Die Bafin hatte per Schreiben Kritik am Verhalten deutscher Banken gegenüber Anbietern von Zahlungsauslöse- und Kontoinformationsdiensten geäußert. Die Gastautoren Peter Schad und Miriam Bouazza liefern Hintergründe.
Zahlungsauslöse- und Kontoinformationsdienstleister brauchen Schnittstellen zu den Konten ihrer Kunden, um ihren Service erbringen zu können.
Cmon / Fotolia
Die deutsche Finanzaufsichtsbehörde Bafin hat am 14. August ein Schreiben an die deutsche Kreditwirtschaft und die Zahlungsauslöse und Kontoinformationsdienstleister versendet. In diesem kritisiert die Aufsichtsbehörde die Institute deutlich und hält ihnen obstruktives Verhalten vor allem gegenüber Zahlungsauslöse- und Kontoinformationsdienstleistern vor. Aus den Zeilen lässt sich der Vorwurf herauslesen, dass die Banken die zum 14. September in Kraft tretenden schärferen Sicherheitsvorschriften der EU für Online-Zugriffe auf Zahlungskonten, die zum Stichtag in Kraft treten, zum Anlass nehmen, um sogenannte Zahlungsdienstleister mehr oder weniger auszubremsen.
Diese, wie etwa Anbieter von webbasierter Buchhaltungssoftware oder Multi-Banking-Apps, sind darauf angewiesen, dass sie für ihre Nutzer auf deren Bankkonten zugreifen können, um ihnen etwa Kontoinformationen zu verschaffen oder Überweisungen zu tätigen. Dieses Geschäftsfeld ist in den letzten Jahren stark gewachsen und dürfte den Zahlungsdienstleistern gute Renditen bescheren. Dagegen waren Kreditinstitute in der Vergangenheit an dieser Entwicklung kaum beteiligt.
Das Segment wächst dynamisch
Zahlungsauslöse- und Kontoinformationsdienstleister sind mittlerweile an vielen Stellen im Internet tätig und bieten etwa im Online-Handel Händlern die Abwicklung der Bezahlung an. Zudem bieten einige webbasierte Buchhaltungssoftware an, die es ermöglicht, Überweisungen direkt aus der Buchhaltung heraus auf solchen Bankkonten auszulösen, die zuvor mit der Software verknüpft worden sind. Oftmals können dann auch Kontostände und -umsätze angezeigt und in der Buchhaltung direkt verarbeitet werden. Auch Anbieter von Multi-Banking-Apps oder Finanz-Apps nutzen solche Kontoinformationsdienste und ermöglichen Anwendern, die Kontoumsätze aller angeschlossenen Bankkonten in einer einzigen App einzusehen. Sie brauchen sich dann nicht mehr über die Online-Banking-Funktionen bei den einzelnen Kreditinstituten einzuloggen.
Nach den Vorgaben der Zweiten Zahlungsdiensterichtlinie der Europäischen Union und der sie ergänzenden Delegierten Verordnung aus dem Jahre 2017 gelten ab dem 14. September 2019 verschärfte Sicherheitsvorschriften für Online-Zugriffe auf Zahlungskonten. Neben der sogenannten starken Kundenauthentifizierung müssen die Kreditinstitute für sichere und offene Kommunikationsstandards und Schnittstellen sorgen, über die Kontoinhaber oder Zahler – aber auch von ihnen beauftragte Dritte, wie etwa Kontoinformations- und Zahlungsauslösedienstleister – Zugriff auf online zugängliche Zahlungskonten nehmen erlangen können.
Kritik an Behinderung im Wettbewerb
In ihrem Schreiben an die deutsche Kreditwirtschaft und die Zahlungsauslöse- und Kontoinformationsdienstleister äußert nunmehr die Bafin ihre Sorge hinsichtlich "funktionaler Mängel und technischer Probleme bei dedizierten Schnittstellen", welche die Banken gesondert für Zahlungsdienstleister einrichten, um diesen den Zugriff auf Konten ihrer Nutzer zu ermöglichen. Die Behörde nennt Beispiele von unzulässigen Hindernissen bei dem Zugriff auf Konten, die der Sache nach nur so verstanden werden können, dass die Aufsichtsbehörde zu der Erkenntnis gelangt ist, dass nicht nur einzelne Kreditinstitute versuchen, die Zahlungsauslöse- und Kontoinformationsdienstleister zu behindern.
Dienstleister haben sich bei der Bafin beschwert
Diese Erkenntnis der Bafin dürfte nicht zuletzt durch Rückmeldungen und Beschwerden von Zahlungsauslöse- und Kontoinformationsdienstleistern gewachsen sein. Diese kritisieren, dass bei manchen Kreditinstituten die Testsysteme für die dedizierten Schnittstellen teilweise nicht verfügbar seien oder die Testsysteme einiger Kreditinstitute von deren Produktivsystemen abweichen.
Eine Reihe von Kreditinstituten würde nach Angaben der Zahlungsdienstleister bei der starken Kundenauthentifizierung auf selbst entwickelte Smartphone-App-Verfahren setzen und alternative Verfahren wie etwa SMS TAN nur noch kostenpflichtig anbieten. Da die Zahlungsdienstleister nicht über diese App-Implementierungen auf die Konten ihrer Nutzer zugreifen können, würden den Nutzern von Zahlungsauslöse- und Kontoinformationsdiensten zusätzliche Kosten entstehen.
Zudem, so der Vorwurf, würden manche Schnittstellen der Kreditinstitute nicht den gesetzlichen Vorgaben der Delegierten Verordnung entsprechen, indem sie keine TAN mehr anzeigen, falls sich ein Nutzer etwa über Fingerabdruck identifiziert habe. Zahlungsauslöse- und Kontoinformationsdienstleister benötigen jedoch eine solche TAN, um ihre Dienste ausführen zu können. Tatsächlich schreibt die Delegierte Verordnung vor, dass eine starke Kundenauthentifizierung einen Authentifizierungscode nach sich ziehen muss.
Bafin gewährt Fristverlängerung
In ihrem Schreiben macht die BaFin deutlich, dass die in Deutschland von den Zahlungsdienstleistern derzeit genutzten – und funktionierenden – Schnittstellen der Kreditinstitute bis auf Weiteres und über den 14. September hinaus weiter genutzt werden können müssen. Sie schafft damit für die Zahlungsauslöse- und Kontoinformationsdienstleister eine Übergangsregelung und gibt den Kreditinstituten die Möglichkeit für Nachbesserungen.
Insofern scheint der Termin des 14. September zunächst einmal "entschärft" zu sein. Es bleibt abzuwarten, ob die Kreditinstitute und Zahlungsinstitute die Zeit nutzen, um eine einvernehmliche Lösung zu finden – zum Wohle der großen Anzahl von Nutzern webbasierter Dienstleistungen, die den Zugriff auf Bankkonten vorsehen.
