Der Schriftzug INAGRO GmbH steht neben einem türkisblauen und dunkelblauen Markenzeichen auf weißem Hintergrund.
Projekt starten
Wissensdatenbank · Zahlungssysteme & FinTech

PSD2 & Strong Customer Authentication

die starke Kundenauthentifizierung (SCA) unter PSD2 — Zwei-Faktor-Pflicht, 3D Secure 2, TRA und Merchant Initiated Transactions.

Dieser Artikel wurde mithilfe künstlicher Intelligenz erstellt und redaktionell geprüft.

11 Min. Lesezeit
Aktualisiert · Juni 2026
Fachartikel · Expertenbeitrag
Erstgespräch buchen Übersicht ansehen
PSD2 & Strong Customer Authentication
INAGRO Wissensdatenbank · 46 Zahlungssysteme & FinTech
Typ
Konzept / EU-Regulierung
Kern
Starke Kundenauthentifizierung (SCA)
Prinzip
2 von 3: Wissen, Besitz, Inhärenz
Umsetzung
3D Secure 2 bei Kartenzahlung
Ausnahmen
TRA, Niedrigbeträge, MIT
DACH-Fokus
BaFin-Aufsicht, Conversion-Balance
INAGRO Eignung KMU
★★★★★
Kapitel 01 · Überblick

Was ist PSD2 & Strong Customer Authentication – und warum ist es relevant?

Strong Customer Authentication (SCA) ist die unter PSD2 vorgeschriebene starke Kundenauthentifizierung für elektronische Zahlungen. Sie verlangt grundsätzlich eine Zwei-Faktor-Authentifizierung mit mindestens zwei von drei unabhängigen Faktoren: Wissen (z. B. Passwort/PIN), Besitz (z. B. Smartphone/Karte) und Inhärenz (z. B. Fingerabdruck/Gesicht). Ziel ist, Betrug zu reduzieren. Bei Kartenzahlungen im Internet wird SCA technisch über 3D Secure 2 umgesetzt; für Konto-/Zahlungsauslösung greifen die SCA-Mechanismen der Bank.

Für den DACH-Mittelstand ist SCA ein Spagat zwischen Sicherheit und Conversion: Jede zusätzliche Authentifizierungs-Hürde kann Käufe abbrechen lassen. Deshalb sieht PSD2 Ausnahmen vor: Transaction Risk Analysis (TRA) (risikoarme Transaktionen ohne SCA), Niedrigbetrags-Ausnahmen, vertrauenswürdige Empfänger und Merchant Initiated Transactions (MIT) (vom Händler ausgelöste Folge-/Abo-Zahlungen). 3D Secure 2 unterstützt zudem Frictionless Flow (unauffällige Prüfung) statt Challenge. INAGRO empfiehlt, SCA korrekt umzusetzen und Ausnahmen gezielt zu nutzen, um Friktion zu minimieren — meist über den PSP gesteuert. Keine Rechtsberatung — regulatorische Anforderungen (PSD2/PSD3, Verbraucherkredit, Lizenzpflichten) sind im Einzelfall mit Fachjurist:innen / der BaFin-Perspektive zu klären.
INAGRO-Einschätzung
Der zentrale Punkt: SCA (PSD2) verlangt Zwei-Faktor-Authentifizierung (2 von 3: Wissen/Besitz/Inhärenz). Bei Karten erfolgt sie über 3D Secure 2. Ausnahmen wie TRA (Risikoanalyse), Niedrigbeträge und MIT (Händler-initiierte Zahlungen) reduzieren Friktion. SCA ist ein Spagat zwischen Sicherheit und Conversion — meist über den PSP gesteuert.

Warum PSD2 & Strong Customer Authentication 2026 relevant ist

  • Betrugsreduktion durch 2-Faktor
  • 3D Secure 2 (Kartenstandard)
  • Frictionless Flow möglich
  • TRA-Ausnahme (Risikoanalyse)
  • MIT für Abo-/Folgezahlungen
  • EU-weit einheitlicher Rahmen

Die wichtigsten Anwendungsfälle im DACH-Markt

  1. SCA bei Kartenzahlung (3DS2)
  2. Conversion-schonende Ausnahmen (TRA)
  3. Abo-/Folgezahlungen (MIT)
  4. Niedrigbetrags-Ausnahmen
  5. Betrugsprävention im Checkout
Kapitel 02 · Editionen & Zugang

Editionen & Zugangs-Wege verstehen

Die wichtigsten Bezugswege und Editionen von PSD2 & Strong Customer Authentication im Überblick.

