Neue Payment-Regelung SCA rückt näher: Wie Onlinehändler ihren Checkout optimieren

Wieder droht ein rechtlicher Countdown, der Onlinehändler zum Handeln zwingt. Nur noch bis zum 14. September haben sie Zeit, ihren Shop an die neue Payment-Services-Directive 2 (PSD2) anzupassen und vor allem an die Starke Kundenauthentifizierung (Strong Customer Authentification/SCA), die dann für Onlinezahlungen Pflicht wird. Wo früher die Kreditkartennummer ausreichte, müssen sich Konsumenten dann mit mindestens zwei von drei Faktoren authentifizieren, um eine Reise zu buchen oder Produkte zu shoppen. Doch laut der aktuellen EHI  -Studie 'Online-Payment 2019' hinken viele Onlinehändler bei der Implementierung hinterher. Zum einen, weil sie sich noch nicht ausreichend informiert haben und zum anderen, weil sie davor zurückschrecken. Die Befürchtung: Die SCA erhöht die Komplexität im Checkout, darunter leidet die Nutzerfreundlichkeit, was zu vermehrten Kaufabbrüchen und damit Umsatzeinbußen führen wird.

Weniger Umsatz und mehr Kosten

Für die Studie wurden 111 Onlinehändler - Pureplayer und Omnichannel - befragt. Immerhin haben gut zwei Drittel der Befragten die technischen Voraussetzungen für die Umsetzung der neuen Payment-Vorgaben in ihren Onlineshops bereits geschaffen. Der Rest hat noch große Wissenslücken oder ist erst dabei, sich mit dem Thema auseinanderzusetzen. Grundsätzlich überwiegt der Pessimismus: Ganze 82 Prozent der befragten Händler erwarten mehr Kaufabbrüche, 68 Prozent mehr Arbeit für den Kundenservice, 39 Prozent zudem hohe IT-Zusatzkosten. Die drohenden Folgen scheinen gewaltig: In seinem Report "The Impact of SCA"   geht der Zahlungsdienstleister Stripe   von Umsatzeinbrüchen in Höhe von 57 Milliarden Euro für europäische Onlinehändler im ersten Jahr nach Einführung der SCA aus. Henning Brandt , Head of Communication beim Zahlungsdienstleister Computop   hält diese Zahlen jedoch "für komplett überzogen". Der gesamte E-Commerce-Markt für Deutschland liegt bei 59 Milliarden Euro. Das würde bedeuten, dass ein Markt in der Größe Deutschlands in Europa wegbräche. "Und das ist Unfug". Seiner Ansicht nach werden die wenigsten Kunden, die online einkaufen, sich davon abhalten lassen, weil die Bezahlung mit der Kreditkarte nicht funktioniert. "Die gehen deshalb nicht in den stationären Handel, sondern verwenden eine andere Zahlart", so Brandt.

Dreh- und Angelpunkt ist künftig der neue 3DSecure2.0-Standard, auf den sich die Branche geeinigt hat, um die Zwei-Faktor-Authentifizierung zu erleichtern. Doch vor allem kleinere Unternehmen haben das Thema noch nicht wirklich auf dem Schirm. "Während sich 3D Secure 2 (3DS2) als das primäre Framework herauskristallisiert, mit dem Online-Unternehmen die Anforderungen von SCA erfüllen werden, sind 25 Prozent der Online-Unternehmen noch nicht damit vertraut", heißt es in der Stripe-Analyse. 24 Prozent der bereits handelnden Unternehmen glauben, dass sie die Richtlinie erst nach Ablauf der Frist im September umsetzen werden, während immerhin 45 Prozent die Umstellung nahezu pünktlich abschließen.

So bereiten sich Saturn und Bonprix vor

Omnichannel-Händler Saturn   sieht sich bestens vorbereitet: "Wir sind hier bereits sehr gut aufgestellt und daher nur geringfügig von den neuen Regelungen betroffen", sagt eine Sprecherin des Unternehmens auf Anfrage. "Aktuell stellen wir beim 3-D-Secure für Kreditkarten auf die neueste Version um. Durch die erleichterte Handhabung erwarten wir sogar eine gesteigerte Conversion Rate." Anders der Versandhändler Bonprix  : "Zur Start- und Übergangszeit kalkulieren wir aktuell mit einer erhöhten Abbruchquote. In den Länderaktivitäten mit ausgeprägter Kreditkartennutzung werden wir ganz genau beobachten, wie sich die Conversion Rate verändert, um gegebenenfalls schnell Anpassungen vorzunehmen", erklärt Marco Annen, Abteilungsleiter Kreditmanagement bei Bonprix.

