PSD2 – Neues Jahr, neues Glück?
Ab dem 01. Januar 2021 ist es nun endgültig soweit – die letzten Regelungen des Zahlungsdiensteaufsichtsgesetzes treten in Deutschland in Kraft. Die damit einhergehende Starke Kundenauthentifizierung (SCA) wirft die gelebte Praxis ordentlich über den Haufen – bringt aber auch mehr Sicherheit, Transparenz und öffnet den Markt für Innovatoren.
Lange wurde verhandelt und diskutiert, bis letztendlich im September 2019 eine Fristverlängerung für die Umsetzung erwirkt werden konnte. Ausreichend Zeit, sich auf das Kommende vorzubereiten, möchte man meinen.
Gemeinsam mit dem Hotelverband Deutschland (IHA) e.V. und dem Verband Internet Reisevertrieb e.V. (VIR) sowie der Unterstützung derer namhaftesten Mitglieder haben wir als HSMA Deutschland e.V. eine Zusammenfassung der jetzt anstehenden Herausforderungen und die mögliche Unterstützung von Partnern auf diesem Gebiet zusammengefasst.
Was ist die aktuelle Herausforderung in Bezug auf PSD2?
Seit jeher sichern wir als Hoteliers garantierte Buchungen dadurch ab, dass wir Zahlungskartendaten in einer Reservierung hinterlegen und zu einem bestimmten Zeitpunkt, meist vor der Anreise des Gastes, belasten oder vorautorisieren – dieser Prozess wird künftig so nicht mehr möglich sein.
Grund hierfür ist die Tatsache, dass jede Belastung und/oder Vorautorisierung, bei der Karteninhaber und Karte nicht anwesend sind (Credit Card not present) künftig durch die Starke Kundenauthentifizierung im Zwei-Faktor-Prinzip gesichert werden muss. Hierbei gilt es zwei Faktoren aus den nachstehenden Punkten auszuwählen:
• etwas was Du weißt
(z. B. ein Passwort)
• etwas was Du besitzt
(z. B. Smartphone)
• etwas was Du bist
(z. B. Fingerabdruck)
Wie ändert sich unsere tägliche Arbeit?
Gehen wir davon aus, dass ein Großteil der Zahlungstransaktionen zum heutigen Tage direkt im Hotel und über physische Kartenterminals in Anwesenheit von Karteninhaber und Karte abgewickelt werden (sog. POS-Zahlungen/Swiped Transactions), so sind diese nicht von der PSD2 betroffen. Diese Zahlungen werden seit geraumer Zeit durch die Eingabe von Sicherheitsmerkmalen (PIN) abgesichert. Dieser Umstand führt auch direkt zu einem der wichtigsten Punkte, sich gut für die kommende Zeit aufzustellen – jeder Hotelier ist ab dem 01. Januar 2021 gut beraten, ungesicherte Zahlungen direkt bei Anreise vom Gast unter Eingabe der PIN autorisieren zu lassen.
Die Herausforderungen entstehen, wenn Zahlungen ohne Anwesenheit des Karteninhabers und der Karte erfolgen sollen. Das ist zum einen auf allen Internetseiten mit Direktbuchungsfunktion der Fall, aber auch bei allen Reservierungen, welche durch das Hinterlegen einer Zahlungskarte gesichert werden sollen. Ebenfalls betroffen von der Regelung sind alle Buchungen über unsere Vertriebspartnerportale – die OTA – oder GDS. Zu den einzelnen Lösungsansätzen werden die einzelnen Vertriebsportale im Laufe dieses Artikels Stellung beziehen und Möglichkeiten einer zielführenden Zusammenarbeit aufzeigen.
Dass das Abfragen von Zahlungsdaten über Formulare (die Form ist hierbei zweitrangig), am besten noch per Fax oder E-Mail schon heute nicht als sichere Methode gilt und eingestellt werden sollte, steht außer Frage. Das es gängige Praxis ist aber auch. Die hinterlegten Zahlungskarten vor Anreise zu autorisieren oder direkt zu belasten, Abrechnung von No-Show oder verspäteter Stornierungen wird so einfach wie heute nicht mehr länger möglich sein, denn es bedarf der starken Kundenauthentifizierung durch den Karteninhaber. Ebenfalls als gängige Praxis und von den Kreditkarteninstituten geduldet gilt die manuelle Eingabe von Zahlungsdaten in die Kartenterminals – auch das ist mit Ablauf der Frist nicht mehr möglich.
Für alle Markteilnehmer bringt die neue Regelung vor allem eines – mehr Sicherheit.
Denn ist eine Zahlung korrekt durchgeführt worden, so ist diese auch nicht mehr so einfach wie heute vom Karteninhaber zurückzurufen.
Folgende Ausnahmen (Auswahl der für die Hotellerie relevanten Punkte) wurden durch den Gesetzgeber formuliert:
1. Zahlungen an unbedienten Terminals
Der Parkscheinautomat wird weiterhin auch ohne SCA auskommen.
2. Interregionale Zahlungen
Das kartenausgebende Institut sitzt nicht innerhalb der EU bzw. des Europäischen Wirtschaftsraumes (EWR).
3. Corporate Payments
Buchungen und Zahlungen über gesicherte Firmenbuchungsportale können ebenfalls ausgenommen werden. Die Ausgestaltung dieser Ausnahme erfolgt zwischen BaFin (Bankenaufsicht) und Systemanbieter. Als Beispiel kann der AirPlus Business Account genannt werden.
4. Virtual Credit Cards
Virtuelle Zahlungskarten sind ebenfalls von der SCA ausgenommen, sofern der Inhaber keine natürliche Person ist.
5. MOTO-Transaktionen
Echte sogenannte Mail-Orders-and-Telephone-Orders sind ebenfalls ausgenommen.
6. Merchant Initiated Transactions (MIT)
Hierbei handelt es sich um eine nachträgliche Belastung der Zahlungskarte, die direkt vom Händler ausgelöst wird. Voraussetzung hierfür ist aber eine bereits erfolgreich durchgeführte SCA. Wird dieses Kriterium erfüllt, kann hiermit eine No Show oder Late Cancellation abgedeckt werden.
7. Whitelisted Merchant
Hierbei handelt es sich um eine Art Positivliste des Karteninhabers bei seinem Zahlungsinstitut. Aus Gesprächen mit anderen Verbänden und Firmenkunden ist dies wohl ein Weg, welcher künftig sehr aktiv von größeren Firmen genutzt werden wird, um die SCA für die Reisenden zu umgehen.
Wie machen wir weiter?
Solltet Ihr es noch nicht getan haben, so kontaktiert bitte umgehend euren Partner im Bereich Kartenzahlungsabwicklung. Die meisten Anbieter haben Lösungen für ihre Händler erarbeitet und gehen mit Euch gemeinsam die bestehenden Prozesse durch. Mögliche Ansätze reichen von Zahlungslinks bis hin zu digitalen MOTO-Terminals.
Außerdem ist es an jedem von uns, die Prozesse zu prüfen, wie wir heute mit Zahlungsdaten umgehen und wann wir diese erfragen und wann wir sie belasten. Es sollte das Ziel sein, die Abfrage und die Belastung zeitlich so nah wie möglich zusammenzubringen. Ist dies nicht möglich, so sollte die Zahlung direkt bei Anreise durch die PIN-Eingabe gesichert werden, um mögliche Ausfälle auszuschließen.
Welche Maßnahmen treffen meine Partner für mich?
