Die Anforderungen für die Starke Kundenauthentifizierung (SCA) werden in fast allen berechtigten europäischen Ländern eingesetzt, was einen massiven Wandel in der europäischen Zahlungslandschaft bedeutet.

Um den neuen SCA-Anforderungen gerecht zu werden, ist eine Zwei-Faktor-Authentifizierung bei vielen Online-Kartenzahlungen in Europa vorgeschrieben. Ohne eine solche Authentifizierung können Zahlungen von den Kundenbanken verweigert werden. Wir haben neue grundlegende Zahlungs-APIs eingerichtet, um den Unternehmen dabei zu helfen, die neuen Regeln umzusetzen und von den vorgesehenen Ausnahmen zu profitieren.

Wir empfehlen Ihnen, sich diesen Leitfaden sorgfältig durchzulesen, um zu verstehen, wie die einzelnen Zahlungsabläufe SCA-konform gemacht werden können. Bei der Neugestaltung Ihrer Zahlungsabläufe können Sie den Leitfaden als ständigen Begleiter nutzen.

So hat sich der Online-Zahlungsvorgang verändert

Kartenzahlungen erfolgen traditionell in zwei Schritten: Autorisierung und Erfassung. Eine Zahlung wird autorisiert, wenn die Kundenbank bzw. der Kartenaussteller eine Zahlung genehmigt; die Zahlung wird erfasst, wenn die Karte belastet wird.

Die Starke Kundenauthentifizierung (SCA) führt einen zusätzlichen und zwingend erforderlichen Schritt vor der Autorisierung und Erfassung ein: die Authentifizierung. Dieser Schritt dient dem Schutz von Kund/innen durch Betrugsprävention. Zur Authentifizierung einer Zahlung reagieren Kund/innen auf eine Aufforderung der Bank und liefern zusätzliche Informationen. Hierbei kann es sich um etwas handeln, das nur der/die Nutzer/in weiß, wie z. B. ein Passwort, oder um etwas, das nur der/die Nutzer/in besitzt, wie z. B. ein Mobiltelefon, oder um etwas, das den/die Nutzer/in eindeutig verifiziert, wie z. B. ein Fingerabdruck.

Die am häufigsten verwendete Methode zur Authentifizierung einer Zahlung ist 3D Secure. 3D Secure wird auch in Zusammenhang mit Markennamen wie „Visa Secure“ bzw. „Mastercard Identity Check“ verwendet. Darüber hinaus gibt es eine neue Version, nämlich 3D Secure 2 und es wird erwartet, dass diese Version zur Standardmethode der Authentifizierung von Zahlungen wird. Weitere Informationen zu den Unterschieden zwischen diesen Methoden sind im 3D Secure 2-Leitfaden enthalten. 3D Secure 2 wird sowohl von unseren neuen Zahlungs-APIs, Stripe Billing, als auch der neuen Version von Stripe Checkout unterstützt.

Ganz gleich, welche Methode verwendet wird, müssen Kund/innen zur Authentifizierung eine aktive Sitzung vorweisen, was auch als „on-session“ bezeichnet wird. Dies bedeutet, dass Kund/innen Ihre Website oder App verwenden müssen. Das Hinzufügen dieses Schrittes ist für Unternehmen einfacher, die Kundenzahlungen sofort abwickeln. Für Unternehmen, bei denen Zahlungen erst abgewickelt werden, nachdem Kund/innen den Bezahlvorgang durchlaufen haben, ist dies komplexer. (Dies wird manchmal als „off-session“ bezeichnet.)

Die Szenarien in diesem Leitfaden geben Beispiele dazu, wie sich diese drei Schritte (Authentifizierung, Autorisierung und Erfassung) unterscheiden können, je nachdem, wie und wann Kundenzahlungen abgewickelt werden.

