Die europäische Richtlinie über Zahlungsdienste (PSD2) hat die starke Authentifizierung für Online-Zahlungen mit Kreditkarte nahezu zur Norm gemacht. Das Protokoll 3D Secure in seiner Version 2 ist der Hauptmechanismus dieser Authentifizierung. Der Versuch, dieses System zu umgehen, beruht oft auf einem Missverständnis seiner tatsächlichen Funktionsweise, da viele Zahlungen bereits ohne sichtbare Intervention des Käufers durchgeführt werden.
Frictionless 3D Secure: Warum einige Zahlungen ohne Code durchgehen
Das Protokoll 3D Secure 2 unterscheidet zwei Abläufe zum Zeitpunkt der Zahlung. Der erste, der als “Challenge” bezeichnet wird, erfordert eine Aktion des Käufers (Bestätigung über die Banking-App, SMS-Code). Der zweite, der als “frictionless” bezeichnet wird, authentifiziert die Transaktion ohne jegliche Intervention des Karteninhabers.
Dieser stille Ablauf basiert auf einer automatisierten Risikoanalyse. Die ausstellende Bank bewertet im Hintergrund mehrere Parameter: Historie des verwendeten Terminals, Betrag der Transaktion, Häufigkeit der Käufe bei diesem Händler, Konsistenz der IP-Adresse. Wenn das Risiko als gering eingeschätzt wird, wird die Transaktion validiert, ohne dass der Käufer auch nur ein Authentifizierungsfenster sieht.
Ein regelmäßig aktualisiertes Verzeichnis listet die Seiten ohne Bankverifizierung auf, bei denen der Kaufprozess anscheinend 3D Secure nicht auslöst, aber in den meisten Fällen ist das Protokoll im Hintergrund tatsächlich vorhanden, einfach im frictionless-Modus.
Ausnahmen PSD2: Der rechtliche Rahmen, der die Challenge ohne Sicherheitsverlust aufhebt
Das Fehlen eines sichtbaren Authentifizierungsfensters bedeutet nicht das Fehlen von 3D Secure. Die PSD2 sieht mehrere Ausnahmen vor, die im delegierten Rechtsakt (EU) 2018/389 kodifiziert sind und es Händlern ermöglichen, einen Ablauf ohne Challenge zu verlangen und dabei im regulatorischen Rahmen zu bleiben.
- Niedrigwertige Transaktionen: Zahlungen unter einem bestimmten Schwellenwert können von der starken Authentifizierung ausgenommen werden, vorausgesetzt, es gibt kumulative Grenzen.
- Vertrauenswürdige Begünstigte (trusted beneficiaries): Der Käufer kann einen Händler über seine Banking-App auf die Whitelist setzen, was zukünftige Challenges bei diesem Händler aufhebt.
- Wiederkehrende Zahlungen: Nach einer ersten starken Authentifizierung gehen die folgenden Abonnements und regelmäßigen Lastschriften ohne neue Challenge durch.
- Transaction Risk Analysis (TRA): Zahlungsdienstleister, deren Betrugsquote unter den von der PSD2 festgelegten Schwellenwerten bleibt, können die Ausnahme für höhere Beträge beantragen.
Diese Mechanismen erklären, warum einige Seiten anscheinend nie eine Verifizierung auslösen. Der Händler oder sein Zahlungsdienstleister wendet eine Ausnahme an, nicht einen Umgehungsversuch.
Haftung im Falle von Betrug bei einem Kauf ohne 3D Secure Authentifizierung
Der Haftungsübergang (liability shift) ist der Punkt, den die meisten Leitfäden zu “Seiten ohne 3DS” nicht ansprechen. Wenn eine Transaktion über das Protokoll 3D Secure läuft und die Authentifizierung abgeschlossen ist (auch im frictionless-Modus), geht die Haftung im Falle von Betrug vom Händler zur ausstellenden Bank über.
