SCA
SCA ist die starke Kundenauthentifizierung – eine PSD2-Anforderung zur Verifizierung elektronischer Zahlungen mit mindestens zwei unabhängigen Faktoren.
Was ist SCA?
SCA (Strong Customer Authentication oder starke Kundenauthentifizierung) ist eine Anforderung im Rahmen der EU-Zahlungsdiensterichtlinie PSD2, die für elektronische Zahlungen im EWR gilt. Der Kunde muss sich durch mindestens zwei von drei unabhängigen Faktoren verifizieren: etwas, das er weiß (z. B. ein Passwort/PIN), etwas, das er besitzt (z. B. ein Smartphone), und etwas, das er ist (z. B. ein Fingerabdruck). Bei Online-Kartenzahlungen wird die SCA üblicherweise über das Protokoll 3D Secure 2 (3DS2) abgewickelt, bei dem der Kunde den Kauf in seiner Banking-App freigibt.
Warum ist SCA wichtig?
Wenn eine Zahlung SCA erfordert und diese nicht abgeschlossen wird, kann der Kartenaussteller des Kunden die Transaktion mit einer sogenannten „weichen Ablehnung“ (Soft Decline) abweisen. Für einen Online-Shop bedeutet eine fehlende oder mangelhafte SCA-Implementierung daher Umsatzeinbußen und frustrierte Kunden beim Checkout. Gleichzeitig gibt es Ausnahmen, bei denen SCA übersprungen werden kann – wie etwa bei Transaktionen mit geringem Wert unter 30 EUR oder bei der Transaktionsrisikoanalyse (TRA). Eine korrekte Einrichtung balanciert daher Sicherheit und Benutzerfreundlichkeit perfekt aus.
Typische Anwendungsfälle
- Online-Kartenzahlungen, bei denen die 3DS2-Authentifizierung durch die Bank des Kunden ausgelöst wird.
- Ausnahmen wie geringe Beträge (unter 30 EUR), TRA und feste, wiederkehrende Zahlungen, die Reibungsverluste minimieren.
- Vom Händler initiierte Transaktionen (MIT), wie z. B. Abonnements, die vollständig aus dem Anwendungsbereich der SCA herausfallen.
- Fehlersuche bei abgelehnten Zahlungen, bei denen ein „Soft Decline“ des Kartenausstellers auf eine geforderte SCA-Prüfung hinweist.
Shopify-Perspektive
Shopify Payments unterstützt 3D Secure und löst den SCA-Flow beim Checkout automatisch aus, wenn die Bank des Kunden dies verlangt. Sie müssen das Protokoll also nicht selbst programmieren. Wenn Sie ein externes Payment-Gateway nutzen, stellen Sie sicher, dass dieses SCA-bereit ist und 3DS2 unterstützt. Testen Sie den Ablauf mit echten europäischen Karten und behalten Sie abgelehnte Zahlungen in Ihren Berichten im Auge, um Banken oder Gateways zu identifizieren, die SCA fehlerhaft verarbeiten.