3-D Secure und SCA in der Praxis

Ratgeber · Redaktion · veroeffentlicht am 29.09.2026 · aktualisiert am 26.09.2026

Starke Kundenauthentifizierung, im Englischen Strong Customer Authentication oder kurz SCA, ist seit der zweiten Zahlungsdiensterichtlinie PSD2 für die meisten elektronischen Zahlungen im europäischen Wirtschaftsraum verpflichtend und wird bei Kartenzahlungen technisch meist über das Verfahren 3-D Secure umgesetzt. Für Händler bedeutet das einen zusätzlichen Authentifizierungsschritt im Checkout, der einerseits Sicherheit erhöht, andererseits bei schlechter Umsetzung zu zusätzlichen Kaufabbrüchen führen kann. Dieser Artikel erklärt die Grundlagen von SCA und 3-D Secure, die vorgesehenen Ausnahmen von der starken Authentifizierung und worauf Händler bei der technischen Umsetzung achten sollten, um Sicherheit und Nutzerfreundlichkeit in Einklang zu bringen. Im weiteren Verlauf gehen wir Schritt für Schritt auf die einzelnen Aspekte ein und zeigen, worauf es in der Praxis wirklich ankommt. So bekommst du eine klare, sachliche Grundlage für deine eigene Entscheidung, ohne dich durch widersprüchliche Ratschläge verschiedener Quellen arbeiten zu müssen. Alle Angaben orientieren sich an öffentlich zugänglichen, nachvollziehbaren Quellen, damit du dich auf die dargestellten Zusammenhänge verlassen kannst. Dabei unterscheiden wir bewusst zwischen belastbaren, mit Quelle belegten Fakten und allgemeinen Erfahrungswerten aus der Praxis, damit du beides klar auseinanderhalten kannst.

Was starke Kundenauthentifizierung bedeutet

Die PSD2 verlangt für die meisten elektronisch ausgelösten Zahlungen eine Authentifizierung, die auf mindestens zwei voneinander unabhängigen Elementen aus den Kategorien Wissen, Besitz und Inhärenz beruht, also zum Beispiel einem Passwort in Kombination mit einer Bestätigung über das eigene Smartphone oder einem biometrischen Merkmal wie einem Fingerabdruck. Ziel dieser Regelung ist es, Betrug bei elektronischen Zahlungen europaweit zu reduzieren, indem eine reine Kartennummer mit Ablaufdatum und Prüfziffer allein nicht mehr für eine Zahlung ausreicht. Für Kartenzahlungen wird diese Anforderung üblicherweise über das Verfahren 3-D Secure in seiner aktuellen Version technisch umgesetzt. In der Praxis zeigt sich immer wieder, dass eine sorgfältige Vorbereitung an dieser Stelle später viel Aufwand erspart und Missverständnisse von vornherein vermeidet, selbst wenn der zusätzliche Aufwand am Anfang etwas größer erscheint. Wer diesen Punkt von Anfang an sauber dokumentiert, hat es bei späteren Rückfragen oder Anpassungen deutlich leichter, weil sich Entscheidungen jederzeit nachvollziehen lassen und nicht erst mühsam rekonstruiert werden müssen. Es lohnt sich, diesen Schritt nicht nur einmalig, sondern regelmäßig zu wiederholen, da sich Rahmenbedingungen im Zahlungsverkehr immer wieder ändern können und ein einmal getroffener Beschluss nicht automatisch dauerhaft optimal bleibt. Gerade in einem sich wandelnden regulatorischen Umfeld ist es sinnvoll, diesen Aspekt in festen Abständen neu zu bewerten, statt sich auf einmal getroffene Annahmen zu verlassen, die inzwischen überholt sein können. In der täglichen Praxis zeigt sich zudem, dass eine offene, transparente Kommunikation mit den betroffenen Kundinnen und Kunden an dieser Stelle häufig mehr bewirkt als rein technische Anpassungen im Hintergrund. Nicht zuletzt hilft ein regelmäßiger Austausch mit dem eigenen Zahlungsdienstleister oder der eigenen Bank dabei, frühzeitig von Änderungen oder neuen Möglichkeiten zu erfahren, bevor sie zum späten, teuren Nachholbedarf werden.

