3-D Secure

Wofür steht die „3-D" in 3-D Secure?

Der Name bezieht sich auf die drei beteiligten Domänen im Protokoll: die Domäne des Händlers (Acquirer-Seite), die Domäne der kartenausgebenden Bank (Issuer-Seite) und eine gemeinsame Interoperabilitätsdomäne dazwischen, über die die Authentifizierungsdaten ausgetauscht werden. Praktisch relevant ist das für Shop-Betreiber kaum — wichtig ist nur, dass alle drei Seiten technisch mitspielen müssen, damit der Flow reibungslos läuft.

Wie läuft eine 3DS2-Authentifizierung ab?

1. Der Kunde schließt den Checkout mit Kreditkarte ab.
2. Im Hintergrund übermittelt der Payment Service Provider Risikodaten (Gerät, Bestellhistorie, IP) an die Bank des Karteninhabers.
3. Stuft die Bank die Transaktion als risikoarm ein, kann die Zahlung ohne sichtbare Zusatzabfrage durchlaufen (Frictionless Flow).
4. Bei höherem Risiko fordert die Bank eine aktive Bestätigung an — meist per Freigabe in der Banking-App, seltener per SMS-Code (Challenge Flow).
5. Nach erfolgreicher Bestätigung wird die Zahlung autorisiert und abgeschlossen.

Haftungsumkehr: Der eigentliche Grund für 3DS

Der wirtschaftlich wichtigste Effekt von 3-D Secure ist die sogenannte Liability Shift: Wird eine Zahlung erfolgreich per SCA authentifiziert, verschiebt sich die Haftung für einen späteren Betrugsfall von Händler auf die Bank des Karteninhabers. Ohne 3DS trägt im Zweifel der Händler das Risiko eines Chargebacks wegen unautorisierter Nutzung — mit erfolgreicher Authentifizierung liegt der Nachweis der Autorisierung bei der Bank.

Das Conversion-Spannungsfeld

3-D Secure senkt das Betrugsrisiko, kostet aber potenziell Umsatz: Jeder zusätzliche Klick im Checkout ist ein Punkt, an dem Kunden abspringen können — sei es durch eine verzögerte Push-Benachrichtigung, eine verwirrende Banking-App oder schlicht Ungeduld. Der Frictionless Flow von 3DS2 wurde genau deshalb entwickelt: Je mehr Risikodaten der PSP sauber an die Bank übermittelt, desto häufiger kann die Bank auf eine sichtbare Abfrage verzichten, ohne die Haftungsumkehr zu verlieren. Für Shop-Betreiber heißt das: Die technische Qualität der PSP-Integration entscheidet mit darüber, wie oft Kunden überhaupt eine Challenge sehen.

Ausnahmeregeln (Exemptions): Wann darf die Bank auf eine Challenge verzichten?

PSD2 sieht mehrere Ausnahmen von der strengen Authentifizierungspflicht vor, die den Frictionless Flow zusätzlich stärken:

Die endgültige Entscheidung über eine Ausnahme liegt jedoch immer bei der Bank des Karteninhabers, nicht beim Händler oder PSP — diese können eine Ausnahme lediglich anfragen. Für Shop-Betreiber lohnt sich dabei vor allem der Blick auf die Transaction Risk Analysis: Je vollständiger und sauberer der PSP Bestell- und Kundendaten an die Bank übermittelt, desto eher stuft diese eine Transaktion auch oberhalb der Kleinbetragsgrenze noch als risikoarm genug für einen Frictionless-Verlauf ein.

3DS2 in JTL-Shop und Shopify: Wer kümmert sich um die Umsetzung?

Für die meisten Shop-Betreiber ist 3-D Secure kein Feature, das selbst entwickelt werden muss — es wird vom Zahlungsdienstleister beziehungsweise dessen Plugin bereitgestellt. In JTL-Shop übernehmen die Payment-Module (etwa für Mollie, PayPal, Klarna oder Computop) den vollständigen 3DS2-Flow inklusive Weiterleitung zur Bank-Challenge; wichtig ist lediglich, ein aktuelles, gepflegtes Plugin einzusetzen, da veraltete Integrationen teils noch auf der alten 3DS1-Logik basieren und dadurch unnötig viele Kunden in einen störanfälligen Pop-up-Flow schicken. Bei Shopify übernimmt Shopify Payments beziehungsweise die jeweilige Kartenzahlungsanbindung die 3DS2-Prüfung automatisch für Transaktionen im EWR, ohne dass der Händler die Konfiguration im Detail anfassen muss. Handlungsspielraum bleibt vor allem bei der Frage, welche Zusatzdaten — etwa Rechnungsadresse oder Kontohistorie — an den Checkout übergeben werden, denn davon hängt ab, wie oft die Bank auf eine sichtbare Challenge verzichten kann.

Warum 3DS2 anders funktioniert als die alte 3DS1-Generation

Die erste 3DS-Generation war für viele Kunden ein reiner Conversion-Killer: Jede Kartenzahlung führte zu einem Pop-up mit statischem Passwort, das viele Nutzer längst vergessen hatten. 3DS2 löst dieses Problem durch deutlich mehr im Hintergrund übermittelte Risikodaten (Gerätekennung, Bestellhistorie, Lieferadresse), wodurch die Bank in der Mehrheit der Fälle ganz ohne sichtbare Abfrage entscheiden kann. Der Umstieg von 3DS1 auf 3DS2 war deshalb einer der größten Hebel der vergangenen Jahre, um SCA-Konformität und Checkout-Conversion gleichzeitig zu verbessern.

Fazit

3-D Secure ist kein optionales Sicherheits-Add-on mehr, sondern für die meisten Kartenzahlungen im EWR regulatorische Pflicht. Der wirtschaftliche Vorteil liegt in der Haftungsumkehr bei Betrugsfällen — der Preis ist eine potenzielle Reibung im Checkout, die sich mit einer sauberen 3DS2-Integration und gut genutzten Ausnahmeregeln aber meist auf ein Minimum reduzieren lässt.

Typische Fehler aus der Praxis

1. PSP-Integration ohne vollständige Risikodaten, wodurch unnötig viele Transaktionen in den Challenge Flow rutschen statt frictionless durchzulaufen.
2. Kein Monitoring der Abbruchquote im Checkout — ein Sprung in Kartenabbrüchen kann auf ein technisches Problem im 3DS-Flow hindeuten, nicht nur auf schlechte UX.
3. Ausnahmeregeln nicht genutzt, obwohl der PSP sie für Kleinbeträge oder wiederkehrende Zahlungen anbieten würde.
4. 3DS als reines Compliance-Thema abgehakt, statt es als Teil der Conversion-Rate-Optimierung im Checkout zu betrachten.

Bei der technischen Einrichtung eines PSP mit sauber konfiguriertem 3DS2-Flow — ohne unnötige Conversion-Verluste — unterstützen wir als E-Commerce-Agentur.