3D Secure: Funktion, Sicherheit und Vor- und Nachteile
Das Wichtigste in Kürze
- Das 3D-Secure-Verfahren schützt Online-Kartenzahlungen durch eine zweite Identitätsprüfung und läuft je nach Kartennetzwerk unter den Namen Visa Secure, Mastercard Identity Check oder American Express SafeKey.
- Die aktuelle Version 3D Secure 2.0 bestätigt viele Zahlungen im Hintergrund per Risikoanalyse und fragt nur bei Bedarf eine Freigabe per App, Fingerabdruck oder Gesichtserkennung ab.
- Seit der EU-Zahlungsdiensterichtlinie PSD2 ist die starke Kundenauthentifizierung (SCA) für die meisten Online-Kartenzahlungen in der EU Pflicht, mit Ausnahmen etwa bei Kleinbeträgen unter 30 Euro.
- Schlägt eine Zahlung trotz 3D Secure fehl, liegt das meist an einer inaktiven Freischaltung, einer abgelaufenen Karte, einem Limit oder einer verpassten Bestätigung in der Banking-App.
[toc]
Was ist das 3D-Secure-Verfahren?
Das 3D-Secure-Verfahren ist ein Sicherheitsstandard für Online-Kartenzahlungen, der prüft, ob wirklich die berechtigte Karteninhaberin oder der berechtigte Karteninhaber bezahlt. Dafür verlangt es neben den Kartendaten einen zweiten, unabhängigen Nachweis der Identität, etwa eine Bestätigung in der Banking-App oder einen Fingerabdruck.
Der Name kommt aus dem technischen Aufbau: 3D steht für die drei Domänen Händler, Kartennetzwerk und kartenausgebende Bank, die bei der Prüfung zusammenarbeiten. Jedes große Kartennetzwerk vermarktet das Verfahren unter einem eigenen Namen. Visa nennt seine Umsetzung heute Visa Secure (früher als „Verified by Visa” bekannt), Mastercard nutzt Mastercard Identity Check und American Express setzt auf SafeKey. Technisch handelt es sich in allen drei Fällen um denselben EMV-3-D-Secure-Standard, nur mit unterschiedlicher Markenbezeichnung und teils eigenem App-Design.
Ohne 3D Secure würde bei einer Online-Zahlung nur geprüft, ob Kartennummer, Ablaufdatum und Prüfziffer zusammenpassen. Diese Daten lassen sich leicht abgreifen, etwa durch Phishing oder Datenlecks bei Online-Shops. Die zusätzliche Identitätsprüfung schließt genau diese Lücke und macht gestohlene Kartendaten allein wertlos für Betrüger.
Wie funktioniert 3D Secure beim Bezahlen?
Beim Bezahlen läuft 3D Secure in drei Schritten ab: Der Händler fordert die Authentifizierung an, du bestätigst deine Identität und die Bank gibt die Zahlung frei. Der gesamte Vorgang dauert in der Regel nur wenige Sekunden.
Schritt 1: Der Händler fordert die Authentifizierung an
Sobald du im Checkout eines Online-Shops deine Kartendaten eingibst und die Zahlung auslöst, meldet der Händler die Transaktion an dein Kartennetzwerk. Unterstützt der Shop 3D Secure, leitet er dich automatisch zur Bestätigung durch deine Bank weiter.
Schritt 2: Du bestätigst deine Identität
Als Karteninhaberin oder Karteninhaber bestätigst du, dass die Zahlung wirklich von dir stammt. Bei 3D Secure 2.0 passiert das meist per Push-Nachricht in der Banking- oder Kreditkarten-App, die du mit einem Fingerabdruck, Gesichtsscan oder deinem App-Passwort freigibst. Bei manchen Banken kommt stattdessen noch eine SMS-TAN oder eine PIN-Eingabe zum Einsatz.
