Die starke Kundenauthentifizierung (SCA) ist ein regulatorischer Eckpfeiler für sichere digitale Finanzen in der Europäischen Union. Für Finanzinstitute spielt sie eine Schlüsselrolle beim Schutz des Zugangs zu Konten, bei der Autorisierung von Zahlungen und bei der Aufrechterhaltung des Kundenvertrauens. Mit der bevorstehenden Einführung der European Digital Identity Wallet (EUDI Wallet) entsteht eine neue Methode zur Ermöglichung von SCA - eine, die nicht nur konform, sondern auch sicher, benutzerfreundlich und für den grenzüberschreitenden Einsatz geeignet ist.
In diesem Artikel wird untersucht, wie die EUDI Wallet zur Durchführung von SCA in regulierten Finanzdienstleistungen verwendet werden kann, wobei der Schwerpunkt auf der Zahlungsautorisierung liegt. Ich führe Sie durch den regulatorischen Hintergrund, zeigt auf, wie SCA heute üblicherweise gehandhabt wird, und erklärt, warum die wallet-basierte Authentifizierung veraltete und fragmentierte Lösungen ersetzen kann. Außerdem erfahren Sie, wie dies technisch funktioniert, wo es bereits in Pilotprojekten eingesetzt wird und wie Ihr Institut damit beginnen kann.
Ganz gleich, ob Sie in den Bereichen Compliance, Zahlungsverkehr, IAM oder digitale Innovation tätig sind - dieser Leitfaden hilft Ihnen zu verstehen, wie Sie mit wallet-basiertem SCA von der Regulierung zur Umsetzung gelangen.
Die regulatorische Grundlage: PSD2, eIDAS 2 und Akzeptanz von Wallets
Die starke Kundenauthentifizierung (SCA) wurde erstmals im Rahmen der PSD2 eingeführt, um die Sicherheit von elektronischen Zahlungen und den Zugang zu Finanzdaten zu verbessern. Sie erfordert die Verwendung von mindestens zwei unabhängigen Faktoren: etwas, das der Nutzer weiß (z. B. ein Passwort), etwas, das der Nutzer hat (z. B. ein Gerät), und etwas, das der Nutzer ist (z. B. biometrische Daten). Für Finanzinstitute gilt SCA für eine breite Palette von Benutzeraktionen, einschließlich der Anmeldung, der Einleitung von Zahlungen und des Zugriffs auf sensible Daten.
Mit der Einführung von eIDAS 2, insbesondere Artikel 5f, entwickelt sich die Regulierungslandschaft weiter. Nach diesem Artikel müssen Akzeptanzstellen in regulierten Sektoren - einschließlich Banken - bis 2027 die Europäische Wallet für digitale Identitäten für SCA-bezogene Prozesse unterstützen, sofern sich der Nutzer für deren Nutzung entscheidet. Daraus ergibt sich eine neue technische Verpflichtung für Finanzdienstleister: Sie müssen Nachweise und Authentifizierungen akzeptieren, die von EUDI-Wallets stammen und dem europäischen Rechts- und Technikrahmen entsprechen.
Über die Einhaltung von Vorschriften hinaus bietet dieser Wandel jedoch auch eine große Chance. Durch die Unterstützung von EUDI Wallet-basiertem SCA können Finanzinstitute auf eine sichere, standardbasierte und interoperable Infrastruktur zurückgreifen - eine Infrastruktur, die größeres Vertrauen der Nutzer, niedrigere Betrugsraten und einheitlichere Authentifizierungserfahrungen über Grenzen hinweg verspricht. Anstatt fragmentierte, geräte- oder app-spezifische SCA-Methoden zu entwickeln und zu pflegen, können sich Banken auf ein harmonisiertes Wallet-Ökosystem verlassen, das sowohl technische als auch rechtliche Anforderungen erfüllt.
