Starke Kundenauthentifizierung im Onlineshop: wann sie greift und was Händler tun

Starke Kundenauthentifizierung: was dahintersteckt

Die starke Kundenauthentifizierung (Strong Customer Authentication, SCA) stammt aus der EU-Zahlungsdiensterichtlinie PSD2 (Richtlinie EU 2015/2366) und ist am 14. September 2019 in Kraft getreten. Sie hat die Authentifizierung von Onlinezahlungen europäischer Kundinnen und Kunden verändert.

Die technischen Regulierungsstandards (RTS) der PSD2 konkretisieren die Mindestanforderungen. Neben der SCA gehören dazu die Vorgabe «common and secure open standards of communication» mit spezifischen Vorgaben für dokumentierte Schnittstellen, Testumgebungen (Sandbox) sowie Monitoring- und Verfügbarkeitsstatistiken. Diese regeln den Zugriff akkreditierter Drittanbieter (AISP, PISP, CBPII).

Kartenzahlungen liefen traditionell in zwei Schritten ab: Autorisierung – die Bank oder der Kartenaussteller genehmigt die Zahlung – und Erfassung, bei der die Karte belastet wird. Mit der SCA kommt vor Autorisierung und Erfassung ein zusätzlicher, zwingender Schritt hinzu: die Authentifizierung.

Die Kundin oder der Kunde reagiert auf eine Aufforderung der Bank und liefert zusätzliche Informationen. Drei Optionen sind möglich: Wissen, etwa ein Passwort; Besitz, etwa ein Mobiltelefon; Biometrie, etwa ein Fingerabdruck. Der Schritt schützt die Kundschaft durch Betrugsprävention.

Die SCA verlangt mindestens zwei dieser drei Elemente, also eine Zwei-Faktor-Authentifizierung. Die beiden Faktoren müssen unabhängig voneinander sein und aus verschiedenen Kategorien stammen. Ein Passwort allein genügt nicht mehr.

Die SCA gilt für vom Zahler initiierte Zahlungen, für den Online-Zugang zu Zahlungskonten und für Ferngeschäfte mit Betrugsrisiko. Eingeführt wurde sie durch die PSD2-Richtlinie, konkretisiert durch die regulatorischen technischen Standards (RTS) der Europäischen Bankenaufsichtsbehörde (EBA).

Wann die SCA im eigenen Shop greift

Vier Kriterien entscheiden, ob man sich mit der starken Kundenauthentifizierung befassen muss. Relevant ist das Thema, wenn der Unternehmenssitz im Europäischen Wirtschaftsraum (EWR) liegt oder Zahlungen für verbundene Konten innerhalb des EWR erstellt werden, wenn Kundinnen und Kunden im EWR vorhanden sind oder wenn Kredit- und/oder Debitkarten akzeptiert werden.

Trifft eine dieser Aussagen zu, ist das Thema im eigenen Shop relevant. Für die Planung wichtig: Die SCA ist nicht für jede einzelne Online-Transaktion verpflichtend. Die Pflicht greift transaktionsbezogen.

Für Online-Kartenzahlungen läuft die Authentifizierung über 3-D Secure 2.0. Die Kundschaft erhält eine Push-Benachrichtigung auf dem Smartphone (Besitz) und bestätigt die Zahlung per Gesichtserkennung (Inhärenz).

Die konkreten Einstellungen werden nicht im Shop, sondern direkt beim Bezahldienstanbieter im entsprechenden Konto vorgenommen. Händlerinnen und Händler müssen den Checkout so bauen, dass ein zusätzlicher Authentifizierungsschritt jederzeit möglich ist – auch wenn er nicht bei jedem Kauf erscheint.

Vier Kriterien: Ist die starke Kundenauthentifizierung für meinen Shop relevant?

Ausnahmen – und warum sie keine Sicherheit geben

Für wiederkehrende Einkäufe und für Zahlungen unter 30 Euro gibt es Ausnahmen von der SCA. Auch bei Transaktionen mit geringem Risiko kann auf die Authentifizierung verzichtet werden. Das Risiko bemisst sich am Volumen und an der Betrugsrate, die mit dem Zahlungsanbieter oder der Bank verbunden ist.

Genauer gefasst sind es: wiederkehrende Transaktionen gleichen Betrags, Kleinbetragszahlungen unter 30 Euro mit kumulativem Höchstbetrag, vertrauenswürdige Empfänger (Whitelisting) sowie Transaktionen mit geringem Risiko auf Basis einer Echtzeit-Risikoanalyse (TRA).

Diese Ausnahmen sind keine Zusage. Banken müssen sie nicht genehmigen und können trotzdem eine Authentifizierung der Kundin oder des Kunden verlangen. Bezahldienstanbieter können die Einstellungen der Überprüfung nach eigenen Kriterien verschärfen; weder der Shop noch die Händlerin oder der Händler können darauf Einfluss nehmen.

Planerisch gilt: Wer mit einer Ausnahme rechnet, muss im Checkout weiterhin mit dem Authentifizierungsschritt rechnen. Die Ausnahme senkt die Abbruchwahrscheinlichkeit, beseitigt sie aber nicht.

