Sie haben gerade Ihren Warenkorb validiert, geben Ihre Bankdaten ein, und ein zusätzlicher Bildschirm fordert Sie auf, einen per SMS erhaltenen Code einzugeben. Dieser Schritt ist das 3D Secure-Protokoll. Es schützt vor Betrug, verlangsamt jedoch auch den Kaufprozess. Einige Online-Seiten funktionieren ohne diese Überprüfung, und zu verstehen, warum (und wie), verändert die Wahrnehmung der Sicherheit von Zahlungen im Internet.
Ausnahmen DSP2: Warum eine Zahlung ohne 3D Secure legal bleiben kann
Die europäische DSP2-Verordnung verlangt eine starke Authentifizierung für Online-Zahlungen mit Kreditkarte. Viele Verbraucher denken, dass das Fehlen von 3D Secure automatisch einen Mangel an Sicherheit bedeutet. Es ist jedoch differenzierter.
Die DSP2 sieht tatsächlich mehrere Ausnahmen von der starken Authentifizierung vor, die vollkommen konform sind. Eine Zahlung kann ohne 3D Secure-Bildschirm erfolgen, solange bestimmte präzise Kriterien erfüllt sind.
Unter den von der Verordnung vorgesehenen Fällen finden sich insbesondere die Seiten ohne 3D Secure, die bekannt sein sollten, die diese Ausnahmen nutzen, um das Einkaufserlebnis zu optimieren, ohne die europäische Richtlinie zu verletzen.
- Transaktionen mit niedrigem Betrag (rund 30 Euro), die kumulierten Obergrenzen und eine Zählung der Anzahl aufeinanderfolgender Transaktionen ohne Authentifizierung unterliegen.
- Vertrauenswürdige Empfänger, die der Karteninhaber zuvor auf eine Whitelist bei seiner Bank gesetzt hat.
- Wiederkehrende Transaktionen, wie ein identisches monatliches Abonnement, bei denen nur die erste Transaktion eine starke Authentifizierung erfordert.
- Echtzeitanalyse des Risikos (Transaction Risk Analysis), die von Zahlungsdienstleistern verwendet wird, deren vierteljährliche Betrugsquote unter einem durch die delegierte Verordnung (EU) 2018/389 definierten Schwellenwert bleibt.
Für den Verbraucher bedeutet dies, dass eine Seite ohne 3D Secure-Bildschirm nicht unbedingt verdächtig ist. Sie kann einfach von einer Ausnahme profitieren, die ihr Zahlungsdienstleister gewährt hat.
Betrugsquote bei Online-Kreditkarten und die tatsächliche Rolle von 3D Secure
Haben Sie schon einmal bemerkt, dass Betrugsfälle mit Kreditkarten regelmäßig in den Medien Schlagzeilen machen? Die aktuellen Zahlen zeigen jedoch einen gegenteiligen Trend, als man glauben könnte.
Laut dem Observatorium für die Sicherheit von Zahlungsmethoden hat der Betrug bei Kartenzahlungen ein historisch niedriges Niveau erreicht, mit einer Quote von etwa 0,05 % des bearbeiteten Wertes. Zwischen 2024 und 2025 liegt der Rückgang bei etwa 10 %, was direkt auf die Einführung der starken Authentifizierung 3D Secure 2 zurückzuführen ist, die durch die DSP2 vorgeschrieben ist.
Dieses Protokoll hat sich also in großem Maßstab als effektiv erwiesen. Die Seiten, die sich entscheiden, es nicht zu verwenden, gehen ein messbares Risiko ein, auch wenn die Ausnahmen es legal ermöglichen.
Wer trägt das Risiko im Falle eines Betrugs ohne 3D Secure
Wenn ein Händler eine Zahlung ohne starke Authentifizierung akzeptiert und ein Betrug auftritt, fällt die finanzielle Verantwortung auf den Händler, nicht auf die Bank des Kunden. Dies ist der sogenannte “Liability Shift”-Mechanismus, der von den Netzwerken Visa und Mastercard vorgesehen ist.