Überblick über SCA-Anwendungsfälle bei Finanzdienstleistungen
Um das Potenzial der EUDI-Wallet für die starke Kundenauthentifizierung zu verstehen, ist es wichtig, zunächst einen Blick auf die gesamte Bandbreite der Aktionen im Finanzdienstleistungsbereich zu werfen, für die SCA gemäß PSD2 erforderlich ist. Dabei handelt es sich nicht um Einzelfälle, sondern um wichtige, alltägliche Interaktionen zwischen Banken und ihren Kunden:
- Zugriff auf den Account(Login): Erstmalige Anmeldung beim Online- oder Mobile-Banking.
- Einleitung der Zahlung: Starten einer Überweisung oder Kartentransaktion.
- Zahlungsgenehmigung: Bestätigen einer Transaktion (z. B. über 3-D Secure oder App-Freigabe).
- Zugriff auf sensible Zahlungsdaten: Einsicht in die vollständige Transaktionshistorie oder Kontodetails.
- Hinzufügen oder Ändern eines vertrauenswürdigen Empfängers (Whitelist): Speichern eines neuen Zahlungsempfängers.
- Einrichtung oder Änderung von Daueraufträgen: Verwaltung wiederkehrender Transaktionen.
- Ändern der Sicherheitsanmeldeinformationen: Aktualisierung von Kennwörtern, PINs oder biometrischen Einstellungen.
- Ändern von persönlichen Informationen: Aktualisierung von Adresse, Telefonnummer oder E-Mail.
- Neuauthentifizierung für Drittanbieter (TPPs): Erneuerung der Zustimmung für externe Apps
- Erneute Sitzungsauthentifizierung: Heutzutage werden diese Anwendungsfälle in der Regel mit mobilen Banking-Apps, SMS-Einmal-Passwörtern (OTPs) oder Push-Benachrichtigungen abgewickelt.
Diese Methoden sind zwar funktional, haben aber oft auch Nachteile:
- Hohe Friktion, vor allem, wenn die Nutzer das Gerät wechseln oder ins Ausland reisen.
- Sicherheitsbedenken, wie die Anfälligkeit für Phishing- oder SIM-Swap-Angriffe.
- Hohe Abbruchraten, insbesondere beim Bezahlvorgang in Online-Shops.
- Keine einheitlichen Prozesse, über alle Banken, Geräte und Länder hinweg.
Für die Banken bedeutet dies, dass sie mehrere SCA-Methoden für verschiedene Plattformen und Nutzersegmente verwalten müssen, was die Betriebskosten und die Komplexität erhöht. Hier bietet die EUDI Wallet einen neuen Ansatz: ein harmonisiertes europäisches Verfahren zur grenzüberschreitenden Abwicklung all dieser SCA-Interaktionen unter Verwendung überprüfbarer Anmeldeinformationen und sicherer Wallet-Flows.
Vertiefung: Ermöglichung der Zahlungsautorisierung mit der EUDI Wallet
Unter den vielen Anwendungsfällen der starken Kundenauthentifizierung (SCA) sticht die Zahlungsautorisierung als besonders wirkungsvoll und hochfrequentiert hervor. Aus diesem Grund ist die Zahlungsautorisierung ein idealer Einstiegspunkt für Banken, die wallet-basierte SCA implementieren.
Die EUDI Wallet führt einen leistungsstarken Mechanismus zur Rationalisierung dieses Prozesses ein: den Zahlungsnachweis.
Dabei handelt es sich um einen vom Finanzinstitut ausgestellten Nachweis, der in der Wallet des Nutzers gespeichert ist. Wenn eine Zahlung autorisiert werden muss, sendet die Bank eine Anfrage mit den Transaktionsdetails. Der Nutzer überprüft die Informationen in seiner EUDI Wallet und bestätigt die Transaktion durch Signieren eines Datenpakets, das den Transaktionsbetrag, den Zahlungsempfänger und eine sitzungsspezifische Nonce enthält, mit einem gerätegebundenen Schlüssel. Die daraus Nachweis wird von der Bank zurückgesendet und überprüft, bevor die Transaktion ausgeführt wird.
