3-D Secure und starke Kundenauthentifizierung

Die Kette hinter einem einzigen Klick

Wer im Bezahlfenster auf den letzten Knopf drückt, löst nicht eine Buchung aus, sondern eine Abfrage. Sie läuft vom Händler über dessen Zahlungsdienstleister in das Netz der Karte und von dort zu Ihrem Herausgeber, und erst dieser entscheidet. Alles, was Sie am Bildschirm sehen, ist das Ergebnis dieser Abfrage – und die Stelle, an der Sie bestätigen, liegt mitten in der Kette.

Das ist mehr als eine technische Feinheit, denn daran hängt, wen man ansprechen muss. Der Händler kann eine Zahlung anfordern, er kann sie nicht genehmigen. Der Dienstleister transportiert, er entscheidet nicht. Das Netz vermittelt und stellt Regeln auf, prüft aber nicht Ihre Identität. Übrig bleibt der Herausgeber Ihrer Karte, und bei ihm liegen beide Entscheidungen: ob Sie es sind und ob gebucht wird.

Diese beiden Entscheidungen werden regelmäßig verwechselt, sind aber getrennt. Die erste heißt Authentifizierung und beantwortet die Frage nach der Person. Die zweite heißt Autorisierung und beantwortet die Frage nach dem Geld – Verfügungsrahmen, gesetzte Grenzen, Händlerkategorie. Eine Zahlung kann an der ersten scheitern, obwohl Deckung bestand, und an der zweiten, obwohl die Bestätigung einwandfrei war.

Für die Fehlersuche ist genau diese Trennung der Schlüssel. Wer sie kennt, formuliert die Frage an den Kundendienst richtig: Lag es an der Bestätigung oder an der Entscheidung über die Buchung? Darauf gibt es eine Antwort, während die allgemeine Frage, warum die Karte nicht funktioniert, in der Regel eine allgemeine Auskunft zurückbringt.

Wie sich die zweite Entscheidung auf die Kosten auswirkt, behandelt die Seite zu Gebühren und fremde Währung. Hier geht es um die erste.

Zwei Faktoren aus drei Arten: die Vorgabe

Grundlage ist die europäische Zahlungsdiensterichtlinie PSD2 mit ihrer Vorgabe zur starken Kundenauthentifizierung. Verlangt werden zwei Faktoren, und zwar nicht zwei beliebige, sondern zwei aus verschiedenen Arten. Zur Wahl stehen drei Arten: Wissen – etwas, das nur Sie kennen; Besitz – etwas, das nur Sie haben; Merkmal – etwas, das Sie sind.

Die Bedingung der Verschiedenheit ist der eigentliche Gehalt der Regel. Ein Kennwort und eine Sicherheitsfrage sind zweimal Wissen und ergeben zusammen keinen zweiten Faktor, weil beides auf demselben Weg abhandenkommt. Ein registriertes Gerät und ein darauf hinterlegter Fingerabdruck sind dagegen Besitz und Merkmal – zwei Arten, zwei verschiedene Angriffswege.

Verlangt wird zudem Unabhängigkeit: Das Scheitern des einen Faktors darf den anderen nicht mitnehmen. Deshalb ist es keine Formalie, ob die Freigabe im selben Programm stattfindet, in dem auch bezahlt wird, und deshalb unterscheiden sich die Verfahren der Institute an dieser Stelle.

Nicht jede Zahlung durchläuft diese Abfrage sichtbar. Es gibt Fälle, in denen das Verfahren im Hintergrund entscheidet, dass eine zusätzliche Abfrage entbehrlich ist, etwa weil Gerät und Verhalten bekannt sind. Aus Ihrer Sicht sieht das aus wie eine übersprungene Bestätigung, ist aber eine Entscheidung Ihres Herausgebers und keine Lücke.

Vorsicht ist bei einer verbreiteten Fehlannahme geboten: Die Kartenprüfnummer auf der Rückseite ist kein zweiter Faktor. Sie steht auf demselben Stück Plastik wie die Nummer und wandert mit ihr zusammen; wer beides hat, hat nicht zwei Arten, sondern eine.

Wo 3-D Secure in dieser Ordnung steht

3-D Secure ist kein eigener Zahlungsweg und keine Zusatzversicherung, sondern das Verfahren, mit dem die oben beschriebene Vorgabe bei Kartenzahlungen im Netz umgesetzt wird. Es organisiert, dass Ihr Herausgeber zwischen Kasse und Autorisierung eine eigene Abfrage einschieben kann – im Verfahren der Netze von Visa und Mastercard unter jeweils eigenem Namen.

