Was ist PSDII?
Wenn Sie noch nichts von PSDII gehört haben, dann sind Sie nicht alleine. Denn die Branche beginnt erst, das Thema aufzugreifen. Die PSD II tritt die Nachfolge der ersten, 2007 verabschiedeten EU-Zahlungsdienste-Richtlinie (European Payment Services Directive – PSD I) an, um grenzüberschreitende Zahlungen innerhalb der EU-Mitgliedsstaaten einfacher, effizienter und sicherer zu machen. Die PSD II ist eingeführt worden, um den Umfang der ersten Richtlinie zu erweitern. PSDII sollte am 14. September 2019 in Kraft treten. Es ist jedoch allgemein anerkannt, dass diese ursprüngliche Frist nicht durchgeführt wird und dass sich die Implementierung verzögert, da viele Zahlungsdienstleister (Payment Service Providers – PSP) und Händler weiterhin Schwierigkeiten haben sich darauf vorzubereiten.
Warum wird die PSD II eingeführt?
Die PSD II bietet zahlreiche wichtige Vorteile. Sie verstärkt den Anfangserfolg der PSD I bei der Verhinderung von Zahlungsbetrug und es stärkt die Datensicherheit, was im heutigen digitalen Zahlungsumfeld wirklich wichtig ist. Verbraucher profitieren von der PSD II, weil sie günstigere und neuartigere elektronische Bezahlmöglichkeiten ermöglicht. Auf dem Gebiet von Internet-Zahlungssystemen sind neue Player aufgetreten, die den Verbrauchern die Möglichkeit geben, sofort zu bezahlen, ohne eine Kreditkarte haben zu müssen. Zu diesen zählen Apple Pay, Google Pay und Paypal. Die PSD II regelt diese neuen Bezahlmöglichkeiten und macht es Verbrauchern einfacher und sicherer, darauf zuzugreifen. Für ungefähr 60 % der EU-Bevölkerung, die keine Kreditkarte haben, sind das gute Nachrichten (Zahlen nach der Europäischen Kommission, Payment Services Directive FAQ).
Ein weiteres wichtiges und bedeutendes Element der PSD II ist die starke Kunden-Authentifizierung – Strong Customer Authentication (SCA) Sie zielt darauf ab, Fälle von Kreditkartenbetrug zu reduzieren und für Verbraucher das Bezahlen sicherer zu machen. Dazu wird für Bezahlvorgänge eine 2-Faktor-Authentifizierung eingeführt. Das bedeutet, dass Benutzern beim Bezahlen zusätzliche Angaben oder Merkmale zur Identifizierung abverlangt werden, bevor eine Karte belastet werden kann. Die Einführung von SCA ist eine wichtige gesetzliche Vorschrift.
Wie wird Strong Customer Authentication (SCA) angewendet?
Strong Customer Authentication (SCA) verlangt, dass bei Online-Bezahlungen mit Quelle und Ziel innerhalb der EU mindestens zwei der folgenden Bedingungen online erfüllt werden müssen, um die Kartenidentität rechtsgültig zu machen und den Zahlungsvorgang zu erlauben:
- Kenntnis – etwas, das nur Sie wissen (Passwort, PIN oder erinnerter Authentifizierungsmechanismus)
- Besitz – von etwas, das nur Sie haben (Mobiltelefon oder durch QR-Code nachgewiesenes Gerät)
- Inhärenz – etwas, das Ihrer Person eigen ist (Fingerabdruck, Stimme, Gesichtserkennung oder Retina-Scan)
Ab dem 14. September muss bei Online-Hotelbuchungen ein 2-Faktor-Authentifizierungsystem angewendet werden statt eines mit nur einem Authentifizierungsfaktor (nur Card Verification Value (CVV-Code) der Karte), wie es heute meistens der Fall ist. Viele Menschen sind mit der 2-Faktor-Authentifizierung bereits vertraut, zum Beispiel Verfahren, bei denen bei der zweiten Stufe der Authentifizierung eine PIN an das Mobiltelefon gesendet wird. Aber ab Mitte September wird dieses Verfahren wohl viel häufiger verwendet werden, um mehr Sicherheit zu gewährleisten.
Wie wird SCA die Online-Buchungen beeinflussen?
orrangig besteht die Befürchtung, dass diese Anforderungen an den Authentifizierungsvorgang Benutzer abschrecken wird bis zu dem Punkt, dass sich das negativ auf die Conversion-Rateauswirken wird (Conversion ist definiert als das prozentuale Verhältnis der Anzahl erhaltener Buchungen zur Anzahl der Besuche auf Ihrer Website). Bedeutender ist, dass die unmittelbare Bedrohung durch potentielle Beeinträchtigung von Geschäftsvorgängen und Kunden viel mehr mit Angst besetzt als die Sorge, dass nicht kooperationsbereite Teilnehmer des Zahlungsverkehrs das Risiko eingehen, dass Zahlungen des Kunden verzögert, infrage gestellt oder ganz abgelehnt werden. Vor allem wird das Geschäft weiter untergraben werden durch die Sorge, betrügerischen Transaktionen ausgesetzt zu sein. Im schlimmsten Fall müssen Hotels bei Buchungsvorgängen vermehrt mit Abbrüchen und Autorisierungsverweigerung rechnen, wenn Banken keine Maßnahmen ergreifen.
