36c3 Vorspannmusik Herald: Ich habe hier so ein Handy, vielleicht habt ihr auch ein Smartphone. Und ich habe eine App drauf und die damit.. Ich habe so mehrere Konten bei verschiedenen Banken, und ich habe so eine App. Da sind die ganzen Konten so drin. Und wenn ich wissen will, wie viel Geld ich nicht hab, dann starte ich diese App und gucke ich da so drauf, weil mein Telefon mich sonst nicht erkennt. Und dann kann ich halt sehen, wie wieviel Geld ich auf den Konten habe und was ich für Kontobewegungen hatte. Und dann, irgendwann dieses Jahr lacht , hab ich da nicht mehr gesehen, wie viel Geld auf dem Konto hatte. Da kammen immer so Pop- ups. Die haben gesagt: Ja, das funktioniert jetzt nicht, weil hab ich nicht verstanden. Aber was da immer drin vorkam, das waren drei Buchstaben, eine Zahl, und das hieß PSD2, und jedes Mal habe ich gedacht, jetzt muss ich wieder aus der App raus und muss wieder irgendwas machen, was ich nicht verstehe. Und dann werden mir SMSen geschickt, die ich irgendwo eintragen muss und dachte: Was zum Teufel soll dieser Scheiß? Und das Schöne ist: Wir alle werden jetzt möglicherweise eine Antwort auf die Frage bekommen, was dieser Scheiß soll. Und falls nicht, dann kann man hinterher persönlich zur Rechenschaft ziehen. Sein Name ist Henryk Plötz. lacht Applaus Henryk Plötz: Ja, genau. Ich Ich versuche die Frage zu stellen, was hat die PSD2 je für uns getan? Und Antworten darauf zu geben, in der Hoffnung, dass ich auch herausfinden, was der Scheiss soll? Für diejenigen, die, es ist einer der ersten Vorträge, die hineingestolpert sind, ohne zu wissen, worum es geht. Es geht um die Richtlinie der EU 2015 2366 des Europäischen Parlaments und des Rates vom 25. November 2015 über Zahlungsdienste im Binnenmarkt zur Änderung der Richtlinie und so weiter und so fort und fort. Das ist die Zahlungsdienst, der Richtlinie 2, und da dranhängt noch eine Handvoll Delegierter Verordnungen, aber ganz massiv die Delegierte Verordnung vom 27. November für die technischen Regulierung Standards für eine starke Kunden Authentifizierung und für sichere offene Standards zur Kommunikation. Das ist, was in der App die ganzen Pop-ups verursacht hat. Warum bin ich hier? Und warum erzähle ich euch etwas zu diesem Thema? Ich bin Informatiker und Sicherheitsforscher. Ich glaub, neudeutsch sagt man Hacker dazu. Hab einen meiner ersten Vorträge auf dem Kongress vor zehn Jahren zu "Mifaire Classic" gehalten. Seitdem einiges gemacht zu Zutrittskontrollsystemen, RFID, Die Spezialgebiet sind halt solche Arten von Kommunikationsprotokollen. Ich bin auch Open Source Entwickler. Also wenn irgendwo ein Kommunikationsprotokoll rumliegt, dann implementiert ich das manchmal unter anderem HBCI. Dazu erzähle ich euch noch ein bisschen was. Es gibt im Umfeld des CCC eine Vereinswaltung, die entstanden ist, die heißt byro von Rixx. Da habe ich einige größere Dinge zu beigetragen, und es gibt von Rami. Die beiden waren ja die Kasse und der Vorverkauf von Rami eine Python Implementierung von FinTS, ich sage vielleicht noch, was das ist. Dazu hab ich größere Dinge beigetragen. Und dann die Kombination dabei ist das im PlugIn byro-fints. Also eine Perspektive, aus der ich das betrachtet, halt als Open Source Entwickler. Ich bin auch Gründer und Geschäftsführer. Vor zwei Jahren habe ich mit einem Freund zusammen eine eigene Firma gegründet "Digital Wolff und Plötz GmbH und Co. Wir haben einen etwas schwammigen, schwammige Selbstverständnis, eigentlich sehr präzise Selbstverständnis, das etwas schwieriger zu verstehen ist. Dass die Digitalisierung in komplexen Umfeldern. Wir entwickeln. Wir machen halt Beratung, aber entwickeln halt auch Software. Auf dieser Ebene gucke ich das auch an bzw. andere Produkte. Für die evangelische Kirche bauen wir den digitalen Klingelbeutel. Wir sind jetzt Zahlungsdienstleister. Zum Glück hat es nichts damit zu tun. Ich bin. Ich freue mich sehr, dass alles, was wir tun, an der PSD2 vorbeigeschrammt ist, außer halt als Privatkunde. Ich bin nämlich auch noch neugieriger Nutzer. Wir haben gerade in der Einführung gehört, dass jemand durchaus eine App von mehreren Konten haben könnte. Ich habe mal kurz durchgezählt. Bei mir sind es neun verschiedene Konten, weil ich auch noch mehrere Hüte auf habe, also sowohl Geschäftskunden, neun verschiedene Banken. Konten sind es ein paar mehr. Als sowohl geschäftliche Konten als auch Privatkonnten bzw. Familien Konto. Als auch ich bin in Vereinen, Vorstand, Vereinskonten. Ich glaube sieben oder so. Davon benutze ich auch regelmäßig. Der Rest war halt so kostenloses Girokonto. Mal ausprobieren, was die tun. Und dann sind da halt 10 Euro drauf und man kann sehen, wie die auf diese Umstellung reagiert haben. Das hilft dann auch wieder beim Entwickeln von Open-Source-Software. Wenn man Testkonten hat und mal gucken kann, was die Banken so anstellen. Agenda also. Wir haben gerade gehört, worum es gehen soll. Ich werde euch gleich den wunderschönen vorher Zustand darstellen. Die Begründungen geben, die die Europäische Kommission gegeben hat, warum diese Richtlinie veröffentlicht, beschlossen werden sollte. Dann auf die Frage antworten, was uns PSD2 wirklich gebracht hat. In der Form, die schön ist und dann in der Form. Was ist dann tatsächlich herausgekommen? Ist mit einer kurzen, kurzen Eingehen auf die Zeitlinie und dann zu den diversen Problemen, Ärgerungen, ja, Blutdruck kommen. Ich fand das sehr schön. Als die zwei Minuten bevor der Vortrag losging, war hier im Info Beamer, eine Werbefolie für BTX. Irgendwo hier stehen BTX Terminals, die man ausprobieren kann. Es war ja nicht alles schlecht in 2018 oder auch in den 80ern. Schon seit den 80ern gibt es Online- Banking für Privatkunden. In Deutschland fing das halt so, in den frühen 80ern mit BTX. Ich glaube der CCC hat ein bisschen Geschichte mit BTX, der Eine oder Andere wird sich erinnern. Es wurde 2007 leider abgeschaltet, aber man hat bis dahin ganz gut funktioniert. Daraus entstanden mehr oder weniger direkt ist das sogenannte HBCI-Buchstaben. Abkürzungen haben vielleicht die meisten schon mal gehört: Homebanking Computer Interface. Das ist ein Datenübertragungen, Kommunikationsprotokoll zum Austausch von Bankdaten für Endanwender. Naja, komma separierte Werte auf Drogen. Das hat Semikolons als Trennzeichen, aber manchmal sind dann auch noch Doppelpunkt Trennzeichen und manchmal Pluszeichen Trennzeichen. Was das... Ich habe es implementiert. Es ist tatsächlich parsbar, ich hätte es mir nicht gedacht. Es gibt durchaus Protokolle, die nicht parsbar sind. Dies gehört nicht dazu. Aber es erscheint mir wie ein Zufall. lachen Es ist sehr hierarchisch aufgebaut, die Datenstrukturen sind hierarchisch, man kann Dinge in Dinge, in Dinge tun. Aber es gibt nur drei Ebenen von Trennzeichen, und irgendwann sind dann die Trennzeichen alle. Aber rein zufällig sind dann auch die Ebenen alle. Das ist übergegangen, es wurde immer wieder erweitert und verbessert eingeführt 1998. Version 2.1 war, glaub ich, die erste brauchbare. Das hat sich immer, wurde immer weiter verbessert, ist übergegangen. HBCI 3.0 kennen die meisten, und dann wurde es umbenannt