Der Ablauf ist immer derselbe. Der Händler meldet, dass eine Zahlung ansteht. Der Herausgeber entscheidet, ob er eine Abfrage stellt. Stellt er sie, erscheint ein Fenster oder eine Mitteilung in der Anwendung Ihres Instituts, in der Betrag und Empfänger stehen. Ihre Bestätigung geht an Ihren Herausgeber zurück, nicht an den Händler, und erst danach läuft die Autorisierung.

Aus diesem Ablauf folgt ein Merkmal, das für die Sicherheit entscheidend ist: Die Abfrage gehört Ihrem Institut. Sie kommt von dort, sie wird dort beantwortet, und der Händler erfährt nur, ob sie erfolgreich war. Deshalb ist der Moment der Abfrage auch der richtige Moment, um Betrag und Empfängernamen zu lesen, statt nur den Knopf zu suchen.

Praktisch unterscheiden sich die Verfahren der Institute in der Bedienung erheblich: Freigabe in der Anwendung, Freigabe über ein Lesegerät, Freigabe über ein zweites registriertes Gerät. Für die Vorgabe ist das gleichgültig, solange zwei Arten beteiligt sind. Für Sie ist es nicht gleichgültig, denn ein Verfahren, das nur auf einem einzigen Gerät funktioniert, fällt mit diesem Gerät aus.

Wer ein Zweitverfahren seines Instituts einrichten kann, sollte es einrichten, bevor es gebraucht wird. Ein verlorenes oder getauschtes Gerät macht sonst aus einer Zahlung eine Angelegenheit von Tagen – und eine ausstehende Gutschrift wartet in dieser Zeit mit, wie die Seite zur Auszahlung auf die Karte zeigt.

Der Token: was beim Händler ankommt

Parallel zur Authentifizierung läuft ein zweiter Mechanismus, der mit der Person nichts zu tun hat, sondern mit der Nummer. Bei der Tokenisierung erhält der Händler nicht die Kartennummer, sondern einen Einmalwert, der für diesen Vorgang erzeugt wird. Die Nummer selbst bleibt in der Kette zwischen Netz und Herausgeber.

Der Nutzen davon ist genau umgrenzt. Wird der Datenbestand eines Händlers später offengelegt, liegt dort kein Material, mit dem sich eine weitere Zahlung auslösen ließe, weil der Wert verbraucht und an den Vorgang gebunden ist. Für die Frage, wie schlimm ein fremder Datenverlust für Sie ist, macht das den Unterschied zwischen einem Ärgernis und einem Schaden.

Genauso wichtig ist, was der Mechanismus nicht leistet, denn hier entstehen falsche Erwartungen. Er macht eine Zahlung nicht namenlos: Ihr Herausgeber weiß, wessen Karte hinter dem Wert steht, und er muss das wissen. Er verhindert nicht, dass der Vorgang in Ihrer Abrechnung auftaucht. Und er sagt nichts darüber, ob der Empfänger diese Zahlung überhaupt annehmen darf.

Beide Mechanismen zusammen ergeben eine saubere Aufteilung der Risiken. Die Authentifizierung schützt davor, dass jemand anderes in Ihrem Namen zahlt. Die Tokenisierung schützt davor, dass eine einmal übermittelte Zahlungsangabe später ein zweites Mal benutzt wird. Wer das eine für das andere hält, überschätzt den einen und unterschätzt den anderen Schutz.

Eine dritte Erwartung geht ebenfalls fehl: Der Einmalwert ändert nichts an den Vorgaben Ihres Herausgebers zu Händlerkategorien, Beträgen oder Ländern. Diese greifen unverändert durch, gleich wie die Nummer übermittelt wurde. Dasselbe gilt für eine eigens angelegte Kartennummer, wie die Seite zu virtuellen Karten ausführt.

Wenn die Bestätigung nicht durchgeht

Scheitert die Abfrage, entsteht keine Autorisierung, und ohne Autorisierung gibt es keine Buchung. Der Betrag bleibt also, wo er ist. Das ist die gute Nachricht an einem Vorgang, der sich am Bildschirm wie ein Verlust anfühlt.