Zugangs-Weg Preis-Modell Inklusive Zielgruppe
SCA-Konzept/Strategie kostenlos Authentifizierungs-Pflichten verstehen Geschäftsführung/Compliance
3D Secure 2 (Integration) PSP/Abo SCA bei Karten umsetzen IT/E-Commerce
Ausnahmen (TRA/MIT) Konfiguration Friktion reduzieren Risk/PSP
Lizenz- & Verfügbarkeits-Hinweis
Wichtiger Hinweis: Zahlungs-/FinTech-Themen sind keine Rechtsberatung — regulatorische Anforderungen (PSD2/PSD3, Verbraucherkredit, Lizenzpflichten) sind im Einzelfall mit Fachjurist:innen / der BaFin-Perspektive zu klären. Bei Tools/Dienstleistern: Lizenzstatus, Verarbeitungsort/EU-Hosting, AVV und Datenhoheit prüfen.
Kapitel 03 · Eignung

Wer nutzt PSD2 & Strong Customer Authentication – und wer besser nicht?

PSD2 & Strong Customer Authentication passt gut zu:

  • Online-Händler (Kartenzahlung)
  • Abo-/Subscription-Anbieter
  • Betrugsanfällige Branchen
  • Conversion-Optimierung mit Compliance

PSD2 & Strong Customer Authentication passt schlecht zu:

  • SCA als reine Pflicht abhaken
  • Ausnahmen ungenutzt lassen (Friktion)
  • Ohne PSP-Steuerung umsetzen
  • —

SCA: Pflicht vs. Ausnahmen

Aspekt SCA-Pflicht Ausnahme (z. B. TRA/MIT)
Auslöser Standard-Zahlung Risikoarm/Händler-initiiert
Friktion Höher (Challenge) Geringer/keine
Beispiel 3DS2-Challenge TRA, MIT, Niedrigbetrag
Verantwortung Sicherheit Risiko/Haftung beachten
Einordnung
Einordnung: SCA ist Pflicht, doch PSD2 erlaubt gezielte Ausnahmen (TRA bei risikoarmen Transaktionen, Niedrigbeträge, vertrauenswürdige Empfänger, MIT für Abo-/Folgezahlungen), die Friktion und Abbrüche reduzieren. Wer Ausnahmen nutzt, trägt ggf. mehr Haftungsrisiko — die Balance steuert meist der PSP. Frictionless Flow in 3DS2 prüft unauffällig, Challenge nur bei Bedarf.
Kapitel 04 · Funktionen

Funktionen & was PSD2 & Strong Customer Authentication konkret kann

Kern-Fähigkeiten

  • Zwei-Faktor-Authentifizierung (2 von 3)
  • 3D Secure 2 (Karten-SCA)
  • Frictionless vs. Challenge Flow
  • Transaction Risk Analysis (TRA)
  • Merchant Initiated Transactions (MIT)
  • Ausnahme-/Exemption-Management

Charakter & Stärken im Kontext

Der Charakter ist regulatorische Authentifizierungs-Pflicht mit Conversion-Hebeln. Im DACH-Kontext bedeutet SCA: Zwei-Faktor (Wissen/Besitz/Inhärenz) bei elektronischen Zahlungen, bei Karten über 3D Secure 2. Entscheidend ist, die Ausnahmen (TRA, Niedrigbeträge, MIT) und den Frictionless Flow gezielt zu nutzen, um Abbrüche zu vermeiden — typischerweise über den PSP gesteuert. Wer Ausnahmen nutzt, sollte Haftungs-/Risikofolgen kennen. Keine Rechtsberatung — regulatorische Anforderungen (PSD2/PSD3, Verbraucherkredit, Lizenzpflichten) sind im Einzelfall mit Fachjurist:innen / der BaFin-Perspektive zu klären.
Charakter im Kontext
Charakter im Kontext: SCA ist die PSD2-Authentifizierungspflicht (2-Faktor, 3DS2) mit eingebauten Conversion-Hebeln (TRA, MIT, Frictionless). Richtig konfiguriert maximiert sie Sicherheit bei minimaler Friktion — die Steuerung läuft meist über den PSP.
Kapitel 05 · Preise

Preise & Kosten realistisch kalkulieren

Die typischen Kostendimensionen von PSD2 & Strong Customer Authentication für deutsche Unternehmen.

