Starke Kundenauthentifizierung
Starke Kundenauthentifizierung (SCA) ist die Pflicht nach der EU-Zahlungsdiensterichtlinie PSD2, elektronische Zahlungen mit zwei unabhängigen Faktoren aus Wissen, Besitz und Inhärenz zu bestätigen.
Die PSD2 verlangt in Art. 97 eine starke Kundenauthentifizierung, wenn Zahlerinnen online auf ihr Konto zugreifen oder eine elektronische Zahlung auslösen. Die technischen Regulierungsstandards (Delegierte Verordnung (EU) 2018/389) legen Einzelheiten und Ausnahmen fest, etwa für Kleinbeträge, wiederkehrende Zahlungen mit gleichem Betrag oder Zahlungen nach einer Risikoanalyse. Vom Händler ausgelöste Zahlungen auf Grundlage einer vorherigen Vereinbarung fallen in der Regel nicht darunter.
Für KI-Agenten stellt sich die Frage, wie eine Kundin eine Zahlung bestätigt, die ihr Agent auslöst. Die Zahlungsnetze lösen das über Tokenisierung, signierte Kaufabsichten und Ausnahmen, deren Anwendung im Einzelfall geregelt ist.
Beispiel
Eine Kundin richtet für ihren Agenten wiederkehrende Bestellungen bei einem Händler ein und bestätigt die Vereinbarung einmal mit starker Authentifizierung. Spätere Bestellungen löst der Händler auf Grundlage dieser Vereinbarung aus; der Agent bewegt sich dabei im signierten Rahmen ihrer Kaufabsicht.
Abgrenzung
Die starke Kundenauthentifizierung belegt, dass die Kundin eine Zahlung oder Vereinbarung bestätigt hat. Ein Agenten-Mandat oder eine Kaufabsicht nach Verifiable Intent belegt, in welchem Rahmen ihr Agent handeln darf. Beide ergänzen sich.
In der Praxis
- Klären Sie mit Ihrem Zahlungsdienstleister, wie Zahlungen durch Agenten unter PSD2 behandelt werden.
- Halten Sie die einmal bestätigte Vereinbarung und den Rahmen der Kaufabsicht als Nachweis fest.
- Verlassen Sie sich nicht auf Ausnahmen, ohne deren Voraussetzungen im Einzelfall zu prüfen.
Bezug zu KYA
KYA prüft keine Authentifizierung beim Zahlungsdienst. KYA prüft die Nachweise, die den Rahmen eines Agenten-Kaufs festhalten, etwa Verifiable Intent oder ein Mandat, und ob die konkrete Zahlung darin lag.
Begriff aus dem Ablauf, kein eigener Prüfschritt. Zur Methode
Häufige Fragen
Was ist starke Kundenauthentifizierung?
Die Pflicht nach PSD2, elektronische Zahlungen mit zwei unabhängigen Faktoren zu bestätigen: etwas, das man weiss, besitzt oder ist.
Gilt SCA auch für Zahlungen durch KI-Agenten?
Grundsätzlich gelten die allgemeinen Regeln. Wie Agenten-Zahlungen eingeordnet werden, hängt vom Ablauf ab, etwa ob die Kundin oder der Händler die Zahlung auslöst, und von den Verfahren der Zahlungsnetze.
Welche Ausnahmen gibt es?
Die technischen Regulierungsstandards sehen unter anderem Ausnahmen für Kleinbeträge, wiederkehrende Zahlungen mit gleichem Betrag und Zahlungen nach Risikoanalyse vor. Ob eine Ausnahme greift, entscheidet der Zahlungsdienstleister.
Gilt die PSD2 in der Schweiz?
Nicht unmittelbar. Schweizer Institute, die Zahlungen im EU-Raum abwickeln, sind aber häufig von den Regeln betroffen, und Kartennetze wenden ähnliche Verfahren an.
Allgemeine Information, keine Rechtsauskunft. Massgebend sind die Gesetzestexte und die Umstände des Einzelfalls.