in FinTS --- Financial Transaction Services. Es war ursprünglich ein rein deutsches Ding. Es ist ein rein deutsches Ding. Mit FinTS haben Sie dann versucht, das international einsetzbar zu machen, unter anderem, in dem Sie es in XML gegossen haben. Und ja, das XML ist auch parsbar, aber doch eine der unschönsten Implementierungen, wie man sich das vorstellen kann. Es gibt auch niemand, der das einsetzt. Ne, ist nicht richtig. Es gibt tatsächlich eine zentrale Liste, wo alle Banken drinstehen mit den FinTS bzw. HBCI-Versionen, die sie unterstützen. Sind ja. In Deutschland erreicht man damit quasi jede Bank, manche noch mit Version 2, ich glaub die Deutsche Bank. Die meisten unterstützen Version 3, und ich glaube, es gibt exakt einen Eintrag, der FinTS Version 4 ankündigt. Wie gesagt, benutzt niemand, 4. FinTS 3 total überall, weil es damit erst der breiteren Öffentlichkeit zugänglich wurde. Früher HBCI war ein typisch deutsches Ding. Sehr schön, sehr sicher. So, mit Smartcard in Computer stecken. Dazu muss man erst mal die Smartcard besorgen, eine PIN dafür haben, einen separaten Berechtigungsvertrag bzw. es gab auch ein Allternativverfahren, wo man Disketten durch die Gegend... Briefe durch die Gegend geschickt hat, auf denen RSA-Keys abgedruckt waren. lachen Seit FinTS 3 gibt es auch als alternatives Verfahren PinTan. Das ist, was die meisten in Deutschland als Online-Banking kennen. Man meldet sich mit seiner PIN an, hat dann nur Lese Zugriff aufs Konto, und wenn man eine Transaktion durchführen möchte, braucht man einen Transactions Autorisierung Nummer, eine TAN. Sehr schön, sehr einfach. Leider demnächst tot. Die Franzosen haben so etwas ähnliches wie BTX. Sie haben minitel. Das ist aber auch schon vor ein paar Jahren abgeschaltet worden. Das ist so der Überblick für die anderen Länder. Ansonsten wars das im Wesentlichen an schönen, strukturierten Verfahren. Seit den, seit der Mitte der 90 hier habe ich einen Screenshot von Wells Fargo. Die waren eine der ersten, die man hingeguckt rechts oben Online-Banking anbieten 1995. Man bemerke auch die Adresse. Das war vor https, gab es einen Wildwuchs, das halt viele Banken irgendeine Form von Online- Banking angeboten haben, aber halt immer durch das Web-Interface und immer mit unterschiedlichen Formen von Berechtigungs-Methoden und -Mechanismen . Für Firmenkunden, sieht das Ganze noch verwirrender bzw. besser aus. Das sind halt alles nur die Privatkunden. Firmenkunden haben schon schon wesentlich früher angefangen, weil ja auch mehr Transaktionen hatten, mit tatsächlich Disketten durch die Gegend schicken, das Datenträgeraustauschverfahren. Später gab es dann Nachfolger BCS und das aktuelle EBICS. Da werde ich dann gleich noch drauf kommen, wenn ich die Situation bei meiner Firma beschreibe, weil das mit dem FinTS ist jetzt leider schade war. Es ermöglichte damals interoperables Multibanking. In FinTS selber sind sogenannte Geschäftsvorfälle definiert. Man kann halt nicht alle Banken unterstützen alles. Aber man kann im Wesentlichen abrufen, Kontoauszüge abrufen oder Transaktionsliste. Man kann Überweisungen einkippen oder Lastschriften verursachen. Das ist das Wichtigste, was man machen kann. Alle Banken haben noch irgendwas anderes. Aber das Schöne ist, das funktioniert eigentlich überall. Und dann gibt es einfach auf meinem Handy eine App, die das implementiert. Das Schöne daran war, dass das Protokoll einfach frei im Internet verfügbar war. Ursprünglich kommt es von der ZKA der Zentrale Kreditausschuss. Die haben sich irgendwann umbenannt und haben sich bei der Bahn ein Beispiel genommen und heißen jetzt DEKA. Die Kreditwirtschaft einzelne Lachen oder die deutsche Kreditwirtschaft je nachdem. Da kann man die Spezifikation runterladen. Wie gesagt, das ist prinzipiell parsbar. Man kann es implementieren, ich habs gemacht. Und dann braucht man nur noch Benutzername und Pin, wie man sie von der Bank erhalten hat und die gleichen Zugangsdaten wie im Onlinebanking gelten. Und man muss niemanden fragen, das finde ich das Wichtigste, sondern muss niemand fragen, wofür man eine Implementierung schreibt. Man muss niemanden fragen, bevor man die Implementierung benutzt. Ich habe das für Vereinsverwaltungsoftware geschrieben, das die gesamten Finanzen des Vereins quasi vollautomatisiert verarbeitet werden können, ohne dass irgendjemand im Webinterface die Dinge herunterlädt und irgendwo eingibt oder gar abtippt. Das Schöne an diesem FinTS ist eine der Eigenschaften von diesem FinTS ist, dass es zukunftskompatibel ist. Man kann halt, es gibt diese einzelnen Datensätze, haben eine Versionsnummer, und man kann dann jedes Mal eine neue Version einführen. Der alte Datensatz funktioniert weiterhin für die Banken oder die Software nur das alte unterstützt. Man sieht daran aber auch jedes Mal, wenn irgendwas in der Geschichte passiert ist, wenn es neue Regulierungen gab, die darauf Auswirkungen hatten, dann kommt gibts halt eine neue Version von z.Bsp. dem Datensatz zum Anmelden, das dann plötzlich ein neues Feld drin ist für ein SMS Abbuchungskonto. Weil, ich weiß nicht genau wann das war, 2012 die EU beschlossen hat, dass der Kunde das Konto angeben muss, von dem die SMS Gebühren berechnet werden, die für die AnmeldeTan benutzt werden. Später gab es neue Veränderung, eine neue Versionen. Es ist an der Stelle schön, dass man so quasi in Fossilienmäßig sehen kann, was in der Vergangenheit passiert ist, indem man sich das Protokoll anguckt. Wie gesagt, Multibanking war die wichtigste Funktionalität um seine Finanzsoftware auf deinem Computer oder deinem Telefon oder auf deinem Server oder sonst wo zu haben und sie funktioniert mit allen Banken in Deutschland. Was gab es noch für der andere wichtige Punkt für Endverbraucher ist Onlineshopping. Ich möchte gerne bezahlen. Ich brauche irgendeine Zahlung. Da gab es gibt es immer noch Dienste wie PayPal oder irgendwelche Wallit Dienste, wo man auf eine beliebige Art vorher Geld auflädt, das Geld ausgeben kann, was aber nichts mit dem eigentlichen Bankkonto zu tun hat. Was für den Verbraucher natürlich wesentlich angenehmer ist, Konntobezogene Zahlungsdienste, irgendwas, was direkt mit meinem Konto, das ich sowieso habe, verbunden ist. Am einfachsten für alle Beteiligten ist die Vorkasse, kann man halt vorher überweisen und kriegt dann seinen Gut oder auch nicht. Am einfachsten für den Verbraucher ist die Lastschrift, verschickt halt der Versender das Gut und belastet nachher das Konto. Beides nicht so ideal. Deswegen gab es immer wieder Versuche, andere Systeme einzuführen. Ich glaube, die ersten waren die Niederländer mit einem System, das so einen integrierten Prozess anbot. Der Händler kann das System ansprechen. Ihm sagen: Ich hätte gerne von einem Benutzer so viel Euro. Oder 2005, ja? Ich hätte gerne so und so viel Geld von diesen Benutzer. Der macht das dann auf der Webseite seiner Bank mit den Zugangsdaten der Bank, gibt den Betrag frei. Der Händler kriegt sofort die Bestätigung, dass der Betrag freigegeben wurde und kann sofort die Ware losschicken. In Deutschland haben wir das auch. Das kennt natürlich wieder keiner, weil die