Was ist die starke Kundenauthentifizierung?
Ein Passwort allein reicht beim Bezahlen nicht mehr. Seit dem 14. September 2019 verlangt die EU bei Online-Banking und elektronischen Zahlungen eine starke Kundenauthentifizierung, kurz SCA. Die Grundlage ist die Zahlungsdiensterichtlinie PSD2, in Deutschland umgesetzt im Zahlungsdiensteaufsichtsgesetz (ZAG).
Das Gesetz verlangt mindestens zwei Merkmale aus drei Kategorien:
- Wissen: etwas, das nur der Kunde weiß — PIN, Passwort.
- Besitz: etwas, das nur er hat — Smartphone mit Banking-App, Karte.
- Inhärenz: etwas, das er ist — Fingerabdruck, Gesicht.
Die Merkmale müssen voneinander unabhängig sein: Wird eins geknackt, bleibt das andere sicher. Bei Fernzahlungen kommt die dynamische Verknüpfung dazu. Der Freigabecode gilt nur für genau diesen Betrag und diesen Empfänger.
Wann es ohne geht: die Ausnahmen
Damit nicht jeder Kaffee zur Zwei-Faktor-Prüfung wird, kennt die EU-Verordnung 2018/389 feste Ausnahmen:
Ausnahme
Grenze
Kontaktlos im Laden
bis 50 € je Zahlung
Kleinbetrag online
bis 30 € je Zahlung
Abos mit gleichem Betrag
nur die erste Zahlung
Risikoanalyse (Karte)
bis 500 €, je nach Betrugsrate
Bei den Kleinbeträgen gibt es eine Obergrenze: Kontaktlos fragt die Bank spätestens ab 150 € seit der letzten Prüfung oder nach fünf Zahlungen nach, online ab 100 € oder fünf Zahlungen. Welche Grenze gilt, wählt die Bank. Die Risikoanalyse (Transaktionsrisikoanalyse) hängt an der Betrugsrate des Zahlungsdienstleisters, nicht an der deines Shops: bis 100 € bei höchstens 0,13 %, bis 250 € bei 0,06 %, bis 500 € bei 0,01 %.
Fall A · Kleiner Warenkorb
Shop mit 25-€-Bestellungen
25 €
Warenkorb
30 €
Kleinbetragsgrenze
Meist ohne zweiten Faktor — bis die Bank kumuliert nachfragt.
Angenommenes Beispiel. Ab der sechsten Zahlung oder 100 € seit der letzten Prüfung verlangt die Bank SCA trotzdem.
Fall B · Abo
Monatsabo für 19 €
1×
SCA beim Abschluss
0×
bei Folgezahlungen
Die erste Zahlung wird geprüft, danach laufen die Abbuchungen.
Angenommenes Beispiel. Gilt für Serien mit gleichem Betrag und Empfänger (Art. 14 der Verordnung).
Wirkt das überhaupt?
Laut gemeinsamem Bericht von Europäischer Bankenaufsicht (EBA) und Europäischer Zentralbank vom Dezember 2025 lag der Zahlungsbetrug im Europäischen Wirtschaftsraum 2024 bei 4,2 Milliarden Euro. Mit SCA abgesicherte Zahlungen sind deutlich seltener betroffen, am klarsten bei Karten. Kartenbetrug ist 17-mal höher, wenn der Empfänger außerhalb des EWR sitzt, wo SCA nicht vorgeschrieben ist.
Die Kehrseite: Betrüger weichen aus. Bei Überweisungen bringen sie Kunden dazu, die Zahlung selbst freizugeben. Rund 85 % dieser Schäden tragen die Nutzer selbst.
Häufige Fehler
Fehler 1 · „SCA gilt für jede Zahlung“
Nein. Es gibt die Ausnahmen oben, und manche Zahlungen fallen gar nicht darunter — etwa vom Händler ausgelöste Abbuchungen nach einem Mandat. Umgekehrt gilt aber: Die Bank des Kunden darf SCA immer verlangen, auch wenn eine Ausnahme beantragt wurde.
Fehler 2 · Glauben, der Shop beantrage die Ausnahme
Die Ausnahme beantragt dein Zahlungsdienstleister, entscheiden tut die Bank des Kunden. Eine Garantie gibt es nicht.
Fehler 3 · Die Haftung übersehen
Wer als Zahlungsempfänger oder dessen Dienstleister die starke Kundenauthentifizierung nicht akzeptiert, muss der Bank des Zahlers den Schaden ersetzen (§ 675v Abs. 4 BGB). Wer bei Kartenzahlungen auf 3D Secure verzichtet, trägt das Betrugsrisiko meist selbst.
Fehler 4 · SCA mit einfacher Zwei-Faktor-Anmeldung verwechseln
SCA ist eine gesetzlich festgelegte Zwei-Faktor-Prüfung mit Unabhängigkeit der Merkmale und dynamischer Verknüpfung. Ein SMS-Code beim Login in dein Newsletter-Tool ist etwas anderes.
Was heißt das für deinen Shop?
- Nicht selbst bauen: SCA erledigt dein Zahlungsdienstleister, bei Karten über das Protokoll 3D Secure 2. Stripe, PayPal, Mollie und Shopify Payments bringen das mit.
- Aktuelle Schnittstelle nutzen: Veraltete Plugins oder alte APIs lösen 3D Secure nicht sauber aus — dann lehnen Banken Zahlungen ab.
- Abos richtig anlegen: Erste Zahlung mit SCA und Mandat, Folgezahlungen als vom Händler ausgelöst kennzeichnen.
- Checkout testen: Kauf einmal selbst mit echter Karte und Banking-App, am Handy. Hakt es da, hakt es bei deinen Kunden auch.
Häufige Fragen
Muss ich SCA als Shopbetreiber selbst einbauen?
Nein. Die Prüfung läuft über deinen Zahlungsdienstleister und die Bank des Kunden. Du musst nur sicherstellen, dass dein Shopsystem oder Plugin 3D Secure 2 unterstützt und aktuell ist.
Ab welchem Betrag ist SCA Pflicht?
Grundsätzlich bei jedem Betrag. Ausnahmen gibt es online bis 30 € und kontaktlos bis 50 €, jeweils mit kumulierter Obergrenze, und per Risikoanalyse des Zahlungsdienstleisters bis 500 €. Ob eine Ausnahme greift, entscheidet die Bank.
Brauchen Abos bei jeder Abbuchung eine starke Authentifizierung?
Nein. Bei Serien mit gleichem Betrag und gleichem Empfänger ist nur die erste Zahlung beziehungsweise das Einrichten zu prüfen. Ändert sich der Betrag, kann eine neue Prüfung nötig werden.
Gilt SCA auch für Kunden außerhalb der EU?
Vorgeschrieben ist sie, wenn die Zahlungsdienstleister beider Seiten im Europäischen Wirtschaftsraum sitzen. Bei Karten aus anderen Ländern greift die Pflicht in der Regel nicht.
Was passiert, wenn mein Shop keine SCA unterstützt?
Banken lehnen dann viele Kartenzahlungen ab, und es kommt zu mehr Kaufabbrüchen. Dazu kommt die Haftung: Wer die starke Kundenauthentifizierung nicht akzeptiert, muss der Bank des Zahlers einen Betrugsschaden ersetzen (§ 675v Abs. 4 BGB).
