Wahrscheinlich haben Sie bereits von der neuen Richtlinie für Kreditkartenzahlungen und ihren möglichen Auswirkungen auf unsere Branche gehört. Was Sie aber vielleicht nicht wissen, ist, dass die PSD2 nicht neu ist, sondern bereits 2015 eingeführt wurde, auch wenn nicht alle Teile gleichzeitig in Kraft getreten sind. Insbesondere die starke Kundenauthentifizierung sollte erst am 14. September 2019, vier Jahre nach Verabschiedung der Richtlinie, in Kraft treten. Man könnte also annehmen, dass die Industrie darauf vorbereitet ist, oder nicht? Na ja, nicht ganz…
Wissen, Besitz und Inhärenz
Was also ist PSD2? Im Kern handelt es sich lediglich um eine aktualisierte Fassung der geltenden Zahlungsdiensterichtlinie. Mit der Einführung von PSD2 müssen Käufer beim Online-Einkauf mit Kreditkarte (oder bei Bankgeschäften) zwei verschiedene Authentifizierungsmittel zum Zeitpunkt des Kaufs angeben. “Damit ein Kauf unter PSD2 autorisiert wird”, betont HospitalityNet in einem Artikel zum Thema, “sind zwei von drei verschiedenen Arten von Authentifizierungsmethoden erforderlich, nämlich Wissen (ein Passwort oder eine PIN), Besitz (ein Telefon oder eine Kreditkarte) und Inhärenz (Biometrie: Gesichtsscan oder ein Fingerabdruck).” Diese Zwei-Faktor-Authentifizierungsmethode ist als starke Kundenauthentifizierung (SCA) bekannt. Ihr Hauptziel ist es, die Sicherheit von Online-Transaktionen zu erhöhen und Betrugsfälle und Rückbuchungen zu reduzieren. Die PSD2 wird alle Transaktionen betreffen, an denen Kartenaussteller aus der EU beteiligt sind (einschließlich des Vereinigten Königreichs).
Wie wird die Post-PSD2-Industrie aussehen?
Dank dieser zusätzlichen zweiten Sicherheitsebene hat SCA das Potenzial, Online-Kreditkartentransaktionen deutlich sicherer zu machen, und kann sich sogar positiv auf die Benutzerfreundlichkeit des Käufers auswirken. Derzeit werden die Nutzer nach Eingabe ihrer Kreditkartendaten auf eine so genannte 3D-Secure-Seite weitergeleitet. Das Problem besteht darin, dass diese Zwischenseiten nicht für Mobiltelefone konzipiert sind, was die Abbruchrate drastisch erhöht (laut Worldpay zwischen 5 und 15 %). Im Rahmen der PSD2 wird die Erfahrung hingegen mobilfreundlicher sein, was theoretisch die Konversionsraten erhöhen wird. Dennoch könnten sich einige Auswirkungen negativ auf das Tagesgeschäft der Hotels auswirken (und werden es sehr wahrscheinlich auch tun). Die gute Nachricht ist, dass aufgrund der mangelnden Bereitschaft der Händler ein Aufschub für das Original gewährt wurde: Im Juni 2019, nur drei Monate vor dem Stichtag am 14. September, mussten die Banken ihre APIs veröffentlichen; nur ein Drittel hat dies getan, und im September 2019 funktionieren mehr als ein Drittel dieser APIs immer noch nicht ordnungsgemäß, was für die Drittanbieter, die sich um eine Integration bemühen, ein schwieriges Umfeld schafft. Kürzlich testete der Bankplattform- und Datenanbieter Tink die APIs von über 2.000 Banken. Das Ergebnis? Keines von ihnen entsprach den neuen gesetzlichen Standards. Das Vereinigte Königreich hat bereits 18 zusätzliche Monate eingeräumt, und im Oktober wird die Europäische Kommission den neuen Termin für die Einhaltung der Vorschriften in den anderen Ländern bekannt geben. Die Europäische Bankaufsichtsbehörde hat in einem offiziellen Dokument heißt es: “Die Europäische Bankaufsichtsbehörde (…) akzeptiert, dass sie in Ausnahmefällen und zur Vermeidung unbeabsichtigter negativer Folgen für einige Zahlungsdienstnutzer nach dem 14. September 2019 (…) beschließen kann, (…) eine begrenzte zusätzliche Frist einzuräumen, um den Emittenten die Umstellung auf SCA-konforme Authentifizierungsverfahren zu ermöglichen”. Auch die britische Finanzaufsichtsbehörde (Financial Conduct Authority) erklärte, sie werde “keine Maßnahmen gegen Firmen ergreifen, die im September noch nicht für die Vorschriften bereit sind, solange sie nachweislich die notwendigen Schritte unternommen haben, um den längeren Übergangsplan einzuhalten, der von den Firmen verlangt, dass sie die Vorschriften bis März 2021 vollständig erfüllen”, so dass es gar nicht so weit hergeholt ist, zu glauben, dass der neue Termin für die Einhaltung der EU-Vorschriften irgendwo Ende 2020/Anfang 2021 liegen wird.