Unterliegen alle Buchungen der SCA (Strong Customer Authentication)?
Einige Transaktionen unterliegen nicht der SCA und bleiben außerhalb des Geltungsbereichs der Rechtsvorschriften. Transaktionen in Anwesenheit des Karteninhabers sind offensichtlich nicht betroffen. Papierbasierte Transaktionen, Versandhandel, Transaktionen auf Grundlage telefonischer Bestellungen (MOTO – Mail Order/Telephone Order) sowie Merchant Initiated Transactions (MIT) sind auch nicht betroffen.
Andere Transaktionen, die zwar nicht außerhalb des Geltungsbereichs sind, können tatsächlich so abgewickelt werden, dass sie nicht den SCA-Anforderungen unterliegen. Dazu zählen vertrauliche Transaktionen an einen Begünstigten, Transaktionen mit geringem Geldwert, risikoarme Transaktionen und Transaktionen in Form wiederkehrender Zahlungen.
Bei der Mehrzahl der Online-Bezahlungen wird aber die Einhaltung der SCA erforderlich sein, auch bei Online-Buchungen, bei denen keine Vorauszahlung erforderlich ist, aber bei denen nur eine Kreditkarten-Garantie benutzt wird.
Ist SCA auch für Buchungen bei Online-Reisevermittlern (OTA – Online Travel Agency) erforderlich?
OTA-Buchungen unterliegen denselben Regeln wie direkte Buchungen. Auch bei ihnen ist die 2-Faktor-Authentifizierung erforderlich. Bis jetzt ist es nicht bekannt, wie das bei OTAs gehandhabt werden wird. Jedoch werden Vorauszahlungen wahrscheinlich zunehmen. Das führt dazu, dass Hotels weiter im OTA-Web umgarnt werden, was nach Lage der Dinge bereits heute Kunden täglich Probleme bereitet. Wenn Hotels eine Verarbeitungslösung mit SCA (Strong Customer Authentication) für OTA (Online Travel Agency) nutzen, laufen sie Gefahr, noch weiter die Kontrolle über ein Schlüsselelement beim Buchungsvorgang zu verlieren, was höhere Kosten nach sich ziehen kann. In dieser Phase rät Bookassist den Hotels zu warten, um zu sehen, was OTAs vorschlagen, und achtsam und geduldig zu sein, bevor sie den nächsten Schritt machen. Denn das „Kleingedruckte“ zu lesen könnte wesentlich sein, um sich vor unerwünschten zukünftigen Folgen zu schützen.
Was brauchen Hotels, um sich auf die Umsetzung der PSD II vorzubereiten?
Die gute Nachricht für Hotels ist, dass die Verantwortung für PSD II primär bei den Zahlungsanbieter und beim Bank- oder Finanzsektor liegt. Hotels müssen sich vergewissern, dass ihre Bezahlservice-Partner bereit für PSD II sind, und Hotels sollten mit ihren Banken und/oder Zahlungsanbieter prüfen, dass sie die notwendigen Vorkehrungen getroffen haben, damit sie für PSD II bereit sind und nach dem 14. September problemlos Geldmittel empfangen können.
uch sollten Hotels mit ihren Anbietern von Property-Management-Systemen (PMS), ihrem Booking-Engine Dienstleister und ihren Online-Vertriebspartnern sprechen und sie fragen, was sie vorhaben, um nach dem 14. September Bezahlungen mit vorschriftsmäßiger Authentifizierung zu ermöglichen. Wenn sie die Einhaltung der Regeln von ihnen bestätigt bekommen haben, besteht nicht die Gefahr, dass Gäste den Buchungsvorgang abbrechen und Zimmer woanders reservieren.
Hotels müssen auch Ihre Geschäftsbedingungen überprüfen und aktualisieren, damit sichergestellt ist, dass sie den PSD II-Rechtsvorschriften entsprechen.
Wie bereitet sich Bookassist Hotels auf die PSD II vor?
Bookassist hat viele Monate lang mit seinen Bezahlservice-Partnern zusammengearbeitet, um sicherzustellen, dass wir und unsere Kunden die Bestimmungen von PSD II erfüllen. Dazu hat auch gehört, bei all unseren verschiedenen Zahlungsanbieter und der Integrations-Software ein Update durchzuführen. Bookassist wird weiter ihre Kunden über zusätzliche PSD II-Updates informieren, auch über weitere Anforderungen, wenn das wichtig werden sollte, oder über geänderte Implementierungsfristen, sofern solche bekannt gemacht werden.
Claire Sawier ist Marketingleiterin und Don Cronin ist Produktleiter bei Bookassist (bookassist.com), die vielfach preisgekrönte Technologie und Partner für digitale Strategie für Hotels weltweit.