Wie 3-D Secure im Checkout funktioniert

Bei einer Zahlung mit 3-D Secure wird der Karteninhaber während des Bezahlvorgangs zu seiner kartenausgebenden Bank weitergeleitet oder erhält eine Benachrichtigung in einer Banking-App, über die er die Zahlung explizit bestätigen muss, bevor sie ausgeführt wird. Moderne Versionen von 3-D Secure versuchen dabei, im Hintergrund möglichst viele Risikofaktoren automatisch zu bewerten, etwa das bisherige Zahlungsverhalten oder das genutzte Gerät, um bei als risikoarm eingestuften Zahlungen auf eine explizite Zusatzabfrage ganz zu verzichten. Diese sogenannte risikobasierte Authentifizierung soll die Nutzerfreundlichkeit erhöhen, ohne die vorgeschriebene Sicherheit grundsätzlich zu untergraben. In der Praxis zeigt sich immer wieder, dass eine sorgfältige Vorbereitung an dieser Stelle später viel Aufwand erspart und Missverständnisse von vornherein vermeidet, selbst wenn der zusätzliche Aufwand am Anfang etwas größer erscheint. Wer diesen Punkt von Anfang an sauber dokumentiert, hat es bei späteren Rückfragen oder Anpassungen deutlich leichter, weil sich Entscheidungen jederzeit nachvollziehen lassen und nicht erst mühsam rekonstruiert werden müssen. Es lohnt sich, diesen Schritt nicht nur einmalig, sondern regelmäßig zu wiederholen, da sich Rahmenbedingungen im Zahlungsverkehr immer wieder ändern können und ein einmal getroffener Beschluss nicht automatisch dauerhaft optimal bleibt. Gerade in einem sich wandelnden regulatorischen Umfeld ist es sinnvoll, diesen Aspekt in festen Abständen neu zu bewerten, statt sich auf einmal getroffene Annahmen zu verlassen, die inzwischen überholt sein können. In der täglichen Praxis zeigt sich zudem, dass eine offene, transparente Kommunikation mit den betroffenen Kundinnen und Kunden an dieser Stelle häufig mehr bewirkt als rein technische Anpassungen im Hintergrund. Nicht zuletzt hilft ein regelmäßiger Austausch mit dem eigenen Zahlungsdienstleister oder der eigenen Bank dabei, frühzeitig von Änderungen oder neuen Möglichkeiten zu erfahren, bevor sie zum späten, teuren Nachholbedarf werden.

Welche Ausnahmen von SCA vorgesehen sind

Die PSD2 und die zugehörigen technischen Regulierungsstandards sehen mehrere Ausnahmen von der verpflichtenden starken Authentifizierung vor, etwa für Zahlungen unterhalb eines bestimmten Betrags, für wiederkehrende Zahlungen mit gleichbleibendem Betrag nach einer erstmaligen Authentifizierung, für als besonders risikoarm eingestufte Transaktionen im Rahmen eines sogenannten Transaction Risk Analysis-Verfahrens sowie für bestimmte, vom Kunden vorab als vertrauenswürdig markierte Zahlungsempfänger. Welche dieser Ausnahmen im Einzelfall greift, entscheidet letztlich die kartenausgebende Bank des Kunden, nicht der Händler selbst, auch wenn der Händler über seinen Zahlungsdienstleister eine bestimmte Ausnahme vorschlagen kann. In der Praxis zeigt sich immer wieder, dass eine sorgfältige Vorbereitung an dieser Stelle später viel Aufwand erspart und Missverständnisse von vornherein vermeidet, selbst wenn der zusätzliche Aufwand am Anfang etwas größer erscheint. Wer diesen Punkt von Anfang an sauber dokumentiert, hat es bei späteren Rückfragen oder Anpassungen deutlich leichter, weil sich Entscheidungen jederzeit nachvollziehen lassen und nicht erst mühsam rekonstruiert werden müssen. Es lohnt sich, diesen Schritt nicht nur einmalig, sondern regelmäßig zu wiederholen, da sich Rahmenbedingungen im Zahlungsverkehr immer wieder ändern können und ein einmal getroffener Beschluss nicht automatisch dauerhaft optimal bleibt. Gerade in einem sich wandelnden regulatorischen Umfeld ist es sinnvoll, diesen Aspekt in festen Abständen neu zu bewerten, statt sich auf einmal getroffene Annahmen zu verlassen, die inzwischen überholt sein können. In der täglichen Praxis zeigt sich zudem, dass eine offene, transparente Kommunikation mit den betroffenen Kundinnen und Kunden an dieser Stelle häufig mehr bewirkt als rein technische Anpassungen im Hintergrund. Nicht zuletzt hilft ein regelmäßiger Austausch mit dem eigenen Zahlungsdienstleister oder der eigenen Bank dabei, frühzeitig von Änderungen oder neuen Möglichkeiten zu erfahren, bevor sie zum späten, teuren Nachholbedarf werden.