Herr Smith bucht ein Hotelzimmer: Wann gilt das SCA?
Herr Smith bucht online ein Hotelzimmer. Zum Zeitpunkt der Zahlung gibt er seine Kreditkartennummer ein und geht zur Kasse. Sobald die Kreditkartendaten eingegeben sind, muss die Transaktion einen Test, die so genannte Transaktions-Risiko-Analyse (TRA), bestehen, um festzustellen, ob SCA erforderlich ist oder nicht. Auch im Rahmen von PS2D werden einige Transaktionen von SCA ausgenommen sein: Kontaktlose Zahlungen und alle Transaktionen, bei denen der Kreditkarteninhaber zum Zeitpunkt der Zahlung physisch anwesend ist, fallen beispielsweise nicht unter die Verordnung; wenn also Herr Smith im Hotel ankommt, um sein Zimmer zu buchen, und während der Transaktion anwesend ist, ist keine Authentifizierung erforderlich. Käufe, die per Telefon oder E-Mail getätigt werden, folgen der gleichen Logik. Wenn Herr Smith also das Hotel anruft und seine Kreditkartendaten am Telefon angibt, ist kein SCA erforderlich. Denken Sie daran, dass es zahlreiche Ausnahmen gibt, und dass viele Variablen auch auf ähnliche Fälle zutreffen können, aber für die Zwecke dieses Artikels werden wir nur die wichtigsten davon behandeln.
Zurück zu Herrn Smith: Bei der TRA-Prüfung wird nun entschieden, ob eine doppelte Beglaubigung erforderlich ist. Der Test bewertet das Betrugsrisiko, das von niedrig bis hoch reicht. Handelt es sich beispielsweise um einen Betrag unter 30 €, ist keine Authentifizierung erforderlich, sofern dieselbe Karte in den letzten 24 Stunden nicht für mehr als fünf Transaktionen (oder für einen Gesamtbetrag von über 100 €) verwendet wurde. Wenn also das Zimmer oder das Upgrade 29 € kostet und Herr Smith am selben Tag nichts anderes gekauft hat, ist keine Authentifizierung erforderlich. Beachten Sie, dass die Bank auch bei freigestellten Geschäften immer das letzte Wort hat, d. h. sie könnte beschließen, dass die SCA auch bei risikoarmen Käufen erforderlich ist.
Nun muss Herr Smith noch die Zahlung für das Zimmer, das er zu Beginn des Beispiels buchen möchte, abschließen. Der Gesamtbetrag beläuft sich auf 500 €, und er hat dieses Hotel noch nie gebucht. Der TRA-Test entscheidet, dass es sich um eine – potenziell – risikoreiche Transaktion handelt, und verlangt von Herrn Smith eine doppelte Authentifizierung der Transaktion. Er muss also zwei der drei akzeptierten Arten der Authentifizierung vorweisen. Hier sind zwei Beispiele:
- Indem er sein Telefon (“Besitz” = etwas, “das er besitzt”) mit seinem Fingerabdruck (“Inhärenz” = etwas, “das er ist”) entsperrt
- Durch Eingabe eines Passworts (“Wissen” = etwas, das “er weiß”) und Erkennung eines vertrauenswürdigen mobilen Geräts (“Besitz” = etwas, das “er besitzt”).
