Authentication

Was ist 3D Secure?

Auch: 3DS, 3DS2, EMV 3DS

Ein Kartennetzwerk-Authentifizierungsprotokoll, das die Betrugshaftung vom Händler auf den Emittenten verlagert, wenn ein Karteninhaber verifiziert wird.

3D Secure, oder 3DS, ist ein von EMVCo standardisiertes Sicherheitsprotokoll zur Reduzierung von Betrug bei Online-Card-Not-Present (CNP)-Transaktionen. Die „3-D“ bezieht sich auf die drei beteiligten Domänen: die Händler- und Acquirer-Domäne, die Emittenten-Domäne und die Interoperabilitäts-Domäne, die sie verbindet.

Wenn ein Karteninhaber eine Zahlung initiiert, ermöglicht 3DS einen Echtzeit-Datenaustausch zwischen dem Händler und dem Kartenaussteller, wodurch der Aussteller die Identität des Karteninhabers authentifizieren kann, bevor die Transaktion autorisiert wird. Der Hauptvorteil für Händler ist die „Haftungsverlagerung“.

Bei erfolgreich authentifizierten Transaktionen verlagert sich die finanzielle Haftung für bestimmte Arten von betrügerischen Chargebacks, wie z. B. solche, die eine „unautorisierte Transaktion“ behaupten, vom Händler auf den Emittenten.

Die neueste Version, 3DS2, ist eine wesentliche Verbesserung, die moderne Authentifizierungsmethoden unterstützen und die Reibung minimieren soll. Sie ermöglicht es Händlern, eine Vielzahl von Datenelementen, einschließlich Geräteinformationen, Transaktionshistorie und Verhaltensbiometrie, an die Risiko-Engine des Emittenten zu senden.

Dies ermöglicht es, viele Transaktionen über einen „reibungslosen Ablauf“ zu genehmigen, ohne dass eine Interaktion des Karteninhabers erforderlich ist.

Wenn das Risiko als höher eingestuft wird, wird dem Karteninhaber ein „Challenge Flow“ präsentiert, der ihn auffordert, einen zweiten Authentifizierungsfaktor wie ein Einmalpasswort oder eine biometrische Bestätigung in seiner Banking-App bereitzustellen.

Ein häufiges Missverständnis ist, dass die Haftungsverlagerung absolut ist; sie gilt nicht für nicht-betrügerische Streitigkeiten wie „Waren nicht erhalten“ und kann ungültig werden, wenn die gesamten Betrugsraten eines Händlers übermäßig hoch sind.

Praxisbeispiel

Ein Kunde kauft eine Uhr für 250 € in einem Online-Shop. Beim Bezahlvorgang initiiert das Zahlungsgateway des Händlers eine 3DS2-Authentifizierungsanfrage.

Es sendet über 20 Datenpunkte an den Emittenten des Karteninhabers, einschließlich seiner Browserdetails, IP-Adresse, Rechnungsinformationen und der Tatsache, dass dies sein dritter Kauf auf der Website ist. Der Access Control Server (ACS) des Emittenten analysiert diese Daten und bewertet die Transaktion als geringes Risiko.

Er entscheidet sich für einen „reibungslosen Ablauf“ und sendet eine Authentifizierungs-Erfolgsmeldung an den Händler zurück, ohne den Benutzer herauszufordern. Die Transaktion wird zur Autorisierung weitergeleitet und genehmigt.

Die Haftung für eine potenzielle Rückbuchung aufgrund einer betrügerischen Transaktion (z. B.

Mastercard R/C 4837) liegt nun beim Emittenten. Hätte der Kunde ein neues Gerät aus einem anderen Land verwendet, hätte der ACS wahrscheinlich einen „Challenge Flow“ ausgelöst und um eine Fingerabdruckbestätigung in seiner Banking-App gebeten.

Hinweise der Kartensysteme

Alle großen Systeme unterstützen das EMVCo 3DS-Protokoll unter ihrer eigenen Marke. Das Programm von Visa heißt Visa Secure (ehemals Verified by Visa), und das von Mastercard ist Mastercard Identity Check (ehemals SecureCode).

American Express verwendet Safekey, und Discover bietet ProtectBuy an. Obwohl das zugrunde liegende Protokoll standardisiert ist, variiert die Implementierung der risikobasierten Analyse durch die Emittenten erheblich.

Einige Emittenten sind aggressiver bei der Herausforderung von Transaktionen, während andere reibungslose Abläufe bevorzugen, um das Benutzererlebnis zu erhalten.

Die genauen Datenpunkte, die von der Risiko-Engine jedes Emittenten benötigt oder geschätzt werden, sind proprietär, was es für Händler schwierig macht, für alle Emittenten universell zu optimieren.

Dies ist ein Bereich, in dem ein Orchestrierungsanbieter einen Mehrwert schaffen kann, indem er die Leistung über verschiedene Acquirer- und Emittenten-Kombinationen hinweg analysiert.

Warum das für Händler wichtig ist

Die primäre Auswirkung von 3D Secure ist der Kompromiss zwischen Betrugsreduzierung und Kundenreibung. Die korrekte Implementierung von 3DS2 ist entscheidend; das Senden umfangreicher Daten maximiert die Chance auf einen reibungslosen Ablauf, wodurch hohe Genehmigungsraten und ein reibungsloses Checkout-Erlebnis erhalten bleiben.

Die Haftungsverlagerung bietet direkten finanziellen Schutz vor bestimmten betrugsbezogenen Chargebacks, wodurch ein erheblicher Kostenfaktor für viele E-Commerce-Unternehmen reduziert wird. Gemäß PSD2 ist die Verwendung von 3DS für die meisten europäischen Transaktionen obligatorisch, um die SCA-Anforderungen zu erfüllen.

