36C3 - Was hat die PSD2 je für uns getan?

36c3 Vorspannmusik

Herald: Ich habe hier so ein Handy,
vielleicht habt ihr auch ein Smartphone.

Und ich habe eine App drauf und die
damit.. Ich habe so mehrere Konten bei

verschiedenen Banken, und ich habe so eine
App. Da sind die ganzen Konten so drin.

Und wenn ich wissen will, wie viel Geld
ich nicht hab, dann starte ich diese App

und gucke ich da so drauf, weil mein
Telefon mich sonst nicht erkennt. Und dann

kann ich halt sehen, wie wieviel Geld ich
auf den Konten habe und was ich für

Kontobewegungen hatte. Und dann,
irgendwann dieses Jahr lacht , hab ich

da nicht mehr gesehen, wie viel Geld auf
dem Konto hatte. Da kammen immer so Pop-

ups. Die haben gesagt: Ja, das
funktioniert jetzt nicht, weil hab ich

nicht verstanden. Aber was da immer drin
vorkam, das waren drei Buchstaben, eine

Zahl, und das hieß PSD2, und jedes Mal habe ich
gedacht, jetzt muss ich wieder aus der App

raus und muss wieder irgendwas machen, was
ich nicht verstehe. Und dann werden mir

SMSen geschickt, die ich irgendwo
eintragen muss und dachte: Was zum Teufel

soll dieser Scheiß? Und das Schöne ist:
Wir alle werden jetzt möglicherweise eine

Antwort auf die Frage bekommen, was dieser
Scheiß soll. Und falls nicht, dann kann

man hinterher persönlich zur Rechenschaft
ziehen. Sein Name ist Henryk Plötz. lacht

Applaus

Henryk Plötz: Ja, genau. Ich Ich versuche
die Frage zu stellen, was hat die PSD2 je

für uns getan? Und Antworten darauf zu
geben, in der Hoffnung, dass ich auch

herausfinden, was der Scheiss soll? Für
diejenigen, die, es ist einer der ersten

Vorträge, die hineingestolpert sind, ohne
zu wissen, worum es geht. Es geht um die

Richtlinie der EU 2015 2366 des
Europäischen Parlaments und des Rates vom

25. November 2015 über Zahlungsdienste im
Binnenmarkt zur Änderung der Richtlinie

und so weiter und so fort und fort. Das
ist die Zahlungsdienst, der Richtlinie 2,

und da dranhängt noch eine Handvoll
Delegierter Verordnungen, aber ganz massiv

die Delegierte Verordnung vom 27. November
für die technischen Regulierung Standards

für eine starke Kunden Authentifizierung
und für sichere offene Standards zur

Kommunikation. Das ist, was in der App die
ganzen Pop-ups verursacht hat. Warum bin

ich hier? Und warum erzähle ich euch etwas
zu diesem Thema? Ich bin Informatiker und

Sicherheitsforscher. Ich glaub, neudeutsch
sagt man Hacker dazu. Hab einen meiner

ersten Vorträge auf dem Kongress vor zehn
Jahren zu "Mifaire Classic" gehalten.

Seitdem einiges gemacht zu
Zutrittskontrollsystemen, RFID, Die

Spezialgebiet sind halt solche Arten von
Kommunikationsprotokollen. Ich bin auch

Open Source Entwickler. Also wenn irgendwo
ein Kommunikationsprotokoll rumliegt, dann

implementiert ich das manchmal unter
anderem HBCI. Dazu erzähle ich euch noch

ein bisschen was. Es gibt im Umfeld des
CCC eine Vereinswaltung, die entstanden

ist, die heißt byro von Rixx. Da habe ich
einige größere Dinge zu beigetragen, und

es gibt von Rami. Die beiden waren ja die
Kasse und der Vorverkauf von Rami eine

Python Implementierung von FinTS, ich
sage vielleicht noch, was das ist. Dazu

hab ich größere Dinge beigetragen. Und
dann die Kombination dabei ist das im

PlugIn byro-fints. Also eine Perspektive,
aus der ich das betrachtet, halt als Open

Source Entwickler. Ich bin auch Gründer
und Geschäftsführer. Vor zwei Jahren habe

ich mit einem Freund zusammen eine eigene
Firma gegründet "Digital Wolff und Plötz

GmbH und Co. Wir haben einen etwas
schwammigen, schwammige Selbstverständnis,

eigentlich sehr präzise Selbstverständnis,
das etwas schwieriger zu verstehen ist.

Dass die Digitalisierung in komplexen
Umfeldern. Wir entwickeln. Wir machen halt

Beratung, aber entwickeln halt auch
Software. Auf dieser Ebene gucke ich das

auch an bzw. andere Produkte. Für die
evangelische Kirche bauen wir den

digitalen Klingelbeutel. Wir sind jetzt
Zahlungsdienstleister. Zum Glück hat es

nichts damit zu tun. Ich bin. Ich freue
mich sehr, dass alles, was wir tun, an der

PSD2 vorbeigeschrammt ist, außer halt als
Privatkunde. Ich bin nämlich auch noch

neugieriger Nutzer. Wir haben gerade in
der Einführung gehört, dass jemand

durchaus eine App von mehreren Konten
haben könnte. Ich habe mal kurz

durchgezählt. Bei mir sind es neun
verschiedene Konten, weil ich auch noch

mehrere Hüte auf habe, also sowohl
Geschäftskunden, neun verschiedene Banken.

Konten sind es ein paar mehr. Als sowohl
geschäftliche Konten als auch

Privatkonnten bzw. Familien Konto. Als
auch ich bin in Vereinen, Vorstand,

Vereinskonten. Ich glaube sieben oder so.
Davon benutze ich auch regelmäßig. Der

Rest war halt so kostenloses Girokonto. Mal
ausprobieren, was die tun. Und dann sind

da halt 10 Euro drauf und man kann sehen,
wie die auf diese Umstellung reagiert

haben. Das hilft dann auch wieder beim
Entwickeln von Open-Source-Software. Wenn

man Testkonten hat und mal gucken kann,
was die Banken so anstellen. Agenda also.

Wir haben gerade gehört, worum es gehen
soll. Ich werde euch gleich den

wunderschönen vorher Zustand darstellen.
Die Begründungen geben, die die

Europäische Kommission gegeben hat, warum
diese Richtlinie veröffentlicht,

beschlossen werden sollte. Dann auf die
Frage antworten, was uns PSD2 wirklich

gebracht hat. In der Form, die schön ist
und dann in der Form. Was ist dann

tatsächlich herausgekommen? Ist mit einer
kurzen, kurzen Eingehen auf die Zeitlinie

und dann zu den diversen Problemen,
Ärgerungen, ja, Blutdruck kommen. Ich fand

das sehr schön. Als die zwei Minuten bevor
der Vortrag losging, war hier im Info

Beamer, eine Werbefolie für BTX. Irgendwo
hier stehen BTX Terminals, die man

ausprobieren kann. Es war ja nicht alles
schlecht in 2018 oder auch in den 80ern.

Schon seit den 80ern gibt es Online-
Banking für Privatkunden. In Deutschland

fing das halt so, in den frühen 80ern mit
BTX. Ich glaube der CCC hat ein bisschen

Geschichte mit BTX, der Eine oder Andere
wird sich erinnern. Es wurde 2007 leider

abgeschaltet, aber man hat bis dahin ganz
gut funktioniert. Daraus entstanden mehr

oder weniger direkt ist das sogenannte
HBCI-Buchstaben. Abkürzungen haben

vielleicht die meisten schon mal gehört:
Homebanking Computer Interface. Das ist

ein Datenübertragungen,
Kommunikationsprotokoll zum Austausch von

Bankdaten für Endanwender. Naja, komma
separierte Werte auf Drogen. Das hat

Semikolons als Trennzeichen, aber manchmal
sind dann auch noch Doppelpunkt

Trennzeichen und manchmal Pluszeichen
Trennzeichen. Was das... Ich habe es

implementiert. Es ist tatsächlich parsbar,
ich hätte es mir nicht gedacht. Es gibt durchaus

Protokolle, die nicht parsbar sind. Dies
gehört nicht dazu. Aber es erscheint mir

wie ein Zufall. lachen Es ist sehr
hierarchisch aufgebaut, die

Datenstrukturen sind hierarchisch, man
kann Dinge in Dinge, in Dinge tun. Aber es

gibt nur drei Ebenen von Trennzeichen, und
irgendwann sind dann die Trennzeichen

alle. Aber rein zufällig sind dann auch die
Ebenen alle. Das ist übergegangen, es

wurde immer wieder erweitert und
verbessert eingeführt 1998. Version 2.1

war, glaub ich, die erste brauchbare. Das
hat sich immer, wurde immer weiter

verbessert, ist übergegangen. HBCI
3.0 kennen die meisten, und dann wurde es

umbenannt in FinTS --- Financial
Transaction Services. Es war ursprünglich

ein rein deutsches Ding. Es ist ein rein
deutsches Ding. Mit FinTS haben Sie dann

versucht, das international einsetzbar zu
machen, unter anderem, in dem Sie es in