Im Rahmen der PSD2 wird die einmalige PIN-Authentifizierung per SMS auf einem entsperrten Telefon nicht mehr ausreichen, da ein Dieb durch einfachen Diebstahl des Telefons Zugang zu beiden Faktoren haben könnte, so dass beide Faktoren unter dieselbe Kategorie fallen (Nachweis des “Besitzes”), und sie werden immer noch in der Lage sein, mindestens eine weitere Art der Authentifizierung vorzunehmen.
PSD2 im Gastgewerbe
Einige Leute haben PSD2 bereits als “GDPR auf Steroiden” bezeichnet. Vielleicht. Sicher ist, dass das Thema sehr umfangreich und voller Verzweigungen ist. Wenn Sie also eine ausführliche Lektüre zu diesem Thema suchen, empfehle ich Ihnen diesen Artikel von Pablo Delgado und Daniel Badenas von Mirai. Dieser Artikel konzentriert sich weniger auf die Theorie, sondern dekonstruiert effektiv mögliche “Was-wäre-wenn”-Szenarien für Hotels, um zu veranschaulichen, wie die PSD2 in der Praxis aussehen könnte. Zunächst einmal können wir Sie beruhigen: Anders als bei der DSGVO können Hotels nicht mit Geldstrafen belegt werden, wenn sie die Richtlinie nicht einhalten. Nur die endgültige Zahlungsplattform und das Händlermodell könnten für Verstöße verantwortlich gemacht werden. Das bedeutet jedoch nicht, dass die Einführung der PSD2 auf die leichte Schulter genommen werden sollte, denn es gibt (viele) Fälle, in denen Ihr Tagesgeschäft entsprechend angepasst werden muss.
Hier sind einige, höchstwahrscheinliche Szenarien:
Herr Smith bucht eine flexible oder eine nicht erstattungsfähige Rate bei einem OTA (Händlermodell)
Für Buchungen, die über einen OTA mit dem Händlermodell eingehen (der OTA zieht das Geld im Namen des Hotels ein), werden sich die bestehenden Prozesse nicht ändern. In diesem Fall ist der OTA derjenige, der das Geld vom Endgast einzieht und den Hotels eine virtuelle Karte zur Verfügung stellt, so dass die Hotels keine doppelte Authentifizierung benötigen, um die Zahlung zu verarbeiten.
Herr Smith bucht eine nicht erstattungsfähige Rate bei einem OTA (Agenturmodell)
Wenn es um nicht erstattungsfähige Reservierungen geht, die über einen OTA mit dem Agenturmodell eingehen, muss Ihr Hotel seine internen Prozesse und Systeme (ziemlich drastisch) ändern, um sicherzustellen, dass die Zahlung validiert wird: Zunächst einmal muss das Hotel diese Zahlungen über ein Online-Zahlungsgateway abwickeln, das PSD2-konform ist. Wenn Sie kein Gateway mit dieser Sicherheitskonformität haben, ist die Alternative nicht ideal: Sie autorisieren die Karte nicht für einen Teil des Tarifs und drücken die Daumen, dass die Gäste irgendwann kommen. Wenn der Gast eintrifft, kann die Zahlung als “card-present” behandelt werden, wodurch SCA übersprungen wird.
VERBUNDEN:
Nichtsdestotrotz werden die Hotels nicht in der Lage sein, No-Shows oder Strafen für verspätete Stornierungen in Rechnung zu stellen: Manuelle Abbuchungen auf physischen Kartenlesegeräten werden nicht funktionieren, da die einzelne Kreditkartennummer nicht ausreichen könnte, um die Zahlung zu verarbeiten, und die Gäste könnten die Abbuchung immer noch anfechten und zu einer möglichen Rückbuchung für das Hotel führen. Um dieses Problem zu lösen, hat Expedia kürzlich ein kostenloses Tool zur Verwaltung von Stornierungsgebühren eingeführt: “Wenn ein Reisender eine Hotel-Collect-Buchung vornimmt, validiert die Expedia-Gruppe die Kundenkarte und erfasst die erforderlichen Authentifizierungsdaten. Sie erhalten eine virtuelle Expedia-Kartennummer (EVC), so dass Sie die Nummer der Gästekarte nicht mehr sehen. [If Expedia is not able], um die Karte zu belasten, weil sie nicht über genügend Guthaben verfügt oder ungültig geworden ist, [it will] entfernen Sie die Gebühr und Provision für die Buchung.