Sparkassen sitzen es ein. Und dann war's das fast. Das heißt Giropay, und das ist, wie man Onlinezahlungen übers Konto eigentlich machen würde. Parallel um 2006 entstand ein Dienstleister, ich hatte vorhin einen anderen Namen, die Sofortüberweisung. Das kennen Leute doch noch, und man wundert sich ein bisschen, dass überhaupt entstehen konnte. Also, ich fand das Geschäftsmodell schon immer ein bisschen komisch. Sofortüberweisung-in- the-Middle. Der Benutzer gibt seine Zugangsdaten, die er von seiner Bank bekommen hat, auf der Webseite von Sofortüberweisung ein. Sofortüberweisung loggt sich bei der Bank ein. Macht, was auch immer, gibt dem Händler halt Bescheid, dass die Transaktion durchgeführt worden ist und führt dem Benutzer dann zum Händler zurück. Sie geben ihr Indianerehrenwort, dass sie nichts anderes tun, außer die Transaktion freizuschalten und gegebenenfalls ein Konto nachzuschauen, ob du Gebounste, Überweisung oder sonst was hast. Irgendeine Risikobewertung. Sie haben auch TüV gibt TüV geprüften Datenschutz, der TüV Saarland steht dafür gerade. Und wenn ich mich richtig erinnere, haben sie sogar dann doch noch etwas passiert, haben auch noch eine Versicherung abgeschlossen. eizelne Gelächter Falls das Indianerehrenwort nicht reicht. Damals, 2012, verstieß das jetzt mal abgesehen vom gesunden Menschenverstand auch gegen die Teilnahmebedingungen für das Pin/Tan- Verfahren, die ihr bei eurer Bank unterschrieben habt. Ich habe hier das Mal rausgesucht von der DKB. Der Teilnehmer ist verpflichtet, die technische Verbindung zum Onlinebanking der Bank nur nur über die Internetseite der Bank oder andere mitgeteilte Kommunikationswege herzustellen. Um kurz zu illustrieren, habe ich eine Abbildung aus der Wikipedia herausgesucht. Eigentlich verstößt man damit gegen die Bedingungen seiner Bank und im schlimmsten Fall die Bank übernimmt erst einmal nicht, garantiert nicht, dass es funktioniert, übernimmt die Schäden nicht. Es gab da dann so verschiedene Banken, die versucht haben, das auch technisch zu unterbieten, zu verbieten. Ich habe da keine Bestätigung, aber ich hörte die Geschichte, dass die Sparkasse wohl versucht hätte, die Zufgriffe, die Sofortüberweisung auslöst, zu blockieren, indem sie die IP-Adresse sperren, woraufhin dann drei Stunden später die Zugrffe von drei anderen IP-Adressen kamen. Da gab es auch juristische Auseinandersetzungen, weil die Sparkasse vorher, wie ich auf der vorherigen Folie gezeigt habe, ein eigenes System anbot, das als Mitbewerber gesehen werden kann. Auch wenn es technisch halt richtig rum ist, im Gegensatz zur Sofortüberweisung, die falsch rum ist. Deswegen wurde Ihnen dann verboten zu versuchen, die Sofortüberweisung zu torpedieren. Das zog auch so langsam ein. Ich habe deswegen die DKB von 2012 rausgesucht, weil ich mich erinnere. Mein Konto ist schon ein bisschen länger, dass ich irgendwann AGB Änderungen mitgeteilt bekommen habe. Da haben Sie halt diesen Absatz einfach gestrichen. Und statt dessen stand dort. "Sie dürfen die Zugangsdaten nur auf der Webseite der DKB eingeben, oder einem anderen von uns autorisierten Zahlungsdienstleister siehe Anhang." Der Anhang enthielt genau eine Zeile "Sofortüberweisung.de", so nebenbei. Um herauszufinden, was die Bedingungen von 2012 waren, musste ich bei mir bei der DKB mal einloggen, um mein Postfach zu gucken, wie wir gleich sehen werden, braucht man zum Einloggen neuerdings manchmal eine TAN. Dazu gibts den TAN Generator, der ein Passwort will, das ich natürlich nicht mehr wusste, aber gar kein Problem, es hat einen Rücksetzfluß. Man kann sich einfach eine SMS schicken lassen und den TAN Generator zurücksetzen und dann funktioniert es wieder. OK, glaube, das Passwort brauche ich mir nicht merken. So das war der Zustand bis Anfang diesen Jahres, bis Mitte dieses Jahres. 2015 kam diese Zahlungsrichtlinie heraus, und das ist die Begründung, warum die herausgebracht wird, die dort stehen. Unter anderem seit der vorherigen Richtlinie 2007, die PSD, die Zahlungsrichtlinie, nicht die Zahlungsrichtlinie 2, sind neue Arten von Zahlungsdiensten entstanden. Vor allen Dingen Zahlungsauslösedienste. Ein anderes Wort für Sofortüberweisung. Oder Kontoinformationsdienste. Diese Richtlinie soll darauf abzielen, die Kontinuität im Markt sicherzustellen. Mit anderen Worten Diese Richtlinie ist in keiner Form gedacht oder geeignet, irgendeinen der bisherigen Player am Markt zu benachteiligen oder zu disruptieren. Ich las irgendwann mal den schönen Satz Lex-Sofortüberweisung. Hier ist die Gegenüberstellung von der Zahlungsdiensterichtlinie 2007 und Zahlungsdiensterichtlinie 2 2015. Die haben relativ langes Zeugs und unglaublich komplizierte Sätze an einigen Stellen. Man muss so 2 Minuten lang lesen, um herauszufinden, dass das... A. Diese Richtlinie gilt nicht für Geldabheben im Supermarkt. Der Satz, der das beschreibt ist vier Zeilen lang. Es gibt einen Anhang, der steht, worauf sie sich bezieht. Die ersten Paar sind gleich geblieben, und in Zahlungsdiensterichtlinie 2 sind neuerdings Zahlungsauslösedienste und Kontoinformationsdienste hinzugekommen. Und dann noch ein paar Regeln dazu. Was hat also diese PSD2 gebracht? Die neuen Kategorien des Zahlungsauslösedienstleisters und des Konto-Informationsdienstleisters, neue Sicherheitsmaßnahmen. Das ist der Teil, den die meisten mitgekriegt haben. Die sogenannte starke Kundenauthentifizierung SCA, Strong Customer Authentification. Damit zusammenhängend eine ganz merkwürdige 90-Tage-Regelung, die keiner so richtig versteht und nur manchmal angewendet wird. Ich weiß nicht, ob das haben die wenigsten mitgekriegt, ausser wenn Sie sich geärgert haben, dass Timeout im Onlinebanking ist heruntergesetzt worden auf fünf Minuten. Wenn man nicht alle fünf Minuten etwas anklickt, zum Beispiel, weil man gerade versucht TAN Generator heraus- zusuchen, wird man ausgeloggt, und muss sich wieder einloggen und eine TAN eingeben. Es gibt, das ist tatsächlich ganz positiv, neue Transparenzpflichten. Das ist so der Teil, den die wenigsten mitkriegen, weil man das mal so abnickt. Da steht dann drin, dass alle Dienstleister jetzt auch dieses Mal ordentlich und transparent darüber Auskunft geben müssen, welche Kosten entstehen, welche Gebühren entstehen, die Gebührenstruktur nachvollziehbar sein soll, dass man sie auf einem dauerhaften Datenträger ausgehändigt bekommen muss. Es gibt in der PSD2 neue Meldepflichten, zum einen an die Bundesbank bzw. die Bankenaufsicht. Zum anderen vor der Aufnahme des Betriebs muss man sich registrieren lassen. Das finden glaube ich alle ganz gut. Wir hatten mal ein Meeting bei der Bundesbank, die meinten, das fanden sie ganz toll, dass sie jetzt diese Daten über den Finanzmarkt kriegen und die Finanzmarktstabilität besser einschätzen können. Besser bewerten können, weil für einen Dienstleister nach dieser Richtlinie jetzt sehr ausführlich vorgeschrieben ist, welche Risikokategorien, welche Risikobewertung er machen muss und in welcher Form er diese Daten dann nach oben melden muss auch was Betrugsversuche und erfolgreichen Betrug angeht. Und es gibt neue Schnittstellen. Naja, mehr oder weniger. In