unter Verwendung einer "starken Authentifizierung" ausgelöst werden dürfen. Um dem Standard zu entsprechen, müssen dazu mindestens zwei der drei nachfolgend genannten Elemente überprüft werden:

• Etwas, was nur der Nutzer weiß (zum Beispiel ein Passwort, ein Code oder eine PIN)
• Etwas, was nur der Nutzer besitzt (zum Beispiel ein Token, eine Smart Card, ein Mobiltelefon)
• Etwas, was den Nutzer biometrisch auszeichnet (zum Beispiel der Fingerabdruck oder die Iris)

Die gewählten Elemente müssen außerdem unabhängig voneinander funktionieren. Das Überlisten eines Elements darf die anderen nicht kompromittieren. Mindestens ein Authentifizierungsmerkmal darf außerdem nicht wiederverwendbar und nicht reproduzierbar sein (außer um die aktuelle Transaktion abzusichern). Zudem muss sichergestellt sein, dass wenigstens eines der verwendeten Elemente nicht über das Internet entwendet werden kann.

So schwammig die Bestimmungen im Einzelnen sind, so drastisch sind die Auswirkungen in der Praxis: "Dies könnte bedeuten, dass die beliebten 'One-Click-Buy'-Verfahren in der bekannten Form künftig nicht mehr verfügbar sein werden," meint Georg Rainer Hofmann , Leiter der Kompetenzgruppe E-Commerce im eco-Verband   . Für eine genaue Einschätzung fehlen aber auch ihm noch weitere Informationen. Denn: "Es ist noch nicht völlig klar, wie sich die entsprechenden Regularien und Verordnungen gestalten werden und wie die Implementierung dieser ,Recommendations' realisiert werden." Sicher scheint jedoch schon soviel: Jeder Händler, der beispielsweise die Konto- oder Kreditkarteninformationen seiner Kunden in einem Kundenkonto speichert, muss diese mit dem neuen aufwändigen Verfahren schützen. Bis auf wenige Ausnahmen muss zudem jede Bezahltransaktion mit dem aufwändigen Prozess abgesichert werden.

Checkout-Prozesse auf dem Prüfstand

Onlinekäufer dürften ihre Einkaufsgewohnheiten also schon bald umstellen müssen. Welche Auswirkungen solche Eingriffe in den besonders sensiblen Checkout-Prozess haben werden, weiß jeder Onlinehändler aus eigener Erfahrung, der sich bereits einmal an einer Conversion-Rate-Optimierung versucht hat. Der Bundesverband des Einzelhandels (HDE)   hält das Thema daher jedenfalls für "direkt umsatzrelevant" und kritisiert, dass bislang überhaupt keine Vertreter des Handels in den Entscheidungsprozess einbezogen wurden.

Skeptisch steht man den geplanten Änderungen auch beim Bundesverband des Deutschen Versandhandels (bvh)   gegenüber und befürchtet eine Verkomplizierung des Einkaufsvorgangs. "Kunden und Händler wollen im Internet sichere, einfach zu bedienende, günstige und weit verbreitete Bezahlverfahren", meint der ECommerce-Referent des bvh, Ingmar Böckmann . "Bei der nationalen Umsetzung der Empfehlungen muss die BaFin mindestens diese vier Komponenten im Blick haben." Fraglich, ob dies der Aufsichtsbehörde gelingt, die bislang noch nicht einmal mit den Handelsvertretern Kontakt aufgenommen hat.

Preissteigerung für Payment-Dienstleistungen zu befürchten

Aber nicht nur die Umsätze sieht Böckmann in Gefahr. Auch der Markt der Payment Service Provider (PSP) könnte tiefgreifende Einschnitte erfahren. Je komplexer und aufwändiger die Anforderungen an eine starke Authentifizierung werden, desto tiefgreifender werden die zu erwartenden Auswirkungen: "Wären Authentifizierungsverfahren beispielsweise nur noch hardwarebasiert möglich, wäre das nicht verbraucherfreundlich, weil fehlende Standards zu einer Vielzahl unterschiedlicher Authentifizierungsverfahren führen würden. Die kurze Frist zur Umsetzung begünstigt diese Tendenz. Dadurch ist zu befürchten, das ein großer Teil der PSP vom Markt verschwinden wird. Als Folge dieser Marktverdrängung werden sich Payment-Dienstleistungen verteuern."

