Was ist 3-D Secure?

Auch bekannt als: Three-Domain Secure, 3DS, EMV 3-D Secure, Verified by Visa, Mastercard Identity Check, SecureCode

• Das Protokoll wurde im Herbst 1999 von Celo Communications für Visa entwickelt und 2001 als Verified by Visa eingeführt
• EMVCo veröffentlichte die Spezifikation für 3-D Secure 2.0 im Oktober 2016; EMVCo führt aktuell die Fassungen 2.2.0 und 2.3.1
• Die Unterstützung für 3-D Secure 1.0.2 endete bei Visa am 15. Oktober 2022 und bei Mastercard am 18. Oktober 2022
• Die EBA hat anerkannt, dass Protokolle wie EMV 3DS ein Mittel zur Umsetzung der starken Kundenauthentifizierung darstellen; EMVCo empfiehlt für PSD2 mindestens Version 2.2
• Die drei namensgebenden Domänen sind Acquirer-Domäne, Issuer-Domäne und Interoperabilitätsdomäne des Kartensystems

Wie eine 3-D-Secure-Prüfung abläuft

Beim Bezahlvorgang sammelt ein 3DS-Server auf Händlerseite Daten zur Transaktion, zum Zahlungsmittel und zum Endgerät und schickt sie über den Directory Server des Kartensystems an den Access Control Server der kartenausgebenden Bank. Diese bewertet das Risiko und entscheidet zwischen zwei Wegen. Beim Frictionless Flow reichen die übermittelten Daten aus, der Kunde bemerkt nichts. Beim Challenge Flow fordert die Bank eine aktive Bestätigung an, heute meist per Freigabe in der Banking-App mit Fingerabdruck oder Gesichtserkennung. EMVCo beschreibt das Ziel ausdrücklich als Betrugsprävention bei Kartenzahlungen ohne Kartenpräsenz, ohne unnötige Reibung im Bezahlvorgang zu erzeugen.

Von Verified by Visa zu EMV 3-D Secure

Das Protokoll entstand im Herbst 1999 bei Celo Communications für Visa und wurde 2001 als Verified by Visa eingeführt; Mastercard folgte mit SecureCode, American Express mit SafeKey, JCB mit J/Secure, Discover mit ProtectBuy. Diese erste Generation arbeitete mit statischen Passwörtern und Pop-up-Fenstern und war für hohe Abbruchquoten berüchtigt. Im Oktober 2016 veröffentlichte EMVCo die Spezifikation für 3-D Secure 2.0, die auf Kontextdaten statt auf statische Passwörter setzt. Die Ablösung der alten Generation erfolgte 2022: Visa stellte die Unterstützung für 3-D Secure 1.0.2 am 15. Oktober 2022 ein, Mastercard am 18. Oktober 2022. EMVCo führt derzeit die Spezifikationen in den Fassungen 2.2.0 und 2.3.1.

Das Verhältnis zur starken Kundenauthentifizierung

3-D Secure ist kein Rechtsbegriff, sondern Technik — aber die Technik, mit der die rechtliche Pflicht meist erfüllt wird. Die Europäische Bankenaufsichtsbehörde hat anerkannt, dass Protokolle wie EMV 3DS Händlern und Issuern ein Mittel zur Umsetzung der starken Kundenauthentifizierung an die Hand geben. EMVCo empfiehlt für PSD2-Zwecke ausdrücklich Version 2.2 oder höher. Der Grund liegt in den Datenfeldern: Erst ab dieser Fassung lassen sich Ausnahmen von der SCA — etwa nach Artikel 16 der Delegierten Verordnung (EU) 2018/389 für Beträge bis 30 Euro — strukturiert anfragen und begründen. Wer mit einer veralteten Integration arbeitet, verschenkt Frictionless-Quote und damit Umsatz.

Welche Rolle 3-D Secure bei SoftPOS spielt

Im klassischen SoftPOS-Betrieb spielt 3-D Secure keine Rolle. Wer eine Karte oder ein Wallet an ein Smartphone hält, führt eine Kartenpräsenz-Transaktion durch; die starke Kundenauthentifizierung wird dort über die PIN auf dem Display oder über die Entsperrung des Kundengeräts erfüllt. Relevant wird das Protokoll erst bei den Zusatzfunktionen, die viele SoftPOS-Apps mitbringen: Zahlungslinks, Rechnungen mit Bezahlbutton, wiederkehrende Abbuchungen oder telefonisch aufgenommene Bestellungen. Diese Vorgänge sind Fernzahlungen und unterliegen den engeren Regeln des Fernabsatzes. Händler sollten deshalb vor Vertragsabschluss klären, ob die Zahlungslink-Funktion eine aktuelle EMV-3DS-Fassung nutzt.

Abgrenzung — womit 3-D Secure verwechselt wird

Das „3D" im Namen hat nichts mit Dreidimensionalität zu tun, sondern mit den drei beteiligten Domänen. Häufiger ist die Verwechslung mit SCA: 3-D Secure ist ein Protokoll, SCA eine Rechtspflicht — beides fällt oft, aber nicht immer zusammen. Ebenso wenig ist 3-D Secure Tokenisierung: Das eine authentifiziert den Zahlenden, das andere ersetzt die Kartennummer.

Verwandte Begriffe

Häufige Fragen

Brauche ich 3-D Secure für meine SoftPOS-Zahlungen im Laden?

Nein. Kartenzahlungen am Verkaufsort sind Kartenpräsenz-Transaktionen; die starke Kundenauthentifizierung wird dort über PIN oder über die Entsperrung des Kundengeräts erfüllt. 3-D Secure benötigen Sie erst, wenn Sie Fernzahlungen annehmen — etwa über Zahlungslinks, Rechnungen mit Bezahlbutton oder telefonisch aufgenommene Bestellungen.

Welche Version von 3-D Secure sollte mein Dienstleister einsetzen?

Mindestens EMV 3-D Secure 2.2, wie es EMVCo für PSD2-Zwecke empfiehlt; EMVCo führt aktuell die Fassungen 2.2.0 und 2.3.1. Die alte erste Generation wird nicht mehr unterstützt — Visa stellte 3-D Secure 1.0.2 am 15. Oktober 2022 ein, Mastercard am 18. Oktober 2022. Neuere Fassungen erhöhen zudem den Anteil der reibungsfreien Freigaben.

Führt 3-D Secure zu weniger Chargebacks?

In der Regel ja, allerdings nicht durch das Protokoll selbst. Bei erfolgreicher Authentifizierung verschiebt sich die Haftung für bestimmte Betrugsfälle üblicherweise zur kartenausgebenden Bank. Geregelt wird das jedoch in den Regelwerken der einzelnen Kartensysteme, die sich unterscheiden und ändern können — die konkreten Bedingungen sollten Sie mit Ihrem Acquirer klären.

Quellen

• EMVCo — 3-D Secure
• EMVCo — 3-D Secure Documentation (Spezifikationsfassungen)
• Netcetera — 3DS 1 sunset (Abschaltdaten Visa und Mastercard)

Teil des SoftPOS24 Payment-Glossars mit 71 Fachbegriffen zu SoftPOS, Kartenzahlung und Zahlungsverkehr. Fehler entdeckt? Korrektur melden — wir prüfen jede Meldung.