Auswirkungen auf Kaufabbrüche im Checkout

Ein zusätzlicher Authentifizierungsschritt kann grundsätzlich zu mehr Kaufabbrüchen führen, insbesondere wenn die technische Umsetzung umständlich ist, lange lädt oder auf mobilen Geräten schlecht funktioniert. Eine sorgfältige technische Integration, die den Authentifizierungsschritt möglichst nahtlos in den Bezahlvorgang einbindet und auf allen gängigen Geräten zuverlässig funktioniert, kann diesen Effekt deutlich abmildern. Auch eine klare Kommunikation gegenüber dem Kunden, warum dieser zusätzliche Schritt nötig ist, etwa durch einen kurzen erklärenden Hinweis, kann helfen, Verunsicherung zu reduzieren und die Abbruchquote gering zu halten. In der Praxis zeigt sich immer wieder, dass eine sorgfältige Vorbereitung an dieser Stelle später viel Aufwand erspart und Missverständnisse von vornherein vermeidet, selbst wenn der zusätzliche Aufwand am Anfang etwas größer erscheint. Wer diesen Punkt von Anfang an sauber dokumentiert, hat es bei späteren Rückfragen oder Anpassungen deutlich leichter, weil sich Entscheidungen jederzeit nachvollziehen lassen und nicht erst mühsam rekonstruiert werden müssen. Es lohnt sich, diesen Schritt nicht nur einmalig, sondern regelmäßig zu wiederholen, da sich Rahmenbedingungen im Zahlungsverkehr immer wieder ändern können und ein einmal getroffener Beschluss nicht automatisch dauerhaft optimal bleibt. Gerade in einem sich wandelnden regulatorischen Umfeld ist es sinnvoll, diesen Aspekt in festen Abständen neu zu bewerten, statt sich auf einmal getroffene Annahmen zu verlassen, die inzwischen überholt sein können. In der täglichen Praxis zeigt sich zudem, dass eine offene, transparente Kommunikation mit den betroffenen Kundinnen und Kunden an dieser Stelle häufig mehr bewirkt als rein technische Anpassungen im Hintergrund. Nicht zuletzt hilft ein regelmäßiger Austausch mit dem eigenen Zahlungsdienstleister oder der eigenen Bank dabei, frühzeitig von Änderungen oder neuen Möglichkeiten zu erfahren, bevor sie zum späten, teuren Nachholbedarf werden.