Überblick über Ausnahmen

Einige Zahlungsarten – wie beispielsweise Transaktionen mit geringem Risiko, Abonnements mit einem festen Betrag, Telefonbezahlung oder von Händlern initiierte Transaktionen – sind von der SCA ausgenommen. Bei von Händlern veranlassten Transaktionen handelt es sich um Zahlungen, die mithilfe einer gespeicherten Karte erfolgen, ohne dass Kundinnen sich in einer Sitzung befinden. Übliche Beispiele hierfür sind Zahlungen für Mitgliedschaften im Fitnessstudio oder Gas-, Wasser- oder Stromrechnungen. Um diese Ausnahme geltend machen zu können, muss Ihr Unternehmen eine Kundenvereinbarung haben, wobei die Authentifizierung der Karte der Person erfolgt, wenn diese gespeichert oder für die erste Zahlung authentifiziert wird. Unser Leitfaden für die Starke Kundenauthentifizierung (SCA) enthält weitere Einzelheiten zu diesen und anderen Ausnahmen.

Stripe hat Zahlungs-APIs und Produkte, die die Starke Kundenauthentifizierung unterstützen, entwickelt, um Unternehmen dabei zu helfen, die Möglichkeiten voll auszuschöpfen, indem automatisch Ausnahmen angefordert werden. Sobald die Ausnahmen von den Banken der Kund/innen genehmigt werden, ist eine Authentifizierung durch diese nicht mehr erforderlich, was die Auswirkungen auf Konversionen minimiert.

Unternehmen können sich jedoch nicht auf Ausnahmen verlassen und müssen ihren Zahlungsfluss so konzipieren, dass die Kundenauthentifizierung, wenn erforderlich, erfolgt. Grund hierfür ist, dass die Richtlinien bezüglich Ausnahmen von den Banken der Kund/innen abhängig sind. Die Banken beurteilen jede Zahlung und entscheiden, ob eine Ausnahme geltend gemacht werden kann – und die Handhabung von Ausnahmen ist von Bank zu Bank unterschiedlich.

Geschäftsszenarien

Um die Auswirkungen und Geltungsbereiche der SCA darzustellen, haben wir zusammengefasst, wie ein Authentifizierungsschritt in Zahlungsabläufe für verschiedene Geschäftsmodelle integriert werden kann.

E-Commerce

Einmalige Zahlung. Karte nicht gespeichert.

E-Commerce-Unternehmen buchen Zahlungen von Kund/innen normalerweise ab, wenn diese online sind, ohne Einzelheiten zur verwendeten Karte für die Zukunft zu speichern. Wenn Ihr Unternehmen über einen ähnlichen Zahlungsablauf verfügt, ist das Hinzufügen der Authentifizierung leicht: Die Authentifizierung mit 3D Secure erfolgt, sobald Kund/innen ihre Kartenangaben eingegeben und ihre Bestellung aufgegeben haben.

Stripe fordert automatisch jegliche zutreffenden Ausnahmen an, sodass möglicherweise gar keine Kundenauthentifizierung erforderlich ist. Da einzelne Banken jedoch Ausnahmen unterschiedlich anwenden, muss Ihr Unternehmen weiterhin Zahlungsabläufe für die Kundenauthentifizierung konzipieren und die Möglichkeit berücksichtigen, dass Kund/innen für die erneute Authentifizierung zur Online-Sitzung zurückgebracht werden müssen.

Empfehlungen

Wählen Sie eine Option:

Fahrdienstvermittlung

Die Zahlung wird innerhalb von sieben Tage nach der Autorisierung erfasst. Der endgültige Zahlungsbetrag kann sich ändern.

