Starke Kundenauthentifzierung (SKA)

Definition des Begriffs

SKA bedeutet Starke Kundenauthentifizierung und bezeichnet ein Sicherheitsverfahren für elektronische Zahlungsdienste. Der englische Fachbegriff lautet Strong Customer Authentication, kurz SCA. Das Verfahren dient dazu, die Identität eines Zahlungsdienstnutzers belastbar zu prüfen und Betrugsrisiken bei Online-Zahlungen, Kontozugriffen und bestimmten Fernzugriffen zu senken. Rechtlich ist SKA vor allem in der zweiten Zahlungsdiensterichtlinie, PSD2, in der Delegierten Verordnung (EU) 2018/389 zu technischen Regulierungsstandards sowie im Zahlungsdiensteaufsichtsgesetz verankert. Kern ist die Authentifizierung über mindestens zwei unabhängige Elemente aus den Kategorien Wissen, Besitz und Inhärenz. Die Unabhängigkeit der Faktoren soll verhindern, dass die Kompromittierung eines Elements automatisch das gesamte Verfahren gefährdet. Sensible Zahlungsdaten werden dadurch nicht ersetzt, sondern durch zusätzliche Prüfschritte geschützt und nachvollziehbar dokumentiert. Technisch werden starke Authentifizierung und Autorisierung getrennt betrachtet, bleiben im Zahlungsprozess aber eng verbunden.

Vorkommen und Verwendung

SKA wird von Zahlungsdienstleistern eingesetzt, insbesondere von kontoführenden Instituten, Zahlungsauslösediensten, Kartenherausgebern und Anbietern von Online-Banking. Sie ist regelmäßig erforderlich, wenn ein Zahler

1. online auf ein Zahlungskonto zugreift,
2. einen elektronischen Zahlungsvorgang auslöst,
3. über einen Fernzugang eine Handlung vornimmt, die ein Betrugsrisiko erzeugen kann.

Typische Elemente sind Passwort oder PIN als Wissen, Mobilgerät oder Karte als Besitz sowie Fingerabdruck oder Gesichtserkennung als Inhärenz. Bei elektronischen Fernzahlungen kommt regelmäßig eine dynamische Verknüpfung hinzu. Dabei wird der Authentifizierungscode an Betrag und Zahlungsempfänger gebunden.

Relevanz

SKA beeinflusst unmittelbar die Sicherheit, Nutzerführung und technische Ausgestaltung digitaler Zahlungsprozesse. Für Institute bedeutet sie Anforderungen an Authentifizierungsverfahren, Risikomodelle, Schnittstellen und Nachweise gegenüber Aufsichtsbehörden. Für Händler und Zahlungsdienstleister wirkt sie auf Autorisierungsquoten, Zahlungsabbrüche und Haftungsfragen. Ausnahmen bestehen unter bestimmten Voraussetzungen, etwa für Kleinbetragszahlungen, kontaktlose Zahlungen, wiederkehrende Zahlungen, vertrauenswürdige Empfänger oder risikoarme Transaktionen.

Beispiel / Synonyme oder verwandte Begriffe

• Strong Customer Authentication: englische Bezeichnung für SKA.
• Zwei-Faktor-Authentifizierung: häufige Ausprägung mit zwei Sicherheitsmerkmalen.
• Dynamische Verknüpfung: Bindung eines Codes an Betrag und Empfänger.
• PSD2: übergeordnetes Regelwerk für Zahlungsdienste und kontobezogene Dienste.

Weitere Informationen

Wesentliche Rechtsgrundlagen sind Artikel 97 PSD2, die Artikel 4 bis 18 der Delegierten Verordnung (EU) 2018/389 und die nationalen Vorschriften zur Zahlungsdiensteaufsicht. Beteiligt sind Zahlungsdienstleister, nationale Aufsichtsbehörden, die Europäische Bankenaufsichtsbehörde und technische Dienstleister für Authentifizierung, Betrugsprävention und sichere Kommunikation zwischen Zahlungskonten, Drittdiensten und Zahlungssystemen.

Weiterführende Details, regulatorische Vorgaben und Methodikbeschreibungen finden Sie auf Regupedia: www.regupedia.de