Das Kernproblem: Sicherheitslücken im Zahlungsverkehr
Banken und Zahlungsdienstleister stehen seit 2018 im Dauerfeuer. Die EU-Richtlinie PSD2 zwingt sie, offene APIs zu öffnen, und plötzlich schießen Hacker-Angriffe wie Feuerwerkskörper. Und warum? Weil die alte Zwei-Faktor-Authentifizierung (2FA) einfach nicht mehr reicht. Hier kommt die Strong Customer Authentication (SCA) ins Spiel, ein echter Game-Changer, der die Spielregeln neu definiert.
Was bedeutet SCA konkret?
Einfach gesagt: Jeder Zahlungsvorgang muss mindestens zwei unabhängige Elemente aus drei Kategorien kombinieren – Wissen (z. B. Passwort), Besitz (z. B. Smartphone) und Inhärenz (z. B. Fingerabdruck). Das klingt nach Bürokratie, aber in der Praxis bedeutet es: Keine Einmal-TANs mehr, die per SMS fliegen, sondern Push-Benachrichtigungen, Biometrie und dynamische Codes, die bei jeder Transaktion neu generiert werden.
Der TAN-Schutz der BaFin – ein Relikt?
Die BaFin hat bereits vor der PSD2 den TAN-Schutz etabliert, um Online-Banking abzusichern. Doch die Realität hat gezeigt: Viele Banken setzen immer noch auf die altbewährte SMS-TAN, weil sie billig und einfach zu implementieren ist. Das ist ein fataler Fehler, weil SMS leicht abgefangen werden kann. Die BaFin warnt seit Jahren, doch die Compliance-Kultur vieler Institute bleibt träge.
Praxisbeispiel: Wo es knallt
Letztes Jahr wurde ein mittelgroßer Online-Shop gehackt. Der Angreifer nutzte eine veraltete API, die keine SCA forderte. Durch das fehlende zweite Authentifizierungs-Element gelang ihm der Zugriff auf tausende Kundendaten. Der Schaden? Mehr als 2 Millionen Euro und ein Vertrauensbruch, der Monate braucht, um zu heilen.
Wie Sie jetzt reagieren sollten
Erstens: Überprüfen Sie sofort, ob Ihre Systeme SCA-konform sind. Zweitens: Schalten Sie den klassischen TAN-Modus ab und setzen Sie auf push-basierte Authentifizierung. Drittens: Schulen Sie Ihr Team, damit jeder versteht, dass Sicherheit kein Nice-to-have, sondern ein Muss ist. Und hier ist der Deal: Wer heute nicht umsteigt, wird morgen zahllose Geldbußen zahlen.
Für einen tieferen Einblick, inklusive konkreter Umsetzungs-Steps, lesen Sie PSD2, SCA und TAN-Schutz der BaFin.