Ich habe mich jetzt mal extrem oberflächlich mit dem Thema beschäftigt und bin mir ein wenig unsicher: In den von mir gelesenen Texten ging es jetzt für mich nicht eindeutig hervor, ob die2FA auch dann notwendig ist wenn der Kunde direkt auf seinen eigenen Account zugreift oder vielleicht doch nur wenn ein Kontoinforationsdienst bzw. Zahlungsdienstleister diesen Zugriff haben möchte.
Vielleicht bin ich aber auch einfach nur zu doof oder hab die falschen Texte gelesen 
Zu Rate gezogen hatte ich u.a. die Delegierte Verordnung (EU) 2018/389, insbesondere Artikel 2 und Artikel 10.
Ansonsten gibt es halt viel Geblubber aus Sekundärquellen...
Der von Dir zitierte Absatz bezieht sich nach meinemVerständnis schon auf den allgemeinen Login der eben auch spätestens alle 90 Tage über eineTAN verifiziert werden muss.
GrußCrazyalex
@Crazyalex schrieb:Ich habe mich jetzt mal extrem oberflächlich mit dem Thema beschäftigt und bin mir ein wenig unsicher: In den von mir gelesenen Texten ging es jetzt für mich nicht eindeutig hervor, ob die2FA auch dann notwendig ist wenn der Kunde direkt auf seinen eigenen Account zugreift oder vielleicht doch nur wenn ein Kontoinforationsdienst bzw. Zahlungsdienstleister diesen Zugriff haben möchte.
Vielleicht bin ich aber auch einfach nur zu doof oder hab die falschen Texte gelesen
Zu Rate gezogen hatte ich u.a. die Delegierte Verordnung (EU) 2018/389, insbesondere Artikel 2 und Artikel 10.
Bei Artikel 10 bist Du genau richtig:
(1) Zahlungsdienstleister dürfen unter Einhaltung der in Artikel 2 sowie in Absatz 2 des vorliegenden Artikels festgelegten Anforderungen davon absehen, eine starke Kundenauthentifizierung zu verlangen, wenn ein Zahlungsdienstnutzer nur auf eine oder beide der folgenden Informationen online zugreifen kann, ohne dass dabei sensible Zahlungsdaten offengelegt werden:
a) Kontostand eines oder mehrerer bezeichneter Zahlungskonten;
b) Zahlungsvorgänge, die in den vergangenen 90 Tagen über ein oder mehrere bezeichnete Zahlungskonten ausgeführt wurden.
Zahlungsdienstnutzer bist Du. Dies ergibt sich aus Artikel 4 (EU) 2015/2366 zu dem (EU) 2018/389 "nur" eine Ergänzung ist.
Ich kann nicht erkennen, wie sich aus diesem Text eine Ausnahme auch für den Fall herauslesen lässt, dass auf Daten zugegriffen werden kann welche mehr als 90 Tage zurück liegen.
Allerdings gilt das ganze nur für Zahlungsdienstleister. Wenn man also beispielsweise nur ein Depot aber kein Konto für Zahlungsdiensteleistungen hat, so ist das Institut zumindest für diesen Account kein Zahlungsdienstleister und die ganze Verordnung sollte gar nicht greifen. Inwiefern hier ein Verrechnungskonto schon zählt kann ich nicht sagen.
Jedenfalls war das der Anlass meiner Frage was @Kunde_77 bei der Sparkasse überhaupt macht.
Zugegeben – ich bin kein Jurist, habe aber beruflich durchaus mit dem Lesen von Gesetzen und Verordnungen zu tun. Insofern darf mich jeder gerne korrigieren.
Da muss aber etwas mehr kommen als ein "die anderen machen's aber anders und dann wird das wohl OK sein".
Ich hab das dumme Gefühl, dass Du Recht hast. Jetzt wäre es interessant zu wissen wie die KSK das begründet dass sie es nicht macht 
Gruß Crazyalex