Um sich auf die neue Richtlinie vorzubereiten, habe Bonprix "ein cross-funktionales Team" aufgesetzt, bestehend aus Experten der Fachgebiete Payment, Check-Out, UX, Backend, Datenschutz und Customer Care. "Das Team tauscht sich eng mit unseren Partnern, Payment-Service-Providern und Acquirern, Konzernunternehmen und Marktteilnehmern aus, um einerseits die gestellten Anforderungen lückenlos umzusetzen und andererseits finanzielle Risiken durch einen möglichen Anstieg der Kaufabbrüche bestmöglich zu minimieren", so Annen. Die notwendigen Anpassungen im Checkout-Prozess richten sich dann nach Länderaktivität und Zahlungsarten-Mix.

Saturn erwartet durch die SCA Mehrkosten, die "sehr überschaubar" sind. Auch Bonprix bemüht sich, "den finanziellen Aufwand in Grenzen zu halten". Der Händler nutzt dafür, wo es möglich ist, interne Ressourcen. Ansonsten arbeitet Bonprix mit den Zahlungsdienstleistern Computop  , Concardis   und Ingenico   zusammen.Laut Henning Brandt von Computop hängen die möglichen Mehrkosten von der Infrastruktur beim Händler ab und welchen Aufwand er hat, um die benötigten Daten zu erzeugen. Das sind zum Beispiel Daten, die an der Warenwirtschaft hängen, es gibt Felder für Produktbezeichnung, für Kategorie, Branche, aber auch wie häufig sich der Kunde in sein Kundenkonto einlogge. "Wenn ein Kunde regelmäßig kauft, ist das mit einem geringeren Betrugsrisiko behaftet. Informationen dieser Art sollte das Händlersystem zur Verfügung stellen.".

Verbraucher lieben Sicherheit und Komfort

Was die SCA erfordert
Für die Zwei-Faktor-Authentifizierung müssen zwei aus drei möglichen Faktoren ausgewählt werden: etwas, das der Nutzer besitzt - z.B. die Girocard oder das Smartphone (Besitz) etwas, das der Nutzer weiß - z.B. ein Passwort oder eine PIN (Wissen) etwas, das der Nutzer ist - z.B. biometrischer Fingerabdruck, Gesichtserkennung (Inhärenz)

Die Ängste vor der Reaktion der Konsumenten sind nicht aus der Luft gegriffen, wie eine weltweite Studie von GoCardless   und YouGov   bestätigt, für die auch mehr als 1.000 Verbraucher in Deutschland befragt wurden. Fazit: Der Verbraucher liebt es im Checkout beim Bezahlen bequem, schnell und einfach. Fast die Hälfte (48 Prozent) der Verbraucher gibt an, bereits mindestens einmal eine Online-Bestellung wegen zu komplexer oder langwieriger Sicherheitsprozesse abgebrochen zu haben. Tendenzen, die auch der Stripe-Report "The Impact of SCA" bestätigt. Demnach finden bereits heute nur 47 Prozent der europäischen Verbraucher, dass der Online Checkout Prozess einfach zu handhaben ist. Doch offenbar ist Sicherheit grundsätzlich ein gutes Argument: Laut der Analyse ziehen es 60 Prozent der europäischen Verbraucher vor, vor jedem Online-Geschäft authentifiziert zu werden. Nur 17 Prozent wollen keine Authentifizierung.

Mehr Sensibilität für Datensicherheit belegt auch eine aktuelle Payment-Studie der Gesellschaft für Konsumforschung (GfK)  . Für 66 Prozent der Befragten ist eine sichere und geschützte Bezahlung der wichtigste Faktor beim Online-Einkauf. 52 Prozent der Onlineshopper erwarten, dass das Einkaufen und Bezahlen möglichst einfach ist. Vor allem die jüngeren Befragten zwischen 18 und 29 Jahren (46 Prozent) legen zudem großen Wert auf den Faktor Schnelligkeit. Grundsätzlich finden 45 Prozent der 1.008 befragten Verbraucher die Einführung der neuen EU-Regelung gut.

Dabei ist die Zwei-Faktor-Authentifizierung nicht neu: Schon heute können Nutzer bei vielen Anwendungen auf Wunsch einen weiteren Sicherheitsfaktor hinzufügen, um ihre Daten zu schützen. Laut GfK haben in den vergangenen zwölf Monaten 37 Prozent der Befragten bei mindestens einer Anwendung diese Möglichkeit genutzt. Vor allem bei jungen Verbrauchern ist diese zusätzliche Sicherheitsoption beliebt.