Allerdings lassen die vagen Vorgaben eher Raum für vielfältige Befürchtungen als für konkrete Prognosen. Selbst die vermeintlich betroffenen Experten tappen elf Monate vor dem SecuRePay-Startschuss noch im Dunkeln: "Letztendlich müssen zuerst die Zahlungsmittelbetreiber die entsprechenden Änderungen vornehmen", meint etwa ein Sprecher des Bezahldienstleisters PayOne    auf Anfrage. "Von den Zahlungsmittelanbietern wie Visa  , Mastercard   oder Paypal haben wir diesbezüglich noch absolut gar nichts gehört." Das Problem: "Es gibt aktuell keine echten Vorgaben, sondern nur relativ weich formulierte Empfehlungen. Es wird daher schwierig werden, einen Marktteilnehmer zu finden, der konkrete Umsetzungsideen präsentiert und damit auch für andere die Aufklärungsarbeit übernimmt." Kein Marktteilnehmer will sich vorzeitig aus der Deckung wagen.

Tatsächlich: Auf Nachfrage ist Visa nur ein Allgemeinplatz zu entlocken ("Mit einen mehrstufigen Sicherheitsansatz bietet Visa Europe Karteninhabern und Händlern eine sichere und bequeme Shopping-Erfahrung"), während Mastercard die Verantwortung gleich auf den Händler schiebt ("Dies bedeutet, dass von unserer Seite alle erforderlichen Technologien bereitstehen bzw. bereits angewendet werden, um entsprechenden Anforderungen gerecht zu werden. Welche Technologien auf Seiten des Händlers eingesetzt werden, liegt im Verantwortungsbereich des Händlers"). Paypal teilt auf Nachfrage lediglich mit, dass man sich "zum gegenwärtigen Zeitpunkt" zu dem Thema "nicht äußern" möchte. Anfragen bei den Bezahldiensten Clickandbuy   und "Bezahlen mit Amazon  " gehen sang- und klanglos unter und werden gar nicht beantwortet.

Wen die neuen Regeln betreffen

So bleibt schon die grundlegende Frage unbeantwortet, wen die Vorschriften eigentlich betreffen und welche Bedeutung sie überhaupt haben. Schließlich handelt es sich keineswegs um eine EU-Richtline, die in nationales Recht umgewandelt werden muss, sondern lediglich um die Empfehlungen eines bislang kaum bekannten Gremiums von Bankvertretern.

Das Papier entspringt dem "European Forum on Security of Retail Payments", das 2011 als freiwillige Kooperation zwischen der Europäischen Zentralbank   sowie 27 nationalen Notenbanken und den Finanzaufsichtsbehörden der EU-Länder ins Leben gerufen wurde. Für Deutschland sind die Deutsche Bundesbank   und die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin)   berufen. Die Europäische Kommission und Europol nehmen als Beobachter teil.

Ziel des Forums ist es, mit europaweit einheitlichen Regelungen den Betrug bei Internetzahlungen einzudämmen und das Vertrauen der Verbraucher in Internetzahlarten zu stärken. Da das Gremium keinerlei gesetzgeberische Kraft hat, kann es lediglich Empfehlungen ("Recommendations") aussprechen. Allerdings haben sich die beteiligten Notenbanken und Behörden darauf verständigt, diese bis zum 1. Februar 2015 anzuwenden.

In Deutschland wird die BaFin daher von den Zahlungsanbietern, die sie beaufsichtigt, verlangen, dass sich diese an die SecuRePay-Richtlinien halten. Von Bezahldiensten, die im europäischen Ausland ansässig sind, wird von den dortigen Aufsichtsbehörden dasselbe erwartet. Darüber hinaus hat das Forum in seinem Papier schriftlich dargelegt, dass es alle anderen Formen der Autorisierung einer Internetzahlung ausdrücklich nicht für beweissicher hält. Es ist anzunehmen, dass diese Ansicht daher auch in der Rechtsprechung Anwendung finden wird. Faktisch bleibt den Zahlungsanbietern daher nichts anderes übrig, als die SecuRePay-Empfehlungen umzusetzen.

