Regulation

Was ist Strong Customer Authentication?

Auch: SCA

PSD2-Anforderung, dass vom Kunden initiierte elektronische Zahlungen im EWR und im Vereinigten Königreich mit zwei der folgenden Faktoren authentifiziert werden müssen: Wissen, Besitz, Inhärenz.

Strong Customer Authentication, oder SCA, ist eine regulatorische Anforderung gemäß der Zweiten Zahlungsdiensterichtlinie (PSD2) der EU und wurde in das britische Recht übernommen. Sie soll elektronische Zahlungen sicherer machen und Betrug reduzieren.

Die Verordnung schreibt vor, dass für vom Kunden initiierte elektronische Zahlungen innerhalb des Europäischen Wirtschaftsraums (EWR) und des Vereinigten Königreichs die Authentifizierung mit mindestens zwei von drei möglichen unabhängigen Faktoren erfolgen muss.

Diese Faktoren werden kategorisiert als: Wissen (etwas, das nur der Benutzer weiß, wie ein Passwort oder eine PIN), Besitz (etwas, das nur der Benutzer besitzt, wie sein Mobiltelefon oder ein Hardware-Token) und Inhärenz (etwas, das der Benutzer ist, wie ein Fingerabdruck oder eine Gesichtserkennung).

Die primäre technische Lösung zur Erfüllung der SCA-Anforderungen für Kartenzahlungen ist 3D Secure 2. Die Emittenten sind für die Durchführung der Authentifizierung verantwortlich und lehnen Autorisierungsanfragen für Transaktionen ab, die unter das SCA-Mandat fallen, aber nicht ordnungsgemäß authentifiziert wurden.

Die Gesetzgebung enthält jedoch mehrere wichtige Ausnahmen, um unnötige Reibungsverluste bei allen Zahlungen zu vermeiden. Dazu gehören Transaktionen unter 30 € (bis zu einer kumulativen Grenze), wiederkehrende Zahlungen nach der Ersteinrichtung, Zahlungen an einen vom Kunden auf die Whitelist gesetzten vertrauenswürdigen Begünstigten und bestimmte Unternehmenszahlungen.

Die vielleicht wichtigste Ausnahme gilt für risikoarme Transaktionen, die mittels Transaktionsrisikoanalyse (TRA) bewertet werden, wodurch Zahlungsanbieter mit niedrigen Betrugsraten SCA bei qualifizierenden Zahlungen bis zu 500 € umgehen können.

Eine oft übersehene Nuance ist, dass TRA ein Privileg ist, das Acquirern aufgrund ihrer Betrugsleistung gewährt wird, und kein Recht, was einen Wettbewerbsunterschied zwischen den Anbietern schafft.

Praxisbeispiel

Ein Käufer in Deutschland kauft eine Lampe für 120 € auf einer französischen E-Commerce-Website. Da es sich um eine vom Kunden initiierte Transaktion zwischen zwei Parteien innerhalb des EWR handelt, fällt sie unter das SCA-Mandat.

Beim Checkout löst der Händler 3D Secure 2 aus. Der Käufer erhält eine Push-Benachrichtigung in seiner Banking-App (Besitzfaktor).

Er öffnet die App und bestätigt die Zahlung mit seinem Fingerabdruck (Inhärenzfaktor). Nachdem erfolgreich zwei Faktoren bereitgestellt wurden, wird die Transaktion authentifiziert und genehmigt.

In einem anderen Szenario, wenn derselbe Kunde einen Einkauf von 25 € tätigen würde, könnte der Händler eine Ausnahme für geringen Wert geltend machen. Der Emittent würde dann entscheiden, ob er die Ausnahme gewährt oder basierend auf seiner eigenen Risikobewertung dennoch eine SCA-Herausforderung anfordert.

Hinweise der Kartensysteme

SCA ist eine gesetzliche Anforderung, die Zahlungsdienstleistern auferlegt wird, und keine Regel, die von den Kartensystemen selbst erstellt wurde. Die Systeme sind jedoch für ihre Implementierung unerlässlich.

Visa und Mastercard haben die SCA-Konformität in ihre Kernverarbeitungsregeln integriert und stellen das 3D Secure 2-Protokoll als primären Mechanismus für Händler und Emittenten zur Einhaltung bereit. Sie bieten Funktionen für Händler, um Transaktionen für bestimmte Ausnahmen, wie z.

B. geringwertige oder vom Händler initiierte Transaktionen (MITs), zu kennzeichnen. Während die Verordnung selbst einheitlich ist, kann die Strenge, mit der einzelne europäische Emittenten sie anwenden, insbesondere ihre Bereitschaft, Ausnahmeanfragen zu akzeptieren, variieren.

Dies macht die Handhabung von SCA zu einer Frage sorgfältiger Orchestrierung und nicht zu einer einfachen Einheitslösung.

Warum das für Händler wichtig ist

Für Händler, die an Kunden im EWR und im Vereinigten Königreich verkaufen, führt die Nichteinhaltung von SCA zu abgelehnten Zahlungen und Umsatzeinbußen. Die größte Herausforderung besteht darin, diese gesetzliche Anforderung mit einem reibungslosen Kundenerlebnis in Einklang zu bringen.

Eine übermäßige Authentifizierung führt zu Reibungsverlusten und Warenkorbabbruch, während eine fehlende Authentifizierung zu harten Ablehnungen führt. Der strategische Einsatz von Ausnahmen ist daher entscheidend für den kommerziellen Erfolg.

Die Zahlungs-Orchestrierung von Cardflo hilft Händlern, diese Komplexität zu bewältigen, indem sie Transaktionen für verfügbare Ausnahmen korrekt kennzeichnet.

