Neue Payment-Regel SCA: Was Sie jetzt tun sollten

PSD2? SCA? War da was? Die meisten Händler dürften im Moment andere Sorgen haben, als sich um alte, neue oder aufgeschobene Richtlinien zum Payment zu kümmern. Und überhaupt: Ist die Payment Service Directive 2 (PSD2) nicht bereits längst eingeführt?

Richtig. Die PSD2 ist seit September 2019 in der gesamten EU verbindlicher Standard. Seither sind beim Online-Banking iTAN-Listen abgeschafft und 2-Faktor-Authentifzierung eingeführt - daran haben wir uns längst gewöhnt. Ein wichtiger Standard wurde in Deutschland allerdings noch nicht umgesetzt: Die Strong Customer Authentification (SCA). Ihr zufolge müssen sich Kunden bei einer Online-Zahlung - zum Beispiel in einem Online-Shop - genauso stark authentifizieren, als würden sie eine Überweisung durchführen. Statt wie bisher einfach Paypal-Account und Passwort einzugeben oder Kreditkartennummer, Ablaufdatum und Sicherheitscode abzutippen, heißt es in Zukunft: Die Zahlung muss mit einem zweiten Faktor abgesichert sein.

Die Befürchtung vieler Online-Händler: Mit SCA erhöht sich die Komplexität am Checkout so sehr, dass die Nutzerfreundlichkeit leidet und es zu vermehrten Kaufabbrüchen und damit Umsatzeinbußen kommt.

Die Sorge ist nicht aus der Luft gegriffen. Eine weltweite Studie von GoCardless   und YouGov   bestätigt, dass Verbraucher es im Checkout beim Bezahlen vor allem bequem, schnell und einfach mögen. Fast die Hälfte (48 Prozent) gibt an, bereits mindestens einmal eine Online-Bestellung wegen zu komplexer oder langwieriger Sicherheitsprozesse abgebrochen zu haben.

Jede Frist läuft irgendwann ab

Tatsächlich waren die Bedenken so ernst und die Implementierung bis dahin so mangelhaft, dass die BaFin kurz vor dem Stichtag 14. September 2019 zurückruderte und einen überraschenden Aufschub gewährte, eben bis zum 31.12.2020.

Doch aufgeschoben ist nicht aufgehoben. In etwa fünf Monaten ist es nun soweit: Die SCA wird kommen und am Checkout für Verwirrung beim Verbraucher sorgen. Doch werden die Auswirkungen für die Händler tatsächlich so gravierend sein, wie zunächst angenommen?

Die Antwort lautet: Ja und nein.

• Nein, weil PSD2 und SCA Sache des Payment-Anbieters sind. Sie stellen die Zahlungsabwicklung bereit und sind für die Implementierung von SCA verantwortlich. Die Händler können sich also entspannt zurücklehnen.
  
  
• Ja, weil die Direktive zwar Händler nicht betrifft, sie aber direkt davon betroffen sind. Schließlich sind es ihre Kunden, die an ihrem Checkout stehen ... und eventuell die Zahlung abbrechen.

Das Worst-Case-Szenario: Checkout ohne Ende

Aus letzterem Grund sollten sich Online-Händler unbedingt rechtzeitig mit den Auswirkungen der PSD2 für ihr Geschäft auseinandersetzen. Denn die Umsetzung des SCA kann schon einmal im Desaster enden, wie Beispiele aus dem Ausland zeigen. Um das ganze Ausmaß der möglichen Katastrophe zu verstehen, folgendes, reales Beispiel:

Die Ausgangslage:

Schon seit Tagen lümmeln Sie an der schönen Amalfiküste herum. Nun verspüren Sie den starken Drang, einmal die Insel Capri zu besuchen. Weil Sie Ihr eigenes Motorboot gerade einem weniger gut betuchten Freund geliehen haben, möchten Sie dazu die Fähre nutzen.

Lösung ohne Strong Customer Authentificaton (bisher):

• Sie rufen die Online-Seite des Fährbetreibers auf, buchen das Ticket und bezahlen mit Ihrer Kreditkarte (Nummer, Ablaufdatum, CLV). Fertig.

Lösung mit Strong Customer Authentificaton:

• Sie rufen die Online-Seite des Fährbetreibers auf, buchen das Ticket und geben Ihre Kreditkartendaten (Kartennummer, Ablaufdatum, CLV) ein.
  
• Es öffnet sich ein iFrame, in dem Sie aufgefordert werden, einen Bestätigungscode einzugeben (2. Faktor). Den Code können Sie anfordern, indem Sie mittels eines eingeblendeten Links das Online-Angebot (Web) Ihrer Bank aufsuchen.
  
