Ihr vollständiger Leitfaden zur PSD2-Richtlinie

PSD2 ist eine EU-Richtlinie mit hoher Relevanz für den europäischen Zahlungsverkehr. Sie soll den Zahlungsverkehr sicherer, wettbewerbsfähiger und offener machen. Um dieses Ziel zu erreichen, werden Zahlungsdienste geregelt, der Verbraucherschutz gestärkt und eine Grundlage für das Open Banking (digitales Teilen von Finanzdaten mit Drittanbietern) geschaffen.

Grundsätzlich stellt PSD2 höhere Anforderungen an die Sicherheit digitaler Zahlungen. Davon profitieren zum Beispiel Kartenzahlungen im Geschäft, der Online-Checkout oder Zahlungen per Banking-App. Denn heute werden viele Prozesse entweder direkt oder indirekt durch die PSD2-Richtlinie beeinflusst.

Kleinere Unternehmen in Deutschland sind von der Richtlinie ebenfalls betroffen. Denn bereits im Jahr 2025 wurden laut Bundesbank 55 Prozent aller erfassten Einkäufe in Deutschland bargeldlos bezahlt. Damit ist PSD2 zum Beispiel für viele kleine Einzelhandelsgeschäfte ein Thema. 

Bei PSD2 ist das Ende der Entwicklung aber noch nicht erreicht. Die dritte Zahlungsdiensterichtlinie PSD3 steht bereits in den Startlöchern und soll gemeinsam mit der neuen Payment Services Regulation (PSR) den Rechtsrahmen für den Zahlungsverkehr in der EU erneut modernisieren. Solange dieses Paket aber noch nicht vollständig verabschiedet ist, bleibt PSD2 die maßgebliche Rechtsgrundlage.

Was ist PSD2?

PSD2 steht für „Payment Services Directive 2“ und bezeichnet die zweite EU-Zahlungsdiensterichtlinie. Offiziell heißt diese Richtlinie (EU) 2015/2366. Hierin sind wichtige Regeln für Zahlungsdienste und Zahlungsdienstleister im europäischen Binnenmarkt festgelegt.

Die erste Zahlungsdiensterichtlinie stammt aus dem Jahr 2007. Sie sollte einen einheitlicheren europäischen Zahlungsmarkt schaffen. Diese ursprüngliche Zielsetzung hat auch PSD2 wieder aufgegriffen. Mit dieser neuen Richtlinie soll eine stärkere Anpassung an einen sich zunehmend digitalisierenden Zahlungsverkehr erfolgen.

Zu den wesentlichen Neuerungen von PSD2 gehören die strengeren Sicherheitsanforderungen und die regulatorische Öffnung von Zahlungskonten für autorisierte dritte Zahlungsdienstleister. Deshalb sind längst nicht mehr nur Kreditinstitute und Fintech-Unternehmen von der Richtlinie betroffen. Die Auswirkungen bekommen auch Händler zu spüren, wenn es um Online-Zahlungen, eine starke Kundenauthentifizierung oder neue Zahlungsmethoden im Internet geht.

In Deutschland ist die Umsetzung von PSD2 vor allem durch Änderungen des Zahlungsdiensteaufsichtsgesetzes (ZAG) erfolgt. Am 13. Januar 2018 trat das neue ZAG in Kraft. Die konkreten technischen Regelungen zur starken Kundenauthentifizierung wurden später auf EU-Ebene durch die Delegierte Verordnung (EU) 2018/389 festgelegt. 

Warum wurde PSD2 eingeführt?

Die weitere Harmonisierung des europäischen Zahlungsverkehrs gehörte zu den wesentlichen Zielen, welche die EU mit PSD2 verfolgte. Innerhalb des europäischen Binnenmarkts sollten Verbraucher und Unternehmen gleichermaßen von vergleichbaren Standards profitieren. Dabei sollte es keine Rolle spielen, ob die Zahlung im eigenen Land oder grenzüberschreitend erfolgt.

PSD2 sollte aber auch Innovationen im Zahlungsverkehr ermöglichen. Das war zum Beispiel für digitale Anbieter wichtig, die neue Geschäftsmodelle entwickeln wollten, die sich unter dem alten Rechtsrahmen nur ungenügend abbilden ließen. Mit PSD2 wurden beispielsweise Zahlungsauslöse- und Kontoinformationsdienste in regulatorische Systeme integriert.

