logo
Sie haben Fragen?

Unser Kundenzentrum antwortet gern!

036691-862345

PSD2

  • Sichere Zahlungen und mehr Wettbewerb
  • Innovative Zahlungsdienstleistungen
  • Stärkerer Verbraucherschutz

PSD2 - Einheitliche Standards für die Sicherheit elektronischer Zahlungen

Ziel der PSD2 Richtline ist die Schaffung einheitlicher Standards für die Sicherheit elektronischer Zahlungen sowie die Verbesserung des Verbraucherschutzes im Europäischen Wirtschaftsraum. Damit werden das Onlinebanking, die Banking App sowie das Online-Shopping mit Kreditkarte noch sicherer. Außerdem wird dritten Zahlungsdienstleistern die Möglichkeit gegeben, Ihnen neue Services anzubieten.

Die wichtigsten Neuerungen im Überblick

  • Sie können berechtigte Drittanbieter beauftragen, für Sie Zahlungen auszulösen oder Kontoinformationen von Zahlungsverkehrskonten abzurufen.
  • Sie können Drittanbieter berechtigen, vor Ihrer Kartenzahlung die Verfügbarkeit des Kaufbetrages bei Ihrer Bank anzufragen.
  • Sie müssen sich beim Login im Onlinebanking, in der Banking App oder beim Online-Shopping mit Kreditkarte sowie bei Zahlungen und beim Abruf von Umsatzinformationen in der Regel mit zwei voneinander unabhängigen Faktoren im Sinne einer sogenannten starken Kundenauthentifizierung legitimieren.1
  • Mastercard® Identity Check™ sind im Europäischen Wirtschaftsraum beim Online-Shopping mit der Kreditkarte verpflichtend.

Änderungen durch die PSD2

Änderung bei Anmeldung und Umsatzabfrage
Sie werden mindestens alle 90 Tage beim Login im Onlinebanking aufgefordert, sich mit Ihrem NetKey und Ihrem Kennwort bzw. Ihrer PIN sowie einer TAN zu legitimieren. Bei der Auslösung von Zahlungen sowie dem Abruf von Umsatzinformationen trifft dies ebenso zu. Gegebenenfalls können bankindividuelle Voreinstellungen bzw. Ausnahmen vorliegen. Sie können die von Ihrer Bank getroffenen Einstellungen auch ändern lassen.1 Die PSD2 erlaubt den Banken eine Ausnahmeregelung in Bezug auf die starke Kundenauthentifizierung. In diesem Fall müssen Sie Ihre TAN nur alle 90 Tage eingeben. Wir nutzen diese Ausnahmeregelung. Mitte Dezember 2019 haben Sie beim Login im Onlinebanking erstmals die Aufforderung erhalten, sich mit Ihrem NetKey und Ihrem Kennwort bzw. Ihrer PIN sowie einer TAN anzumelden.

Zugriff auf Ihr Girokonto oder Geschäftskonto über Drittanbieter
Sie können auf Ihr Girokonto oder Geschäftskonto auch mittels Kontoinformationsdiensten, Zahlungsauslösediensten und von Ihnen ausgewählten sonstigen Drittanbietern zugreifen. Ihre Einwilligung vorausgesetzt, dürfen diese für Sie über eine sogenannte "Kontenschnittstelle für Dritte Zahlungsdienstleister" Zahlungen auslösen oder Kontoinformationen von Zahlungsverkehrskonten abrufen, also zum Beispiel von Ihrem Girokonto oder Geschäftskonto. Da diese Drittanbieter nunmehr gesetzlich reguliert und beaufsichtigt werden, dürfen Sie Ihre Authentifizierungselemente wie zum Beispiel Online-PIN und -TAN bei einem von Ihnen ausgewählten Kontoinformationsdienst, Zahlungsauslösedienst oder einem sonstigen Drittanbietern verwenden. Mit der Zugriffsverwaltung im Onlinebanking können Sie sehen, welche Drittanbieter Sie berechtigt haben. Sie können dort auch Zugriffsberechtigungen wieder entziehen. Sofern Sie sonstige Drittanbieter nutzen, empfehlen wir Ihnen, diese sorgfältig auszuwählen.

Anmeldung bzw. Gerätebindung
Bei der Anmeldung in der Banking App entfällt die Eingabe einer TAN, da durch die sogenannte Gerätebindung eine starke Kundenauthentifizierung erreicht wird. Die Gerätebindung erfolgt automatisch. Ihr Gerät wird dabei fest mit der App verknüpft.

