Was 3-D Secure ist und warum es Pflicht wurde
3-D Secure ist ein Verfahren der Kartensysteme, mit dem die kartenausgebende Bank während einer Onlinezahlung prüft, ob wirklich der Karteninhaber bezahlt. Dabei werden Angaben zur Transaktion, zur Zahlart und zum verwendeten Gerät übermittelt. Aus diesen Daten leitet die Bank ab, wie wahrscheinlich es ist, dass alles seine Ordnung hat.
Verbindlich wurde das durch die europäische Regulierung des Zahlungsverkehrs. Die technischen Regulierungsstandards zur zweiten Zahlungsdiensterichtlinie schreiben eine starke Kundenauthentifizierung vor: mindestens zwei von drei Faktoren — etwas, das der Kunde weiß, etwas, das er besitzt, und etwas, das er ist. In der Praxis ist das meist das Telefon plus Fingerabdruck oder Gesichtserkennung.
Die aktuelle Protokollgeneration heißt EMV 3-D Secure 2. Sie ist der Nachfolger des alten Verfahrens mit dem statischen Passwort, das viele Kunden noch aus schlechter Erinnerung kennen. Die Version 2.1 erfüllt die aufsichtsrechtlichen Anforderungen; ab Version 2.2 empfiehlt das für den Standard zuständige Gremium den Einsatz für den vollen Funktionsumfang.
Zwei Abläufe: mit und ohne Rückfrage
Nicht jede authentifizierte Zahlung stört den Kunden. Welcher Weg genommen wird, entscheidet seine Bank, nicht Ihr Shop.
- 01Ablauf ohne Rückfrage
- Bank, Abwickler und Kartensystem tauschen die nötigen Informationen im Hintergrund aus. Der Kunde merkt nichts, die Zahlung geht durch. Grundlage ist eine passive Prüfung anhand von Gerätemerkmalen und Verhaltensdaten. Das ist der Regelfall bei unauffälligen Zahlungen.
- 02Ablauf mit Rückfrage
- Die Bank verlangt eine aktive Bestätigung, meist in der Banking-App per Fingerabdruck oder Gesichtserkennung. Das kostet Sekunden und einige Abschlüsse, ist aber notwendiger Bestandteil des Verfahrens. Auslöser sind höhere Beträge, unbekannte Geräte oder auffällige Muster.
- 03Eingebettete Bestätigung
- Die Rückfrage findet innerhalb Ihrer Seite oder App statt. Erfahrungsgemäß führt das zu besseren Abschlussquoten, weil der Kunde die gewohnte Umgebung nicht verlässt.
- 04Bestätigung über eine Weiterleitung
- Der Kunde wird auf eine Seite seiner Bank geleitet und danach zurückgeführt. Das funktioniert überall, ist aber anfälliger für Abbrüche — sei es durch technische Fehler, langsame Seiten oder schlicht durch Verunsicherung.
Die zulässigen Ausnahmen
Die Regulierung sieht ausdrücklich Fälle vor, in denen auf eine Authentifizierung verzichtet werden darf. Die Betragsgrenzen stehen im Rechtstext, nicht im Ermessen des Anbieters.
| Ausnahme | Wofür sie gilt | Grenzen |
|---|---|---|
| Kontaktlose Zahlung am Verkaufsort | Kartenzahlung im Laden ohne Eingabe | Einzelbetrag bis 50 Euro; kumuliert höchstens 150 Euro oder fünf Vorgänge |
| Kleinbetrag im Fernabsatz | Onlinezahlungen mit geringem Betrag | Einzelbetrag bis 30 Euro; kumuliert höchstens 100 Euro oder fünf Vorgänge |
| Transaktionsrisikoanalyse | unauffällige Zahlungen bei niedriger Betrugsquote des Anbieters | gestaffelt bis 100, 250 oder 500 Euro, abhängig von der Betrugsquote des Zahlungsdienstleisters |
| Wiederkehrende Zahlungen | Abonnements und regelmäßige Beträge | Authentifizierung nur bei der Einrichtung, danach bei gleichbleibendem Betrag und Empfänger nicht mehr |
| Vertrauenswürdige Empfänger | vom Kunden bei seiner Bank freigegebene Händler | nach einmaliger Authentifizierung; die Freigabe erteilt der Kunde, nicht Sie |
| Vom Händler ausgelöste Zahlungen | Nachbelastungen auf einer hinterlegten Karte | keine Betragsgrenze, dafür kein Haftungsschutz |
Grundlage sind die technischen Regulierungsstandards zur zweiten Zahlungsdiensterichtlinie. Rechtsstand August 2026. Anbieter dürfen strenger sein als der Rechtstext und sind es in der Praxis häufig — die Obergrenze der Risikoanalyse wird oft niedriger angesetzt, als es die Verordnung erlauben würde. Diese Darstellung ersetzt keine Rechtsberatung.
