Einfach gut

ANTWORT: Über einen zusätzlichen Schritt, der in den Zahlungsvorgang integriert wird, kann die Bank die Kundenidentität im Zwei-Faktoren Prinzip (two-factor authentication) überprüfen, anstatt der Benutzung statischer Passwörter. Durch den Einsatz dieses Sicherheitsverfahrens kommt es zu einer Haftungsumkehr (Liability Shift), da die Verantwortung im Betrugsfall nicht länger bei Ihnen als Händler liegt, sondern bei der kartenausgebenden Bank.

Starke Kundenauthentifizierung (SCA) auf Grund der Verwendung von mindestens zwei Faktoren:

• Wissen (z.B. Passwort, Code, PIN)
• Besitz (z.B. Token, Smartphone)
• Inhärenz (z.B. Fingerabdruck, Stimmerkennung)

Dabei müssen mindestens 2 unabhängige Faktoren aus mindestens 2 verschiedenen Kategorien angefragt werden. Ausnahmen hiervon sind möglich, in denen eine SCA nicht zwingend erforderlich ist. So zum Beispiel bei Zahlungen mit geringem Risiko und Kleinstbeträgen.

ANTWORT: Wenn sich Ihre Kartenakzeptanzstelle innerhalb des Europäischen Wirtschaftsraums (EWR) befindet und Sie Kreditkarten im E-Commerce akzeptieren, müssen Sie 3D Secure 2 verwenden. Die starke Kundenauthentifizierung (Strong Customer Authentication, SCA) wird ab September 2019 im Rahmen der EU-Zahlungsdiensterichtlinie (PSD2) verpflichtend. 3D Secure 2 ist die geeignete Lösung für Kreditkartensysteme.

ANTWORT: Ab September 2019 müssen Finanzinstitute innerhalb des EWR eine starke Kundenauthentifizierung für Finanztransaktionen einsetzen. Wenn Sie nicht auf 3D Secure 2 umsteigen möchten, können Sie davon ausgehen, dass deutlich mehr Transaktionen abgelehnt werden.

ANTWORT: 3-DS 1.0 wird teilweise in Märkten ausserhalb der EU weiterhin genutzt. Es können durchaus ausländische Karteninhaber innerhalb der EU einkaufen, deren Bank noch nicht 3DS 2.X unterstützt.
Beispiel: Visa kündigt das 3-DS 1.0 zum Ende des Jahres 2020 ab.
Grundsätzlich erfüllt 3DS 1.0 die Anforderungen einer SCA – ist von der User Experience unter Nutzung der Ausnahmen nicht vollumfänglich auf die Anforderungen der PSD2 ausgelegt. Es ist denkbar, dass kartenausgebende Institute die Transaktionen ablehnen. Technisch werden die neuen 3-D Secure 2 Protokolle parallel zu 3-DS 1 verwendet, um den Übergang zu dem
neuen Protokoll so reibungslos wie möglich zu gestalten. Dank dieses Ansatzes können wir Händlern, die sowohl die alten als auch die neuen Nachrichtenübertragungswege nutzen, besser unterstützen.

ANTWORT: Der Kartenausgeber ist verpflichtet Transaktionen ohne SCA ab dem 14.09.2019 abzulehnen. Es sei denn, der Kartenherausgeber rechnet die jeweilige Transaktion einer der Ausnahmen (siehe weiter unten) zu. Für Händler, die noch kein 3-D Verfahren nutzen, ist es empfehlenswert, sich für beide Verfahren (1.0 und 2.X) durch die Zahlungsdienstleister (Acquirer/PSP) registrieren zu lassen.

• weniger Kaufabbrüche, höhere Kaufabschlussquote durch unterbrechungsfreie Zahlungen und somit höhere Conversion
• höhere Akzeptanzquote
• reibungslose Integration in Ihren Kaufabwicklungsprozess
• Wir als Zahlungsinstitut (Acquirer) dürfen alle Ausnahmen im Rahmen der SCA anbieten, odurch weiterhin ein großer Teil der Transaktionen auch ohne starke Kundenauthentifizierung möglich sein wird.
• Unterbindung von ungerechtfertigten Ablehnungen
• erhöhte Sicherheit und Reduzierung der Fraud-Rate
• Wir sorgen dafür, dass Sie als Händlerkunden die neuen  Zahlungsverkehrsanforderungen erfüllen können

Des Weiteren unterstützt die neue Version 3-DS 2 die Authentifizierung für In-App Käufe, Mobile Payments und Wallets (bspw. durch den Einsatz biometrischer Verfahren wir der Fingerabdruck-Authentifizierung) sowie die Nutzung von Transaktionsdaten für die Authentifizierung, was mit der Vorgängerversion 3-DS 1 nicht möglich und auf browser-basierte Transaktionen begrenzt war. 3-DS 2 ist somit für mobiles Zahlen optimiert.

ANTWORT: Starke Kundenauthentifizierung (Strong Customer Authentication, SCA) ist ein verpflichtender Bestandteil von Zahlungen im E-Commerce. Sie wird immer dann erforderlich, wenn ein Kunde (persönlich, mobil oder mit hinterlegten Kartendaten) einen elektronischen Zahlungsvorgang auslöst oder eine Handlung vornimmt, die das Risiko eines Betrugs im Zahlungsverkehr oder eines anderen Missbrauchs birgt.

