Umsetzung der PSD2 per 19.04.19 - "The day after"

[stocksour]

Wenn ich mir mit der gebotenen Distanz den Wildwuchs ansehe, der quasi über Nacht über den Bankkunden wuchert, sehne ich mich nach der Truppe, die seinerzeit die inzwischen längst hinfällige EU-Gurkenrichtlinie verbrochen hat. Ein gewisses Maß an Vereinheitlichung hätte der Thematik gut getan, hätte die Budgets aller Beteiligten geschont und die System-Pflegekosten in der Zukunft deutlich reduziert.

Ich kann mir nicht vorstellen, dass dieser Wildwuchs an Verfahren samt Apps und Hardware ohne die große Offenheit der Entscheider* für interne und externe "Chefzapferl" möglich gewesen ist.

Schluss mit WÄRE, hin zum IST.

Gestern und heute habe ich anhand von drei mir gut geläufigen Kontoverbindungen ein paar Testreihen gefahren, funktionieren tut Alles.

Vorab: Den 5-Minuten Timeout haben alle brav umgesetzt; den Countdown, sofern vorhanden, sieht bei der Arbeit eh kein Mensch.

Die Rote

Verfahren:

Alles, was der Markt hergibt, darunter viererlei TAN-Geratoren von kostenpflichtigen 15 bis 40 Euro, Push TAN per App, SMS-TAN (ich glaube kostenpflichtig, für mich gratis, schließlich löhne ich auch ordentlich ...) Wer das alles braucht???

SCA:

Bedarfsgesteuert (z. B. wenn Geld aus der Bank heraus bewegt wird oder Daten älter 3 Monate angesehen werden wollen); mal kurz das Konto checken geht ohne SCA; 90-Tage Regel wird ausgeschöpft und beginnt mit jeder SCA-pflichtigen Transaktion neu > Der Kunde wird selten eine starke Authentifizierung extra durchführen müssen.

Die Oranje

Verfahren:

App, bankspezifischer Photo-TAN-Generator (32 €), SMS-TAN

SCA:

Bei jedem Giro-Kontozugang > jeder Kontozugriff bedingt 4 Schritte (Kontonummer, PIN, "Depperltest", TAN), eine SCA-pflichtige Aktion erfordert eine weitere TAN.

NB: Bei der simulierten Überweisung aus dem Tagesgeldkonto ging mir dann mein nostalgisches Herz auf > "Bitte geben Sie die Nr. 70 aus Ihrer i-TAN-Liste ein".

Die Consorsbank

Verfahren: SecurePlus-App, bankspezifischer SecurePlus-Generator (25 €)

SCA: Bei jedem Konto-/Depotzugang > jeder Kontozugriff bedingt 3 Schritte, aber das kennt Ihr alle.

Eine Wertung nehme ich bewusst nicht vor. Die Angaben sind nach bestem Wissen und Gewissen aus der Sicht als User getroffen, erheben aber nicht den Anspruch auf Vollständigkeit.

Eine abschliessende persönliche Bemerkung will ich mir aber nicht verkneifen:

Bis auf ein grosses Sparplanangebot und den kostenlosen Active Trader ist von den früheren Alleinstellungsmerkmalen der Consorsbank wenig geblieben.

[stocksour]

Welchen Weg haben eigentlich die BNP-Consorsbank-Schwestern gewählt?

Der edlen und immer noch in fürnehmes Grün gewandeten Tochter mabanque.bnpparibas blieb die Umsetzung der Richtlinie bislang vorenthalten; zumindest findet sich auf der Website noch keinerlei Hinweis.

Dito gilt für die Hello bank Frankreich.

Ansprechend dagegen die Umsetzung der Hello bank Österreich, deren Kunden manches erspart bleibt, was hier zu Frust führt; wer mag, kann anhand der FAQ einen Abgleich durchführen.

Als Ergänzung habe ich noch einen Blick auf die frz. Genossenschaftsbank Crédit Agricole geworfen ... => In Frankreich scheint das Thema noch gar nicht angekommen zu sein

Wie es wohl im Rest der nicht-deutschsprachigen EU aussieht?

[stabi]

Also mal wieder der Versuchsbalon in Nünrnberg.

[Fildertrader]

Bei der Hello Bank ist es ja so, dass die in den PSD2-Richtlinien ganz klar zwischnen Girokonto und Depot unterscheiden. Es heist hier:

Die Hello SmartTAN! App benötigen Sie nicht für die Zeichnung einer Wertpapierorder. Wenn Sie ausschließlich ein Depot oder ein Sparkonto bei der Hello bank! führen, benötigen Sie für den Einstieg keine SmartTAN! App, weil die 2 Faktor-Authentifizierung nur für Girokonten bzw. Gehaltskonten gilt.

Zum Depot gehört wie bei uns auch ein Verrechnungskonto. Die Referenzkonten sind auch gegeben. Damit  entfällt die SCA für "Nur-Depot-Kunden".

