Sofortüberweisung

Sofortüberweisung ist eine Online-Banking-basierte Zahlungsmethode des schwedischen Zahlungsanbieters Klarna zur bargeldlosen Zahlung im Internet. Die ehemalige Firma Sofort GmbH wurde 2005 gegründet, gehörte ab 2014 zur schwedischen Klarna-Gruppe, mit der sie im November 2024 fusionierte.

Das Verfahren verlangt vom Kunden, der Firma Sofort GmbH die Zugangsdaten für sein Online-Banking herauszugeben. Damit prüft die Firma, ob die Überweisung gedeckt ist, indem sie die Kontostände aller verbundenen Konten, den Disporahmen, die Umsätze der letzten 30 Tage, offene Überweisungen und Lastschriften abruft. Der Händler erhält meist innerhalb Minuten (bei Überprüfung jedoch erst innerhalb max. 5 Tagen) eine Zahlungsbestätigung, was eine rasche Bearbeitung der zu versendenden Waren bzw. Downloadfreischaltung ermöglicht. Technisch basierte die Sofortüberweisung anfangs auf Web-Scraping und heute auf der Open-Banking-Infrastruktur der Banken, welche durch die PSD2 reguliert ist und eine Zahlungs-Initiierung zwischen Bankkonten durch Drittanbieter ermöglicht. Die Sofort GmbH ist seit 2019 ein von der BaFin regulierter Kontoinformations- und Zahlungsauslösedienst.

Betreiberunternehmen

Die Sofort GmbH (vormals PayNet AG, Payment Network AG und Sofort AG) ist ein beim Amtsgericht München eingetragenes Unternehmen. Die frühere Aktiengesellschaft wurde von Christoph Klein und Markus Neun als Ableger der Computerhandelsgesellschaft Eurosoft im Jahre 2005 in Gauting bei München gegründet. Neben dem Hauptstandort in München besitzt die Gesellschaft noch weitere Standorte in Köln und Gießen, sowie Vertriebsbüros in Belgien, Polen und Spanien.

Das Unternehmen bietet unter anderem Online-Zahlungssysteme an. Darunter befinden sich das Direktüberweisungssystem Sofortüberweisung, Sofort Ident (ein Verfahren zur Altersverifikation), Sofort Paycode (Form der Sofortüberweisung für Rechnungen mit klickbarem Link oder Kurz-Code zur Eingabe auf der Website der Sofort GmbH) und Sofort XXL (internationale Erweiterung der Sofortüberweisung).

2014 wurde die damalige Sofort AG vom schwedischen Zahlungsdienstleister Klarna übernommen und 2015 in eine GmbH umgewandelt.

Verfahren

Bei einer Überweisung im Fall des klassischen Onlinebanking im Internet (vgl. Abb. Klassisches Onlinebanking) besteht eine unmittelbare Verbindung zwischen dem Zahlenden (d. h. dem Kontoinhaber oder einer bevollmächtigten Person) und seinem kontoführenden Institut, z. B. über eine gesicherte Website der Bank. Hier übermittelt der Zahlende sowohl die Legitimationsdaten (beispielsweise seine PIN und eine gültige TAN) als auch die Überweisungsdaten (Zahlungsempfänger, Betrag, Verwendungszweck) selbst.

Im Fall der Sofortüberweisung wird obig dargestellter Prozess weitestgehend automatisiert, indem die vom Händler angewiesenen Überweisungsdetails direkt an die Schnittstelle der Bank übermittelt werden. Die Authentifizierung und Autorisierung kann dabei auf zwei unterschiedlichen Wegen geschehen, welche beide per PSD2 ausführlich beschrieben und reguliert sind:

Durch die Eingabe der Legitimationsdaten bei der Sofort: Bei diesem Weg tritt die Sofort GmbH gegenüber dem kontoführenden Institut als Zahlungsdienstleister im Namen des Zahlenden auf, nachdem es von diesem die Legitimationsdaten erhalten und an die Bank übermittelt hat. (vgl. Abb. Funktionsprinzip).
Durch eine Weiterleitung zur Bank: Bei diesem Weg wird der Nutzer von der Sofort GmbH auf die Webseite oder App der jeweiligen Bank weitergeleitet. Die Legitimation findet hier direkt zwischen dem Zahlenden und dem Kreditinstitut statt.

Die Autorisierung einer Transaktion findet per Zwei-Faktor-Authentisierung statt. Der Nutzer muss eine Transaktion daher, abhängig von seiner Bank, per Tan oder App bestätigen.

Vergleichbare Zahlungssysteme auf dem deutschen Markt sind beispielsweise das von Banken betriebene Giropay bzw. Paydirekt.