• Sie öffnen den Link. Ein neuer Browsertab erscheint und Sie dürfen die Login-Daten für Ihr Online-Banking eingeben, die Sie sicherlich auswendig wissen. (Und falls Sie denken, Sie könnten stattdesssen auch einfach Ihre Banking-App öffnen: Nein! Sie müssen die Anwendung im Browser-Frame öffnen.)
  
• Es erscheint ein weiteres leeres Formularfeld und Sie werden aufgefordert, mittels eines vertrauenswürdigen Geräts einen Code abzurufen, mit dem Sie bestätigen, dass es überhaupt Sie sind, der sich ins Online-Banking eingeloggt hat. Meist ist das vertrauenswürdige Gerät Ihr Handy.
  
• Also öffnen Sie auf Ihrem Smartphone die Banking-App (meist mittels Face-ID/Fingerabdruck).
  
• Sie dürfen nun den Code anfordern, müssen dazu aber eine TAN eingeben.
  
• Sie öffnen also den TAN-Generator auf dem vertrauenswürdigen Gerät (meist über Face-ID/Fingerabdruck) und erzeugen die Transaktionsnummer.
  
• Sie wechseln wieder in die Homebanking-App und geben die TAN ein.
  
• Sie erhalten die Validierungsnummer, mit der Sie Ihren Homebanking-Login bestätigen können.
  
• Sie wechseln nun zurück in das Browserfenster mit der Homebanking-Website und geben dort Ihre Validierungsnummer ein.
  
• Nun sind Sie für das Homebanking authentifiziert und können den Bestätigungscode für Ihre Kreditkartenzahlung anfordern. Dafür benötigen Sie allerdings wieder eine TAN.
  
• Also wechseln Sie erneut in den TAN-Generator und erzeugen die gewünschte Ziffernfolge.
  
• Sie wechseln in das Homebanking-Browserfenster und geben die TAN ein.
  
• Sie erhalten den Bestätigungscode für Ihre Kreditkartenzahlung.
  
• Sie wechseln in den iFrame aus dem Checkout-Prozess (falls Sie es noch finden) …
  
• … und geben den Bestätigungscode ein. Fertig.

Es ist unschwer zu erkennen, dass ein so umgesetzter Checkout-Prozess ein reiner - wenn auch PSD2-konformer - Conversionkiller ist.

Payment-Portfolio jetzt prüfen

Das Beispiel zeigt: Wer sich einfach nur auf seinen Payment-Provider verlässt, kann ganz schnell im Wald stehen. Deswegen ist es für jeden Händler sinnvoll, jetzt sein Zahlungsportfolio zu prüfen. Diese Dinge sollten Sie checken:

• Wie sieht der Checkout-Prozess für Kreditkartenzahlungen aus?
  
• Biete ich (genügend) Zahlungsarten an, die nicht dem SCA unterliegen?
  
• Nutze ich alle Ausnahmen, die die Bestimmung zulässt?

1. Checkout für Kreditkarten-Zahlungen prüfen

Um derartig miserable Umsetzungen, wie oben geschildert, zu vermeiden, sollte ein Händler unbedingt den Checkout genau prüfen, den der Zahlungsanbieter in Zukunft vorsieht. Denn natürlich gibt es auch elegantere Umsetzungen für den Payment-Prozess.

So haben Mastercard   und Visa   ihr in die Jahre gekommenes Sicherheitsprotokoll EMV 3D Secure (3DS) weiterentwickelt. Aus "Secure Code" wurde bei Mastercard "Identity Check", "Verified by Visa" wurde abgelöst durch "Visa Secure".

Die neue 3DS-Version enthält eine einfach zu integrierende und leicht zu bedienende Sicherheitsabfrage. Nach Eingabe der Zahlungsdaten fordert ein Banner auf dem Smartphone dazu auf, einen Sicherheitscode zu erzeugen. Dazu wird - wie beim TAN-Generator - per Fingerabdruck eine App geöffnet, die den Code erzeugt und - sofern die Bestellung auf dem Smartphone durchgeführt wird - auch gleich in den Checkout-Prozess überträgt.

Zumindest wenn die entsprechende App zur Verifizierung installiert ist, handelt es sich um einen einfachen Prozess, mit etwa 66 Prozent niedrigeren Abbruchraten, wie Visa versichert.

Damit das funktioniert, müssen aber auch die Händler mitarbeiten. Zur Anwendung von 3DS 2 müssen sie künftig mehr Informationen an den Kartenherausgeber liefern. Denn eine weiter gefasste Datenerhebung verbessert die Risikoanalyse. Die bisherigen Schnittstellen müssen dafür angepasst und ausgebaut werden.