Schritt 3: Die Bank gibt die Zahlung frei
Nach erfolgreicher Bestätigung meldet deine Bank die Freigabe an den Händler zurück, die Zahlung wird abgeschlossen und du landest wieder im Online-Shop. Visa, Mastercard und American Express unterstützen dieses Verfahren bei praktisch allen europäischen Kartenausgebern.
Ein Sonderfall der 2.0-Version ist die risikobasierte Prüfung im Hintergrund: Erkennt das System anhand von Gerät, Kaufverhalten und Betragshöhe kein erhöhtes Risiko, entfällt die aktive Bestätigung ganz und die Zahlung läuft ohne sichtbaren Zwischenschritt durch.
Was unterscheidet 3D Secure 2.0 von der ersten Version?
3D Secure 2.0 unterscheidet sich von der ursprünglichen Version vor allem durch die Risikobewertung im Hintergrund und die Einbindung von Apps statt starrer Passwörter. Die neue Version macht die Zahlung dadurch schneller und für mobile Geräte deutlich praxistauglicher.
Die erste Version von 3D Secure aus den frühen 2000er-Jahren leitete Kundinnen und Kunden auf eine separate, oft schlecht gestaltete Bestätigungsseite um und verlangte ein statisches Passwort, das viele Nutzer vergaßen oder gar nicht erst eingerichtet hatten. Genau das führte häufig zu abgebrochenen Käufen. 3D Secure 2.0 löst dieses Problem, indem es mehr als 100 Datenpunkte einer Transaktion, etwa Geräte-ID, IP-Adresse und bisheriges Kaufverhalten, in eine Risikoeinschätzung einbezieht.
Nur wenn diese Einschätzung ein erhöhtes Risiko ergibt, wird eine aktive Bestätigung fällig, meist per Fingerabdruck, Gesichtserkennung oder einer Freigabe in der App. Weil diese Prüfung in den Zahlungsvorgang integriert ist und nicht mehr auf eine externe Seite umleitet, sinkt die Abbruchquote im Checkout spürbar. 3D Secure 2.0 ist außerdem so konzipiert, dass es die Anforderungen der starken Kundenauthentifizierung nach PSD2 direkt erfüllt.
Visa Secure, Mastercard Identity Check und SafeKey im Vergleich
Visa Secure, Mastercard Identity Check und American Express SafeKey sind die drei bekanntesten Markennamen für 3D Secure in Europa und unterscheiden sich vor allem im Namen und in der App, nicht im zugrunde liegenden Sicherheitsstandard.
Visa Secure
Visa Secure ist die Umsetzung von 3D Secure für Visa-Karten. Der Dienst hieß bis 2019 „Verified by Visa” und wurde danach umbenannt, als Visa auf den neuen 3D-Secure-2.0-Standard umstellte. Die Freigabe läuft je nach Bank über eine eigene Banking-App, eine Kreditkarten-App oder in Ausnahmefällen noch per SMS-TAN.
Mastercard Identity Check
Mastercard Identity Check ist das Pendant für Mastercard-Karten und ersetzt den früheren Dienst „Mastercard SecureCode”. Auch hier läuft die Bestätigung heute meist per App-Freigabe mit Fingerabdruck oder Gesichtserkennung statt über ein festes Passwort.
American Express SafeKey
American Express SafeKey setzt ebenfalls auf den EMV-3-D-Secure-Standard und wird bei Amex-Karten für Online-Zahlungen eingesetzt. Die Bestätigung erfolgt über die Amex-App oder, je nach ausgebender Bank, über ein bankeigenes Verfahren.
Für dich als Kundin oder Kunde macht es beim Bezahlen kaum einen Unterschied, welchen Markennamen dein Kartennetzwerk verwendet. Entscheidend ist, dass 3D Secure für deine Karte aktiviert ist und du Zugriff auf die passende App oder das hinterlegte Bestätigungsverfahren hast.
Wie hängen 3D Secure und PSD2 zusammen?
