Alles über 3-D Secure und 3-D Secure 2.0 (AKTUALISIERT)
Die häufigsten und ärgerlichsten Sicherheitsprobleme im E-Commerce sind bei weitem betrügerische Transaktionen. 3-D Secure ist ein Werkzeug, das die Anzahl betrügerischer Transaktionen reduzieren kann.
Die Bedürfnisse von Verbrauchern und Händlern ändern sich ständig. Infolgedessen wurde 3-D Secure 2.0 entwickelt. Ob Sie physische Waren oder Dienstleistungen im Internet verkaufen, dieser Beitrag führt Sie durch:
- Was ist 3-D Secure?
- Warum ist 3-D Secure eine gute Funktion?
- Ein kleiner Überblick über 3-D Secure bei Issuern
- Was ist 3-D Secure 2.0?
- Die Vorteile von 3-D Secure 2.0
Entwicklung von 3-D Secure
Bevor wir erklären, was 3-D Secure ist, schauen wir uns hinter die Kulissen an, was zur Entwicklung von 3-D Secure geführt hat.
Traditionell wurde eine Zahlung im Webshop eines Händlers (ein Unternehmen, das Waren oder Dienstleistungen online verkauft) nur durch den Autorisierungsprozess geprüft.
Autorisierung ist der Prozess, bei dem:
- Die Kartendaten eines Karteninhabers von der ausgebenden Bank auf Gültigkeit geprüft (validiert) werden
- Das mit der Karte verknüpfte Konto auf ausreichende Deckung geprüft wird
Man könnte denken, dass die Autorisierung allein etwas vermissen lässt. Im Grunde könnte jeder mit einer Karte einkaufen, solange er oder sie die Kartendaten kennt und genügend Geld auf dem Konto ist, richtig? Es kann zum Problem werden, wenn diese Daten in die falschen Hände geraten.
Das Problem ist Zahlungsbetrug: eine Zahlung im Namen des Karteninhabers durch jemanden, der keine Erlaubnis dazu erhalten hat.
Dieses Problem wurde in der Zahlungsbranche erkannt und eine Lösung entwickelt: 3-D Secure.
Was ist 3-D Secure?
3-D Secure ist eine Funktion, die eine zusätzliche Schutzschicht hinzufügt, um das Risiko von betrügerischen Transaktionen im E-Commerce zu reduzieren. 3-D Secure ergänzt die Autorisierung durch die Implementierung des Authentifizierungsprozesses.
Mehrere weltweit bekannte Kartensysteme implementieren 3-D Secure. Visa bietet 3-D Secure in seinem Visa Secure-Programm (früher bekannt als Verified by Visa) an, während Mastercard Mastercard SecureCode hat.
Wie es funktioniert
Authentifizierung prüft die Identität der Person, die eine Zahlung durchführt. An der Kasse wird die Person nach Eingabe der Kartendaten für einen Kauf in einem Pop-up-Fenster oder Inline-Frame gebeten, die Identität des Karteninhabers zu verifizieren.
Dies geschieht durch die Verwendung einer Authentifizierungsmethode:
- Statisches Passwort (d.h. ein dauerhaftes, unveränderliches Passwort)
- Dynamisches Passwort (d.h. ein Einmalpasswort, das dem Karteninhaber per SMS/E-Mail gesendet wird)
- Biometrisches Merkmal (d.h. ein Fingerabdruck, der mit dem registrierten Mobilgerät des Karteninhabers verknüpft ist)
- Gescannter QR-Code (d.h. ein QR-Code auf dem Bildschirm, der mit dem registrierten Mobilgerät gescannt werden muss, z.B. mit der Google Authenticator-App)
Die Authentifizierungsmethode wird von der ausgebenden Bank festgelegt.
Wenn das Authentifizierungsverfahren erfolgreich ist, wird die Zahlung genehmigt (authentifiziert), wenn nicht, wird die Zahlung abgelehnt.
Da Versuche immer zählen, werden versuchte Authentifizierungsversuche aufgezeichnet. Diese Versuche sind der Beweis, dass ein Händler, der die 3-D Secure-Funktion implementiert, versucht hat, den Karteninhaber zu authentifizieren, aber konfrontiert war mit:
- Einem Issuer, der 3-D Secure nicht übernommen hat
- Einem Issuer, dessen Verarbeitungsserver ausgefallen ist
Wie es aussieht
Warum ist 3-D Secure eine gute Funktion?