der Zahlungsdiensterichtlinie bzw. tech- nischen Durchführung ist von dedizierten Schnittstellen für Zahlungsauslösedienste bzw. Kontoinformationsdienste die Rede, die angeboten werden müssen. Neudeutsch sagt man dazu API. Das ist dann das, was unter PSD2 API überall läuft. Es steht allerdings nicht drin, wie der aussehen soll, nur was sie leisten können. Die neuen Kategorien. Wie gesagt, Zahlungsauslösedienst ist jemand, der im Auftrag von jemandem eine Zahlung auslöst. Also Sofortüberweisung.de oder theoretisch auch andere. Aber man muss bestimmte Voraussetzungen erfüllen, um überhaupt in diese Kategorie fallen zu können. Das hält unter anderem eine ganze Menge Eigenkapital und Zertifizierungen und so weiter. Und Kontoinformationsdienste. Damit ist das, was wir früher unter Multibanking gekannt haben. Ich bin mir nicht ganz sicher, welche wie die Leute drauf waren, die das formuliert haben oder geschrieben haben. Aber sie hatten offensichtlich kein Handy, auf dem sie eine App installiert haben, wo man alle seine Konten hat, sondern sie haben es auf einer Webseite gemacht. Es ist also neuerdings vorgesehen, dass ein online Anbieter, eine Webseite, ein Portal halt sich auf alle meine Konten einloggt und mir dann auf der Webseite anzeigt, wie mein Finanzstatus ist. Dazu muss sie natürlich sich überall einloggen können. Und dann braucht man neue Richtlinien, Regulierung und den ganzen Kram. Ein kurzer Blick zurück, wie man sich das dachte. Ich habe beim Recherchieren, ich fand es total toll, ein Screenshot von Heise aus dem Newsticker vom Jahr 2000. Das stimmt nicht. Das Datum ist falsch. Ich glaube, es war 2016. Ein Screenshot von 2016, wie wir uns die schöne neue Zukunft mit PSD2 vorstellen. Aktuell muss man durch ein Bezahldienstleister gehen, der mit meiner Kreditkarte zur Bank geht. Neuerdings kann der Online-Shop via PSD2-API direkt auf das Bankkonto zugreifen. Ja, ne. *einzelne Kommentare* Ich nenne das die Lüge von der dritten Partei. Ein kurzer Blick, wie wir das bei uns einer Firma hatten. Wir haben Abrechnungssoftware, Personalverwaltung, Lohnbuchung, den ganzen Kram. Die hat dann einfach über FinTS mit meiner Bank geredet. Ein Rechner, der bei mir in meiner Firma steht, der gehört mir, da ist Software drauf installiert, die ich gekauft habe. Und da ist mal meine Bank, und dazwischen ist halt ein Vertrauensverhältnis, weil das meine Bank ist und ich gebe irgendwie meine Zugangsdaten meiner Bank. Und dann funktioniert das hervorragend. Das ist zum 14. September 2019 abgeschaltet worden. Datev hat uns gesagt, Sie haben einen neuen Kooperationspartner, die FinApi GmbH. Das heißt, neuerdings läuft das so, dass die Daten meiner Firma erstmal an das Datav Rechenzentrum gehen, von dort an die FinAPI GmbH, die dann die API implementiert, die meine Bank implementiert. Ich weiß nicht, ich kann es hier vorne ganz gut sehen, aber das Logo der FinAPI GmbH, ist deswegen sehr schön weil da steht Schufa Comany. FinApi hat sich aufkaufen lassen bzw. Mehrheitsbeteiligung der Schufa Holding GmbH. einzelne Gelächter In der schönen neuen Welt gehen alle meine Daten jetzt mal nicht abgesehen davon, dass sie durch Datev gehen, auch noch durch die Schufa, die natürlich verpflichtet sind, damit nichts Böses zu tun. Allerdings habe ich mit der Schufa irgendwie auch keinen Vertrag dazu abgeschlossen, sondern ich habe meinen Vertrag mit jemandem anderen, deswegen nicht so schön. Überall wird immer von Drittdienstleistern gesprochen, das heißt immer die dritte Partei implementiert halt PSD2 API. Das ist ja falsch! Sind ja immer vier Parteien beteiligt. Es ist ja immer ich, ich kann mal, ich darf nicht mich vorbeugen ich nehme mal diesen Laserpointer hier, es ist ja immer ich daran beteiligt es ist ja immer meine Bank daran beteiligt sind wir schon bei zweien. Dann gibt es irgendwas was ich in Wirklichkeit machen möchte. Also meinetwegen Zahlungen, das wäre dann meinetwegen Zahlungen. Das wäre hier so irgend eine Partei. Aber de facto muss es immer immer eine vierte Partei geben, einen neuen Gatekeeper, der dann die API tatsächlich implementiert. Ich sag gleich warum. Aber im Wesentlichen läuft es darauf hinaus, dass die hier einen bevorzugten Zugang zu allen Banken erhalten, der nicht so einfach auf einer der anderen drei Ebenen, zum anderen beiden Ebenen zu implementieren ist. Es gibt aber eigentlich immer eine vierte Partei. Es gibt quasi keinen Anwendungs- fall, der mir einfällt, wo es nur drei Parteien sind, außer vielleicht der Kontoinformationendienstleister, der selber ein Webportal betreibt, auf dem ich meinen Kontostand einsehen kann. Der einzige Fall, der einem einfällt, wo es nur drei sind. Die PSD2 API schreibt, wie gesagt, einen offenen Zugriff vor. Naja, offen ist halt so gemeint wie ein Bürokrat das als offen versteht. Es ist kein Vertragsverhältnis erforderlich zwischen den Banken und den Leuten, die darauf zugreifen, das ist schon mal ganz gut. Die Banken sind verpflichtet, ein API anzubieten, aber es steht halt nur, dass es verfügbar sein muss und was es leisten können muss und dass es genauso gut sein muss wie der Zugriff, den die Bank dem Kunden direkt anbietet. Und die gleichen Servicelevel Agreements erfüllen muss, die gleiche Verfügbarkeit haben muss. Es steht nicht drin, wie es tatsächlich ausgestaltet ist. Es steht nicht drin, welche Spezifikation dies erfüllen soll. Das führt dazu, dass nicht jede Bank entwickelt ihr eigenes API. Die haben gar keine Lust darauf. Die kaufen schon noch APIs von externen Dienstleistern diese Funktionalität ein. Aber dennoch gibt es eine größere Handvoll an verschiedenen APIs, die von verschiedenen Banken eingesetzt werden. Die, wenn ich also, wenn ich eine Funktionalität implementieren möchte, die auf Zahlungskonten zugreift, muss ich sie eigentlich alle implementieren. Oder ich nehme mir einen zusätzlichen Dienstleister wie die FinApi dazu, der dann für mich alle implementiert. Es gibt ein quasi- Standard. Die Berlin Group hat sich zusammengesetzt, um eine PSD2 API zu spezifizieren, die jeder implementieren kann, wo dann alle Seiten nur einmal das machen müssen. Die Webseite ist ein bisschen schlimm, ist relativ schwierig, den Standard herunterzuladen. Aber das ist mittlerweile der quasi-Standard. Es gibt noch keinen echten Standard. Voraussetzung dafür ist, um die PSD2 API nutzen zu können, dass ich ein lizensierte bzw. registrierter Dienstleister bin. Gute Nachricht, ich hab nicht notwendigerweise Eigenkapitalanforderungen. Also, ich als Privatperson kann es leider nicht machen, aber zumindest meine juristische Person kann ich schnell gründen ohne Eigenkapital. Wenn ich eine Berufshaftpflichtversicherung abschließen. Das gilt auch nur für Kontoinformationsdienstleister. Sobald ich Zahlungsauslösedienst sein möchte, muss ich 50.000 Euro Eigenkapital Anfangskapital hinlegen. Die meisten Dienstleistungen oder die meisten Funktionen, die ich mir vorstellen könnte, machen mit nur Kontoinformation nicht so viel Sinn. Wenn ich an meinem Beispiel des Vereins denke, wenn ich die Vereinsverwaltung mache, möchte ich halt sowohl Zahlungseingänge verbuchen können als auch mindestens