Starke Kundenauthentifizierung (SCA)

Die starke Kundenauthentifizierung (SCA, Strong Customer Authentication) ist die EU-Pflicht, eine elektronische Zahlung mit zwei unabhängigen Merkmalen aus drei Kategorien freizugeben: Wissen wie die PIN, Besitz wie Karte oder Smartphone und Inhärenz wie Fingerabdruck oder Gesicht. Vorgeschrieben ist sie durch die Zahlungsdiensterichtlinie PSD2, die Einzelheiten regelt die Delegierte Verordnung (EU) 2018/389. Anwenden muss sie der Issuer des Karteninhabers, der Händler muss sie technisch ermöglichen.

Am Terminal erfüllen Sie die Pflicht meist, ohne es zu bemerken: Karte im Chipleser plus PIN sind Besitz und Wissen. Bei Apple Pay und Google Pay zählt die Freigabe per Gesicht, Fingerabdruck oder Gerätecode am Smartphone als zweites Merkmal. Im Onlinehandel übernimmt 3-D Secure diese Rolle. Für Ihre Kosten entscheidend sind die Ausnahmen, denn sie bestimmen, wie oft eine Zahlung ins Stocken gerät.

Welche Ausnahmen am Terminal gelten

Für kontaktlose Zahlungen an der Verkaufsstelle erlaubt Artikel 11 der Verordnung den Verzicht auf die PIN, solange der Einzelbetrag 50 € nicht übersteigt. Zusätzlich zählt die Karte seit der letzten starken Authentifizierung mit: Erlaubt sind entweder höchstens 150 € kumuliert oder höchstens fünf Zahlungen in Folge. Welche der beiden Grenzen gilt, legt der Issuer fest. Ist sie erreicht, verlangt die nächste Zahlung eine PIN, auch wenn sie nur 3 € beträgt.

Artikel 12 enthält eine zweite Ausnahme für unbediente Terminals, die Verkehrsnutzungsentgelte oder Parkgebühren kassieren. Dort darf der Issuer ohne Betragsgrenze auf die Authentifizierung verzichten. Verkaufsautomaten und Waschstraßen fallen nicht darunter und unterliegen der normalen Kontaktlos-Regel.

Für Fernzahlungen im Onlineshop gilt eine eigene Kleinbetragsgrenze nach Artikel 16. Die Gegenüberstellung zeigt, wie sich die beiden Regeln unterscheiden.

Online liegen Einzel- und Summengrenze niedriger, die Zählgrenze ist dieselbe. Bei kleinen Bons ist in beiden Fällen meist die Zählgrenze die bindende: Fünf Zahlungen zu je 12 € ergeben erst 60 €.

Wer haftet, wenn die Authentifizierung fehlt

Die Haftung folgt der Entscheidung über die Authentifizierung. Verlangt der Issuer keine, trägt der Karteninhaber bei Betrug keinen Schaden, sofern er nicht selbst betrügerisch gehandelt hat. Akzeptiert dagegen der Händler oder sein Zahlungsdienstleister die starke Authentifizierung nicht, muss diese Seite dem Issuer den Schaden ersetzen. So regelt es Artikel 74 PSD2, in Deutschland umgesetzt in § 675v Abs. 4 BGB. Beantragt Ihr Zahlungsdienstleister online eine Ausnahme, liegt das Betrugsrisiko in der Regel bei der Händlerseite und kommt als Chargeback bei Ihnen an.

Nicht unter die Pflicht fallen Zahlungen, die Sie selbst anstoßen, etwa Abo-Folgebuchungen mit hinterlegter Karte. Dasselbe gilt für telefonische oder schriftliche Bestellungen (MOTO).

Rechenbeispiel: Waschanlage mit zwei Standorten

Ein Betreiber von zwei Waschanlagen setzt 960.000 € im Jahr per Karte um, bei 12 € Durchschnittsbon. Das sind 80.000 Zahlungen, fast alle kontaktlos. Angenommen, jede fünfzigste Zahlung trifft auf eine PIN-Anforderung, weil der Zähler auf der Karte voll ist. Das betrifft 2 % oder 1.600 Zahlungen mit zusammen 19.200 € Umsatz. Ein Automat ohne PIN-Eingabe kann diese Zahlungen nicht abschließen.

Mit PIN-Pad steckt der Kunde die Karte und gibt die PIN ein. Fordert der Issuer die PIN erst in seiner Antwort an, läuft der zweite Versuch als neue Autorisierung. Berechnet Ihr Vertrag jede Anfrage mit einem Autorisierungsentgelt von 5 Cent, auch die zurückgewiesene, kostet das 1.600 × 0,05 € = 80 € im Jahr. Dem stehen 19.200 € Umsatz gegenüber, die ohne PIN-Eingabe gefährdet sind.

Prüfen Sie deshalb zwei Punkte: ob Ihre unbedienten Terminals eine PIN annehmen und ob Ihr Preisblatt abgelehnte Autorisierungen mitberechnet. Ein Entgelt für abgelehnte Anfragen gehört auf die Liste für das nächste Konditionsgespräch.