XML gegossen haben. Und ja, das XML ist
auch parsbar, aber doch eine der

unschönsten Implementierungen, wie man
sich das vorstellen kann. Es gibt auch

niemand, der das einsetzt. Ne, ist nicht
richtig. Es gibt tatsächlich eine zentrale

Liste, wo alle Banken drinstehen mit den
FinTS bzw. HBCI-Versionen, die sie

unterstützen. Sind ja. In Deutschland
erreicht man damit quasi jede Bank, manche

noch mit Version 2, ich glaub die Deutsche
Bank. Die meisten unterstützen Version 3,

und ich glaube, es gibt exakt einen Eintrag,
der FinTS Version 4 ankündigt. Wie gesagt,

benutzt niemand, 4. FinTS 3 total überall, weil
es damit erst der breiteren Öffentlichkeit

zugänglich wurde. Früher HBCI war ein
typisch deutsches Ding. Sehr schön, sehr

sicher. So, mit Smartcard in Computer
stecken. Dazu muss man erst mal die

Smartcard besorgen, eine PIN dafür haben,
einen separaten Berechtigungsvertrag bzw.

es gab auch ein Allternativverfahren, wo man
Disketten durch die Gegend... Briefe durch die

Gegend geschickt hat, auf denen RSA-Keys
abgedruckt waren. lachen Seit FinTS 3

gibt es auch als alternatives Verfahren
PinTan. Das ist, was die meisten in

Deutschland als Online-Banking kennen. Man
meldet sich mit seiner PIN an, hat dann

nur Lese Zugriff aufs Konto, und wenn man
eine Transaktion durchführen möchte,

braucht man einen Transactions
Autorisierung Nummer, eine TAN. Sehr

schön, sehr einfach. Leider demnächst tot.
Die Franzosen haben so etwas ähnliches wie

BTX. Sie haben minitel. Das ist aber auch
schon vor ein paar Jahren abgeschaltet worden.

Das ist so der Überblick für die anderen
Länder. Ansonsten wars das im Wesentlichen

an schönen, strukturierten Verfahren. Seit
den, seit der Mitte der 90 hier habe ich

einen Screenshot von Wells Fargo. Die
waren eine der ersten, die man hingeguckt

rechts oben Online-Banking anbieten 1995.
Man bemerke auch die Adresse. Das war vor

https, gab es einen Wildwuchs, das halt
viele Banken irgendeine Form von Online-

Banking angeboten haben, aber halt immer
durch das Web-Interface und immer mit

unterschiedlichen Formen von
Berechtigungs-Methoden und -Mechanismen .

Für Firmenkunden, sieht das Ganze noch
verwirrender bzw. besser aus. Das sind

halt alles nur die Privatkunden.
Firmenkunden haben schon schon wesentlich

früher angefangen, weil ja auch mehr
Transaktionen hatten, mit tatsächlich Disketten

durch die Gegend schicken, das
Datenträgeraustauschverfahren. Später gab

es dann Nachfolger BCS und das aktuelle
EBICS. Da werde ich dann gleich noch

drauf kommen, wenn ich die Situation bei
meiner Firma beschreibe, weil das mit dem

FinTS ist jetzt leider schade war. Es
ermöglichte damals interoperables

Multibanking. In FinTS selber sind
sogenannte Geschäftsvorfälle definiert.

Man kann halt nicht alle Banken
unterstützen alles. Aber man kann im

Wesentlichen abrufen, Kontoauszüge abrufen
oder Transaktionsliste. Man kann

Überweisungen einkippen oder Lastschriften
verursachen. Das ist das Wichtigste, was

man machen kann. Alle Banken haben noch
irgendwas anderes. Aber das Schöne ist, das

funktioniert eigentlich überall. Und dann
gibt es einfach auf meinem Handy eine App,

die das implementiert. Das Schöne daran
war, dass das Protokoll einfach frei im

Internet verfügbar war. Ursprünglich kommt
es von der ZKA der Zentrale Kreditausschuss.

Die haben sich irgendwann umbenannt und
haben sich bei der Bahn ein Beispiel

genommen und heißen jetzt DEKA. Die
Kreditwirtschaft einzelne Lachen oder

die deutsche Kreditwirtschaft je nachdem.
Da kann man die Spezifikation runterladen.

Wie gesagt, das ist prinzipiell parsbar.
Man kann es implementieren, ich habs

gemacht. Und dann braucht man nur noch
Benutzername und Pin, wie man sie von der

Bank erhalten hat und die gleichen
Zugangsdaten wie im Onlinebanking gelten.

Und man muss niemanden fragen, das finde
ich das Wichtigste, sondern muss niemand

fragen, wofür man eine Implementierung
schreibt. Man muss niemanden fragen, bevor

man die Implementierung benutzt. Ich habe
das für Vereinsverwaltungsoftware

geschrieben, das die gesamten Finanzen des
Vereins quasi vollautomatisiert

verarbeitet werden können, ohne dass
irgendjemand im Webinterface die Dinge

herunterlädt und irgendwo eingibt oder gar
abtippt. Das Schöne an diesem FinTS ist

eine der Eigenschaften von diesem FinTS
ist, dass es zukunftskompatibel ist. Man

kann halt, es gibt diese einzelnen
Datensätze, haben eine Versionsnummer, und

man kann dann jedes Mal eine neue Version
einführen. Der alte Datensatz funktioniert

weiterhin für die Banken oder die Software
nur das alte unterstützt. Man sieht daran

aber auch jedes Mal, wenn irgendwas in der
Geschichte passiert ist, wenn es neue

Regulierungen gab, die darauf Auswirkungen
hatten, dann kommt gibts halt eine neue

Version von z.Bsp. dem Datensatz zum
Anmelden, das dann plötzlich ein neues

Feld drin ist für ein SMS Abbuchungskonto.
Weil, ich weiß nicht genau wann das war,

2012 die EU beschlossen hat, dass der
Kunde das Konto angeben muss, von dem die

SMS Gebühren berechnet werden, die für die
AnmeldeTan benutzt werden. Später gab es

neue Veränderung, eine neue Versionen. Es
ist an der Stelle schön, dass man so quasi

in Fossilienmäßig sehen kann, was in der
Vergangenheit passiert ist, indem man sich

das Protokoll anguckt. Wie gesagt,
Multibanking war die wichtigste

Funktionalität um seine Finanzsoftware auf
deinem Computer oder deinem Telefon oder

auf deinem Server oder sonst wo zu haben
und sie funktioniert mit allen Banken in

Deutschland. Was gab es noch für der
andere wichtige Punkt für Endverbraucher

ist Onlineshopping. Ich möchte gerne
bezahlen. Ich brauche irgendeine Zahlung.

Da gab es gibt es immer noch Dienste wie
PayPal oder irgendwelche Wallit Dienste,

wo man auf eine beliebige Art vorher Geld
auflädt, das Geld ausgeben kann, was aber

nichts mit dem eigentlichen Bankkonto zu
tun hat. Was für den Verbraucher natürlich

wesentlich angenehmer ist, Konntobezogene
Zahlungsdienste, irgendwas, was direkt mit

meinem Konto, das ich sowieso habe,
verbunden ist. Am einfachsten für alle

Beteiligten ist die Vorkasse, kann man
halt vorher überweisen und kriegt dann

seinen Gut oder auch nicht. Am einfachsten
für den Verbraucher ist die Lastschrift,

verschickt halt der Versender das Gut und
belastet nachher das Konto. Beides nicht

so ideal. Deswegen gab es immer wieder
Versuche, andere Systeme einzuführen. Ich

glaube, die ersten waren die Niederländer
mit einem System, das so einen

integrierten Prozess anbot. Der Händler
kann das System ansprechen. Ihm sagen: Ich

hätte gerne von einem Benutzer so viel
Euro. Oder 2005, ja? Ich hätte gerne so

und so viel Geld von diesen Benutzer. Der
macht das dann auf der Webseite seiner

Bank mit den Zugangsdaten der Bank, gibt
den Betrag frei. Der Händler kriegt sofort

die Bestätigung, dass der Betrag
freigegeben wurde und kann sofort die Ware

losschicken. In Deutschland haben wir das
auch. Das kennt natürlich wieder keiner,

weil die Sparkassen sitzen es ein. Und
dann war's das fast. Das heißt Giropay,

und das ist, wie man Onlinezahlungen übers
Konto eigentlich machen würde. Parallel um