Für Händler bedeutet das zwar, dass sie zunächst gar nicht im Fokus der SecuRePay-Richtlinien stehen. Die BaFin hätte auch gar keinen Durchgriff auf die Händler. Allerdings dürfte die BaFin von den Zahlungsanbietern verlangen, dass sie die Händler vertraglich auf Einhaltung der Richtlinien verpflichten. "Onlinehändler unterliegen nicht der Aufsicht der BaFin. Allerdings ergeben sich aus den Recommendations zahlreiche Folgepflichten auch für die Onlinehändler. Diese sollen dadurch umgesetzt werden, dass Zahlungsdienstleister die Vertragsbedingungen im Sinne der Recommendations gestalten und auf Einhaltung kontrollieren", teilte die BaFin auf iBusiness-Anfrage mit.

Lex Paypal

Auf den ersten Blick sind in Zukunft beinahe alle Zahlkarten betroffen. Insbesondere die beliebte Lastschrift (in Zukunft SEPA-Lastschriftmandat), Kredit- und Girokartenzahlungen und Online-Überweisungen werden genannt. Das Dokument nennt dazu unzweideutig

• Alle Kartenzahlungen, gleich ob es sich um echte oder virtuelle virtuelle Karten handelt
• Alle Überweisungen, die über das Internet initiiert werden
• Das Einrichten und Ändern von elektronischen Lastschriftmandaten
• Den Transfer von E-Money zwischen zwei E-Money-Konten

Lediglich Zahlungen mit einer vorausbezahlten, nicht-wiederaufladbaren Prepaid-Card, gleich ob real oder virtuell, sollen ausgenommen sein. Bezahlverfahren wie Giropay oder Sofortüberweisung dürften sich ebenfalls über eine Klarstellung freuen: Wenn dritte Parteien auf das Konto zugreifen, ist eine weitere Authentifizierung ebenfalls nicht nötig.

Erst weit hinten im Dokument finden sich zwei wichtige weitere Ausnahmen: Der Paymentanbieter darf eine Whitelist mit vertrauenswürdigen Zahlungsempfängern für einen Kunden anlegen. Auf diese Weise könnte ein Händler etwa bei seinem Payment Service Provider ein Referenzkonto angeben, auf das er auch ohne die geforderte "starke Authentifizierung" Zahlungen ausführen darf. Außerdem sind Überweisungen ausgenommen, bei denen das Geld zwischen zwei Konten transferiert wird, die beim selben PSP liegen. Bedingung dafür ist lediglich, dass zuvor eine nicht näher spezifizierte "Risikoanalyse" für die Transaktion durchgeführt wird. Diese Ausnahme liest sich wie maßgeschneidert für Bezahldienste wie Paypal, Clickandbuy oder "Bezahlen mit Amazon".

PSP-Anbieter müssen noch vielfältige Anpassungen vornehmen

Auch wenn aufgrund der schwammigen Vorgaben bislang kaum ein Payment-Anbieter eine abschließende Analyse der SecuRePay-Auswirkungen wagt, scheint doch wahrscheinlich, dass die großen Zahlungsmittelanbieter es schaffen werden, ihre Verfahren an die geänderten Richtlinien anzupassen bzw. ihre Interessen zu berücksichtigen. Stärker unter Druck könnte der PSP-Markt geraten, der zahlreiche Anpassungen erst noch implementieren muss. Hart dürfte es aber auch die Händler treffen. "Mein Eindruck ist, dass vor allem Onlinehändler sich zukünftig auf Veränderungen ihrer Unternehmenstätigkeit einstellen müssen", meint Michael Hülsinggensen , stellvertretender Vorsitzender der Fokusgruppe Digital Commerce im Bundesverband Digitale Wirtschaft (BVDW)  . Sie dürften in Zukunft nicht einmal mehr eine Lastschrift allein abwickeln können. Vermutlich werden sie scharenweise in die Arme von Payment-Anbietern wie Paypal getrieben, da diese offensichtlich als einzige Anbieter auch weiterhin eine einfache und bequeme Bezahlmöglichkeit anbieten dürfen.

---

iBusiness-Autor Dominik Grollmann ist seit vielen Jahren mit der Online-Branche vertraut und begleitet die E-Commerce- und Onlinemarketing-Welt als Journalist und Experte.