Lastschriften auslösen können. Und da bin ich schon Zahlungsauslösedienst, und der Zug ist abgefahren in meinem Verein hat keine 50.000 Euro. Plus Zugang ist offen. Solange ich ein qualifiziertes elektronisches Zertifikat habe, das mich als registrierter Zahlungsauslösedienst ausweist. In der gesamten Spec kommt das Konzept. Dies ist kein Cloud-Dienst. Dies ist eine Software, die ich herunterladen und ausführen kann, einfach nicht vor. PSD2 API ist komplett nutzlos für Leute, die Software auf ihrem eigenen Rechner ausführen wollen. Was kann sie denn noch? Neu dazugekommen ist schon Customer Authentification, das ist das mit dem Blutdruck. Neuerdings kann manchmal Ich komme gleich drauf, Strong Customer Authentication gefordert werden, und das bedeutet, dass mindestens zwei der Elemente Wissen, Besitz und Inhärenz benutzt werden müssen. Inhärenz ist das fancy Wort für Biometrie. Müssen benutzt werden und müssen voneinander unabhängig sein. Dann steht da also Kram drin. Unter anderem steht da auch drin, dass nach fünf Fehlversuchen der Zugang gesperrt werden muss. Die Abmeldungen nach fünf Minuten Inaktivität kommt auch darin vor. Verpflichtend ist eine dynamische Verknüpfung der Customer Authentication mit dem jeweiligen Vorgang. Das heißt, iTAN Listen sind halt absolut verboten. Es muss in jedem Fall der Code auf irgend eine Art mit dem Betrag den ich überweisen möchte verbunden sein. Hier steht auch die Formulierung, dass dafür gesorgt werden muss, dass Mechanismen vorhanden sind, die sicherstellen, dass die Software oder das Gerät nicht vom Zahler oder einem Dritten verändert wurden. Es war dann das wo ich meinen Blutdruck gekriegt habe, weil ich mein Android-Telefon natürlich gerootet habe, unter anderem um Backups machen zu können und mir die App dann freundlicherweise sagt "Ja ne, ist nicht, ist ja gerootet". Und dann überlegt man sich nochmal, was gerootet bedeutet, na ja bedeutet, dass das Telefon unter anderem in der Lage wäre, über seinen Zustand zu lügen. Die App möchte nicht funktionieren auf einem Telefon, das in der Lage wäre, über seinen Zustand zu lügen, es sei denn natürlich, das Telefon lügt über seinen Zustand so gut, dass die App dann doch wieder funktioniert. Das war dann für mich die Motivation doch mal magisk auszuprobieren, dass ein hinreichend erfolgreiche Rootdetectionsverhinderung hat, wobei es dann wieder zu so einer Waffen Spirale kommt, das mit zunehmenden App Updates die Detection besser wird was dazu führt, dass die Leute die die Detection verhindern, wieder besser werden und ich dann am Ende doch ein zweites Gerät habe lächelt, auf dem ich die Tan Apps ausführe, die sich zurzeit nicht austricksen lassen und am Ende halt für vollkommenen Unfug. Wird noch besser. Das Feature nennt sich "Surprise SCA". Bisher war die Sache einfach. Ich habe mich mit der PIN angemeldet, dann hab ich einen read-only Zugang gekriegt. Wenn ich irgendwas read-write-mäßiges machen wollte, musste ich eine TAN eingeben, die auf diesen Vorgang bezogen war. Jetzt brauche ich die TAN für wesentlich mehr. Und zwar brauche ich die TAN teilweise zum Anmelden, also die genaue Formulierung die genaue Formulierung ist zum Zugriff auf Kontodaten oder sensible Kontodaten, damit ist halt in der Regel Anmelden in der App beziehungsweise im Web-Interface gemeint, ausser manchmal. Es gibt vier oder fünf Seiten in der technischen Richtlinie, die Ausnahmen beschreiben. Also zum einen darf ich die SCA weg lassen wenn ich nur Zahlungskontoinformationen bis 90 Tage alt abrufe, außer beim ersten Mal oder wenn das letzte Mal mehr als 90 Tage her ist. Da kommen die 90 Tage her, du musst die TAN alle 90 Tage eingeben, weil dann die Ausnahme garantiert nicht mehr gilt. Bei kontaktlos Zahlungen sind es 50 Euro. Die ohne PIN bzw. Strong Customer Authentification, weil den Besitz habe ich ja durch die Karte immer gewährleistet, die ohne zusätzliche PIN möglich sind. Ausser es sind schon 150€ vergangen seit dem letzten Mal. Parkgebühren sind grundsätzlich ohne SCA, das ist sehr angenehm. Vertrauenswürdige Empfänger sind ohne SCA, ausser natürlich der Vorgang, vertrauenswürdige Empfänger zu definieren. Wiederkehrende Zahlungsvorgänge ab dem zweiten Mal kann ich auch ohne machen. Überweisungen auf ein anderes Konto derselben Person können, ohne sein. Kleinstbetragszahlung bis 30€ können ohne sein, außer manchmal. Unternehmen fallen eher ganz raus das war dann unsere Lösung gegen das FinTS FinAPI Fiasko. Es gibt einfach EBICS, da ist dann quasi nichts drin. Es ist dann so, man wirft die Zahlung dahin und wenn die halt von der Firma kommen, dann werden die halt so stimmen. Da braucht niemand mehr irgendwo eine TAN eingeben und Transaktions Risikoanalysen, die modifizieren den ganzen Kram wieder. Also die können dann sowohl bei bisherigen Ausnahmen die SCA wieder erfordern als auch, man kann halt sagen, na gut, die Zahlung hat ein so geringes Risiko, dass ich dann doch wieder keiner SCA brauche. Außer natürlich die laufende Berechnung der Betrugsraten, die ich verpflichtet bin durchzuführen. Ergibt, das eine höhere Betrugsrate eingesetzt hat, da muss ich wieder dauernd SCA machen. Schlussfolgerung: In Summe ist es von außen nicht vorhersehbar, wann eine TAN verwendet werden muss. Das macht beim User Interface Design. Ich weiß nicht, wie viele sich mal damit beschäftigt haben. Natürlich besonders viel Spaß. Also, ich hab das in Byro, das ist eine Web-App. Ein bisschen schwierig, wenn man irgendwie auf SUBMIT drückt und dann passiert halt nicht das, sondern da kommt erst mal: Übrigens musst noch eine TAN eingeben. Das ist für den User natürlich total verwirrend, weil der sich auf nichts mehr verlassen kann. Er kann halt nicht mehr vorhersehen, was passiert, wenn er ein Knopf drückt. Das ist für automatisierte Dienste, die FinTS benutzen wollen, total unmöglich, weil ich selbst von den Vorgängen, von denen ich bisher ausgegangen bin, dass sie zum Beispiel read-only sind und keine TAN brauchen. Wenn ich also zum Beispiel die Kontoeingänge bei meinem Verein laufend verbuchen möchte und einen Cronjob starte, der alle x-Tage mal abruft, kann es passieren, dass dann trotzdem wieder Mal eine TAN nötig ist. Ich kann halt auch nicht den Zugriff unterdrücken. Ich weiß es halt nicht vorher. Es kann halt irgendeinen ein Sonderfall eingetreten sein. Und wenn man dann so einen Pushdienst verwendet, ist es halt toll, weil derjenige, dem der Zugang gehört, dann plötzlich eine Push- Nachrichten kriegt. Und es ist nicht ganz zu unterscheiden, ob das jetzt derselbe aufgesetzte, automatisierte Vorgang war oder ob es irgendein anderer Bösewicht. Die verschiedenen Banken handhaben das auch sehr unterschiedlich. Bei der DKB zum Beispiel muss man jedes Mal eine TAN eingeben, wenn man sich irgendwo einloggt. Bei der Sparkasse nicht. Die Sparkasse macht Gebrauch von den 90 Tagen Ausnahmen. Dafür muss man bei der Sparkasse die TAN eingeben, wenn man einen Suchvorgang startet, der mehr als 90 Tage beinhaltet. Die DKB hat gesagt, dass es Ihnen zu umständlich. Deswegen fragen Sie immer nach der TAN. Außer man hat halt, dann sind danach alle Transaktionen ohne TAN. Ausser natürlich