Starke Kundenauthentifizierung und 3-D Secure im Shop
Kurz gesagt
Ob eine Zahlung im Checkout eine starke Kundenauthentifizierung verlangt, entscheidet der Zahlungsdienstleister, nicht der Händler: Innerhalb der EU muss er sie nach Art. 97 Abs. 1 Buchst. b der Richtlinie (EU) 2015/2366 verlangen, wenn der Zahler einen elektronischen Zahlungsvorgang auslöst – in Deutschland § 55 Abs. 1 Satz 1 Nr. 2 ZAG, in Österreich § 87 Abs. 1 Z 2 ZaDiG 2018; die Ausnahmen regelt seit dem 14. September 2019 die Delegierte Verordnung (EU) 2018/389. Der Shop richtet den Schritt ein und misst ihn.
Das Wichtigste
- Die Pflicht zur starken Kundenauthentifizierung trifft innerhalb der EU den Zahlungsdienstleister, nicht den Händler; er verlangt sie, wenn der Zahler einen elektronischen Zahlungsvorgang auslöst: Art. 97 Abs. 1 Buchst. b der Richtlinie (EU) 2015/2366, in Deutschland § 55 Abs. 1 Satz 1 Nr. 2 ZAG, in Österreich § 87 Abs. 1 Z 2 ZaDiG 2018.
- Die Delegierte Verordnung (EU) 2018/389 gilt ab 14. September 2019 (Art. 38 Abs. 2) und nennt die Ausnahmen.
- Kleinbetrag: Der ausgelöste Vorgang darf 30 Euro nicht übersteigen, und zusätzlich dürfen die früheren Vorgänge seit der letzten Authentifizierung zusammen nicht über 100 Euro gehen oder es dürfen seitdem nicht mehr als fünf Vorgänge nacheinander sein (Art. 16).
- Transaktionsrisikoanalyse: bis 100, 250 oder 500 Euro, wenn die Betrugsrate des Zahlungsdienstleisters die Referenzbetrugsrate des Anhangs nicht überschreitet und die Echtzeitrisikoanalyse keines der sechs Szenarien meldet (Art. 18).
- Wiederkehrende Zahlungen mit demselben Betrag an denselben Empfänger: eine Authentifizierung beim Erstellen, Ändern oder ersten Auslösen der Serie, danach darf der Dienstleister von ihr absehen (Art. 14).
- Ob eine Ausnahme greift, entscheidet der Zahlungsdienstleister; der Shop kann sie nicht anordnen.
Im Checkout entscheidet sich, ob eine Zahlung ohne weitere Abfrage durchläuft oder ob der Kunde sie in seiner Banking-App oder mit einem Code bestätigen muss. Diesen Schritt steuert der Shop nicht, er führt ihn aus. Die Regeln stehen im Unionsrecht: eine Richtlinie, die den Zahlungsdienstleistern die Authentifizierung vorschreibt, und eine Verordnung, die die Ausnahmen festlegt.
Wer authentifizieren muss, und seit wann
Nach Art. 97 Abs. 1 der Richtlinie (EU) 2015/2366 über Zahlungsdienste im Binnenmarkt (PSD2) stellen die Mitgliedstaaten sicher, dass ein Zahlungsdienstleister eine starke Kundenauthentifizierung verlangt, wenn der Zahler online auf sein Zahlungskonto zugreift, einen elektronischen Zahlungsvorgang auslöst (Buchst. b) oder über einen Fernzugang eine Handlung vornimmt, die ein Betrugsrisiko birgt. Adressat dieser Pflicht ist der Zahlungsdienstleister; den Vorgang löst dagegen der Zahler aus. Deutschland hat sie mit § 55 Abs. 1 Satz 1 Nr. 2 des Zahlungsdiensteaufsichtsgesetzes (ZAG) umgesetzt, Österreich mit § 87 Abs. 1 Z 2 des Zahlungsdienstegesetzes 2018 (ZaDiG 2018), der seit dem 14. September 2019 gilt; beide richten die Pflicht an den Zahlungsdienstleister. Wie die Zahlarten angebunden werden, steht in Kartenzahlung im Onlineshop einrichten.
Wie die Authentifizierung aussehen muss, regelt die Delegierte Verordnung (EU) 2018/389. Danach stützt sie sich auf mindestens zwei Elemente aus Wissen, Besitz und Inhärenz, die voneinander unabhängig sind, und der erzeugte Code wird nur einmal angenommen (Art. 4). Bei elektronischen Fernzahlungsvorgängen kommt die dynamische Verknüpfung hinzu: Betrag und Zahlungsempfänger werden dem Zahler angezeigt (Art. 97 Abs. 2 PSD2, Art. 5 der Verordnung).
Die Verordnung gilt ab dem 14. September 2019 (Art. 38 Abs. 2) und ist nach ihrem Schlusssatz unmittelbar in jedem Mitgliedstaat anwendbar. Der Artikel stützt sich auf die konsolidierte Fassung vom 12. September 2023.
Was 3-D Secure damit zu tun hat
3-D Secure ist ein technischer Standard. Er stammt von EMVCo, einem technischen Gremium der Zahlungskartbranche, das die EMV-3DS-Spezifikationen pflegt, und beschreibt den Austausch von Nachrichten zwischen Händler und Kartenausgeber.
Nach der Opinion EBA-Op-2019-06 der Europäischen Bankenaufsichtsbehörde unterstützen die Versionen 2.0 und neuer eine Vielzahl von SCA-Methoden und ermöglichen die Nutzung der Ausnahmen der Verordnung; die ältere Version 1.0 unterstützt die SCA, ist nach derselben Opinion aber nicht vollständig an die PSD2 angepasst und enthält keine Möglichkeit, die Ausnahmen der Verordnung zu nutzen (Nr. 23). Bei Kartenzahlungen ist es der Zahlungsdienstleister, der die Karte ausgegeben hat; die Behörde beschreibt die Umstellungen im Markt, auch bei Händlern, als Voraussetzung dafür, dass der Kartenausgeber die Authentifizierung anwenden kann (Nr. 12).
Verbindlich wird der Einsatz über den Vertrag mit dem Zahlungsdienstleister, der Version und Ablauf festlegt. Sie lassen die Abfrage zu und halten den Rücksprung in den Shop intakt (Zahlungsdienstleister wählen).
Welche Ausnahmen die Verordnung nennt
Für den Checkout zählt, ob der Zahlungsdienstleister von der Authentifizierung absehen darf. Die Tabelle stellt die Ausnahmen für elektronische Fernzahlungsvorgänge zusammen; die Beträge gelten je Vorgang. Die Ausnahmen nach Art. 13, 14 und 15 setzen zusätzlich voraus, dass die allgemeinen Anforderungen an die Authentifizierung erfüllt sind (Art. 2).
| Ausnahme (Norm) | Bedingungen im Verordnungstext | Wer entscheidet | Was der Kunde erlebt | Wirkung auf den Abschluss |
|---|---|---|---|---|
| Kleinbetrag (Art. 16) | Der ausgelöste Vorgang geht nicht über 30 Euro hinaus, und zusätzlich gehen die früheren Vorgänge seit der letzten Authentifizierung zusammen nicht über 100 Euro hinaus oder der Zahler hat seit der letzten Authentifizierung nacheinander nicht mehr als fünf Vorgänge ausgelöst | Zahlungsdienstleister | keine Abfrage | verkürzt den Ablauf bei kleinen Warenkörben |
| Transaktionsrisikoanalyse (Art. 18 mit Anhang) | Betrag bis 100, 250 oder 500 Euro, je nach eingehaltener Referenzbetrugsrate, und die Echtzeitrisikoanalyse meldet keines der sechs Szenarien (etwa ungewöhnliches Ausgabemuster, ungewöhnlicher Ort, Malware) | Zahlungsdienstleister | keine Abfrage, wenn sein Risikopunktesystem den Vorgang als risikoarm einstuft | greift auch bei höheren Warenkörben, für die die übrigen Ausnahmen nicht gelten |
| Vertrauenswürdige Empfänger (Art. 13) | Der Zahler hat den Empfänger in seine eigene Liste aufgenommen; Anlegen und Ändern der Liste verlangen eine Authentifizierung | Zahlungsdienstleister | beim Aufnehmen eine Abfrage, danach keine | betrifft Kunden, die wiederholt bei Ihnen kaufen |
| Wiederkehrende Zahlungen (Art. 14) | Serie von Vorgängen mit demselben Betrag an denselben Empfänger; authentifiziert werden das Erstellen, das Ändern und das erstmalige Auslösen der Serie | Zahlungsdienstleister | eine Abfrage am Beginn der Serie und bei jeder Änderung, danach keine | für Abonnements der wichtigste Hebel (Wiederkehrende Zahlungen); ein geänderter Betrag löst eine erneute Abfrage aus |
| Sichere Firmenprotokolle (Art. 17) | nur für juristische Personen, die über dedizierte eigene Zahlungsprozesse oder -protokolle auslösen, die Zahlern zur Verfügung stehen, die keine Verbraucher sind; die zuständige Behörde muss ein vergleichbares Sicherheitsniveau bestätigen | Zahlungsdienstleister, unter Beteiligung der zuständigen Behörde | im B2B-Prozess keine Abfrage | nur für juristische Personen mit eigenem Zahlungsweg, nicht für Einzelunternehmer und andere natürliche Personen |
Bei der Kleinbetragsausnahme müssen alle Bedingungen erfüllt sein: der Betrag des ausgelösten Vorgangs bis 30 Euro und dazu eine der beiden Häufigkeitsgrenzen, die an die früheren Vorgänge seit der letzten Authentifizierung anknüpfen. Art. 16 knüpft an den elektronischen Fernzahlungsvorgang an, nicht an eine bestimmte Zahlart.
Für die Transaktionsrisikoanalyse nennt der Anhang drei Stufen: bei kartengebundenen elektronischen Fernzahlungsvorgängen 0,13 Prozent bis 100 Euro, 0,06 Prozent bis 250 Euro und 0,01 Prozent bis 500 Euro; bei elektronischen Überweisungen über einen Fernzugang 0,015, 0,01 und 0,005 Prozent. Übersteigt die berechnete Betrugsrate die Referenzbetrugsrate zwei Quartale in Folge, muss der Zahlungsdienstleister die Ausnahme einstellen (Art. 20 Abs. 2) und darf sie erst wieder nutzen, wenn seine Betrugsrate die Referenzbetrugsrate in einem Quartal nicht mehr überschreitet (Art. 20 Abs. 3); vorher muss er die zuständige Behörde in Kenntnis setzen und den Nachweis erbringen (Art. 20 Abs. 4).
Für einen Vorgang, für den die Richtlinie eine starke Kundenauthentifizierung verlangt, darf der Zahlungsdienstleister von ihr nur nach einer der Ausnahmen der Verordnung absehen (Art. 10 bis 18). Verlangt der Vorgang keine Authentifizierung, braucht er auch keine Ausnahme. Etwas anderes ist es, eine Authentifizierung nicht zu akzeptieren: Akzeptiert der Zahlungsempfänger oder sein Zahlungsdienstleister eine starke Kundenauthentifizierung nicht, muss er dem Zahlungsdienstleister des Zahlers den daraus entstehenden Schaden ersetzen (Art. 74 Abs. 2 Unterabsatz 2 PSD2; in Deutschland § 675v Abs. 4 Satz 3 BGB, in Österreich § 68 Abs. 5 Satz 2 ZaDiG 2018). Wie Sie eine Rückbuchung abwehren, steht unter Chargebacks handhaben.
Ein Rechenbeispiel aus dem Checkout
Die folgenden Zahlen sind erfunden; setzen Sie Ihre eigenen Werte ein.
| Schritt | Anzahl |
|---|---|
| Bestellungen im Monat | 1.000 |
| davon mit Kartenzahlung bezahlt | 700 |
| Zahlungen mit Authentifizierungsabfrage | 420 |
| davon abgebrochen | 40 (9,5 Prozent von 420) |
| Zahlungen ohne Abfrage | 280 |
| davon abgebrochen | 5 (1,8 Prozent von 280) |
Von den 700 Kartenzahlungen kamen 655 durch, also 93,6 Prozent; eine Ausnahme wirkte bei 40 Prozent der Zahlungen. Ziehen Sie daraus keinen Schluss auf die Ursache: In die Gruppe mit Abfrage fallen andere Beträge, Kundengruppen und Risikomerkmale. Trennen Sie die Abbrüche deshalb nach Betragsstufe und Zahlart und stellen Sie im Testbetrieb eine Einstellung mit und eine ohne Ausnahme gegenüber.
Typische Fehler
- Den Ausnahmen nachhelfen wollen. Der Shop kann keine Ausnahme anordnen; die Verordnung räumt sie dem Zahlungsdienstleister ein (Art. 10 bis 18). Prüfen Sie stattdessen, welche Ausnahmen er für Ihre Zahlarten nutzt, und legen Sie die Antwort mit Datum ab.
- Die offene Bestellung vergessen. Bricht die Authentifizierung ab, bleibt die Bestellung ohne Zahlungseingang liegen. Legen Sie Rückmeldung, zweiten Versuch, Frist und Storno fest (Zahlungsausfälle im Shop).
- Auf einem alten Protokoll bleiben. Nach der Opinion EBA-Op-2019-06 unterstützt die Version 1.0 die SCA, enthält aber keine Möglichkeit, die Ausnahmen der Verordnung zu nutzen (Nr. 23). Fragen Sie nach der Version, die abgerechnet wird.
- Nur die Gesamtquote messen. Eine Abbruchquote über alle Zahlungen verdeckt, ob die Abfrage, der Betrag oder die Zahlart das Problem ist.
So gehen Sie vor
- Fragen Sie bei Ihrem Zahlungsdienstleister schriftlich nach: angewandte Ausnahmen, Protokollversion, Betragsstufen, Verhalten bei fehlgeschlagener Authentifizierung.
- Messen Sie getrennt: Zahlungen mit und ohne Abfrage, Abbrüche in beiden Gruppen, offene Bestellungen – je Zahlart und je Betragsstufe.
- Prüfen Sie den Fehlerfall im Testbetrieb: Was sendet der Anbieter, was zeigt der Shop, kann der Kunde einen zweiten Versuch starten?
- Wiederholen Sie die Testfälle nach jeder Änderung an Zahlungsmodul, Shopsystem-Version oder Anbietereinstellung.
- Vergleichen Sie Kartenzahlungen mit Ihren anderen Zahlarten, bevor Sie den Checkout umbauen (Zahlungsarten auswählen).