Was ist 3D Secure? Funktion, Ablauf und Schutz im Alltag

3D Secure ist ein zusätzliches Bestätigungsverfahren, mit dem die Bank des Karteninhabers prüft, ob eine Online-Kartenzahlung wirklich von ihm stammt. Sie haben die Kartendaten eingegeben, auf Bezahlen getippt und plötzlich meldet sich Ihre Banking-App. Genau diese kurze Unterbrechung entscheidet oft, ob eine Zahlung weitergeht oder gestoppt wird.

Inhaltsverzeichnis

• Was 3D Secure ist und warum es existiert
• Schlüssel und Ausweiskontrolle
• Von statisch zu risikobasiert
• So läuft eine 3D-Secure-Zahlung Schritt für Schritt ab
• Sechs Schritte von der Eingabe bis zur Freigabe
• Ist 3D Secure bei Ihrer Karte aktiv?
• Die gängigen Bestätigungsverfahren im Vergleich
• Komfort gegen Widerstandsfähigkeit
• Miete per Kreditkarte bezahlen
• Was 3D Secure für Karteninhaber und Händler bringt
• Grenzen, Betrugsmaschen und Haftung
• Schutz bei Zahlungen über iPayBetter prüfen

<a id="was-3d-secure-ist-und-warum-es-existiert"></a>

Was 3D Secure ist und warum es existiert

3D Secure, kurz 3DS, ist ein Sicherheitsverfahren für Online-Kartenzahlungen, bei dem die kartenausgebende Bank die Identität des Karteninhabers zusätzlich prüft. Wer fragt, was ist 3D Secure, meint also nicht die Kartennummer selbst, sondern die Kontrolle dahinter. Erst nach dieser Prüfung wird eine Zahlung autorisiert oder abgelehnt.

<a id="schlussel-und-ausweiskontrolle"></a>

Schlüssel und Ausweiskontrolle

Kartennummer, Ablaufdatum und Sicherheitscode wirken wie ein Schlüssel. Wer diese Daten kennt, könnte ihn theoretisch benutzen, auch ohne Ihre Karte in der Hand zu halten. 3DS ist die zusätzliche Ausweiskontrolle an der Tür, weil die Bank wissen will, ob wirklich Sie vor dem Gerät sitzen.

Mit dem wachsenden elektronischen Zahlungsverkehr wurde diese Kontrolle in der Schweiz besonders wichtig. Eine Publikation von SIX zum Zahlungsverkehr beschreibt, dass mit zunehmendem Onlinevolumen auch die Betrugsversuche deutlich zunahmen und Fraud-Detection-Systeme intensiviert werden mussten. Die reine Prüfung gedruckter Kartendaten reichte deshalb nicht mehr aus.

<a id="von-statisch-zu-risikobasiert"></a>

Von statisch zu risikobasiert

Die Bank schaut sich jede Zahlung nach ihrem Risiko an. Wirkt ein Kauf vertraut, kann sie ihn ohne weitere Eingabe freigeben. Wirkt er ungewöhnlich, verlangt sie eine Bestätigung, etwa per Banking-App, Einmalcode oder Fingerabdruck.

Die zweite Generation 3-D Secure 2 nutzt mehr Transaktionsdaten für diese Risikoanalyse. Dadurch braucht es seltener einen sichtbaren Zusatzschritt, obwohl im Hintergrund mehr Signale geprüft werden. Das ist der Übergang von einer starren Kartenprüfung zu einer mehrstufigen Prüfung, die sich an der Situation orientiert.

3DS sichert die Autorisierung Ihrer Kartenzahlung. Es ersetzt weder verschlüsselte Verbindungen noch die laufende Überwachung verdächtiger Transaktionen.

Für einen Zahlungsdienst, der einen Rechnungsbetrag per Karte belastet und danach per Banküberweisung weiterleitet, sitzt 3DS an einer entscheidenden Stelle. Die Prüfung geschieht, bevor Geld weiterfliesst, nämlich bei der Freigabe durch Ihren Kartenherausgeber. Daneben bleiben SSL-Verschlüsselung, Zugriffsmanagement und Transaktionsüberwachung eigene Schutzschichten.

<a id="so-lauft-eine-3d-secure-zahlung-schritt-fur-schritt-ab"></a>

So läuft eine 3D-Secure-Zahlung Schritt für Schritt ab

Sie bezahlen eine Rechnung mit Kreditkarte. Bevor der Betrag belastet wird, prüft die Bank, ob sie die Zahlung freigeben kann. Dafür tauschen Shop oder Zahlungsdienst, Kartennetz und Kartenherausgeber Informationen aus.

