Sichere Authentifizierungsprotokolle
Authentifizierung ist die Grundlage des Vertrauens im Zahlungsverkehr. Dieser Bereich behandelt sowohl die starke Authentifizierung von Endnutzern als auch die maschinelle Authentifizierung zwischen Anbietern an den Open-Banking-Schnittstellen.
Zwei Ebenen der Authentifizierung
In Zahlungsdiensten erfolgt die Authentifizierung auf zwei Ebenen. Die erste Ebene ist die Authentifizierung des Zahlers: Wenn sich eine Person im Onlinebanking anmeldet oder eine Zahlung genehmigt, verlangt die PSD2 eine starke Kundenauthentifizierung (Strong Customer Authentication, SCA). Sie beruht auf mindestens zwei voneinander unabhängigen Elementen aus drei Kategorien: Wissen (z. B. eine PIN), Besitz (z. B. ein Telefon oder ein Sicherheitsschlüssel) und Inhärenz (z. B. ein Fingerabdruck).
Die zweite Ebene ist die Authentifizierung zwischen Anbietern. Wenn ein Zahlungsauslösedienst oder ein Kontoinformationsdienst die Schnittstelle einer Bank nutzt, muss er seine Identität und seine Zulassung nachweisen. In Europa geschieht dies mit qualifizierten Zertifikaten nach der eIDAS-Verordnung, und die Autorisierung erfolgt typischerweise auf Basis von OAuth 2.0. Im Finanzsektor werden zudem die FAPI-Profile der OpenID Foundation eingesetzt, die die Sicherheitsanforderungen von OAuth verschärfen.
In Finnland nehmen die Identifizierungsmittel der Banken eine besondere Stellung ein, da sie auch als starke elektronische Identifizierung in öffentlichen und privaten Onlinediensten genutzt werden. Dasselbe Mittel kann also sowohl zur Genehmigung einer Zahlung als auch zum Identitätsnachweis dienen. Das sorgt für ein reibungsloses Nutzererlebnis, unterstreicht aber die Bedeutung des Schutzes dieses Mittels.
Bei Fernzahlungsvorgängen muss der Authentifizierungscode mit einem bestimmten Betrag und Zahlungsempfänger verknüpft sein. Ändert sich eines davon, wird der Code ungültig. Die Anforderung beruht auf Artikel 5 der Delegierten Verordnung (EU) 2018/389.
Der Authentifizierungsablauf bei der Zahlungsauslösung
Ein Beispiel für das Redirect-Modell, das in Europa am weitesten verbreitet ist. Beim eingebetteten (Embedded) und beim entkoppelten (Decoupled) Modell weichen die Schritte teilweise ab.
Identifizierung des Anbieters
Der Zahlungsauslösedienst baut eine mTLS-Verbindung zur Schnittstelle der Bank auf und legt sein eIDAS-Zertifikat vor. Die Bank prüft Zulassung und Rolle.
Erstellung des Zahlungsauftrags
Der Dienst übermittelt die Daten des Zahlungsauftrags: Betrag, Währung, Name und IBAN des Zahlungsempfängers sowie die Referenz.
Autorisierungsanfrage
Die Bank gibt eine Autorisierungs-URL zurück. Im FAPI-Profil wird die Anfrage gesichert übermittelt (z. B. PAR) und mit einem PKCE-Wert gebunden.
SCA des Zahlers
Der Zahler authentifiziert sich bei seiner eigenen Bank mit zwei Elementen und sieht den zu genehmigenden Betrag und den Zahlungsempfänger.
Austausch des Autorisierungscodes
Der Dienst tauscht den einmal verwendbaren Autorisierungscode gegen ein kurzlebiges, an das Client-Zertifikat gebundenes Zugriffstoken.
Ausführung und Status
Die Bank führt die Zahlung aus und meldet den Status zurück. Der Dienst teilt dem Händler das Ergebnis in einer signierten Nachricht mit.
Wo eine starke Authentifizierung erforderlich ist
Die PSD2 legt fest, in welchen Situationen eine SCA erforderlich ist und welche Ausnahmen ein Anbieter risikobasiert anwenden kann.
Anmeldung beim Zahlungskonto
Eine SCA ist erforderlich, wenn der Zahler online auf sein Zahlungskonto zugreift.
Auslösung einer elektronischen Zahlung
Jede vom Zahler ausgelöste elektronische Zahlung erfordert grundsätzlich eine SCA.
Risikobehaftete Vorgänge
Zum Beispiel das Hinzufügen eines neuen Zahlungsempfängers oder der Wechsel des Authentifizierungsmittels.
Vertrauenswürdige Empfänger
Eine Ausnahme, wenn der Zahler den Zahlungsempfänger bei seiner Bank selbst als vertrauenswürdig markiert hat.
Transaktionsrisikoanalyse
Eine Ausnahme, die angewendet werden kann, wenn die Betrugsquote des Anbieters innerhalb der vorgeschriebenen Grenzen bleibt.