Folgende drei Ziele sind für PSD2 wesentlich:

• Mehr Wettbewerb und innovative Bezahlmethoden
• Höhere Sicherheit im Zahlungsverkehr
• Stärkere Verbraucherrechte und mehr Transparenz bei Zahlungen

Wichtige Änderungen ergaben sich gerade beim Verbraucherschutz. Dank PSD2 gelten bei bestimmten nicht autorisierten Zahlungen beispielsweise Erstattungs- und Haftungsregeln. Das Surcharging-Verbot wiederum sorgt dafür, dass Händler für viele verbreitete Karten-, Überweisungs- und Lastschriftzahlungen keine zusätzlichen Zahlungsgebühren vom Verbraucher verlangen dürfen. 

Wie funktioniert PSD2 in der Praxis?

Wer die Funktionsweise von PSD2 verstehen möchte, muss das Zusammenspiel zwischen Banken, Kunden und dritten Zahlungsdienstleistern betrachten.

Die kontoführenden Banken müssen regulierten Anbietern geeignete Zahlungsschnittstellen zur Verfügung stellen. Damit ein Zugriff auf die Kundendaten erfolgen kann, muss der Kontoinhaber grundsätzlich zustimmen. Vorher kann ein Drittanbieter keine Kontoinformationen abfragen oder Zahlungen auslösen.

Wichtig ist hierbei die Unterscheidung zwischen Zahlungsauslösediensten und Kontoinformationsdiensten:

• Zahlungsauslösedienste stoßen im Auftrag des Kunden eine Zahlung direkt vom Zahlungskonto an. Damit ist zum Beispiel ein Check-out im Onlineshop möglich, ohne die Zahlung über ein separates Kartenverfahren abwickeln zu müssen.

• Kontoinformationsdienste führen die Informationen verschiedener Zahlungskonten zusammen. Dadurch ist es zum Beispiel möglich, in einer einzigen Finanz-App die Kontostände und Umsätze mehrerer Banken darzustellen.

• Dritte Zahlungsdienstleister dürfen ohne Zustimmung des Kontoinhabers weder Zahlungen ausführen noch auf entsprechende Kontodaten zugreifen. 

Soll eine starke Kundenauthentifizierung (Strong Customer Authentication oder SCA) erfolgen, sind mindestens zwei voneinander unabhängige Elemente aus den Kategorien Wissen (Passwort, PIN), Besitz (Smartphone oder Hardware-Token) oder Inhärenz (Fingerabdruck, Gesichtserkennung) erforderlich.

PSD2-Regeln für kontaktlose Zahlungen

Die PSD2-Regeln sollen den Komfort bei kontaktlosen Zahlungen nicht einschränken und greifen daher nicht bei jeder Zahlung. Für kleinere Beträge sind Ausnahmen definiert, sodass zum Beispiel keine PIN eingegeben werden muss.

Auf eine starke Kundenauthentifizierung darf bei kontaktlosen Zahlungen grundsätzlich verzichtet werden, wenn der Betrag 50 Euro nicht überschreitet. Das ist in den technischen Standards zur PSD2 festgelegt.

Sollten mehrere kontaktlose Zahlungen einen Gesamtwert von mehr als 150 Euro erreichen oder fünf aufeinanderfolgende kontaktlose Zahlungen stattgefunden haben, ist eine erneute Authentifizierung erforderlich. 

In der Praxis wird das Terminal in einem solchen Fall die PIN erneut verlangen. Aus Sicherheitsgründen dürfen Banken und Zahlungsdienstleister eine solche Authentifizierung auch früher verlangen.

PSD2 und Open Banking

Zu den weitreichenden Neuerungen von PSD2 gehört das Open Banking. Hierbei geht es um die kontrollierte Öffnung bestimmter Bankdaten und Zahlungsfunktionen für regulierte Drittanbieter.

Vor der Einführung von PSD2 waren Banken praktisch die einzige Schnittstelle zum Zahlungskonto. Heute haben die Kunden viel mehr Möglichkeiten und können zum Beispiel einen externen Dienst nutzen, um mehrere Konten bei verschiedenen Kreditinstituten auszuwerten. Möglich ist es auch, direkt aus einem Onlineshop heraus einen Zahlungsauslösedienst zu nutzen.