Darüber hinaus kann das intelligente Routing von Cardflo Transaktionen an Acquirer leiten, die eine TRA-Ausnahme erhalten haben, wodurch die Wahrscheinlichkeit erhöht wird, dass risikoarme Transaktionen ohne eine störende SCA-Herausforderung verarbeitet werden, was die Genehmigungsraten steigert.

Häufig gestellte Fragen

Wie beantragen Händler SCA-Ausnahmen, um Reibungsverluste zu reduzieren?

Händler können Ausnahmen über ihr Zahlungsgateway oder ihren Acquirer beantragen, indem sie bestimmte Transaktionen in der Zahlungsautorisierungsanfrage kennzeichnen. Gängige Ausnahmen sind Transaktionen mit geringem Wert unter dreißig Euro und die Transaktionsrisikoanalyse, wobei die endgültige Entscheidung, eine Ausnahme zu gewähren, bei der ausstellenden Bank liegt.

Was passiert, wenn eine Transaktion SCA erfordert, aber 3D Secure nicht verwendet wird?

Wenn eine Transaktion in den Geltungsbereich von PSD2 fällt und keine gültige Ausnahme angewendet wird, wird die ausstellende Bank wahrscheinlich einen Soft-Decline-Code zurückgeben.

Der Händler muss dann den Zahlungsfluss mit 3D Secure neu starten, um den Kunden zur erforderlichen Zwei-Faktor-Authentifizierung aufzufordern, bevor die Zahlung erfolgreich verarbeitet werden kann.

Gilt SCA für Transaktionen mit Kunden außerhalb Europas?

Nein, SCA-Regeln gelten für Transaktionen, bei denen sich sowohl die Bank des Karteninhabers (Emittent) als auch der Zahlungsabwickler des Händlers (Acquirer) innerhalb des Europäischen Wirtschaftsraums (EWR) oder des Vereinigten Königreichs befinden. Dies wird oft als „Zwei-Bein“-Transaktion bezeichnet.

Wenn ein US-Kunde bei einem britischen Händler kauft, gilt SCA nicht. Wenn jedoch ein britischer Kunde bei einem US-Händler über einen europäischen Acquirer kauft, würden die SCA-Regeln dennoch ausgelöst.

Wie funktioniert SCA bei Abonnementabrechnungen?

Bei Abonnements und wiederkehrenden Abrechnungen ist SCA in der Regel nur für die erste Transaktion erforderlich, wenn der Kunde den Zahlungsplan einrichtet (eine vom Kunden initiierte Transaktion oder CIT).

Alle nachfolgenden geplanten Zahlungen gelten als vom Händler initiierte Transaktionen (MITs) und fallen nicht in den Geltungsbereich von SCA, was bedeutet, dass sie ohne Kundeninteraktion verarbeitet werden können.

Es ist für den Händler entscheidend, die anfänglichen und nachfolgenden Transaktionen korrekt zu kennzeichnen, damit der Emittent die Zahlungsreihe versteht und die MITs nicht fälschlicherweise ablehnt.

Was ist eine Transaction Risk Analysis (TRA)-Ausnahme?

Die Transaction Risk Analysis (TRA) ist eine wichtige SCA-Ausnahme, die es einem Zahlungsdienstleister (wie einem Acquirer) ermöglicht, eine Ausnahme für Transaktionen zu beantragen, die er als risikoarm einschätzt.

Um dies tun zu dürfen, müssen die eigenen Betrugsraten des Anbieters unter bestimmten, von der Verordnung festgelegten Schwellenwerten liegen (z. B. unter 13 Basispunkten, um Transaktionen bis zu 100 € auszunehmen).

Der Emittent hat das letzte Wort und kann weiterhin eine Authentifizierung verlangen, aber eine erfolgreiche TRA-Ausnahme ermöglicht einen reibungslosen Zahlungsfluss und verbessert die Konversion. Diese Ausnahme ist ein wichtiges Wettbewerbsmerkmal unter Acquirern.

Sind alle B2B-Zahlungen von SCA ausgenommen?

Nicht alle B2B-Zahlungen sind automatisch ausgenommen. Die SCA-Verordnung sieht eine Ausnahme für Zahlungen mit „sicheren Unternehmenszahlungsmethoden“ vor, wie z.

B. Firmenkarten, deren Nutzung auf autorisierte Mitarbeiter beschränkt ist, um ein bestimmtes Geschäft zu bezahlen.

Viele virtuelle Karten und Lodge-Karten, die in der Reisebranche verwendet werden, fallen in diese Kategorie. Zahlungen mit Standard-Firmenkredit- oder Debitkarten unterliegen jedoch im Allgemeinen denselben SCA-Regeln wie Verbraucherzahlungen.

Was passiert, wenn eine SCA-Herausforderung fehlschlägt oder der Kunde sie abbricht?

Wenn der Kunde die Authentifizierungsherausforderung nicht abschließt (z. B. ein falsches Passwort eingibt oder das Fenster schließt), schlägt die Authentifizierung fehl.

Die Transaktion wird nicht zur Autorisierung gesendet und die Zahlung wird effektiv abgebrochen. Dies wirkt sich direkt auf die Konversionsraten aus.

Händler können dies mindern, indem sie sicherstellen, dass ihr Checkout klar ist und den Benutzer führt, und indem sie gegebenenfalls Wiederholungsstrategien anwenden, aber letztendlich bedeutet ein fehlgeschlagener SCA-Versuch einen verlorenen Verkauf für diesen spezifischen Zahlungsversuch.