Fahrdienstvermittler und andere Bedarfsmärkte erfassen Zahlungen für gewöhnlich innerhalb von sieben Tagen nach der Autorisierung und der Endbetrag kann höher oder niedriger ausfallen. Wenn Ihr Unternehmen einen ähnlichen Zahlungsablauf verwendet, kann die 3D Secure-Authentifizierung sofort nach der Anforderung einer Fahrt erfolgen, da Kund/innen zu dem Zeitpunkt noch online sind. Wenn der Endbetrag über dem zunächst authentifizierten Betrag liegt, müssen Kund/innen den höheren Betrag erneut authentifizieren. Wenn der Endbetrag unter dem anfänglich authentifizierten Betrag liegt, ist keine erneute Authentifizierung erforderlich.

Eine andere Möglichkeit, diesen Zahlungsablauf anzugehen, ist es, einen höheren Betrag zu authentifizieren und zu autorisieren, sobald Kund/innen eine Fahrt anfordern. Wenn Kund/innen später ein Trinkgeld hinzufügen möchten und der Gesamtbetrag unter dem authentifizierten Betrag liegt, ist keine weitere Authentifizierung erforderlich. Die Kehrseite hierzu ist, dass die anfängliche Authentifizierung eines höheren Betrags möglicherweise preisbewusste Kund/innen abschreckt.

Stripe fordert automatisch jegliche zutreffenden Ausnahmen an, sodass möglicherweise gar keine Kundenauthentifizierung erforderlich ist. Da einzelne Banken jedoch Ausnahmen unterschiedlich anwenden, muss Ihr Unternehmen weiterhin Zahlungsabläufe für die Kundenauthentifizierung konzipieren und die Möglichkeit berücksichtigen, dass Kundinnen für die erneute Authentifizierung zur Online-Sitzung zurückgebracht werden müssen.

Empfehlung

Crowdfunding

Die Zahlung wird mehr als sieben Tage nach der Autorisierung erfasst.

Crowdfunding-Plattformen erfassen Zahlungen normalerweise mehr als sieben Tage nach der Autorisierung. Jede Kampagne hat eine bestimmte Laufzeit und Zahlungen werden nach erfolgreichem Abschluss der Kampagne erfasst. Wenn Ihr Unternehmen über einen ähnlichen Zahlungsablauf verfügt, können Sie die 3D Secure-Authentifizierung durchführen, wenn Kunden einen Spendenbetrag zur Unterstützung der Kampagne eingeben und diesen dann autorisieren und erfassen, wenn die Kampagne erfolgreich abgeschlossen ist. Wenn die Autorisierung fehlschlägt, muss Ihr Unternehmen die Kundinnen zur erneuten Authentifizierung zur Online-Sitzung zurückbringen.

Stripe fordert automatisch jegliche zutreffenden Ausnahmen an, sodass möglicherweise gar keine Kundenauthentifizierung erforderlich ist. Da einzelne Banken jedoch Ausnahmen unterschiedlich anwenden, muss Ihr Unternehmen weiterhin Zahlungsabläufe für die Kundenauthentifizierung konzipieren und die Möglichkeit berücksichtigen, dass Kundinnen für die erneute Authentifizierung zur Online-Sitzung zurückgebracht werden müssen.

Erfolgreiche Zahlung

Fehlgeschlagene Zahlung

Empfehlung

Autovermietungen

Die Zahlung wird über sieben Tage nach der Autorisierung erfasst. Der endgültige Zahlungsbetrag kann sich ändern.

Autovermietungen erfassen Zahlungen für gewöhnlich mehr als sieben Tage nach der Autorisierung und der endgültige Zahlungsbetrag ändert sich oft aufgrund von Rabatten, Upgrades oder zusätzlichen Dienstleistungen bei Abholung oder Abgabe. Wenn Ihr Unternehmen einen ähnlichen Zahlungsablauf verwendet, können Sie die Zahlung in separate Beträge unterteilen, zunächst die 3D Secure-Authentifizierung der Karte durchführen während sie gespeichert wird und die Kosten des Mietwagens autorisieren und erfassen, um eventuelle spätere Zusatzkosten abzudecken.

