- Anzeigen -


Sie sind hier: Home » Markt » Hintergrund

Debatte zu Screen Scraping und PSD2


Screen Scraping und PSD2: Brief der Fido Alliance an die Europäische Kommission und das Europäische Parlament
Da das Screen Scraping den Austausch von Kundenpasswörtern und deren Nutzung durch Dritte voraussetzt, sieht die Fido Alliance drei maßgebliche Probleme

- Anzeigen -





Von Brett McDowell, Executive Director der Fido Alliance

Soll das Screen Scraping als Fallback-Option im Rahmen der EU-Richtlinie über Zahlungsdienste (Payment Services Directive 2; PSD2) erlaubt werden? Die Fido Alliance hat die Diskussionen zu diesem Thema zwischen der Europäischen Kommission (EC) und der Europäischen Bankenaufsichtsbehörde (EBA) aufmerksam verfolgt, insoweit sie die Regularien der technischen Standards (RTS) für eine starke Kundenauthentifizierung unter PSD2 betrifft. Ich habe Kernpunkte der Antwort der Fido Alliance auf diese Frage folgend zusammengefasst.

Unter "Screen Scraping" versteht man die Praxis, Zahlungsauslösediensten (Payment Initiation Service Provider; PISP) und Kontoinformationsdiensten (Account Information Service Providers; AISP) im Auftrag des Kunden Zugriff auf Bankkonten zu gestatten und dabei den Nutzernamen und die Passwort-Informationen des Kunden zu nutzen, was laut endgültigem RTS-Entwurf der EBA nicht erlaubt ist.

Allerdings haben sich einige Fintech-Unternehmen zu Wort gemeldet und berichtet, dass sich die Banken mit der Implementierung neuer, sichererer Methoden bei einer delegierten Zugangskontrolle schwertun. Infolgedessen drängt die EC nun die EBA, Unternehmen die Nutzung des Screen Scrapings als Ausweichoption zu gestatten, statt auf sicherere Methoden wie etwa durch den Einsatz von Schnittstellen zur Anwendungsprogrammierung (APIs) zurückzugreifen.

Da das Screen Scraping den Austausch von Kundenpasswörtern und deren Nutzung durch Dritte voraussetzt, sieht die Fido Alliance drei maßgebliche Probleme:

>> Es erfüllt die in der PSD2 festgelegten Sicherheitsanforderungen nicht.
>> Es stellt für Verbraucher ein erhöhtes Risiko dar.
>> Jeder Ansatz, der es einem Dritten erlaubt, sich bei einer Bank "einzuloggen, als wäre er der Kunde" bedeutet für alle Seiten zusätzliche Risiken.

Wir sehen keinen Weg, den von der EC angestrebten Screen-Scraping-Ansatz so in einer Implementierung umzusetzen, dass die in der PDS2 definierten Voraussetzungen für eine erweiterte Sicherheit erfüllt werden. Es existieren allerdings durchaus weitaus sicherere Möglichkeiten für die Verbraucher, den Zugriff auf ihre Bankkonten zu delegieren, etwa über APIs, die durch eine starke Authentifizierung der Kunden geschützt sind. Basierend auf bewährten globalen Standards wie OAuth 2.0 und OpenID Connect (OIDC) weisen diese API-basierten Lösungen zudem den Vorteil auf, nicht nur mehr Sicherheit, sondern auch mehr Privatsphäre zu bieten.

Denn sie erlauben es dem Verbraucher, den Zugang zu einem Bankkonto spezifiziert zu gewähren, um etwa nur einige Details mitzuteilen. Gemeinsam mit den Fido-Standards für eine starke Authentifizierung bieten API-basierte Lösungen so alle Vorteile einer gerätebasierten Multi-Faktor-Authentifizierung, die für Konsumenten sicherer und einfacher zu nutzen ist, als die die Eingabe von Codes in ein Formular.

Die EC glaubt, dass eine "Fallback-Option" wie das Screen Scraping unterstützt werden muss, bis die Banken ihre Anstrengungen in puncto PSD2 forcieren. Wir dagegen gehen davon aus, dass es besser ist, lediglich eine Freistellung von den RTS-Vorgaben zu beschließen, als die RTS selbst zu verändern. Die RTS definieren einen wichtigen technischen Standard, der den Markt für die kommenden Jahre prägen wird.

Dabei müssen sich die RTS darauf fokussieren, hohe Anforderungen an eine starke Kundenauthentifizierung (Strong Customer Authentication; SCA) sowie die gemeinsame und sichere Kommunikation unter PSD2 festzulegen. Es darf nicht sein, dass die RTS dafür herhalten müssen, dass die Beteiligten sich vor ihrer Verantwortung bei diesem historischen Schritt hin zu mehr Verbraucherschutz drücken können. Letztlich würde eine Aufnahme der "Fallback-Option" Screen Scraping die RTS verwässern und die Zielsetzung von PSD2 zur Einführung einer SCA infrage stellen, was im Ergebnis für Verbraucher ein erhöhtes Risiko bedeutet.
(Fido Alliance: ra)

