Beim Online-Banking setzen Banken eine sog. starke Kundenauthentifizierung ein. Viele kennen diesen gesetzlichen Begriff auch unter dem Schlagwort “Zwei-Faktor-Authentifizierung”. Diese muss bei Zahlungen auch grundsätzlich zur Anwendung kommen, dies sieht in Österreich § 87 Zahlungsdienstegesetz (ZaDiG) vor. Zur Parallelnorm in Deutschland gibt es eine interessante Entscheidung des LG Heilbronn, welche bestimmte am Markt verwendete Lösungen nicht als starke Kundenauthentifizierung ansieht.
Was bedeutet “starke Kundenauthentifizierung”?
Starke Kundenauthentifizierung ist im Gesetz klar definiert und bedeutet nach § 4 Z 28 ZaDiG folgendes: eine Authentifizierung unter Heranziehung von mindestens zwei Elementen der Kategorien Wissen (etwas, das nur der Nutzer weiß), Besitz (etwas, das nur der Nutzer besitzt) oder Inhärenz (etwas, das nur der Nutzer ist), die insofern voneinander unabhängig sind, als die Nichterfüllung eines Kriteriums die Zuverlässigkeit der anderen nicht in Frage stellt, und die so konzipiert ist, dass die Vertraulichkeit der Authentifizierungsdaten geschützt ist.
Beispiel für Wissen wäre etwa ein Passwort, dass der Nutzer zugeteilt bekommt oder selbst erstellt und welches nur er kennt. Besitz stellt auf etwas ab, was nur der Nutzer in seinem Besitz hat, also etwa ein Zahlungskarte. Inhärenz wäre ein unverwechselbares Merkmal des Nutzers, zum Beispiel sein Fingerabdruck.
Wann muss eine “starke Kundenauthentifizierung” zum Einsatz kommen?
Grundsätzlich muss eine starke Kundenauthentifizierung in folgenden Fällen zum Einsatz kommen:
Der Nutzer greift online auf sein Zahlungskonto zu, der Nutzer löst einen elektronischen Zahlungsvorgang aus oder der Nutzer nimmt über einen Fernzugang eine Handlung vor, die das Risiko eines Betrugs im Zahlungsverkehr oder anderen Missbrauchs birgt. Setzen Banken keine starke Kundenauthentifizierung ein, so haften Sie für den Schaden stets alleine (§ 68 Abs 5 ZaDiG).
LG Heilbronn zu Push-TAN-Apps
Früher war es üblich, Transaktionen im Online-Banking via SMS-TAN oder über TAN-Listen freizugeben. SMS-TAN wurden, nicht zuletzt aufgrund der Regelungen des ZaDiG, zunehmend durch andere Freigabemethoden ersetzt, zum Beispiel durch zusätzliche Push-TAN-Apps. Hierzu entschied das Gericht, dass das sog Push-TAN-Verfahren, in dem die TAN auf dem Mobiltelefon in einer anderer App angezeigt wird, beide Apps für Online-Banking und TAN aber am selben Mobiltelefon installiert sind, ein erhöhtes Gefährdungspotential aufweisen, da eine Verwendung nur noch zweier Apps auf einem Gerät statt Nutzung getrennter Kommunikationswege erfolgt; es liegt deshalb keine Authentifizierung aus wenigstens zwei voneinander unabhängigen Elementen iSv § 1 Abs 24 ZAG vor. Bei § 1 Abs 24 ZAG handelt es sich um die korrespondierende Vorschrift im deutschen Recht zu § 4 Z 28 ZaDiG. Das Verfahren sei nicht besser als das traditionelle TAN-Verfahren. Die Klage gegen die Bank wurde trotzdem aus anderen – zivilrechtlichen Gründen – abgewiesen. Das Gericht scheint eine Trennung bezüglich der Geräte zu bevorzugen (also etwa Online-Banking am Computer und Zahlungsfreigabe über das Mobiltelefon).
In unserem Blog haben wir die Entscheidung noch kritisch hinterfragt und aufgezeigt, wo bei Banken und Zahlunmgsdienstleistern nun Handlungsbedarf besteht.