<a id="sechs-schritte-von-der-eingabe-bis-zur-freigabe"></a>

Sechs Schritte von der Eingabe bis zur Freigabe

1. 1Kartendaten eingeben: Sie tragen Kartennummer, Ablaufdatum und Sicherheitscode im Online-Shop oder beim Zahlungsdienst ein. Damit wählen Sie die Karte aus, die belastet werden soll. Die Daten allein bestätigen jedoch nicht, dass Sie der Karteninhaber sind.
2. 2Zahlung übermitteln: Shop oder Zahlungsdienst senden die Zahlungsanfrage über das Kartennetz an den Kartenherausgeber, also Ihre Bank oder Ihren Kartenanbieter.
3. 3Risiko bewerten: Der Kartenherausgeber prüft die Anfrage anhand verfügbarer Informationen, etwa zu Gerät, Standort, Betrag und bisherigen Transaktionen. Ein vertrautes Muster kann für ein geringeres Risiko sprechen; eine ungewohnte Zahlung kann eine zusätzliche Prüfung auslösen.
4. 4Zahlung ohne sichtbare Abfrage freigeben: Wird die Anfrage als risikoarm eingestuft, kann der Kartenherausgeber sie ohne weitere Eingabe autorisieren. Die Prüfung findet trotzdem statt.
5. 5Identität bestätigen: Bei einer zusätzlichen Prüfung erhalten Sie zum Beispiel eine Anfrage in der Banking-App, einen Einmalcode oder eine biometrische Abfrage. Folgen Sie dabei nur einer Aufforderung, die Sie im offiziellen Zahlungs- oder Banking-Ablauf selbst aufgerufen haben.
6. 6Autorisieren oder ablehnen: Nach erfolgreicher Bestätigung kann der Kartenherausgeber die Zahlung freigeben. Wird die Prüfung nicht abgeschlossen oder schlägt sie fehl, wird die Zahlung nicht autorisiert.

Das Bundesamt für Cybersicherheit erklärt 3-D Secure anhand von Verfahren wie SMS-Code oder Bestätigung über eine Banking-App. Für Sie als Karteninhaber ist wichtig: Die Freigabe erfolgt durch den Kartenherausgeber, nicht allein durch die Eingabe der Kartendaten.

<a id="ist-3d-secure-bei-ihrer-karte-aktiv"></a>

Ist 3D Secure bei Ihrer Karte aktiv?

Prüfen Sie den Status in Ihrer Banking-App oder fragen Sie direkt bei Ihrem Kartenanbieter nach, besonders vor einer grösseren Zahlung. Die Einrichtung unterscheidet sich je nach Anbieter. Eine Zahlung ohne sichtbare Bestätigungsabfrage bedeutet nicht automatisch, dass 3D Secure fehlt: Der Kartenherausgeber kann die Anfrage auch ohne zusätzliche Eingabe freigeben.

Bei einer Rechnungszahlung über einen Zahlungsdienst bezieht sich 3D Secure auf die Kartenbelastung. Wird der Betrag danach per Banküberweisung an den Rechnungsempfänger weitergeleitet, ist diese Überweisung ein separater Vorgang.

<a id="die-gangigen-bestatigungsverfahren-im-vergleich"></a>

Die gängigen Bestätigungsverfahren im Vergleich

Nicht jede Bestätigung sieht gleich aus, und nicht jede lässt sich gleich leicht aushebeln. Die Tabelle zeigt die vier Verfahren, denen Sie im Alltag am häufigsten begegnen.

<a id="komfort-gegen-widerstandsfahigkeit"></a>

Komfort gegen Widerstandsfähigkeit

Der SMS-Code ist vielen vertraut, aber er ist auch der angreifbarste Weg. Ein Code lässt sich vorlesen, weitergeben oder unter Druck am Telefon erfragen. App-Freigabe und Biometrie binden die Bestätigung dagegen stärker an Ihr Gerät und an Sie selbst.

Die risikobasierte Freigabe ist am bequemsten, weil Sie gar nichts tun. Sie funktioniert aber nur so gut wie das Risikomodell Ihrer Bank. Schweizer Banken kombinieren Multi-Faktor-Verfahren deshalb mit biometrischen und kontextbasierten Signalen sowie Modellen, die verdächtige Zahlungen blockieren können.

Welches Verfahren erscheint, wählen meist nicht Sie, sondern der Kartenherausgeber. Darum hilft ein Blick in die Einstellungen Ihrer Karte, auch wenn Sie nicht jeden Ablauf selbst festlegen können. Wer sich für Zahlungsmittel im Netz interessiert, findet ergänzend Informationen zur virtuellen Kreditkarte in der Schweiz.

Das Bundesamt für Cybersicherheit zu Betrug rund um 3-D Secure berichtet, dass Betrüger bei bereits bekannten Kartendaten telefonisch versuchen können, den SMS-Code oder eine andere 3-D-Secure-Bestätigung zu erlangen. Der Angriff zielt dann nicht auf die Technik, sondern auf die Person, die den Code besitzt.

Schutzregel: Bestätigen Sie Anfragen nur in der offiziellen Karten- oder Banking-App. Codes, Passwörter und Freigaben gehören nie an angebliche Kartenanbieter oder Supportmitarbeitende.

<a id="miete-per-kreditkarte-bezahlen"></a>

Miete per Kreditkarte bezahlen

Eine Mieterin will ihre Monatsmiete von 1'800 CHF per Kreditkarte bezahlen. Ihre Vermieterin akzeptiert keine Karten, sie erwartet eine normale Banküberweisung auf ihr Konto. Das folgende Bild zeigt die Ausgangslage einer solchen Online-Zahlung von zuhause.

Die Mieterin löst die Zahlung über einen Dienst aus, der den Betrag nach der Kartenbelastung per Banküberweisung weiterleitet, wie beim Rechnung mit Kreditkarte bezahlen. Sie wählt die hinterlegte Karte, prüft Empfängerin und Betrag und sendet die Zahlung ab. Für die Vermieterin ändert sich nichts, sie erhält später eine Überweisung.

Ihre Kartenbank erkennt einen hohen Betrag und ein neues Empfängerkonto. Beides passt nicht zu ihren üblichen Einkäufen, also erscheint eine Anfrage in der Banking-App. Die Mieterin vergleicht Betrag und Zahlungszweck mit dem, was sie gerade selbst ausgelöst hat.

Erst dann bestätigt sie die Anfrage per Gesichtserkennung. Die Bank autorisiert die Kartenbelastung, und danach kann die Weiterleitung an die Vermieterin starten. Das kurze Video unten greift diesen Ablauf noch einmal anschaulich auf.

<iframe width="100%" style="aspect-ratio: 16 / 9;" src="https://www.youtube.com/embed/2YEpoVWHSUQ" frameborder="0" allow="autoplay; encrypted-media" allowfullscreen></iframe>

Ganz anders sähe es aus, wenn kurz darauf ein Anrufer nach einem SMS-Code fragen würde. Er könnte behaupten, eine Zahlung müsse gestoppt oder geprüft werden, und dabei Druck aufbauen. Eine Freigabe darf aber nur für eine Zahlung erfolgen, die Sie selbst ausgelöst haben und deren Angaben Sie in der App wiedererkennen.

Hier wird der Mensch zum entscheidenden Teil der Sicherheit. Die Technik bringt die Anfrage auf Ihr Gerät, doch Ihr kurzer Vergleich von Betrag und Empfänger entscheidet, ob daraus Schutz oder ein Betrugserfolg wird.

<a id="was-3d-secure-fur-karteninhaber-und-handler-bringt"></a>

Was 3D Secure für Karteninhaber und Händler bringt

Bei einer Rechnungszahlung per Kreditkarte schützt 3D Secure den Schritt, in dem die Kartenbank die Belastung autorisiert. Die Bank kann eine zusätzliche Bestätigung verlangen oder die Zahlung anhand einer Risikoprüfung freigeben. So wird eine Zahlung nicht allein durch die Eingabe der Kartendaten ausgelöst.

Für Karteninhaber kann das eine zusätzliche Hürde für missbräuchliche Zahlungen sein. Bei Zahlungen, die als risikoarm eingestuft werden, ist möglicherweise keine weitere Eingabe nötig. Händler erhalten durch die Prüfung ein zusätzliches Signal zur Autorisierung, was helfen kann, betrügerische Kartenzahlungen zu verringern.

Bei einer Rechnung bleibt die anschliessende Überweisung davon getrennt. Bestätigt der Karteninhaber die Kartenbelastung, autorisiert er damit den Zahlungsschritt mit der Karte. Die Überweisung an den Rechnungsempfänger ist weiterhin eine Banküberweisung. 3D Secure schützt also die Kartenautorisierung, nicht automatisch jeden weiteren Schritt der Zahlung.

