Für Verbraucher ein erhöhtes Risiko


Debatte zu Screen Scraping und PSD2: Brief der Fido Alliance an die Europäische Kommission und das Europäische Parlament
Screen Scraping setzt den Austausch von Kundenpasswörtern und deren Nutzung durch Dritte voraus




Von Brett McDowell, Executive Director der Fido Alliance

Soll das Screen Scraping als Fallback-Option im Rahmen der EU-Richtlinie über Zahlungsdienste (Payment Services Directive 2; PSD2) erlaubt werden? Die Fido Alliance hat die Diskussionen zu diesem Thema zwischen der Europäischen Kommission (EC) und der Europäischen Bankenaufsichtsbehörde (EBA) aufmerksam verfolgt, insoweit sie die Regularien der technischen Standards (RTS) für eine starke Kundenauthentifizierung unter PSD2 betrifft. Ich habe Kernpunkte der Antwort der Fido Alliance auf diese Frage folgend zusammengefasst.

Unter "Screen Scraping" versteht man die Praxis, Zahlungsauslösediensten (Payment Initiation Service Provider; PISP) und Kontoinformationsdiensten (Account Information Service Providers; AISP) im Auftrag des Kunden Zugriff auf Bankkonten zu gestatten und dabei den Nutzernamen und die Passwort-Informationen des Kunden zu nutzen, was laut endgültigem RTS-Entwurf der EBA nicht erlaubt ist.

Allerdings haben sich einige Fintech-Unternehmen zu Wort gemeldet und berichtet, dass sich die Banken mit der Implementierung neuer, sichererer Methoden bei einer delegierten Zugangskontrolle schwertun. Infolgedessen drängt die EC nun die EBA, Unternehmen die Nutzung des Screen Scrapings als Ausweichoption zu gestatten, statt auf sicherere Methoden wie etwa durch den Einsatz von Schnittstellen zur Anwendungsprogrammierung (APIs) zurückzugreifen.

Da das Screen Scraping den Austausch von Kundenpasswörtern und deren Nutzung durch Dritte voraussetzt, sieht die Fido Alliance drei maßgebliche Probleme:

>> Es erfüllt die in der PSD2 festgelegten Sicherheitsanforderungen nicht.

>> Es stellt für Verbraucher ein erhöhtes Risiko dar.

>> Jeder Ansatz, der es einem Dritten erlaubt, sich bei einer Bank "einzuloggen, als wäre er der Kunde" bedeutet für alle Seiten zusätzliche Risiken.

Wir sehen keinen Weg, den von der Europäischen Gemeinschaft angestrebten Screen-Scraping-Ansatz so in einer Implementierung umzusetzen, dass die in der PDS2 definierten Voraussetzungen für eine erweiterte Sicherheit erfüllt werden. Es existieren allerdings durchaus weitaus sicherere Möglichkeiten für die Verbraucher, den Zugriff auf ihre Bankkonten zu delegieren, etwa über APIs, die durch eine starke Authentifizierung der Kunden geschützt sind. Basierend auf bewährten globalen Standards wie OAuth 2.0 und OpenID Connect (OIDC) weisen diese API-basierten Lösungen zudem den Vorteil auf, nicht nur mehr Sicherheit, sondern auch mehr Privatsphäre zu bieten. Denn sie erlauben es dem Verbraucher, den Zugang zu einem Bankkonto spezifiziert zu gewähren, um etwa nur einige Details mitzuteilen. Gemeinsam mit den Fido-Standards für eine starke Authentifizierung bieten API-basierte Lösungen so alle Vorteile einer gerätebasierten Multi-Faktor-Authentifizierung, die für Konsumenten sicherer und einfacher zu nutzen ist, als die die Eingabe von Codes in ein Formular.

Die EC glaubt, dass eine "Fallback-Option" wie das Screen Scraping unterstützt werden muss, bis die Banken ihre Anstrengungen in puncto PSD2 forcieren. Wir dagegen gehen davon aus, dass es besser ist, lediglich eine Freistellung von den RTS-Vorgaben zu beschließen, als die RTS selbst zu verändern. Die RTS definieren einen wichtigen technischen Standard, der den Markt für die kommenden Jahre prägen wird.

