Für Verbraucher ein erhöhtes Risiko


Debatte zu Screen Scraping und PSD2: Brief der Fido Alliance an die Europäische Kommission und das Europäische Parlament
Screen Scraping setzt den Austausch von Kundenpasswörtern und deren Nutzung durch Dritte voraus




Von Brett McDowell, Executive Director der Fido Alliance

Soll das Screen Scraping als Fallback-Option im Rahmen der EU-Richtlinie über Zahlungsdienste (Payment Services Directive 2; PSD2) erlaubt werden? Die Fido Alliance hat die Diskussionen zu diesem Thema zwischen der Europäischen Kommission (EC) und der Europäischen Bankenaufsichtsbehörde (EBA) aufmerksam verfolgt, insoweit sie die Regularien der technischen Standards (RTS) für eine starke Kundenauthentifizierung unter PSD2 betrifft. Ich habe Kernpunkte der Antwort der Fido Alliance auf diese Frage folgend zusammengefasst.

Unter "Screen Scraping" versteht man die Praxis, Zahlungsauslösediensten (Payment Initiation Service Provider; PISP) und Kontoinformationsdiensten (Account Information Service Providers; AISP) im Auftrag des Kunden Zugriff auf Bankkonten zu gestatten und dabei den Nutzernamen und die Passwort-Informationen des Kunden zu nutzen, was laut endgültigem RTS-Entwurf der EBA nicht erlaubt ist.

Allerdings haben sich einige Fintech-Unternehmen zu Wort gemeldet und berichtet, dass sich die Banken mit der Implementierung neuer, sichererer Methoden bei einer delegierten Zugangskontrolle schwertun. Infolgedessen drängt die EC nun die EBA, Unternehmen die Nutzung des Screen Scrapings als Ausweichoption zu gestatten, statt auf sicherere Methoden wie etwa durch den Einsatz von Schnittstellen zur Anwendungsprogrammierung (APIs) zurückzugreifen.

Da das Screen Scraping den Austausch von Kundenpasswörtern und deren Nutzung durch Dritte voraussetzt, sieht die Fido Alliance drei maßgebliche Probleme:

>> Es erfüllt die in der PSD2 festgelegten Sicherheitsanforderungen nicht.

>> Es stellt für Verbraucher ein erhöhtes Risiko dar.

>> Jeder Ansatz, der es einem Dritten erlaubt, sich bei einer Bank "einzuloggen, als wäre er der Kunde" bedeutet für alle Seiten zusätzliche Risiken.

Wir sehen keinen Weg, den von der Europäischen Gemeinschaft angestrebten Screen-Scraping-Ansatz so in einer Implementierung umzusetzen, dass die in der PDS2 definierten Voraussetzungen für eine erweiterte Sicherheit erfüllt werden. Es existieren allerdings durchaus weitaus sicherere Möglichkeiten für die Verbraucher, den Zugriff auf ihre Bankkonten zu delegieren, etwa über APIs, die durch eine starke Authentifizierung der Kunden geschützt sind. Basierend auf bewährten globalen Standards wie OAuth 2.0 und OpenID Connect (OIDC) weisen diese API-basierten Lösungen zudem den Vorteil auf, nicht nur mehr Sicherheit, sondern auch mehr Privatsphäre zu bieten. Denn sie erlauben es dem Verbraucher, den Zugang zu einem Bankkonto spezifiziert zu gewähren, um etwa nur einige Details mitzuteilen. Gemeinsam mit den Fido-Standards für eine starke Authentifizierung bieten API-basierte Lösungen so alle Vorteile einer gerätebasierten Multi-Faktor-Authentifizierung, die für Konsumenten sicherer und einfacher zu nutzen ist, als die die Eingabe von Codes in ein Formular.

