Der Begriff „Website ohne 3D Secure“ taucht häufig in den Suchanfragen zu Online-Einkäufen mit Kreditkarte auf. Seit dem vollständigen Inkrafttreten der DSP2 in Europa ist die starke Authentifizierung zum Standard für Internetzahlungen geworden. Nach einer Website zu suchen, die diesem Protokoll völlig entgeht, beruht auf einer Verwirrung zwischen dem Fehlen von 3D Secure und den von der Regulierung selbst vorgesehenen Ausnahmeregelungen.
SCA-Ausnahmen und frictionless-Transaktionen: Was hinter einer Zahlung ohne Überprüfung steckt
Wenn ein Kauf mit Kreditkarte ohne Überprüfungsbildschirm (SMS-Code, biometrische Validierung) abgeschlossen wird, bedeutet das nicht, dass die Website das 3DS-Protokoll ignoriert. In der überwiegenden Mehrheit der Fälle wurde die Transaktion vom Zahlungsdienstleister des Händlers gemäß den Regeln der DSP2 als ausgenommen markiert.
Mehrere Arten von Ausnahmen ermöglichen diesen sogenannten „frictionless“-Fluss:
- Kleinbetragszahlungen (low-value), die unter einem von der Regulierung festgelegten Schwellenwert liegen, können ohne starke Authentifizierung durchgeführt werden, wenn die Summe der vorherigen Zahlungen begrenzt bleibt.
- Die Echtzeitanalyse von Risiken (TRA, Transaction Risk Analysis) ermöglicht es Anbietern mit einer ausreichend niedrigen Betrugsrate, für bestimmte Transaktionen eine Ausnahme zu beantragen.
- Der Mechanismus des „trusted beneficiary“ (vertrauenswürdiger Begünstigter) erlaubt es dem Käufer, einen Händler bei seiner Bank auf eine Whitelist zu setzen, wodurch die Überprüfungen für zukünftige Käufe entfallen.
- Wiederkehrende Zahlungen, die vom Händler initiiert werden (MIT, Merchant Initiated Transactions), entkommen ebenfalls der 3DS-Herausforderung nach der ersten Authentifizierung.
Konkret bietet ein Web-Händler, der diese Ausnahmen nutzt, ein schnelles Einkaufserlebnis, ohne dass der Benutzer einen einzigen 3D Secure-Bildschirm sieht. Die Informationen fließen im Hintergrund zwischen dem Acquirer, dem Kartenaussteller und dem Netzwerk (Visa, Mastercard). Die Identifizierung einer Website ohne 3D Secure im Jahr 2024 bedeutet daher oft, einen Händler zu finden, dessen Anbieter diese Ausnahmen gut verwaltet, nicht eine Website, die die Sicherheit umgeht.
Internationale Zahlungen und die Grauzone der „one leg out“-Transaktionen
Die DSP2 gilt für Transaktionen, bei denen sich beide Parteien (Bank des Käufers und Bank des Händlers) im Europäischen Wirtschaftsraum befinden. Wenn sich nur eine der beiden Parteien im EWR befindet, spricht man von einer „one leg out“-Transaktion.
Diese Zahlungen unterliegen nicht denselben Anforderungen an die starke Authentifizierung. Ein europäischer Käufer, der auf einer außerhalb des EWR gehosteten Plattform bestellt, kann daher sehen, dass seine Transaktion ohne jegliche 3D Secure-Herausforderung abgeschlossen wird, ohne dass dies eine Verletzung darstellt.
Diese Grauzone wird von bestimmten Plattformen mit hybrider Struktur ausgenutzt, um die Häufigkeit der Überprüfungen zu reduzieren. Der Käufer ist darüber nicht immer informiert. Der Übertrag von Verantwortung (liability shift) wird dann unklar: Im Falle von Betrug hängt es vom vertraglichen Rahmen jedes Kartennetzwerks ab, wer die Kosten zwischen der ausstellenden Bank und dem Händler trägt.
Für einen Verbraucher bedeutet das Bezahlen auf einer Website außerhalb des EWR ohne 3D Secure nicht, dass er auf einer unzuverlässigen Website kauft. Im Gegenteil, das Fehlen eines liability shift erhöht das Risiko im Streitfall.
Konkrete Risiken eines Online-Kaufs ohne starke Authentifizierung
Auf einer Website zu kaufen, die keine 3D Secure-Überprüfung auslöst, mag flüssiger erscheinen. Die Konsequenzen eines Problems sind jedoch anders als bei einer klassischen Zahlung.
Betrug und Anfechtung
Ohne starke Authentifizierung ist es schwieriger nachzuweisen, dass der Karteninhaber die Transaktion tatsächlich initiiert hat. Auf der Verbraucherseite bleibt das Verfahren zur Anfechtung bei der Bank möglich, aber die Rückerstattungsfristen können sich verlängern, wenn der Händler nicht vom liability shift profitiert, der durch 3D Secure garantiert wird.
Realer Schutz der Kreditkarte
Das Protokoll 3DS 2 hat eine direkte Rolle bei der Reduzierung von Betrug bei Online-Zahlungen gespielt.
Eine Website, die systematisch 3D Secure umgeht (und nicht einfach durch legitime Ausnahmen), befindet sich außerhalb des europäischen regulatorischen Rahmens. Dort seine Bankdaten zu hinterlegen, birgt ein erhöhtes Risiko für die Kompromittierung von Kartendaten.
Die Konformität einer Online-Zahlungswebsite ohne 3DS überprüfen
Nicht alle Websites, die keine Überprüfung auslösen, sind gleichwertig. Einige Elemente helfen dabei, zu bewerten, ob der Händler im Einklang mit den Vorschriften operiert:
- Der angegebene Zahlungsdienstleister (Stripe, Adyen, Mollie usw.) ist auf der Checkout-Seite identifizierbar. Die PSPs, die der DSP2 entsprechen, verwalten selbst die Anfragen nach Ausnahmen bei der ausstellenden Bank.
- Die Website zeigt eine PCI DSS-Konformität, die in ihren Allgemeinen Geschäftsbedingungen oder ihrer Datenschutzrichtlinie sichtbar ist. Dieser Standard regelt die Speicherung und Verarbeitung von Kreditkartendaten.
- Die bloße Angabe „sichere Zahlung“ garantiert nichts. Ein Schloss in der Adressleiste (SSL-Zertifikat) schützt den Datenverkehr, zeigt jedoch nicht die Konformität des Händlers mit der DSP2 an.
Ein legitimer Händler, der die SCA-Ausnahmen nutzt, muss das Fehlen von 3D Secure nicht verbergen. Er bietet einfach einen optimierten Zahlungsprozess an, bei dem die Authentifizierung nur ausgelöst wird, wenn die ausstellende Bank dies verlangt.
Die Suche nach einer „Website ohne 3D Secure“ spiegelt häufig eine Frustration über Zahlungsfehler oder als zu lang empfundene Überprüfungen wider. Die Lösung besteht nicht darin, das Protokoll zu vermeiden, sondern in einer besseren Verwaltung auf Seiten der Bank.
Zu überprüfen, ob die Banking-App funktioniert, ob die Telefonnummer aktuell ist oder einen Händler als vertrauenswürdigen Begünstigten hinzuzufügen: Diese Anpassungen sorgen dafür, dass das Online-Zahlen reibungslos verläuft, ohne auf die Sicherheit der Karte zu verzichten.
