Was ist SCA?

Auch bekannt als: Strong Customer Authentication, starke Kundenauthentifizierung, Zwei-Faktor-Authentifizierung im Zahlungsverkehr, SCA-Pflicht

• SCA verlangt zwei unabhängige Elemente aus den Kategorien Wissen, Besitz und Inhärenz; die Pflicht steht in § 55 ZAG
• Kontaktlos am Verkaufsort ohne SCA: Einzelbetrag höchstens 50 Euro, zusätzlich kumuliert höchstens 150 Euro oder höchstens fünf aufeinanderfolgende Vorgänge (Art. 11 Delegierte Verordnung (EU) 2018/389)
• Fernzahlung ohne SCA: höchstens 30 Euro, zusätzlich kumuliert höchstens 100 Euro oder höchstens fünf aufeinanderfolgende Vorgänge (Art. 16 Delegierte Verordnung (EU) 2018/389)
• Bei Fernzahlungen ist der Authentifizierungscode dynamisch an Betrag und Empfänger zu binden
• In Deutschland galt für Kreditkarten im E-Commerce eine gestaffelte BaFin-Frist: ab 15.01.2021 für Beträge ab 250 Euro, ab 15.02.2021 ab 150 Euro, ab 15.03.2021 für alle Beträge

Die drei Kategorien und die dynamische Verknüpfung

SCA verlangt zwei Elemente aus verschiedenen Kategorien: Wissen — etwas, das nur der Nutzer weiß, etwa PIN oder Passwort; Besitz — etwas, das nur der Nutzer hat, etwa eine Karte oder ein registriertes Smartphone; Inhärenz — etwas, das der Nutzer ist, etwa Fingerabdruck oder Gesichtserkennung. Die Elemente müssen so unabhängig sein, dass die Kompromittierung des einen die Zuverlässigkeit des anderen nicht beeinträchtigt. Bei Fernzahlungen kommt eine zweite Anforderung hinzu, die § 55 ZAG ausdrücklich nennt: die dynamische Verknüpfung. Der Authentifizierungscode muss fest an genau diesen Betrag und genau diesen Empfänger gebunden sein. Ändert sich einer der beiden Werte, wird der Code ungültig — das verhindert die nachträgliche Umleitung einer bereits freigegebenen Zahlung.

Die Ausnahmen am Verkaufsort

Für den Ladenverkauf ist Artikel 11 der Delegierten Verordnung (EU) 2018/389 die zentrale Norm. Auf SCA darf verzichtet werden, wenn der Einzelbetrag der kontaktlosen Zahlung 50 Euro nicht übersteigt und zusätzlich eine von zwei kumulativen Grenzen eingehalten ist: Entweder gehen die seit der letzten starken Authentifizierung angesammelten Beträge nicht über 150 Euro hinaus, oder es wurden nicht mehr als fünf aufeinanderfolgende kontaktlose Vorgänge ausgelöst. Beide Zähler laufen auf der Karte beziehungsweise beim Issuer, nicht beim Händler. Artikel 12 enthält eine gesonderte Ausnahme für unbeaufsichtigte Terminals, die Verkehrsnutzungsentgelte oder Parkgebühren erheben — der Grund, warum Parkautomaten und Fahrscheinautomaten ohne PIN funktionieren.

Die Ausnahmen im Fernabsatz

Im Onlinehandel gilt Artikel 16 mit deutlich engeren Werten: Der Betrag eines elektronischen Fernzahlungsvorgangs darf 30 Euro nicht übersteigen, und zusätzlich dürfen entweder die seit der letzten SCA angesammelten Beträge 100 Euro nicht überschreiten oder es dürfen nicht mehr als fünf aufeinanderfolgende Fernzahlungsvorgänge ausgelöst worden sein. Weitere Ausnahmen betreffen vertrauenswürdige Empfänger nach Artikel 13, die der Kunde zuvor mittels SCA auf eine Liste gesetzt hat, wiederkehrende Zahlungen gleicher Höhe an denselben Empfänger nach Artikel 14 und Überträge zwischen eigenen Konten beim selben Institut nach Artikel 15. Wichtig für die Praxis: Ob eine Ausnahme angewandt wird, entscheidet stets die kartenausgebende Bank.

