SCA und 3DS für einen Wettbewerbsvorteil

Banken und Emittenten von Zahlungskarten stehen vor einer Frage, die auf den ersten Blick simpel wirkt, in der Praxis jedoch hochkomplex ist: Wie können sie die Anforderungen an eine starke Kundenauthentifizierung (Strong Customer Authentication, SCA) zuverlässig erfüllen, ohne das Nutzererlebnis zu beeinträchtigen und Kaufabbrüche oder andere vom Handel gefürchtete Effekte hervorzurufen? Und mehr noch: Lässt sich diese Sicherheitsmaßnahme so gestalten, dass sie für Emittenten zu einem echten Wettbewerbsvorteil wird?

SCA senkt Betrug im Kartenzahlungsverkehr

Branchenbeobachter und Insider wissen schon lange, dass eine starke Kundenauthentifizierung die Häufigkeit von Kartenbetrug senkt – besonders bei Card-not-Present-Transaktionen (CNP), also bei Zahlungen ohne physische Karte. In einem aktuellen Bericht zu Zahlungsbetrug in der Europäischen Union und im Europäischen Wirtschaftsraum (EWR), den die Europäische Zentralbank (EZB) und die Europäische Bankenaufsicht (EBA) veröffentlicht haben, heißt es unmissverständlich: „SCA-authentifizierte Transaktionen wiesen geringere Betrugsraten auf als Nicht-SCA-Transaktionen, insbesondere bei Kartenzahlungen. Darüber hinaus waren die Betrugsraten bei Kartenzahlungen zehnmal höher, wenn sich der Vertragspartner außerhalb des EWR befand, wo die Anwendung von SCA gesetzlich nicht vorgeschrieben ist.“¹ 

Ein genauerer Blick in den Bericht liefert zusätzliche Erkenntnisse: So machten „Remotely-initiated Payments“ im ersten Halbjahr 2023 82 % des Kartenbetrugs nach Wert aus, was 80 % nach Transaktionsvolumen entspricht.² 

In einer Pressemitteilung gibt die EZB zudem weitere interessante Einblicke in das Zahlungsverhalten im Euroraum. Darin heißt es, dass bargeldlose Zahlungen im ersten Halbjahr 2024 um 7,4 % gestiegen sind und Kartenzahlungen dabei 56 % ausgemacht haben.³ Zahlenmäßig waren zwar nur 18 % aller Kartentransaktionen Remote-Zahlungen, ihr Anteil am Zahlungsvolumen machte jedoch 28 % aus.⁴ 

Es stimmt zwar, dass die Betrugszahlen in Europa noch niedrig sind, aber mit der Zunahme von Kartenzahlungen und CNP-Transaktionen rückt der Schutz der Nutzerinnen und Nutzer immer stärker in den Mittelpunkt. 

Die Sicherheit der Anwenderinnen und Anwender zu erhöhen, war auch ein wesentlicher Treiber für die Zweite Zahlungsdiensterichtlinie (Payment Services Directive, PSD2) der EU. Die Pflicht zu einer starken Kundenauthentifizierung bei vom Kunden/von der Kundin initiierten Online-Zahlungen – also CNP-Zahlungen – wird darin klar festgelegt.⁵ 

Betrachten wir einmal, wie Banken die Nutzerinnen und Nutzer schützen, die Vorschriften einhalten und allen Beteiligten ein zufriedenstellendes Nutzererlebnis bieten können.

Die Herausforderungen für Kartenherausgeber

Banken nennen derzeit vor allem folgende Themen als zentrale Herausforderungen: 

1. Compliance: Der Bankensektor ist stark reguliert – und das aus gutem Grund. Doch die Einhaltung der Compliance-Regeln ist aufwendig, kostspielig und durch dynamische Anpassungen geprägt.
2. Technologie: Bedrohungslagen ändern sich schnell und erfordern kontinuierlich neue technologische Antworten. Diese Komplexität zu beherrschen, ist anspruchsvoll.
3. Wettbewerb: Die Neukundengewinnung ist schwierig und teuer. Fintechs und Neobanken sind zudem dank ihres Digital-first-Ansatzes oft besser auf die neuen Rahmenbedingungen vorbereitet als traditionelle Anbieter. 

