Biometrische Authentifizierung und starke Kundenauthentifizierung (SCA) bei digitalen Transaktionen

Grundlagen der starken Kundenauthentifizierung

Die zweite Zahlungsdiensterichtlinie (PSD2) verlangt eine starke Kundenauthentifizierung (Strong Customer Authentication, SCA), wenn ein Zahler online auf sein Zahlungskonto zugreift, einen elektronischen Zahlungsvorgang auslöst oder über einen Fernzugang eine Handlung vornimmt, die das Risiko eines Betrugs birgt. Die starke Authentifizierung beruht auf mindestens zwei Elementen aus drei Kategorien:

Wissen – etwas, das nur der Nutzer weiß, etwa eine PIN oder ein Passwort.
Besitz – etwas, das nur der Nutzer besitzt, etwa ein Gerät oder eine daran gebundene App.
Inhärenz – etwas, das der Nutzer ist. Artikel 4 Nummer 30 PSD2 bestimmt diese Kategorie als Teil der starken Authentifizierung.

Die Elemente müssen voneinander unabhängig sein: Die Kompromittierung eines Elements darf die Zuverlässigkeit der anderen nicht beeinträchtigen. Die technischen Einzelheiten regelt die Delegierte Verordnung (EU) 2018/389 der Kommission, die allgemein als technischer Regulierungsstandard (RTS) zur SCA bezeichnet wird. Ihr Artikel 5 verlangt bei Fernzahlungen eine dynamische Verknüpfung: Der Authentifizierungscode muss an einen bestimmten Betrag und einen bestimmten Zahlungsempfänger gebunden sein.

Biometrie ist zum Alltag der starken Authentifizierung geworden, weil die Fingerabdruck- oder Gesichtserkennung auf dem Smartphone für Nutzer schnell und vertraut ist. Technisch ist es jedoch entscheidend zu verstehen, was die biometrische Erkennung tatsächlich nachweist und wie sie mit dem Element Besitz kombiniert wird.

Die Auslegung der EBA zu den Authentifizierungselementen

Am 21. Juni 2019 veröffentlichte die Europäische Bankenaufsichtsbehörde (EBA) eine Stellungnahme zu den Elementen der starken Kundenauthentifizierung. Darin nennt sie Beispiele dafür, welche Verfahren die Anforderungen der jeweiligen Kategorie erfüllen können und welche nicht.

Kategorie	Beispiele, die die Anforderung erfüllen können	Beispiele, die die Anforderung nicht erfüllen
Inhärenz	Fingerabdruck, Gesichtsgeometrie, Stimme, Iris- und Netzhauterkennung, Tippdynamik sowie Verhaltensmerkmale wie der Winkel, in dem ein Gerät gehalten wird	Über das Protokoll EMV 3-D Secure übermittelte Informationen als solche
Besitz	Bindung einer App oder eines Browsers an ein Gerät mittels Sicherheitschip oder privatem Schlüssel, Generatoren für Einmalcodes sowie vom Gerät erzeugte Signaturen	Eine lediglich auf einem Gerät installierte App ohne zuverlässige Bindung, aufgedruckte Kartendaten
Wissen	Passwort, PIN, gemerkter Wischpfad	E-Mail-Adresse oder Benutzername

Zwei Punkte der Stellungnahme sind für die Praxis besonders wichtig. Erstens macht die bloße Installation einer App auf einem Gerät diese noch nicht zu einem Besitzelement; der Besitz muss zuverlässig überprüfbar sein, zum Beispiel mithilfe eines an das Gerät gebundenen kryptografischen Schlüssels. Zweitens gilt ein gemerkter Wischpfad als Wissenselement, obwohl er auf einem Touchscreen eingegeben wird.

Wie gerätebasierte Biometrie funktioniert

Auf modernen Smartphones und Computern erfolgt die biometrische Erkennung in der Regel vollständig im Gerät. Das biometrische Template, also die aus Fingerabdruck oder Gesicht abgeleiteten Referenzdaten, wird in der geschützten Hardware des Geräts gespeichert, etwa in einem separaten Sicherheitsprozessor oder einem TPM-Chip. Das Template verlässt das Gerät nicht und wird dem Diensteanbieter nicht zugänglich gemacht.

Bei der Authentifizierung vergleicht das Gerät das erfasste Merkmal mit dem gespeicherten Template. Ein erfolgreicher Abgleich sendet als solcher keine biometrischen Daten an den Diensteanbieter, sondern gibt einen privaten Schlüssel frei, der in derselben geschützten Umgebung gespeichert ist. Mit diesem Schlüssel wird eine vom Diensteanbieter gesendete Challenge signiert, und der Diensteanbieter prüft die Signatur mit einem zuvor registrierten öffentlichen Schlüssel.

In diesem Modell vereint eine einzige Geste des Nutzers zwei Elemente: Die biometrische Erkennung dient als Inhärenzelement und der gerätegebundene private Schlüssel als Besitzelement. Die Unabhängigkeit der Elemente beruht darauf, dass die Nutzung des Schlüssels sowohl das physische Gerät als auch einen erfolgreichen biometrischen Abgleich voraussetzt.