Dieser Ansatz erfüllt nicht nur alle regulatorischen Anforderungen für SCA, einschließlich der dynamischen Verknüpfung, sondern bietet auch eine deutlich verbesserte Benutzerfreundlichkeit. Er ersetzt die fragmentierten Bestätigungskanäle durch einen einheitlichen und sicheren Ablauf. Noch wichtiger ist, dass dieselbe Struktur, die für das Signieren von Transaktionsdaten verwendet wird, für eine breite Palette anderer SCA-Anwendungsfälle wiederverwendet werden kann - vom Zugriff auf sensible Daten bis hin zur Änderung persönlicher Informationen - und damit einen zukunftssicheren Baustein für die Identität und Authentifizierung im Finanzwesen darstellt.
Warum die EUDI Wallet ideal für eine starke Kundenauthentifizierung ist
Die EUDI Wallet ist nicht nur eine regulatorische Anforderung, sondern eine technisch robuste Lösung, die sich direkt an den Kernprinzipien der starken Kundenauthentifizierung (SCA) orientiert. Sie unterstützt alle drei in der PSD2 definierten Authentifizierungsfaktoren und ermöglicht so ein nahtloses und sicheres Nutzererlebnis.
Erstens stellt die Wallet selbst den Faktor Besitz dar, da der Nachweis vom Finanzinstitut ausgestellt wird und an das Gerät des Nutzers gebunden und durch sichere Hardware und kryptografische Schlüssel geschützt ist. Zweitens können sich die Nutzer mit biometrischen Daten oder einer PIN authentifizieren, was den Faktor Inhärenz oder Wissen erfüllt. Zusammen ermöglichen sie eine vollständig konforme Zwei-Faktoren-Authentifizierung innerhalb einer einzigen, optimierten Schnittstelle.
Entscheidend ist, dass die EUDI Wallet auch die dynamische Verknüpfung unterstützt, eine wichtige Voraussetzung für die Zahlungsautorisierung. Dies bedeutet, dass bestimmte Transaktionsdetails in der EUDI-Wallet des Nutzers angezeigt werden und der Nutzer diese spezifischen Transaktionsdetails - z. B. den Betrag und den Zahlungsempfänger - bestätigen muss, bevor die Authentifizierung abgeschlossen ist. Diese Angaben sind an die kryptografische Signatur gebunden, was Manipulationen oder Wiederholungsangriffe verhindert.
Wie Finanzinstitute noch heute loslegen können
Die Einführung der EUDI Wallet für die starke Kundenauthentifizierung (SCA) ist bereits in ganz Europa im Gange. Groß angelegte Pilotprojekte wie EWC und NOBID testen aktiv Wallet-basierte Zahlungsautorisierungsströme in realen Umgebungen, an denen Finanzinstitute, Identitätsanbieter und Wallet-Anbieter beteiligt sind. Diese Pilotprojekte dienen nicht nur der Überprüfung der Benutzerfreundlichkeit und der technischen Machbarkeit, sondern tragen auch zur Entwicklung gemeinsamer Standards bei, die bald die Grundlage des EUDI Wallet-Ökosystems bilden werden. Die Spezifikationen werden in mehreren Konsortien entwickelt und verfeinert und dann der Europäischen Kommission vorgelegt, wo sie in den Architektur- und Referenzrahmen (ARF) einfließen. Von dort aus werden sie in Durchführungsrechtsakten formalisiert und für Akteure des privaten und öffentlichen Sektors in der gesamten EU verbindlich gemacht.