Der Preis jeder Ausnahme: die Haftung
Hier liegt der Punkt, den die wenigsten Anbieter deutlich sagen. Wird eine Ausnahme in Anspruch genommen und von der Bank akzeptiert, entfällt die Haftungsverschiebung. Das heißt: Behauptet der Karteninhaber später, die Zahlung sei nicht von ihm veranlasst worden, tragen Sie das Risiko — nicht seine Bank. Dasselbe gilt für Verfahren, bei denen nur Daten übermittelt werden, ohne dass eine Authentifizierungsanfrage an die Bank geht, und für Zahlungen, die Sie selbst auf einer hinterlegten Karte auslösen.
Jede Ausnahme ist damit ein Tausch: weniger Kaufabbrüche gegen mehr Haftungsrisiko. Ob sich das lohnt, hängt an Ihrem Sortiment. Bei einem Warenkorb von zwanzig Euro mit digitaler Lieferung ist die Rechnung eine andere als bei einem Elektronikartikel für achthundert Euro, der sich problemlos weiterverkaufen lässt.
Umgekehrt ist die Regel, dass nach erfolgreicher Authentifizierung die Bank des Kunden für Betrugsfälle einsteht, in den Regelwerken der Kartensysteme verankert und nicht öffentlich im Volltext einsehbar. Wir formulieren deshalb vorsichtig: Eine authentifizierte Zahlung stellt Sie im Streitfall regelmäßig besser als eine nicht authentifizierte — eine pauschale Garantie ist das nicht.
Was das mit Ihrer Abschlussquote macht
Jede zusätzliche Hürde im Bezahlvorgang kostet Abschlüsse. Das ist keine Meinung, sondern das Grundmuster jedes Kaufprozesses. Bei der Authentifizierung kommen mehrere Ursachen zusammen: Der Kunde muss die App wechseln, findet die Bestätigung nicht, hat die App gar nicht installiert oder bricht ab, weil er die Aufforderung für einen Betrugsversuch hält.
Steuern lässt sich das an drei Stellen. Erstens durch die Wahl der Darstellung: Eine Bestätigung innerhalb Ihrer Seite verliert weniger Kunden als eine Weiterleitung auf eine fremde Seite. Zweitens durch die Qualität der übermittelten Daten: Je mehr gesicherte Angaben zu Kunde, Gerät und Bestellung mitgeliefert werden, desto häufiger entscheidet sich die Bank für den Ablauf ohne Rückfrage. Drittens durch die bewusste Nutzung von Ausnahmen dort, wo das Risiko gering ist.
Was Sie nicht tun sollten, ist die Authentifizierung als lästiges Hindernis zu behandeln, das man wegkonfiguriert. Wer bei jeder Zahlung eine Ausnahme beantragt, verlagert das gesamte Betrugsrisiko auf sich selbst — und merkt das erst, wenn die erste größere Serie an Rückbelastungen eintrifft. Die richtige Einstellung ist eine Abwägung, keine Grundsatzentscheidung.
Was Sie tun können, damit weniger Kunden abbrechen
Sechs Maßnahmen, die keine Regel verletzen und trotzdem messbar wirken.
- 01Vollständige Daten mitgeben
- Kundenname, Rechnungs- und Lieferanschrift, E-Mail, Telefonnummer und die Angaben zum Gerät. Je mehr davon sauber übermittelt wird, desto eher entscheidet die Bank ohne Rückfrage. Unvollständige Angaben sind einer der häufigsten Gründe für unnötige Nachfragen.
- 02Wallets anbieten
- Bei Apple Pay und Google Pay findet die Bestätigung bereits beim Entsperren des Geräts statt. Für den Kunden fühlt sich das nicht wie eine Hürde an, für die Bank ist es eine vollwertige Authentifizierung.
- 03Auf dem Telefon testen
- Die meisten Abbrüche entstehen am Smartphone. Prüfen Sie den kompletten Ablauf einschließlich Rückkehr aus der Banking-App auf echten Geräten und in mehreren Browsern, nicht nur am Schreibtisch.