2006 entstand ein Dienstleister, ich hatte
vorhin einen anderen Namen, die

Sofortüberweisung. Das kennen Leute doch
noch, und man wundert sich ein bisschen,

dass überhaupt entstehen konnte. Also, ich
fand das Geschäftsmodell schon immer ein

bisschen komisch. Sofortüberweisung-in-
the-Middle. Der Benutzer gibt seine

Zugangsdaten, die er von seiner Bank
bekommen hat, auf der Webseite von

Sofortüberweisung ein. Sofortüberweisung
loggt sich bei der Bank ein. Macht, was

auch immer, gibt dem Händler halt
Bescheid, dass die Transaktion

durchgeführt worden ist und führt dem
Benutzer dann zum Händler zurück. Sie

geben ihr Indianerehrenwort, dass sie
nichts anderes tun, außer die Transaktion

freizuschalten und gegebenenfalls ein
Konto nachzuschauen, ob du Gebounste,

Überweisung oder sonst was hast.
Irgendeine Risikobewertung. Sie haben auch

TüV gibt TüV geprüften Datenschutz, der
TüV Saarland steht dafür gerade. Und wenn

ich mich richtig erinnere, haben sie sogar
dann doch noch etwas passiert, haben auch

noch eine Versicherung abgeschlossen.
eizelne Gelächter Falls das

Indianerehrenwort nicht reicht. Damals,
2012, verstieß das jetzt mal abgesehen vom

gesunden Menschenverstand auch gegen die
Teilnahmebedingungen für das Pin/Tan-

Verfahren, die ihr bei eurer Bank
unterschrieben habt. Ich habe hier das Mal

rausgesucht von der DKB. Der Teilnehmer
ist verpflichtet, die technische

Verbindung zum Onlinebanking der Bank nur
nur über die Internetseite der Bank oder

andere mitgeteilte Kommunikationswege
herzustellen. Um kurz zu illustrieren,

habe ich eine Abbildung aus der Wikipedia
herausgesucht. Eigentlich verstößt man

damit gegen die Bedingungen seiner Bank
und im schlimmsten Fall die Bank übernimmt

erst einmal nicht, garantiert nicht, dass
es funktioniert, übernimmt die Schäden

nicht. Es gab da dann so verschiedene
Banken, die versucht haben, das auch

technisch zu unterbieten, zu verbieten.
Ich habe da keine Bestätigung, aber ich

hörte die Geschichte, dass die Sparkasse
wohl versucht hätte, die Zufgriffe, die

Sofortüberweisung auslöst, zu blockieren,
indem sie die IP-Adresse sperren,

woraufhin dann drei Stunden später die
Zugrffe von drei anderen IP-Adressen kamen.

Da gab es auch juristische
Auseinandersetzungen, weil die Sparkasse

vorher, wie ich auf der vorherigen Folie
gezeigt habe, ein eigenes System anbot,

das als Mitbewerber gesehen werden kann.
Auch wenn es technisch halt richtig

rum ist, im Gegensatz zur
Sofortüberweisung, die falsch rum ist.

Deswegen wurde Ihnen dann verboten zu
versuchen, die Sofortüberweisung zu

torpedieren. Das zog auch so langsam ein.
Ich habe deswegen die DKB von 2012

rausgesucht, weil ich mich erinnere. Mein
Konto ist schon ein bisschen länger, dass

ich irgendwann AGB Änderungen mitgeteilt
bekommen habe. Da haben Sie halt diesen

Absatz einfach gestrichen. Und statt
dessen stand dort. "Sie dürfen die

Zugangsdaten nur auf der Webseite der DKB
eingeben, oder einem anderen von uns

autorisierten Zahlungsdienstleister siehe
Anhang." Der Anhang enthielt genau eine

Zeile "Sofortüberweisung.de", so nebenbei.
Um herauszufinden, was die Bedingungen von

2012 waren, musste ich bei mir bei der DKB
mal einloggen, um mein Postfach zu gucken,

wie wir gleich sehen werden, braucht man
zum Einloggen neuerdings manchmal eine TAN.

Dazu gibts den TAN Generator, der ein
Passwort will, das ich natürlich nicht

mehr wusste, aber gar kein Problem, es hat
einen Rücksetzfluß. Man kann sich einfach

eine SMS schicken lassen und den TAN
Generator zurücksetzen und dann

funktioniert es wieder. OK, glaube, das
Passwort brauche ich mir nicht merken. So das

war der Zustand bis Anfang diesen Jahres,
bis Mitte dieses Jahres. 2015 kam diese

Zahlungsrichtlinie heraus, und das ist die
Begründung, warum die herausgebracht wird,

die dort stehen. Unter anderem seit der
vorherigen Richtlinie 2007, die PSD, die

Zahlungsrichtlinie, nicht die
Zahlungsrichtlinie 2, sind neue Arten von

Zahlungsdiensten entstanden. Vor allen
Dingen Zahlungsauslösedienste. Ein anderes

Wort für Sofortüberweisung. Oder
Kontoinformationsdienste. Diese Richtlinie

soll darauf abzielen, die Kontinuität im
Markt sicherzustellen. Mit anderen Worten

Diese Richtlinie ist in keiner Form
gedacht oder geeignet, irgendeinen der

bisherigen Player am Markt zu
benachteiligen oder zu disruptieren.

Ich las irgendwann mal den schönen Satz
Lex-Sofortüberweisung. Hier ist die

Gegenüberstellung von der
Zahlungsdiensterichtlinie 2007 und

Zahlungsdiensterichtlinie 2 2015. Die
haben relativ langes Zeugs und unglaublich

komplizierte Sätze an einigen Stellen. Man
muss so 2 Minuten lang lesen, um

herauszufinden, dass das... A. Diese
Richtlinie gilt nicht für Geldabheben im

Supermarkt. Der Satz, der das beschreibt
ist vier Zeilen lang. Es gibt einen

Anhang, der steht, worauf sie sich
bezieht. Die ersten Paar sind gleich

geblieben, und in
Zahlungsdiensterichtlinie 2 sind

neuerdings Zahlungsauslösedienste und
Kontoinformationsdienste hinzugekommen. Und

dann noch ein paar Regeln dazu. Was hat also
diese PSD2 gebracht? Die neuen Kategorien des

Zahlungsauslösedienstleisters und des
Konto-Informationsdienstleisters, neue

Sicherheitsmaßnahmen. Das ist der Teil,
den die meisten mitgekriegt haben. Die

sogenannte starke Kundenauthentifizierung
SCA, Strong Customer Authentification.

Damit zusammenhängend eine ganz
merkwürdige 90-Tage-Regelung, die keiner

so richtig versteht und nur manchmal
angewendet wird. Ich weiß nicht, ob das

haben die wenigsten mitgekriegt, ausser
wenn Sie sich geärgert haben, dass Timeout

im Onlinebanking ist heruntergesetzt worden
auf fünf Minuten. Wenn man nicht alle fünf

Minuten etwas anklickt, zum Beispiel, weil
man gerade versucht TAN Generator heraus-

zusuchen, wird man ausgeloggt, und muss sich
wieder einloggen und eine TAN eingeben. Es

gibt, das ist tatsächlich ganz positiv, neue
Transparenzpflichten. Das ist so der Teil,

den die wenigsten mitkriegen, weil man das
mal so abnickt. Da steht dann drin, dass

alle Dienstleister jetzt auch dieses Mal
ordentlich und transparent darüber

Auskunft geben müssen, welche Kosten
entstehen, welche Gebühren entstehen, die

Gebührenstruktur nachvollziehbar sein
soll, dass man sie auf einem dauerhaften

Datenträger ausgehändigt bekommen muss. Es
gibt in der PSD2 neue Meldepflichten, zum einen

an die Bundesbank bzw. die Bankenaufsicht.
Zum anderen vor der Aufnahme des Betriebs

muss man sich registrieren lassen. Das
finden glaube ich alle ganz gut. Wir hatten mal

ein Meeting bei der Bundesbank, die meinten,
das fanden sie ganz toll, dass sie jetzt

diese Daten über den Finanzmarkt kriegen und
die Finanzmarktstabilität besser

einschätzen können. Besser bewerten
können, weil für einen Dienstleister nach

dieser Richtlinie jetzt sehr ausführlich
vorgeschrieben ist, welche

Risikokategorien, welche Risikobewertung
er machen muss und in welcher Form er

diese Daten dann nach oben melden muss
auch was Betrugsversuche und erfolgreichen

Betrug angeht. Und es gibt neue
Schnittstellen. Naja, mehr oder weniger.