3D Secure ist das technische Verfahren, mit dem Banken die gesetzliche Vorgabe der PSD2-Richtlinie zur starken Kundenauthentifizierung (Strong Customer Authentication, SCA) umsetzen. Seit 2021 ist diese Authentifizierung für die meisten Online-Kartenzahlungen in der EU verpflichtend.
Die zweite EU-Zahlungsdiensterichtlinie (PSD2) verlangt, dass eine Zahlung durch mindestens zwei voneinander unabhängige Faktoren aus den Kategorien Wissen, Besitz und Inhärenz (biometrisches Merkmal) bestätigt wird. Ein Passwort allein reicht seither nicht mehr aus. Genau diese Kombination bildet 3D Secure 2.0 ab, etwa durch den Besitz des Smartphones mit der Banking-App und die biometrische Bestätigung per Fingerabdruck.
Wichtig zu wissen: Die EU arbeitet bereits an der Nachfolgeregelung PSD3 zusammen mit der begleitenden Zahlungsdiensteverordnung (PSR). Beide sollen die bestehenden SCA-Regeln verschärfen und in eine unmittelbar geltende EU-Verordnung überführen, ändern aber am Grundprinzip der Zwei-Faktor-Authentifizierung bei Kartenzahlungen zunächst nichts. Bis die neuen Regeln greifen, bleibt PSD2 die maßgebliche Grundlage für 3D Secure in Deutschland und der übrigen EU.
Wann ist keine Authentifizierung über 3D Secure nötig?
Nein, nicht jede Online-Kartenzahlung verlangt eine aktive 3D-Secure-Bestätigung. PSD2 erlaubt mehrere Ausnahmen von der starken Kundenauthentifizierung, die Banken optional nutzen können.
Am bekanntesten ist die Ausnahme für Kleinbeträge: Zahlungen unter 30 Euro können ohne zusätzliche Authentifizierung durchgehen. Unbegrenzt geht das aber nicht. Sobald entweder fünf Zahlungen ohne Bestätigung aufeinanderfolgen oder die Summe der unbestätigten Zahlungen 100 Euro übersteigt, verlangt die Bank wieder eine vollständige Authentifizierung. Weitere Ausnahmen gelten für wiederkehrende Zahlungen an denselben Händler, für Transaktionen mit geringem eingeschätztem Betrugsrisiko sowie für bestimmte Firmenkarten mit eigenen Sicherheitsprotokollen. Wie großzügig eine Bank diese Spielräume nutzt, entscheidet jedes Institut im Rahmen der PSD2-Vorgaben selbst. Das Verhalten kann sich deshalb von Bank zu Bank unterscheiden.
Was tun, wenn 3D Secure bei der Zahlung nicht funktioniert?
Schlägt eine Zahlung trotz 3D Secure fehl, liegt das in den meisten Fällen an der Karte, dem Zeitfenster für die Bestätigung oder einem Limit und lässt sich fast immer selbst beheben. Die folgende Übersicht zeigt die häufigsten Ursachen und was dagegen hilft.
- 3D Secure ist für die Karte nicht aktiviert: Besonders bei neu ausgestellten Karten ist die Freischaltung manchmal noch nicht abgeschlossen. Aktiviere das Verfahren in der Banking-App deiner Bank oder rufe den Kundenservice an.
- Die Bestätigung in der App kommt zu spät: Für die Freigabe per Push-Nachricht bleiben meist nur wenige Minuten. Öffne die App direkt nach dem Checkout und stelle sicher, dass Benachrichtigungen aktiviert sind.
- Die Karte ist abgelaufen oder gesperrt: Läuft die Gültigkeit ab oder wurde die Karte wegen eines Verdachtsfalls gesperrt, scheitert die Zahlung schon vor der 3D-Secure-Prüfung. Prüfe das Ablaufdatum und den Kartenstatus in deiner Banking-App.