49 Prozent der Befragten bevorzugen dabei eine PIN, 30 Prozent den Fingerabdruck als Identitätsnachweis, sieben Prozent die Gesichtserkennung. "Wir gehen davon aus, dass mit der Zwei-Faktor-Authentifizierung vor allem biometrische Authentifizierungsverfahren an Bedeutung gewinnen werden. Viele Smartphone-Besitzer nutzen schon jetzt ihren Fingerabdruck oder die Gesichtserkennung, um ihr Mobiltelefon zu entsperren", erklärt Peter Bakenecker, Division President Deutschland und Schweiz bei Mastercard  .

Die Ausnahmen zur SCA

Laut der EHI-Studie hat sich gut ein Drittel der befragten Händler für die Anpassung ihres Onlineshops an die neuen Regelungen entschieden. 16 Prozent der Händler haben sich zu dem Thema noch keine Gedanken gemacht. Fast die Hälfte setzt auf Ausnahmen zur SCA. Und da gibt es einige Möglichkeiten, wie unter anderem der Bundesverband E-Commerce und Versandhandel (BEVH)   gemeinsam mit Payment-Dienstleister Computop   in einem SCA-Paper sowie die Bundesanstalt für Finanzdienstleistungsaufsicht (Bafin)   auflisten:

Whitelist: Die Zahler können innerhalb ihres Onlinebanking-Portals vertrauenswürdige Händler (Trusted Beneficiaries) kennzeichnen und auf eine Whitelist setzen. Die SCA findet dann zur Bestätigung lediglich einmalig statt. Allerdings sind Banken nicht verpflichtet, eine Whitelist zu führen. "Leider werden von den Tausenden europäischen Banken nur wenige bis zum 14. September 2019 dafür bereit sein", sagt Olivier Godement, Product Manager Payment Flows bei Stripe. Dieser Service werde erst langfristig zur Verfügung stehen. Übrigens: Auch die Bank oder der Zahlungsdienstleister kann eine Liste von vertrauenswürdigen Empfängern vorschlagen. Außerdem seien Umsetzungen geplant, in denen der Kunde im Checkout einen Anbieter direkt in seine präferierten Liste aufnehmen kann, ergänzt Sven März, Geschäftsführer von GoCardless Deutschland. Die Details der Umsetzung können von Bank zu Bank variieren. Auch hier sorgt Bonprix vor: "Aktuell befinden wir uns in Abstimmung mit unseren Payment-Partnern und planen konkrete Maßnahmen für 2020, wenn das Whitelisting aktiviert wird", erklärt Marco Annen, Abteilungsleiter Kreditmanagement.

Kleinbeträge: Von der SCA befreit sind Kleinbeträge bis zu 30 Euro, solange seit der letzten SCA die Grenze von 100 Euro oder mehr als fünf Zahlungen ohne SCA nicht überschritten wurden. Voraussetzung ist eine positive Risikoanalyse.

Wiederkehrende Zahlungsvorgänge (z.B. Abos): Hier erfolgt die Zahlungsauslösung durch den Händler. Auch diese sind von der SCA befreit, wenn die Autorisierung des Abonnements einmal darüber bestätigt wurde. Diese gilt auch dann noch, wenn Beiträge in einem moderaten Rahmen steigen oder sich der Zahlungszeitpunkt verschiebt. Abos, die vor Einführung der PSD2 geschlossen wurden, gelten weiter und erfordern ebenfalls keine SCA.

B2B: Grundsätzlich unterliegen B2B-Zahlungen der SCA genauso wie B2C-Zahlungen. Ausnahme: Zahlungsmethoden mit hohem Sicherheitsniveau, zu denen nur Unternehmen zugelassen sind.

Transaktionsanalyse, durchgeführt vom Acquirer (Händlerbank): Jede eingehende Kartenzahlung wird automatisch daraufhin untersucht, ob das Betrugsrisiko gering ist. Wird dies bejaht, kann auf eine starke Kundenauthentifizierung verzichtet werden. Indizien für ein erhöhtes Betrugsrisiko können laut Bafin etwa eine Abweichung von den üblichen Verhaltensmustern des Kunden sein oder eine Ähnlichkeit zu bekannten Betrugsmustern. Festgelegte Betrugsquoten dürfen dabei nicht überschritten werden. Beispiel: Internet-Kartenzahlungen bis 500 Euro sollen potenziell freigestellt werden. Dann darf die Betrugsquote dieses Zahlungsdienstleisters bei solchen Zahlungen 0,01 Prozent nicht übersteigen.

