Am 14. September 2019 tritt die "Starke Kundenauthentifizierung" (SCA - Strong Customer Authentication) in Kraft. Verbraucher müssen dann eine Zwei-Faktor-Verifizierung vornehmen, bevor sie ihre Online-Einkäufe bezahlen können. Ziel der Richtlinie ist, Online-Zahlungen sicherer zu machen, Verbraucher zu schützen und Betrug zu bekämpfen - an sich also ein guter Gedanke.
Unternehmen schlecht vorbereitet
Der Weg dorthin ist allerdings beschwerlich, denn alle Online-Händler müssen ihre Bezahlvorgänge überprüfen und viele müssen sie stark anpassen. Seit das Gesetz zur Umsetzung der Zweiten Zahlungsdiensterichtlinie (PSD2) im Juli 2017 verabschiedet wurde, ist das bekannt. Getan hat sich aber trotzdem bisher wenig.
Das klingt verdächtig nach letztem Jahr, als die neue Datenschutzgrundverordnung (DSGVO) den Umgang mit persönlichen Daten sicherer machen sollte. Denn genau wie damals haben sich auch heute viele Unternehmen noch nicht auf die neue Richtlinie eingestellt. Die Auswirkungen werden allerdings genauso weitreichend sein wie die der DSGVO - sowohl für Konsumenten, die online einkaufen, als auch für Unternehmen, die ihre Produkte online anbieten.
Diese müssen nämlich ab Inkrafttreten des Gesetzes nachweisen können, dass sie SCA-konform handeln. Trotzdem glaubt nur die Hälfte der Online-Händler, dass sie bis zum Stichtag alle Anforderungen umgesetzt haben wird. Das ist das Ergebnis einer Studie der Payment-Plattform Stripe und 451 Research zum Thema. Dabei steht viel auf dem Spiel.
Die Umstellung könnte für E-Commerce-Unternehmen zu bedeutenden Verlusten führen. Denn Käufer mögen schnelle und reibungslose Kaufprozesse. Komplizierte oder veränderte Zahlungsvorgänge empfinden sie als lästig. Und jeder potenzielle Kunde, der den vollen Warenkorb "stehen lässt", weil der Bezahlvorgang zu lange dauert, kompliziert ist oder nicht klappt, ist ein Verlust für den Verkäufer.
Bis zu 57 Milliarden Euro Verlust
Die Conversion Rate, wie die Kennzahl tatsächlich abgewickelter Verkäufe im Fachjargon der Online-Händler heißt, ist schon jetzt ein großes Thema. Wenn Bezahlvorgänge beispielsweise nicht für die mobile Anwendung optimiert sind, führt das bei Verkäufern zu hohen Kaufabbruchraten. Ein zusätzlicher Authentifizierungsschritt, der für richtlinienkonforme Einkäufe nötig wird, ist eine noch deutlich größere Disruption des Kaufprozesses.
Wie hoch die daraus resultierenden Verluste sein könnten, schätzt die bereits angesprochene Studie, indem sie Abbruchraten bei herausfordernden Zahlungsvorgängen in ganz Europa auswertet. Das Ergebnis ist erschütternd: Der Online-Handel könnte um die 57 Milliarden Euro Verlust machen, so die Studie von Stripe und 451 Research.
Kundenbewusstsein schaffen
Ein zweiter Teil der Studie war der Durchführung von Befragungen mit europäischen Zahlungsexperten und Verbrauchern gewidmet. Dabei zeigte sich auch, dass die breite Gesellschaft bisher praktisch noch gar nicht informiert ist. 73 Prozent der europäischen Online-Käufer sind sich derzeit noch gar nicht bewusst, dass mit SCA eine Umstellung vor der Tür steht, die sie alle betreffen wird. Das ist ein großes Problem: Besonders bei den ersten Kaufversuchen nach der Umstellung wird es zu vermehrten Abbrüchen des Kaufprozesses kommen.
Um diese frühen Conversion-Rate-Ausfälle zu umgehen, sollten Händler ihre Kunden frühzeitig und umfassend informieren. Schon heute empfinden nur 47 Prozent der europäischen Online-Käufer den Check-out-Vorgang als "sehr leicht". Wichtig ist also, dass sich für Käufer wenig verändert, um unnötige Abbrüche von Zahlungsvorgängen zu vermeiden. Das ist besonders für Online-Händler mit weniger als 100 Mitarbeitern eine Herausforderung.
Kleinere Unternehmen könnten besonders leiden
Nicht nur die Verbraucher, sondern auch drei von fünf Unternehmen mit weniger als 100 Angestellten haben noch nie von SCA gehört, planen nicht, bis zum Inkrafttreten richtlinienkonforme Strukturen zu schaffen oder können noch nicht einschätzen, wann sie dies schaffen werden. Nur 8 Prozent sind "extrem gut vorbereitet". Kleinen und mittleren Händlern fehlt also scheinbar das Verständnis, wie umfassend und einschneidend die Umstellung sein wird. Im Vergleich dazu ist sich nur einer von 25 Zahlungsexperten in Unternehmen mit mehr als 5 000 Mitarbeitern nicht der Änderungen bewusst.
