Was ist Strong Customer Authentication SCA
Was ist Strong Customer Authentication (SCA)?
Seit dem 14. September 2019 ist die PSD2 in Kraft. Die Abkürzung steht für Payment Service Directive 2, die europäische Gesetzgebung für den Zahlungsverkehr. Strong Customer Authentication (SCA) ist ein Bestandteil dieser Gesetzgebung. SCA gilt für alle Online-Zahlungen, bei denen sowohl der Verkäufer als auch der Käufer aus dem Europäischen Wirtschaftsraum stammen.
Update: SCA ist ab dem 31. Dezember 2020 verpflichtend. Sind Sie bei Buckaroo angeschlossen? Dann erfüllen Sie die Richtlinien ab diesem Zeitpunkt automatisch. Sie müssen dafür nichts unternehmen.
Warum wird SCA eingeführt?
Diese neue Regel soll europäische Verbraucher vor Online-Betrug schützen, der Schäden in Millionenhöhe verursacht. Erwartet wird, dass der europäische E-Commerce-Markt bis 2022 auf fast 900 Milliarden Euro wächst.[1] Damit wird auch der Online-Betrug zunehmen. Die Europäische Zentralbank schätzt, dass derzeit jährlich Online-Betrug mit Kreditkarten in Höhe von 1,3 Milliarden Dollar [2] begangen wird. Da Betrüger immer raffinierter vorgehen, darf die Gesetzgebung nicht hinterherhinken. Strong Customer Authentication macht Zahlungen sicherer.
Drei Stufen der SCA
SCA schreibt vor, dass bei Online-Kreditkartenzahlungen ein (zusätzlicher) Authentifizierungsschritt erfolgen muss. Reichten bis vor Kurzem die Kreditkartennummer und der CVC-Code aus, müssen nun zusätzliche Authentifizierungsmethoden eingesetzt werden, damit die Zahlung auf mindestens zwei Authentifizierungsstufen abgesichert ist.
Minimierung des Rückbuchungsrisikos
Rückbuchungen sind ein häufiges Problem für Online-Shops und können zu Umsatzverlusten führen. Kryptozahlungen geben Online-Shops mehr Sicherheit, da das Risiko von Rückbuchungen geringer ist. Krypto-Transaktionen sind nämlich unumkehrbar. Sie müssen sich also keine Sorgen um Rückbuchungen und/oder Betrug machen.
Strong Customer Authentication verlangt:
- Etwas, das Sie wissen (Passwort oder PIN-Code)
- Etwas, das Sie besitzen (Telefon oder Hardware-Token)
- Etwas, das Sie sind (Fingerabdruck oder Gesichtserkennung)
Das herkömmliche Passwort (etwas, das man weiß) können Verbraucher durch einen Fingerabdruck (etwas, das man ist) über ihr Smartphone (etwas, das man besitzt) ersetzen. Diese zweistufige Bestätigung wird auch „Two Factor Authentication“ oder „2FA“ genannt.
Kreditkartengesellschaften wie VISA und Mastercard verfügen bereits über eine eigene Variante der 2FA, nämlich 3D Secure 1.0. Bei einer Kreditkartenzahlung werden Verbraucher während des Bezahlvorgangs auf eine Seite weitergeleitet, auf der sie einen PIN-Code oder ein Passwort eingeben müssen. Das führt oft zu unnötigen Konversionsverlusten.
Im Rahmen der PSD2 wird deshalb 3-D Secure 2.0 eingeführt. Verbraucher schließen die Zahlung zum Beispiel mit einem Fingerabdruck oder per Gesichtserkennung auf ihrem Telefon ab. Mit dieser neuen 3-D-Secure-Variante lässt sich die Authentifizierung also schneller und einfacher durchlaufen. Die Verantwortung für die Einführung eines zusätzlichen Authentifizierungsschritts liegt bei der Issuing Bank, also der Bank, die die Kreditkarte ausgegeben hat. Buckaroo sorgt als Payment Service Provider, wo immer möglich, für einen reibungslosen Zahlungsprozess. Dazu prüfen wir unter anderem zuerst, ob 3-D Secure 2.0 überhaupt nötig ist, denn es gibt Ausnahmen.
Welche Ausnahmen gelten bei SCA?
SCA ist für alle Online-Transaktionen verpflichtend, es gibt jedoch Ausnahmen. Bei Zahlungen mit geringem Risiko etwa muss ein Kunde seltener per SCA verifiziert werden. Buckaroo passt seinen Check-out-Prozess an, damit Online-Shops die Ausnahmen voll nutzen können und die Konversion nicht beeinträchtigt wird.
Die wichtigsten Ausnahmen sind:
- Zahlungen mit geringem Risiko
Auf Grundlage einer Risikoanalyse durch den Zahlungsabwickler. - Zahlungen unter 30 Euro
Gibt es jedoch mehr als 5 Zahlungen oder liegt der Gesamtbetrag über 100 Euro? Dann muss SCA dennoch erfüllt werden. - Abonnements oder wiederkehrende Zahlungen in gleicher Höhe an dieselbe Organisation? Dann muss nur die erste Zahlung SCA erfüllen.
- Vom Verkäufer veranlasste Zahlungen
Zum Beispiel Abonnements und Lastschriften über die Kreditkarte. Nur die erste Zahlung erfordert SCA. Ob SCA nötig ist, entscheidet jedoch die Bank des Zahlenden. - Vertrauenswürdige Empfänger , die Verbraucher nach Abschluss einer Zahlung selbst markieren können. Diese Liste sogenannter „Trusted Beneficiaries“ wird von der Bank des Verbrauchers oder über den Payment Service Provider verwaltet.
- Interregionale Transaktionen, bei denen entweder der Issuer oder der Acquirer von außerhalb der EU stammt, fallen nicht unter die PSD2-Vorschriften. Eine Kreditkarte aus Amerika kann also eine Ausnahme darstellen.
Wie läuft der Zahlungsablauf mit SCA ab?
Wählt ein Verbraucher „Mit Kreditkarte bezahlen“, prüft Buckaroo, ob SCA angewendet werden muss oder nicht. Ob SCA nötig ist, hängt von der Kreditkarte und den Ausnahmen ab. Ob die Ausnahme akzeptiert wird, entscheidet jedoch weiterhin die Issuing Bank. Schematisch sieht der Zahlungsablauf (mit oder ohne SCA) so aus:
Was muss ich als Online-Shop oder Online-Händler in Bezug auf SCA tun?
Online-Händler müssen selbst nichts anpassen. Buckaroo sorgt dafür, dass alle Änderungen, die zur Erfüllung der neuen Richtlinie nötig sind, im Check-out-Prozess umgesetzt werden. Wo möglich, wenden wir Ausnahmen von der Strong Customer Authentication an, damit der Bezahlvorgang reibungslos abläuft.
[1] https://451research.com/451-research-s-global-unified-commerce-forecast-uncovers-dramatic-shifts-in-consumer-spending-patterns
[2] https://www.ecb.europa.eu/pub/cardfraud/html/ecb.cardfraudreport201809.en.html
*Hinweis: Der Inhalt dieses Blogbeitrags basiert auf der offiziellen PSD2-Richtlinie.
