Die Finanzaufsicht Bafin erlaubt noch bis Ende 2020 Zahlungen per Kreditkarte im Internet mit den bisherigen einfacheren Sicherheitsbestimmungen. Die Behörde werde "nicht beanstanden, wenn Payment-Dienstleister mit Sitz in Deutschland Kartenzahlungen im Internet bis zum 31. Dezember 2020 auch ohne eine nach der PSD2 erforderliche starke Kundenauthentifizierung ausführen", teilte die Bundesanstalt für Finanzdienstleistungsaufsicht (Bafin) mit.

Eigentlich gilt nach neuen EU-Regeln ("Payment Service Directive"/"PSD2") seit dem 14. September 2019 für jede Zahlung im Online-Banking und beim Einkaufen im Internet die Pflicht zur starken Kundenauthentifizierung. Das heißt, Kunden müssen ihre Identität in jedem Fall mit zwei der drei folgenden Möglichkeiten nachweisen: "Wissen" (etwa Geheimnummer/PIN), "Besitz" (wie Smartphone, Original-Zahlungskarte), "Sein" (biometrische Merkmale wie ein Fingerabdruck).

"Erheblicher Anpassungsbedarf" im Handel

Bei Kreditkarten sind die Vorgaben besonders streng, denn Nummer und Prüfziffer dieser Karten können relativ leicht ausgespäht werden. Darum verlangt das Gesetz bei Kreditkartenzahlungen künftig zwei weitere Sicherheitsfaktoren: zum Beispiel ein Passwort und eine Transaktionsnummer (TAN), die sich der Kunde für das jeweilige Geschäft auf sein Handy schicken lässt.

Doch weil mancher Anbieter Probleme bei der Umsetzung hat, gewährte die Bafin im August einen zunächst zeitlich nicht genau begrenzten Aufschub. Im Handel bestehe "nach wie vor erheblicher Anpassungsbedarf", stellten die Aufseher damals fest.

Auch aus Verbrauchersicht gibt es noch einiges nachzuholen, wie eine aktuelle Studie zeigt: Nur gut ein Viertel der Deutschen hat eine Ahnung davon, was es mit der PSD2 auf sich hat. Alle anderen gaben an, noch nie davon gehört zu haben. Wird beim Online-Shopping nach einer Authentifizierung gefragt, brechen viele den Kauf deshalb ab.