Das Problem laut Henning Brandt von Computop: Der Prozess ist momentan so aufgebaut, dass die Acquirer die notwendigen Daten noch gar nicht zu sehen bekommen. Denn schon bei der Autorisierung durch die Issuer (Kartenherausgeber), also bevor überhaupt Geld fließt, erfolgt die Authentifizierung. In den Protokollen für die Acquirer waren diese Datenfelder bisher nicht vorgesehen. Erst Anfang Juli wurde ihm zufolge ein entsprechendes Protokoll verabschiedet für den deutschen Kreditkartenstandard GICC. "Die Acquirer hatten also gar keine Chance, sich vorzubereiten auf die erweiterte Transaktionsrisikoanalyse", so Brandt.

Was auf die Händler zukommt

Daraus resultiere auch die große Aufgabe des Händlers, mehr Daten für Issuer und Acquirer zur Verfügung zu stellen für 3DSecure 2.0. "Diesen Prozess müssen sie technisch möglich machen und integrieren, auch in der App", so der Rat von Brandt. Der Händler müsse wissen, welche Daten mindestens nötig sind. "Das sind gar nicht so viel mehr als mit der ersten Version 3D Secure 1. Aber er kann künftig viel mehr Daten rausgeben: Etwa 20 Felder sind Pflicht, aber bis zu 130 Felder sind möglich." Je mehr Daten der Händler rausgibt, umso besser sei die Transansaktionsrisikoanalyse. Und umso größer die Wahrscheinlichkeit, dass der Endverbraucher nicht mehr mit der Abfrage konfrontiert wird.

PSD2, SCA, Zwei-Faktor-Authentifizierung? Den meisten Kunden sind diese Begriffe wohl genauso unbekannt wie die Datenschutzgrundverordnung (DSGVO), die "plötzlich" lästige Zusatzklicks verlangte. Laut Stripe sind sich fast drei Viertel (73 Prozent) der Käufer der neuen Authentifizierungsanforderungen nicht bewusst, die im September beim Bezahlen an der Online-Kasse auf sie zukommen. Umso genervter werden sie auf die zusätzliche Hürde reagieren.

Deshalb ist die Vorbereitung dringend geboten: "Es ist wichtig, jetzt mit der Planung zu beginnen, um Nachteile ab dem 14. September zu vermeiden", rät Olivier Godement von Stripe. Ihm zufolge haben europäische Händler prinzipiell jetzt drei Handlungsoptionen, "wobei keine von ihnen perfekt ist", so Godement.

• 1. Implementierung von 3DS für jede Transaktion: Die einfachste Lösung für Händler, die implementiert werden kann, ist auch die kostenintensivste. Nach Stripes Schätzungen würden Unternehmen durch den systematischen Einsatz von 3DS 14 Prozent des Gesamtumsatzes verlieren, da es zu zusätzlichen Conversion-Verlusten käme.
• 2. Aufbau einer komplexen Inhouse-Lösung, um die Anforderungen von SCA zu erfüllen: Unternehmen können sich dafür entscheiden, ihre eigenen Zahlungsströme auf der Grundlage der neuen Verordnung und ihrer Auslegung neu aufzubauen, sich direkt in SCA-fähige Zahlungsmethoden (3DS2, biometrische Zahlungsmethoden) zu integrieren und Ausnahmelogiken für Transaktionen mit geringem Risiko aufzubauen. Aber die Komplexität von SCA, der enge Zeitrahmen und die Anzahl der beteiligten Akteure (Rechtsabteilung, Finance, Entwicklung, Design...), die für Umsetzung erforderlich sind, macht diesen Weg für 99,99 Prozent der europäischen Händler unrealistisch.
• 3. Nutzung einer modernen Lösung von Drittanbietern, die SCA-ready ist, die die Einhaltung der Vorschriften in verschiedenen Regionen erleichtert und für Ausnahmen mit Regulierungsbehörden und Finanzakteuren in ganz Europa optimiert: Diese Option ist zwar langfristig die beste für europäische Unternehmen, erfordert allerdings dennoch Entwicklerzeit für Integration und Testing. Außerdem muss der perfekte Partner auch erst einmal gefunden werden.