Die Zahlungs-Orchestrierung von Cardflo kann sicherstellen, dass Händler den vollständigsten Datensatz für die 3DS2-Authentifizierung senden und intelligente Weiterleitungen nutzen können, um Zahlungen an Acquirer zu leiten, die eine überlegene 3DS-Abwicklung und höhere Genehmigungsraten aufweisen.

Häufig gestellte Fragen

Wie verbessert 3D Secure 2 das Benutzererlebnis im Vergleich zur Originalversion?

3DS2 unterstützt die risikobasierte Authentifizierung, indem es umfangreiche Datenpunkte, wie Geräte-IDs und Transaktionshistorie, mit dem Emittenten teilt. Dies ermöglicht einen reibungslosen Ablauf, bei dem der Karteninhaber für risikoarme Zahlungen keine Maßnahmen ergreifen muss.

Wenn eine Herausforderung erforderlich ist, kann diese jetzt über Biometrie oder App-basierte Benachrichtigungen anstatt über altmodische statische Passwörter abgeschlossen werden.

Eliminiert 3D Secure alle Arten von Rückbuchungen für einen Händler?

Nein, 3DS bietet nur eine Haftungsverlagerung für bestimmte betrugsbezogene Grundcodes. Es schützt den Händler nicht vor Streitfällen im Zusammenhang mit nicht erhaltenen Waren, Servicequalität oder Verwaltungsfehlern.

Händler müssen weiterhin ihre internen Prozesse verwalten, um nicht-betrügerische Rückbuchungen zu verhindern, die nicht vom Protokoll abgedeckt sind.

Garantiert die Verwendung von 3D Secure, dass ich keine Betrugs-Chargebacks erhalte?

Nein. 3D Secure bietet eine Haftungsumkehr für bestimmte betrugsbezogene Rückbuchungscodes, die typischerweise mit der unbefugten Kartennutzung zusammenhängen.

Es schützt nicht vor anderen Streitfällen, wie zum Beispiel „Ware nicht erhalten“ oder „Produkt nicht wie beschrieben“.

Wenn ein Händler zudem in einem Betrugsprogramm des Kartensystems für übermäßigen Betrug registriert ist, kann der Herausgeber die Haftung möglicherweise an den Händler zurückgeben, selbst wenn 3DS erfolgreich eingesetzt wurde. Es ist ein leistungsstarkes Instrument zur Reduzierung von Betrugsverlusten, jedoch kein vollständiger Schutzschild.

Was ist der Unterschied zwischen 3DS1 und 3DS2?

3DS1 war das ursprüngliche Protokoll, bekannt dafür, den Karteninhaber auf die Webseite des Herausgebers umzuleiten, um ein statisches Passwort einzugeben. Dies führte zu einem störenden Benutzererlebnis, war nicht mobilfreundlich und führte zu hohen Abbruchraten.

3DS2 ist ein grundlegendes Upgrade, das datenreiche, reibungslose Authentifizierung innerhalb des Bezahlvorgangs unterstützt, biometrische Abfragen ermöglicht und für mobile sowie In-App-Zahlungen konzipiert ist. Es ist die Kerntechnologie, die zur Erfüllung der SCA-Anforderungen gemäß PSD2 verwendet wird.

Wird 3D Secure meine Konversionsrate beeinträchtigen?

Schlecht implementiertes 3DS1 war berüchtigt dafür, die Konversion zu beeinträchtigen. Modernes 3DS2 sollte, wenn es korrekt mit umfangreicher Datenfreigabe implementiert wird, die Konversion für die meisten Unternehmen nicht wesentlich beeinträchtigen.

Die Mehrheit der Transaktionen für legitime Kunden kann über den reibungslosen Ablauf ohne Benutzerinteraktion genehmigt werden. Während Herausforderungsabläufe einen zusätzlichen Schritt darstellen, sind Verbraucher in Regionen wie Europa inzwischen daran gewöhnt, dass dies eine Standard-Sicherheitsmaßnahme ist.

Der geringfügige Rückgang der Konversion durch Herausforderungen wird oft durch die Zunahme der Genehmigungen von zuvor abgelehnten Transaktionen und die Reduzierung der Betrugskosten aufgewogen.

Ist 3D Secure für alle Transaktionen obligatorisch?

Das hängt von der Region ab. Für Transaktionen, bei denen sowohl der Acquirer des Händlers als auch der Emittent des Karteninhabers im Europäischen Wirtschaftsraum (EWR) oder im Vereinigten Königreich ansässig sind, ist 3DS für die meisten Transaktionen aufgrund der SCA-Regeln (Strong Customer Authentication) obligatorisch.

Es gelten jedoch bestimmte Ausnahmen für Transaktionen mit geringem Wert, Abonnements und risikoarme Zahlungen. Für Transaktionen außerhalb dieser Region, wie z.

B. in den USA, ist 3DS optional, wird aber als Best Practice zur Betrugsprävention und für die Vorteile der Haftungsverlagerung dringend empfohlen.

Was passiert, wenn die Bank eines Kunden 3D Secure nicht unterstützt?

Wenn eine Karte nicht für 3DS registriert ist, kann der Authentifizierungsprozess nicht abgeschlossen werden. Dies wird im System als „Versuch“ protokolliert.

Die Transaktion kann weiterhin zur Autorisierung gesendet werden, aber ohne erfolgreiche Authentifizierung gibt es keine Haftungsverlagerung. Der Händler wäre für jeden nachfolgenden betrügerischen Chargeback haftbar.

In Regionen, in denen SCA obligatorisch ist, wäre ein Emittent, der 3DS nicht unterstützt, nicht konform, und Transaktionen könnten vom Acquirer oder System abgelehnt werden.