Welche technischen Umstellungen im Einzelfall nötig sind, variiert je nach Anbindung des Payments im Shop. Werden vorkonfigurierte Onlineshop-Module eines Zahlungsdienstleisters verwendet, muss beispielsweise nur ein neues Plugin installiert werden. Die Anpassung der Schnittstellen und die Aktivierung von 3DS 2 erfolgt dann automatisch.

Ist der Webshop hingegen direkt per API an die Payment-Plattform des Zahlungsdienstleisters angebunden, müssen Händler ihre Schnittstelle selbst um die neuen Pflichtwerte des Protokolls erweitern. Geschieht dies nicht, werden Kartenherausgeber künftig Transaktionen als nicht PSD2-konform ablehnen.

Und: Mit der Umstellung auf 3DS 2 und die Zwei-Faktor-Authentifizierung müssen auch die Datenschutzhinweise aktualisiert werden. Die Erhebung und Weitergabe von Kundendaten muss entsprechend der Datenschutzgrundverordnung (DSGVO) in den Vertragsbedingungen vermerkt sein.

2. Alternative Zahlungsarten

Die doppelte Authentifizierung mittels SCA gilt für alle Zahlungen, die online abgewickelt werden. Aber es gibt auch Ausnahmen. Nicht darunter fallen daher zum Beispiel:

• Lastschrift
  
• Rechnung
  
• Vorkasse

Inzwischen gibt es zahlreiche Anbieter, die auch für diese Zahlarten sehr komfortable und sichere Plattformen etabliert haben (Giropay  , Sofortüberweisung, Klarna    etc.). Außerdem ist in vielen modernen Bezahlsystemen ohnehin schon eine Zwei-Faktor-Authentifizierung integriert. Für viele Kunden ist sehr naheliegend, diese Bezahlarten einzusetzen, wenn sie am 3DS 2-Verfahren scheitern. Die wichtigsten sind:

• Apple Pay  
• Google Pay  
• Amazon Pay  
• Paypal  

Gerade die mobilen Bezahlverfahren von Apple und Google haben in den vergangenen Monaten coronabedingt erheblich an Verbreitung gewonnen, sind aber in vielen Online-Shops noch nicht sehr verbreitet. Hier bietet sich eine Chance für viele Händler.

3. Ausnahmeregeln gezielt anwenden

Außerdem gibt es einige Ausnahmen von der Pflicht zur doppelten Bestätigung. Nicht jede elektronische Zahlung im Bereich des Onlinehandels wird von dem SCA-Erfordernis der PSD2 erfasst:

• Kleinbeträge unter 30 Euro sind vom Erfordernis der SCA ausgenommen.
  
• Kunde können Zahlungsempfänger (zum Beispiel ihren Stamm-Händler) auf eine Whitelist setzen lassen, so dass bei der Autorisierung von Zahlungen an diesen Empfänger keine SCA erforderlich ist. Es bietet sich an, eine entsprechende Funktion im Kundenkonto aktiv anzubieten. Allerdings sind die Händler dabei auf die Mitwirkung der Zahlungsanbieter angewiesen.
  
• Die PSD2 reguliert nur Zahlungen innerhalb der EU. Wenn etwa ein Schweizer, ein Amerikaner oder in Zukunft vielleicht auch ein Brite in einem deutschen Onlineshop bezahlt, sind diese Zahlungen nicht von den Vorgaben der PSD2 erfasst.
  
• Zuletzt müssen wiederkehrende Zahlungen (Abonnements) nur einmal initial per 2-Faktor-Authentifizierung bestätigt werden. Die weiteren Abbuchungen dürfen automatisiert werden.

Kontrovers wurde lange außerdem die Frage diskutiert, ob der Händler den eigenen Kundenbereich per Zwei-Faktor-Authentifizierung absichern muss, wenn der Kunde dort eine Zahlung per Vorkasse, Lastschrift oder Rechnungskauf auslösen kann. Inzwischen hat sich aber klar die Ansicht durchgesetzt, dass dies nicht notwendig ist. Weder wird der Händler zum Zahlungsanbieter, weil im Kundenkonto eine Bankverbindung hinterlegt ist, noch ist für diese Zahlungsarten überhaupt eine 2-Faktor-Authentifizierung notwendig.

Die Zeit zur Vorbereitung nutzen

Verglichen mit vielen anderen Online-Aufregungen - wie der Einführung der DSGVO - dürfte SCA zu einem der kleineren Abenteuer werden. Das ist erfreulich, sollte aber nicht dazu führen, dass Sie das Thema vernachlässigen. Denn eine Veränderung am Checkout-Prozess kann immer böse - und teure! - Überraschungen bereithalten. Deswegen ist der Zeitpunkt optimal, sich schon jetzt darauf vorzubereiten.