Die EC glaubt, dass eine "Fallback-Option" wie das Screen Scraping unterstützt werden muss, bis die Banken ihre Anstrengungen in puncto PSD2 forcieren. Wir dagegen gehen davon aus, dass es besser ist, lediglich eine Freistellung von den RTS-Vorgaben zu beschließen, als die RTS selbst zu verändern. Die RTS definieren einen wichtigen technischen Standard, der den Markt für die kommenden Jahre prägen wird.

Dabei müssen sich die RTS darauf fokussieren, hohe Anforderungen an eine starke Kundenauthentifizierung (Strong Customer Authentication; SCA) sowie die gemeinsame und sichere Kommunikation unter PSD2 festzulegen. Es darf nicht sein, dass die RTS dafür herhalten müssen, dass die Beteiligten sich vor ihrer Verantwortung bei diesem historischen Schritt hin zu mehr Verbraucherschutz drücken können. Letztlich würde eine Aufnahme der "Fallback-Option" Screen Scraping die RTS verwässern und die Zielsetzung von PSD2 zur Einführung einer SCA infrage stellen, was im Ergebnis für Verbraucher ein erhöhtes Risiko bedeutet.

eingetragen: 24.09.17
Home & Newsletterlauf: 03.11.17

retarus: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.


Kostenloser Compliance-Newsletter
Ihr Compliance-Magazin.de-Newsletter hier >>>>>>


Meldungen: Kommentare und Meinungen

  • Karenzzeit von bis zu drei Jahren gefordert

    Die Antikorruptionsorganisation Transparency Deutschland begrüßt den GRECO-Bericht zur fünften Evaluierungsrunde und fordert die umgehende Umsetzung der Empfehlungen. Die Forderungen der Staatengruppe gegen Korruption des Europarats (GRECO) bestätigen die Kritikpunkte von Transparency Deutschland.

  • Bitkom zum Data Act

    Mit dem Data Act soll unter anderem der Datenaustausch zwischen Unternehmen und von Unternehmen an die öffentliche Hand vorangebracht werden. Dazu erklärt Bitkom-Präsident Achim Berg: "Der Data Act ist aktuell eines der wichtigsten Regulierungsprojekte auf EU-Ebene und entscheidet maßgeblich darüber, ob Europa auf dem Weg in die digitale Welt vorankommt."

  • Trilog zum Data Act

    Der Europäische Rat und das Europäische Parlament wollen mit ihrem Trilog zum Data Act starten. Der Data Act soll die Zugänglichkeit von Daten erleichtern, um Innovation und Fairness im digitalen Umfeld zu fördern und das Potential der stetig geschaffenen Datensätze besser ausschöpfen zu können.

  • Film- und Fernsehmarkt umfassend fördern

    Die Bundesbeauftragte für Kultur und Medien hat Vorschläge für eine Reform der Filmförderung vorgelegt. Dazu erklärt Bitkom-Hauptgeschäftsführer Dr. Bernhard Rohleder: "Bitkom begrüßt, dass die Bundesregierung ihre Filmförderinstrumente und die Rahmenbedingungen des Filmmarktes neu ordnen und vereinfachen will - und ausdrücklich eine Anreizförderung in den Mittelpunkt stellt. Ein neues Modell der Film- und Serienförderung muss einfach, wirksam und planbar sein, um zusätzliche Produktionen nach Deutschland bringen."

  • Weiterhin große rechtliche Unsicherheit

    Das vom Bundestag beschlossene Gesetz zum besseren Schutz hinweisgebender Personen vom 16. Dezember 2022 erhielt vom Bundesrat am 10. Februar 2023 keine Zustimmung. Unterschiedlich fielen die Stellungnahmen dazu aus. Dazu sagt Dr. Sebastian Oelrich, Co-Leiter der Arbeitsgruppe Hinweisgeberschutz von Transparency Deutschland, Folgendes.

Wir verwenden Cookies um unsere Website zu optimieren und Ihnen das bestmögliche Online-Erlebnis zu bieten. Mit dem Klick auf "Alle akzeptieren" erklären Sie sich damit einverstanden. Erweiterte Einstellungen