Der biometrische Abgleich ist stets wahrscheinlichkeitsbasiert. Die Einstellungen des Authenticators wägen Falschakzeptanzen gegen Falschrückweisungen ab: Ein strenger Schwellenwert senkt das Missbrauchsrisiko, erhöht aber die Zahl der Fälle, in denen der berechtigte Nutzer nicht erkannt wird. Zudem können Täuschungsversuche gegen die Biometrie gerichtet werden, etwa nachgebildete Fingerabdrücke oder Fotos. Moderne Authenticatoren begegnen dem mit einer Erkennung von Präsentationsangriffen (Presentation Attack Detection), die einen lebenden Nutzer von einer Nachbildung unterscheiden soll. Da die biometrische Erkennung fehlschlagen kann, bieten Geräte meist eine PIN oder ein Passwort als Ausweichverfahren an. Für den Diensteanbieter ist wichtig zu wissen, dass der Schlüssel in diesem Fall mit einem Wissenselement statt mit einem Inhärenzelement freigegeben wird. Die starke Authentifizierung wird dadurch nicht geschwächt, solange zwei unabhängige Elemente erfüllt sind.

Hinweis zur Architektur

Der Diensteanbieter sieht nicht, mit welchem Verfahren der Nutzer den Schlüssel freigegeben hat. Deshalb ist es wichtig, die mit der Signatur übermittelte Information zur Nutzerverifizierung und bei Bedarf die Attestierung zu prüfen, die die Eigenschaften des Geräts beschreibt.

FIDO2 und WebAuthn

FIDO2 ist ein Paket offener Standards, das aus der W3C-Spezifikation Web Authentication (WebAuthn) und dem Client to Authenticator Protocol (CTAP) der FIDO Alliance besteht. WebAuthn legt fest, wie ein Webdienst und der Browser über die Authentifizierung kommunizieren, und CTAP, wie der Browser oder das Betriebssystem mit einem Authenticator wie einem Smartphone oder einem Sicherheitsschlüssel kommuniziert.

Die zentralen Sicherheitseigenschaften von FIDO2 sind:

Public-Key-Kryptografie. Auf dem Server wird nur der öffentliche Schlüssel gespeichert. Ein Datenleck auf dem Server gibt nichts preis, womit man sich als Nutzer authentifizieren könnte.
Bindung an den Ursprung. Ein Schlüsselpaar wird für einen bestimmten Webdienst erzeugt, und der Browser bindet die Signatur an den Ursprung des Dienstes. Daher lässt sich die Authentifizierung nicht über eine gefälschte Website weiterleiten, was das Verfahren resistent gegen Phishing macht.
Nutzerverifizierung. Die Antwort des Authenticators enthält die Information, ob der Nutzer verifiziert wurde, zum Beispiel biometrisch oder per PIN.
Geräteattestierung. Bei der Registrierung kann der Authenticator eine Attestierung bereitstellen, mit der der Diensteanbieter Typ und Schutzniveau des Authenticators beurteilen kann.

FIDO2 umfasst zwei Abläufe. Bei der Registrierung erzeugt der Authenticator für den Dienst ein neues Schlüsselpaar und gibt den öffentlichen Schlüssel zurück, den der Diensteanbieter dem Nutzerkonto zuordnet. Bei der Authentifizierung sendet der Diensteanbieter eine zufällige Challenge, der Authenticator signiert sie mit dem privaten Schlüssel, und der Diensteanbieter prüft die Signatur. Die Registrierung sollte erst erfolgen, nachdem der Nutzer mit einem bestehenden Verfahren stark authentifiziert wurde, damit das neue Authentifizierungsmittel nicht in falsche Hände gerät.

Passkeys und das Element Besitz

Passkeys sind FIDO-basierte Anmeldedaten, die Passwörter ersetzen sollen. Es gibt zwei Haupttypen:

Gerätegebundene Passkeys, deren privater Schlüssel ein einzelnes Gerät oder einen Sicherheitsschlüssel nie verlässt.
Synchronisierte Passkeys, die über den Clouddienst der Plattform zwischen den Geräten des Nutzers kopiert werden.

Ein gerätegebundener Schlüssel entspricht eindeutig der Beschreibung der EBA für ein Besitzelement, bei dem eine App oder ein Browser mittels eines privaten Schlüssels an ein Gerät gebunden ist. Bei synchronisierten Passkeys ist die Lage komplexer, da derselbe Schlüssel auf mehreren Geräten verfügbar sein kann. Ob ein synchronisierter Passkey die Anforderungen an das Besitzelement erfüllt, ist eine Auslegungsfrage, die der Zahlungsdienstleister auf Grundlage seiner eigenen Risikobewertung und gegebenenfalls gemeinsam mit seiner Aufsichtsbehörde beurteilt. Synchronisierte Schlüssel werden häufig durch Gerätebindung oder andere Risikosignale ergänzt.

