August 22, 2026 by

PSD2, SCA und TAN Schutz der BaFin

Das eigentliche Problem

Banken und Zahlungsdienste stolpern über ein unsichtbares Hindernis: die neue EU-Regelung PSD2 zwingt sie, starke Kundenauthentifizierung (SCA) zu implementieren, und die BaFin schärft den Blick auf den TAN-Schutz. Hier gibt’s keinen Platz für halbe Sachen.

Warum SCA jetzt nicht optional ist

Einfach gesagt: Ohne SCA darf kein Geld mehr über das Netz fließen. Zwei-Faktor-Authentifizierung, dynamische TANs, Biometrie – das sind keine nice-to-have, sondern Pflicht. Wenn Sie noch alte Passwort-Modelle verwenden, stehen Sie auf der Abschussliste der Aufsichtsbehörde.

Der TAN-Schutz im Fokus der BaFin

Die BaFin hat den Nagel auf den Kopf getroffen: TAN-Generatoren müssen kryptografisch stark sein, nicht mehr als fünf Versuche pro Session. Und ja, das bedeutet: Wer noch SMS-TANs nutzt, riskiert hohe Strafzahlungen.

Praxisnah: Was Sie sofort ändern müssen

Hier ist der Deal: Ersetzen Sie jedes klassische TAN-Verfahren durch eine App-basierte Lösung, die Push-Benachrichtigungen und Fingerabdruck kombiniert. Keine Ausreden mehr, dass Kunden keine Smartphones besitzen – das ist ein Risiko, das Sie nicht mehr tragen dürfen.

Technische Umsetzung in 3 Schritten

Erstens, prüfen Sie Ihre API-Schnittstelle – sie muss die PSD2-Konformität mit OAuth 2.0 unterstützen. Zweitens, integrieren Sie ein zertifiziertes SCA-Modul, das sowohl 3-D-Secure 2 als auch FIDO2 abdeckt. Drittens, testen Sie den TAN-Flow unter realen Angriffsszenarien, bevor Sie live gehen.

Die rechtlichen Fallen

Wenn Sie denken, die BaFin lässt Sie durch das Raster fallen, irren Sie sich. Bußgelder von bis zu 5 % des Jahresumsatzes sind keine leere Drohung. Und das Ganze wird noch schlimmer, wenn ein Kunde durch Ihren schwachen Schutz zu Schaden kommt – dann spricht die Haftung erst recht.

Wie Sie das Vertrauen Ihrer Kunden zurückgewinnen

Vertrauen ist kein Produkt, das Sie einmal verkaufen und dann vergessen. Kommunizieren Sie offen, dass Sie die neuesten SCA-Standards nutzen, zeigen Sie Screenshots der App-TAN-Einbindung und bieten Sie einen Hotline-Support für Fragen an.

Ein Blick nach vorn

Die BaFin wird nicht locker lassen. Sie prüft künftig auch, ob Banken ihre SCA-Lösungen regelmäßig updaten. Also, halten Sie Ihre Systeme am Puls der Zeit, sonst wird das nächste Audit Ihr Projekt zum Absturz bringen.

Und hier noch ein letzter Hinweis: PSD2, SCA und TAN-Schutz der BaFin – das ist Ihr Fahrplan, kein optionales Extra. Handeln Sie jetzt, sonst zahlen Sie später.