Stripe fordert automatisch jegliche zutreffenden Ausnahmen an, sodass möglicherweise gar keine Kundenauthentifizierung erforderlich ist. Da einzelne Banken jedoch Ausnahmen unterschiedlich anwenden, muss Ihr Unternehmen weiterhin Zahlungsabläufe für die Kundenauthentifizierung konzipieren und die Möglichkeit berücksichtigen, dass Kund/innen für die erneute Authentifizierung zur Online-Sitzung zurückgebracht werden müssen.

Empfehlung

Mitgliedschaft im Fitnessstudio

Nutzungsbasierte Abrechnung. Wiederkehrende Zahlungen.

Bei Mitgliedschaften im Fitnessstudio handelt es sich für gewöhnlich um wiederkehrende Zahlungen mit einem festen Betrag und die Mitgliedschaft kann mit einer kostenlosen Probezeit beginnen. Wenn Ihr Unternehmen einen ähnlichen Zahlungsablauf verwendet, ist für die erste Zahlung zu Beginn des Abonnements eine 3D Secure-Authentifizierung erforderlich. Stripe fordert automatisch für alle anschließenden Zahlungen Ausnahmen an. In diesem Szenario fallen die Zahlungen möglicherweise unter Ausnahmen für Abonnements mit einem Festbetrag und vom Händler initiierte Transaktionen. Wenn die Kundenbank die Ausnahme akzeptiert, müssen Ihre Kund/innen nicht jede monatliche Zahlung authentifizieren.

Bei von Händlern initiierten Transaktionen handelt es sich um Zahlungen mit einer gespeicherten Karte, wenn sich Kund/innen nicht in einer Online-Sitzung befinden. Um sich hierfür zu qualifizieren, muss Ihr Unternehmen über eine entsprechende Vereinbarung mit Kund/innen verfügen und diese müssen ihre Karte entweder beim Speichern der Informationen oder bei der ersten Zahlung authentifizieren.

Sie sollten beachten, dass Ausnahmen nicht garantiert sind und dass anschließende Zahlungen möglicherweise authentifiziert werden müssen. Einzelne Banken wenden Ausnahmen unterschiedlich an, sodass Ihr Unternehmen Zahlungsabläufe konzipieren muss, die Kund/innen für die erneute Authentifizierung zur Online-Sitzung zurückbringen, falls erforderlich.

Erfolgreiche Zahlung

Fehlgeschlagene Zahlung

Empfehlungen

Wählen Sie eine Option:

Gas-, Wasser- oder Stromrechnung

Nutzungsbasierte Abrechnung. Wiederkehrende Zahlungen.

Bei Gas-, Wasser- und Stromrechnungen handelt es sich um wiederkehrende Zahlungen mit Beträgen, die aufgrund von nutzungsbasierter Abrechnung wahrscheinlich von Monat zu Monat unterschiedlich sind. Wenn Ihr Unternehmen einen ähnlichen Zahlungsablauf verwendet, ist die 3D Secure-Authentifizierung erforderlich, wenn Kund/innen ihre Karte für automatische Zahlungen speichern.

Stripe fordert für nachfolgende Zahlungen automatisch Ausnahmen an. In diesem Fall kommt für die Zahlung möglicherweise eine Ausnahme für eine vom Händler initiierte Transaktion infrage. Wenn die Kundenbank die Ausnahme akzeptiert, müssen Ihre Kund/innen nicht jede monatliche Zahlung authentifizieren.

Sie sollten beachten, dass Ausnahmen nicht garantiert sind und dass anschließende Zahlungen möglicherweise authentifiziert werden müssen. Einzelne Banken wenden Ausnahmen unterschiedlich an, sodass Ihr Unternehmen Zahlungsabläufe konzipieren muss, die Kund/innen für die erneute Authentifizierung zur Online-Sitzung zurückbringen, falls erforderlich.

Zahlung mit einer Ausnahme

Zahlung ohne eine Ausnahme

Empfehlungen

Wählen Sie eine Option: