Seit dem 14. September 2019 unterliegt jeder Händler, der Online-Zahlungen akzeptiert, der PSD2-Richtlinie. Angesichts der Fachsprache, der zu beherrschenden Ausnahmen und der anstehenden regulatorischen Änderungen bewegen sich viele Geschäftsführer von Kleinst- und Kleinunternehmen jedoch noch immer auf unbekanntem Terrain. Die Folge: nicht konforme Zahlungsprozesse, vermeidbare Kaufabbrüche und ein unnötiges Betrugsrisiko. Dieser Artikel bietet einen klaren und praxisorientierten Überblick über die Richtlinie, ihre konkreten Anforderungen und die notwendigen Maßnahmen zur sofortigen Umsetzung. Djaboo bietet hierfür ein spezielles Modul an. Bezahlungen.
PSD2: Definition und Ziele der europäischen Richtlinie
PSD2 oder Zweite Europäische Richtlinie über Zahlungsdienste (auf Englisch: Richtlinie über Zahlungsdienste 2Der Regeltext wurde 2015 vom Europäischen Parlament verabschiedet und trat 2018 in den Mitgliedstaaten in Kraft. In Frankreich wurde er durch die Verordnung vom 9. August 2017 und das Dekret vom 31. Juli 2018 unter der Aufsicht der Aufsichtsbehörde für Bankenaufsicht und -abwicklung (ACPR) und der Banque de France umgesetzt.
Sie tritt die Nachfolge der ersten Zahlungsdiensterichtlinie (PSD1) von 2007 an, deren Rahmen angesichts des Aufstiegs des Online-Handels und des Auftretens neuer Akteure im Bereich des digitalen Zahlungsverkehrs unzureichend geworden war.
Seine drei Hauptziele:
Die Richtlinie gilt, wenn sowohl die Bank des Zahlers als auch die Bank des Händlers im EWR ansässig sind. Sie betrifft alle Zahlungsdienstleister: Banken, Zahlungsinstitute, E-Geld-Institute, aber auch indirekt alle Händler, die Online-Kartenzahlungen akzeptieren.
Starke Kundenauthentifizierung (SCA): das Herzstück von PSD2
Starke Kundenauthentifizierung, bekannt unter dem englischen Akronym SCA (Starke KundenauthentifizierungDie sichtbarste Maßnahme der PSD2 für Online-Händler ist die Überprüfung der Identität des Zahlers anhand mindestens eines bestimmten Kriteriums. zwei unterschiedliche Faktoren unter den folgenden drei Kategorien:
Diese beiden Faktoren müssen unterschiedlichen Kategorien angehören und voneinander unabhängig sein: Eine Beeinträchtigung des einen darf den anderen nicht beeinträchtigen. Sie müssen außerdem dynamisch mit dem Transaktionsbetrag und dem Begünstigten verknüpft sein.
Konkret für Ihren Mandanten: Bei der Zahlung auf Ihrer Website erhält der Kunde eine Benachrichtigung von seiner Bank über die mobile App. Anschließend bestätigt er die Zahlung per Fingerabdruck oder Sicherheitscode. Dies ist heutzutage das gängigste Verfahren und wird durch das 3-D Secure 2-Protokoll ermöglicht (siehe Abschnitt 6).
Der SCA gilt für drei Situationen:
Die Wirksamkeit dieser Maßnahme ist messbar. Laut dem Jahresbericht 2023 des Payment Security Observatory (OSMP), das von der Zentralbank verwaltet wird, … Bank von FrankreichDie Bankkarte weist historisch niedrige Betrugsraten auf. 0,053% Im Jahr 2023 wurde der niedrigste jemals verzeichnete Wert erreicht. Der Bericht hebt ausdrücklich hervor, dass dieses Ergebnis durch die Robustheit starker Authentifizierungsmethoden ermöglicht wird.
Was ändert sich dadurch konkret für Online-Händler?
Vor PSD2 reichten für die Bestätigung eines Online-Kaufs lediglich die Bankkartennummer, das Ablaufdatum und der Sicherheitscode aus. Diese Zeiten sind vorbei. So hat die Richtlinie Ihre täglichen Abläufe verändert.
Sie sind nicht direkt für die Authentifizierung verantwortlich.Sie tragen jedoch die Konsequenzen. Technisch gesehen ist es Ihr Zahlungsdienstleister (PSP), der die starke Kundenauthentifizierung (SCA) implementiert. Andererseits wählen Sie Ihren PSP aus, konfigurieren Ihre Zahlungsabläufe und übermitteln die Daten, die es der Bank Ihres Kunden ermöglichen, das Transaktionsrisiko einzuschätzen.