Beim Open Banking sind Fragen bezüglich der Kontrolle über die Kundendaten von besonderer Wichtigkeit. Erst wenn der Nutzer zustimmt, kann der Zugriff erfolgen. Die Zahlungsauslöse- und Kontoinformationsdienstleister unterliegen einer entsprechenden regulatorischen Aufsicht. In Deutschland ist dafür insbesondere die Bundesanstalt für Finanzdienstleistungsaufsicht (BaFin) zuständig. 

Diese Entwicklung besitzt auch Relevanz für Händler. Sie profitieren von einem deutlich größeren Markt in Bezug auf die verfügbaren Zahlungslösungen. Neben den klassischen Zahlungskarten lassen sich jetzt weitere Bezahlmethoden in den Checkout integrieren. Hier sind zum Beispiel kontobasierte Verfahren und andere innovative Bezahlmethoden zu nennen.

Was bedeutet PSD2 für Händler?

Wann immer Kunden elektronische Zahlungstransaktionen durchführen möchten, gewinnt PSD2 auch für Händler an Bedeutung. Händler können zum Beispiel über moderne EC-Kartenlesegeräte und mobile Zahlungslösungen kontaktlose Zahlungen annehmen und profitieren hier ebenfalls von Sicherheitsprüfungen, die weitgehend im Hintergrund des Zahlungsprozesses stattfinden. 

Im stationären Geschäft sind also vor allem die Kartenzahlungen und die Authentifizierung der Zahlungen von PSD2 betroffen. Hinzu kommt die besondere Bedeutung der starken Kundenauthentifizierung im E-Commerce. Wann immer sie erforderlich ist, muss der verwendete Zahlungsprozess das technisch unterstützen.

Banken, Acquirer, Kartenorganisationen und Zahlungsdienstleister sind überwiegend dafür verantwortlich, die regulatorischen Vorgaben umzusetzen. Das bedeutet, dass ein kleiner Händler in der Regel keine eigene Infrastruktur für PSD2 aufbauen muss, sondern auf andere Dienstleister zurückgreifen kann. Wichtig ist es, dass der ausgewählte Zahlungsanbieter mit seinen Systemen die erforderlichen Standards unterstützt.

Unternehmen können verschiedene Zahlungsdienste in ihre Prozesse integrieren, weil PSD2 hier den Markteintritt regulierter Drittanbieter erleichtert. Damit hat sich die Auswahl der angebotenen Zahlungsmethoden vergrößert und geht deutlich über die klassischen Kartenzahlungen hinaus.

Vorteile von PSD2 für Unternehmen

Der größte Vorteil von PSD2 liegt in der höheren Sicherheit für Zahlungstransaktionen. Damit gehen aber auch zusätzliche regulatorische Anforderungen einher. Für Händler ist es dabei besonders interessant, dass die zentralen Sicherheitsstandards europaweit vereinheitlicht wurden.

Das sind einige der wichtigsten Vorteile von PSD2:

• Höhere Zahlungssicherheit: Die starke Kundenauthentifizierung erschwert den Missbrauch gestohlener Karten- oder Zugangsdaten.

• Geringeres Betrugsrisiko: Zusätzliche Prüfmechanismen helfen dabei, verdächtige Transaktionen frühzeitig zu erkennen und bestimmte Formen des Zahlungsbetrugs einzudämmen.

• Mehr Vertrauen bei Kunden: Sichere und nachvollziehbare Zahlungsprozesse können die Bereitschaft erhöhen, online oder kontaktlos zu bezahlen.

• Mehr Wettbewerb: Durch Open Banking können neue Zahlungsdienstleister und innovative Bezahlmethoden leichter in den Markt eintreten.

• Größere Auswahl bei Zahlungslösungen: Unternehmen können neben klassischen Kartenzahlungen zunehmend auch kontobasierte und digitale Verfahren anbieten.

• Einheitlichere Standards: Gemeinsame EU-Regeln erleichtern insbesondere Unternehmen mit grenzüberschreitendem Geschäft die Zahlungsabwicklung.

Für KMU bedeutet PSD2 damit vor allem, dass sie von zusätzlicher Sicherheit, mehr Auswahl und besseren Voraussetzungen für moderne digitale Zahlungsprozesse profitieren.