Dabei müssen sich die RTS darauf fokussieren, hohe Anforderungen an eine starke Kundenauthentifizierung (Strong Customer Authentication; SCA) sowie die gemeinsame und sichere Kommunikation unter PSD2 festzulegen. Es darf nicht sein, dass die RTS dafür herhalten müssen, dass die Beteiligten sich vor ihrer Verantwortung bei diesem historischen Schritt hin zu mehr Verbraucherschutz drücken können. Letztlich würde eine Aufnahme der "Fallback-Option" Screen Scraping die RTS verwässern und die Zielsetzung von PSD2 zur Einführung einer SCA infrage stellen, was im Ergebnis für Verbraucher ein erhöhtes Risiko bedeutet.

eingetragen: 24.09.17
Home & Newsletterlauf: 03.11.17

retarus: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.


Kostenloser Compliance-Newsletter
Ihr Compliance-Magazin.de-Newsletter hier >>>>>>


Meldungen: Kommentare und Meinungen

  • Haftungsrisiko begrenzen

    Die EU-Kommission veröffentlichte einen Entwurf zur Haftungsrichtlinie zu Künstlicher Intelligenz (AI Liability Directive), die den Haftungsfall im Umgang mit Künstlicher Intelligenz regelt. Dazu erklärt Susanne Dehmel, Mitglied der Bitkom-Geschäftsleitung: "Wir begrüßen, dass mit dem Entwurf zur KI-Haftungsrichtlinie erste grundsätzliche Fragen zur Haftung im Schadensfall beim Einsatz von KI geregelt werden sollen. Künstliche Intelligenz ist für die deutsche Wirtschaft eine herausragend wichtige Zukunftstechnologie."

  • Grundrechtsproblematische Massenüberwachung

    Der europäische Gerichtshof hat am 20. September 2022 ein historisches Urteil verkündet: Die aktuell in Deutschland geltende Vorratsdatenspeicherung widerspricht den Grundrechten der EU und das entsprechende deutsche Gesetz ist damit null und nichtig.

  • Neues Nachweisgesetz

    Seit dem 1. August 2022 gilt in Deutschland das neue Nachweisgesetz. Darin ist unter anderem geregelt, dass Informationen über die wesentlichen Arbeitsbedingungen für Mitarbeiter in Papierform vorliegen müssen. Dabei geht es unter anderem um Höhe und Zusammensetzung des Arbeitsentgelts, die Dauer einer eventuellen Probezeit, vereinbarte Arbeitszeit sowie (bei Schichtarbeit) Informationen zum Schichtsystem und weitere Pflichtangaben.

  • Bitkom zum Cyber Resilience Act

    Die EU hat den Cyber Resilience Act vorgestellt, mit dem die Sicherheit von IoT-Geräten verbessert werden soll. Dazu erklärt Bitkom-Präsident Achim Berg: "Europa muss die Abwehr von Cyberangriffen stärker in den Fokus rücken. Der Cyber Resilience Act kann einen wichtigen Beitrag zur Stärkung der Sicherheit vernetzter Geräte leisten. Ein wirksamer Schutz vor Cyberkriminellen ist Voraussetzung dafür, dass die Geräte und Technologien im vernetzten Zuhause auf ein neues Sicherheitsniveau gebracht werden. Krisenfestigkeit war wohl selten so wichtig wie heute, der Cyber Resilience Act kommt genau zur richtigen Zeit."

  • EuGH-Urteil zur Vorratsdatenspeicherung

    Der EuGH hat einem Grundsatzurteil entscheiden, dass das deutsche Gesetz zur Vorratsdatenspeicherung (VDS) nicht mit dem EU-Recht vereinbar ist. Damit ist die VDS in Deutschland wieder einmal vom Tisch. Bereits in den vergangenen Monaten zeigte der EuGH weniger Verständnis für Politiker in den EU-Mitgliedsstaaten, die trotz eindeutiger Rechtslage und -sprechung weiter eine anlasslose Vorratsdatenspeicherung fordern.

Wir verwenden Cookies um unsere Website zu optimieren und Ihnen das bestmögliche Online-Erlebnis zu bieten. Mit dem Klick auf "Alle akzeptieren" erklären Sie sich damit einverstanden. Erweiterte Einstellungen