Was ist 3D Secure (3DS)?
3D Secure ist das Authentifizierungsprotokoll hinter Visa Secure, Mastercard Identity Check und Amex SafeKey. Die moderne Version 3DS2 verwendet risikobasierte Authentifizierung, um Transaktionen mit geringem Risiko automatisch zu genehmigen und nur verdächtige Transaktionen zu prüfen, und erfüllt damit die PSD2-Anforderungen zur Starken Kundenauthentifizierung.
3D Secure: Definition
3D Secure (3DS) ist ein von EMVCo standardisiertes, XML-basiertes Protokoll, das bei Kartentransaktionen ohne physische Karte einen Zahlungsauthentifizierungsschritt hinzufügt. Die drei Domänen sind der Aussteller (Bank des Karteninhabers), der Acquirer (Bank des Händlers) und die Interoperabilitätsdomäne (das Kartennetz). Es ist für Online-Kartenzahlungen im Europäischen Wirtschaftsraum gemäß den PSD2-Regeln zur Starken Kundenauthentifizierung verpflichtend.
Haftungsverschiebung
Erfolgreich über 3DS authentifizierte Transaktionen verlagern die Rückbuchungshaftung vom Händler auf den Kartenaussteller und schützen Händler vor betrügerischen Streitigkeiten.
Reibungslose Authentifizierung
3DS2 übermittelt mehr als 100 Datenpunkte an die Risikomaschine des Ausstellers. Transaktionen mit geringem Risiko werden in Millisekunden ohne Kundenunterbrechung genehmigt.
PSD2-SCA-Konformität
3DS2 ist der primäre Mechanismus zur Erfüllung der PSD2-Anforderungen zur Starken Kundenauthentifizierung im EWR, kombiniert Besitz-, Inhärenz- und Wissensfaktoren.
3DS1 vs 3DS2
3DS1 (Veraltet)
Wird abgelöst- Vollständige Weiterleitung zur Ausstellerseite
- Hohe Warenkorbabbruchraten
- Statische Passwort-Challenge
- Keine Datenweitergabe an den Aussteller
- Schlechte mobile Erfahrung
- Kein reibungsloser Ablauf
3DS2 (Aktueller Standard)
PSD2 / SCA-konform- Inline-Challenge oder reibungsloser Ablauf
- Mehr als 100 Datenpunkte geteilt
- Risikobasierte Authentifizierung
- Native mobile SDK-Unterstützung
- Unterstützung für händlerinitiierte Transaktionen
- SCA-Ausnahmebehandlung
Häufige Fragen zu 3D Secure
01 Was ist 3D Secure?
3D Secure (3DS) ist ein XML-basiertes Authentifizierungsprotokoll von EMVCo, das bei Online-Kartentransaktionen einen zusätzlichen Identitätsverifizierungsschritt hinzufügt. Es wird als Visa Secure, Mastercard Identity Check und American Express SafeKey vermarktet. Die drei Domänen sind die Ausstellerdomäne, die Akzeptanzdomäne und die Interoperabilitätsdomäne (das Kartennetz).
02 Was ist der Unterschied zwischen 3DS1 und 3DS2?
3DS1 erforderte eine vollständige Weiterleitung zur Authentifizierungsseite des Ausstellers, was den Checkout störte und zu hohen Warenkorbabbruchraten führte. 3DS2 verwendet eine risikobasierte Authentifizierungs-Engine und übermittelt mehr als 100 Datenpunkte an den Aussteller. Transaktionen mit geringem Risiko werden reibungslos ohne Kundeninteraktion genehmigt, während nur Hochrisiko-Transaktionen einen Challenge-Schritt auslösen.
03 Ist 3D Secure unter PSD2 Pflicht?
Ja. Die Starke Kundenauthentifizierung (SCA) unter PSD2 schreibt die Zwei-Faktor-Authentifizierung für Online-Kartentransaktionen im EWR vor. 3DS2 ist der primäre Mechanismus zur SCA-Konformität. Ausnahmen gelten für Kleinstbetragstransaktionen, händlerinitiierte Transaktionen und vertrauenswürdige Begünstigte.
04 Was ist die Haftungsverschiebung bei 3D Secure?
Wenn eine Transaktion via 3D Secure authentifiziert wird und eine Rückbuchung erfolgt, verschiebt sich die Haftung vom Händler auf den Kartenaussteller. Händler sind bei erfolgreich 3DS-authentifizierten Transaktionen nicht für betrügerische Rückbuchungen verantwortlich.
05 Wie arbeitet PCI Proxy mit 3D Secure zusammen?
PCI Proxy speichert die PAN in einem sicheren EU-Tresor und gibt ein Token aus. Wenn eine 3DS-Authentifizierung erforderlich ist, kann PCI Proxy die rohe PAN in Ihrem Namen an den 3DS-Server übermitteln. So bleibt Ihr PCI DSS-Geltungsbereich minimal und gleichzeitig werden vollständige 3DS2-Authentifizierungsabläufe unterstützt.
3DS2 unterstützen, ohne Rohdaten der Karte zu verarbeiten
PCI Proxy übermittelt die PAN aus unserem EU-Tresor an Ihren 3DS-Server, sodass Ihre Systeme außerhalb des PCI DSS-Geltungsbereichs bleiben und gleichzeitig vollständig SCA-konform sind.