Der Schriftzug INAGRO GmbH steht neben einem türkisblauen und dunkelblauen Markenzeichen auf weißem Hintergrund.
Projekt starten
Wissensdatenbank · Zahlungssysteme & FinTech

3D Secure 2

der EMVCo-Standard zur starken Authentifizierung bei Online-Kartenzahlung — Frictionless oder Challenge, risikobasiert.

Dieser Artikel wurde mithilfe künstlicher Intelligenz erstellt und redaktionell geprüft.

10 Min. Lesezeit
Aktualisiert · Juni 2026
Fachartikel · Expertenbeitrag
Erstgespräch buchen Übersicht ansehen
3D Secure 2
INAGRO Wissensdatenbank · 46 Zahlungssysteme & FinTech
Typ
Konzept / Standard
Kern
Authentifizierung bei Online-Kartenzahlung
Standard
EMVCo (3-D Secure 2)
Marken
Visa Secure, Mastercard Identity Check
Flows
Frictionless & Challenge (risikobasiert)
DACH-Fokus
SCA-Umsetzung, Conversion-Balance
INAGRO Eignung KMU
★★★★★
Kapitel 01 · Überblick

Was ist 3D Secure 2 – und warum ist es relevant?

3D Secure 2 (3DS2) ist der von EMVCo entwickelte Standard zur Authentifizierung bei Online-Kartenzahlungen — die technische Grundlage, um die SCA-Pflicht aus PSD2 bei Kreditkartenzahlungen zu erfüllen. Die Kartenmarken setzen ihn unter eigenen Namen um: Visa Secure (vormals Verified by Visa) und Mastercard Identity Check. Anders als der Vorgänger 3DS1 nutzt 3DS2 Risk-Based-Authentication: Der Issuer bewertet zahlreiche Datenpunkte und entscheidet zwischen Frictionless Flow (unauffällige Freigabe ohne aktive Eingabe) und Challenge Flow (aktive Authentifizierung, z. B. per Banking-App).

Für den DACH-Mittelstand ist 3DS2 der Schlüssel, SCA-Compliance und Conversion zu vereinbaren: Je mehr Transaktionen frictionless durchlaufen, desto weniger Abbrüche. Gleichzeitig kann eine erfolgreiche 3DS2-Authentifizierung die Haftung bei Betrug auf den Issuer verlagern (Liability Shift). 3DS2 übermittelt mehr Kontextdaten als 3DS1, was die risikobasierte Entscheidung verbessert. In der Praxis wird 3DS2 über den PSP bereitgestellt und mit dessen Risk-/Exemption-Engine kombiniert. INAGRO empfiehlt, 3DS2 sauber zu integrieren, den Frictionless-Anteil zu maximieren und mit PSD2-Ausnahmen (TRA/MIT) abzustimmen. Konkrete regulatorische Fragen sind mit Fachleuten zu klären.
INAGRO-Einschätzung
Der zentrale Punkt: 3D Secure 2 (EMVCo) ist der Standard zur SCA-konformen Authentifizierung bei Online-Kartenzahlung — als Visa Secure und Mastercard Identity Check. Risk-Based-Authentication entscheidet zwischen Frictionless Flow (keine aktive Eingabe) und Challenge Flow. Erfolgreiche Authentifizierung kann die Betrugshaftung auf den Issuer verlagern.

Warum 3D Secure 2 2026 relevant ist

  • SCA-konforme Karten-Authentifizierung
  • EMVCo-Standard (Visa/Mastercard)
  • Frictionless Flow (wenig Friktion)
  • Risk-Based-Authentication
  • Liability Shift möglich
  • Mehr Kontextdaten als 3DS1

Die wichtigsten Anwendungsfälle im DACH-Markt

  1. SCA bei Online-Kartenzahlung
  2. Conversion-schonende Frictionless-Freigabe
  3. Betrugsprävention im Checkout
  4. Liability Shift nutzen
  5. Abstimmung mit PSD2-Ausnahmen
Kapitel 02 · Editionen & Zugang

Editionen & Zugangs-Wege verstehen

Die wichtigsten Bezugswege und Editionen von 3D Secure 2 im Überblick.