In der Zahlungsdiensterichtlinie bzw. tech-
nischen Durchführung ist von dedizierten

Schnittstellen für Zahlungsauslösedienste
bzw. Kontoinformationsdienste die Rede, die

angeboten werden müssen. Neudeutsch sagt
man dazu API. Das ist dann das, was unter

PSD2 API überall läuft. Es steht
allerdings nicht drin, wie der aussehen

soll, nur was sie leisten können. Die
neuen Kategorien. Wie gesagt,

Zahlungsauslösedienst ist jemand, der im
Auftrag von jemandem eine Zahlung auslöst.

Also Sofortüberweisung.de oder theoretisch
auch andere. Aber man muss bestimmte

Voraussetzungen erfüllen, um überhaupt in
diese Kategorie fallen zu können. Das hält

unter anderem eine ganze Menge
Eigenkapital und Zertifizierungen und so

weiter. Und Kontoinformationsdienste.
Damit ist das, was wir früher unter

Multibanking gekannt haben. Ich bin mir
nicht ganz sicher, welche wie die Leute

drauf waren, die das formuliert haben oder
geschrieben haben. Aber sie hatten

offensichtlich kein Handy, auf dem sie
eine App installiert haben, wo man alle

seine Konten hat, sondern sie haben es
auf einer Webseite gemacht. Es ist also

neuerdings vorgesehen, dass ein online
Anbieter, eine Webseite, ein Portal halt sich

auf alle meine Konten einloggt und mir
dann auf der Webseite anzeigt, wie mein

Finanzstatus ist. Dazu muss sie natürlich
sich überall einloggen können. Und dann

braucht man neue Richtlinien, Regulierung
und den ganzen Kram. Ein kurzer Blick

zurück, wie man sich das dachte. Ich habe
beim Recherchieren, ich fand es total

toll, ein Screenshot von Heise aus dem
Newsticker vom Jahr 2000. Das stimmt

nicht. Das Datum ist falsch. Ich glaube,
es war 2016. Ein Screenshot von 2016, wie

wir uns die schöne neue Zukunft mit PSD2
vorstellen. Aktuell muss man durch ein

Bezahldienstleister gehen, der mit meiner
Kreditkarte zur Bank geht. Neuerdings kann

der Online-Shop via PSD2-API direkt auf
das Bankkonto zugreifen. Ja, ne. *einzelne

Kommentare* Ich nenne das die Lüge von der
dritten Partei. Ein kurzer Blick, wie wir

das bei uns einer Firma hatten. Wir haben
Abrechnungssoftware, Personalverwaltung,

Lohnbuchung, den ganzen Kram. Die hat dann
einfach über FinTS mit meiner Bank

geredet. Ein Rechner, der bei mir in
meiner Firma steht, der gehört mir, da ist

Software drauf installiert, die ich
gekauft habe. Und da ist mal meine Bank,

und dazwischen ist halt ein
Vertrauensverhältnis, weil das meine Bank

ist und ich gebe irgendwie meine
Zugangsdaten meiner Bank. Und dann

funktioniert das hervorragend. Das ist zum
14. September 2019 abgeschaltet worden.

Datev hat uns gesagt, Sie haben einen
neuen Kooperationspartner, die FinApi

GmbH. Das heißt, neuerdings läuft das so,
dass die Daten meiner Firma erstmal an das

Datav Rechenzentrum gehen, von dort an die
FinAPI GmbH, die dann die API

implementiert, die meine Bank implementiert.
Ich weiß nicht, ich kann es hier vorne ganz

gut sehen, aber das Logo der FinAPI GmbH, ist
deswegen sehr schön weil da steht Schufa

Comany. FinApi hat sich aufkaufen lassen
bzw. Mehrheitsbeteiligung der Schufa Holding

GmbH. einzelne Gelächter In der schönen
neuen Welt gehen alle meine Daten jetzt

mal nicht abgesehen davon, dass sie durch
Datev gehen, auch noch durch die Schufa,

die natürlich verpflichtet sind, damit
nichts Böses zu tun. Allerdings habe ich

mit der Schufa irgendwie auch keinen
Vertrag dazu abgeschlossen, sondern ich habe

meinen Vertrag mit jemandem anderen,
deswegen nicht so schön. Überall wird

immer von Drittdienstleistern gesprochen,
das heißt immer die dritte Partei

implementiert halt PSD2 API. Das ist ja
falsch! Sind ja immer vier Parteien

beteiligt. Es ist ja immer ich, ich kann
mal, ich darf nicht mich vorbeugen ich

nehme mal diesen Laserpointer hier, es ist
ja immer ich daran beteiligt es ist ja

immer meine Bank daran beteiligt sind wir
schon bei zweien. Dann gibt es irgendwas

was ich in Wirklichkeit machen möchte.
Also meinetwegen Zahlungen, das wäre dann

meinetwegen Zahlungen. Das wäre hier so
irgend eine Partei. Aber de facto muss es immer

immer eine vierte Partei geben, einen
neuen Gatekeeper, der dann die API

tatsächlich implementiert. Ich sag gleich
warum. Aber im Wesentlichen läuft es

darauf hinaus, dass die hier einen
bevorzugten Zugang zu allen Banken

erhalten, der nicht so einfach auf einer
der anderen drei Ebenen, zum anderen

beiden Ebenen zu implementieren ist. Es
gibt aber eigentlich immer eine vierte

Partei. Es gibt quasi keinen Anwendungs-
fall, der mir einfällt, wo es nur drei

Parteien sind, außer vielleicht
der Kontoinformationendienstleister, der

selber ein Webportal betreibt, auf dem ich
meinen Kontostand einsehen kann. Der

einzige Fall, der einem einfällt, wo es
nur drei sind. Die PSD2 API schreibt, wie

gesagt, einen offenen Zugriff vor. Naja, offen
ist halt so gemeint wie ein Bürokrat das

als offen versteht. Es ist kein
Vertragsverhältnis erforderlich zwischen

den Banken und den Leuten, die darauf
zugreifen, das ist schon mal ganz gut. Die

Banken sind verpflichtet, ein API
anzubieten, aber es steht halt nur, dass

es verfügbar sein muss und was es leisten
können muss und dass es genauso gut sein

muss wie der Zugriff, den die Bank dem
Kunden direkt anbietet. Und die gleichen

Servicelevel Agreements erfüllen muss, die
gleiche Verfügbarkeit haben muss. Es steht

nicht drin, wie es tatsächlich
ausgestaltet ist. Es steht nicht drin,

welche Spezifikation dies erfüllen soll.
Das führt dazu, dass nicht jede Bank

entwickelt ihr eigenes API. Die haben gar
keine Lust darauf. Die kaufen schon noch

APIs von externen Dienstleistern diese
Funktionalität ein. Aber dennoch gibt es

eine größere Handvoll an verschiedenen
APIs, die von verschiedenen Banken

eingesetzt werden. Die, wenn ich also,
wenn ich eine Funktionalität

implementieren möchte, die auf
Zahlungskonten zugreift, muss ich sie

eigentlich alle implementieren. Oder ich
nehme mir einen zusätzlichen Dienstleister

wie die FinApi dazu, der dann für mich
alle implementiert. Es gibt ein quasi-

Standard. Die Berlin Group hat sich
zusammengesetzt, um eine PSD2 API zu

spezifizieren, die jeder implementieren
kann, wo dann alle Seiten nur einmal das

machen müssen. Die Webseite ist ein
bisschen schlimm, ist relativ schwierig,

den Standard herunterzuladen. Aber das ist
mittlerweile der quasi-Standard. Es gibt

noch keinen echten Standard. Voraussetzung
dafür ist, um die PSD2 API nutzen zu

können, dass ich ein lizensierte bzw.
registrierter Dienstleister bin. Gute

Nachricht, ich hab nicht notwendigerweise
Eigenkapitalanforderungen. Also, ich als

Privatperson kann es leider nicht machen,
aber zumindest meine juristische Person

kann ich schnell gründen ohne
Eigenkapital. Wenn ich eine

Berufshaftpflichtversicherung abschließen.
Das gilt auch nur für

Kontoinformationsdienstleister. Sobald ich
Zahlungsauslösedienst sein möchte, muss

ich 50.000 Euro Eigenkapital Anfangskapital
hinlegen. Die meisten Dienstleistungen

oder die meisten Funktionen, die ich mir
vorstellen könnte, machen mit nur

Kontoinformation nicht so viel Sinn. Wenn
ich an meinem Beispiel des Vereins denke,

wenn ich die Vereinsverwaltung mache,
möchte ich halt sowohl Zahlungseingänge

verbuchen können als auch mindestens
Lastschriften auslösen können. Und da bin

ich schon Zahlungsauslösedienst, und der
Zug ist abgefahren in meinem Verein hat

keine 50.000 Euro. Plus Zugang ist offen.
Solange ich ein qualifiziertes

elektronisches Zertifikat habe, das mich
als registrierter Zahlungsauslösedienst

ausweist. In der gesamten Spec kommt das
Konzept. Dies ist kein Cloud-Dienst. Dies

ist eine Software, die ich herunterladen
und ausführen kann, einfach nicht vor.