Zu erkennen, was Kundinnen und Kunden erwarten, und es konsequent zu liefern, ist eine Grundvoraussetzung. „Banken wollen zum einen Betrug verhindern“, sagt Martina Forster, Portfolio Owner Payment & Identity bei G+D Netcetera. „Zum anderen möchten sie ihre Kundinnen und Kunden halten und sich an deren Bedürfnisse anpassen, um in einem sich schnell wandelnden Umfeld für sie relevant zu bleiben.“ 

Den Spagat zwischen geschäftlichen und regulatorischen Anforderungen zu meistern, bleibt somit eine Daueraufgabe – gerade in Europa.

Sich abheben mit 3DS

Die PSD2-Vorgaben sind anspruchsvoll, doch sie gelten für alle Kartenherausgeber. Der Unterschied liegt darin, wie Banken sie jeweils erfüllen. 

Wichtig: PSD2 schreibt nicht vor, wie die starke Kundenauthentifizierung technisch umgesetzt werden muss. Sie verlangt lediglich, dass bei von Kundinnen oder Kunden initiierten Zahlungen zwei der folgenden drei Faktoren abgefragt werden: 

• Wissen: etwas, das nur die Nutzerin oder der Nutzer kennt, zum Beispiel ein Passwort oder eine PIN B
• Besitz: etwas, das eindeutig der Nutzerin oder dem Nutzer zugeordnet werden kann, zum Beispiel ein bestimmtes Smartphone
• Inhärenz: etwas, das der Nutzerin oder dem Nutzer unveränderbar zugehörig ist, etwa ein Fingerabdruck oder eine Stimmerkennung.⁶ 

Eine optimale Lösung erfüllt dabei idealerweise zwei Kriterien: Sie ist flexibel und konfigurierbar und sie lässt sich nahtlos in die Systeme der Bank integrieren – unabhängig davon, ob sie mit einer Authenticator-App, TAN, Passkey, OTP oder anderen Verfahren arbeitet. 

Eine 3-Domain-Secure-Lösung (3DS) als technischer Standard bringt all diese Eigenschaften mit. Jedes Issuer-Setup, das diesen technischen Standard nutzt, beantwortet also viele der aktuellen Herausforderungen. Entscheidend: Der 3DS-Standard ist PSD2-konform und damit ist es auch jede Lösung, die auf dem Standard beruht. 

Mit dem richtigen Partner zusammenarbeiten

„Wenn die Authentifizierungslösung eines Herausgebers eine Transaktion als riskant einstuft, wird sie abgelehnt“, sagt Forster. „Die Kundin oder der Kunde ist zwar geschützt, aber der Warenkorb bleibt liegen und die Händlerin oder der Händler verkauft in diesem Fall nichts. Die richtige Lösung sollte für alle Beteiligten das optimale Ergebnis erzielen.“ Gefragt ist eine Lösung, die Risiken schnell, effizient, sicher und weitgehend korrekt bewertet. 

Wie das in der Praxis aussehen kann, zeigt sich an einer 3DS-Lösung, die mit einem leistungsstarken Access Control Server (ACS) arbeitet. Als Netcetera 2019 bei Erste Bank, einem führenden europäischen Finanzdienstleister, an Bord kam, kannte die Bank zwar die Vorteile von 3DS, doch die Umsetzung entsprach nicht den Erwartungen. Zudem sollte das Onboarding schlanker werden. Um die Probleme zu lösen, fiel die Wahl auf Netcetera. Hauptgrund: der proprietäre ACS. 

Durch risikobasierte Authentifizierung (Risk-Based Authentication, RBA), die auf Verhaltensmustern, Geräteparametern und Transaktionsdaten sowie auf Machine Learning beruht, entscheidet der ACS schnell, ob eine Transaktion weitere Authentifizierung erfordert oder abgelehnt wird. Out-of-Band-Herausforderungen wurden erfolgreich in die Customer Journey integriert, einschließlich einer eigenen Authenticator-App. So fügte sich der ACS reibungslos in die Systeme und Abläufe der Ersten Bank ein. 

Als PSD2 2021 verpflichtend wurde, war die Erste Bank ihrer Zeit voraus. Tatsächlich meldet sie eine 3DS-Abbruchrate von unter 10 %. Der Erfolg zeigt: Eine sichere und zugleich komfortable Nutzererfahrung bei CNP-Transaktionen ist möglich – ohne Kompromisse bei Sicherheit oder Convenience. 

Das daraus entstehende Gefühl von Sicherheit und Einfachheit ist ein wertvolles Gut und kann Kartenherausgebern helfen, sich klar von Wettbewerbern abzuheben. 

Veröffentlicht: 20.01.2026