Was das konkret für Sie bedeutet:
Seit Mai 2025 verschärft der Plan der französischen Zahlungssicherheitsaufsicht (OSMP) die Anwendung dieser Regeln: Transaktionen ohne starke Authentifizierung werden nun systematisch abgelehnt, sofern keine ausdrücklich begründete Ausnahme vorliegt. Laut Payplug generieren Zahlungen ohne 3-D Secure … viermal so viel Betrug dass Zahlungen korrekt authentifiziert wurden (0,358 % gegenüber 0,095 %).
Ausnahmen von der starken Authentifizierung (kleine Beträge, Abonnements, MIT…).
PSD2 schreibt keine starke Authentifizierung für jede Transaktion vor. Mehrere Ausnahmen ermöglichen einen reibungsloseren Kaufprozess, ohne die Sicherheit zu beeinträchtigen. Im Folgenden sind die wichtigsten Ausnahmen gemäß der Verordnung aufgeführt.
Freibetrag für geringe Beträge
Online-Zahlungen bis zu einem Betrag von 30 € kann von der SCA befreit sein. Diese Befreiung gilt unter zwei kumulativen Bedingungen:
Sobald einer dieser Schwellenwerte erreicht ist, ist für die nächste Transaktion wieder eine starke Authentifizierung erforderlich.
Befreiung durch Transaktionsrisikoanalyse (TRA)
Zahlungsanbieter, die eine ausreichend niedrige Betrugsrate aufweisen, können Ausnahmen für höhere Beträge beantragen. Die regulatorischen Schwellenwerte lauten wie folgt:
Der Zahlungsdienstleister (der Händler) oder die ausstellende Bank (der Kunde) kann diese Ausnahme beantragen. Stellt der Acquirer den Antrag und akzeptiert die ausstellende Bank, haftet der Acquirer und damit auch der Händler im Betrugsfall.
Befreiung für vertrauenswürdige Begünstigte
Ein Kunde kann seine Bank bitten, Ihre Website auf eine Whitelist zu setzen. Zukünftige Käufe in Ihrem Shop sind dann von der Einzeltransaktionsauthentifizierung (SCA) ausgenommen. Dies ist eine nützliche Funktion zur Stärkung der Kundenbindung, die jedoch vom Kunden selbst bei seiner Bank beantragt wird.
Ausnahme für wiederkehrende Zahlungen (Abonnements)
Bei einem Abonnement mit festem Betrag, das demselben Empfänger zugutekommt, gilt nur die erste Transaktion unterliegt einer strengen Authentifizierung. Nachfolgende Abhebungen sind gebührenfrei, sofern Betrag und Begünstigter unverändert bleiben.
Händlerinitiierte Transaktionen (MIT)
Die MITs (Vom Händler initiierte TransaktionenHierbei handelt es sich um Zahlungen, die vom Händler ohne Kundeninteraktion im Rahmen eines bestehenden Vertrags initiiert werden. Sie umfassen wiederkehrende Zahlungen mit variablem Betrag, Gebühren bei Nichterscheinen oder Zahlungsaufschübe. Für die Gültigkeit müssen zwei Bedingungen erfüllt sein: ein eindeutiges vertragliches Mandat und eine initiale Transaktion, die über 3-D Secure 2 authentifiziert wurde. Seit dem zweiten Quartal 2025 wird eine unvollständige Verkettung zwischen der initialen Transaktion und nachfolgenden monatlichen Interchange-Transaktionen (MITs) mit einer Höchstgrenze von 0 € für nicht konforme Händler bestraft.
PSD2 und Open Banking: Zugang zu Bankdaten
Über die Zahlungssicherheit hinaus führte PSD2 eine zweite Strukturierungskomponente ein:Open BankingDieser Mechanismus verpflichtet Banken, zugelassenen Drittanbietern über standardisierte Programmierschnittstellen (APIs) und mit ausdrücklicher Zustimmung des Kunden Zugang zu den Daten ihrer Kunden zu gewähren.
Es wurden zwei Kategorien von Drittakteuren geschaffen:
Für Händler stellt Open Banking eine konkrete Chance dar: die Möglichkeit, Zahlungen per Sofortüberweisung anzubieten, ohne die mit Bankkarten verbundenen Interbankengebühren und ohne das Risiko von Rückbuchungen (Rückbuchungda die Transaktion unwiderruflich ist.