PSD2 API ist komplett nutzlos für Leute,
die Software auf ihrem eigenen Rechner

ausführen wollen. Was kann sie denn noch?
Neu dazugekommen ist schon Customer

Authentification, das ist das mit dem
Blutdruck. Neuerdings kann manchmal Ich

komme gleich drauf, Strong Customer
Authentication gefordert werden, und

das bedeutet, dass mindestens zwei der
Elemente Wissen, Besitz und Inhärenz

benutzt werden müssen. Inhärenz ist das
fancy Wort für Biometrie. Müssen benutzt

werden und müssen voneinander unabhängig
sein. Dann steht da also Kram drin. Unter

anderem steht da auch drin, dass nach fünf
Fehlversuchen der Zugang gesperrt werden

muss. Die Abmeldungen nach fünf Minuten
Inaktivität kommt auch darin vor.

Verpflichtend ist eine dynamische
Verknüpfung der Customer Authentication

mit dem jeweiligen Vorgang. Das heißt,
iTAN Listen sind halt absolut verboten. Es

muss in jedem Fall der Code auf irgend
eine Art mit dem Betrag den ich überweisen

möchte verbunden sein. Hier steht auch die
Formulierung, dass dafür gesorgt werden

muss, dass Mechanismen vorhanden sind, die
sicherstellen, dass die Software oder das

Gerät nicht vom Zahler oder einem Dritten
verändert wurden. Es war dann das wo ich

meinen Blutdruck gekriegt habe, weil ich
mein Android-Telefon natürlich gerootet

habe, unter anderem um Backups machen zu
können und mir die App dann

freundlicherweise sagt "Ja ne, ist nicht,
ist ja gerootet". Und dann überlegt man

sich nochmal, was gerootet bedeutet, na ja
bedeutet, dass das Telefon unter anderem

in der Lage wäre, über seinen Zustand zu
lügen. Die App möchte nicht funktionieren

auf einem Telefon, das in der Lage wäre,
über seinen Zustand zu lügen, es sei denn

natürlich, das Telefon lügt über seinen
Zustand so gut, dass die App dann doch

wieder funktioniert. Das war dann für mich
die Motivation doch mal magisk

auszuprobieren, dass ein hinreichend
erfolgreiche Rootdetectionsverhinderung

hat, wobei es dann wieder zu so einer
Waffen Spirale kommt, das mit zunehmenden

App Updates die Detection besser wird was
dazu führt, dass die Leute die die

Detection verhindern, wieder besser werden
und ich dann am Ende doch ein zweites

Gerät habe lächelt, auf dem ich die Tan
Apps ausführe, die sich zurzeit nicht

austricksen lassen und am Ende halt für
vollkommenen Unfug. Wird noch besser. Das

Feature nennt sich "Surprise SCA". Bisher
war die Sache einfach. Ich habe mich mit

der PIN angemeldet, dann hab ich einen
read-only Zugang gekriegt. Wenn ich

irgendwas read-write-mäßiges machen
wollte, musste ich eine TAN eingeben, die

auf diesen Vorgang bezogen war. Jetzt
brauche ich die TAN für wesentlich mehr.

Und zwar brauche ich die TAN teilweise zum
Anmelden, also die genaue Formulierung

die genaue Formulierung ist zum Zugriff
auf Kontodaten oder sensible Kontodaten,

damit ist halt in der Regel Anmelden in
der App beziehungsweise im Web-Interface

gemeint, ausser manchmal. Es gibt vier
oder fünf Seiten in der technischen

Richtlinie, die Ausnahmen beschreiben.
Also zum einen darf ich die SCA weg lassen

wenn ich nur Zahlungskontoinformationen
bis 90 Tage alt abrufe, außer beim ersten

Mal oder wenn das letzte Mal mehr als 90
Tage her ist. Da kommen die 90 Tage her,

du musst die TAN alle 90 Tage eingeben,
weil dann die Ausnahme garantiert nicht

mehr gilt. Bei kontaktlos Zahlungen sind
es 50 Euro. Die ohne PIN bzw. Strong

Customer Authentification, weil den Besitz
habe ich ja durch die Karte immer

gewährleistet, die ohne zusätzliche PIN
möglich sind. Ausser es sind schon 150€

vergangen seit dem letzten Mal.
Parkgebühren sind grundsätzlich ohne SCA,

das ist sehr angenehm. Vertrauenswürdige
Empfänger sind ohne SCA, ausser natürlich

der Vorgang, vertrauenswürdige Empfänger
zu definieren. Wiederkehrende

Zahlungsvorgänge ab dem zweiten Mal kann
ich auch ohne machen. Überweisungen auf

ein anderes Konto derselben Person können,
ohne sein. Kleinstbetragszahlung bis 30€

können ohne sein, außer manchmal.
Unternehmen fallen eher ganz raus das war

dann unsere Lösung gegen das FinTS FinAPI
Fiasko. Es gibt einfach EBICS, da ist dann

quasi nichts drin. Es ist dann so, man
wirft die Zahlung dahin und wenn die halt

von der Firma kommen, dann werden die halt
so stimmen. Da braucht niemand mehr

irgendwo eine TAN eingeben und
Transaktions Risikoanalysen, die

modifizieren den ganzen Kram wieder. Also
die können dann sowohl bei bisherigen

Ausnahmen die SCA wieder erfordern als
auch, man kann halt sagen, na gut, die

Zahlung hat ein so geringes Risiko, dass
ich dann doch wieder keiner SCA brauche.

Außer natürlich die laufende Berechnung
der Betrugsraten, die ich verpflichtet bin

durchzuführen. Ergibt, das eine höhere
Betrugsrate eingesetzt hat, da muss ich

wieder dauernd SCA machen.
Schlussfolgerung: In Summe ist es von

außen nicht vorhersehbar, wann eine TAN
verwendet werden muss. Das macht beim User

Interface Design. Ich weiß nicht, wie viele sich
mal damit beschäftigt haben. Natürlich

besonders viel Spaß. Also, ich hab das in
Byro, das ist eine Web-App. Ein bisschen

schwierig, wenn man irgendwie auf SUBMIT
drückt und dann passiert halt nicht das,

sondern da kommt erst mal: Übrigens musst
noch eine TAN eingeben. Das ist für den

User natürlich total verwirrend, weil der
sich auf nichts mehr verlassen kann. Er

kann halt nicht mehr vorhersehen, was
passiert, wenn er ein Knopf drückt. Das

ist für automatisierte Dienste, die FinTS
benutzen wollen, total unmöglich, weil ich

selbst von den Vorgängen, von denen ich
bisher ausgegangen bin, dass sie zum

Beispiel read-only sind und keine TAN
brauchen. Wenn ich also zum Beispiel die

Kontoeingänge bei meinem Verein laufend
verbuchen möchte und einen Cronjob starte,

der alle x-Tage mal abruft, kann es
passieren, dass dann trotzdem wieder Mal

eine TAN nötig ist. Ich kann halt auch
nicht den Zugriff unterdrücken. Ich weiß

es halt nicht vorher. Es kann halt
irgendeinen ein Sonderfall eingetreten

sein. Und wenn man dann so einen
Pushdienst verwendet, ist es

halt toll, weil derjenige, dem der Zugang
gehört, dann plötzlich eine Push-

Nachrichten kriegt. Und es ist nicht ganz
zu unterscheiden, ob das jetzt derselbe

aufgesetzte, automatisierte Vorgang war
oder ob es irgendein anderer Bösewicht.

Die verschiedenen Banken handhaben das
auch sehr unterschiedlich. Bei der DKB zum

Beispiel muss man jedes Mal eine TAN
eingeben, wenn man sich irgendwo einloggt.

Bei der Sparkasse nicht. Die Sparkasse
macht Gebrauch von den 90 Tagen Ausnahmen.