Pro Überweisung erhebt die Sofort GmbH vom Verkäufer eine Gebühr von 0,9 % plus 0,25 Euro bei materiellen Gütern oder 2,0 % plus 0,25 Euro bei virtuellen Gütern, was deutlich unter den standardmäßig 2,49 % plus 0,35 Euro von PayPal in Deutschland liegt. PayPal bietet jedoch Käuferschutz (Rückerstattung bei Nichtlieferung) sowie Währungs-Konvertierung.

Kritik

Im Gegensatz zu Online-Überweisungen, bei denen die Überweisung unter Benutzung von Webseiten der jeweiligen Bank des Zahlenden ausgeführt werden, muss der Zahlende bei Sofortüberweisung je nach Weg der Authentifizierung sensible Daten einem technischen Dienstleister zur Verfügung stellen, was je nach Bank gegen deren AGB sowie gegen grundsätzliche Datenschutzregeln verstößt.

Mit den Zugangsdaten zum Konto hat der Betreiber Zugriff auf die über die Onlinebanking-Schnittstelle sichtbare Transaktionsübersicht, den Kontostand, erteilte Daueraufträge, Depotbestände etc. 2011 sagte Frank-Christian Pauli vom Verbraucherzentrale Bundesverband dazu: „Der Kunde muss wissen, wozu er seine Einwilligung gibt, und das ist hier womöglich nicht gegeben“.

Bei einigen Onlinehändlern wird Sofortüberweisung als einziges kostenloses Zahlungsmittel angeboten. Das verstößt laut BGH gegen § 312a Abs. 4 BGB. Ein Verweis auf Sofortüberweisung als einziges kostenloses Zahlungsmittel sei unzumutbar, zumindest solange die Weitergabe von PIN und TAN in der Regel von den AGB der Banken untersagt wird. Auf die Rechtmäßigkeit der AGB oder eine Zumutbarkeit der Offenlegung von privaten Bankdaten kam es in der Entscheidung nicht an, und der BGH hat dazu nicht weiter Stellung bezogen.

Um den Zahlungsverkehr durch Drittanbieter zu steuern, hat die EZB am 13. Januar 2018 entsprechende Vorgaben per PSD2-Regulierung veranlasst. Die PSD2 schreibt Banken vor, entsprechend sichere Schnittstellen für den Zahlungsverkehr durch Drittanbieter bereitzustellen, während sich genannte Drittanbieter an strenge Anforderungen bezüglich Sicherheit und Datenschutz halten müssen. Zahlungsauslösedienste wie Sofortüberweisung sind nun gesetzlich anerkannt und unterliegen der Bankenaufsicht.

Der Betreiber wirbt auf seiner Website zu Sofortüberweisung u. a. mit folgenden Aussagen und Behauptungen zum Thema Sicherheit:

Die Eingabe der Online-Banking-Zugangsdaten (wie PIN) und der TAN erfolgt ausschließlich im gesicherten Zahlformular der Sofort GmbH und nicht beim Händler.
Sensible Daten wie PIN und TAN werden nicht gespeichert und sind auch zu keinem Zeitpunkt von außen, vom Händler oder von Mitarbeitern der Sofort GmbH einsehbar.

Trotzdem müssen sich Kunden darüber im Klaren sein, dass auch ein sich korrekt verhaltender Betreiber Opfer eines Hackerangriffs werden kann, in dessen Rahmen Daten gestohlen oder Transaktionen manipuliert werden können. In mehr als 100 Millionen Transaktionen sei es laut Sofort GmbH aber noch zu keinem einzigen Betrugsfall gekommen (Stand 2015).

Aufgeführte Kritikpunkte sind unter anderem:

Es gibt zwar eine Versicherung, sie besteht jedoch nicht direkt zwischen dem Versicherungsunternehmen und dem Zahlenden. Im Schadensfall ersetzt das Versicherungsunternehmen der Sofort GmbH ihre entstandenen Schäden.
Das Verfahren führe zu einer Herabsetzung der Hemmschwelle von Internetnutzern zur Weitergabe von PIN und TAN im Internet. Dadurch komme es zu einer Erhöhung des Phishing-Risikos im Internet.

Im Jahre 2010 gab Stiftung Warentest in einem Artikel zu bedenken: „Machen Sie sich vor Transaktionen im Internet immer klar, dass Betrüger mit PIN und TAN Ihr Konto plündern können.“

Im Bezahlverfahren-Vergleich 2014 der Stiftung Warentest wird der Kritikpunkt des Verstoßes gegen Banken-AGB nicht mehr thematisiert. In einem Kommentar von Stiftung Warentest heißt es dazu: