3D Secure 2 und PSD2: starke Kundenauthentifizierung, Ausnahmen, Haftungsverlagerung

Was ist 3D Secure 2 und wie hängt es mit der PSD2-Richtlinie zusammen?

Die starke Kundenauthentifizierung ist eine gesetzliche Pflicht: Nach der PSD2-Richtlinie muss eine vom Zahler online ausgelöste Zahlung mit zwei unabhängigen Faktoren bestätigt werden, und der Authentifizierungscode muss dynamisch mit Betrag und Zahlungsempfänger verknüpft sein. In Deutschland ist das in § 55 des Zahlungsdiensteaufsichtsgesetzes (ZAG) umgesetzt, das die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) überwacht. 3D Secure 2 ist der von EMVCo gepflegte technische Standard, mit dem die Kartennetzwerke diese Pflicht erfüllen. Kunden kennen ihn unter Markennamen wie Visa Secure, Mastercard Identity Check und American Express SafeKey.

Die erste Version von 3D Secure schickte jeden Kunden auf eine Passwortseite der Bank. Version 2 übermittelt mehr als 100 Datenelemente zu Gerät, Bestellung und Konto, sodass die Bank die meisten Zahlungen ohne sichtbare Abfrage freigeben kann und eine Challenge, meist die Bestätigung in der Banking-App, für riskante Zahlungen vorbehält. Außerdem unterstützt Version 2 native App-Abläufe, was das alte Protokoll nicht konnte.

Wann ist SCA Pflicht, und welche Zahlungen fallen nicht darunter?

Die SCA gilt für vom Zahler ausgelöste elektronische Zahlungen, wenn sowohl die ausgebende Bank als auch der Acquirer im EWR sitzen; das Vereinigte Königreich wendet dieselben Regeln über seine eigene Fassung der technischen Standards an. Für einen deutschen Onlineshop betrifft das nahezu jede erste Kartenzahlung, jeden einmaligen Checkout und jede Änderung eines hinterlegten Kartenmandats.

Einige Zahlungsarten liegen ganz außerhalb der Pflicht. Das ist etwas anderes als eine Ausnahme: Es ist rechtlich keine Authentifizierung nötig, die Bank kann die Zahlung aber trotzdem ablehnen. Kennzeichnen Sie diese Fälle in der Autorisierungsnachricht korrekt, denn ein falsches Kennzeichen ist eine häufige Ursache für den Soft Decline "SCA required".

• Vom Händler ausgelöste Transaktionen (Merchant-Initiated Transactions, MIT): Abonnements mit wechselnden Beträgen, nachträgliche Belastungen und Nichtanreise, sofern das Mandat mit SCA eingerichtet wurde
• Bestellungen per Post oder Telefon (MOTO), bei denen der Kunde die Kartendaten nicht online eingibt
• One-Leg-Out-Zahlungen, bei denen die ausgebende Bank oder der Acquirer außerhalb des EWR sitzt; SCA wird dort nach bestem Bemühen angewendet
• Vom Zahlungsempfänger aus einem Lastschriftmandat ausgelöste Zahlungen, etwa die SEPA-Lastschrift

Welche SCA-Ausnahmen können Händler nutzen?

Ausnahmen sind optional: Acquirer oder ausgebende Bank können sie anwenden, und die Bank hat immer das letzte Wort. Lehnt sie eine Ausnahme ab, liefert sie einen Soft Decline (Antwortcode 1A bei Visa, 65 bei Mastercard), und die Zahlung muss mit Authentifizierung wiederholt werden. Die Tabelle fasst die Ausnahmen der Delegierten Verordnung (EU) 2018/389 zusammen, die im Onlinehandel wichtig sind.

Die Transaktionsrisikoanalyse (TRA) ist für Händler mit wenig Betrug die wertvollste Ausnahme, weil sie Warenkörbe bis 500 € abdeckt. Maßgeblich ist die über 90 Tage berechnete Betrugsquote des PSP, der die Ausnahme anwendet; ein Acquirer mit sauberem Portfolio kann sie also für Sie beantragen.