Mr. Smith bucht einen flexiblen 4-Monats-Frühbucher-Tarif bei Brand.com
Auch wenn die Buchungszeiträume der Reisenden jedes Jahr kürzer werden, werden in bestimmten Fällen (Strandresorts, MICE-Hotels…) immer noch häufig Frühbuchungen vorgenommen. Diese Reservierungen sind in der Regel mit großen Vorteilen für die Gäste verbunden, z. B. stark vergünstigten Tarifen, aber im Rahmen von PSD2 kann die Zahlungsabwicklung eine Herausforderung darstellen, da SCA mit einem Verfallsdatum versehen ist: Die doppelte Authentifizierung gilt nur für 90 Tage, so dass die Hotels mehrere Authentifizierungen für dieselbe Reservierung erwerben müssen. Ein Workaround ist die Verwendung von Merchant Initiated Transactions (MIT), solange die Bedingungen auf der Buchungsmaschine klar sind, da die Zahlungsinformationen des Gastes bereits im PMS, der Buchungsmaschine oder dem CRS des Hotels vorhanden (und autorisiert) sein müssen. Auch wenn jeder erste Kauf über SCA authentifiziert werden muss, könnten künftige Transaktionen mit derselben Karte als MIT betrachtet werden und damit von den SCA-Anforderungen ausgenommen sein. Dies ist ein besonders günstiges Szenario für die Mitglieder von Treueprogrammen, zum Beispiel.
Herr Smith bucht einen flexiblen Tarif auf Brand.com, erscheint aber nicht
Laut einer VISA-Studie liegt die durchschnittliche No-Show-Rate in der Hotelbranche bei “ein bis zwei Prozent aller Reservierungen”, was “geschätzte Kosten für die Hotelbranche von 50 bis 100 Millionen Dollar pro Jahr” bedeutet. Gemäß PSD2 können Sie die Kreditkarten von Gästen nicht verarbeiten, wenn diese nicht physisch im Hotel anwesend sind (card-present) oder wenn sie die Transaktion nicht doppelt authentifizieren (card not present). Es ist unwahrscheinlich, dass ein Gast bereit ist, für etwas zu zahlen, das er nicht benutzt hat, so dass das Hotel in eine Zwickmühle gerät. Wenn die Strafe für das Nichterscheinen nicht während des Buchungsvorgangs berechnet wurde (was selten vorkommt), ist es unwahrscheinlich, dass der Gast, der nicht erscheint, sie doppelt autorisiert. Die Lösung besteht darin, die MIT-Umgehung zu verwenden.
Schlussfolgerungen:
Dies sind nur einige der möglichen Szenarien, denn es werden noch weitere hinzukommen, sobald die Richtlinie in Kraft tritt. Auf den ersten Blick scheint es, dass aus der Sicht der Hoteliers die Nachteile die Vorteile überwiegen. Wir schlagen vor, die folgende Strategie umzusetzen:
- Implementieren Sie ein Gateway für kartenlose Zahlungen, um das Tagesgeschäft zu entlasten. Wenn Sie ein PMS haben, verfügen Sie wahrscheinlich bereits über ein Gateway, aber es nützt Ihnen nichts, wenn Sie keinen Zugriff auf die physische Karte des Gastes haben;
- Bieten Sie den Gästen die Möglichkeit, ihre Zahlungsmittel für eine spätere Verwendung zu speichern, wodurch die Transaktion von SCA befreit wird;
- Integrieren Sie alternative Zahlungsformen in Ihr Ökosystem, da diese nicht unter die PSD2-Richtlinie fallen. Auch wenn sie in unserer Branche wenig genutzt werden, sind Zahlungsmethoden wie Apple Pay, Google Pay, Amazon Pay, WeChat und AliPay auf dem Vormarsch.
Dieser Artikel wurde ursprünglich vom MyCheck-Team verfasst. Es wurde hierher verlegt und ist Teil der Shiji Group, einer Familie von Gastgewerbetechnologie-Marken.