- Ein Zahlungslimit ist erreicht: Viele Karten haben ein tägliches oder monatliches Limit für Online-Zahlungen. Ein Blick in die App zeigt, ob das Limit ausgeschöpft ist, und lässt sich dort oft direkt anpassen.
- Eingabefehler bei den Kartendaten: Ein Zahlendreher bei Kartennummer, Ablaufdatum oder Prüfziffer verhindert schon den ersten Schritt. Gib die Daten in Ruhe erneut ein, bevor du 3D Secure überhaupt erreichst.
- Veraltete Browserdaten blockieren das Bestätigungsfenster: Lösche den Cache oder öffne den Shop im privaten Browserfenster, wenn sich das Bestätigungsfenster nicht öffnet oder hängen bleibt.
Bleibt das Problem bestehen, hilft meist nur der direkte Kontakt zur kartenausgebenden Bank, da sie als Einzige die 3D-Secure-Freischaltung für deine konkrete Karte einsehen und korrigieren kann.
Wie sicher ist 3D Secure wirklich?
3D Secure erhöht die Sicherheit von Online-Kartenzahlungen deutlich, bietet aber keinen hundertprozentigen Schutz vor Betrug. Ohne 3D Secure haften Karteninhaberinnen und Karteninhaber bei Betrugsfällen in Deutschland in der Regel nur bis maximal 50 Euro selbst, mit korrekt genutztem 3D Secure sinkt dieses Risiko für dich als Kunde nochmals deutlich, weil Betrüger ohne Zugriff auf dein Bestätigungsgerät gar nicht erst durchkommen.
Trotzdem bleiben Schwachstellen. Wer sein Smartphone verliert und gleichzeitig Zugriff auf die entsperrte Banking-App hat, kann trotz 3D Secure Opfer eines Betrugs werden. Auch Phishing-Angriffe, bei denen Kriminelle Kundinnen und Kunden dazu bringen, eine Push-Nachricht selbst zu bestätigen, umgehen den eigentlichen Schutzmechanismus. Deshalb bleibt es wichtig, Bestätigungsanfragen nur dann freizugeben, wenn du selbst gerade aktiv eine Zahlung ausgelöst hast, und Kreditkartenabrechnungen regelmäßig zu kontrollieren.
Welche Vor- und Nachteile hat 3D Secure?
3D Secure bringt spürbar mehr Sicherheit beim Online-Einkauf, kostet dich als Nutzer aber auch etwas Komfort. Die folgende Übersicht stellt beide Seiten gegenüber.
Vorteile
- Schutz vor Kartenmissbrauch: Gestohlene Kartendaten allein reichen Betrügern nicht mehr aus, weil die Zahlung zusätzlich über dein Gerät oder biometrisches Merkmal bestätigt werden muss.
- Geringeres Haftungsrisiko: Mit korrekt genutztem 3D Secure sinkt das Risiko, für eine betrügerische Zahlung selbst aufkommen zu müssen.
- Schnellere Abwicklung durch Version 2.0: Viele Zahlungen laufen dank Risikoprüfung im Hintergrund ohne zusätzlichen Klick durch.
- Rechtssichere Umsetzung der PSD2: Händler und Banken erfüllen mit 3D Secure automatisch die gesetzlichen Vorgaben zur starken Kundenauthentifizierung.
Nachteile
- Abhängigkeit vom Smartphone: Ohne Zugriff auf die Banking- oder Kreditkarten-App lässt sich eine Zahlung oft nicht bestätigen, was bei Geräteverlust unpraktisch wird.
- Zusätzlicher Schritt im Checkout: Auch wenn 2.0 vieles im Hintergrund erledigt, verlangen risikoreichere Zahlungen weiterhin eine aktive Bestätigung.
- Uneinheitliche Umsetzung je nach Bank: Welche Ausnahmen genutzt werden und wie die App gestaltet ist, unterscheidet sich von Institut zu Institut, was für Verwirrung sorgen kann.