1. Haftungsverschiebung
Ohne 3-D Secure, wenn ein Karteninhaber eine betrügerische Transaktion bestreitet:
- Der Händler haftet für die Transaktion
- Der Händler muss das Geld in Form einer Rückbuchung zurückzahlen
Aber wenn der Händler 3-D Secure implementiert, verschiebt sich die Haftung für betrügerische Transaktionen zum Issuer. Diese Verschiebung gilt, solange:
- Eine Transaktion authentifiziert wird
- Ein Authentifizierungsversuch stattfindet 1
2. Bedingtes 3-D Secure
Eine weitere großartige Sache an 3-D Secure ist, dass es angepasst werden kann. Sie müssen nicht alles auf einmal machen.
Was bedeutet das?
Sie können beantragen, dass 3-D Secure für Hochrisiko-Transaktionen oder für Transaktionen bestimmter Beträge aktiviert wird. Dies wird als Bedingtes 3-D Secure bezeichnet, eine Anpassung von 3-D Secure.
Die Aktivierung von 3-D Secure wird normalerweise zwischen dem Händler, Payment-Gateway und Acquirer koordiniert.
Bedingtes 3-D Secure hat sich als sehr nützlich erwiesen, um die Anzahl der gehaltenen Kunden zu erhöhen.
PSD2-konform
PSD2 tritt ab dem 13. Januar 2018 in Kraft, und einer seiner Hauptpunkte ist, dass es für Händler verpflichtend wird, Transaktionen zu authentifizieren. Ein sicherer Weg, dieses Kriterium zu erfüllen, ist die Implementierung von 3-D Secure.
Überblick über 3-D Secure bei Issuern
Issuer weltweit haben den Wert von 3-D Secure sowie die Nachteile einer Nichtimplementierung erkannt.
Wir haben einige Daten aus 2016 und 2017 über die Anzahl der Issuer in der EU28/EWR und außerhalb gesammelt.
Ein deutlicher Anstieg der Implementierungsrate von 3-D Secure bei Issuern wurde zwischen 2016 und 2017 verzeichnet.
Implementierungsrate innerhalb der EU28/EWR
Wenn im ersten Quartal (Q1) 2016 verzeichnet wurde, dass etwa 25% der Issuer 3-D Secure implementiert hatten, erreichte die Implementierungsrate 2017 in Q1 beeindruckende 80% in nur einem Jahr.
Beim Vergleich von Q2 aus 2016 mit Q2 aus 2017 bleiben die Zahlen ziemlich bemerkenswert. 2016 lag die Implementierungsrate bei Issuern bei 40%, während sie 2017 bei 83% lag.
Q3 in 2016 hatte eine Implementierungsrate von etwa 50% und erreichte 88% in Q3 2017.
Die Implementierungsrate in Q4 2016 hatte einen Wert von 75%, während in Q4 2017 die Implementierungsrate 90% überschritt, wie von uns geschätzt, und bei 91,8% lag.
Für Q1 2018 wird geschätzt, dass das Wachstum des Implementierungsniveaus abnimmt und nicht 95% überschreitet.
Die möglichen Erklärungen für den Aufwärtstrend bei der Übernahme durch Issuer aus der EU28/EWR sind:
- die schnellen Fortschritte in der Zahlungssicherheitstechnologie
- die Frist für PSD2
Implementierungsrate außerhalb der EU28/EWR
Das Bild ist für Issuer außerhalb der EU28/EWR etwas anders. In Q1 2016 lag die Implementierungsrate bei nur 5%, während sie 2017 auf 38% in die Höhe schoss.
Der Unterschied zwischen Q2 2016 und Q2 2017 war nicht so dramatisch, aber dennoch bemerkenswert. Über 20% der Issuer hatten 3-D Secure bis Juli 2016 implementiert, verglichen mit 54% im Juli 2017.
Etwa 30% des Marktes hatten 3-D Secure bis Oktober 2016 bereits implementiert, während 56% dies in Q3 2017 getan hatten.
Die Implementierungsrate in Q4 2016 erreichte fast 40%. 2017 stieg die Rate in Q4 auf 67%.
Wir schätzen, dass die Implementierungsrate in Q1 2018 weiter wachsen und zwischen 75%-80% liegen wird.
Die möglichen Erklärungen für den Aufwärtstrend bei der Übernahme durch Nicht-EU28/EWR-Issuer sind:
- die schnelllebigen Entwicklungen in der Zahlungssicherheitstechnologie
- die zunehmenden Bemühungen von Visa und Mastercard sicherzustellen, dass der gesamte europäische Kontinent auf einem homogenen Sicherheitsniveau ist
Was ist 3-D Secure 2.0?
3-D Secure 2.0 ist das neueste Update der 3-D Secure-Funktion.