Kleinbetragszahlungen
Die Ausnahme für Fernzahlungen mit geringem Betrag, mit kumulativen Betrags- und Anzahlgrenzen.
Bedrohungen der Authentifizierung und Gegenmaßnahmen
Angriffe auf die Authentifizierung haben sich zunehmend von technischen Einbrüchen hin zur Täuschung der Nutzer verlagert. Die Kontrollen müssen beides abdecken.
| Risiko | Beschreibung | Maßnahme |
|---|---|---|
| Phishing | Die Nutzerin oder der Nutzer wird auf eine gefälschte Seite gelockt, um Zugangsdaten einzugeben. | App-basierte Genehmigung, klare Anzeige der Zahlungsdetails und Sensibilisierung der Nutzer. |
| Session-Hijacking | Ein Angreifer verwendet ein gestohlenes Zugriffstoken. | An Zertifikate gebundene Tokens (mTLS) und kurze Gültigkeitsdauern. |
| Abfangen des Autorisierungscodes | Bei der Weiterleitung gelangt der Code an die falsche Partei. | PKCE, exakt registrierte Rücksprungadressen und PAR. |
| SIM-Swapping | Eine Telefonnummer wird auf einen Angreifer übertragen, um SMS-Codes abzufangen. | An das Gerät gebundene App-Schlüssel statt SMS. |
| Social Engineering | Der Zahler wird dazu gebracht, eine betrügerische Zahlung selbst zu genehmigen. | Empfängerüberprüfung, Warnhinweise und verhaltensbasierte Überwachung. |
- Delegierte Verordnung (EU) 2018/389
- SCA-Anforderungen, Ausnahmen und die Grundsätze der sicheren Kommunikation.
- OAuth 2.0 (RFC 6749) und PKCE (RFC 7636)
- Das grundlegende Autorisierungsprotokoll und der Schutz des Codeaustauschs.
- FAPI
- Die Sicherheitsprofile der OpenID Foundation für den Finanzsektor, die u. a. senderbeschränkte Tokens verlangen.
- eIDAS
- Verordnung (EU) Nr. 910/2014 und ihre Änderungen: qualifizierte Zertifikate und Vertrauensdienste.
Fragen: Sichere Authentifizierungsprotokolle
Ist ein SMS-Code ein ausreichendes SCA-Element?
Eine SMS kann als Besitzelement dienen, gilt jedoch als schwächer als ein an das Gerät gebundener App-Schlüssel, da die Telefonnummer gekapert werden kann. Viele Banken sind auf App-basierte Genehmigungen umgestiegen.
Warum benötigen Anbieter eIDAS-Zertifikate?
Die Bank muss zuverlässig prüfen können, dass die Partei, die die Schnittstelle nutzt, ein zugelassenes Zahlungsinstitut oder ein Kontoinformationsdienst ist. Ein qualifiziertes Zertifikat enthält Angaben zur Zulassung und zu den Rollen, sodass die Bank diese bei jeder Verbindung automatisch prüfen kann.
Was bedeutet entkoppelte (decoupled) Authentifizierung?
Beim entkoppelten Modell wechselt der Zahler im Browser nicht auf die Seite der Bank, sondern genehmigt die Zahlung separat, zum Beispiel in der mobilen App der Bank. Das Modell ist für Nutzer komfortabel, erfordert aber eine zuverlässige Statusübermittlung zwischen den Diensten.
Beseitigt die SCA Betrug vollständig?
Nein. Die SCA erschwert Betrug auf Basis gestohlener Zugangsdaten erheblich, verhindert aber keine Situationen, in denen der Zahler getäuscht wird und eine Zahlung selbst genehmigt. Deshalb betont die Regulierung inzwischen auch die Empfängerüberprüfung und die Transaktionsüberwachung.
Verwandte Themen
Weitere Technologiebereiche und Leitfäden der Wissensdatenbank, die dieses Thema vertiefen.
Digitale Zahlungsabwicklung
Der Lebenszyklus einer Zahlung von der Auslösung bis zur Abwicklung: Gateways, Zahlungsdienstleister, Konto-zu-Konto-Zahlungen und Abgleich.
Mehr erfahren → TechnologiebereichTransaktionsinfrastruktur
SEPA-Verfahren, TIPS und RT1, ISO-20022-Nachrichten, Idempotenz, Verfügbarkeit und operationale Resilienz.
Mehr erfahren → LeitfadenOpen-Banking-Netzwerke in den nordischen und baltischen Ländern
Wie Kontoinformations- und Zahlungsauslösedienste nach PSD2 in der Praxis funktionieren, welche Schnittstellenstandards die Banken der Region nutzen und warum Bank-IDs im Zentrum des Ökosystems stehen.
Leitfaden lesen →Fehlt etwas Wesentliches?
Schlagen Sie ein Thema vor oder senden Sie eine Korrektur. Wir aktualisieren unsere Inhalte, wenn sich Regulierung und Standards ändern.