Was Händler bei der technischen Umsetzung beachten sollten

Händler sollten mit ihrem Zahlungsdienstleister klären, welche 3-D-Secure-Version und welche Konfigurationsmöglichkeiten für risikobasierte Ausnahmen zur Verfügung stehen, und diese Einstellungen aktiv nutzen, statt sich auf Standardwerte zu verlassen. Regelmäßige Auswertungen der Erfolgsquote von Authentifizierungsvorgängen und der Kaufabbruchrate im Checkout helfen dabei, technische Probleme frühzeitig zu erkennen. Wichtig ist zudem, die eigene Implementierung regelmäßig zu testen, insbesondere nach Aktualisierungen des Shopsystems oder des Zahlungsdienstleisters, da fehlerhafte Integrationen sonst unbemerkt zu einem spürbaren Umsatzverlust führen können. In der Praxis zeigt sich immer wieder, dass eine sorgfältige Vorbereitung an dieser Stelle später viel Aufwand erspart und Missverständnisse von vornherein vermeidet, selbst wenn der zusätzliche Aufwand am Anfang etwas größer erscheint. Wer diesen Punkt von Anfang an sauber dokumentiert, hat es bei späteren Rückfragen oder Anpassungen deutlich leichter, weil sich Entscheidungen jederzeit nachvollziehen lassen und nicht erst mühsam rekonstruiert werden müssen. Es lohnt sich, diesen Schritt nicht nur einmalig, sondern regelmäßig zu wiederholen, da sich Rahmenbedingungen im Zahlungsverkehr immer wieder ändern können und ein einmal getroffener Beschluss nicht automatisch dauerhaft optimal bleibt. Gerade in einem sich wandelnden regulatorischen Umfeld ist es sinnvoll, diesen Aspekt in festen Abständen neu zu bewerten, statt sich auf einmal getroffene Annahmen zu verlassen, die inzwischen überholt sein können. In der täglichen Praxis zeigt sich zudem, dass eine offene, transparente Kommunikation mit den betroffenen Kundinnen und Kunden an dieser Stelle häufig mehr bewirkt als rein technische Anpassungen im Hintergrund. Nicht zuletzt hilft ein regelmäßiger Austausch mit dem eigenen Zahlungsdienstleister oder der eigenen Bank dabei, frühzeitig von Änderungen oder neuen Möglichkeiten zu erfahren, bevor sie zum späten, teuren Nachholbedarf werden.

Überblick

Checkliste

• Aktuelle 3-D-Secure-Version beim Zahlungsdienstleister aktiviert
• Risikobasierte Ausnahmen so weit wie möglich konfiguriert
• Mobile Darstellung des Authentifizierungsschritts getestet
• Kurzer Hinweistext zur Erklärung des Zusatzschritts im Checkout eingebaut
• Erfolgsquote der Authentifizierung regelmäßig ausgewertet
• Integration nach jedem Shopsystem-Update erneut getestet
• Zusammenarbeit mit dem PSP zu neuen SCA-Funktionen regelmäßig geprüft

Fazit

3-D Secure und starke Kundenauthentifizierung nach PSD2 erhöhen die Sicherheit im europäischen Zahlungsverkehr spürbar, verlangen im Checkout aber eine sorgfältige technische Umsetzung, um Kaufabbrüche zu vermeiden. Wer die vorgesehenen Ausnahmen aktiv nutzt, die Integration regelmäßig testet und Erfolgsquoten im Blick behält, kann Sicherheit und Nutzerfreundlichkeit gut miteinander vereinbaren. Wer diese Punkte beherzigt, reduziert das Risiko böser Überraschungen deutlich und schafft eine solide Grundlage für die weitere Optimierung des eigenen Zahlungsverkehrs. Eine regelmäßige, dokumentierte Überprüfung der eigenen Prozesse zahlt sich dabei langfristig stärker aus als eine einmalige, aufwendige Einrichtung ohne spätere Kontrolle. Am wichtigsten bleibt, die eigenen Annahmen immer wieder an der Praxis zu spiegeln und Anpassungen vorzunehmen, sobald sich Rahmenbedingungen oder Kundenverhalten sichtbar verändern.

Weiterlesen

• Zahlungsart: kreditkarte allgemein
• Zahlungsart: visa
• Zahlungsart: mastercard
• Zahlungsart: girocard
• Rechner: chargeback kosten