Was ist 3-D Secure & wie funktioniert es?

Der Begriff 3-D Secure bezeichnet ein Verfahren, das für eine größere Sicherheit bei Kreditkartentransaktionen im Internet sorgen soll. Das Ziel ist, dass verlorene oder gestohlene Karten nicht mehr ohne Probleme zum Bezahlen genutzt werden können. Wie genau 3-D Secure funktioniert, erfahren Sie in diesem Artikel.

Die grundlegende Idee

3-D Secure ist ein Sicherheitsmechanismus, der eine zusätzliche Ebene in den Online-Bezahlvorgang mit Kreditkarten bringt.

Bei Kreditkartenzahlungen müssen normalerweise nur die folgenden Daten angegeben werden:

• Kreditkartennummer
• Karteninhaber
• Gültkeitsdatum
• Prüfnummer (CVC)

Bei 3-D Secure reichen allein diese Angaben nicht, um eine Zahlung mit Kreditkarte zu bestätigen. Stattdessen muss der Bezahler zusätzlich beweisen, dass es sich um den Karteninhaber handelt. Auf diese Weise soll verhindert werden, dass Unbefugte mit einer gestohlenen oder gefundenen Kreditkarte einkaufen können.

Beim Einkauf mit einer Kreditkarte, die mit 3-D Secure geschützt ist, wird während des Bezahlvorgangs eine Verbindung zum Herausgeber der Kreditkarte hergestellt. Dort muss die Identität des Karteninhabers bestätigt werden. Wie genau diese Prüfung der Identität aussieht, ist jedoch nicht festgeschrieben.

Für die Identitätsprüfung gibt es statische und dynamische Verfahren.

Statische Sicherheitsprüfung

Statische Sicherheitsprüfung ist einem Kennwort ähnlich.

Bei einem statischen Verfahren geschieht die Prüfung der Identität durch einen Sicherheitscode. Dieser ist, ähnlich einem Kennwort, vom Karteninhaber selbst festgelegt. Nachdem der Sicherheitscode auf der Seite des Kartenherausgebers eingegeben wurde, wird der Einkauf auf der Seite des Online-Händlers abgeschlossen. Das statische Verfahren wird z.B. bei Mastercard-Kreditkarten genutzt. Es läuft dort unter der Bezeichnung „Identity Check (Secure Code)“.

Statische Verfahren erhöhen zwar die Sicherheit einer Online-Transaktion, sind jedoch selbst anfällig. So können bspw. mit gestohlenen Laptops oder Handys, bei denen eine Passwortverwaltung genutzt wird, trotz Sicherheitsprüfung unbefugte Einkäufe getätigt werden. Auch müssen die Nutzer sich bei statischen Verfahren ein zusätzliches Passwort merken.

Dynamische Sicherheitsprüfung

Bei einer dynamischen Sicherheitsprüfung wird für jeden Vorgang ein einmal gültiger Code erzeugt. Diesen muss der Nutzer zur Identitätsprüfung eingeben. Dynamische Verfahren sind deutlich sicherer als statische, da sich das Risiko einer unbefugten Zahlung weiter verringert.

Da der dynamische Code idealerweise nicht auf dem gleichen Gerät eingeht, an dem die Zahlung authorisiert wird, wird er meist per Mobiltelefon empfangen, entweder über eine spezielle App (mTAN) oder per SMS.

Weil die dynamische Sicherheitsprüfung eine höhere Sicherheit bietet als statische Verfahren, werden sie ab 2019 als 3-D Secure 2.0 zum Standard.

Vorteile von 3-D Secure

3-D Secure bietet viele Vorteile.

3-D Secure bietet sowohl für Kunden als auch Händler eine Reihe an Vorteilen. Für Kunden ist der größte Vorteil sicherlich die Minimierung des Risikos, Opfer von Kreditkartenbetrug zu werden. Die Kreditkartenunternehmen geben an, dass der missbräuchliche Einsatz von Kreditkarten im E-Commerce mit der Einführungen von 3-D Secure stark abgenommen hat.

Auch für Händler bietet es Vorteile, eine doppelt gesicherte Bezahlung anzubieten. Wenn der Einkauf durch eine zusätzliche Sicherheitsprüfung autorisiert werden muss, sinkt das Risiko, dass es zu Zahlungsausfällen durch Rückbelastungen kommt. Wenn ein Händler das 3-D Secure Verfahren in seinem Webshop einbettet, übernimmt die kartenausgebende Bank die Haftung für Rückbelastungen.

Schwierigkeiten von 3-D Secure

Insbesondere in der Anfangszeit des Verfahrens gab es für Betrüger die Möglichkeit, einen Sicherheitscode zu erzeugen, ohne dass der Karteninhaber davon wusste. Diese Möglichkeit wurde später angepasst und verschwindet mit der Einführung der dynamischen Verfahren ganz.

Ein vorherrschendes Problem ist jedoch weiterhin die Frage der Haftung: Viele Kreditinstitute haben besondere Klauseln, welche die Haftung ausschließen, falls gleichzeitig Kreditkarte und Mobilgerät verloren gehen. In diesen Fällen ist der Kunde dann schlechter gestellt, als wenn er das 3-D Secure Verfahren nicht nutzen würde. In diesem Fall würden missbräuchliche Zahlungen nämlich von der Bank ersetzt.

Zusammenfassung