ANTWORT: Für folgende Transaktionen und Geschäftsvorfälle ist keine starke Kundenauthentifizierung (Strong Customer Authentication, SCA) erforderlich:

• vom Händler initiierte Transaktionen (Merchant Initiated Transaction, MIT)
• Manuelle Mail- and Telephoneorder (MOTO) Transaktionen
• internationale, globale Transaktionen von Karteninhabern, die kartenausgebende Institute Issuer) außerhalb des Europäischen Wirtschaftsraums (EWR) nutzen und die Akzeptanzseite (Händler/Acquirer) sich beispielsweise innerhalb des EWR befindet
• anonyme Prepaid-Karten
• Lastschriftmandate ohne Verifizierung durch einen Zahlungsdienstleister
• Kartenzahlung mit Unterschrift ohne elektronische Verifizierung

ANTWORT: Ausnahmen für E-Commerce Transaktionen beinhalten

Kleinstbetragszahlungen

• Unter 30 €
• Der kumulierte Betrag beträgt weniger als 100 € oder überschreitet nicht 5 aufeinander folgende Transaktionen

Wiederkehrende Transaktionen

• Nur für denselben Betrag, Transaktionen mit demselben Zahlungsempfänger
• Die erste Transaktion und sämtliche Änderungen erfordern eine Authentifizierung

Transaktionsrisikoanalyse (TRA)

• Betrugsraten- und risikobasierte Authentifizierung (RBA)
• Die von uns ermittelte Risikorate ist niedriger als oder gleich dem Ausnahmeschwellenwert
• Maximaler Vorgangswert < 500 €

Whitelisted Transaktionen - vertrauenswürdiger Empfänger

• Der Karteninhaber kann die Whitelist vertrauenswürdiger Zahlungsempfänger über seine kontoführende Bank verwalten sofern dieser Service von seiner Bank angeboten wird. Der Kartenherausgeber hat aber grundsätzlich die letzte Entscheidung für die Transaktionsgenehmigung.

ANTWORT: Vertrauenswürdige Zahlungsempfänger, sogenannte Trusted Beneficiaries können vom User innerhalb seines Online-Banking-Portals gekennzeichnet werden, sofern die Bank diesen Service anbietet. Dazu legt er eine Liste mit vertrauenswürdigen Empfängern an, die sogenannte Whitelist. Dieser Vorgang, das Whitelisting, sorgt dafür, dass Transaktionen an die gelisteten Empfänger nicht stark authentifiziert werden. Eine SCA findet lediglich einmalig statt, um die angelegte Whitelist oder den jeweiligen Trusted Beneficiary zu bestätigen. Alle folgenden Transaktionen an den Empfänger werden ohne SCA realisiert, sofern die Transaktionen keine allgemeinen Auffälligkeiten aufweisen.

ANTWORT: Ein Händler kann sich nicht selbst auf die Liste der vertrauenswürdigen Empfänger bei Käufern setzen lassen. Nur der Käufer/Kontoinhaber kann Händler, denen er vertraut, auf eine Whitlist setzen lassen. Eine Generalbefreiung für alle Händler ist nicht möglich, die Händler müssen einzeln benannt werden. Zudem kann seine Bank im Einzelfall weiterhin das 3-DS Verfahren durchführen, wenn sie Hinweise auf ein erhöhtes Risiko der entsprechenden Transaktion hat. Generell sind die Banken außerdem nicht verpflichtet, eine Whitelist zu führen.

ANTWORT: PayPal wird nach der neuen PSD2 Richtlinie in Zukunft nicht mehr über eine reine Passwortanmeldung (TAN) funktionieren. Die Umstellung auf die Zwei-Faktor-Authentifizierung, die PayPal bereits jetzt als freiwillige Lösung anbietet, wird mit Wirksamwerden der PSD2 verpflichtend werden. Sie obliegt PayPal und nicht dem Händler.

ANTWORT: Für Händler, die das aktuelle 3-D Secure 1.0 Verfahren und unsere E-Commerce Lösungen nutzen, werden grundsätzlich keine Änderungen entstehen, indem wir den bisherigen 3D-Secure Prozess größtenteils beibehalten. Insbesondere die Nutzer von Shopware, Magento, Oxid und anderen von PAYONE unterstützten Standardshopsystemen können ihr Geschäft so nahtlos weiter betreiben. Zudem werden die aktualisierten Shopmodule bereitgestellt. Händler mit individuellen Anbindungen an unsere E-Commerce Lösungen erhalten für die erforderlichen Anpassungen die entsprechend erweiterte Produktdokumentation, um auf die neue Version umstellen zu können. Händler die keine E-Commerce Lösung von PAYONE nutzen, werden direkt von ihren technischen Payment Service Providern unterstützt. Hier stehen wir mit allen Payment Service Providern in Kontakt, um den Änderungsbedarf auch für diese Händler möglichst gering zu halten.

ANTWORT: Der Händler muss nicht dafür Sorge tragen, dass nur 3-D Karten akzeptiert werden, da der Issuer bzw. die kartenausgebende Bank über die Akzeptanz von Ausnahmen und Transaktionen z. B. außerhalb des EWR entscheidet. Auch falls einzelne Institute / Issuer die neuen Anforderungen nicht rechtzeitig unterstützen, wird BS PAYONE die Transaktionen unter Berücksichtigung der neuen Vorgaben weiterhin abwickeln.

ANTWORT: Durch 3-DS 2.X ändert sich bei diesen Geschäftsvorfällen grundsätzlich nichts. Es ist jedoch zu beachten, dass bei einer abgelaufenen Preauth wie bereits auch unter 3-DS 1.0 eine neue Preauth durch Abfrage einer SCA erforderlich wird.