Dafür muss man bei der Sparkasse die TAN
eingeben, wenn man einen Suchvorgang

startet, der mehr als 90 Tage
beinhaltet. Die DKB hat gesagt, dass es

Ihnen zu umständlich. Deswegen fragen Sie
immer nach der TAN. Außer man hat halt,

dann sind danach alle Transaktionen ohne
TAN. Ausser natürlich es sind wieder fünf

Minuten vergangen. *Stimmen im Publikum"
Euch fällt auf, das passiert eigentlich

nur bei solchen EU-Richtlinien oder
solchen EU-Regulierung. Ich weiß nicht,

wer ein PayPal-Konto hat, PayPal hat seit
immer kein 2-Faktor-System. Die machen

einfach irgendwas: Keine Ahnung die machen
auch Transaktionsrisiko und Zeugs. Die

wissen halt, dass so eine TAN eigentlich
nur dazu führt, dass der Nutzer den

Prozess im Zweifelsfall einfach abbricht,
was halt bei Zahlungen doof ist, weil dann

die Einnahmen entgehen. Das ist einer der
Gründe, warum PayPal das nicht hat und

Leute immer wieder sagen "Ihr seid doch so
unsicher" und am Ende naja eigentlich

nicht offensichtlich, weil sie sind ja
noch am Markt. Der Effekt Multi-Banking

haben wir gehört. Ich habe eine App, wo
ich alle meine Dinge drin hat. Führte

dazu, dass ich Multifaktor habe. Hier den
Dilo Delwitz Witz einfügen. Das sind die

TAN-Generierungsapps im Wesentlichen, die
ich auf meinem Telefon habe. Ich habe

neulich mal in meiner, ich glaube kurz
nach dem 14. September in meiner

Online-Banking-App versehentlich auf alle
Konten aktualisieren gedrückt, was dazu

führte, dass ich acht, neun verschiedene
TANs eingeben musste, eine davon zweimal

auf vier verschiedenen Modalitäten. Also
ich habe ja auch noch TAN-Generatoren mit

ChipTAN, was ja eigentlich das bessere
Verfahren ist. Da muss man halt

raussuchen. Aber ist ja nicht so schlimm,
weil macht man ja nur, wenn man eine

Überweisung durchführt. Und die DKB hat
Ihr Kreditkartenkonto von FInTS jetzt abgehängt,

das heißt, die Software, die ich verwende,
macht dann Webcalling, was die alte

Methode war, um Finanzdaten abzurufen.
Wozu dann nochmal ein separater TAN-

Eingabe nötig ist, um sich im Webinterface
anzumelden. Ich habe seitdem nicht nochmal

auf alles Abrufen gedrückt. Ich sollte das
mal irgendwann wieder tun. Ich muss mich

bloß vorbereiten. Stimmen im Publikum
Genau. Zeitlinie, also die Richtlinie vom

25. November. Sie ist technisch gesehen im
Januar 2016 in Kraft getreten. Das

bedeutet, da gibt es eine 2-Jahresfrist,
die ist 2018 in nationales Recht umgesetzt

worden. Das Zahlungsdiensteumsetzungs -
gesetz in Deutschland. Da steht bloß Copy

und Paste von der Richtlinie drin. In der
Richtlinie ist eine Verordnung delegiert

worden, was die technische Umsetzung
angeht von 2017. Und jetzt kommen wir

Warum ist es eigentlich alles am 14.
November? 14. September explodiert? Weil

die Frist am 14. September wird diese
delegierte Verordnung gültig. Sechs Monate

vorher hätten die Banken eine Testumgebung
zur Verfügung stellen müssen, damit

Softwareentwickler, die nicht der Größte
am Markt sind, das mal testen können. Es

gibt eine Fallbacklösung, falls man sich
außerstande sieht, eine PSD2 API

anzubieten oder da irgendwas nicht ist,
oder ein Notfall eintritt, wobei Notfall

glaube ich definiert ist als fünf Vorgänge
haben mehr als 30 Sekunden Latenz, dürfen

Zahlungsdienstleister also die
Kontoinformationsdienste oder die

Zahlungsauslösedienste ein Fallback
benutzen, nämlich das Interface, was der

normale Kunde benutzt. Da sind wir wieder
beim Webcalling. Wenn die Banken das

nicht möchten, müssen sie mindestens drei
Monate am Stück die normale PSD2-API zur

Verfügung stellen. Das heißt, Sie hätten
im Juni die PSD2-API produktiv laufen

müssen haben müssen, um von der
Ausnahmeregelung ausgenommen zu werden.

Ich glaube, das hat keiner. Am 14.
September ist dann alles explodiert. Dann

wurde die Durchführungsverordnung gültig.
Die Delegierteverordnung gültig, was dazu

führte, dass noch nicht sofort alles
explodiert ist. Erstmal sind nur

Transaktionen und Onlineanmeldung, weil
manche Banken haben tatsächlich davon

Gebrauch gemacht, dass da irgendwo 90 Tage
steht. Und wenn man sich halt am 13.

September angemeldet hat, dann war man ja
angemeldet. Ja, das war dann am 13.

Dezember vorbei. Das heißt spätestens seit
dem 13. Dezember hat jeder der

Online-Banking benutzt Spaß. Gibt kleinere
Problemchen. Die Anmeldefluß für

2-Faktor-Apps sind oft kompliziert, der
Support etwas überlastet. Bei der Postbank

habe ich das Problem, dass ich neu etwas
unterschreiben musste, weil ich als

Vereinskonto, das war das doofe, es ist
ein Gemeinschaftskonto, war ja früher

nicht so schlimm. Man teilt halt einfach
die Pin, und nur einer kriegt die

Chipkarte für die TAN-Generierung.
Neuerdings müssen halt alle

Gemeinschaftskonten extra Personenaccounts
für jeden, der Lesezugriff haben soll

haben. Bei der Postbank lief es darauf
hinaus, dass ich unterschreiben musste und

die meine E-Mail nicht angenommen haben.
Der Mailserver hat gemeint "Aufgrund der

hohen Betrugsraten können Sie zurzeit keine
Mail annehmen." Gelächter Moment,

nachdem ich den Support gefragt habe, ich
habe tatsächlich telefonisch was erreicht,

meinte er, faxen sie es uns. Das habe ich
vorgeschlagen Faxen. Das habe ich gemacht.

Das hat auch nur vier Wochen gedauert. Es
hat funktioniert. Andere Leute haben

andere Probleme, irgendwie. Geräte,
Wechsel, Verlust ist ein bisschen

schwierig. Ich habe mit jemandem geredet.
Ich habe gesagt, ihr habt ja im vorigen

Screenshot gesehen, welches Handy verliere
oder auch nur tauschen möchte, muss ich

halt acht verschiedene Apps neu
einrichten, teilweise in acht Schritten.

Ich habe gerade jemandem geholfen, bei der
Apobank seine TAN-App einzurichten, weil es

halt dreimal nicht geklappt hat. Der Knopf
Brief generieren mit dem Bestätigungscode

der hat immer funktioniert. Da kam ein neuer
Brief. Aber es war nicht zu sehen, wo man

den Bestätigungscode eingibt, bis man auf
der Webseite war und das vierseitige PDF

mit den acht einfachen Schritten gefunden
hat. Gelächter Der schärfste Trick: Für

Kreditkarten gilt das eigentlich auch
mit der starken

Kundenauthentifizierung. Bloß das hat noch
keiner umgesetzt. Das muss noch im Webshop

implementiert werden. Deswegen hat die EBA
jetzt gesagt: Na gut, ihr habt noch mal

ein bisschen Zeit bis 2020. Und was ich
vorhin sagte: Die APIs waren und oder sind

nicht funktional. Die Leute haben einfach
zu wenig Zeit gehabt zum Testen. Kurzer

Seitenhieb. 3D Secure. Es gab da schon mal
ein Vortrag über einen Vortrag halten.

Aber es gibt auf jeden Fall ein sehr
schönes Paper dazu "Verified bei Visa and

Mastercard Secure-Code or how not to
design authentication" von Murdoch und

Anderson. Three D secure steht für Three
-Domain-, acquirere, Issuer and

Interoperability sind die Domains der Herausgeber
Akzeptanz und die dazwischen Leute. Der

Kunde fehlt in der Liste, die hier
geschützt werden. Es ist dafür da, dem

Kunden neue AGB aufzudrücken und die
Schuld zu verschieben, weil offensichtlich

der Kunde schuld ist. Ist ja, jetzt sicher.
Bei einer meiner Banken, ist eine am VR-Banken-Netz

angeschlossene bei der Fiducia muss man sich
registrieren, da kriegt man so ein

Brief? Gehen Sie mal wieder auf diese
Webseite und füllen Sie dort die

Registrierung aus. So online
sichereinkaufen.de oder so ähnlich.