In der Praxis bleibt der Verbraucher geschützt: Seine Bank muss ihn im Falle einer unautorisierten Transaktion entschädigen. Der Händler hingegen verliert die Ware und den Betrag der Transaktion. Aus diesem Grund aktivieren die meisten Online-Shops 3D Secure, selbst wenn eine Ausnahme möglich wäre.
Online-Zahlungsseiten ohne 3D Secure-Überprüfung: konkrete Fälle
Einige bekannte Plattformen umgehen 3D Secure auf transparente Weise. Ihr gemeinsames Merkmal: Sie verwenden ihre eigenen Sicherheitssysteme zusätzlich oder anstelle des klassischen Bankprotokolls.
PayPal und E-Wallets
PayPal löst beim Bezahlen auf einer Händlerseite kein 3D Secure aus. Die Authentifizierung erfolgt im Voraus, beim Einloggen in das PayPal-Konto selbst (Passwort, Zwei-Faktor-Authentifizierung über die App). Der Händler sieht niemals die Kreditkartendaten, was das Risiko eines Datenlecks verringert.
Das Prinzip ist dasselbe für andere E-Wallets. Der Käufer identifiziert sich einmal bei der Zahlungsmethode und bestätigt dann seine Einkäufe, ohne bei jeder Transaktion erneut einen Bankbildschirm durchlaufen zu müssen.
Corporate-Karten und B2B-Transaktionen
Unternehmenskarten (Corporate) profitieren von einer spezifischen Ausnahme in der DSP2. Käufe, die mit einer als professionell identifizierten Karte getätigt werden, können ohne starke Authentifizierung erfolgen. Diese Ausnahme zielt darauf ab, die Beschaffungsströme von Unternehmen zu vereinfachen, bei denen die Transaktionsvolumina hoch und die Beträge oft wiederkehrend sind.
Abonnements und wiederkehrende Zahlungen
Abonnementdienste (Streaming, Software, Online-Presse) lösen 3D Secure nur beim ersten Zahlungsvorgang aus. Die folgenden Abbuchungen, mit identischem Betrag, erfolgen automatisch. Nur die erste Transaktion erfordert eine starke Authentifizierung, die folgenden werden als wiederkehrend eingestuft.
Konkrete Vorsichtsmaßnahmen für Online-Zahlungen ohne 3D Secure
Das Fehlen von 3D Secure bedeutet nicht das Fehlen von Schutz, solange einige einfache Maßnahmen ergriffen werden.
- Überprüfen Sie, ob die Seite das HTTPS-Protokoll verwendet (Schloss in der Adressleiste), bevor Sie Bankdaten eingeben.
- Bevorzugen Sie virtuelle Einmal-Karten, die von den meisten Online-Banken angeboten werden, um die Exposition der tatsächlichen Kartendaten zu begrenzen.
- Aktivieren Sie Echtzeit-Transaktionsbenachrichtigungen in der Banking-App, um sofort verdächtige Vorgänge zu erkennen.
- Fügen Sie vertrauenswürdige Seiten zur Liste der autorisierten Empfänger bei Ihrer Bank hinzu, um von der Ausnahme “vertrauenswürdiger Empfänger” zu profitieren, ohne die Kontrolle aufzugeben.
Diese Reflexe kompensieren das Fehlen der 3D Secure-Schicht und halten ein zufriedenstellendes Sicherheitsniveau für alltägliche Online-Käufe aufrecht.
Der grundlegende Trend bleibt klar: die starke Authentifizierung hat die Betrugsfälle mit Kreditkarten auf das niedrigste Niveau in Frankreich gesenkt. Die Ausnahmen von 3D Secure existieren aus praktischen Gründen, nicht um die Sicherheit zu schwächen. Diese Mechanismen zu kennen, ermöglicht es, Online-Einkäufe mit mehr Gelassenheit zu tätigen, indem man versteht, was tatsächlich zwischen dem Klick auf “bezahlen” und der Bestätigung der Transaktion passiert.