Eine eigene Zahlungsinfrastruktur für Online-Käufe zu entwickeln, kommt für Unternehmen mit weniger als 100 Mitarbeitern aufgrund der hohen rechtlichen, technischen, personellen und besonders finanziellen Herausforderungen nicht infrage. Sie müssen daher 3D Secure 2 systematisch integrieren und anwenden oder mit einem Payment Service Provider (PSP) zusammenarbeiten. Die Umstellung ist deshalb besonders für kleinere Unternehmen eine Herausforderung.
Unternehmen, die bis zum 14. September noch keine Anpassungen an die SCA-Richtlinie vorgenommen haben, laufen Gefahr, dass ihre Kunden nicht online bezahlen können. Eine frühe Vorbereitung ist daher unumgänglich. Alle Online-Händler in Europa sollten bis zum Stichtag über eine SCA-Strategie verfügen. Viele sind sich dessen bewusst, aber nur etwa 40 Prozent fühlen sich ausreichend vorbereitet.
Unterschiedliche Auslegungen der EU-Verordnung
Problematisch ist, dass die EU-Verordnung von nationalen Regulierungsbehörden - von verschiedenen Ländern und Kartennetzwerken also möglicherweise unterschiedlich - ausgelegt wird. Insgesamt über 6 000 europäische Banken werden unterschiedliche Auslegungen von SCA haben.
Auch die vielen Ausnahmen, für die keine zweite Authentifizierung seitens des Käufers nötig ist, sind schwer zu durchschauen. Sie gelten zum Beispiel bei wiederkehrenden Zahlungen oder kleinen Beträgen von unter 30 Euro. Sobald aber - nur als Beispiel - fünf kleine Transaktionen oder mehrere kleine Transaktionen im Gesamtwert von mindestens 100 Euro durchgeführt werden, wird eine zweite Authentifizierung doch wieder nötig. Es gibt eine Vielzahl solcher Ausnahmeregelungen - und Ausnahmen von der Ausnahme -, die zu beachten sind. Doch die Hälfte der Befragten plant, alle Ausnahmeregelungen intern in Prozesse zu integrieren, also alleine zu handhaben. Das zeigt, dass viele Händler den Aufwand deutlich unterschätzen, denn ein In-House-Management ist extrem aufwendig.
Authentifizierungsmöglichkeiten in den Kaufprozess zu integrieren und Prozesse für Transaktionen, die von der Richtlinie ausgeschlossen sind zu entwickeln, ist für IT-Teams eine zeitaufwendige Aufgabe, die noch lange über den September hinaus andauern wird. Auch die Kosten, die die IT-Umstellung mit sich bringt, sind nicht zu unterschätzen. Wie kann sich ein Online-Händler also ganz praktisch auf SCA vorbereiten?
Drei Lösungswege für Online-Händler
1. Die systematische Integration und Anwendung von 3D Secure 2 (3DS2), der Lösung zur Maximierung der Transaktionssicherheit und Gewährleistung eines reibungslosen Bezahlvorgangs, auch auf mobilen Geräten. Dazu braucht es einen technischen Partner. Erfolgsaussichten: zweifelhaft, denn wahrscheinlich werden nicht alle Banken 3DS2 zum Stichtag bereits akzeptieren. Sollte das der Fall sein, müssen Händler auf 3DS1 setzen, was laut Visa einen Umsatzrückgang von 11 Prozent zur Folge hat. Umsetzbarkeit: mittel.
2. Eine eigene Zahlungsinfrastruktur entwickeln, indem sich der Händler mit dem Zahlungskartennetz und allen richtlinienkompatiblen Zahlungsmitteln wie Apple Pay und Google Pay verbindet. Besonders komplex ist diese Lösung, weil alle Vorschriften und Ausnahmen aller potenziellen Zahlungsströme in alle Herkunftsländer der Bank, Kunden und Zahlungsmittel berücksichtigt werden müssen. Erfolgsaussichten: hoch. Umsetzbarkeit: schwierig. Nur sehr große Händler können eine solche rechtliche, technische, personelle und besonders finanzielle Herausforderung stemmen.
3. Einen Payment Service Provider (PSP) an Bord holen, der Gesetze, Ausnahmen und unterschiedliche Auslegungen kennt. Die Zahl der Zahlungsdienstleister, die Händler beim Übergang zur Nutzung SCA-kompatibler Zahlungslösungen umfassend begleiten, ist allerdings gering. Erfolgsaussichten: gut - hier kommt es jedoch auf die Wahl des Zahlungsdienstleisters an, denn selbst diese sind teils noch nicht gut vorbereitet. Umsetzbarkeit: einfach.
Es ist durchaus noch möglich, rechtzeitig die neuen Regeln umzusetzen. Besonders die Zusammenarbeit mit einem Payment Service Provider, der gut vorbereitet ist, ist eine gut umsetzbare Option. Und eine weitere gute Nachricht gibt es zum Schluss: Deutschland ist mit Spanien Spitzenreiter, was die Bekanntheit der Richtlinienänderung angeht. Jetzt müssen die Händler, die SCA kennen, nur noch handeln.
