3-D Secure, PSD2 & Authentifizierung

Die PSD2 (Payment Service Directive 2) schafft die regulatorische Grundlage für die Authentifizierung von elektronischen Zahlungen. Es handelt sich dabei um eine EU-Richtlinie zur Regulierung von Zahlungsdiensten und Zahlungsdienstleistern, deren Ziele es sind:

1. die Sicherheit im Zahlungsverkehr erhöhen
2. den Verbraucherschutz stärken
3. Innovationen fördern und
4. den Wettbewerb im Markt steigern

Mit Inkrafttreten der PSD2 sind Zahlungsdienstleister und Händler seit dem 14. September 2019 im Europäischen Wirtschaftsraum grundsätzlich verpflichtet, eine Starke Kundenauthentifizierung für elektronische Zahlungen umzusetzen. Bei den meisten elektronischen Zahlungen ist deshalb eine Zwei-Faktor-Authentifizierung durchzuführen.

Als elektronische Zahlungen mit Starker Kundenauthentifizierung werden heute insbesondere betrachtet:

• Kontaktbehaftet
  EMV Chipkarte mit PIN
• Kontaktlos
  NFC-fähige Karte mit PIN, Smart Device (z. B. Smartphone, Wearables)
• Online
  Kreditkartenzahlungen mit 3D-Secure-Verfahren
  
  

Ausnahmen gelten in folgenden Fällen: 

• Zahlungen, bei denen Herausgeber der Karte (Bank) nicht in Europa ansässig sind.
• Kontaktlose Zahlungsvorgänge im Kleinbetragsbereich, wenn dabei die folgenden Bedingungen erfüllt sind:
  • der Einzelbetrag des Zahlungsvorgangs geht nicht über 50 EUR hinaus, und
  • die früheren Zahlungsvorgänge, die über ein mit einer kontaktlosen Funktion ausgestattetes Zahlungsinstrument ausgelöst wurden, gehen seit der letzten Durchführung einer Starken Kundenauthentifizierung zusammengenommen nicht über 150 EUR hinaus, oder
  • die Anzahl der aufeinanderfolgenden kontaktlosen elektronischen Zahlungsvorgänge, die über das mit einer kontaktlosen Funktion ausgestattete Zahlungsinstrument ausgelöst wurden, geht seit der letzten Durchführung einer Starken Kundenauthentifizierung nicht über fünf hinaus.

Führen die vorgenannten Prüfpunkte dazu, dass keine Ausnahme gegeben ist, ist eine Starke Kundenauthentifizierung vom Konsumenten zu verlangen. In der Regel stellt der Zahlungsdienstleister sicher, dass die Anforderungen an die Starke Kundenauthentifizierung erfüllt sind. 

Eine Authentifizierung ist eine Sicherheitsprüfung, bei der die Bank der karteninhabenden Person prüft, ob diese berechtigt ist, die Transaktion durchzuführen (z. B. durch Eingabe des Karten-PIN). 

Die Starke Kundenauthentifizierung soll elektronische Zahlungen sicherer machen und dem Kartenmissbrauch vorbeugen.

Mittels der Zwei-Faktor-Authentifizierung (2FA-Verfahren) identifiziert sich ein Nutzer durch eine Kombination aus zwei unterschiedlichen und unabhängigen Komponenten.

Die bekannteste Anwendung ist das Geldabheben am Automaten. Hier werden die beiden Faktoren Besitz (die Bankkarte) und Wissen (PIN) kombiniert. Heutzutage nutzen auch Online-Dienste die Zwei-Faktor-Authentifizierung, um den sicheren Zugang zu ihren Services zu gewährleisten. Der Login funktioniert dort zum Beispiel mit Passwort und TAN, die über das Smartphone via App generiert oder per SMS zur Verfügung gestellt wird.

Eine Authentifizierung ist eine Sicherheitsprüfung, bei der die Bank der karteninhabenden Person prüft, ob diese berechtigt ist, die Transaktion durchzuführen (z. B. durch Eingabe des Karten-PIN).

Bei der „Starken Kundenauthentifizierung“ (SKA) handelt es sich um eine besonders sichere Verifikation über eine Kombination mehrerer Sicherheitsstufen (oftmals eine 2-Faktor-Authentifizierung), z. B. die Passwort-/PIN-Eingabe und die zusätzliche Freigabe durch eine weitere Sicherheitsstufe (z. B. Freigabe durch einen Code, den Sie per SMS erhalten). So wird eine höchstmögliche Sicherheit vor Missbrauch beim Einkauf im Netz geschaffen.

Banken in Europa sind seit dem 1. Januar 2021 dazu verpflichtet, bei allen Online Transaktionen die Identität und damit die Berechtigung der karteninhabenden Person zu überprüfen und ggf. eine Starke Kundenauthentifizierung einzufordern.

Das bedeutet, Sie müssen die Zahlung auf dem entsprechenden Protokoll auslösen und Transaktionsdaten übermitteln, damit die Bank eine Authentifizierung vornehmen kann. Erfolgt dies nicht, sind Banken dazu verpflichtet, die Zahlungstransaktion abzulehnen.

Die Starke Kundenauthentifizierung hat für Sie einige Vorteile: 

• Die kartenausgebende Bank trägt die alleinige Verantwortung für die Überprüfung der Kundenidentität, sofern Transaktionen nach den Anforderungen der Starken Kundenauthentifizierung Regelungen abgewickelt werden.
• Sie tragen kein Risiko mehr und haben die Sicherheit, dass alle Ihre Transaktionen ausgeführt und keine Umsatzausfälle erwarten werden müssen.
• Sie profitieren von weniger Kaufabbrüchen und so von einer höheren Conversion.
• Betrug kann aufgrund erfolgter Autorisierung ausgeschlossen werden.

Manuell verarbeitete Transaktionen am Kartenlesegerät sind Transaktionen ohne die physische Präsenz des Karteninhabers, z. B. durch telefonische Übermittlung und händische Eingabe der Kartendaten ins Kartenlesegerät.

Die zweite EU-Zahlungsdiensterichtlinie (PSD2) verlangt von Händlern und Dienstleistern eine Starke Kundenauthentifizierung bei Kreditkartenzahlungen. Die Starke Kundenauthentifizierung soll Kreditkartenzahlungen sicherer machen und dem Kartenmissbrauch vorbeugen. Manuell verarbeitete Transaktionen am Kartenlesegerät ohne die physische Präsenz des Karteninhabers, z. B. durch telefonische Übermittlung und händische Eingabe der Kartendaten ins Kartenlesegerät, sind daher aus Sicherheitsgründen nicht mehr zulässig. 

Im Falle des Kartenmissbrauchs bei manuellen Transaktionen über das Kartenlesegerät haftet zukünftig der durchführende Händler. Aus diesem Grund wird die manuelle Verarbeitung von Kreditkartenzahlungen an PAYONE Geräten zukünftig nicht mehr möglich sein. Falls Sie in Ihrem Geschäft auf die Durchführung von Card-not-present-Transaktionen angewiesen sind, empfehlen wir alternativ den Abschluss einer Mail Order/Telephone Order (MoTo)-Akzeptanzvereinbarung.

Ja, sämtliche Kreditkarten sind von dieser Regelung betroffen, da es sich um eine gesetzliche Vorgabe handelt, die unabhängig vom ausstellenden Unternehmen zu beachten ist.