Strafbare Handlungen im Zahlungsverkehr: PSD2, SCA-RTS und § 27 ZAG – Organisationspflichten

Digitale Zahlungssysteme sind anfällig für Betrug, Skimming, Phishing und Identitätsdiebstahl. Deshalb schreibt der europäische und nationale Gesetzgeber vor, dass Zahlungsinstitute, E-Geld-Institute und E-Geld-Emittenten wirksame interne Sicherungsmaßnahmen einführen müssen. Grundlage hierfür sind insbesondere:

PSD2 (Richtlinie (EU) 2015/2366)
Delegierte Verordnung (EU) 2018/389 – SCA-RTS
ZAG und die Verweisungen auf das KWG (§ 27 Abs. 2 ZAG)
EBA-Leitlinien zur Betrugsberichterstattung

PSD2 und SCA-Verordnung: Technische Sicherheitsanforderungen

Art. 94–96 PSD2: Kernpflichten für Zahlungsdienstleister

Art. 94: Schutz personalisierter Sicherheitsmerkmale
Art. 95: Sicherheitsmaßnahmen und Risikoanalysen gegen Betrug
Art. 96: Meldepflicht schwerwiegender Sicherheitsvorfälle (z. B. Datenlecks, Hackerangriffe)

Delegierte Verordnung (EU) 2018/389 – RTS zur starken Kundenauthentifizierung (SCA)

Diese Verordnung konkretisiert Art. 97 PSD2 und verpflichtet Zahlungsdienstleister dazu, bei elektronischen Zahlungen in der Regel eine Zwei-Faktor-Authentifizierung durchzuführen, basierend auf:

Wissen (z. B. Passwort)
Besitz (z. B. Mobilgerät)
Inhärenz (z. B. Fingerabdruck, biometrische Merkmale)

Ausnahmen (z. B. Kleinbeträge, vertrauenswürdige Empfänger, risikoarme Transaktionen) sind nur unter strengen Bedingungen zulässig und müssen durch ein internes Transaktionsrisikomanagement flankiert werden.

§ 27 ZAG

Gemäß § 27 Abs. 2 ZAG gelten für Zahlungs- und E-Geld-Institute folgende KWG-Bestimmungen sinngemäß:

§ 25i KWG: Sorgfaltspflichten bei Ausgabe von E-Geld – inkl. Schwellenwerte, Rücktauschbeschränkungen, Protokollierung
§ 25m KWG: Verbot riskanter Kontostrukturen wie Nested Accounts oder unkontrollierter Drittzugriffe
§ 6a KWG: Einrichtung interner Hinweisgebersysteme
§ 24c KWG: Erweiterte Datenabrufrechte der BaFin bei Verdachtsmomenten

EBA-Leitlinien zur Betrugsberichterstattung (EBA/GL/2018/05)

Zahlungsdienstleister sind verpflichtet, halbjährlich Betrugsstatistiken zu erheben und an die Aufsicht (z. B. BaFin) zu übermitteln. Berichtet werden müssen:

Anzahl und Volumen betrügerischer Transaktionen, aufgeschlüsselt nach Zahlungsinstrument und Authentifizierungsverfahren
Vergleichsdaten zu autorisierten Transaktionen (Fraud Rate)
Differenzierung nach SCA-konform vs. nicht SCA-konform

Diese Daten werden für die aufsichtsrechtliche Bewertung der Risikosteuerung genutzt.

Was interne Sicherungsmaßnahmen umfassen müssen?

Delikt	Typische Bedrohung
Kartendiebstahl	Einsatz gestohlener Karten ohne SCA
Skimming	Terminalmanipulation und Datenklau
Phishing / Smishing	Täuschung zur Herausgabe von Zugangsdaten
Account Takeover	Logins durch kompromittierte Credentials
E-Geld-Missbrauch	Aufladung mit gestohlenen Kartendaten
Business Email Compromise (BEC)	Täuschende Zahlungsanweisungen durch Social Engineering

Verhinderung - Aufdeckung - Reaktion

PSD2, SCA-RTS und ZAG