In die Optimierung des Checkout investieren

Auch künftig gilt, dass der Checkout-Prozess reibungslos ablaufen muss, ohne die Sicherheit der Benutzer zu beeinträchtigen. Deshalb sollten Händler zunächst ihre Checkouts optimieren, um Conversion-Verluste bei SCA-kompatiblen Zahlungsmethoden zu minimieren. "Kunden haben eine sehr geringe Toleranz gegenüber schlechten Checkouts, daher ist es für Online-Händler wichtig, den Prozess so einfach wie möglich zu gestalten", sagt Payment-Experte Godement. Deshalb sollten die Händler Kosten für die Prüfung und Optimierung des Prozesses einplanen, rät Sven März von GoCardless. Auch die Einführung einer Zahlungsmethode kann weitere Kosten verursachen.

SCA oder nicht, das ist hier die Frage

Außerdem sollten die Händler festlegen, wann SCA benötigt wird und in welchen Situationen sie einem Kunden keine Starke Authentifizierungsanfrage schicken müssen. Denn SCA gilt, wie oben in den Ausnahmen beschrieben, nicht für jede Online-Transaktion. Die Whitelist sei besonders wichtig für Unternehmen, die viele Stammkunden haben, denn diese müssten sich bei zukünftigen Einkäufen nicht mehr authentifizieren. Doch damit ist auch ein hoher Aufwand für die Händler verbunden, denn die Gewährung von Ausnahmen hänge von der Bank des Kunden ab. "Für ein Unternehmen, das in mehreren europäischen Märkten tätig ist, würde die Verwaltung von Ausnahmen bedeuten, direkt mit lokalen Banken zusammenzuarbeiten. Es gilt zu bedenken, dass es mehr als 6.000 Banken in Europa gibt", so Godement.

Kunden wollen Sicherheit, Komfort und Vielfalt

Wie finden Händler die Balance zwischen der erforderlichen Sicherheit und dem Komfort, den Kunden erwarten? "Die Sicherheit der Kunden- und Zahlungsdaten hat bei uns oberste Priorität", erklärt Marco Annen von Bonprix. "Bei Zielkonflikten ist die Richtung damit vorgegeben. Nichtsdestotrotz wollen wir für unsere Kundinnen den Einkaufsprozess so smart wir möglich gestalten und berücksichtigen durch unsere cross-funktionale Zusammenarbeit die unterschiedlichen Perspektiven." Die Verantwortung für die Authentifizierung des Kunden werde mit der neuen Regelung noch stärker bei den Zahlungsdienstleistern liegen, heißt es von Saturn. "Wir als Händler setzen für einen hohen Komfort auf ein breites Spektrum an Zahlarten. Dadurch wollen wir unseren Kunden ermöglichen, ihr individuell präferiertes Zahlmittel zu nutzen." Saturn arbeitet mit Paypal  , Paydirekt  , Klarna   , Kreditkartenunternehmen wie Visa  , Mastercard, American Express   sowie für Finanzierungen mit Consors Finanz  , Santander   und Targobank   zusammen.

SCA ist kurzfristig ein Risiko für Händler

"Es gab immer schon immer ein Abwägen zwischen Benutzerfreundlichkeit und Sicherheit. Jetzt hilft moderne Technologie, diese Gleichung zu lösen", sagt Oliver Godement. Die Branche habe sich auf das neue Protokoll 3D Secure 2 konzentriert, das auch biometrische Authentifizierung - wie Apple Pay oder Google Pay - SCA-konform mache. Dadurch gibt es nun mehr Varianten, die zur Auswahl stehen. Wenn Händler diese ihren Kunden vorrangig anbieten, lassen sich potenzielle Verluste minimieren. "Langfristig wird 3DS2 dazu beitragen, die meisten Transaktionen sowohl sicher als auch komfortabel zu gestalten", so Godement.

SCA: Wer rechtlich verantwortlich ist

Der BEVH und Computop weisen darauf hin, dass der Händler grundsätzlich keine Entscheidungsfreiheit hinsichtlich der SCA hat. "Sie ist zwingende Voraussetzung im elektronischen Zahlungsverkehr." Rechtlich verantwortlich für die Umsetzung der Regelungen im Shop sind demnach die Zahlungsdienstleister, die die Zahlungsauslösungen ausführen und den Zahlungspflichtigen authentifizieren. Über die Auswahl entscheiden die Zahlarten-Anbieter. So authentifiziert Apple Pay Einkäufer über ein verbundenes iPhone mit biometrischer Erkennung. Online-Überweisungsverfahren verwenden häufig eine TAN aus einer App. Auch Paypal muss umstellen. Die reine Passwortanmeldung reicht nicht mehr aus. Die Anbieter der Zahlarten sind verpflichtet, dem Händler den Prozess der SCA bereitzustellen. Diesen bindet der Händler dann in der Regel über ein iFrame ein. Die Abfrage findet also technisch gesehen nicht auf seiner Seite statt. Händler sind für die SCA verantwortlich, wenn sie selbst die Zahlungsauslösung vornehmen, etwa über eine Schnittstelle zu den Banken. Ein Sonderfall sind auch Instant Payments. (Quelle: Q&A-Starke Kundenauthentifizierung im Rahmen der Umsetzung der PSD2, BEVH  )

