Hilfethemen: Ausnahmen der PSD2

Bei Online-Zahlungstransaktionen unter 30 Euro wird keine Zwei-Faktor-Authentifizierung vom Regulator verlangt. Das kartenherausgebende Finanzinstitut behält jedoch die Anzahl der Transaktionen und den kumulierten Einkaufswert im Blick. Erst wenn der Gesamtbetrag der Zahlungen ohne Zwei-Faktor-Authentifizierung auf der Karte 150 Euro übersteigt, wird die starke Authentifizierung benötigt. Alternativ kann das kartenherausgebende Institut entscheiden, bei jeder sechsten Transaktion eine Zwei-Faktor-Authentifizierung anzufordern. 

Transaktionen mit geringem Risiko sind ebenfalls von einer starken Kundenauthentifizierung ausgenommen. Die Einstufung einer Zahlung als risikoarm erfolgt anhand der durchschnittlichen Betrugsraten des Kartenherausgebers und des Acquirers, der die Transaktion abwickelt. Hierbei wird ein Verzicht auf die starke Kundenauthentifizierung zwischen 30 und 500 Euro möglich, sofern die gesetzlich definierten Betrugsquoten nicht überschritten werden. Möchte der Händler von der Transaktionsrisiko-Analyse Gebrauch machen, legt der Acquirer gemeinsam mit dem Payment Service Provider fest, welche Zahlungsarten entsprechend in dem Sicherheitsprotokoll markiert werden dürfen, um die Betrugsraten möglichst niedrig zu halten.

Auch Abonnements oder wiederkehrende Transaktionen mit einem festen Betrag sind ab der zweiten Transaktion ausgenommen. Nur die erste Transaktion erfordert eine starke Kundenauthentifizierung. Auch wiederkehrende Zahlungen mit unterschiedlichen Beträgen und Zahlungen bei denen der Karteninhaber bei der Auslösung der Zahlung nicht anwesend ist (zum Beispiel vom Händler ausgelöste Abonnement-Zahlungen) sind von der Zwei-Faktor-Authentifikation ausgenommen.

Kunden können häufig von ihnen frequentierte Händler auf eine sogenannte Whitelist, also eine Positivliste von vertrauenswürdigen Zahlungsempfängern, setzen, die von ihrer Bank oder Sparkasse geführt wird. Whitelist-Händler sind von der starken Kundenauthentifizierung regulatorisch ausgenommen. Online-Händler sollten sich daher noch stärker um loyale Kunden bemühen und es diesen so einfach wie möglich machen, sie auf eine Whitelist zu setzen. Mit Hilfe des EMV 3D-Secure Protokolls können Händler überprüfen, welche Kartenherausgeber Whitelisting anbieten. Ab Spezifikation 2.2 des Sicherheitsprotokolls erhält der Händler auch eine Information, sobald ihn ein Karteninhaber auf die Positivliste setzt.

Die Ausnahmen gelten ebenfalls für B2B-Transaktionen, wenn zum Beispiel zentralisierte Firmenkonten belastet werden oder eine Firmenkarte verwendet wird, die nicht nur von einer Person genutzt wird. Hiervon sind auch Lodges-Karten sowie virtuelle Karten betroffen. Oftmals werden diese Zahlungen in der Reisebranche getätigt.

Händler mit geringen Betrugsraten können eigene Ausnahmeregelungen mit individuellen Risikoindikatoren aktivieren – zum Beispiel, wenn der Kunde bekannt ist und schon Ware an ihn geliefert wurde. In diesen Fällen müssen Händler allerdings das Haftungsrisiko übernehmen.

Mit dem neuen Sicherheitsprotokoll können Händler und Banken mehr sicherheitsrelevante Daten zur Authentifizierung austauschen und somit bessere Risikoentscheidungen treffen, was zu deutlich höheren Genehmigungsquoten bei Online-Händlern führt. Um dies zu erreichen, müssen Händler in ihren Systemen sicherstellen, dass die notwendige Datenbasis für eine optimale risikobasierte Authentifikationsanalyse über den Payment Service Provider an den Kartenherausgeber übermittelt wird. Nur wenn die Banken die erweiterten Daten erhalten, können sie eine realistische Risikobewertung vornehmen und entscheiden, ob sie die Ausnahmen der technischen Regulierungsstandards (RTS) zulassen.

Danebeben gibt es noch Zahlungen, welche von der starken Kundenauthentifizierung gänzlich ausgenommen sind. Dies sind Zahlungen, welche vom Händler ausgelöst (Merchant Initiated Payments) oder über das Telefon bzw. schriftlich per Email durchgeführt (Mail oder Telephone Order) werden. Auch Zahlungen mit anonymen Prepaid-Karten sowie „One leg out“-Transaktionen, bei denen sich entweder der Kartenherausgeber oder die Händlerbank außerhalb des Europäischen Wirtschaftsraums (EWR) befindet, gehören dazu.