Zugangs-Weg Preis-Modell Inklusive Zielgruppe
3DS2-Konzept kostenlos Standard verstehen Geschäftsführung/E-Commerce
3DS2 (über PSP) inkl./Transaktion SCA bei Karten umsetzen IT/E-Commerce
Risk-Based-Authentication PSP-Funktion Frictionless steuern Risk/PSP
Lizenz- & Verfügbarkeits-Hinweis
Wichtiger Hinweis: Zahlungs-/FinTech-Themen sind keine Rechtsberatung — regulatorische Anforderungen (PSD2/PSD3, Verbraucherkredit, Lizenzpflichten) sind im Einzelfall mit Fachjurist:innen / der BaFin-Perspektive zu klären. Bei Tools/Dienstleistern: Lizenzstatus, Verarbeitungsort/EU-Hosting, AVV und Datenhoheit prüfen.
Kapitel 03 · Eignung

Wer nutzt 3D Secure 2 – und wer besser nicht?

3D Secure 2 passt gut zu:

  • Online-Händler (Kartenzahlung)
  • Conversion-Optimierung mit SCA
  • Betrugsanfällige Branchen
  • Internationale Kartenakzeptanz

3D Secure 2 passt schlecht zu:

  • Kartenzahlung spielt keine Rolle
  • 3DS2 ohne PSP/Risk-Engine
  • Frictionless-Potenzial ignorieren
  • —

Frictionless vs. Challenge Flow

Aspekt Frictionless Challenge
Kundenaktion Keine Aktive Authentifizierung
Friktion Sehr gering Höher
Auslöser Risikoarm (RBA) Risiko/Issuer-Vorgabe
Conversion Besser Abbruchrisiko
Einordnung
Einordnung: 3DS2 entscheidet risikobasiert (RBA): Bei risikoarmen Transaktionen läuft der Frictionless Flow (keine Kundenaktion, beste Conversion), nur bei Bedarf der Challenge Flow (aktive Authentifizierung). Ziel ist ein hoher Frictionless-Anteil — gesteuert durch Datenqualität und PSP-/Risk-Konfiguration. Beide Flows erfüllen SCA; die Balance entscheidet über Umsatz.
Kapitel 04 · Funktionen

Funktionen & was 3D Secure 2 konkret kann

Kern-Fähigkeiten

  • 3DS2-Authentifizierung (EMVCo)
  • Visa Secure / Mastercard Identity Check
  • Frictionless Flow
  • Challenge Flow
  • Risk-Based-Authentication (RBA)
  • Liability Shift / Haftungsverlagerung

Charakter & Stärken im Kontext

Der Charakter ist standardisierte, risikobasierte Karten-Authentifizierung. Im DACH-Kontext ist 3DS2 das Werkzeug, um die SCA-Pflicht bei Online-Kartenzahlung zu erfüllen und zugleich Conversion zu schützen — über Frictionless Flow (keine aktive Eingabe) statt Challenge, gesteuert durch Risk-Based-Authentication. Umgesetzt als Visa Secure / Mastercard Identity Check, bereitgestellt über den PSP und abgestimmt mit PSD2-Ausnahmen (TRA/MIT). Erfolgreiche Authentifizierung kann die Betrugshaftung auf den Issuer verlagern (Liability Shift). Konkrete regulatorische Fragen mit Fachleuten klären.
Charakter im Kontext
Charakter im Kontext: 3DS2 ist der EMVCo-Standard, der SCA bei Karten umsetzt und über Frictionless/Challenge die Balance aus Sicherheit und Conversion steuert. Ein hoher Frictionless-Anteil und der Liability Shift sind die zentralen Hebel — bereitgestellt über den PSP.
Kapitel 05 · Preise

Preise & Kosten realistisch kalkulieren

Die typischen Kostendimensionen von 3D Secure 2 für deutsche Unternehmen.