es sind wieder fünf Minuten vergangen. *Stimmen im Publikum" Euch fällt auf, das passiert eigentlich nur bei solchen EU-Richtlinien oder solchen EU-Regulierung. Ich weiß nicht, wer ein PayPal-Konto hat, PayPal hat seit immer kein 2-Faktor-System. Die machen einfach irgendwas: Keine Ahnung die machen auch Transaktionsrisiko und Zeugs. Die wissen halt, dass so eine TAN eigentlich nur dazu führt, dass der Nutzer den Prozess im Zweifelsfall einfach abbricht, was halt bei Zahlungen doof ist, weil dann die Einnahmen entgehen. Das ist einer der Gründe, warum PayPal das nicht hat und Leute immer wieder sagen "Ihr seid doch so unsicher" und am Ende naja eigentlich nicht offensichtlich, weil sie sind ja noch am Markt. Der Effekt Multi-Banking haben wir gehört. Ich habe eine App, wo ich alle meine Dinge drin hat. Führte dazu, dass ich Multifaktor habe. Hier den Dilo Delwitz Witz einfügen. Das sind die TAN-Generierungsapps im Wesentlichen, die ich auf meinem Telefon habe. Ich habe neulich mal in meiner, ich glaube kurz nach dem 14. September in meiner Online-Banking-App versehentlich auf alle Konten aktualisieren gedrückt, was dazu führte, dass ich acht, neun verschiedene TANs eingeben musste, eine davon zweimal auf vier verschiedenen Modalitäten. Also ich habe ja auch noch TAN-Generatoren mit ChipTAN, was ja eigentlich das bessere Verfahren ist. Da muss man halt raussuchen. Aber ist ja nicht so schlimm, weil macht man ja nur, wenn man eine Überweisung durchführt. Und die DKB hat Ihr Kreditkartenkonto von FInTS jetzt abgehängt, das heißt, die Software, die ich verwende, macht dann Webcalling, was die alte Methode war, um Finanzdaten abzurufen. Wozu dann nochmal ein separater TAN- Eingabe nötig ist, um sich im Webinterface anzumelden. Ich habe seitdem nicht nochmal auf alles Abrufen gedrückt. Ich sollte das mal irgendwann wieder tun. Ich muss mich bloß vorbereiten. Stimmen im Publikum Genau. Zeitlinie, also die Richtlinie vom 25. November. Sie ist technisch gesehen im Januar 2016 in Kraft getreten. Das bedeutet, da gibt es eine 2-Jahresfrist, die ist 2018 in nationales Recht umgesetzt worden. Das Zahlungsdiensteumsetzungs - gesetz in Deutschland. Da steht bloß Copy und Paste von der Richtlinie drin. In der Richtlinie ist eine Verordnung delegiert worden, was die technische Umsetzung angeht von 2017. Und jetzt kommen wir Warum ist es eigentlich alles am 14. November? 14. September explodiert? Weil die Frist am 14. September wird diese delegierte Verordnung gültig. Sechs Monate vorher hätten die Banken eine Testumgebung zur Verfügung stellen müssen, damit Softwareentwickler, die nicht der Größte am Markt sind, das mal testen können. Es gibt eine Fallbacklösung, falls man sich außerstande sieht, eine PSD2 API anzubieten oder da irgendwas nicht ist, oder ein Notfall eintritt, wobei Notfall glaube ich definiert ist als fünf Vorgänge haben mehr als 30 Sekunden Latenz, dürfen Zahlungsdienstleister also die Kontoinformationsdienste oder die Zahlungsauslösedienste ein Fallback benutzen, nämlich das Interface, was der normale Kunde benutzt. Da sind wir wieder beim Webcalling. Wenn die Banken das nicht möchten, müssen sie mindestens drei Monate am Stück die normale PSD2-API zur Verfügung stellen. Das heißt, Sie hätten im Juni die PSD2-API produktiv laufen müssen haben müssen, um von der Ausnahmeregelung ausgenommen zu werden. Ich glaube, das hat keiner. Am 14. September ist dann alles explodiert. Dann wurde die Durchführungsverordnung gültig. Die Delegierteverordnung gültig, was dazu führte, dass noch nicht sofort alles explodiert ist. Erstmal sind nur Transaktionen und Onlineanmeldung, weil manche Banken haben tatsächlich davon Gebrauch gemacht, dass da irgendwo 90 Tage steht. Und wenn man sich halt am 13. September angemeldet hat, dann war man ja angemeldet. Ja, das war dann am 13. Dezember vorbei. Das heißt spätestens seit dem 13. Dezember hat jeder der Online-Banking benutzt Spaß. Gibt kleinere Problemchen. Die Anmeldefluß für 2-Faktor-Apps sind oft kompliziert, der Support etwas überlastet. Bei der Postbank habe ich das Problem, dass ich neu etwas unterschreiben musste, weil ich als Vereinskonto, das war das doofe, es ist ein Gemeinschaftskonto, war ja früher nicht so schlimm. Man teilt halt einfach die Pin, und nur einer kriegt die Chipkarte für die TAN-Generierung. Neuerdings müssen halt alle Gemeinschaftskonten extra Personenaccounts für jeden, der Lesezugriff haben soll haben. Bei der Postbank lief es darauf hinaus, dass ich unterschreiben musste und die meine E-Mail nicht angenommen haben. Der Mailserver hat gemeint "Aufgrund der hohen Betrugsraten können Sie zurzeit keine Mail annehmen." Gelächter Moment, nachdem ich den Support gefragt habe, ich habe tatsächlich telefonisch was erreicht, meinte er, faxen sie es uns. Das habe ich vorgeschlagen Faxen. Das habe ich gemacht. Das hat auch nur vier Wochen gedauert. Es hat funktioniert. Andere Leute haben andere Probleme, irgendwie. Geräte, Wechsel, Verlust ist ein bisschen schwierig. Ich habe mit jemandem geredet. Ich habe gesagt, ihr habt ja im vorigen Screenshot gesehen, welches Handy verliere oder auch nur tauschen möchte, muss ich halt acht verschiedene Apps neu einrichten, teilweise in acht Schritten. Ich habe gerade jemandem geholfen, bei der Apobank seine TAN-App einzurichten, weil es halt dreimal nicht geklappt hat. Der Knopf Brief generieren mit dem Bestätigungscode der hat immer funktioniert. Da kam ein neuer Brief. Aber es war nicht zu sehen, wo man den Bestätigungscode eingibt, bis man auf der Webseite war und das vierseitige PDF mit den acht einfachen Schritten gefunden hat. Gelächter Der schärfste Trick: Für Kreditkarten gilt das eigentlich auch mit der starken Kundenauthentifizierung. Bloß das hat noch keiner umgesetzt. Das muss noch im Webshop implementiert werden. Deswegen hat die EBA jetzt gesagt: Na gut, ihr habt noch mal ein bisschen Zeit bis 2020. Und was ich vorhin sagte: Die APIs waren und oder sind nicht funktional. Die Leute haben einfach zu wenig Zeit gehabt zum Testen. Kurzer Seitenhieb. 3D Secure. Es gab da schon mal ein Vortrag über einen Vortrag halten. Aber es gibt auf jeden Fall ein sehr schönes Paper dazu "Verified bei Visa and Mastercard Secure-Code or how not to design authentication" von Murdoch und Anderson. Three D secure steht für Three -Domain-, acquirere, Issuer and Interoperability sind die Domains der Herausgeber Akzeptanz und die dazwischen Leute. Der Kunde fehlt in der Liste, die hier geschützt werden. Es ist dafür da, dem Kunden neue AGB aufzudrücken und die Schuld zu verschieben, weil offensichtlich der Kunde schuld ist. Ist ja, jetzt sicher. Bei einer meiner Banken, ist eine am VR-Banken-Netz angeschlossene bei der Fiducia muss man sich registrieren, da kriegt man so ein Brief? Gehen Sie mal wieder auf diese Webseite und füllen Sie dort die Registrierung aus. So online sichereinkaufen.de oder so ähnlich. Sicheronlineeinkaufen.de? Sicher einkaufen. Ich bin mir sicher es war sicher online einkaufen. Ich weiß es, weil diese Seite existiert, die anderen nicht. Diese Seite existiert. applaus Und hat ein gültiges Sicherheitszertifikat von