Für Banken ist es keine praktikable Strategie, mit der Implementierung der EUDI-Wallet bis zur endgültigen gesetzlichen Frist zu warten - ebenso wenig wie der Versuch, die Umstellung allein zu bewältigen. Die regulatorischen Anforderungen im Rahmen von eIDAS 2 sind noch in der Entwicklung, wobei Schlüsselelemente wie die Handhabung von Vertrauenslisten, Widerrufsprozesse und Metadatenspezifikationen noch nicht endgültig festgelegt sind. Gleichzeitig sind die endgültigen Anforderungen auf dem Markt nach wie vor ungewiss: Die nationalen Umsetzungen unterscheiden sich, die bewährten Verfahren sind fragmentiert, und die Standards werden noch von groß angelegten Pilotprojekten geprägt.
Aus technischer Sicht müssen sich die Institutionen an eine komplexe Mischung aus verschiedenen Komponenten anpassen - einschließlich Nachweis Formaten wie SD-JWT VC und MDOC, Kommunikationsprotokollen wie OpenID4VC, aufkommenden Trust-Frameworks und der spezifischen Logik hinter SCA-Abläufen wie Zahlungsnachweise. Begrenzte Testumgebungen und fortlaufende Standardänderungen machen dies noch schwieriger.
Wer dies ohne einen erfahrenen Partner angehen will, muss in der Regel ein spezielles Team aus den Bereichen Recht, Produkt und Technik aufbauen, was leicht zu einer siebenstelligen Investition führen kann, die zudem einer ständigen Wartung bedarf. Die Zusammenarbeit mit einem Spezialisten wie Lissi reduziert Kosten, Zeitaufwand und Komplexität erheblich und ermöglicht es den Banken, bei der Einhaltung von Vorschriften und bei Innovationen die Nase vorn zu haben.
Warum Lissi: Ihr Partner für SCA auf Wallet-Basis
Lissi ist ein führender Anbieter von EUDI Wallet-Infrastruktur und bietet alles, was Finanzinstitute für die Implementierung von starker Kundenauthentifizierung benötigen - sowohl in Pilotumgebungen als auch in Vorbereitung auf den Produktionseinsatz. Unser Kernprodukt ist der Lissi Wallet Connector, eine stabile API-basierte Lösung für die Interaktion mit allen EUDI Wallets. Darüber hinaus bieten wir eine ARF-konforme Wallet an, die SCA, die Ausgabe von Nachweisen und walletbasierte KYC-Prozesse für eine stabile Pilotierung vollständig unterstützt.
Im Gegensatz zu vielen fragmentierten Lösungen auf dem Markt stellen wir eine kontinuierliche Kompatibilität zwischen unserem Connector und unserer Wallet sicher und gehen noch einen Schritt weiter, indem wir aktiv die Interoperabilität mit mehreren Wallets testen, einschließlich der Referenzimplementierung und der von Regierungen ausgegebenen Lösungen. Durch unsere intensive Beteiligung an europäischen Pilotprojekten wie EWC und unsere kontinuierliche Arbeit an finanziellen Anwendungsfällen im Rahmen der bevorstehenden large scale Pilot „We Build“ stellen wir sicher, dass unsere Lösungen stets mit den neuesten Spezifikationen und Entwicklungen im gesamten Ökosystem übereinstimmen.
Unser Starter-Programm, dem Banken wie die Commerzbank und ING bereits vertrauen, kombiniert leistungsstarke Technologie mit umfassendem Support. Kunden erhalten Zugang zu unseren Cloud- und On-Premise-Softwarekomponenten und profitieren von technischem Onboarding, API-Integrationssupport und Implementierungsberatung. Über die technische Ebene hinaus bieten wir strategische Beratung zu Anwendungsfällen, Benutzererfahrung, eIDAS 2.0-Konformität und Entwicklungen in der EU-Wallet-Landschaft. So stellen wir sicher, dass jedes Institut in der Lage ist, die EUDI Wallet sicher, effizient und im Einklang mit aktuellen und zukünftigen Vorschriften zu implementieren.
.png)