Wie funktionieren der Frictionless Flow und der Challenge Flow?

Der 3DS-Server des Händlers, meist vom PSP betrieben, sendet eine Authentifizierungsanfrage über den Directory Server der Kartenorganisation an den Access Control Server der Bank. Die Bank bewertet die Anfrage anhand von Geräte-, Bestell- und Kontodaten und antwortet in etwa einer Sekunde.

Bei geringem Risiko wird die Zahlung ohne Reibung authentifiziert, und der Kunde sieht nichts. Andernfalls startet die Bank eine Challenge: eine Push-Bestätigung in der Banking-App, eine biometrische Prüfung oder einen Einmalcode. In beiden Fällen gehen Ergebnis und Kryptogramm mit der Autorisierung weiter, sodass die Bank erkennt, dass SCA durchgeführt wurde.

1. Daten erfassen Der Checkout sammelt Browser- oder App-Daten, Rechnungs- und Lieferangaben sowie die Kontohistorie des Kunden.
2. Authentifizieren Der 3DS-Server sendet die Anfrage; die Bank antwortet mit Frictionless, Challenge oder Ablehnung.
3. Autorisieren Authentifizierungsergebnis und Kryptogramm gehen mit der Autorisierungsanfrage an die Bank.

Was bedeutet die Haftungsverlagerung bei 3D Secure?

Wird eine Zahlung mit 3D Secure erfolgreich authentifiziert, geht die Haftung für Betrugs-Chargebacks, etwa Visa-Reason-Code 10.4 oder Mastercard 4837, vom Händler auf die ausgebende Bank über. In den meisten Fällen gilt das auch, wenn der Händler die Authentifizierung versucht hat, die Bank aber nicht erreichbar war.

Die Verlagerung gilt nicht für Streitigkeiten ohne Betrug wie nicht erhaltene oder abweichende Ware, und sie entfällt, wenn eine Ausnahme auf Acquirer-Seite angewendet wird: Sie gewinnen Conversion, behalten aber das Betrugsrisiko. Deshalb setzen Händler die TRA gezielt ein, zum Beispiel bei Stammkunden und risikoarmen Warenkörben, und schicken den Rest durch die Authentifizierung.

Wie wirkt sich 3D Secure 2 auf die Checkout-Conversion aus?

Jede Challenge ist ein zusätzlicher Schritt, an dem Kunden abbrechen oder scheitern können, besonders wenn die Banking-App auf einem anderen Gerät liegt. EBA und EZB berichteten im Dezember 2025, dass per SCA authentifizierte Kartenzahlungen weniger anfällig für Betrug bleiben; das Ziel ist daher nicht, SCA zu vermeiden, sondern nur dort abzufragen, wo es sich lohnt.

Die Conversion steigt mit vollständigen Daten in der Authentifizierungsanfrage, korrekten Transaktionskennzeichen, einem nativen App-SDK statt einer Web-View, Ausnahmeanfragen über einen Acquirer mit niedriger Betrugsquote und einer sofortigen Wiederholung mit Authentifizierung nach einem Soft Decline. Messen Sie Frictionless-Quote, Challenge-Erfolgsquote und Autorisierungsquote getrennt nach Ausstellerland; eine einzige Gesamtquote verbirgt, wo Kunden abspringen.

Wie binden Sie 3D Secure 2 über OrsunPay an?

OrsunPay ist ein technischer Dienst auf den eigenen PSP- und Acquirer-Konten des Händlers. Beim Hosted Checkout laufen Kartendaten und der 3D-Secure-Ablauf in der Oberfläche des PSP, sodass Authentifizierung, Ausnahmeanfragen und Haftungsregeln die Ihres Vertrags mit diesem PSP sind. Risikobasiertes Routing und das Anti-Fraud-Modul RiskCogs sind verfügbar: Risikoscores und Signale fließen in Routing- und Cascading-Regeln ein.