LetsEncrypt. Gelächter Und dann war wieder da die Sache mit dem Blutdruck, die hat dann wieder gemeint na ja, Sie können sich jetzt hier registrieren und die Push-TAN- App aktivieren. Das geht auf Ihrem Telefon nicht, weil es gerootet ist. Das Telefon ist unsicher. Gar kein Problem. Sie können auch den Alternativprozess verwenden. Wir schicken ihn einfach eine SMS an dieses Telefon. fröhliches Lachen Ok. Muss ich jetzt nicht verstehen. Dieses Formular, wie gesagt, das ist aktuell online hat immer noch die gleichen Probleme, die Murdoch und Anderson von damals genannt haben. Wenn man runter scrollt, findet man diesen Signup System. Das ist ein IFrame, das von irgendeiner anderen Domain kommt. Die hat sogar ein Extended-Validation- Zertifikat, nur dass es halt niemand sieht, weil ist halt ein iFrame. Was ist noch so passiert? Wie gesagt, Gemeinschaftskonten benötigen jetzt einen Login pro Person. Ich glaube hier. Die CCV-Veranstaltungs GmbH hat auch schon Spaß damit gehabt. Die Banken gehen langsam dazu über FinTS abzuschalten oder loszuwerden, weil sie haben ja jetzt die PSD2 API. Die regulierten Dienstleister dürfen nicht mehr über FinTS zugreifen außer halt im Fallbackmodus, außer manchmal. Surprise SCA, wie gesagt, ist Userinterface wird halt nur noch merkwürdiger. User sind frustriert und kriegen Hals. Was gar nicht so schlecht ist. Es gibt jetzt ein Registrierungspflicht für Anwendungen, die auch für FinTS gilt. Also auch meine Anwendung byro, FinTs ist registriert. Und es ist im Sinne der Transparenz sieht man im Online-Banking, welche App verwendet wurden. Das ist erst mal nicht schlecht. Kann man nichts gegen haben, zumal die Registrierung auch als Open Source Entwickler möglich ist. Ist ja nicht immer so. Aber fast jede Transaktion kann manchmal eine TAN anfordern. Wie gesagt, ich hab das auch gerade gesehen. Wir kommen zum Schluss. Transparenz und Aufsicht sind verbessert worden. Verbraucher sind zunehmend genervt. Perfekte Grundlage für Wirsching? Ich weiß nicht, wie viele von euch so eine Mail gekriegt haben. PSD2 tritt jetzt in Kraft. Bitte geben Sie jetzt hier nochmal Ihre Kontonummer ein. Sie müssen sich jetzt neu anmelden, weil neue sichere Umstellung des Sicherheitsverfahrens. Gewerbliche Nutzer, wie gesagt, müssen komplett ausweichen, weil das macht gar keinen Sinn. Dafür gibt es jetzt neue Geschäftsfelder für Startups, die entsprechende Anfangsinvestitionen haben. Open Source kannste halt vergessen in Zukunft. Danke. Applaus Herald: Wir haben Zwölf Minuten Zeit für Fragen und Antworten. Drei Mikrofone im Saal verteilt. Falls ihr Fragen habt, stellt euch hin. Ich versuche, euch halbwegs fair aufzurufen. Eine Frage hätte ich. Was soll der Scheiß? Lachen Henryk: Hast du nicht gehört? Sofortüberweisung ist jetzt legal. *Herald lacht.* Frage: Okay, du hast gesagt, dass FinTS jetzt langsam ausgeschlichen wird von den Banken. Ich weiß von einigen Banken, dass sie bei PSD2 direkt das FinTS abgeklemmt haben, weil sie es nicht implementiert hatten PSD2 konform. Aber weißt du, wie das bei den anderen Banken aussieht? Also gibt es da schon Ankündigungen von den großen Rechenzentren Fiducia oder Sparkasse oder wie wir alle heißen? Henryk: Die haben sich größtenteils zurückgehalten. Sie sagen da nur durch die Blume, dass sie es zumindest nicht mehr erweitern wollen. Sie haben ja jetzt das andere. Ich glaube ING-Diba hatte da genau dieses Problem. Sie haben ein bisschen zurückgerudert. Wenn mich nicht alles täuscht. Aber es gibt ja keinen Grund mehr dafür. Frage: Die haben zurückgerudert nach dam sich 3000 Leute beschwert haben in einem wütenden Mob Blogpost. Henryk: Ja. Herald: Bitte. Frage: Gibts irgendwie so eine Art Informationsblatt, was ich als Kunde der Bank geben kann? Wenn ich der Meinung bin, dass sie mir völligen Bullshit zu der PSD2 erzählt und irgendwelche neuen Änderungen damit versucht zu begründen? Henryk: Ja, das steht sogar in der Richtlinie drin, das die europäische Bankenaufsicht und die BaFin jeweils ein Merkblatt für Kunden herausgeben, in denen alle Änderungen und neuen Pflichten und Rechte des Kunden dargelegt sind. Es müsste auch der Webseite der BaFin zu finden sein. Frage: Ich meine eigentlich umgekehrt, Richtung Bank. Henryk: Ja, das ist das Merkblatt für dich als Kunde, und du kannst der Bank vorhalten und sagen: "Guck mal, was ihr mir sagt, steht da nicht drauf." Frage: Du meinst, es ist das nicht sonderlich kompliziert, sich eine juristische Person anzulegen. Könnte ich dann mit einer juristischen Person mir ein Geschäftskonto anlegen, damit ich dann wieder APIs habe, die ich von einer App aus verwenden kann? Ist das der neue Weg? Henryk: Klar. Aber ja! Also du brauchst halt eine neue App. Es ist dann EBICS, aber ja... Frage: Du hast aufgelistet, dass es ja drei Authentifizierundsmerkmale gibt und du hast sehr konsequent nur von TANs gesprochen. Wenn ich die Richtlinie korrekt interpretiere, ist Wissen und Besitz. Also Pin und Chipkarte nach wie vor eigentlich vollkommen valides Authentifizierungsmittel. Henryk: Korrekt. Also steht die Formulierung, die Sie verwenden, ist, dass diese aus den drei Faktoren muss ein Authentifizierungscode abgeleitet werden. Das kann auch eine Signatur oder was auch immer sein. Ich habe aber keine Implementierung davon gesehen, also ausser halt innerhalb von Apps. Die DKB zum Beispiel hat eine eigene App und wenn man innerhalb der DKB App bleibt. Dann bleibt also alles innerhalb der DKB App inklusive mit iPhone, wie auch immer diese Gesichtserkennung heißt, da braucht man auch keine TAN mehr das stimmt. Aber wenn man eine andere App benutzt, die nicht, die ist, ist es irgendwie schwierig, der Signatur abzutippen. Deswegen tippt man meistens lieber TANs ab. Ich frag nur, weil die Sparkasse mir erzählt hat, das HBCI mit Chipkarte ja diese Authentifizierungsbedingungen nicht erfüllen würde. Henryk: Das ist inkorrekt. HBCI mit Chipkarte ist halt gerade Besitz, Besitz und Wissen, sie können sich eventuell darauf herausreden, dass irgendwie PIN mit der Verifikation auf der Karte eventuell nicht güle, aber eigentlich dann doch schon. Herald: Ok, und die Mitte mal wieder. Zuhörer: Mal wieder nur eine kleine Anmerkung. Du meint, dass das PayPal mit 2-Faktor nicht funktioniert. Aber in der Tat habe ich PayPal mit 2-Faktor. Henryk: Es gab vor fünf Jahren, glaub ich, eine kurze Zeit, wo sie das angeboten haben. Aber ich glaube, es wird nicht mehr beworben. Zuhörer: Ich konnte das in der App anklicken, vor ungefähr einem halben Jahr. Henryk: Oh, dann haben Sie was neues eingebaut.Wollen Sie jetzt? Ist das schon? Frage: Ich frag für einen Freund, der entwickelt einen Webshop, und da müssen Sie sich auch mit dem 3D Secure Kram herumschlagen. Und der Zahlungsdienstleister sagt: Es ist in Ordnung, wenn man für das Hinterlegen der Kreditkarte beim Zahlungsdienstleister einmal dieses 3D Secure Verfahren macht. Und danach kann man als Shop quasi beliebig oft davon abbuchen, und der Kunde muss dann nicht mehr nochmal irgendwelche TANs eingeben. Ist das überhaupt korrekt so, weil dann sehe ich den Sinn dahinter nicht so ganz. Henryk: Ja, für die erste Zahlung bei wiederkehrenden