Dieses neue Protokoll müsse jedoch erst von allen Beteiligten implementiert werden. "Und dieser Schritt ist noch längst nicht abgeschlossen. Aus diesem Grund ist SCA kurzfristig ein potenzielles Risiko für viele Händler." Sein Rat: Händler sollten in eine Software investieren, die ihnen dabei hilft, die oben genannten Ausnahmeregelungen zur SCA anzuwenden. Denn für einen kundenfreundlichen Checkout sei es wichtig, dass zusätzliche Schritte nur bei Bedarf ausgelöst werden. Stripe etwa biete dafür in seiner SCA-Box eine entsprechende Payment Intents API.

Kunden schon heute informieren

Der Checkout von Saturn werde im Großen und Ganzen unverändert bleiben, erklärt der Omnichannel-Händler. "Denn bereits heute informieren wir bei Kreditkartenzahlungen unsere Kunden darüber, dass sie bei der Bezahlung unter Umständen nach einem Kennwort gefragt werden", sagt die Unternehmenssprecherin. Der Checkout von Bonprix wird unter anderem von Sendcloud   als vorbildlich für seine Kundenfreundlichkeit gepriesen. Das soll auch so bleiben. Zur Information der Kundinnen stellt der Händler ausgewiesene Service-Seiten für die Themen Zahlungsarten und Checkout zur Verfügung. Ansonsten ändere sich wenig: "Sichtbare Veränderungen in den nationalen und internationalen Bonprix Webshops werden gering ausfallen. Der Prozess der Authentifizierung wird durch die Payment-Service-Provider übernommen", so Annen.

Zahlungsanbieter und Shop-Anbieter kontaktieren

Kleinere Händler sollten ihre Bezahlmethoden prüfen und im September ihre Conversion-Rate im Blick behalten, rät Sven März, GoCardless. "Sollte es zu einem Abfall der Conversion-Rate kommen, sollte das Bezahlverfahren überdacht und neu priorisiert werden", so sein Rat. Um im September dann gegebenenfalls schnell eine Entscheidung treffen zu können, sollten die Händler schon jetzt mit den entsprechenden Zahlungsanbietern Kontakt aufnehmen. Zahlungsdienstleister Concardis   rät in seinem Blog  , auch den Shop-Anbieter zu kontaktieren, um sicherzustellen, dass er die Zahlungsabwicklung des Payment Service Providers in den Online-Shop einbindet. Das könnte eine Erweiterung der Shop-Schnittstelle erforderlich machen.

Den besten Zahlungsmix finden

Eine Kunst ist und bleibt es, den richtigen Zahlungsmix zu finden, denn jedes Zahlungsmittel habe "Vor- und Nachteile in Bezug auf die Präferenz der Kunden, Conversion und Kosten", so März. Die Verbraucher wünschen sich Vielfalt, das zeigt die GfK-Studie. Jeder zweite Verbraucher (54 Prozent) sieht es als größte Schwierigkeit bei der Online-Zahlung, wenn seine bevorzugte Zahlungsart nicht verfügbar ist. Laut EHI können Kunden im Schnitt zwischen sieben Zahlungsarten in den Top 1.000 Onlineshops wählen. Am meisten Umsatz wird über den Kauf auf Rechnung generiert, somit zählt diese Zahlungsart weiterhin zu der beliebtesten in Deutschland. Laut Saturn wird das auch so bleiben: "Unserer Einschätzung nach wird die Bezahlung per Smartphone (Apple Pay und Google Pay) weiter an Attraktivität gewinnen, genauso wie der Kauf auf Rechnung." Laut Bonprix werden die Zahlungsarten Lastschrift und PayPal beliebter und langfristig die Kreditkarten-Schemes.

"Kurzfristig als Antwort auf die PSD2 werden Rechnungen und Lastschriftverfahren einen Schub bekommen", glaubt auch Henning Brandt von Computop. "Das ist auch unser Rat an die Händler: Bei Zahlarten sollten sie einen Rechnungskauf anbieten, idealerweise geschützt, damit sie das Risiko nicht tragen müssen. Auch eine Lastschrift macht Sinn, weil beide Zahlarten von der PSD2 ausgenommen sind." Der Kunde könne dann relativ einfach die Zahlarten wechseln. "Wer das noch nicht anbietet, sollte es jetzt tun, als Vorbereitung auf die PSD2".