  • SCA-Konzept/Strategie: kostenlos
  • 3D Secure 2 (über PSP): inkl./Transaktion
  • TRA/Exemption-Engine: PSP-Funktion
  • Spart Betrug & Abbrüche (Nutzen)
  • Haftungsverteilung beachten
Kosten-Hinweis
Kosten-Hinweis: Das Konzept ist kostenlos; die Umsetzung erfolgt meist über den PSP (3DS2 oft inklusive, Exemption-/Risk-Engines als Funktion). Der Nutzen ist doppelt: weniger Betrug (SCA) und weniger Abbrüche (Ausnahmen/Frictionless). Wirtschaftlich zählt die Balance — zu viel Friktion kostet Umsatz, zu viele Ausnahmen ggf. Haftung.
Kapitel 06 · Umsetzung

Implementierung & Einführung im Unternehmen

Typischer Einführungs-Pfad

01
Use-Case- & Prozess-Analyse
Welche Prozesse, Abteilungen, Volumina und Systeme sind betroffen? Eignung, Datenschutz-Anforderung und Erfolgskriterien für PSD2 & Strong Customer Authentication definieren.
02
Pilot & Proof of Concept
PSD2 & Strong Customer Authentication an einem klar abgegrenzten Prozess testen, Stabilität und Wartbarkeit messen, Berechtigungen und Datenquellen prüfen.
03
Rollout & Center of Excellence
Schrittweiser Rollout, Aufbau von Betriebs-/CoE-Strukturen, Schulung sowie Governance für Zugriffe, Credentials und Aufbewahrung.
04
Betrieb & Skalierung
Stabilität und ROI monitoren, weitere Prozesse erschließen und die Lösung bei Änderungen der Zielsysteme zuverlässig warten.
DSGVO- & Governance-Setup

Wesentliche Datenschutz- und Governance-Punkte, die bei der Einführung sauber aufgesetzt werden müssen:

Datenstandort & Hosting
prüfen (EU-Region bzw. Self-Hosting) und vertraglich festhalten
Auftragsverarbeitungsvertrag (AVV)
mit dem Anbieter abschließen
Berechtigungs-Konzept
nur auf notwendige Systeme und Daten berechtigen
Protokollierung & Audit-Trail
für nachvollziehbare, revisionssichere Abläufe
Sensible Daten
(Personal-, Finanz-, Gesundheitsdaten) klassifizieren und Zugriffe einschränken
Governance
für Lebenszyklus, Credentials-Verwaltung und Aufbewahrung etablieren
Praxis-Hinweis
Praxis-Hinweis: SCA korrekt umsetzen (3D Secure 2 bei Karten) und Ausnahmen gezielt nutzen (TRA, Niedrigbeträge, MIT für Abos), um Friktion zu senken — meist über den PSP konfiguriert. Frictionless Flow priorisieren, Haftungs-/Risikofolgen der Exemptions kennen. Keine Rechtsberatung.
Kapitel 07 · Ökosystem

Integrationen & Ökosystem

Authentifizierung

  • 3D Secure 2
  • Frictionless/Challenge

Ausnahmen

  • TRA/Niedrigbetrag
  • MIT (Abo/Folge)
Ökosystem-Hinweis
Ökosystem-Hinweis: PSD2 & SCA (Cluster A) wird über 3D Secure 2 und PSPs (Stripe/Adyen/Computop u. a.) umgesetzt; es verbindet sich mit Open Banking, Payment-Methoden im DACH und Chargeback-/Betrugsmanagement.
Kapitel 08 · Bewertung

INAGRO-Praxisbewertung & typische Fallstricke

Die häufigsten Fehler bei PSD2 & Strong Customer Authentication im DACH

Fehler 1: SCA als reine Pflicht behandeln Lösung: Conversion-Hebel (TRA/MIT) nutzen.
Fehler 2: Ausnahmen ungenutzt lassen Lösung: Exemption-Engine konfigurieren.
Fehler 3: Frictionless Flow ignorieren Lösung: 3DS2 frictionless priorisieren.
Fehler 4: MIT für Abos vergessen Lösung: Folgezahlungen als MIT kennzeichnen.
Fehler 5: Haftungsfolgen übersehen Lösung: Risiko der Exemptions kennen.
Stärken
  • Betrugsreduktion (2-Faktor)
  • 3D Secure 2 als Standard
  • Frictionless Flow möglich
  • TRA/MIT senken Friktion
  • EU-weit einheitlich
  • Über PSP steuerbar
Einschränkungen
  • Zusätzliche Checkout-Friktion
  • Conversion-Risiko bei Challenge
  • Exemptions = Haftungsabwägung
  • Konfigurations-/PSP-Abhängigkeit
  • Komplexe Regeln
  • Keine Rechtsberatung ersetzt
Realistische Empfehlung