Wenn ein Händler sich jedoch entscheidet, 3D Secure nicht zu implementieren oder das Protokoll ohne gültige Ausnahme zu umgehen, trägt er das gesamte finanzielle Risiko im Falle einer Anfechtung. Für den Käufer ist die Situation anders: Der gesetzliche Schutz vor betrügerischen Transaktionen bleibt durch das Währungs- und Finanzgesetz gewährleistet, unabhängig vom Authentifizierungsprozess.
Das konkrete Problem tritt bei einem Streitfall auf. Eine Zahlung ohne Authentifizierung wird das Rückerstattungsverfahren komplizieren, wenn der Händler den Betrug bestreitet. Die zu erbringenden Nachweise sind umfangreicher, und die Lösungsfristen verlängern sich.
Was der Käufer tatsächlich riskiert
Der Kauf auf einer Seite, die 3D Secure nicht implementiert, ist für den Verbraucher nicht illegal. Die regulatorische Verantwortung liegt beim Händler und seinem Zahlungsdienstleister, nicht beim Karteninhaber.
Das Risiko liegt woanders: Eine Seite, die absichtlich jede Form der starken Authentifizierung ablehnt, bietet keine Garantie für die Zuverlässigkeit ihrer Zahlungsinfrastruktur. Das absichtliche Fehlen von 3D Secure kann auf eine unzuverlässige Seite hinweisen, nicht einfach auf eine technische Wahl.
Konkrete Alternativen für eine reibungslose Zahlung auf sicheren Seiten
Anstatt nach Seiten zu suchen, die dem Protokoll 3D Secure entkommen, gibt es mehrere Methoden, um die Zahlungserlebnisse zu optimieren und gleichzeitig den Schutz vor Betrug aufrechtzuerhalten.
Die erste besteht darin, die Funktion “vertrauenswürdiger Begünstigter” zu nutzen, die die meisten französischen Banking-Apps anbieten. Sobald ein Händler auf diese Liste gesetzt wurde, gehen die folgenden Käufe bei diesem Händler systematisch im frictionless-Modus durch.
Digitale Geldbörsen (PayPal, Apple Pay, Google Pay) bieten einen weiteren Weg. Die starke Authentifizierung erfolgt beim Einloggen in die Geldbörse, nicht bei jeder Transaktion. Die Zahlung über eine digitale Geldbörse hebt die 3D Secure Challenge auf der Händlerseite auf, während ein gleichwertiges Sicherheitsniveau aufrechterhalten wird.
Virtuelle Einmal-Karten, die von mehreren Online-Banken angeboten werden, stellen eine dritte Option dar. Die Kartennummer wird für eine einzige Transaktion generiert, was das Betrugsrisiko verringert und oft den Authentifizierungsprozess vereinfacht.
DSP3 und die Zukunft der Online-Zahlung ohne sichtbare Authentifizierung
Der europäische Regulierungsrahmen entwickelt sich hin zur DSP3, die die Mechanismen der unsichtbaren Authentifizierung stärken sollte, anstatt sie abzuschaffen. Der Trend zielt auf eine präzisere und schnellere Risikoanalyse ab, mit einem klaren Ziel: die Reibungen für den Käufer zu reduzieren, ohne den Schutz vor Betrug zu verringern.
Die verfügbaren Daten erlauben keine Schlussfolgerungen über den genauen Zeitplan für das Inkrafttreten der DSP3, aber die Rückmeldungen von Zahlungsdienstleistern in Europa deuten auf eine Verallgemeinerung des frictionless für die überwiegende Mehrheit der gängigen Transaktionen hin.
Nach einem “ohne 3D Secure”-Website im Jahr 2026 zu suchen, bedeutet, ein Problem zu suchen, das bereits durch das Protokoll selbst gelöst wurde. Frictionless existiert, Ausnahmen sind kodifiziert, und die Zahlungsmethoden vervielfältigen sich. Die Reibung, die einige Käufer noch erfahren, ist meist auf eine Bankeneinstellung zurückzuführen, die angepasst werden muss, nicht auf einen Fehler im System.