Auch Stripe-Manager Godement rät Onlinehändlern "so viele Zahlungsmöglichkeiten wie möglich in ihren Checkout zu integrieren". Ein häufiger Fehler, den ihm zufolge viele Onlineshops immer noch machen: Unpassende Zahlungsmethoden für internationale Kunden anzubieten. Während etwa Sofort Banking in Deutschland relevant ist, sei es in Frankreich oder den Niederlanden unwichtig. Dafür sei die Kreditkartenabdeckung in Deutschland noch nicht so hoch wie in Schweden oder Großbritannien. "Je nach Kontext kann zunächst dynamisch die relevanteste und einfachste Zahlungsmethode vorgeschlagen werden." Ein guter Ausgangspunkt für den deutschen Einzelhandel seien Zahlungsarten wie Kreditkarte, Kontoeinzug, Lastschriftverfahren und Sofortüberweisung.

Um den richtigen Zahlungsmix zu finden, empfiehlt Sven März von GoCardless acht Kategorien in Betracht zu ziehen: Verfügbarkeit, Präferenz, Conversion, Cashflow, Erfolg, Churn (Kundenabwanderung), Kosten und Transparenz. "Eine Bewertung an Hand dieser Kriterien hilft dem Händler die besten Methoden zu identifizieren und zu entscheiden wie viele Möglichkeiten am Ende angeboten werden sollten", so März.

Händler müssen wissen, welche Zahlungsvorlieben ihre Kunden haben und sollten dabei auch die Kosten für die Abwicklung mit in die Kalkulation einbeziehen. Das tun viele Händler offenbar nicht, wie eine Studie des Forschungsinstituts Ibi Research zeigt. Demnach unterschätzen viele Händler die tatsächlichen Kosten für Bezahlverfahren zum Teil massiv. Indirekte Kosten, etwa für Mahnwesen oder die Retourenabwicklung, werden nicht oder unzureichend berücksichtigt.

Datenschutz: PSD2 versus DSGVO

Ein Punkt, mit dem sich Händler ebenfalls befassen müssen, ist der Datenschutz. Denn was hat Vorrang, die PSD2 oder die DSGVO? Wie kann ein Händler rechtskonform die Daten weitergeben an den Issuer? Da gibt es laut Henning Brandt von Computop verschiedene Szenarien: "Der Händler kann die Zustimmung in den Vertragsabschluss mit aufnehmen oder in die AGB. Oder er bezieht sich auf sein 'berechtigtes Interesse' und lässt den Kunden gar nicht zustimmen. Denn eine sichere Bezahlung liegt ja auch in dessen Interesse. Im Moment ist dieses Thema noch ein weißer Raum. Wie es rechtlich genau eingeschätzt wird, werden erste Urteile ergeben. Die müssen wir abwarten." Weitere Informationen dazu gibt es hier  .

Automatische Prozesse vereinfachen

Vermeiden sollten die Händler unnötige Hindernisse beim Bezahlen, etwa über eine Umleitung auf Seiten von Drittanbietern, unübersichtliche Authentifizierungsmethoden für risikoarme Zahlungen oder Latenzzeiten, also Verzögerungen bei der Zahlungsabwicklung, so Godement. So lassen sich beispielsweise Zahlungen mit Kreditkarten vereinfachen: "Im Idealfall sollte der Kreditkartenanbieter (Visa, Mastercard etc.) automatisch erkannt werden, wenn die Kreditkartennummer vom Kunden eingegeben wird, was dem Kunden einen zusätzlichen Schritt erspart", so Godement. "Die Option zum automatischen Ausfüllen von Kartendaten und die Echtzeit-Erkennung ungültiger Kreditkartennummern vereinfachen den Prozess auf Kundenseite weiter." Um sicher zu gehen, empfiehlt der Payment-Experte Händlern auf Lösungen von Drittanbietern zu setzen, die für die neuen Anforderungen bereits gerüstet sind.

Was bei der Optimierung des Checkouts auch zu beachten ist: "Mobile Zahlungen werden in Zukunft eine immer größere Bedeutung haben als Online-Zahlungen. Daher sollte das Design für beide Zahlungsmethoden passen", so Godement.

