双因素认证——从周六起，混乱是否已成定局？

要点速览

核心内容：第二支付服务指令（PSD2）带来了两项重大变化。在获得用户同意的前提下，该指令旨在向其他银行及所谓的第三方提供商（包括金融科技公司）开放客户账户的访问权限。

为此必须建立技术前提条件，例如通过接口（即API）进行安全通信。同时引入2FA，旨在更有效地保护客户和商家免受欺诈——且全欧洲统一执行——这是其初衷。

这些基本原则自2015年起便已为人所知，细节部分则从2018年春季开始明确。测试于2019年4月启动（即所谓的沙盒环境），但整个过程并非完美运行，实施过程明显存在波折。

Wirecard产品管理与支付风险副总裁Kilian Thalhammer分析称：“这主要因为实施过程高度依赖例外情况。”这需要增加开发工作量，并且各参与方之间必须进行协调。

EHI也指出延迟的另一个原因是具体要求直到较晚才明确。但同时也清楚的是，各方总体上低估了实施的复杂性。

技术尚未顺畅衔接

原则上，银行或支付工具供应商有义务提供符合PSD2标准的接口和规范，由支付服务提供商据此进行实施。由于新的安全标准（如3DSecure 2.0）需要更多数据，商家也必须扩展其与支付服务提供商之间的接口。

然而在这两个方面都存在不足：银行提供的接口并未标准化。HDE支付系统专家Ulrich Binnebößel指出：“解决方案要么过多，要么根本没有，或者存在不同的‘方言’。”另一方面，测试意愿显然薄弱。例如，DZ Bank已创建了独立的接口并数月来准备就绪，但检查兼容性的兴趣却很低。DZ Bank客户应用与数据传输流程小组组长Christian Intfeld解释说：“到目前为止，我们仅收到少数几家支付发起服务提供商、账户信息提供商和第三方卡发行商针对新PSD2接口的测试请求”，人们原本期望会有更多参与。EHI在一项在线支付研究中就PSD2主题对全渠道零售商和纯在线零售商进行了调查。截至2019年3月/4月，仅有不到四分之一（21%）的受访者表示已获得充分的信息告知，同样比例的受访者甚至尚未着手研究该主题。

EHI零售研究所在线与移动支付项目负责人Caroline Coelsch阐述道：“对于大型商家，可以假设他们设有内部支付对接部门和团队来处理PSD2相关问题。但对于中小型及小型在线商家而言，尚不清楚他们在多大程度上已经着手处理该问题，以及是否了解即将面临的挑战。”

小型零售商尚未做好应对双重身份验证（2FA）的准备。

Ulrich Binnebößel坚信，像大型零售商这样的服务提供商已经清楚事态的严重性。“他们知道客户旅程中的每个细节都至关重要，并正在为此投入精力。”Visa也观察到，对于小型零售商而言跟上这一节奏并非易事。简而言之，许多零售商尚未深入研究此事。当一位有意购买的客户在最后一步因身份验证不明确而被拒绝，且购买流程可能因此中断时，这令人倍感恼火。DZ银行卡基支付产品负责人Christian Bartsch确信：“如果从9月14日起信用卡支付必须严格按照2FA要求执行，我们担心将严重限制通过信用卡处理的电子商务交易”。

鉴于9月14日的有效实施根本无法实现，预计将给零售业带来显著的销售额损失，因此欧洲零售协会Euro Commerce曾要求推迟引入该规定；尽管欧洲银行管理局（EBA）此前认为已有充足的准备时间，但其在6月底已允许各国监管机构酌情给予有限的过渡期，从而针对日期难题出现了各国不同的解决方案。巴登-符腾堡州金融监管局（BaFin）表示将容忍在9月14日之后继续采用目前不符合PSD2规定的做法，但具体宽限时长尚不明确，且其他国家也未严格坚持全面实施。
能否因此消除混乱的担忧仍有待观察，但可以肯定的是，双因素认证（2FA）交易从一开始就不会顺利进行，商家应为此做好准备并审查其支付选项组合，因为并非所有支付方式都与双重身份验证相关联。

为避免流失订单，关键在于当客户遇到身份验证问题时能够提供替代方案。这或许也是为何部分零售商目前认为赊购仍具吸引力的原因之一？

消费者教育仍存在不足

那么消费者如何看待这一问题呢？意见分歧明显：德国零售商联合会（HDE）批评缺乏类似IBAN那样的公众教育运动，而德意志银行（DZ Bank）早在几个月前就启动了相关宣传，并认为储蓄银行和莱法伊森银行的客户已得到良好告知；Heidelpay支付服务提供商的创始人兼首席执行官Mirko Hüllemann希望“各方应以利用既有知识和经验的方式实施流程”，但他也指出，终端客户对某些主题（例如‘可信收款人’例外情况）显然缺乏充分的信息和准备，然而要使这些例外在技术上得以实施，首先必须落实基本规则。