- 04Den Kunden vorbereiten
- Ein kurzer Hinweis vor dem Bezahlen, dass die Bank gleich eine Bestätigung verlangt, nimmt Verunsicherung heraus. Das kostet eine Zeile und verhindert Abbrüche aus Misstrauen.
- 05Wiederkehrende Zahlungen richtig einrichten
- Bei Abonnements wird nur die Einrichtung authentifiziert. Wenn das sauber angelegt ist, laufen die Folgezahlungen ohne Rückfrage — allerdings ohne Haftungsschutz, was bei kalkulierbaren Stammkunden vertretbar ist.
- 06Fehlerfälle sauber auffangen
- Bricht die Authentifizierung ab, muss der Kunde in seinen Warenkorb zurückkommen und es erneut versuchen können — ohne alles neu einzugeben. Ein Teil der vermeintlich verlorenen Abschlüsse ist an dieser Stelle noch zu retten.
Dieselbe Regel gilt an der Ladenkasse
Ein Punkt, der selten erklärt wird: Die Regel, nach der Ihre Kunden im Laden ab fünfzig Euro oder nach mehreren Zahlungen hintereinander wieder die PIN eingeben müssen, stammt aus demselben Rechtstext wie die Authentifizierung im Internet. Es sind nicht zwei Welten mit zwei Regelwerken, sondern eine Verordnung mit zwei Anwendungsfällen.
Das ist mehr als eine Randnotiz. Wer Kasse und Onlinegeschäft betreibt, hat es mit denselben Grundsätzen zu tun — nur mit anderen Betragsgrenzen und anderen technischen Umsetzungen. Wenn Sie verstehen, warum das Terminal manchmal die PIN verlangt und manchmal nicht, verstehen Sie auch, warum die Bank Ihres Kunden online mal nachfragt und mal nicht.
Für die Beratung heißt das: Wir erklären beides zusammen, nicht getrennt. Ein Betrieb, der beide Kanäle bedient, sollte nicht zwei widersprüchliche Erklärungen von zwei Anbietern bekommen.
Häufige Fragen zu 3-D Secure
Kann ich 3-D Secure abschalten?
Nein, und ein Anbieter, der das verspricht, sollte Sie misstrauisch machen. Was möglich ist, sind die im Rechtstext vorgesehenen Ausnahmen für bestimmte Fälle. Jede genutzte Ausnahme verschiebt allerdings das Haftungsrisiko zu Ihnen.
Warum wird bei manchen Kunden nachgefragt und bei anderen nicht?
Weil die Bank des Kunden entscheidet, nicht Ihr Shop. Sie bewertet Gerät, Zahlungshistorie, Betrag und weitere Merkmale. Ein Stammkunde am gewohnten Gerät wird seltener gefragt als jemand, der zum ersten Mal von einem unbekannten Telefon aus bestellt.
Gilt das auch für Zahlungen aus dem Ausland?
Die europäischen Regeln greifen, wenn beide beteiligten Zahlungsdienstleister im Europäischen Wirtschaftsraum ansässig sind. Bei Zahlungen mit Karten aus Drittländern ist die Lage anders, und der Haftungsschutz kann abweichen. Wenn Sie nennenswert Umsatz mit Kunden außerhalb Europas machen, sollten wir das gesondert ansehen.
Was ist mit Zahlungen per Lastschrift oder Überweisung?
Die Authentifizierung findet dort ebenfalls statt, nur an anderer Stelle: beim Einrichten des Mandats oder im Online-Banking des Kunden. Für Sie als Händler sichtbar ist vor allem, dass diese Verfahren andere Rückbuchungsregeln haben — siehe die Übersicht auf der Hauptseite zum Online-Payment.
Bringt mir 3-D Secure überhaupt etwas?
Ja, und zwar an der Stelle, die im Alltag am meisten weh tut. Eine authentifizierte Zahlung stellt Sie im Streitfall regelmäßig besser als eine nicht authentifizierte. Wer viele Rückbelastungen wegen behaupteten Betrugs hat, sollte eher weniger Ausnahmen nutzen, nicht mehr.
Ich verkaufe Dienstleistungen mit langem Vorlauf. Was gilt da?
Wenn ein Betrag erst später abgebucht oder in Teilen belastet wird, greift meist die Regelung für vom Händler ausgelöste Zahlungen. Die Ersteinrichtung wird authentifiziert, spätere Belastungen nicht — und tragen entsprechend kein Haftungsprivileg. Das ist beherrschbar, sollte aber bewusst so eingerichtet werden.