Herausforderungen von PSD2 für Unternehmen

PSD2 bietet den Unternehmen nicht nur Vorteile. Mit der Umsetzung sind auch Herausforderungen im Alltag verbunden. Das gilt besonders im Onlinehandel, weil es hier zusätzliche Sicherheitsanforderungen zu erfüllen gilt. Trotzdem soll der Bezahlvorgang für alle Kunden so unkompliziert wie möglich bleiben.

Das sind einige der wichtigsten Herausforderungen, denen Unternehmen bei PSD2 begegnen:

• Komplexere Checkout-Prozesse: Eine zusätzliche Authentifizierung kann den Bezahlvorgang verlängern und die Nutzererfahrung beeinträchtigen.

• Mögliche Kaufabbrüche: Müssen Kunden eine Zahlung beispielsweise per Banking-App oder biometrisch bestätigen, kann zusätzliche Reibung im Checkout entstehen.

• Technische Anforderungen: Shopsysteme, Zahlungs-Plugins und Schnittstellen müssen die geltenden PSD2- und SCA-Vorgaben zuverlässig unterstützen.

• Laufende Anpassungen: Sicherheitsstandards und regulatorische Anforderungen entwickeln sich weiter. Unternehmen müssen ihre Zahlungsinfrastruktur deshalb regelmäßig aktualisieren.

• Abhängigkeit vom Zahlungsdienstleister: Viele PSD2-Prozesse werden technisch durch Payment Service Provider, Banken und Kartenanbieter umgesetzt. Die Wahl eines zuverlässigen Partners ist daher besonders wichtig.

Für Unternehmen besteht die zentrale Aufgabe also darin, Sicherheit und Benutzerfreundlichkeit miteinander zu verbinden. Ein technisch sicherer Zahlungsprozess darf nicht dazu führen, dass Kunden unnötig beim Abschluss ihres Einkaufs behindert werden.

Was bedeutet PSD2 für Verbraucher?

Für Verbraucher ergeben sich durch PSD2 vielfältige Vorteile. Hier sind vor allem die höhere Sicherheit und die größere Auswahl an Zahlungsmethoden zu nennen sowie die stärkeren Rechte.

So führt zum Beispiel die starke Kundenauthentifizierung dazu, dass ein Missbrauch gestohlener Zugangsdaten nicht mehr so einfach möglich ist. Verbraucher profitieren auch davon, dass für die Nutzung von Zahlungsauslösediensten oder Kontoinformationsdiensten regulierte dritte Zahlungsdienstleister zur Auswahl stehen.

Die Entscheidung bleibt dabei immer beim Verbraucher. Erteilt er keine Zustimmung, kann kein entsprechender Kontozugriff erfolgen. Die Zustimmung bezieht sich dabei auf den jeweiligen Dienst und kann auch widerrufen werden. Der Kunde behält damit die Kontrolle darüber, welche Anbieter mit welchen Finanzdaten arbeiten dürfen.

Zudem erhöht PSD2 die Transparenz bei Zahlungen. Die Verbraucher haben ein Recht darauf, vom Zahlungsdienstleister über Kosten, Gebühren und wesentliche Bedingungen der Transaktion informiert zu werden.

Weiterhin besteht ein Verbot für bestimmte zusätzliche Zahlungsentgelte, was die Verbraucherrechte ebenfalls stärkt. In Deutschland dürfen für SEPA-Überweisungen und -Lastschriften sowie für viele gängige Verbraucher-Zahlungskarten keine zusätzlichen Gebühren allein für die Nutzung des Zahlungsmittels verlangt werden. Das Verbot gilt bei Karten jedoch nicht uneingeschränkt, beispielsweise sind Firmenkarten und bestimmte Drei-Parteien-Kartensysteme ausgenommen. 

Was ist PSD3 und wie baut die Richtlinie auf PSD2 auf?

Im Hinblick auf den digitalen Zahlungsverkehr stellte PSD2 einen sehr wichtigen Modernisierungsschritt dar. Dieser allein konnte aber nicht alle Probleme lösen. Im Jahr 2023 hat die Europäische Kommission deshalb ein neues Gesetzespaket vorgelegt, das sich aus der PSD3 sowie der Payment Services Regulation (PSR) zusammensetzt.

