SCA (starke Kundenauthentifizierung)
Kurz gesagt
Starke Kundenauthentifizierung (SCA) heißt, dass der Zahlungsdienstleister einen elektronischen Zahlungsvorgang mit zwei unabhängigen Elementen prüft, etwa Karte und PIN (Art. 97 der Richtlinie (EU) 2015/2366, PSD2). Bei Kartenzahlungen ist sie der Regelfall; kontaktlos gilt nach Art. 11 der Delegierten Verordnung (EU) 2018/389 eine Ausnahme mit Grenzen von 50 Euro je Zahlung sowie 150 Euro oder fünf Vorgängen. Die Sicherheitsmaßnahmen gelten in Deutschland und Österreich seit dem 14. September 2019, in der Schweiz nicht.
Das Wichtigste
- Die SCA verlangt zwei Elemente aus Wissen, Besitz und Inhärenz, die unabhängig voneinander sind (Art. 4 Nr. 30 PSD2).
- Verlangen muss sie der Zahlungsdienstleister, nicht der Händler: § 55 Abs. 1 Satz 1 Nr. 2 ZAG in Deutschland, § 87 Abs. 1 Z 2 ZaDiG 2018 in Österreich.
- Ausnahme kontaktlos: 50 Euro je Zahlung, 150 Euro oder fünf Vorgänge seit der letzten Authentifizierung (Art. 11 RTS).
- Die Zahlungsausnahmen der Tabelle sind Kann-Regeln; Art. 11 und 12 RTS gelten nur unter Einhaltung der Anforderungen des Art. 2 RTS. Keine Kann-Regel ist Art. 10a Abs. 1 RTS: Beschränkt sich der Zugriff über einen Kontoinformationsdienstleister auf Kontostand oder Vorgänge der letzten 90 Tage, ohne dass sensible Zahlungsdaten offengelegt werden, dürfen Zahlungsdienstleister in Deutschland und Österreich keine starke Kundenauthentifizierung verlangen; Abs. 2 verlangt sie beim ersten Zugriff und dann, wenn seit dem letzten Zugriff auf diese Vorgänge mehr als 180 Tage verstrichen sind und dabei eine starke Kundenauthentifizierung verlangt wurde; Abs. 3 gestattet sie bei sachlich gerechtfertigten und hinreichend nachgewiesenen Gründen für einen nicht autorisierten oder betrügerischen Zugriff, verpflichtet dazu aber nicht.
- Die Sicherheitsmaßnahmen nach Art. 97 PSD2 gelten seit dem 14. September 2019 (Art. 115 Abs. 4 PSD2, Art. 38 Abs. 2 RTS), in Deutschland und Österreich; in der Schweiz gilt die Richtlinie nicht.
Definition
Starke Kundenauthentifizierung (englisch strong customer authentication, SCA) ist die Authentifizierung eines Zahlers mit mindestens zwei voneinander unabhängigen Elementen aus den Kategorien Wissen, Besitz und Inhärenz (Art. 4 Nr. 30 der Richtlinie (EU) 2015/2366, PSD2). Unabhängig heißt: Fällt ein Element aus, darf die Zuverlässigkeit der anderen darunter nicht leiden. Bei einer Kartenzahlung mit PIN treffen Wissen (die PIN) und Besitz (die Karte) zusammen.
Verlangen muss sie der Zahlungsdienstleister, nicht der Händler (Art. 97 Abs. 1 Buchst. b PSD2; § 55 Abs. 1 Satz 1 Nr. 2 ZAG, § 87 Abs. 1 Z 2 ZaDiG 2018). Sie knüpft an elektronische Zahlungsvorgänge, also auch an die Kartenzahlung am Terminal; bei einer Barzahlung greift sie nicht.
Wann sie greift und wann nicht
Die Ausnahmen stehen in der Delegierten Verordnung (EU) 2018/389 (RTS), die seit dem 14. September 2019 gilt (Art. 38 Abs. 2 RTS). Die Tabelle zeigt Kartenzahlungen.