Sicheronlineeinkaufen.de? Sicher
einkaufen. Ich bin mir sicher es war sicher

online einkaufen. Ich weiß es, weil diese
Seite existiert, die anderen nicht. Diese

Seite existiert. applaus Und hat ein
gültiges Sicherheitszertifikat von

LetsEncrypt. Gelächter Und dann war
wieder da die Sache mit dem Blutdruck, die

hat dann wieder gemeint na ja, Sie können
sich jetzt hier registrieren und die Push-TAN-

App aktivieren. Das geht auf Ihrem Telefon
nicht, weil es gerootet ist. Das Telefon

ist unsicher. Gar kein Problem. Sie können
auch den Alternativprozess verwenden. Wir

schicken ihn einfach eine SMS an dieses
Telefon. fröhliches Lachen Ok. Muss ich

jetzt nicht verstehen. Dieses Formular,
wie gesagt, das ist aktuell online hat

immer noch die gleichen Probleme, die
Murdoch und Anderson von damals genannt

haben. Wenn man runter scrollt, findet man
diesen Signup System. Das ist ein IFrame,

das von irgendeiner anderen Domain kommt.
Die hat sogar ein Extended-Validation-

Zertifikat, nur dass es halt niemand
sieht, weil ist halt ein iFrame. Was ist noch so

passiert? Wie gesagt, Gemeinschaftskonten
benötigen jetzt einen Login pro Person.

Ich glaube hier. Die CCV-Veranstaltungs
GmbH hat auch schon Spaß damit gehabt. Die

Banken gehen langsam dazu über
FinTS abzuschalten oder loszuwerden, weil sie

haben ja jetzt die PSD2 API. Die regulierten
Dienstleister dürfen nicht mehr über FinTS

zugreifen außer halt im Fallbackmodus,
außer manchmal. Surprise SCA, wie gesagt,

ist Userinterface wird halt nur noch
merkwürdiger. User sind frustriert und

kriegen Hals. Was gar nicht so schlecht
ist. Es gibt jetzt ein

Registrierungspflicht für Anwendungen, die
auch für FinTS gilt. Also auch meine

Anwendung byro, FinTs ist registriert. Und
es ist im Sinne der Transparenz sieht man

im Online-Banking, welche App verwendet
wurden. Das ist erst mal nicht schlecht.

Kann man nichts gegen haben, zumal die
Registrierung auch als Open Source

Entwickler möglich ist. Ist ja nicht immer
so. Aber fast jede Transaktion kann

manchmal eine TAN anfordern. Wie gesagt,
ich hab das auch gerade gesehen. Wir

kommen zum Schluss. Transparenz und
Aufsicht sind verbessert worden.

Verbraucher sind zunehmend genervt.
Perfekte Grundlage für Wirsching? Ich weiß

nicht, wie viele von euch so eine Mail
gekriegt haben. PSD2 tritt jetzt in Kraft.

Bitte geben Sie jetzt hier nochmal Ihre
Kontonummer ein. Sie müssen sich jetzt neu

anmelden, weil neue sichere Umstellung des
Sicherheitsverfahrens. Gewerbliche Nutzer,

wie gesagt, müssen komplett ausweichen,
weil das macht gar keinen Sinn. Dafür gibt

es jetzt neue Geschäftsfelder für
Startups, die entsprechende

Anfangsinvestitionen haben. Open Source
kannste halt vergessen in Zukunft. Danke.

Applaus

Herald: Wir haben Zwölf Minuten Zeit für
Fragen und Antworten. Drei Mikrofone im

Saal verteilt. Falls ihr Fragen habt,
stellt euch hin. Ich versuche, euch

halbwegs fair aufzurufen. Eine Frage
hätte ich. Was soll der Scheiß? Lachen

Henryk: Hast du nicht gehört?
Sofortüberweisung ist jetzt legal. *Herald

lacht.*
Frage: Okay, du hast gesagt, dass FinTS

jetzt langsam ausgeschlichen wird von den
Banken. Ich weiß von einigen Banken, dass

sie bei PSD2 direkt das FinTS abgeklemmt haben,
weil sie es nicht implementiert hatten PSD2

konform. Aber weißt du, wie das bei den
anderen Banken aussieht? Also gibt es da

schon Ankündigungen von den großen
Rechenzentren Fiducia oder Sparkasse oder

wie wir alle heißen?
Henryk: Die haben sich größtenteils

zurückgehalten. Sie sagen da nur durch die
Blume, dass sie es zumindest nicht mehr

erweitern wollen. Sie haben ja jetzt das
andere. Ich glaube ING-Diba hatte da genau

dieses Problem. Sie haben ein bisschen
zurückgerudert. Wenn mich nicht alles

täuscht. Aber es gibt ja keinen
Grund mehr dafür.

Frage: Die haben zurückgerudert nach dam
sich 3000 Leute beschwert haben in einem

wütenden Mob Blogpost.
Henryk: Ja.

Herald: Bitte.
Frage: Gibts irgendwie so eine Art

Informationsblatt, was ich als Kunde der
Bank geben kann? Wenn ich der Meinung bin,

dass sie mir völligen Bullshit zu der PSD2
erzählt und irgendwelche neuen Änderungen

damit versucht zu begründen?
Henryk: Ja, das steht sogar in der

Richtlinie drin, das die europäische
Bankenaufsicht und die BaFin jeweils ein

Merkblatt für Kunden herausgeben, in denen
alle Änderungen und neuen Pflichten und

Rechte des Kunden dargelegt sind. Es
müsste auch der Webseite der BaFin zu

finden sein.
Frage: Ich meine eigentlich umgekehrt,

Richtung Bank.
Henryk: Ja, das ist das Merkblatt für dich

als Kunde, und du kannst der Bank
vorhalten und sagen: "Guck mal, was ihr

mir sagt, steht da nicht drauf."
Frage: Du meinst, es ist das nicht

sonderlich kompliziert, sich eine
juristische Person anzulegen. Könnte ich

dann mit einer juristischen Person mir ein
Geschäftskonto anlegen, damit ich dann

wieder APIs habe, die ich von einer App
aus verwenden kann? Ist das der neue Weg?

Henryk: Klar. Aber ja! Also du brauchst
halt eine

neue App. Es ist dann EBICS, aber ja...
Frage: Du hast aufgelistet, dass es ja

drei Authentifizierundsmerkmale gibt und
du hast sehr konsequent nur von TANs

gesprochen. Wenn ich die Richtlinie
korrekt interpretiere, ist Wissen und

Besitz. Also Pin und Chipkarte nach wie
vor eigentlich vollkommen valides

Authentifizierungsmittel.
Henryk: Korrekt. Also steht die

Formulierung, die Sie verwenden, ist, dass
diese aus den drei Faktoren muss ein

Authentifizierungscode abgeleitet werden.
Das kann auch eine Signatur oder was auch

immer sein. Ich habe aber keine
Implementierung davon gesehen, also

ausser halt innerhalb von Apps. Die DKB zum
Beispiel hat eine eigene App und wenn man

innerhalb der DKB App bleibt. Dann bleibt
also alles innerhalb der DKB App inklusive

mit iPhone, wie auch immer diese
Gesichtserkennung heißt, da braucht man

auch keine TAN mehr das stimmt. Aber wenn man
eine andere App benutzt, die nicht, die

ist, ist es irgendwie schwierig, der
Signatur abzutippen. Deswegen tippt man

meistens lieber TANs ab. Ich frag nur,
weil die Sparkasse mir erzählt hat, das

HBCI mit Chipkarte ja diese
Authentifizierungsbedingungen nicht

erfüllen würde.
Henryk: Das ist inkorrekt. HBCI mit

Chipkarte ist halt gerade Besitz, Besitz
und Wissen, sie können sich eventuell

darauf herausreden, dass irgendwie PIN mit
der Verifikation auf der Karte eventuell

nicht güle, aber eigentlich dann doch
schon.

Herald: Ok, und die Mitte mal wieder.
Zuhörer: Mal wieder nur eine kleine

Anmerkung. Du meint, dass das PayPal mit
2-Faktor nicht funktioniert. Aber in der

Tat habe ich PayPal mit 2-Faktor.
Henryk: Es gab vor fünf Jahren, glaub ich,

eine kurze Zeit, wo sie das angeboten
haben. Aber ich glaube, es wird nicht mehr

beworben.
Zuhörer: Ich konnte das in der App

anklicken, vor ungefähr einem halben Jahr.
Henryk: Oh, dann haben Sie was neues

eingebaut.Wollen Sie jetzt? Ist das schon?
Frage: Ich frag für einen Freund, der

entwickelt einen Webshop, und da müssen
Sie sich auch mit dem 3D Secure Kram

herumschlagen. Und der
Zahlungsdienstleister sagt: Es ist in

Ordnung, wenn man für das Hinterlegen der
Kreditkarte beim Zahlungsdienstleister

einmal dieses 3D Secure Verfahren macht.
Und danach kann man als Shop quasi

beliebig oft davon abbuchen, und der Kunde
muss dann nicht mehr nochmal irgendwelche

TANs eingeben. Ist das überhaupt korrekt
so, weil dann sehe ich den Sinn dahinter

nicht so ganz.
Henryk: Ja, für die erste Zahlung bei

wiederkehrenden Zahlungen ja. Aber es muss
trotzdem jede Zahlung autorisiert werden.