Optimierter Checkout schafft Wettbewerbsvorteil

Wenn Händler es schaffen, im Checkout die richtige Balance zwischen der erforderlichen Sicherheit und Nutzerfreundlichkeit zu finden, können sie sich einen Wettbewerbsvorteil verschaffen: Laut dem Stripe-Report sind sich weit über drei Viertel (87 Prozent) der Online-Unternehmen in Europa einig, dass SCA die Bedeutung von Zahlungen als Differenzierungsmerkmal im Wettbewerb erhöhen wird.

"Es gab schon immer ein Abwägen zwischen Benutzerfreundlichkeit und Sicherheit. Jetzt hilft moderne Technologie, diese Gleichung zu lösen", sagt Godement. Der Payment-Experte erwartet, dass künftige Innovationen wichtige Impulse geben. "Die Optimierung der Authentifizierung wird bald zum wichtigsten Hebel für Unternehmen werden, um ihre Einnahmen zu steigern." Anbieter wie Stripe sehen sich gut gerüstet. So analysiere der Zahlungsdienstleister im Payment-Prozess jede einzelne Transaktion, um die am besten angepassten Authentifizierungsanforderungen anzuwenden.

SCA und Voice-Commerce

Übrigens gilt die SCA auch für Voice-Commerce, darauf weist der BEVH hin: Für Amazons Echo sind Zahlungen über Spracherkennung standardmäßig aktiviert. Zur Bestätigung nutzt Amazon aktuell einen optionalen vierstelligen Code, den der Nutzer entweder vor jedem Einkauf oder - falls seine Stimme registriert ist - nur einmalig aufsagen muss. Danach kann er barrierefrei über seine Stimme einkaufen. Für Google Home ist das Shopping per Voice derzeit nur in den USA freigeschaltet.

Übergangsfristen nur für einzelne Händler

Der Rat der BEVH-Experten: Die Händler sollten sich weiterhin am Umstellungsdatum am 14. September orientieren, auch wenn die Europäische Bankenaufsichtsbehörde (EBA)   angekündigt hat, eine gewisse Übergangsfrist einzuräumen  . Einen allgemeingültigen Aufschub gibt es dadurch aber nicht. Die Gewährung ist an bestimmte Bedingungen geknüpft, es wird nur eine gewisse "Flexibilität" gewährt. Die nationalen Aufseher können einzelnen Unternehmen in begrenztem Maße zusätzliche Zeit einräumen. Die Händler müssen aber auf jeden Fall einen expliziten Migrationsplan für die SCA-Umstellung mit klar definierten Zwischenzielen vorlegen.

Wenn Händler die Frist versäumen und nicht rechtzeitig die Voraussetzungen schaffen, ist der Payment-Prozess nicht mehr rechtskonform und birgt die Gefahr einer höheren Ablehnungsrate, so der BEVH.

Das Potenzial von Instant Payment

Ein viel diskutiertes Thema im E-Commerce ist auch der noch junge SEPA-Standard Instant Payment. Er bietet dem Kunden die Möglichkeit, direkt von seiner Bank Geld an den Online-Shop zu überweisen und der Anbieter kann den Eingang kurzfristig prüfen und bestätigen. "Im Gegensatz zur Vorkasse wird somit die Zeit der Abwicklung reduziert", erklärt Sven März von GoCardless. Als erster Onlinehändler bietet Otto   zusammen mit der zum Konzern gehörenden Hanseatic Bank   die Echtzeitüberweisung an.

Für Olivier Godement ist Instant Payment eine spannende Innovation in der Welt des Zahlungsverkehrs. "Man muss bedenken, dass Bargeld in Europa immer sehr beliebt ist. Jede Innovation, die Online-Zahlungen praktischer macht als Bargeld, hat also enormes Potential." Instant Payment werde den Payment-Markt gründlich umkrempeln, so seine Prognose. Denn es bietet Mehrwert: "Es ist schwer vorstellbar, aber 30 Jahre nach der Entstehung des Internets ist es einfacher, ein gleichzeitig übersetztes Videogespräch zwischen Japan und Deutschland zu führen, als online Geld zu überweisen", so Godement. "In einer Welt, in der Instant Payments zur Norm werden, können wir erwarten, dass eine Reihe von Innovationen stattfinden: vom unmittelbaren Bezahlen von Rechnungen, über den schnelleren Zahlungsverkehr auf Marktplätzen, bis hin zu ganz neuen Dienstleistungen, die von einer sofortigen Transaktion abhängen." Ein Wettbewerbsvorteil für Händler, ebenso wie ein Checkout, der den Kunden in den Mittelpunkt stellt.