  • 3DS2-Konzept: kostenlos
  • 3DS2 (über PSP): inkl./Transaktion
  • Risk-Based-Authentication: PSP-Funktion
  • Spart Betrug & Abbrüche (Nutzen)
  • Liability Shift als Vorteil
Kosten-Hinweis
Kosten-Hinweis: Das Konzept ist kostenlos; 3DS2 wird über den PSP bereitgestellt (oft inklusive bzw. je Transaktion). Der Nutzen ist doppelt: SCA-Compliance plus möglicher Liability Shift (weniger Betrugshaftung) und — bei hohem Frictionless-Anteil — geringere Abbrüche. Wirtschaftlich zählt die Optimierung der Frictionless-Quote.
Kapitel 06 · Umsetzung

Implementierung & Einführung im Unternehmen

Typischer Einführungs-Pfad

01
Use-Case- & Prozess-Analyse
Welche Prozesse, Abteilungen, Volumina und Systeme sind betroffen? Eignung, Datenschutz-Anforderung und Erfolgskriterien für 3D Secure 2 definieren.
02
Pilot & Proof of Concept
3D Secure 2 an einem klar abgegrenzten Prozess testen, Stabilität und Wartbarkeit messen, Berechtigungen und Datenquellen prüfen.
03
Rollout & Center of Excellence
Schrittweiser Rollout, Aufbau von Betriebs-/CoE-Strukturen, Schulung sowie Governance für Zugriffe, Credentials und Aufbewahrung.
04
Betrieb & Skalierung
Stabilität und ROI monitoren, weitere Prozesse erschließen und die Lösung bei Änderungen der Zielsysteme zuverlässig warten.
DSGVO- & Governance-Setup

Wesentliche Datenschutz- und Governance-Punkte, die bei der Einführung sauber aufgesetzt werden müssen:

Datenstandort & Hosting
prüfen (EU-Region bzw. Self-Hosting) und vertraglich festhalten
Auftragsverarbeitungsvertrag (AVV)
mit dem Anbieter abschließen
Berechtigungs-Konzept
nur auf notwendige Systeme und Daten berechtigen
Protokollierung & Audit-Trail
für nachvollziehbare, revisionssichere Abläufe
Sensible Daten
(Personal-, Finanz-, Gesundheitsdaten) klassifizieren und Zugriffe einschränken
Governance
für Lebenszyklus, Credentials-Verwaltung und Aufbewahrung etablieren
Praxis-Hinweis
Praxis-Hinweis: 3DS2 sauber über den PSP integrieren, viele Kontextdaten übermitteln und die Risk-Based-Authentication so konfigurieren, dass der Frictionless-Anteil maximiert wird. Mit PSD2-Ausnahmen (TRA/MIT) abstimmen und den Liability Shift nutzen. Konkrete regulatorische Fragen mit Fachleuten klären. Keine Rechtsberatung.
Kapitel 07 · Ökosystem

Integrationen & Ökosystem

Standard

  • EMVCo 3DS2
  • Visa Secure/Mastercard Identity Check

Steuerung

  • Risk-Based-Authentication
  • Frictionless/Challenge
Ökosystem-Hinweis
Ökosystem-Hinweis: 3D Secure 2 (Cluster A) ist die technische Umsetzung von PSD2 & SCA bei Karten; es wird über PSPs (Stripe/Adyen/Computop u. a.) bereitgestellt und verbindet sich mit Chargeback-Management und Payment-Methoden im DACH.
Kapitel 08 · Bewertung

INAGRO-Praxisbewertung & typische Fallstricke

Die häufigsten Fehler bei 3D Secure 2 im DACH

Fehler 1: Frictionless-Potenzial ignorieren Lösung: RBA/Datenqualität optimieren.
Fehler 2: 3DS2 ohne PSP/Risk-Engine Lösung: Über PSP mit RBA umsetzen.
Fehler 3: Liability Shift nicht nutzen Lösung: Erfolgreiche 3DS2-Auth einsetzen.
Fehler 4: Wenig Kontextdaten senden Lösung: Mehr Datenpunkte übermitteln.
Fehler 5: PSD2-Ausnahmen nicht abstimmen Lösung: Mit TRA/MIT koordinieren.
Stärken
  • SCA-konforme Karten-Authentifizierung
  • EMVCo-Standard (Visa/Mastercard)
  • Frictionless Flow schont Conversion
  • Risk-Based-Authentication
  • Liability Shift möglich
  • Über PSP bereitgestellt
Einschränkungen
  • Challenge Flow = Abbruchrisiko
  • Abhängig von Issuer-Entscheidung
  • PSP-/Konfigurationsabhängigkeit
  • Datenqualität bestimmt Frictionless-Quote
  • Nur für Kartenzahlung
  • Konkrete Regulatorik mit Fachleuten
Realistische Empfehlung