In der Zukunft sollen Unterschiede in der Umsetzung zwischen den Mitgliedstaaten reduziert werden, indem ein Teil der in PSD2 enthaltenen Regeln in eine EU-Verordnung überführt wird. Die PSR soll als direkt in der gesamten EU geltende Verordnung den elektronischen und bargeldlosen Zahlungsverkehr vereinheitlichen. Die PSR ist dabei als Ergänzung zur Richtlinie PSD3 anzusehen. 

Eine vorläufige politische Einigung konnten Rat und Europäisches Parlament im November 2025 erzielen. Der Text der neuen Regeln wurde im Mai 2026 durch den zuständigen Ausschuss gebilligt. PSD3 und PSR sind aber noch nicht vollständig in Kraft. 

Die Reform konzentriert sich vor allem auf eine verbesserte Betrugsprävention, einen stärkeren Verbraucherschutz und eine verlässlichere Open-Banking-Struktur. Zudem soll der europäische Zahlungsmarkt stärker harmonisiert werden.

Die wichtigsten Unterschiede zwischen PSD2 und PSD3

PSD3 soll die Grundidee von PSD2 weiterentwickeln. Ein Schwerpunkt ist dabei das Open Banking. In der Praxis sollen zum Beispiel die Qualität von APIs und der Zugang für Drittanbieter einheitlicher ausfallen. Dafür reduziert der neue Rechtsrahmen Hindernisse und gestaltet den Zugang autorisierter Anbieter zu Zahlungskontodaten verlässlicher.

Die Nutzer wiederum sollen einen besseren Überblick über die erteilten Datenzugriffe erhalten und diese einfacher verwalten können. Dafür sind sogenannte Permission Dashboards vorgesehen. Darüber sollen sich Berechtigungen für Open-Banking-Dienste nachvollziehen und widerrufen lassen. 

Zu den weiteren Schwerpunkten von PSD3 gehören eine verbesserte API-Performance und höhere Zuverlässigkeit. Die Betrugsüberwachung und der Austausch von Betrugsdaten sollen noch umfassender sein. Zudem sind klarere Regeln für dritte Zahlungsdienstleister vorgesehen.

PSD3 soll die Rechte der Verbraucher stärken und die Streitbeilegung verbessern. Zu den wichtigen Unterschieden gehören die transparenteren Gebühreninformationen und einheitlichere Regeln in der EU.

Zu den wichtigen Neuerungen gehören auch die Maßnahmen gegen moderne Betrugsformen wie Spoofing. Dafür sieht die politische Einigung zusätzliche Instrumente vor. 

Wie werden PSD3 und PSR Unternehmen und Zahlungen beeinflussen?

Die Grundrichtung ändert sich bei PSD3 und PSR für Händler nicht. Es soll vor allem die Sicherheit der Zahlungen erhöht werden, ohne dass sich der Zahlungsprozess dabei unnötig verkompliziert.

Eine verbesserte Betrugsüberwachung trägt dazu bei, betrügerische Zahlungstransaktionen noch früher zu erkennen. Betrugsbedingte Rückbuchungen und operative Kosten sollen perspektivisch sinken.

Neue regulatorische Vorgaben bedeuten auch, dass die Zahlungsdienstleister und Unternehmen ihre Systeme anpassen müssen. Das gilt gerade für jene, die eigene APIs, Zahlungsplattformen oder komplexe Checkout-Infrastrukturen betreiben.

Kleine Unternehmen müssen besonders auf die Auswahl passender Zahlungsdienstleister achten. Denn die meisten regulatorischen Anpassungen werden nicht auf Ebene der Unternehmen, sondern der Zahlungsinfrastruktur stattfinden.

Parallel zu PSD3 und PSR treibt die EU auch Open Finance voran. Dabei geht es um einen kontrollierten Datenaustausch über Zahlungskonten hinaus. Damit entwickelt sich das Konzept zunehmend von Open Banking zu Open Finance. Vorgesehen ist dafür ein separater Rechtsrahmen mit FIDA. 

Die Zukunft der PSD-Regulierung in Europa: Trends 2026 und darüber hinaus

Die Betonung von Open Finance durch die PSD-Regulierung dürfte vielfältige Auswirkungen auf den europäischen Zahlungsverkehr haben. Dazu gehört die Förderung von Embedded Finance. So wird es möglich sein, Finanz- und Zahlungsfunktionen zukünftig noch stärker in andere digitale Geschäftsprozesse zu integrieren. Das trägt der Entwicklung Rechnung, dass sich der Zahlungsverkehr längst über klassische Kartenzahlungen hinausentwickelt.

Die Bedeutung biometrischer Authentifizierungsverfahren dürfte ebenfalls steigen. Dazu gehören Fingerabdruck, Gesichtserkennung oder andere biometrische Merkmale, die dabei helfen können, die starke Kundenauthentifizierung nutzerfreundlicher zu gestalten. Es lässt sich also eine hohe Sicherheit herstellen, ohne auf zusätzliche Passwörter zurückgreifen zu müssen.

Es ist davon auszugehen, dass auch das Fintech-Ökosystem weiter wächst. Förderlich für den Wettbewerb wären hier etwa klarere Regeln für Zahlungsauslösedienste, Kontoinformationsdienste und weitere dritte Zahlungsdienstleister.

Außerdem wird Echtzeitüberweisungen vermutlich eine zunehmende Bedeutung zukommen. Dank der EU-Verordnung zu Instant Payments sind schnelle Konto-zu-Konto-Zahlungen dann normaler Bestandteil der europäischen Zahlungsinfrastruktur. 

Diese Entwicklungen dürften insgesamt dazu führen, dass der Wettbewerb zwischen Karten, Wallets, kontobasierten Verfahren und neuen digitalen Zahlungslösungen weiter zunimmt.

Wie können sich Unternehmen an PSD2 und PSD3 anpassen?

Für kleine und mittlere Unternehmen wird die Aufgabe eher nicht darin bestehen, jede regulatorische Anforderung selbst technisch umsetzen zu müssen. Wichtig ist es zum Beispiel für Händler vor allem, sich auf eine belastbare Zahlungsinfrastruktur verlassen zu können. Und dafür ist die Zusammenarbeit mit einem geeigneten Partner wichtig.

Unternehmen sollten auf folgende Punkte achten:

• Arbeite ich mit einem regulierten und sicherheitsorientierten Zahlungsdienstleister zusammen?
• Sind Software, Plugins und Zahlungsschnittstellen aktuell?
• Wie sieht es mit Checkout-Abbrüchen und abgelehnten Zahlungen aus?
• Soll ich mehrere relevante Zahlungsmethoden anbieten?
• Habe ich interne Prozesse für Betrugsfälle und Rückerstattungen definiert?
• Ergeben sich mit der endgültigen Einführung von PSD3 und PSR eventuell noch Änderungen?

Eine gute Lösung für den E-Commerce verbindet vor allem eine starke Authentifizierung mit einem möglichst reibungslosen Checkout. Anbieter wie myPOS bündeln beispielsweise POS-Systeme, Online-Zahlungen und weitere Zahlungsinfrastruktur. Dadurch können Unternehmen einen erheblichen Teil der technischen Zahlungsabwicklung über einen einzelnen spezialisierten Anbieter abwickeln. 

Für deutsche KMU kann eine solche Lösung zur Einhaltung der geltenden PSD2- und späteren PSD3-Anforderungen erheblich einfacher sein, als Zahlungsprozesse, Sicherheitsanforderungen und regulatorische Änderungen vollständig selbst verwalten zu wollen.

Fazit

PSD2 hat den europäischen Zahlungsverkehr sicherer, transparenter und wettbewerbsfähiger gemacht. Unternehmen profitieren von höheren Sicherheitsstandards, neuen Zahlungsdiensten und einheitlicheren Regeln innerhalb der EU.

Gleichzeitig bringt die Richtlinie zusätzliche technische und regulatorische Anforderungen mit sich. Besonders wichtig ist deshalb eine Zahlungsinfrastruktur, die Sicherheit und eine möglichst reibungslose Kundenerfahrung miteinander verbindet.

Mit PSD3 und der neuen Payment Services Regulation wird dieser Rahmen künftig weiterentwickelt. Für Unternehmen lohnt es sich daher, regulatorische Änderungen im Blick zu behalten und mit zuverlässigen Zahlungsdienstleistern zu arbeiten, die ihre Systeme kontinuierlich an neue Vorgaben anpassen.

Häufige Fragen

Wie gehe ich mit Soft Declines wegen fehlender Authentifizierung um?

Ein Soft Decline bedeutet zumeist nicht sofort, dass die Karte grundsätzlich abgelehnt wurde. Die kartenausgebende Bank verlangt jedoch einen zusätzlichen Authentifizierungsschritt. Es handelt sich damit nur um eine vorübergehende Ablehnung einer Kartenzahlung. Im Onlinehandel sollte der Zahlungsprozess die Transaktion deshalb erneut mit SCA-Unterstützung beziehungsweise über EMV 3-D Secure ausführen können. Anders sieht es bei wiederholten ungeänderten Autorisierungsversuchen aus: Diese lösen das Problem normalerweise nicht.

Welche SCA-Ausnahmen kann ein Händler nutzen, ohne die Genehmigungsrate unnötig zu verschlechtern?

PSD2 kennt mehrere Ausnahmen, etwa für bestimmte Kleinbetragszahlungen, Transaktionen mit niedrigem Risiko, vertrauenswürdige Zahlungsempfänger oder bestimmte wiederkehrende Zahlungen. Über die Anwendung einer solchen Ausnahme entscheidet der Händler jedoch nicht bei jeder Zahlung selbst. Hier spielen der Acquirer und der Issuer eine wesentliche Rolle. Es ist daher davon auszugehen, dass eine möglichst aggressive Nutzung von Ausnahmen nicht immer sinnvoll sein wird. Hier sind vielmehr der Zahlungsanbieter, das Risikoprofil und die Genehmigungsraten entscheidend.

Wie funktionieren wiederkehrende Zahlungen unter PSD2?

Bei einer Serie wiederkehrender Zahlungen, bei denen sich der Betrag und der Empfänger nicht ändern, ist grundsätzlich bei der Einrichtung, Änderung oder ersten Zahlung eine starke Kundenauthentifizierung erforderlich. Die nachfolgenden Zahlungen derselben Serie sind davon nicht betroffen und können unter den gesetzlichen Voraussetzungen ohne erneute SCA ausgeführt werden.

Welche Rolle spielt 3-D Secure 2 bei der Einhaltung der SCA-Anforderungen?

Mit EMV 3-D Secure ist der Austausch zusätzlicher Transaktions- und Risikoinformationen zwischen Händler, Zahlungsdienstleister und kartenausgebender Bank möglich. Damit kann innerhalb des Online-Checkouts eine erforderliche starke Kundenauthentifizierung durchgeführt werden. In Abhängigkeit vom jeweiligen Risiko kann eine Transaktion verarbeitet werden, ohne dass eine sichtbare zusätzliche Nutzerinteraktion erforderlich wäre. Ansonsten kann auch eine Authentifizierung durch den Kunden verlangt werden.

Wie erkenne ich, ob PSD2-Änderungen meine Genehmigungsrate verschlechtern?

Für Onlinehändler ist nicht nur die gesamte Approval Rate relevant. Es sollte auch betrachtet werden, wie die Aufteilung nach Zahlungsart, Kartenherkunft, Issuer, Land, SCA-Anforderung, 3-D-Secure-Ergebnis und Ablehnungsgrund aussieht. Wenn beispielsweise der Anteil von Soft Declines ansteigt, kann das mit einer fehlerhaften Authentifizierungslogik oder einer unvollständigen 3-D-Secure-Integration zusammenhängen.

Wie sollte ein Unternehmen seine PSD2-Compliance für Prüfungen oder Zahlungsstreitigkeiten dokumentieren?

Unternehmen sollten nachvollziehbar dokumentieren, welche Zahlungsanbieter, Checkout-Systeme und Plugins sie einsetzen. Es sollte ersichtlich sein, wer für welche Sicherheits- und Compliance-Aufgaben verantwortlich ist. Hinzu kommen technische Änderungsprotokolle, Zahlungs- und Fehlerberichte sowie relevante Verträge mit Zahlungsdienstleistern. Welche Unterlagen erforderlich sind, hängt allerdings vom jeweiligen Geschäftsmodell ab und die regulatorische Rolle des Unternehmens muss ebenfalls betrachtet werden.