3-D Secure 2.0 wurde von EMVco entwickelt, einem Unternehmen, das gemeinsam von Visa, Mastercard, American Express, Discover, JCB und Union Pay gehalten wird.
Die Vorteile von 3-D Secure 2.0
3-D Secure 2.0 verwendet mehr Kontextdaten als seine früheren Versionen von 3-D Secure, was laut Visa zu folgenden zusätzlichen Vorteilen führt:
- Beschleunigung von Käufen bei Niedrigrisiko-Transaktionen
- Größere Sicherheit bei Hochrisiko-Transaktionen
- Verringerter Warenkorbabbruch
1. Beschleunigung von Käufen
Die Menge an Kontextdaten, die zwischen Karteninhaber, Händler und Issuer ausgetauscht werden, ist 10-mal größer als zuvor.
Beispiele für neue Kontextdaten, die von 3-D Secure 2.0 verwendet werden:
- Geräteinformationen
- Dienstinformationen
- Geschenkkarten-Informationen
- Zeitzone
- Bildschirmhöhe
Basierend auf den Kontextdaten werden Issuer für Niedrigrisiko-Transaktionen in der Lage sein, die Identität des Karteninhabers ohne den Authentifizierungsschritt zu verifizieren.
Infolgedessen werden Kunden 85% weniger Zeit im Checkout-Prozess verbringen.
Die Mehrheit der Transaktionen wird von Issuern als risikoarm angesehen (95%).
2. Größere Sicherheit
Bei Hochrisiko-Transaktionen werden Issuer weiterhin den Authentifizierungsschritt durchführen.
Die Kontextdaten werden Issuern helfen, den Hintergrund der Hochrisiko-Transaktionen besser zu verstehen:
- Von welchen Geräten sie normalerweise stattfinden
- Das Kaufmuster des Karteninhabers
- Zu welchen Zeiten Transaktionen stattfinden
um potenziellen Betrug besser zu erkennen.
3. Verringerter Warenkorbabbruch
Dank der Kontextdaten kann der Authentifizierungsschritt überflüssig werden. Dies soll zu einer vorgeschlagenen 70%igen Verringerung des Warenkorbabbruchs führen.
Visa sagte, dass es erwartet, dass Issuer und Händler Ende 2017 mit der Implementierung von 3-D Secure 2.0 beginnen. Um einen reibungslosen Übergang zwischen den Versionen zu ermöglichen, wird Visa seine aktuellen Regeln für händlerseitig versuchte 3-D-Transaktionen bis März 2019 beibehalten. Ab April 2019 gelten die neuen Regeln, die mit 3-D Secure 2.0 verbunden sind.
Mastercard hat vorgeschlagen, dass alle seine Issuer 3-D Secure 2.0 ab dem 31. Dezember 2018 unterstützen müssen. Von Händlern, die Mastercard-Zahlungen akzeptieren, wird ab dem 1. Dezember 2020 erwartet, dass sie nur noch 3-D Secure 2.0 verwenden.
Zusammenfassung
3-D Secure ist eine Sicherheitsfunktion, die die Identität des Karteninhabers verifiziert. Dies schützt Unternehmen vor Rückbuchungen, indem die Haftung im Falle einer betrügerischen Transaktion an die ausgebende Bank verschoben wird.
3-D Secure kann „angepasst" werden (Bedingtes 3-D Secure), sodass der Sicherheitsschritt nur für bestimmte Transaktionen eingestellt werden kann.
Die Funktion dient auch als Mittel zur Einhaltung der neuen Vorschriften durch PSD2.
In Bezug auf die Übernahme von 3-D Secure ist die Implementierungsrate bei Issuern sowohl in der EU28/EWR als auch außerhalb stetig im Laufe der Zeit gestiegen. Es wird erwartet, dass die Implementierungsrate in Q1 2018 in der EU28/EWR langsamer wird und unter 95% bleibt, während sie für Nicht-EU28/EWR weiter erheblich wachsen wird, wobei der erwartete Wert bei etwa 80% liegt.
3-D Secure 2.0 wurde geschaffen, um den aktuellen Bedürfnissen sowohl von Verbrauchern als auch von Händlern gerecht zu werden. Die Rolle von 3-D Secure 2.0 ist eine Verbesserung gegenüber der vorherigen Version. 3-D Secure 2.0 soll den Checkout-Prozess für Verbraucher um 85% verkürzen, während Händler einen 70%igen Rückgang des Warenkorbabbruchs sehen werden, alles durch die hinzugefügten Kontextdaten, die von Händlern und Issuern gewonnen werden.