Ausnahmen von der SCA – und ihre Grenzen

Schweizer Perspektive: kein PSD2-Zwang, aber spürbare Folgen

Die PSD2-Richtlinie gilt für die Mitgliedstaaten der EU und ist für den EWR von Relevanz. Die Schweiz hat sie nicht übernommen: Hierzulande gibt es weiterhin keine generelle gesetzliche API-Öffnungspflicht. Der Bundesrat setzt auf einen marktgetriebenen Ansatz und beobachtet die Entwicklung laufend.

Trotzdem bleiben Schweizer Händler nicht aussen vor. Wer Kundschaft im EWR hat, sollte sich mit der SCA befassen, weil die ausstellende Bank oder der Bezahldienstanbieter sie nach ihren Regeln durchsetzt.

Die Kriterienliste – Sitz im EWR, Zahlungen für verbundene Konten im EWR, Kundschaft im EWR, Akzeptanz von Kredit- und Debitkarten – zeigt: Bereits Kundschaft im EWR genügt, um sich mit dem Thema befassen zu müssen.

Die Standardisierung läuft in der Schweiz bottom-up über Brancheninitiativen statt über eine gesetzliche Öffnungspflicht. SFTI «Common API» erarbeitet Spezifikationen für Bank- und Versicherungs-APIs. SIX ermöglicht mit bLink die sichere, standardisierte Anbindung zwischen Banken und Drittanbietern, etwa für Account Information oder Payment Submission, und skaliert damit Multibanking-Use-Cases. Ein EU-weit einheitlicher API-Standard ist auch unter PSD2 nicht vorgeschrieben.

EU/EWR und Schweiz im Vergleich: Regulierung, Schnittstellen, Durchsetzung

Was Händler konkret tun können

Der erste Schritt ist die Abklärung beim eigenen Bezahldienstanbieter: In welchen Situationen wird eine verstärkte Authentifizierung abgefragt? Die Antwort fällt je nach Anbieter, Kartennetz und Risikoprofil unterschiedlich aus und lässt sich nicht aus dem Shop heraus beantworten.

Zweitens gehören die Kontoeinstellungen beim Bezahldienstanbieter auf den Prüfstand. Sie werden direkt beim Bezahldienstanbieter im entsprechenden Konto vorgenommen – nicht im Shopsystem. Weil der Anbieter die Prüfung nach eigenen Kriterien verschärfen kann, lohnt es sich, die Einstellungen periodisch nachzuführen.

Drittens müssen Kundinnen und Kunden auf den zusätzlichen Schritt vorbereitet werden. Sie werden von ihrer Bank aufgefordert, die Zahlung freizugeben, und brauchen dafür Zugang zu ihrem Mobiltelefon oder zur Bank-App.

Konkret heisst das für den Checkout: Der Shop bindet 3-D Secure 2.0 an. Die Kundschaft bestätigt die Zahlung per Push-Benachrichtigung auf dem Smartphone (Besitz) und per Gesichtserkennung (Inhärenz). Die vom Bezahldienstanbieter angebotenen Kundenauthentifizierungen stehen für alle Bezahlsysteme zur Verfügung.

Im Checkout entstehen dabei Abbrüche – deshalb gehört die Beobachtung der Abbruchstellen dazu. Zeigt sich, dass viele Käufe genau im Authentifizierungsschritt enden, ist das ein Gespräch mit dem Bezahldienstanbieter, nicht eine Designfrage im Shop.

Bei Abonnementen und wiederkehrenden Einkäufen ist zudem zu klären, wie diese Zahlungen beim Anbieter geführt werden, damit die Ausnahme für wiederkehrende Einkäufe überhaupt zur Anwendung kommen kann.

In sechs Schritten zum SCA-tauglichen Checkout

Über die SCA hinaus: Schnittstellen im Blick behalten

Zahlungs- und Open-Banking-Schnittstellen erhöhen die Innovationsgeschwindigkeit, erweitern aber auch die potenzielle Angriffsfläche. In der Praxis führen vor allem unsichere Autorisierungen, übermässige Berechtigungen, unzureichendes Logging und Monitoring sowie unsichere Transport- und Protokollkonfigurationen zu Datenabflüssen und Missbrauch. Die aktuellen OWASP API Security Top 10 ordnen Autorisierungs- und Zugriffskontrollschwächen weiterhin ganz vorne ein.

Als Massnahmen gelten saubere Authorization-/Authentication-Konzepte und der Schutz vor Ressourcenerschöpfung als prioritär. Dazu kommen Minimalrechte für Drittzugriffe und ein wirksames Monitoring mit Kennzahlen.

Für Institute zählen, aufbauend auf den FINMA-Vorgaben, eine robuste API-Security-Architektur, saubere Governance, Third-Party-Risk-Management und prüfbare Evidenzen. Betroffene Institute müssen Drittzugriffe nachvollziehbar und sicher ermöglichen, einschliesslich Transparenz über Verfügbarkeit und Performance.

Für Händler, die Open-Banking-Zahlungen oder Kontoinformationen einbinden, heisst das: Dieselben Fragen – Wer darf was, wie wird es protokolliert, wie wird es überwacht – gehören in die Auswahl und den Betrieb des Anbieters.