<a id="grenzen-betrugsmaschen-und-haftung"></a>

Grenzen, Betrugsmaschen und Haftung

3D Secure macht eine Zahlung nicht automatisch sicher, und eine erfolgreiche Prüfung entscheidet nicht jede spätere Beanstandung zu Ihren Gunsten. Das ist der Punkt, den viele kurze Erklärungen auslassen. Drei Fälle sollten Sie auseinanderhalten.

Erstens, Kartenbetrug ohne Ihre Freigabe, etwa wenn Fremde Ihre Daten nutzen und Sie eine fremde Anfrage ablehnen. Zweitens, eine von Ihnen selbst bestätigte Phishing-Zahlung, bei der Betrüger Sie zur Freigabe gebracht haben. Drittens, eine korrekt autorisierte Kartenzahlung, bei der erst die anschliessende Überweisung oder die Leistung des Empfängers zum Problem wird.

Die Allianz Konsumenteninformation zu Kreditkartenbetrug hilft bei der Einordnung, ersetzt aber nicht Ihre Kartenbedingungen. Schweizer Kartenbedingungen unterscheiden typischerweise zwischen sorgfältigem Verhalten und grober Fahrlässigkeit, und die Bank kann die Haftung vertraglich ausgestalten. Eine Haftungsverlagerung hängt ausserdem vom Kartensystem, Transaktionsstatus, erfolgreicher Authentifizierung und den Chargeback-Regeln ab.

Handeln Sie im Problemfall in dieser Reihenfolge. Informieren Sie sofort Kartenherausgeber und Zahlungsdienst, sichern Sie Belege, Freigabezeitpunkt und Empfängerdaten und klären Sie, ob es um Kartenbetrug, eine autorisierte Zahlung, eine ausgebliebene Leistung oder eine falsche Überweisung geht. Wer den Gesamtablauf einer Rechnung mit Kreditkarte in der Schweiz kennt, ordnet diese Unterscheidung leichter ein.

3D Secure schützt die Kartenautorisierung. Es garantiert weder die korrekte Ausführung noch die Rückholbarkeit einer späteren Banküberweisung.

<a id="schutz-bei-zahlungen-uber-ipaybetter-prufen"></a>

Schutz bei Zahlungen über iPayBetter prüfen

Kontrollieren Sie vor Ihrer ersten Zahlung drei Dinge. Prüfen Sie, ob 3D Secure bei Ihrer Kreditkarte aktiviert ist, bestätigen Sie Anfragen ausschliesslich in der offiziellen Karten- oder Banking-App und schauen Sie Belege sowie Ihren Transaktionsverlauf regelmässig an. Diese kleine Routine fängt viele Fehler ab, bevor sie teuer werden.

Bei iPayBetter läuft die Kreditkartenbelastung über den Authentifizierungsfluss Ihres Kartenherausgebers. Erst danach wird die nachgelagerte Auszahlung per Banküberweisung ausgelöst. Wir nutzen 3D Secure, SSL-Verschlüsselung und Hochsicherheitsserver in der Schweiz.

Die iPayBetter GmbH ist als Zahlungsdienstleisterin der von der FINMA anerkannten Selbstregulierungsorganisation VQF angeschlossen und untersteht dem Schweizer Geldwäschereigesetz, dem GwG. Diese Rahmenbedingungen stärken den Prozess, ersetzen aber nicht Ihren Blick auf Betrag und Empfänger bei jeder Freigabe.

Prüfen Sie also zuerst Ihre Karte, kontrollieren Sie die Empfängerdaten und geben Sie die Bestätigung nur im Original-App-Kontext frei. So bleibt die Entscheidung dort, wo sie hingehört, bei Ihnen.

Begleichen Sie Miete, Steuern, Versicherungen und andere Rechnungen per Visa, Mastercard oder American Express, auch wenn der Empfänger keine Karte akzeptiert, und lassen Sie den Betrag per Banküberweisung weiterleiten. Mit 3D Secure bestätigen Sie jede Kartenbelastung über Ihre eigene Bank, bevor die Zahlung weitergeht. Starten Sie Ihre nächste Rechnungszahlung bei iPayBetter GmbH und prüfen Sie vorher in Ruhe Karte, Betrag und Empfängerdaten.