Was starke Kundenauthentifizierung ist
Starke Kundenauthentifizierung (SCA) ist eine Anforderung der überarbeiteten EU-Zahlungsdiensterichtlinie (PSD2) und ihrer technischen Regulierungsstandards (RTS). Sie gilt für die meisten elektronischen Zahlungen, die ein Zahler innerhalb des Europäischen Wirtschaftsraums auslöst, darunter Kartenzahlungen und Konto-zu-Konto-Überweisungen. Ziel ist es zu bestätigen, dass die Person, die eine Zahlung autorisiert, tatsächlich der Kontoinhaber ist, um Betrug bei Fernzahlungen und Zahlungen ohne Kartenpräsenz zu reduzieren.
Die Zwei-Faktor-Regel
SCA erfordert eine Authentifizierung mit mindestens zwei unabhängigen Elementen aus drei Kategorien: etwas, das der Kunde weiß (eine PIN oder ein Passwort), etwas, das der Kunde besitzt (ein Smartphone, eine Karte oder ein Hardware-Token), und etwas, das der Kunde ist (ein Fingerabdruck oder Gesichtsscan). Eine Zahlung, die nur einen dieser Faktoren nutzt, etwa allein Kartennummer und Ablaufdatum, erfüllt die SCA-Anforderungen nicht. In der Praxis wird SCA meist über 3-D-Secure-Verfahren, Banking-Apps oder Einmalcodes umgesetzt, die an ein registriertes Gerät gebunden sind.
Ausnahmen, die Händler beantragen können
Die technischen Standards der PSD2 legen auch Ausnahmen fest, bei denen eine Zahlung den zusätzlichen Authentifizierungsschritt überspringen kann, wenn das Risiko als ausreichend gering eingeschätzt wird. Ein Händler gewährt diese Ausnahmen nicht selbst; die Anfrage richtet sich an den Kartenemittenten oder Zahlungsdienstleister, der entscheidet, ob sie angewendet wird. Die wichtigsten Kategorien sind:
- Kleinbetragszahlungen: Fernzahlungen unterhalb eines festgelegten Betrags, wobei Grenzen festlegen, wie viele Kleinbetragszahlungen oder wie viel kumulierter Umsatz ohne Prüfung bleiben können, bevor SCA erneut erforderlich wird.
- Transaktionsrisikoanalyse (TRA): Acquirer und Emittenten mit Betrugsraten unterhalb der in den RTS festgelegten Referenzwerte können bis zu bestimmten Transaktionsbeträgen eine Ausnahme anwenden, die in Echtzeit pro Zahlung bewertet wird.
- Wiederkehrende Zahlungen: SCA ist bei der ersten Zahlung einer Reihe wiederkehrender Belastungen mit festem Betrag erforderlich; spätere Zahlungen in derselben Reihe können von der Ausnahme profitieren.
- Vertrauenswürdige Zahlungsempfänger (Merchant-Whitelisting): Sobald ein Kunde einen Händler über einen SCA-Schritt zur vertrauenswürdigen Liste seiner Bank hinzufügt, können spätere Zahlungen an diesen Händler ohne weitere Authentifizierung erfolgen.
- Firmenzahlungen: Transaktionen, die über dedizierte Firmenzahlungsprozesse oder -protokolle abgewickelt werden, die Verbrauchern nicht zur Verfügung stehen, können für eine Ausnahme qualifizieren.
Jede Ausnahme kann trotzdem außer Kraft gesetzt werden. Der Emittent kann jederzeit eine vollständige Authentifizierung verlangen, wenn seine eigenen Risikoprüfungen die Zahlung auffällig einstufen. Die Beantragung einer Ausnahme ist also keine Garantie dafür, dass eine Transaktion ohne zusätzliche Abfrage durchgeht.
Wie das in den Checkout-Ablauf passt
Da der Emittent die endgültige Entscheidung über Ausnahmen trifft, kommt es darauf an, wie eine Zahlungsanfrage aufgebaut ist. Der Hosted Checkout von omwio übermittelt die Transaktionsdaten, die ein Emittent oder Provider benötigt, um eine Ausnahme zu bewerten, und das Provider-Routing ermöglicht es, eine Transaktion an einen Provider weiterzuleiten, der die relevanten SCA- und Ausnahme-Abläufe für diese Zahlungsmethode und diesen Korridor unterstützt. Das Merchant Panel gibt Händlern Einblick, wie einzelne Transaktionen authentifiziert wurden, während das Manager Panel Payment-Operations-Teams erlaubt, Authentifizierungsergebnisse über Händler und Provider hinweg zu überprüfen.
Was Händler im Blick haben sollten
SCA und seine Ausnahmen sind Teil eines technischen und regulatorischen Rahmens, der durch PSD2 und die RTS vorgegeben wird, und nicht Teil einer einzelnen Plattform. Bevor sich Händler bei einem bestimmten Ablauf auf eine Ausnahme verlassen, sollten sie bei ihrem Acquirer oder PSP klären, welche Ausnahmen dieser unterstützt und unter welchen Bedingungen, da Emittenten und Kartennetzwerke dieselben Regeln mit gewissem Ermessensspielraum anwenden. Dieser Artikel erklärt den Mechanismus; er ist keine Garantie dafür, wie sich eine bestimmte Transaktion, ein Emittent oder ein Provider tatsächlich verhält.