Bloß das für wiederkehrende Zahlungen
einfache Autorisierung reicht. Ich

bin mir da aber auch nicht ganz sicher.
Frage: Das muss dann aber nicht über

den Dienstleister gehen. Das reicht dann
einfach, wenn der Kunde im Onlineshop

einmal klickt: Ja, diese Kreditkarte,
oder?

Henryk: Genau, das kann mit Passwort, würde dann
reichen. Also nicht zwei Merkmale, sondern

nur eins.
Herald: Entweder habe ich unseren Signal-

Angel die ganze Zeit übersehen oder es
gibt gerade was Neues, bitte!

Signal-Engel: Kam gerade erst die Frage.
Wärest du mit PSD2 glücklicher, wenn sie

ein bisschen glücklicher, wenn es ein
bisschen Open Source wäre, die Zugang für

Open Source Programme offen wäre? Oder sagt
es allgemein eher mäh gelaufen?

Henryk: Na ja, es gibt relativ, es ist
relativ schwierig, diese Anforderungen

grundsätzlich umzusetzen bei Software, die
der Anwender selber runter kompiliert und

laufen lässt. Deswegen sehe ich nicht, wie
man das umsetzen könnte. Man müsste halt

auf die Anforderungen verzichten, das die
Endpunkte durch qualifiziertes Zertifikat

identifiziert werden. Und dann hat man nur
noch die Probleme. Die Benutzer haben mit

dem ganzen TAN-Scheiss. Zumindest Open-
Source Entwickler keine Probleme mehr und

der Userinterface Flow ist immer noch kaputt.
Frage: Ich wollte einfach nur

nochmal anmerken. Die meisten hier
Anwesenden werden wahrscheinlich zwei

Geräte besitzen. Aber gerade dieses ganze
2-Faktor wird ja ab ad absurdum geführt.

Wenn ich mein Online-Banking auf demselben
Gerät mache, wo auch der TAN Generator

ist, ist auch die App zu App trans-Integration die
manche Banken anbieten. Wird ja hier auf

dem Kongress vor paar Jahren auch schon
mal gezeigt, dass das sinnlos ist, weil es

irgendwo gehackt werden kann. Ist man da
irgendwie gesichert, wenn man das macht

als Kunde? Die meisten haben ja doch nur
ein Gerät zu Hause und halten sich nicht

dran, das man dann als Kunde eigentlich
der Gearschte diesbezüglich.

Henryk: Es steht drinnen, dass es zwei
getrennte Geräte sein sollten oder oft auf

dem Gerät. Das ist unter anderem einer der
Gründe für die Rootdetektion auf dem

Gerät, für eine Trennung der. Es gibt da
einen Absatz, der irgendwie. Man müsse die

Trennungssysteme des Betriebssystems
nutzen. Also ich vermute mal, das geht

eher in Richtung Samsung Knox und nicht
auf normales Android. Aber eigentlich

sollte normales Android ausreichen. Ich
bin mir nicht sicher. Ich glaube als dieser App-TAN

Hack war da. Oder waren es auch gerootete
Geräte oder erweiterte lokaler Zugriff.

Frage: Ich nutze so ein Open-Source-
Software, um so persönliche Finanzen zu

tracken und habe das auf meinem Server
installiert. Erste Frage, bin ich jetzt

schon Konntoinformationsdienstleister?
Der Entwickler hat gesagt, er möchte PSD2

einbauen. Und wenn ich das richtig
verstanden habe, dann geht das gar nicht.

Ich habe auch gelesen auf GitHub, er hat
sich irgendwo registriert, und ich habe

aber nicht ganz verstanden, ob das geht.
Kann er überhaupt das jetzt so einbauen,

dass ich das dann benutzen kann?
Henryk: Ja, die Registrierung war die

HBCI-Registrierung. Ob du dann schon für
dich selber? Ich bin mir nicht sicher, ich

glaube für dich selber. Ich bin mir nicht
sicher, ob da etwas von einem Dritten

drinsteht. Da müsste ich nachgucken. Kann
ich so nicht beantworten. Müsste man ...

Frage: Kann er denn PSD2 in seine
Software einbauen, dass es jemand benutzen

kann?
Henryk: Ne, keine PSD2 API. Es wird immer

über FinTs laufen, was du beschrieben
hast.

Frage: Ok. Und wenn die Bank FinTS
abschaltet, bin ich im Arsch.

Henryk: Ja, du kannst auf EBICS
wechseln. Herald lacht

Frage: Hast du eine Vermutung, wer
hinter dem Ganzen steht? Warum die das

gemacht haben? Weil ich meine
Sofortüberweisung alleine gegen die ganze

Bankenlobby. Banken mögen das
offensichtlich nicht. Irgendwer muss es

doch durchgedrückt haben.
Henryk: Ich weiß es tatsächlich nicht. Wir

haben kurz vorher uns unterhalten, dass es
da so ein Slogan gab: Digital first,

Bedenken second. Das könnte damit
zusammenhängen. Es klingt nach

Fortschritt. Es wird halt besser.
Frage: Ich wollte noch einmal

Fragen: Sind hier Organisationen oder
politische Akteure bekannt, die die

Benutzerinteressen in irgendeiner Form
bündeln und versuchen zu kanalisieren? Wir

versuchen da irgendwie ein bisschen Lobby
im Sinne der Nutzer und der User zu

machen an der Stelle. Verbraucherschutz welche?
Henryk: Es gibt ein Voice-Verband der IT

Anwendunger EV. Aber ich weiß nicht ob die
in dem Rahmen Aktivitäten haben. Mir wird

gerade gesagt, dass sie eine Selbst-Hilfe-
Gruppe sind. Aber es ist... Alle lachen

Du hast nur gefrat, das ist mir bekannt.
Antwort: ich kenne nur eine.

Herald: Bitte. Scheint auch letzte Frage zu sein.
Frage: Du erwähntest die

Registrierung für die Drittdienste. Ist es
nicht eigentlich auch eine Art Zulassung

bei der BaFin und da kam doch gerade vor
ein paar Wochen auch Standards raus, was

für Sicherheitsmaßnahmen da umzusetzten sind,
die auch möglicherweise geprüft werden .

Und auch diese Zulassung
entzogen werden kann.

Henryk: Genau. Deswegen seht auch da
"Registriert und Zugelassen", als

Formulierung. Weil es für
Kontoinformationsdienstleister ein

bisschen einfacher dann ist. Die Absätze 1
bis 6 außer Paragraphen 3 und dings gelten

nicht für Kontoinformationsdienstleister
oder so ähnlich. Aber für alle, die

weitergehend es machen, es ist mit
Zulassung und Bericht und vorige

Registrierung und so weiter drin,
inklusive Entzug.

Herald: Bist du glücklich? Du siehst nicht
glücklich aus.

Signal-Engel: Ich habe sogar noch 2 auf
Twitter. 1) Kann ich irgendwie verhindern,

dass mein Arbeitgeber meine Bankdaten an datev
weitergibt? Oder habe ich da keine Chance?

Henryk: Lustige Frage, ich glaube nicht.
Frage: 2) Kannst du einen Ausblick

geben? Siehst du Hoffnung, dass irgendwas
verbessert wird, oder müssen wir halt 20

Jahre warten, bis das nächste neue Gesetz
kommt?

Henryk: Da steht drin, dass die alle
X-Jahre evaluiert und aktualisiert werden

sollen. Ab 2021 ist das nächste Mal.
Vielleicht wird nachgebessert. Ich bin da

aber nicht so sehr hoffnungsvoll, weil
hier, wie gesagt, aus Sicht der zentralen

Behörden nicht so nicht Cloud Anwendungen,
eher Nischenprodukte. Etwas auf seinem

eigenen Rechner zu betreiben,
kommt aus der Mode.

Herald: Jetzt aber wirklich die letzte
Frage.

Fragender : Ich würde gerne an eine
vorherige Frage anknüpfen, nämlich ob es

Institutionen gibt, die sich dafür
einsetzen, dass das Ganze gebessert wird.

Ich arbeite jetzt für sofort, und wir sind
Sofortüberweisung. fröhliche Gelächter

Wir sind aktiv dabei, mit nahezu allen
Banken in Europa und auch den nationalen

Behörden zu diskutieren, dass es da
schnellstmöglich Änderungen gibt. Noch vor

einer neuen Direktive, also in möglichst
naher Zukunft. Es gibt Leute, die sich

dafür einsetzen.
Henryk: Sehr gut.

Herald: Es könnte also sein, dass du die
Frage beantworten kannst, die ich vorhin

gestellt habe. Ich komme gleich vor! Alle
Lachen

Herald: Henryk Plötz! Vielen Dank!

Applaus

36c3 Abspannmusik

Untertitel erstellt von c3subtitles.de
im Jahr 2020. Mach mit und hilf uns!