Welche Zahlungen sichert 3D Secure ab?
3D Secure sichert Online-Zahlungen mit Kredit-, Debit- und Prepaid-Karten ab, sofern der Kartenausgeber und der Händler das Verfahren unterstützen. Das schließt klassische Kartenzahlungen im Browser ebenso ein wie Zahlungen über mobile Apps und in Banking-Apps hinterlegte digitale Karten.
Nicht abgedeckt sind dagegen Zahlungen über alternative Verfahren wie klassische Überweisungen, Lastschriften oder Wallet-Dienste, die eigene Sicherheitsmechanismen nutzen. Kontaktlose Zahlungen an physischen Kassenterminals fallen ebenfalls nicht unter 3D Secure, da sie unter eine eigene Ausnahmeregelung für Präsenzzahlungen fallen.
Häufig gestellte Fragen zu 3D Secure
Die folgenden Antworten fassen die wichtigsten Detailfragen rund um Einrichtung, Sicherheit und die aktuelle Version von 3D Secure kurz zusammen.
Wie richte ich 3D Secure für meine Karte ein?
Bei den meisten Banken ist 3D Secure für neue Karten bereits automatisch aktiviert und läuft über die ohnehin genutzte Banking-App. Fehlt die Freischaltung, findest du die Aktivierung meist unter den Kartenoptionen der App oder kannst sie telefonisch beim Kundenservice deiner Bank nachholen.
Wie läuft die Zwei-Faktor-Authentifizierung bei 3D Secure ab?
Zuerst bestätigst du durch die Eingabe deiner Kartendaten, dass du im Besitz der Karte bist. Danach folgt ein zweiter, unabhängiger Faktor, etwa eine Freigabe per Fingerabdruck, Gesichtserkennung oder eine SMS-TAN, mit dem deine Bank deine Identität bestätigt.
Was ist der Unterschied zwischen 3D Secure 1.0 und 3D Secure 2.0?
3D Secure 2.0 bewertet das Risiko einer Zahlung im Hintergrund und fragt nur bei Bedarf eine App-Bestätigung ab, während die erste Version fast immer auf eine externe Seite mit einem festen Passwort umleitete. Dadurch läuft 2.0 schneller und mit weniger abgebrochenen Käufen im Checkout.
Warum heißt Visa Secure manchmal noch Verified by Visa?
Visa Secure hieß bis 2019 Verified by Visa und wurde im Zuge der Umstellung auf 3D Secure 2.0 umbenannt. Manche älteren Anleitungen, Foren-Beiträge oder Shop-Texte verwenden den alten Namen deshalb noch, gemeint ist aber dasselbe Verfahren.
Kann ich online mit Kreditkarte bezahlen, ohne 3D Secure zu nutzen?
Innerhalb der EU lassen die meisten Banken Kartenzahlungen ohne 3D Secure nur noch bei Kleinbeträgen unter 30 Euro oder in wenigen anderen Ausnahmefällen zu. Für die meisten Online-Einkäufe ist die Authentifizierung inzwischen Pflicht.
Warum schlägt meine 3D-Secure-Zahlung fehl, obwohl die Karte gültig ist?
Meist liegt es an einer verpassten Bestätigung in der App, einem erreichten Zahlungslimit oder einer noch nicht abgeschlossenen Freischaltung des Verfahrens für die Karte. Ein Blick in die Banking-App oder ein Anruf beim Kundenservice der Bank klärt in den meisten Fällen sofort, woran es liegt.
Über den Autor:
Max Benz hat einen Master of Science-Abschluss in Betriebswirtschaftslehre von der Technischen Universität Dresden und ist Geschäftsführer und Gründer von girokonto.io, einer Marke der LBC Finance UG. Er liebt es, alle Daten über Girokonten zusammenzutragen, um so die besten Girokonten zu vergleichen und zu finden.