3D Secure 2 ist kein Selbstzweck — die Wahl folgt Use-Case, vorhandenem Stack/Bestand und der Verfügbarkeit von Fachkräften. Im Zweifel herstellerneutral prüfen, was wirklich zum Ziel passt.

Kapitel 09 · Häufige Fragen

Häufig gestellte Fragen zu 3D Secure 2

Was ist 3D Secure 2?
Der von EMVCo entwickelte Standard zur Authentifizierung bei Online-Kartenzahlungen — die technische Grundlage, um die SCA-Pflicht aus PSD2 bei Kreditkartenzahlungen zu erfüllen. Die Kartenmarken setzen ihn als Visa Secure und Mastercard Identity Check um. 3DS2 arbeitet risikobasiert und entscheidet zwischen Frictionless und Challenge Flow.
Was ist der Unterschied zwischen Frictionless und Challenge Flow?
Im Frictionless Flow gibt der Issuer die Zahlung risikobasiert ohne aktive Kundenaktion frei (beste Conversion). Im Challenge Flow ist eine aktive Authentifizierung nötig (z. B. per Banking-App), was bei Risiko oder Issuer-Vorgabe greift. Beide erfüllen SCA; ein hoher Frictionless-Anteil ist das Ziel.
Was ist der Liability Shift?
Bei erfolgreicher 3DS2-Authentifizierung kann die Haftung für betrügerische Transaktionen vom Händler auf den Issuer (kartenausgebende Bank) übergehen. Das reduziert das Chargeback-/Betrugsrisiko des Händlers — ein wichtiger wirtschaftlicher Vorteil von 3DS2.
Wie wird 3D Secure 2 integriert?
In der Regel über den Payment Service Provider (PSP), der 3DS2 bereitstellt und mit seiner Risk-Based-Authentication kombiniert. Wichtig sind viele übermittelte Kontextdaten und eine Konfiguration, die den Frictionless-Anteil maximiert und mit PSD2-Ausnahmen (TRA/MIT) abgestimmt ist.
Ist 3D Secure 2 Pflicht?
3DS2 ist der etablierte Weg, die SCA-Pflicht (PSD2) bei Online-Kartenzahlungen zu erfüllen. Für SCA-pflichtige Kartenzahlungen ist es praktisch unverzichtbar; Ausnahmen (z. B. TRA) können einzelne Transaktionen befreien. Konkrete Pflichten sind mit Fachleuten zu klären; dies ist keine Rechtsberatung.
Auf dieser Seite
Verwandte Themen
PSD2 & Strong Customer Authentication
Chargeback Management
Payment-Methoden im DACH
Sie überlegen den Einsatz von 3D Secure 2?
In einem 30-minütigen Erstgespräch klären wir Fit, Kosten und Umsetzungs-Pfad – unverbindlich und kostenlos.
Erstgespräch buchen →

Payment-Stack & PSD2-Compliance strategisch angehen

Brauchen Sie eine ehrliche 3D Secure 2-Strategie?

Wir prüfen herstellerunabhängig, ob und wo sich 3D Secure 2 für Ihr Unternehmen rechnet: Eignung, Kosten-/Lizenzstrategie, Governance, Datenschutz-Setup und Umsetzungs-Pfad – pragmatisch auf den Mittelstand zugeschnitten.

Projekt starten
Erstgespräch buchen

Seit 2006 am Markt

Erfahrung aus über 100 Digitalprojekten

DSGVO & Souveränität

Datenschutz von Anfang an mitgedacht

Rückmeldung in 24 h

Schnell, direkt, unverbindlich

Der Schriftzug INAGRO GmbH steht neben einem türkisblauen und dunkelblauen Markenzeichen auf weißem Hintergrund.
Projekt starten