3-D Secure ist der Zwischenschritt, der bei einer Kartenzahlung im Internet die Bank der Kundschaft einschaltet, bevor der Kauf abgeschlossen wird. Im Ladengeschäft spielt es keine Rolle. Im Onlineshop entscheidet es darüber, wer bei Kartenmissbrauch den Schaden trägt.
Wofür das Verfahren gebaut wurde
Bei einer Zahlung im Internet liegt keine Karte vor. Der Shop sieht nur Daten, die auch ein Dieb haben kann. 3-D Secure schließt diese Lücke, indem der Kartenherausgeber selbst prüft, ob die Person am Bildschirm zur Karte gehört. Die heutige Ausbaustufe arbeitet dabei mit deutlich mehr Informationen als die erste Generation: Gerät, bisheriges Verhalten, Händler, Betrag, Zeitpunkt.
Der Name kommt von den drei Bereichen, die beteiligt sind: der Bereich des Kartenherausgebers, der Bereich des Acquirers und das Kartensystem dazwischen.
Der Ablauf aus Sicht der Kundschaft
Nach Eingabe der Kartendaten reicht der Shop die Zahlung an seinen Zahlungsdienstleister weiter. Der fragt beim Kartenherausgeber an. Dieser entscheidet: durchwinken, weil das Risiko gering erscheint, oder eine Freigabe verlangen. Im zweiten Fall erscheint die Bank-App oder eine Eingabemaske, und erst danach läuft die eigentliche Autorisierung.
Beide Wege zählen als 3-D Secure. Die reibungslose Variante ohne sichtbaren Schritt heißt Frictionless Flow, die mit Rückfrage Challenge Flow. Für die Haftung macht das keinen Unterschied, für die Abbruchquote sehr wohl.
Haftungsverlagerung: der wirtschaftliche Kern
Läuft die Zahlung über das Verfahren und behauptet die Kundschaft später, sie habe nie bestellt, geht die Rückbelastung in aller Regel nicht zu deinen Lasten, sondern zu Lasten des Kartenherausgebers. Ohne das Verfahren bleibt der Schaden bei dir. Mehr ist der Sinn der Sache nicht, und weniger auch nicht.
Wo die Verlagerung endet
Hier steht die Stolperstelle, die viele erst nach dem ersten Streitfall kennen: Die Haftungsverlagerung deckt den Missbrauch der Karte. Sie deckt nicht den Vorwurf, die Ware sei nie angekommen, sei mangelhaft oder die Leistung sei nicht erbracht worden. Solche Fälle gewinnst du nur mit Lieferbelegen, Vertragsunterlagen und einer nachvollziehbaren Dokumentation. Ein bestätigter Freigabeschritt hilft dort nicht.
Ebenso wenig greift das Verfahren bei telefonischen oder schriftlichen Bestellungen, bei denen du Kartendaten selbst erfasst. Dieses Geschäft bleibt vollständig auf deinem Risiko.
Warum Käufe genau an dieser Stelle abbrechen
Jeder sichtbare Freigabeschritt kostet Abschlüsse. Die Gründe sind fast immer profan: Die Bank-App liegt auf einem anderen Gerät, die bei der Bank hinterlegte Telefonnummer ist veraltet, das Verfahren wurde nie eingerichtet, die Verbindung bricht ab. Du siehst davon nur den stehen gebliebenen Warenkorb.
Dagegen hilft die Datenqualität, die dein Dienstleister mitschickt: vollständige Adress- und Kontaktdaten, eine saubere Händlerkennung, ein wiedererkennbarer Name auf dem Kontoauszug. Je besser die Datenlage, desto häufiger entscheidet der Kartenherausgeber, dass er keine Rückfrage braucht.
Auffällig wird das bei wiederkehrender Kundschaft. Wer bei dir schon einmal ohne Beanstandung gezahlt hat, kommt beim nächsten Mal eher ohne sichtbare Rückfrage durch, weil der Kartenherausgeber diese Historie kennt. Ein Gastkonto ohne Anmeldung liefert diese Historie nicht mit.
Was du selbst steuern kannst
Nicht die Entscheidung, aber die Rahmenbedingungen. Kündige den Freigabeschritt im Bestellablauf an, damit niemand ihn für einen Fehler hält. Baue einen zweiten Versuch ein, ohne dass der Warenkorb verloren geht. Und sieh dir die Bestellungen gesondert an, die über eine Ausnahme ohne Freigabe gelaufen sind: Dort liegt das Risiko wieder bei dir.
Wo wir aufhören
Ob eine konkrete Rückbelastung zu Recht erfolgt ist und wie du dich dagegen wehrst, hängt vom Einzelfall, von deinem Vertrag und von den Regeln des jeweiligen Kartensystems ab. Das klärst du mit deinem Acquirer und, wenn es um Ansprüche geht, mit deiner Rechtsberatung.