PSD2 & Strong Customer Authentication ist kein Selbstzweck — die Wahl folgt Use-Case, vorhandenem Stack/Bestand und der Verfügbarkeit von Fachkräften. Im Zweifel herstellerneutral prüfen, was wirklich zum Ziel passt.

Kapitel 09 · Häufige Fragen

Häufig gestellte Fragen zu PSD2 & Strong Customer Authentication

Was ist SCA (Strong Customer Authentication)?
Die unter PSD2 vorgeschriebene starke Kundenauthentifizierung für elektronische Zahlungen. Sie verlangt grundsätzlich eine Zwei-Faktor-Authentifizierung mit mindestens zwei von drei unabhängigen Faktoren: Wissen (Passwort/PIN), Besitz (Smartphone/Karte) und Inhärenz (Fingerabdruck/Gesicht). Ziel ist die Reduktion von Zahlungsbetrug.
Wie wird SCA bei Kartenzahlungen umgesetzt?
Bei Online-Kartenzahlungen technisch über 3D Secure 2 (3DS2). Dieses unterstützt einen Frictionless Flow (unauffällige Risikoprüfung ohne aktive Eingabe) und — bei Bedarf — einen Challenge Flow (aktive Authentifizierung, z. B. per App). So bleibt die Sicherheit hoch und die Friktion möglichst gering.
Welche Ausnahmen von der SCA-Pflicht gibt es?
PSD2 erlaubt u. a. Transaction Risk Analysis (TRA, risikoarme Transaktionen), Niedrigbetrags-Ausnahmen, vertrauenswürdige Empfänger und Merchant Initiated Transactions (MIT, vom Händler ausgelöste Folge-/Abo-Zahlungen). Ausnahmen reduzieren Friktion, können aber die Haftungsverteilung verändern.
Was sind Merchant Initiated Transactions (MIT)?
Zahlungen, die der Händler ohne aktive Beteiligung der Kund:innen auslöst — typisch bei Abonnements, Ratenzahlungen oder nachgelagerten Belastungen. MIT benötigen keine erneute SCA, sofern sie korrekt als solche gekennzeichnet und mit Erst-Mandat/SCA legitimiert wurden.
Wie balanciere ich SCA und Conversion?
Indem SCA korrekt umgesetzt (3DS2) und Ausnahmen (TRA, Niedrigbeträge, MIT) sowie der Frictionless Flow gezielt genutzt werden — meist über den PSP gesteuert. Zu viel Friktion kostet Conversion, zu viele Ausnahmen ggf. Haftung. Konkrete Pflichten mit Fachjurist:innen / der BaFin-Perspektive klären. Keine Rechtsberatung.
Auf dieser Seite
Verwandte Themen
Open Banking & PSD2
3D Secure 2
Chargeback Management
Sie überlegen den Einsatz von PSD2 & Strong Customer Authentication?
In einem 30-minütigen Erstgespräch klären wir Fit, Kosten und Umsetzungs-Pfad – unverbindlich und kostenlos.
Erstgespräch buchen →

Payment-Stack & PSD2-Compliance strategisch angehen

Brauchen Sie eine ehrliche PSD2 & Strong Customer Authentication-Strategie?

Wir prüfen herstellerunabhängig, ob und wo sich PSD2 & Strong Customer Authentication für Ihr Unternehmen rechnet: Eignung, Kosten-/Lizenzstrategie, Governance, Datenschutz-Setup und Umsetzungs-Pfad – pragmatisch auf den Mittelstand zugeschnitten.

Projekt starten
Erstgespräch buchen

Seit 2006 am Markt

Erfahrung aus über 100 Digitalprojekten

DSGVO & Souveränität

Datenschutz von Anfang an mitgedacht

Rückmeldung in 24 h

Schnell, direkt, unverbindlich

Der Schriftzug INAGRO GmbH steht neben einem türkisblauen und dunkelblauen Markenzeichen auf weißem Hintergrund.
Projekt starten