Strong Customer Authentication (SCA), zu Deutsch starke Kundenauthentifizierung, ist eine durch die europäische Zahlungsdiensterichtlinie PSD2 vorgeschriebene Zwei-Faktor-Authentifizierung für elektronische Zahlungen. Technisch wird sie meist über das Protokoll 3D Secure 2 umgesetzt und betrifft grundsätzlich auch wiederkehrende Zahlungen im Subscription-Geschäft.
Das Zwei-Faktor-Prinzip
SCA verlangt, dass eine Zahlung durch mindestens zwei von drei unabhängigen Faktoren bestätigt wird: etwas, das der Kunde weiß, etwa ein Passwort oder eine PIN, etwas, das der Kunde besitzt, meist ein Smartphone mit Banking-App, sowie etwas, das der Kunde ist, etwa ein biometrisches Merkmal wie ein Fingerabdruck. Erst wenn zwei dieser drei Faktoren erfolgreich bestätigt wurden, gilt eine Zahlung als stark authentifiziert.
3D Secure 2 als technische Umsetzung
Für Kartenzahlungen im Internet wird SCA in der Praxis über das Protokoll 3D Secure 2 umgesetzt. Bei risikoarmen Transaktionen kann dabei ein reibungsloser Ablauf ohne aktive Kundenbeteiligung erfolgen, bei höherem Risiko löst die kartenausgebende Bank dagegen einen sogenannten Challenge-Flow aus, bei dem sich der Kunde aktiv über seine Banking-App oder eine SMS-TAN bestätigen muss.
Die entscheidende Ausnahme für wiederkehrende Zahlungen
Für das Subscription-Geschäft besonders relevant ist eine zentrale Ausnahme: Bei einer Serie wiederkehrender Zahlungen mit gleichbleibendem Betrag und Empfänger muss nur die allererste Transaktion einer starken Kundenauthentifizierung unterzogen werden. Alle nachfolgenden, sogenannten händlerinitiierten Zahlungen gelten als bereits ausreichend autorisiert und sind von einer erneuten SCA-Prüfung befreit, solange sich Betrag und Zahlungsempfänger nicht ändern.
Erneute Authentifizierung bei Betragsänderung
Ändert sich der abzubuchende Betrag – etwa durch einen Tarifwechsel oder ein Upselling auf einen höherpreisigen Plan –, entfällt die Ausnahme für diese einzelne Zahlung, und eine erneute starke Authentifizierung wird fällig. Dieser Umstand sollte bei der Gestaltung von Preisänderungen im Subscription-Geschäft mitgedacht werden, da eine unerwartete Authentifizierungsaufforderung die Zahlungswiederholung beeinträchtigen kann.
Weitere Ausnahmen und Ausblick auf PSD3
Neben der Ausnahme für wiederkehrende Zahlungen existieren weitere Erleichterungen, etwa für Kleinbetragstransaktionen bis zu einer bestimmten Grenze oder im Rahmen einer risikobasierten Transaktionsanalyse durch den Zahlungsdienstleister. Die geplante Nachfolgeregelung PSD3 befindet sich aktuell im europäischen Gesetzgebungsverfahren und wird die bestehenden SCA-Anforderungen voraussichtlich weiter präzisieren, ohne das Grundprinzip der starken Kundenauthentifizierung grundlegend zu verändern.
Auswirkung auf die Konversionsrate
Ein zusätzlicher Authentifizierungsschritt erhöht grundsätzlich das Risiko eines Kaufabbruchs, insbesondere wenn der Kunde von der plötzlichen Aufforderung überrascht wird oder der Übergang zur Banking-App technisch holprig verläuft. Moderne 3D-Secure-2-Implementierungen mit reibungslosen Freigabeprozessen für risikoarme Transaktionen mindern diesen Effekt spürbar, weshalb eine sorgfältige technische Umsetzung des Authentifizierungsprozesses direkten Einfluss auf die Zahlungserfolgsquote im Checkout hat.
Verantwortung liegt bei Zahlungsdienstleister und Bank
Für die meisten Subscription-Anbieter läuft die technische Umsetzung von SCA und 3D Secure 2 vollständig im Hintergrund über den angebundenen Zahlungsdienstleister ab, ohne dass eine eigene Implementierung erforderlich wäre. Wichtig bleibt dennoch ein grundsätzliches Verständnis der Ausnahmeregelung für wiederkehrende Zahlungen, um bei Preisänderungen oder Tarifwechseln nicht unerwartet von einer plötzlich erforderlichen erneuten Authentifizierung überrascht zu werden.