Welche Auswirkungen hat PSD2 auf Online-Payments?

Im Sommer 2018 versetzte die Datenschutz-Grundverordnung (DSGVO) ganz Europa in Aufruhr. Ähnlich wird sich auch die Zweite Zahlungsdienste-Richtlinie (PSD2) auf die Sicherheit von Online-Transaktionen auswirken. Die neue Richtlinie zielt darauf ab, Verbraucher mittels Multi-Faktor-Authentifizierung besser zu schützen, wenn sie online bezahlen. Zwar trägt dies dazu bei, die Online-Bezahlwelt und den Handel im Internet sicherer zu machen, hat aber gleichzeitig weitreichende Konsequenzen für eine Vielzahl von Unternehmen in Europa und weltweit.

PSD2 im Detail

Falls du dich mit dem Thema SCA (Strong Customer Authentication, zu Deutsch starke Kundenauthentifizierung) noch nicht auseinandergesetzt hast, solltest du das spätestens mit Inkrafttreten der neuen Regelung tun. SCA ist Teil der neuen PSD2-Richtlinie, die Unternehmen verpflichtet, bei Online-Zahlvorgängen, die durch den Verbraucher initiiert werden, eine Multi-Faktor-Authentifizierung vorzunehmen (mehr dazu weiter unten). Einfach ausgedrückt werden Verbraucher künftig mindestens zwei von drei Faktoren parat haben müssen, um die Rechtmäßigkeit einer Zahlung zu belegen. Bei den drei Faktoren handelt es sich um:

1. etwas, das nur der Verbraucher weiß (wie ein Passwort oder eine PIN)
2. etwas, das nur der Verbraucher hat (wie ein per Smartphone generierter Code)
3. etwas, das nur der Verbraucher ist (z. B. Fingerabdruck oder Gesichtserkennung).

SCA hätte am 14. September 2019 wirksam werden sollen, verzögert sich jetzt aber in mehreren Ländern, da viele Marktteilnehmer noch nicht bereit sind. Früher oder später werden jedoch bei jedem Online-Bezahlvorgang zwei der drei oben genannten Faktoren vorliegen müssen. Andernfalls könnte die Transaktion abgelehnt werden.

Ausnahmen von der Regel

Wie zuvor erwähnt, ist die starke Kundenauthentifizierung für vom Kunden initiierte Transaktionen erforderlich. Daher müssen alle Online-Kartenzahlungen und Banküberweisungen diesen Validierungsprozess durchlaufen – bis auf einige Ausnahmen. Es gibt unter anderem folgende Ausnahmen für SCA:

1. SCA ist nicht notwendig für bestimmte Bezahlvorgänge mit geringem Risiko, die von der Bank oder dem Zahlungsdienstleister in Echtzeit bestimmt werden. Die Ausnahme-Schwellenwerte werden auf Basis der Betrugsrate festgelegt (0,13 % für Transaktionen unter 100 €; 0,06 % für Transaktionen unter 250 €; 0,01 % für Transaktionen unter 500 €) und auf jede einzelne Transaktion angewendet.
2. Zahlungen, die unter 30 € liegen, sind ebenfalls von der SCA befreit. Davon ausgenommen sind Kleinbetragszahlungen, die mit häufiger Frequenz durchgeführt werden.
3. Wiederkehrende Zahlungen oder Daueraufträge können eine erste Autorisierung erfordern, spätere Zahlungen sind jedoch befreit.

Wer ist betroffen?

Gemäß PSD2 sind nur Zahlungen von Konsumenten betroffen, die in der EU Bankgeschäfte betreiben und bei Einzelhändlern einkaufen, die EU-Zahlungsabwickler nutzen. Welche Unternehmen sind also betroffen?

1. SCA ist für jeden europäischen Händler verpflichtend.
2. SCA ist für jeden internationalen Händler, der seine Produkte in Europa vertreibt, verpflichtend.

Es bleibt nur noch wenig Zeit für die Einbindung der starken Kundenauthentifizierung in die Digital-Commerce-Experience deines Unternehmens. Vor allem aber gilt es sicherzustellen, dass SCA für alle Benutzer zu einem integralen Bestandteil der User Experience wird, unabhängig von Gerät, Bank usw. Selbst wenn du bereits tätig geworden bist, ist es eine ständige Herausforderung, die notwendige Testabdeckung zu erreichen, um ein qualitativ hochwertiges Nutzungserlebnis gewährleisten zu können. Hier kann Applause Unterstützung leisten.

Zahlungen in freier Wildbahn testen

Die größte Herausforderung beim Testen der SCA ist der Zugang zu geeigneten Testern und Endgeräten an den richtigen Standorten und mit den erforderlichen Bezahlverfahren. Vor allem für US-amerikanische und nicht-europäische Händler, die ihre Produkte im EU-Raum vertreiben, stellt das Testen mit europäischen Probanden eine große Herausforderung dar – umso mehr, wenn es darum geht, kurzfristig reale Transaktionen durchzuführen.

Individuelle Testteams

Applause bietet Retailern Zugriff auf eine weltweit auf Abruf verfügbare Crowd von Testern, um Zahlungsströme zu validieren. Neben demografischen Kriterien können die Testteams auch danach zusammengestellt werden, welche Banken und Geräte sie nutzen. Dadurch können lokale Markterkenntnisse von Anwendern gewonnen werden, die exakt dem Profil der Zielgruppe entsprechen.

Erweiterte Geräteabdeckung

Abhängig vom eingesetztem Gerät variieren sowohl Nutzungserfahrungen als auch SCA-Optionen (biometrische Verfahren werden nicht auf jedem Gerät unterstützt). Zugang zu diesen Optionen zu haben und über zusätzliche Bandbreite zum Testen zu verfügen ist daher von unschätzbarem Wert. Jeder Nutzer sollte ohne Reibungsverluste den gleichen User Flow erleben. Eine erweiterte Geräteabdeckung macht daher einen großen Unterschied.

Tests unter realen Bedingungen

Digitale Erlebnisse können in simulierten Umgebungen getestet werden, aber nichts ist so aufschlussreich wie das Testen unter realen Bedingungen. Die realen Probanden liefern Markteinsichten und geben kritische Rückmeldungen, die die Qualität der User Experience erheblich verbessern können. Besonders wenn es um Verbrauchersicherheit und potenzielle Strafzahlungen geht, ist das Testen in der realen Nutzerwelt enorm wichtig.

Strategische Testkompetenz

Du hast vielleicht nicht alle Antworten, wenn es um SCA-Tests geht, musst deswegen aber nicht im Ungewissen bleiben. Wir arbeiten eng mit deinen Entwicklungs- und Payment-Teams zusammen, um sicherzustellen, dass du für den Testerfolg gerüstet bist. Von der Beurteilung deines Status Quo über die Ausarbeitung eines umfassenden Testplans bis hin zur Rekrutierung der lokalen Tester, die diesen Plan ausführen – Applause koordiniert auf Wunsch sämtliche Aspekte für dich. Wenn die Zeit drängt, geht nichts über ein erfahrenes Team an deiner Seite, das dir den richtigen Weg weist.

---

Wenn es um das Geld und die Daten deiner Kunden geht, dürfen keine Fehler passieren. Um beim Thema PSD2 nicht den Anschluss zu verlieren, lohnt es sich, die eigene Teststrategie zu überdenken. Je gründlicher die Vorbereitungen ausfallen, desto zufriedener werden deine Kunden morgen und in Zukunft sein.