3-D Secure und starke Kundenauthentifizierung: Die Ausnahmen, die Umsatz retten, und ihr Preis
Kleinbetrag bis 30 Euro, Transaktionsrisikoanalyse bis 500 Euro, wiederkehrende Zahlungen, vertrauenswürdige Empfänger: Welche Ausnahmen von der Zwei-Faktor-Pflicht das Gesetz erlaubt, was Anbieter davon umsetzen, und warum jede genutzte Ausnahme die Haftung zum Händler verschiebt.
Die kurze Antwort
Seit der zweiten Zahlungsdiensterichtlinie muss eine Online-Kartenzahlung im Europäischen Wirtschaftsraum grundsätzlich mit zwei Faktoren bestätigt werden, zum Beispiel Banking-App plus Fingerabdruck. 3-D Secure 2 ist das Protokoll dafür. Weil jede Abfrage Kunden kostet, erlaubt das Gesetz Ausnahmen. Sie sind der wichtigste Hebel für die Conversion im Checkout, und sie haben einen Preis: Ohne Authentifizierung haftet bei Betrug der Händler.
Wie 3-D Secure 2 abläuft
Beim Frictionless Flow tauschen Händler, Acquirer und kartenausgebende Bank im Hintergrund Daten über Gerät, Kaufverhalten und Transaktion aus; die Bank entscheidet ohne Kundenaktion. Beim Challenge Flow verlangt die Bank eine aktive Bestätigung. Ob die Abfrage in der Seite des Händlers erscheint (nativ) oder per Weiterleitung zur Bank (Redirect), entscheidet über Abbrüche: Anbieter wie Adyen berichten von besseren Abschlussraten bei der nativen Variante.
Die Ausnahmen im Gesetz
Die Delegierte Verordnung (EU) 2018/389 legt fest, wann auf die starke Authentifizierung verzichtet werden darf:
| Artikel | Ausnahme | Grenze |
|---|---|---|
| Art. 11 | Kontaktlos am Terminal | bis 50 Euro, kumulativ 150 Euro oder fünf Vorgänge |
| Art. 13 | Vertrauenswürdige Empfänger | nach erstmaliger Authentifizierung für gelistete Händler |
| Art. 14 | Wiederkehrende Zahlungen | nur bei Einrichtung, dann bei gleichem Betrag und Empfänger frei |
| Art. 16 | Kleinbetrag im Fernabsatz | bis 30 Euro, kumulativ 100 Euro oder fünf Vorgänge |
| Art. 18 | Transaktionsrisikoanalyse (TRA) | bis 500, 250 oder 100 Euro je nach Betrugsrate des Zahlungsdienstleisters |
Artikel 11 ist übrigens derselbe Grund, warum das Terminal im Laden ab 50 Euro oder nach fünf kontaktlosen Zahlungen die PIN verlangt. Online und Kasse folgen demselben Rechtstext.
Was die Anbieter daraus machen
Die Praxis ist enger als das Gesetz. Stripe unterstützt drei Ausnahmen: Kleinbetrag unter 30 Euro, TRA bis 250 Euro für Händler im EWR und vom Händler ausgelöste Zahlungen mit gespeicherter Karte ohne Betragsgrenze. Die Verordnung erlaubt TRA bis 500 Euro; die 250 Euro sind eine Anbieterentscheidung. Wer höhere Warenkörbe ohne Abfrage durchbringen will, muss den Anbieter danach fragen, nicht das Gesetz.
Der Preis jeder Ausnahme
Bei einer erfolgreich authentifizierten Zahlung geht die Haftung für Betrug auf die kartenausgebende Bank über. Das ist der Liability Shift. Er entfällt in drei Fällen:
- bei genehmigten Ausnahmeanfragen,
- bei reinen Datenübermittlungen ohne Authentifizierungsanfrage,
- bei vom Händler ausgelösten Zahlungen mit gespeicherter Karte.
In allen drei Fällen trägt der Händler den Schaden, wenn die Karte gestohlen war. Die Ausnahme spart also Kaufabbrüche und kauft dafür Chargeback-Risiko. Für einen Shop mit Waren um 20 Euro und niedriger Betrugsquote ist das ein guter Tausch. Für Elektronik oder Gutscheine mit hohen Beträgen kann eine einzige Betrugsserie den Conversion-Gewinn eines Quartals auffressen.
Wie ein Händler das steuert
- Betrugsrate und Chargeback-Quote je Produktgruppe kennen, nicht nur im Durchschnitt.
- Ausnahmen nach Warenkorb differenzieren: Kleinbetrag frei, hohe Beträge und riskante Produkte immer authentifizieren.
- Native statt Redirect-Integration verlangen, das senkt Abbrüche ohne Haftungsverzicht.
- Beim Anbieter die TRA-Grenze und dessen Betrugsrate erfragen; sie bestimmt, welche Schwelle überhaupt möglich ist.
- Mit der PSD3/PSR werden die Regeln angepasst; die Grundlogik Ausnahme gegen Haftung bleibt.