Die Ursachen lassen sich in drei Gruppen ordnen, und sie sind unterschiedlich zu behandeln. Erstens Bedienung und Technik: abgelaufene Frist der Abfrage, kein Empfang für die Mitteilung, ein nicht mehr registriertes Gerät, eine nicht eingerichtete Freigabe. Zweitens die Entscheidung über die Buchung: erreichte Grenzen, gesperrte Händlerkategorien, Vorgaben für Zahlungen ins Ausland. Drittens Vorgaben außerhalb Ihres Instituts, auf die weiter unten eingegangen wird.

Unterscheiden lassen sich die ersten beiden Gruppen an der Stelle des Abbruchs. Erscheint die Abfrage nicht oder bleibt sie unbeantwortet, liegt es an der ersten Gruppe. Erscheint sie, wird bestätigt, und erst danach kommt eine Ablehnung, liegt es an der zweiten. Diese Beobachtung ist wertvoller als jede Fehlermeldung des Händlers, denn der kennt den Grund nicht.

Was man in beiden Fällen nicht tun sollte, ist der naheliegende Reflex: denselben Versuch mehrfach kurz hintereinander wiederholen. Mehrere gescheiterte Vorgänge in kurzer Folge können bei manchen Instituten eine vorsorgliche Sperre auslösen, und dann steht neben dem ursprünglichen Problem ein zweites, das man selbst erzeugt hat.

Der sinnvolle Weg ist kurz: Mitteilungen des Instituts lesen, die eigenen Karteneinstellungen ansehen, und wenn beides nichts ergibt, beim Herausgeber nach dem Grund der Ablehnung fragen – nicht beim Händler, der diesen Grund nicht erfährt.

Haftung: der Unterschied, den eine Authentifizierung macht

Nun zum Punkt, dessentwegen diese Vorgaben überhaupt bestehen. Bei einer Zahlung, die Sie nicht veranlasst haben, ist die Frage nicht nur, ob das Geld zurückkommt, sondern wer das Ausfallrisiko trägt. Und diese Frage wird anders beantwortet, je nachdem, ob eine starke Authentifizierung verlangt wurde oder nicht.

Hat Ihr Zahlungsdienstleister keine starke Authentifizierung verlangt, obwohl sie vorgesehen war, kann er sich nicht darauf berufen, dass die Zahlung freigegeben worden sei – es fehlt der Nachweis, dass Sie beteiligt waren. Wurde sie dagegen durchgeführt, verlagert sich die Betrachtung auf einen anderen Punkt: darauf, wie die beiden Faktoren zustande gekommen sind, also auf den Umgang mit Gerät, Zugangsdaten und Freigaben.

Deshalb ist die Sorgfalt im Umgang mit den Faktoren keine lästige Nebenpflicht, sondern der Kern der Sache. Ein weitergegebenes Kennwort, eine auf einer fremden Seite eingetippte Zugangsnummer, ein Gerät, auf dem mehrere Personen ihre Merkmale hinterlegt haben, oder eine Ersatzfreigabe über eine Kennzahl, die andere kennen – jeder dieser Punkte entwertet einen Faktor, ohne dass das Verfahren es merkt.

Verbindlich beurteilen lässt sich ein Einzelfall nur anhand Ihrer Kartenbedingungen und, wenn es ernst wird, mit rechtlicher Beratung; diese Seite kann die Mechanik erklären und nicht den Fall entscheiden. Was sich allgemein sagen lässt: Eine unverzügliche Meldung an den Herausgeber und die Sperrung der Karte sind in jeder Variante der erste Schritt, und beides sollte vor der Suche nach Erklärungen geschehen.

Nicht gedeckt ist von all dem ein Einwand, der sich auf eine nicht erbrachte Leistung stützt. Ein verlorener Einsatz ist keine ausgebliebene Lieferung. Rückforderungen in diesem Bereich stützen sich auf andere Gründe, etwa darauf, dass Verträge mit Anbietern ohne deutsche Erlaubnis unwirksam sein können – Zivilgerichte haben darüber mehrfach zugunsten von Spielern entschieden, einzelne Fragen liegen beim Bundesgerichtshof.

Echte Abfrage oder Täuschung: vier Merkmale

Weil die Bestätigung der entscheidende Moment ist, wird genau dieser Moment nachgebaut. Vier Merkmale trennen die echte Abfrage von einer Täuschung, und alle vier lassen sich in Sekunden prüfen.