Zahlungen ja. Aber es muss trotzdem jede Zahlung autorisiert werden. Bloß das für wiederkehrende Zahlungen einfache Autorisierung reicht. Ich bin mir da aber auch nicht ganz sicher. Frage: Das muss dann aber nicht über den Dienstleister gehen. Das reicht dann einfach, wenn der Kunde im Onlineshop einmal klickt: Ja, diese Kreditkarte, oder? Henryk: Genau, das kann mit Passwort, würde dann reichen. Also nicht zwei Merkmale, sondern nur eins. Herald: Entweder habe ich unseren Signal- Angel die ganze Zeit übersehen oder es gibt gerade was Neues, bitte! Signal-Engel: Kam gerade erst die Frage. Wärest du mit PSD2 glücklicher, wenn sie ein bisschen glücklicher, wenn es ein bisschen Open Source wäre, die Zugang für Open Source Programme offen wäre? Oder sagt es allgemein eher mäh gelaufen? Henryk: Na ja, es gibt relativ, es ist relativ schwierig, diese Anforderungen grundsätzlich umzusetzen bei Software, die der Anwender selber runter kompiliert und laufen lässt. Deswegen sehe ich nicht, wie man das umsetzen könnte. Man müsste halt auf die Anforderungen verzichten, das die Endpunkte durch qualifiziertes Zertifikat identifiziert werden. Und dann hat man nur noch die Probleme. Die Benutzer haben mit dem ganzen TAN-Scheiss. Zumindest Open- Source Entwickler keine Probleme mehr und der Userinterface Flow ist immer noch kaputt. Frage: Ich wollte einfach nur nochmal anmerken. Die meisten hier Anwesenden werden wahrscheinlich zwei Geräte besitzen. Aber gerade dieses ganze 2-Faktor wird ja ab ad absurdum geführt. Wenn ich mein Online-Banking auf demselben Gerät mache, wo auch der TAN Generator ist, ist auch die App zu App trans-Integration die manche Banken anbieten. Wird ja hier auf dem Kongress vor paar Jahren auch schon mal gezeigt, dass das sinnlos ist, weil es irgendwo gehackt werden kann. Ist man da irgendwie gesichert, wenn man das macht als Kunde? Die meisten haben ja doch nur ein Gerät zu Hause und halten sich nicht dran, das man dann als Kunde eigentlich der Gearschte diesbezüglich. Henryk: Es steht drinnen, dass es zwei getrennte Geräte sein sollten oder oft auf dem Gerät. Das ist unter anderem einer der Gründe für die Rootdetektion auf dem Gerät, für eine Trennung der. Es gibt da einen Absatz, der irgendwie. Man müsse die Trennungssysteme des Betriebssystems nutzen. Also ich vermute mal, das geht eher in Richtung Samsung Knox und nicht auf normales Android. Aber eigentlich sollte normales Android ausreichen. Ich bin mir nicht sicher. Ich glaube als dieser App-TAN Hack war da. Oder waren es auch gerootete Geräte oder erweiterte lokaler Zugriff. Frage: Ich nutze so ein Open-Source- Software, um so persönliche Finanzen zu tracken und habe das auf meinem Server installiert. Erste Frage, bin ich jetzt schon Konntoinformationsdienstleister? Der Entwickler hat gesagt, er möchte PSD2 einbauen. Und wenn ich das richtig verstanden habe, dann geht das gar nicht. Ich habe auch gelesen auf GitHub, er hat sich irgendwo registriert, und ich habe aber nicht ganz verstanden, ob das geht. Kann er überhaupt das jetzt so einbauen, dass ich das dann benutzen kann? Henryk: Ja, die Registrierung war die HBCI-Registrierung. Ob du dann schon für dich selber? Ich bin mir nicht sicher, ich glaube für dich selber. Ich bin mir nicht sicher, ob da etwas von einem Dritten drinsteht. Da müsste ich nachgucken. Kann ich so nicht beantworten. Müsste man ... Frage: Kann er denn PSD2 in seine Software einbauen, dass es jemand benutzen kann? Henryk: Ne, keine PSD2 API. Es wird immer über FinTs laufen, was du beschrieben hast. Frage: Ok. Und wenn die Bank FinTS abschaltet, bin ich im Arsch. Henryk: Ja, du kannst auf EBICS wechseln. Herald lacht Frage: Hast du eine Vermutung, wer hinter dem Ganzen steht? Warum die das gemacht haben? Weil ich meine Sofortüberweisung alleine gegen die ganze Bankenlobby. Banken mögen das offensichtlich nicht. Irgendwer muss es doch durchgedrückt haben. Henryk: Ich weiß es tatsächlich nicht. Wir haben kurz vorher uns unterhalten, dass es da so ein Slogan gab: Digital first, Bedenken second. Das könnte damit zusammenhängen. Es klingt nach Fortschritt. Es wird halt besser. Frage: Ich wollte noch einmal Fragen: Sind hier Organisationen oder politische Akteure bekannt, die die Benutzerinteressen in irgendeiner Form bündeln und versuchen zu kanalisieren? Wir versuchen da irgendwie ein bisschen Lobby im Sinne der Nutzer und der User zu machen an der Stelle. Verbraucherschutz welche? Henryk: Es gibt ein Voice-Verband der IT Anwendunger EV. Aber ich weiß nicht ob die in dem Rahmen Aktivitäten haben. Mir wird gerade gesagt, dass sie eine Selbst-Hilfe- Gruppe sind. Aber es ist... Alle lachen Du hast nur gefrat, das ist mir bekannt. Antwort: ich kenne nur eine. Herald: Bitte. Scheint auch letzte Frage zu sein. Frage: Du erwähntest die Registrierung für die Drittdienste. Ist es nicht eigentlich auch eine Art Zulassung bei der BaFin und da kam doch gerade vor ein paar Wochen auch Standards raus, was für Sicherheitsmaßnahmen da umzusetzten sind, die auch möglicherweise geprüft werden . Und auch diese Zulassung entzogen werden kann. Henryk: Genau. Deswegen seht auch da "Registriert und Zugelassen", als Formulierung. Weil es für Kontoinformationsdienstleister ein bisschen einfacher dann ist. Die Absätze 1 bis 6 außer Paragraphen 3 und dings gelten nicht für Kontoinformationsdienstleister oder so ähnlich. Aber für alle, die weitergehend es machen, es ist mit Zulassung und Bericht und vorige Registrierung und so weiter drin, inklusive Entzug. Herald: Bist du glücklich? Du siehst nicht glücklich aus. Signal-Engel: Ich habe sogar noch 2 auf Twitter. 1) Kann ich irgendwie verhindern, dass mein Arbeitgeber meine Bankdaten an datev weitergibt? Oder habe ich da keine Chance? Henryk: Lustige Frage, ich glaube nicht. Frage: 2) Kannst du einen Ausblick geben? Siehst du Hoffnung, dass irgendwas verbessert wird, oder müssen wir halt 20 Jahre warten, bis das nächste neue Gesetz kommt? Henryk: Da steht drin, dass die alle X-Jahre evaluiert und aktualisiert werden sollen. Ab 2021 ist das nächste Mal. Vielleicht wird nachgebessert. Ich bin da aber nicht so sehr hoffnungsvoll, weil hier, wie gesagt, aus Sicht der zentralen Behörden nicht so nicht Cloud Anwendungen, eher Nischenprodukte. Etwas auf seinem eigenen Rechner zu betreiben, kommt aus der Mode. Herald: Jetzt aber wirklich die letzte Frage. Fragender : Ich würde gerne an eine vorherige Frage anknüpfen, nämlich ob es Institutionen gibt, die sich dafür einsetzen, dass das Ganze gebessert wird. Ich arbeite jetzt für sofort, und wir sind Sofortüberweisung. fröhliche Gelächter Wir sind aktiv dabei, mit nahezu allen Banken in Europa und auch den nationalen Behörden zu diskutieren, dass es da schnellstmöglich Änderungen gibt. Noch vor einer neuen Direktive, also in möglichst naher Zukunft. Es gibt Leute, die sich dafür einsetzen. Henryk: Sehr gut. Herald: Es könnte also sein, dass du die Frage beantworten kannst, die ich vorhin gestellt habe. Ich komme gleich vor! Alle Lachen Herald: Henryk Plötz! Vielen Dank! Applaus 36c3 Abspannmusik Untertitel erstellt von c3subtitles.de im Jahr 2020. Mach mit und hilf uns!