| Fall | Starke Kundenauthentifizierung | Grundlage |
|---|---|---|
| Kartenzahlung mit Karte und PIN | wird durchgeführt | Art. 97 Abs. 1 Buchst. b PSD2; § 55 ZAG; § 87 ZaDiG 2018 |
| Kontaktlos, Einzelbetrag bis 50 EUR, frühere kontaktlose Zahlungen seit der letzten Authentifizierung zusammen bis 150 EUR | darf entfallen | Art. 11 Buchst. a und b RTS |
| Kontaktlos, Einzelbetrag bis 50 EUR, höchstens fünf kontaktlose Vorgänge seit der letzten Authentifizierung | darf entfallen | Art. 11 Buchst. a und c RTS |
| Kontaktlos, Einzelbetrag über 50 EUR oder frühere Zahlungen zusammen über 150 EUR bei mehr als fünf Vorgängen | Ausnahme des Art. 11 nicht verfügbar; starke Kundenauthentifizierung erforderlich, sofern keine andere Ausnahme greift (etwa Art. 12) | Art. 11 RTS |
| Unbeaufsichtigtes Terminal, nur Verkehrsnutzungsentgelt oder Parkgebühr | darf entfallen | Art. 12 RTS |
| Fernzahlung, Betrag bis 30 EUR und frühere Fernzahlungen seit der letzten Authentifizierung zusammen bis 100 EUR oder höchstens fünf einzelne Vorgänge | darf entfallen | Art. 16 RTS |
| Zahlung einer juristischen Person über einen dedizierten Zahlungsprozess, der nur Nichtverbrauchern zur Verfügung steht, wenn die zuständige Behörde ein vergleichbares Sicherheitsniveau annimmt | darf entfallen | Art. 17 RTS |
Die Zahlungsausnahmen der Tabelle sind Kann-Regeln: Der Zahlungsdienstleister darf absehen, muss aber nicht; Art. 11 und 12 RTS stehen unter dem Vorbehalt der Anforderungen des Art. 2 RTS. Keine Kann-Regel ist Art. 10a Abs. 1 RTS: Beschränkt sich der Zugriff über einen Kontoinformationsdienstleister auf Kontostand oder Vorgänge der letzten 90 Tage, ohne dass sensible Zahlungsdaten offengelegt werden, dürfen Zahlungsdienstleister in Deutschland und Österreich keine starke Kundenauthentifizierung verlangen. Abs. 2 verlangt sie, wenn der Nutzer über den Kontoinformationsdienstleister zum ersten Mal auf diese Informationen zugreift oder wenn seit dem letzten Zugriff auf die Vorgänge der letzten 90 Tage mehr als 180 Tage verstrichen sind und dabei eine starke Kundenauthentifizierung verlangt wurde; Abs. 3 gestattet sie bei sachlich gerechtfertigten und hinreichend nachgewiesenen Gründen im Zusammenhang mit einem nicht autorisierten oder betrügerischen Zugriff auf das Zahlungskonto, verpflichtet dazu aber nicht. Weitere Ausnahmen betreffen wiederkehrende Zahlungen, vertrauenswürdige Empfänger und die Risikoanalyse (Art. 10, 13, 14 und 18 RTS).
Eine kontaktlose Zahlung über 60 EUR fällt nicht unter die Ausnahme des Art. 11, auch wenn seit der letzten Authentifizierung erst 40 EUR kontaktlos gezahlt wurden.
Wo die Regeln gelten
Die Richtlinie gilt für Zahlungsdienste, die innerhalb der Union erbracht werden, und ist an die Mitgliedstaaten gerichtet (Art. 2 Abs. 1, Art. 117 PSD2). Ihre Vorschriften wenden die Mitgliedstaaten seit dem 13. Januar 2018 an (Art. 115 Abs. 2 PSD2); die Sicherheitsmaßnahmen der starken Kundenauthentifizierung und die RTS gelten seit dem 14. September 2019 (Art. 115 Abs. 4 PSD2, Art. 38 Abs. 2 RTS), in Deutschland und Österreich. In der Schweiz gilt die Richtlinie nicht; die Schweiz ist kein Mitgliedstaat der Union und keine Vertragspartei des EWR-Abkommens.
Nicht zu verwechseln mit
Starke Kundenauthentifizierung ist mehr als die einfache Authentifizierung: Art. 4 Nr. 29 PSD2 definiert die Authentifizierung als das Verfahren, mit dem der Zahlungsdienstleister die Identität des Nutzers oder die berechtigte Verwendung eines Zahlungsinstruments überprüft, ohne eine Elementzahl festzulegen; mindestens zwei unabhängige Elemente verlangt erst Art. 4 Nr. 30 für die starke Kundenauthentifizierung. Sie ist nicht PCI DSS, der Standard für den Schutz der Kartendaten, und sie betrifft nicht die Fiskalisierung der Kasse: Die Fiskalisierung betrifft die Aufzeichnung, nicht die Autorisierung der Kartenzahlung. Wie sich die Grenzen am Terminal zeigen, steht unter Kontaktlos bezahlen.