• Sie kommt dorthin, wo Ihr Verfahren liegt. Also in die Anwendung Ihres Instituts oder an das registrierte Gerät – nicht als Nachricht von einer unbekannten Nummer und nicht als Anruf.
• Sie nennt Betrag und Empfänger. Eine Freigabe ohne diese Angaben ist keine, denn sie lässt Sie etwas bestätigen, das Sie nicht kennen.
• Sie fragt nicht nach vollständigen Kartendaten. Ihr Herausgeber kennt Ihre Nummer. Wer sie abfragt, ist nicht Ihr Herausgeber.
• Sie entsteht aus Ihrer Handlung. Eine Abfrage, die eintrifft, ohne dass Sie gerade bezahlen, ist ein Alarmzeichen und wird abgelehnt und gemeldet.

Besonders hartnäckig ist eine Masche, die mit Zeitdruck arbeitet: ein Anruf, angeblich aus der Sicherheitsabteilung, mit der Bitte, eine gerade eingehende Freigabe zu bestätigen, um eine fremde Zahlung abzuwehren. Eine Freigabe wehrt nichts ab – sie löst aus. Kein Institut braucht dafür Ihre Mithilfe am Telefon.

Zur Vorsorge gehört ein zweiter Punkt, der nichts mit Technik zu tun hat: die Abrechnung regelmäßig durchsehen. Eine nicht veranlasste Zahlung fällt dort schneller auf als irgendwo sonst, und die Frist für Einwendungen läuft unabhängig davon, wann Sie hinsehen.

Wer häufiger zahlt, kann sich das Prüfen erleichtern, indem er die Benachrichtigungen seines Instituts für Kartenumsätze einschaltet. Das kostet nichts und ersetzt die Erinnerung daran, was man vorige Woche selbst getan hat.

Was die Authentifizierung nicht prüft

Zum Schluss die Abgrenzung, ohne die der ganze Vorgang falsch eingeschätzt wird. Die Authentifizierung beantwortet eine einzige Frage: Sind Sie es? Sie beantwortet nicht die Frage, ob diese Zahlung stattfinden darf, und sie sagt nichts über den Empfänger.

Darüber liegt eine gesetzliche Ebene. Nach § 9 Abs. 1 Satz 3 Nr. 4 GlüStV 2021 kann die Aufsicht den am Zahlungsverkehr Beteiligten die Mitwirkung an Zahlungen für ein nicht erlaubtes Angebot untersagen, und Zahlungsdienstleister dürfen an unerlaubtem Glücksspiel ohnehin nicht mitwirken. Eine Zahlung kann daher an einer tadellos bestätigten Abfrage vorbei abgelehnt werden – nicht weil an Ihnen etwas zweifelhaft wäre, sondern weil der Empfänger für diesen Markt nicht zugelassen ist.

Diese Beobachtung ist diagnostisch brauchbar. Scheitern Zahlungen an einen bestimmten Empfänger über mehrere Karten verschiedener Institute hinweg, obwohl die Bestätigung jeweils durchläuft, ist das weniger ein Kartenproblem als ein Hinweis auf die Erlaubnislage. Nachsehen lässt sich das in der Whitelist der Gemeinsamen Glücksspielbehörde der Länder, und zwar nach dem Firmennamen aus der Anbieterkennzeichnung statt nach dem Markennamen. Die Teilnahme an unerlaubtem Glücksspiel ist nach § 285 StGB strafbar.

Ebenfalls nicht Sache der Authentifizierung ist die Höhe dessen, was insgesamt eingezahlt wird. Dafür gibt es ein eigenes System: die anbieterübergreifende Monatsgrenze aus § 6c GlüStV 2021, im Regelfall eintausend Euro, abweichend nur im Einzelfall nach Prüfung der wirtschaftlichen Leistungsfähigkeit, geführt in der Limitdatei von LUGAS. Maßstab ist dort die Person, nicht die Karte und nicht das Gerät.

Bleibt der Hinweis, der an jede Geldseite dieses Themas gehört: Teilnehmen dürfen allein Volljährige, und Glücksspiel trägt ein Suchtrisiko. Werkzeuge zur Begrenzung – eigene Grenzen, Pausen, die Sperrdatei OASIS, deren Eintrag frühestens nach drei Monaten und nur auf Antrag endet – nennt die Seite Verantwortungsvolles Spielen. Die Bundeszentrale für gesundheitliche Aufklärung berät gebührenfrei unter 0800 1 37 27 00.