Wie SCA in Deutschland eingeführt wurde

Der Geltungsbeginn der technischen Regulierungsstandards war der 14. September 2019, doch die Marktseite war nicht bereit. Die Europäische Bankenaufsichtsbehörde verlängerte den Migrationszeitraum mit ihrer Stellungnahme vom 16. Oktober 2019 bis zum 31. Dezember 2020 und begründete das unter anderem damit, dass kleine und mittlere Händler drei bis neun Monate für die Umstellung benötigen. In Deutschland setzte die BaFin für Kreditkartenzahlungen im E-Commerce anschließend eine gestaffelte Frist: ab dem 15. Januar 2021 für Beträge ab 250 Euro, ab dem 15. Februar 2021 ab 150 Euro und ab dem 15. März 2021 ohne Betragsgrenze für alle Transaktionen.

Abgrenzung — womit SCA verwechselt wird

SCA wird oft mit 3-D Secure gleichgesetzt. 3-D Secure ist ein Protokoll, mit dem SCA im Fernabsatz technisch umgesetzt werden kann; SCA ist die rechtliche Pflicht dahinter. Am Verkaufsort wird SCA dagegen über PIN oder über die Entsperrung des Kundengeräts erfüllt, ganz ohne 3-D Secure. Und: Ob eine Ausnahme greift, entscheidet die kartenausgebende Bank, nicht der Händler und nicht sein Zahlungsdienstleister.

Verwandte Begriffe

Häufige Fragen

Warum verlangt die Karte plötzlich eine PIN, obwohl der Betrag klein ist?

Weil neben der Einzelbetragsgrenze von 50 Euro zwei kumulative Zähler laufen. Sobald die Summe der kontaktlosen Zahlungen seit der letzten starken Authentifizierung 150 Euro überschreitet oder fünf aufeinanderfolgende Vorgänge erreicht sind, verlangt die Karte eine PIN. Grundlage ist Artikel 11 der Delegierten Verordnung (EU) 2018/389. Der Zähler wird durch die PIN-Eingabe zurückgesetzt.

Kann ich als Händler die SCA für meine Kunden abschalten?

Nein. Die Pflicht trifft den Zahlungsdienstleister, und über die Anwendung einer Ausnahme entscheidet die kartenausgebende Bank auf Basis ihrer Risikobewertung. Sie können lediglich dafür sorgen, dass Ihre technische Anbindung die vorhandenen Ausnahmen sauber unterstützt — im Fernabsatz etwa, indem Ihr Zahlungsdienstleister eine aktuelle Version von EMV 3-D Secure einsetzt.

Gilt SCA auch bei SoftPOS?

Ja, denn SCA hängt nicht an der Bauform des Akzeptanzgeräts, sondern an der Zahlung. Am Verkaufsort erfüllt die PIN auf dem Display die Anforderung, bei Wallet-Zahlungen die Entsperrung des Kundengeräts per Fingerabdruck oder Gesichtserkennung. Eine SoftPOS-Lösung, die keine PIN-Eingabe anbietet, stößt deshalb oberhalb der Kontaktlosgrenzen an ihr Ende.

Quellen

• EUR-Lex — Delegierte Verordnung (EU) 2018/389, Art. 11 bis 16
• EBA — Opinion on the deadline for the migration to SCA (16.10.2019)
• Kartensicherheit.de — Endspurt für die starke Kundenauthentifizierung (Fristenstaffel der BaFin)

Teil des SoftPOS24 Payment-Glossars mit 71 Fachbegriffen zu SoftPOS, Kartenzahlung und Zahlungsverkehr. Fehler entdeckt? Korrektur melden — wir prüfen jede Meldung.