Zugriff auf Ihr Girokonto oder Geschäftskonto über Drittanbieter
Sie können auf Ihr Girokonto oder Geschäftskonto auch mittels Kontoinformationsdiensten, Zahlungsauslösediensten und von Ihnen ausgewählten sonstigen Drittanbietern zugreifen. Ihre Einwilligung vorausgesetzt, dürfen diese für Sie über eine sogenannte "Kontenschnittstelle für Dritte Zahlungsdienstleister" Zahlungen auslösen oder Kontoinformationen von Zahlungsverkehrskonten abrufen, also zum Beispiel von Ihrem Girokonto oder Geschäftskonto. Da diese Drittanbieter nunmehr gesetzlich reguliert und beaufsichtigt werden, dürfen Sie Ihre Authentifizierungselemente wie zum Beispiel Online-PIN und -TAN bei einem von Ihnen ausgewählten Kontoinformationsdienst, Zahlungsauslösedienst oder einem sonstigen Drittanbietern verwenden. Mit der Zugriffsverwaltung im Onlinebanking können Sie sehen, welche Drittanbieter Sie berechtigt haben. Sie können dort auch Zugriffsberechtigungen wieder entziehen. Sofern Sie sonstige Drittanbieter nutzen, empfehlen wir Ihnen, diese sorgfältig auszuwählen.

Änderung beim Online-Shopping mit Kreditkarte
Mit Mastercard® Identity Check™ ist das Online-Shopping mit Kreditkarte bereits heute schon einfach und sicher möglich. Für diese beiden Verfahren zur Authentifizierung von Kreditkartenzahlungen gibt es die Lösung via SMS oder Push-Nachricht in der App SecureGo plus. Mastercard® Identity Check™ sind beim Online-Shopping mit Kreditkarte verpflichtend.2 Mithilfe des folgenden Links können Sie sich in wenigen Schritten für Mastercard® Identity Check™ registrieren.

Drittanbieter als Zahlungsdienstleister
Ein Zahlungsauslösedienst (ZAD oder auch Payment Initiation Service Provider (PISP)) ist ein Dienst, der – Ihre Einwilligung vorausgesetzt – einen Zahlungsauftrag wie zum Beispiel eine Überweisung auf ein bei einem anderen Zahlungsdienstleister geführtes Zahlungskonto auslöst. Die Zahlung wird aber nur ausgeführt, wenn Sie dies zuvor erlaubt und mit einer Zwei-Faktor-Authentifizierung abgeschlossen haben. Diese Zahlungsauslösedienstleister müssen künftig von der nationalen Finanzaufsicht zugelassen und beaufsichtigt werden.

Drittanbieter als Kontoinformationsdienstleister
Ein Kontoinformationsdienst (KID oder auch Account Information Service Provider (AISP)) ist ein Online-Dienst zur Mitteilung konsolidierter Informationen über Zahlungskonten, die Sie entweder bei einem anderen Zahlungsdienstleister bzw. einer anderen Bank oder bei mehreren Zahlungsdienstleistern bzw. mehreren Banken haben. Dieser gibt Ihnen in der Regel anhand Ihrer Kontodaten einen Überblick über Ihre aktuelle finanzielle Situation. Dafür darf er bis zu vier Mal am Tag Informationen von Ihrem Konto wie zum Beispiel Salden oder Umsätze abrufen, ohne dass Sie nochmals aktiv zustimmen. Diese Drittdienstleister müssen sich künftig bei der nationalen Finanzaufsicht registrieren.

Drittanbieter als kartenausgebende Zahlungsdienstleister
Mit Ihrer girocard (Debitkarte) und Kreditkarte verfügen Sie bereits über Zahlungsmittel mit Zugriff auf Ihr Konto. Zukünftig werden Sie auch neue Angebote von Zahlungskarten erhalten, beispielsweise von Transportunternehmen wie der Deutschen Bahn, Fluggesellschaften oder Einzelhandelsketten. Wenn Sie dann mit diesen Zahlungskarten bezahlen, kann der kartenausgebende Zahlungsdienstleister die Verfügbarkeit des Kaufbetrages bei Ihrer Bank anfragen. Der Kaufbetrag wird dabei aber nicht reserviert. Sie müssen dazu jedoch zuvor dem Drittanbieter im Onlinebanking die Erlaubnis erteilen, und zwar unter "Service > Konten und Verträge > Zugriffsverwaltung > Verfügbarkeitsabfragen > Neue Berechtigungen erteilen".