Dynamische Verknüpfung und Zahlungsbestätigung

Für eine Fernzahlung genügt die Authentifizierung allein nicht. Nach Artikel 5 des SCA-RTS muss dem Zahler der Betrag und der Zahlungsempfänger angezeigt werden, der Authentifizierungscode muss mit ihnen verknüpft sein, und jede Änderung des Betrags oder des Zahlungsempfängers macht den Code ungültig.

Mit WebAuthn lässt sich die dynamische Verknüpfung umsetzen, indem der Diensteanbieter eine Challenge bildet, die an die Zahlungsdaten wie Betrag, Währung und Zahlungsempfänger gebunden ist. Signiert der Authenticator die Challenge, bezieht sich die Signatur genau auf diese Zahlung. Wird versucht, die Signatur für einen anderen Betrag oder einen anderen Zahlungsempfänger zu verwenden, schlägt die Prüfung fehl.

Die W3C-Spezifikation Secure Payment Confirmation führt diesen Gedanken weiter: Vor der Signatur zeigt der Browser dem Nutzer die Zahlungsdaten in einer eigenen, von der Webseite unabhängigen Ansicht an, und die Zahlungsdaten werden in die signierten Daten aufgenommen. Bei Kartenzahlungen werden vergleichbare Grundsätze im Rahmen von EMV 3-D Secure angewendet. Mehr zu Authentifizierungsabläufen finden Sie im Technologiebereich Sichere Authentifizierungsprotokolle.

Was die Zahlungsdiensteverordnung ändert

Die künftige Zahlungsdiensteverordnung (PSR) überführt die Regeln zur starken Authentifizierung in eine unmittelbar geltende Verordnung. Nach dem im April 2026 veröffentlichten Kompromisstext betreffen die Änderungen insbesondere Barrierefreiheit und Auslagerung:

Zahlungsdienstleister müssen mehrere kostenlose Authentifizierungsverfahren anbieten, die auch für Menschen mit Behinderungen, mit geringen digitalen Kompetenzen oder ohne Smartphone geeignet sind.
Die Authentifizierung darf nicht von einem einzigen Gerät oder einer einzigen Technologie abhängen, es sei denn, der Nutzer hat dem zugestimmt.
Eine Kombination aus zwei Inhärenzelementen ist zulässig, sofern ihre Unabhängigkeit gegenüber der zuständigen Behörde nachgewiesen werden kann.
Ein Zahlungsdienstleister muss mit jedem technischen Dienstleister, der die starke Authentifizierung in seinem Auftrag durchführt, eine schriftliche Vereinbarung schließen.

Die endgültigen Pflichten und Anwendungszeitpunkte hängen von der förmlichen Annahme und Veröffentlichung der Verordnung ab. Einen umfassenderen Überblick über die Reform bietet der Leitfaden PSD3 und Open Banking.

Datenschutz, Barrierefreiheit und Checkliste für die Umsetzung

Nach Artikel 9 DSGVO gehören biometrische Daten zu den besonderen Kategorien personenbezogener Daten, wenn sie zur eindeutigen Identifizierung einer Person verarbeitet werden. Im gerätebasierten Modell, bei dem der Abgleich auf dem Gerät des Nutzers erfolgt und der Diensteanbieter kein biometrisches Template erhält, ist die eigene Verarbeitung biometrischer Daten durch den Diensteanbieter gering oder entfällt ganz. Die Bewertung ist dennoch im Einzelfall vorzunehmen, und bei umfangreicher Verarbeitung wird eine Datenschutz-Folgenabschätzung empfohlen. Siehe auch den Leitfaden Datenschutz bei Finanzdaten im Open Banking.

Barrierefreiheit ist eine ebenso wichtige Gestaltungsfrage. Nicht alle Nutzer können oder wollen Biometrie verwenden, und die biometrische Erkennung kann etwa aufgrund einer Behinderung oder äußerer Bedingungen fehlschlagen. Jeder biometrische Pfad benötigt daher eine gleichwertige Alternative.

Binden Sie Schlüssel an das Gerät und prüfen Sie bei jeder Authentifizierung die Information zur Nutzerverifizierung.
Nehmen Sie Betrag, Währung und Zahlungsempfänger in die signierte Challenge auf und zeigen Sie sie dem Nutzer vor der Freigabe an.
Legen Sie eine Position zu synchronisierten Passkeys fest und dokumentieren Sie die Risikobewertung.
Bieten Sie mindestens ein Authentifizierungsverfahren an, das kein Smartphone voraussetzt.
Gestalten Sie einen kontrollierten Wiederherstellungspfad für verlorene oder ersetzte Geräte.
Führen Sie eine Datenschutz-Folgenabschätzung durch und dokumentieren Sie, wo der biometrische Abgleich stattfindet.
Schließen Sie schriftliche Vereinbarungen mit den an der Authentifizierung beteiligten technischen Dienstleistern.

Quellen und weiterführende Literatur

Haftungsausschluss

Dieser Leitfaden wurde sorgfältig auf Grundlage öffentlicher Quellen erstellt, doch Regulierung und Funktionen von Diensten ändern sich. Prüfen Sie aktuelle Informationen stets in offiziellen Quellen und in der Dokumentation der Anbieter. Korrekturhinweise: support@brevixoo.com.