Nein, es ist nicht richtig, was zum Erfordernis der "starken Authentifizierung" geschrieben bzw. vermutet wurde.
Das lässt sich bei der BaFin nachlesen und deren Interpretation ist für die Banken maßgeblich. Danach ist für das Login und den Abruf der Umsätze der letzten 90 Tage eine einfache Authentifizierung ausreichend. Es muss lediglich zur Missbrauchsvermeidung einmal alle 90 Tage eine starke Authentifizierung durchgeführt werden. Bei allen Genossenschaftsbanken, allen Sparkassen und allen mir bekannten Privatbanken mit Ausnahme von comdirect, Commerzbank und DKB läuft es deshalb so ab, dass alle 90 Tage beim Login eine TAN abgefragt wird, außerdem dann, wenn Dokumente wie Kontoauszüge oder Umsatzübersichten abgerufen werden sollen, die mehr als 90 Tage alte Zahlungsdaten enthalten. Aber nur dann und sonst nicht. Inhaber einer Volksbank-Kontoverbindung werden bisher in aller Regel noch gar nichts von PSD2 mitbekommen haben. Die müssen erstmals im Dezember beim Login eine TAN eingeben und die müssen eine TAN eingeben, wenn sie ausnahmsweise mehr als 90 Tage alte Umsätze oder Dokumente mit Zahlungsdaten abrufen wollen, nicht aber für aktuelle Kontoauszüge und sonstige Dokumente. Das ist gleichermaßen absolut regelkonform und kundenfreundlich und spart der Bank auch noch jede Menge Aufwand, Ärger und damit Kosten. Und da es - sie den Link oben - ausdrücklich von der BaFin gebilligt und sogar so als Normalfall beschrieben wird, ist deren Verfahrensweise auch über jeden Zweifel erhaben.
Ansonsten ist die "starke Authentifizierung" auch nur für die unmittelbare Auslösung von Zahlungen oder vergleichbare Zahlungsvorgänge (Daueraufträge, Terminüberweisungen u. ä.) vorgeschrieben. Für Wertpapiergeschäfte, einschließlich des Abrufs aller Dokumente im Zusammenhang mit ihrer Ausführung, interne Buchungen, Geldanlagen und administrative Vorgänge usw. besteht überhaupt kein Erfordernis für eine starke Authentifizierung. Und zwar nie, auch nicht einmal in 90 Tagen. Das kann die Bank nach wie vor regeln, wie sie will und deshalb läuft bei vielen Banken das iTAN-Verfahren für solche Vorgänge auch nach dem 14.09.2019 weiter. Auch dazu gilt, dass das gleichermaßen regelkonform wie kundenfreundlich ist.
Wie macht es eigentlich die comdirect-Tochter onvista? Soweit ich weiß, wurde da zum Stichtag 14.09. überhaupt nichts geändert und das war die richtige Art damit umzugehen. Es stellt sich dann nur die Frage, warum die onvista-Mutter ihre Kunden mit überflüssigen Erschwernissen ärgert und die Tochter nicht.