Zugriffsverwaltung im Onlinebanking: Drittanbieter steuern
Grundsätzlich dürfen dritte Zahlungsdienstleister nur mit Ihrer vorherigen Zustimmung auf Ihre Kontodaten zugreifen. Ihre Zustimmung gilt erst als erteilt, wenn Sie die vom Drittanbieter bei Ihrer Bank angeforderten Informationen mit einer starken Kundenauthentifizierung bestätigt haben. Zudem muss der Drittanbieter bei der nationalen Aufsichtsbehörde registriert sein und sich gegenüber Ihrer Bank legitimieren können. Für einen weiteren Kontozugriff benötigt der Drittanbieter nach spätestens 180 Tagen erneut Ihre vorherige Zustimmung mittels starker Kundenauthentifizierung.

Die Zugriffsverwaltung finden Sie im Onlinebanking oben rechts unter Ihrem Namen (angemeldeter Benutzer) im Bereich "Zugriffsverwaltung". Hier können Sie jederzeit kontrollieren, welche Drittanbieter Sie berechtigt und welche Zahlungen Drittanbieter durchgeführt haben. Sie können dort auch Zugriffsberechtigungen wieder entziehen.

Die Zugriffsverwaltung im Onlinebanking ist wie folgt strukturiert:

  • Verfügbarkeitsabfragen,
  • Datenübermittlung,
  • Nutzungsbedingungen,
  • Zahlungsauslösungen und
  • Kontoinformationsabfrage.

Strukturierung der Zugriffsverwaltung
In diesem Bereich im Onlinebanking sehen Sie, welche Berechtigungen Sie dritten Zahlungsdienstleistern sowie Unternehmen der Genossenschaftlichen Finanzgruppe gegeben haben. Sie können hier neue Berechtigungen erteilen oder bestehende entziehen. Wenn dritte Zahlungsdienstleister und Unternehmen der Genossenschaftlichen Finanzgruppe Ihre Berechtigung genutzt haben, ist das hier auch aufgelistet.

KontoauswahlHier wählen Sie aus, für welches Zahlungskonto Informationen angezeigt werden sollen. Wenn zu dem Konto keine Berechtigungen erteilt worden sind, wird nur die Möglichkeit "Neue Berechtigung erteilen" angeboten.
Bereich unterhalb der KontoauswahlHier sehen Sie, für welche kartenausgebenden Zahlungsdienstleister Berechtigungen erteilt wurden. Mit Klick auf "+" können Sie sich weitere Informationen anzeigen lassen oder Berechtigungen sperren.
Neue Berechtigungen erteilenUnterhalb der Kontoauswahl steht Ihnen die Möglichkeit zur Verfügung, einem dritten Zahlungsdienstleister die Abfrage zu erlauben, ob ein bestimmter Betrag auf Ihrem Konto verfügbar ist. Die Anzahl der Abfragen ist unbeschränkt.

Erläuterung der starken Kundenauthentifizierung
Mit der PSD2 wurden die Anforderungen an die Authentifizierung der Kunden bei Zahlungen verschärft. Authentifizierung bedeutet, dass nicht nur Sie als Auftraggeber identifiziert werden, sondern dass auch die inhaltliche Richtigkeit Ihrer Willenserklärung geprüft wird. 2-Faktor-Authentifizierung bzw. starke Kundenauthentifizierung bedeutet, dass Sie sich mit zwei von drei möglichen Faktoren "ausweisen" müssen:

  • "Wissenselemente": etwas, das nur Sie wissen, wie zum Beispiel eine PIN,
  • "Besitzelemente": etwas, das nur Sie besitzen, wie zum Beispiel Ihre girocard (Debitkarte) mit TAN-Generator oder ein Mobiltelefon, an das eine TAN übermittelt wird, oder
  • ein "Seinselement" ("Inhärenz"), also etwas, das nur Sie sind, wie zum Beispiel Ihr Fingerabdruck als biometrisches Merkmal.

Beispiel Ihr Fingerabdruck als biometrisches Merkmal. Die 2-Faktor-Authentifizierung wird in der Regel angewendet bei1:

  • Login zum Onlinebanking,
  • einer Zahlung (gilt nicht für Lastschriften),
  • einer Aktion, die zu einem Risiko führen kann, wie zum Beispiel eine Adressänderung,
  • Zahlungen mit Ihrer Debit- oder Kreditkarte von Mastercard® oder Visa beim Online-Einkauf und im Geschäft,
  • weiteren Produkten der Genossenschaftlichen Finanzgruppe.