Das sollte hier auch möglich sein. Damit wäre mir schon mal geholfen. Ich werde Consors mal diesbezüglich anschreiben. Viel Hoffnung habe ich aber nicht... 

[stocksour]

(...) Das sollte hier auch möglich sein. (...)

Hallo, @Fildertrader ,

das wäre auch möglich, wenn man die seitens CB - seit ein Girokonto im Angebot ist - die sowieso nur noch widerwillig gewährte Zahlungsverkehrsfähigkeit des Verrechnungs- und des Tagesgeldkontos (> beliebige Anlage von Referenzkonten für Überweisungszwecke) aufheben würde.

Die Kontoverbünde eines Nummernkreises würden es hergeben, s. Info zu "Kontoverbund" auf der Kontoübersicht:

Der Kontoverbund fasst alle zusammengehörenden Konten des gleichen Nummernkreises zusammen. Er kann aus einem Verrechnungskonto inkl. Depot, einem Tagesgeldkonto, mehreren Festgeldkonten, mehreren Währungskonten, mehreren EUREX-Konten und mehreren CFD-Konten bestehen.

Das Girokonto und die Sparprodukte (Sparbrief, Auszahlplan) können einzeln eröffnet werden und zählen als eigenständige Konten. Sie werden daher als eigener Verbund ausgewiesen.

D. h., anhand der verschiedenen Kontoverbünde wäre eine bedarfsgesteuerte Umsetzung möglich, sogar ohne bis auf Sachkontenebene des Kontenplans der Banken hinabzugehen.

Ich weiss nicht, ob diese Möglichkeit im CB-Projektteam in Erwägung gezogen wurde. Vielleicht war auch nur die Angst vor dem Aufschrei derjenigen (Depot-)Kunden größer, die Wert auf eine Vielzahl von Referenzkonten legen.

[immermalanders]

@Fildertrader 

Das würde mMn nur funktionieren, wenn man beim Verrechnungskonto ein eigenes Konto als Referenzkonto angeben muss, bei dem eine SCA erfolgt (Vorgabe nach PSD2). Zusätzlich sind dann Lastschriften (eingehend und ausgehend) nicht mehr erlaubt. Keine Ahnung, ob man dann per Lastschrift Geld vom Referenzkonto einziehen darf. Was aber sicher nicht mehr funktionieren wird ist, dass man dann die Rate für den Sparplan von einem beliebigen externen Konto per Lastschrift einziehen lässt. Eine Überweisung könnte dann auch nur auf das fest hinterlegte Referenzkonto erfolgen. Lastschriften, die Geld vom Verrechnungskonto abbuchen, wären dann auch nicht mehr möglich.

Ist das dann so viel besser?

[Fildertrader]

Ja,

das wäre für mich überhaupt kein Problem.

Ich hatte immer mit dem Referenzkonto gearbeitet und auf dem V-Konto genügend Mittel verfügbar. Das R-Konto unterliegt einer SCA.

Unabhängig div. Modalitäten ist es erst mal interssant, dass es in Österreich möglich ist und hier nicht. Da gibt es auch Sparpäne etc.

Das zeigt ganz klar, dass man hier nicht auf Paragaphen herumreiten und schon gar nicht die besch. Lösung der CB-Bank verklären muß. 

[immermalanders]

@Fildertrader 

Man darf hier aber nicht vergessen, dass es von der BaFin und der FMA unterschiedliche Vorgaben zur Umsetzung von PSD2 geben könnte. Wie schon geschrieben, im Zweifelsfall entscheiden Richter, ob etwas zulässig ist oder nicht.

Wenn ich die Richtlinie richtig verstanden habe, sollte eine SCA erfolgen, wenn der Kunde Zugriff auf sensible Daten (z.B. Kontobewegungen älter als 90 Tage, Adressdaten) nimmt. Aber warum unerliegen diese Daten bei einem Broker nicht der SCA? In jedem Beleg (z.B. Orderabrechnung) stehen die Adresse des Kontoinhabers und noch weitere sensible Daten drin und man kann dort sicher auch Umsätze älter als 90 Tage sehen. Gab es dazu auch eine entsprechende Aussage der EBA, oder wurde das nach dem Motto "wird schon keiner merken" implementiert? Oder bezieht sich der Schutz der sensiblen Daten nur auf Belege und Umsätze im Zusammenhang mit Zahlungsverkehrskonten?

[Fildertrader]

Dazu kann ich momentan auch noch nichts sagen, ich bin ja nicht von der BAFIN.

Ich denke, dass es schon Spielräume gibt, die unser Nachbarstaat auch nutzt.

Der "vorauseilende Gehorsam", den wir bei uns seit jahren beobachten, fehlt dort.

Viele merken das nicht mehr, weil sie damit gross geworden sind.

Ich werde da mal am Ball bleiben...