Definition
Strong Customer Authentication (SCA) bezeichnet eine Sicherheitsanforderung für die Verifizierung von Nutzern bei elektronischen Zahlungen und Online-Transaktionen. Ziel ist es, die Identität des Kunden durch mindestens zwei unabhängige Faktoren zu bestätigen, um Betrug und unbefugte Zugriffe zu verhindern. Die SCA ist Teil der Zahlungsdiensterichtlinie PSD2 der Europäischen Union und gilt vor allem für den europäischen Zahlungsverkehr.
Die Authentifizierung erfolgt durch eine Kombination aus mindestens zwei der drei folgenden Kategorien: Wissen (etwa ein Passwort oder eine PIN), Besitz (zum Beispiel eine Kreditkarte oder ein Smartphone) und Inhärenz (biometrische Merkmale wie Fingerabdruck oder Gesichtserkennung). Diese Mehrfaktorauthentifizierung erhöht die Sicherheit gegenüber einfachen Passwortabfragen deutlich.
Was bedeutet das für Ihr Unternehmen?
Wenn Sie online Kartenzahlungen annehmen, verlangt die Bank Ihrer Kunden in vielen Fällen eine zweite Bestätigung, etwa per App oder Code. Das erhöht die Sicherheit, kann aber im Bezahlschritt zu Abbrüchen führen, wenn es ungeschickt eingebaut ist. Moderne Zahlungsdienstleister nutzen erlaubte Ausnahmen automatisch, etwa bei wiederkehrenden Abo-Zahlungen, sodass Kunden nicht bei jeder Abbuchung erneut bestätigen müssen.
Hintergrund und Standardisierung
Die Strong Customer Authentication wurde im Rahmen der zweiten Zahlungsdiensterichtlinie (PSD2) der EU eingeführt, die 2015 verabschiedet wurde und seit 2018 anzuwenden ist. Die SCA-Pflicht selbst gilt seit September 2019, für Kartenzahlungen im Onlinehandel nach einer Übergangsfrist seit 2021. Die Richtlinie zielt darauf ab, den Zahlungsverkehr sicherer zu machen und den Verbraucherschutz zu stärken. Die technische Umsetzung der SCA wird durch die Regulatory Technical Standards (RTS) der Europäischen Bankenaufsichtsbehörde EBA geregelt.
Die Einführung der SCA ist eine Reaktion auf die zunehmenden Betrugsfälle im Online-Banking und E-Commerce. Vor der SCA waren viele Transaktionen nur durch einfache Authentifizierungsverfahren geschützt, was das Risiko von Identitätsdiebstahl und betrügerischen Zahlungen erhöhte. Die SCA stellt daher eine bedeutende Neuerung im Bereich der Zahlungs- und Nutzersicherheit dar.
Funktionsweise der Strong Customer Authentication
Bei einer Transaktion, die der SCA unterliegt, muss der Nutzer zwei oder mehr Authentifizierungsfaktoren bereitstellen. Beispielsweise kann dies die Eingabe eines Passworts und die Bestätigung per Einmalcode auf dem Smartphone sein. Die Faktoren müssen unabhängig voneinander sein, um Manipulationen zu erschweren.
Die Umsetzung erfolgt häufig über sogenannte 3D Secure-Verfahren bei Kreditkartenzahlungen oder über TAN-Verfahren im Online-Banking. Die SCA wird sowohl bei der Anmeldung als auch bei der Ausführung von Zahlungen angewendet, sofern keine Ausnahmen greifen. Die technische Integration erfolgt meist durch Zahlungsdienstleister und Banken.
Einsatzgebiete und Ausnahmen
Die Strong Customer Authentication ist vor allem im Online-Zahlungsverkehr relevant, etwa bei E-Commerce-Transaktionen, Online-Banking und mobilen Zahlungen. Sie soll sicherstellen, dass nur berechtigte Nutzer Zahlungen auslösen können. Die SCA betrifft sowohl Verbraucher als auch Unternehmen, die elektronische Zahlungen tätigen.
Es gibt jedoch Ausnahmen von der SCA-Pflicht, etwa bei geringen Beträgen unter 30 Euro, wiederkehrenden Zahlungen mit gleichem Betrag oder bei Transaktionen mit geringem Betrugsrisiko. Diese Ausnahmen dienen dazu, den Zahlungsprozess nicht unnötig zu verkomplizieren und die Nutzerfreundlichkeit zu erhalten.
Abgrenzung zu verwandten Sicherheitsverfahren
Im Vergleich zu einfachen Authentifizierungsverfahren wie der Eingabe eines Passworts bietet die Strong Customer Authentication eine höhere Sicherheit durch die Mehrfaktorauthentifizierung. Sie unterscheidet sich damit von Single Sign-On-Verfahren, die oft nur einen Faktor verwenden.
Alternativ zur SCA gibt es auch andere Sicherheitsmechanismen wie biometrische Authentifizierung allein oder risikobasierte Authentifizierungssysteme, die das Verhalten des Nutzers analysieren. Diese Verfahren können ergänzend eingesetzt werden, erfüllen aber nicht zwingend die Anforderungen der PSD2 und SCA.