Sicherheit durch die starke Kundenauthentifizierung
Wenn Sie eine Zahlung über das Onlinebanking ausführen, nutzen Sie die mit Ihrer Bank vereinbarten Authentifizierungselemente, wie zum Beispiel Online-PIN und -TAN. So können wir feststellen, dass tatsächlich Sie diese Vorgänge berechtigterweise veranlasst haben. Die PSD2 erkennt diese Authentifizierungsverfahren an und regelt diese nunmehr gesetzlich. In der Regel wird bei jeder Transaktion eine starke Kundenauthentifizierung erfolgen. Authentifizierungselemente aus den Kategorien Wissen, Besitz und Sein müssen eingesetzt werden, beispielsweise eine PIN als Wissenselement oder ein Mobiltelefon als Besitzelement, an das eine TAN übermittelt wird. Wie schon bisher bei einer Zahlung über das Onlinebanking müssen Sie beim Zugriff auf Kontoinformationen in der Regel zwei Authentifizierungselemente einsetzen: Online-PIN und -TAN. Bei Kreditkartenzahlungen im Internet sind mit der PSD2 die sicheren Bezahlverfahren Mastercard® Identity Check™ verpflichtend.

Ausnahmen von der starken Kundenauthentifizierung Gemäß PSD2 besteht die Möglichkeit, in bestimmten Fällen den Einsatz nur eines Authentifizierungselements anzufordern. Die zweifache Absicherung durch eine starke Kundenauthentifizierung ist nicht nötig, wenn:

  • Sie Zahlungen an sich selbst im selben Bankinstitut vornehmen3,
  • zum Beispiel mit giropay | Kwitt Kleinstbeträge bis 30 Euro elektronisch bezahlt werden3,
  • Zahlungen an unbeaufsichtigten Terminals vorgenommen werden,
  • es um kontaktlose Kleinbetragszahlungen geht.

Sicherheit von Zahlungen im Internet wird weiter erhöht

Wir legen großen Wert darauf, dass Ihr Onlinebanking, Ihr Banking mit der MyBanking App sowie Kartenzahlungen auf höchstem Sicherheitsniveau erfolgen. Die von uns angebotenen TAN-Verfahren erfüllen bereits heute die aktuellen Sicherheitsanforderungen.

Zudem werden die durch Sie beauftragten Überweisungen mittels eines Sicherheitssystems, ein sogenanntes Fraud-Detection-System, bewertet und geprüft. Dadurch können beispielsweise Abweichungen und Unstimmigkeiten festgestellt werden. Sollte hierbei der Verdacht eines Betruges aufkommen, werden weitere Prüfungen durch Ihre EthikBank eingeleitet. Gegebenenfalls kann es dann zur direkten Ablehnung einer betrugsverdächtigen Überweisung kommen.

Häufige Fragen zur PSD2

Nein, ein Drittanbieter kann grundsätzlich nur mit Ihrer vorherigen Zustimmung auf Ihre Kontodaten zugreifen. In unserem Onlinebanking steht Ihnen eine entsprechende Zugriffsverwaltung zur Verfügung, mit der Sie beispielsweise auch Drittanbietern Zugriffsberechtigungen wieder entziehen können.

Sie können Ihre EthikBank damit beauftragen, die von ihr für alle Kunden eingerichteten Ausnahmen von der starken Kundenauthentifizierung individuell für Sie zurückzunehmen. D. h. die Sicherheitsanforderungen werden damit verschärft. Bitte nehmen Sie zur Änderung Kontakt mit uns auf.

Drittanbieter nutzen eine sogenannte Schnittstelle, um auf Ihr Konto zuzugreifen. Aktuell nutzen viele dafür die technische Lösung FinTS oder Web-Banking. Beide Lösungen sind übergangsweise erlaubt, dürfen aber mittelfristig nicht mehr verwendet werden. Sie werden durch eine neue technische Lösung mit dem Namen XS2A ersetzt. Das hat die deutsche Bankenaufsicht so festgelegt. Die Zugriffsverwaltung im Onlinebanking ist bereits auf XS2A ausgerichtet. Wenn ein Drittanbieter also XS2A nutzt, sehen Sie dessen Zugriffe auf Ihr Konto auch in der Zugriffsverwaltung. Wenn ein Drittanbieter FinTS oder Web-Banking verwendet, sehen Sie dessen Zugriffe nicht in der Zugriffsverwaltung.

1In Ausnahmefällen muss die TAN im Sinne einer sogenannten starken Kundenauthentifizierung nur alle 90 Tage eingegeben werden, zum Beispiel bei der Anmeldung. Sprechen Sie uns an und wir schauen gemeinsam, ob eine Ausnahme möglich ist.

2Als Ausnahme von der Pflicht gelten zum Beispiel als risikoarm eingestufte Kleinbetragstransaktionen sowie wiederkehrende Zahlungen mit gleicher Betragshöhe an denselben Empfänger; dies jedoch erst nach erfolgreicher Registrierung der Kreditkarte für Mastercard® Identity Check™ bzw. Visa Secure

3Bei allen Banken, die diesen Service anbieten