eingetragen: 11.09.17
Home & Newsletterlauf: 29.09.17


Fido Alliance: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -





Kostenloser IT SecCity-Newsletter
Ihr IT SecCity-Newsletter hier >>>>>>

- Anzeigen -


Meldungen: Hintergrund

  • Einsatz von KI in Sicherheitsprodukten

    Anbieter von Sicherheitssoftware vermarkten den Einsatz von KI in ihren Produkten als technologischen Fortschritt. Dabei haben sie gar keine Wahl: Cyberkriminelle geben den Takt vor und werden immer mächtiger. Schuld ist der konzeptionelle Ansatz einer ganzen Branche, analysiert Sicherheitssoftware-Anbieter Bromium. Tatsächlich befinden sich Cyberkriminelle im Kampf um die Sicherheitshoheit seit jeher im Vorteil. Sie unterliegen keinen Organisationszwängen, sind schnell, per Definition skrupellos und geben mit immer fortschrittlicheren Attacken den Takt vor. Anbieter von Sicherheitssoftware können neuartige Angriffe nicht antizipieren und müssen reagieren; bis aber angepasste Abwehrmaßnahmen entwickelt und am Ende von ihren Unternehmenskunden produktiv eingesetzt werden, ist es meist schon zu spät. Dann beginnt der Kreislauf wieder von vorne.

  • Virtualisierung wird zum Retter der IT

    Sicherheitsvorfälle sind weiter an der Tagesordnung und klassische Sicherheitsmaßnahmen haben mehr als einmal versagt. Einen Ausweg aus dem Sicherheitsdilemma bieten Virtualisierungslösungen, meint Bromium. Noch vor wenigen Jahren schien es undenkbar, dass eine Bank ihre auf Mainframes angesiedelten unternehmenskritischen Kernapplikationen auch auf virtuellen Servern betreibt. Heute bilden virtuelle Infrastrukturen im Bankenumfeld keine Ausnahme mehr. Die Entwicklung weg von physischen Infrastrukturen hin zu virtuellen Architekturen zeigt sich in der gesamten IT. So ist die Virtualisierung im Server- und Storage-Bereich bereits der Standard. Der Virtualisierungstrend erfasst aber nicht nur Server- und Storage-Landschaften, sondern seit geraumer Zeit auch Applikationen, Netzwerke und sogar einzelne Netzwerkfunktionen. Und aktuell setzt sich zunehmend die Erkenntnis durch, dass Virtualisierung gerade auch hinsichtlich der IT-Sicherheit entscheidende Vorteile bringt.

  • Diebstahl von Passwörtern

    Der Diebstahl von Passwörtern geschieht nicht nur durch Software und Social Engineering - es kann auch schon eine Wärmebildkamera ausreichen, die kostengünstiger und somit für Cyberkriminelle immer interessanter wird. Laut einer Untersuchung von Wissenschaftlern der University of California reichen die Wärmespuren (Heat Traces) auf handelsüblichen Tastaturen aus, um Passwörter abzugreifen. Nach Einschätzung der Forscher sind besonders leicht Eingaben von Nutzer des Zwei-Finger-Suchsystems auslesbar. Diese ungewöhnliche Methode des Passwortknackens könnte im Bereich Cyber- und Industriespionage zum Tragen kommen.

  • Lösegeld-Flatrate für Unternehmen

    WannaCry hat Ransomware zu einer besonders zerstörerischen Dimension verholfen. Mit WannaCrypt erscheint nun eine neue Variante der Erpressungssoftware: Zahlt, dann bleibt ihr verschont. Sophos gibt eine Einschätzung und Tipps zum Umgang mit Ransomware. Gibt es Schlimmeres als einen Ransomware-Angriff, der sämtliche Dateien zerhackt und Geld fordert, damit der Computer wieder befreit wird? WannaCry hat der Ransomware-Gefahr eine ganz neue Dimension verliehen, indem es den Prozess der Datenzerstörung mit einem selbst verbreitenden Computer-Virus kombinierte. Als Ergebnis konnte WannaCry sich automatisch ins eigene Netzwerk einschleichen und hatte das Potenzial, Hunderte oder sogar Tausende PCs in einer einzigen Attacke zu zerlegen - auch wenn nur ein einziger Nutzer einen Anhang mit derartiger Sprengladung öffnete oder eine Datei von einer infizierten Webseite downloadete.

  • Hacker-Angriffe: Weiterhin Handlung

    Fragen Sie sich doch einmal selbst: Würden Sie eher die E-Mail-Nachricht eines Prinzen aus Nigeria öffnen, der Sie um Hilfe bittet, oder die, bei der Sie einfach nur "hier klicken" müssen, um kostenlose Tickets zur Fußballweltmeisterschaft zu erhalten? Cyberkriminelle halten immer Ausschau nach günstigen Gelegenheiten, um Verbraucher zu täuschen. Wenn große Datenpannen bekannt werden, versenden sie zum Beispiel oft Sicherheitsmeldungen, die die Empfänger dazu auffordern, ihre Daten zu sichern. Oder sie verschicken Links zu meist unvorteilhaften und daher für eine Veröffentlichung gesperrte Fotos von Prominenten.