Das Protokoll 3D Secure fügt beim Online-Einkauf mit Kreditkarte eine Authentifizierungsstufe hinzu. Großteils durch die europäische Richtlinie DSP2 vorgeschrieben, sendet dieser Mechanismus einen Code per SMS oder Benachrichtigung in der Banking-App, bevor die Transaktion validiert wird. Einige Händler aktivieren diese Überprüfung nicht, entweder weil sie einen Zahlungsdienstleister nutzen, der dies nicht verlangt, oder weil die Transaktion in einen durch die Vorschriften vorgesehenen Ausnahmefall fällt.
Ausnahmen DSP2: Warum einige Transaktionen 3D Secure entgehen
3D Secure ist keine binäre Wahl des Händlers. Die DSP2 sieht mehrere Fälle vor, in denen eine starke Authentifizierung nicht erforderlich ist, und oft ist es dieser Mechanismus, der das Fehlen einer Überprüfung erklärt, anstatt eine einfache Ablehnung des Protokolls.
Transaktionen, die vom Kartenemittenten als geringes Risiko eingestuft werden, können ausgenommen werden. Zahlungsdienstleister verwenden Echtzeitanalyse-Algorithmen (Transaction Risk Analysis), um jede Transaktion zu bewerten. Wenn die Betrugsrate des Dienstleisters unter einem von den Vorschriften festgelegten Schwellenwert bleibt, kann er eine Ausnahme für Zahlungen mit geringem Betrag beantragen.
- Wiederkehrende Zahlungen (Abonnements) lösen 3D Secure nur bei der ersten Transaktion aus, nicht bei den folgenden.
- Einkäufe unter einem bestimmten Schwellenwert können ausgenommen werden, wenn der Erwerber eine ausreichend niedrige Betrugsrate aufrechterhält.
- Vertrauenswürdige Empfänger, die manuell vom Karteninhaber bei seiner Bank hinzugefügt werden, umgehen die starke Authentifizierung.
Mit anderen Worten, das Fehlen von 3D Secure bedeutet nicht das Fehlen von Sicherheit. Es spiegelt oft eine positive Risikoanalyse wider, die im Hintergrund durchgeführt wird und für den Käufer unsichtbar ist.
Um dieses Thema im Detail zu erkunden, gibt es eine Liste von Seiten ohne 3D Secure, die Plattformen auflistet, bei denen diese Überprüfung nicht systematisch ausgelöst wird.
Kreditkartenbetrug in Frankreich: Was die neuesten Zahlen zeigen
Die Betrugsrate bei Kreditkarten in Frankreich ist im ersten Halbjahr 2025 auf etwa 0,048 % gefallen, laut dem Observatoire de la sécurité des moyens de paiement (OSMP) der Banque de France. In Zahlen entspricht das 211 Millionen Euro, was einem Rückgang von fast 10 % im Jahresvergleich entspricht.
Dieser Rückgang erklärt sich teilweise durch die Verbreitung von 3D Secure. Die Karte bleibt das Zahlungsmittel mit dem geringsten Betrugsrisiko im Verhältnis.
Das Paradoxon liegt woanders. Der Betrug über alle Zahlungsmittel hinweg ist um etwa 7 % gestiegen und erreichte im gleichen Zeitraum 618 Millionen Euro. Der Betrug verschwindet nicht, er verlagert sich. Die Techniken der sozialen Manipulation (falscher Bankberater, gezieltes Phishing) machten 2024 etwa 32 % des Betrugs bei Zahlungen aus, und dieser Anteil stieg 2025 auf etwa 40 %.
Das Bezahlen auf einer Seite ohne 3D Secure stellt also heute nicht das Haupt Risiko für einen Karteninhaber dar. Die wahre Gefahr geht von menschlichen Manipulationen aus, nicht von der Abwesenheit eines SMS-Codes.
Zahlung ohne 3D Secure: Was der Händler übernimmt
Wenn ein Händler sich entscheidet, die 3D Secure-Authentifizierung nicht auszulösen, übernimmt er das Risiko der Anfechtung. Im Falle eines nachgewiesenen Betrugs trägt der Händler (und nicht die Bank des Karteninhabers) den finanziellen Verlust im Rahmen des Haftungsübergangsmechanismus.
Dieser Verantwortungsübergang erklärt, warum einige große internationale Plattformen 3D Secure absichtlich deaktivieren. Ihre Rechnung ist einfach: Die Kosten für abgebrochene Warenkörbe übersteigen die Kosten für absorbierten Betrug. Eine zusätzliche Authentifizierungsschritt führt zu signifikanten Warenkorbabbrüchen, und für eine Seite mit sehr hohem Volumen bedeutet jeder verlorene Konversionspunkt einen erheblichen entgangenen Gewinn.
Die Seiten, die diese Wahl treffen, verfügen in der Regel über ausgeklügelte interne Antibetrugssysteme. Sie analysieren die IP-Adresse, den Browser-Fingerabdruck, die Kaufhistorie und Dutzende anderer Signale, bevor sie eine Transaktion akzeptieren. Das Fehlen von sichtbarem 3D Secure bedeutet nicht das Fehlen von Filterung.
Betroffene Seitenarten
Plattformen für digitale Dienste (Streaming, Cloud-Speicher, bestimmte mobile Anwendungen) gehören zu den häufigsten. Reise- und Hotelbuchungsseiten nutzen ebenfalls Ausnahmen, insbesondere für wiederkehrende Zahlungen oder Vorauszahlungen mit geringem Risiko.
Einige E-Commerce-Händler, die sich auf kleine Beträge spezialisiert haben, umgehen ebenfalls 3D Secure dank der von der DSP2 vorgesehenen Ausnahmeschwellen.
Schutz der Kreditkarte ohne Verlass auf 3D Secure
Nur auf 3D Secure zu setzen, um die Online-Einkäufe zu sichern, wäre ein Fehler. Mehrere ergänzende Maßnahmen bieten einen robusteren Schutz, unabhängig von der verwendeten Seite.
- Virtuelle Einmal-Karten, die von den meisten Online-Banken angeboten werden, generieren eine temporäre Kartennummer, die an einen bestimmten Betrag und eine bestimmte Dauer gebunden ist.
- Die Aktivierung von Echtzeitbenachrichtigungen für jede Transaktion ermöglicht es, sofort eine nicht autorisierte Transaktion zu erkennen und die Karte über die Banking-App zu sperren.
- Die Überprüfung des HTTPS-Protokolls und des Rufs des Händlers vor jedem Kauf bleibt ein grundlegender Reflex, der effektiver ist als ein nachträglich gesendeter SMS-Code.
- Die Weitergabe von Bankdaten am Telefon, selbst an einen Gesprächspartner, der sich als die eigene Bank ausgibt, begrenzt die Exposition gegenüber Betrug durch soziale Manipulation, die 2025 explodiert.
3D Secure ist eine Schutzschicht unter anderen, kein absoluter Schild. Die Seiten, die es nicht verwenden, kompensieren in der Regel durch Echtzeitanalyse-Risikosysteme auf der Serverseite. Der Karteninhaber behält die Kontrolle über die Sicherheit seiner Daten, indem er die Werkzeuge aktiviert, die seine Bank zur Verfügung stellt.