Die Realität vor Ort muss jedoch noch verbessert werden. Eine unabhängige Studie, die von mehreren französischen Fintech-Unternehmen in Auftrag gegeben und im Januar 2024 von der Beratungsfirma Frame veröffentlicht wurde, zeigt, dass nur 44 % der über Banking-APIs initiierten Zahlungen sind erfolgreichim Vergleich zu einer Erfolgsquote von 95% zur Kontoabfrage. Laut France FinTech geben Banken in 84 % der Ablehnungsfälle dem Zahlungsinitiator keine Erklärung für die Gründe des Fehlschlagens.
Diese Mängel erklären, warum Open Banking seine Versprechen für Händler noch nicht vollständig eingelöst hat. PSD3, das derzeit verabschiedet wird, zielt genau darauf ab, diese Funktionsstörungen zu beheben (siehe Abschnitt 8).
Wie Sie Ihre Zahlungsabwicklung konform gestalten (3-D Secure 2, Dienstanbieter)
Die Einhaltung der PSD2-Richtlinie erfordert einige konkrete Maßnahmen, die auch ohne tiefgreifende technische Fachkenntnisse umsetzbar sind.
Schritt 1: Prüfen Sie, ob Ihre PSP 3-D Secure 2 unterstützt.
Dies ist eine absolute Voraussetzung. Die wichtigsten Zahlungsanbieter auf dem Markt (Stripe, PayPal und französische Banken) unterstützen 3DS2 nativ. Wenn Sie einen älteren Zahlungsanbieter oder eine individuelle Lösung verwenden, vergewissern Sie sich unbedingt, dass Ihre Transaktionen über das 3DS2-Protokoll und nicht über die ältere Version abgewickelt werden.
Schritt 2: Die mit jeder Transaktion übermittelten Daten anreichern
Das 3DS2-Protokoll ermöglicht die Übermittlung von über 100 Datenfeldern an die ausstellende Bank. Je vollständiger Ihre Anfrage ist, desto wahrscheinlicher ist die Genehmigung der Zahlung durch die Bank. reibungslos (ohne dass Ihr Kunde eingreifen muss). Die wichtigsten zu übermittelnden Daten sind: die E-Mail-Adresse des Kunden, seine IP-Adresse, der Browsertyp und das Gerät, die Lieferadresse und die Kaufhistorie auf Ihrer Website.
Schritt 3: Sanftes Ablehnungsmanagement implementieren
Ihr Zahlungssystem muss in der Lage sein, einen Betrug zu erkennen. sanfter Rückgang und die Transaktion automatisch mit einer starken Authentifizierungsanfrage neu starten. Ohne diesen Mechanismus entgehen Ihnen potenzielle Umsätze.
Schritt 4: Sichern Sie Ihre MIT-Feeds und Abonnements
Wenn Sie Abonnements oder wiederkehrende Zahlungen anbieten, stellen Sie sicher, dass jede Transaktion mit einer initialen, per 3DS2 authentifizierten Transaktion verknüpft ist. Bewahren Sie den Nachweis des Mandats auf (akzeptierte Geschäftsbedingungen, Zahlungsprotokolle, Vertrag). Leere oder generische Kennungen sind ab 2025 nicht mehr zulässig.
Schritt 5: Wählen Sie einen Zahlungsdienstleister, der zu Ihrem Unternehmen passt.
Für Kleinstunternehmen und KMU ist die Wahl des richtigen Zahlungsanbieters von entscheidender Bedeutung. Ein guter Zahlungsdienstleister übernimmt die Einhaltung der PSD2-Richtlinien, optimiert Ihre Ausnahmeregelungen und schützt Sie vor Betrug. Er sollte Ihnen außerdem klare Indikatoren zu Ihren Authentifizierungsraten liefern. reibungslos und Misserfolg.
Die Auswirkungen auf die Konversionsrate und wie man sie begrenzen kann
Das ist die größte Sorge für Online-Händler: Vergrault eine starke Authentifizierung die Kunden? Die ehrliche Antwort lautet: Es kommt auf die Qualität der Implementierung an.
Während der ersten Phase der Einführung von SCA beobachteten einige Händler einen Rückgang der Konversionsraten. 10 zu 25% In den ersten Monaten lagen die Schwierigkeiten hauptsächlich an schlecht optimierten Nutzerpfaden und der Verunsicherung der Kunden durch die neuen Schritte. Dank der breiten Anwendung der Methode hat sich die Situation seither deutlich verbessert. reibungslos des 3DS2-Protokolls.
Heute, zwischen 70 bis 90 % der 3DS2-Transaktionen werden im Modus durchgeführt reibungslosDas heißt, ohne dass der Kunde etwas tun muss. Die Bank bewertet das Risiko im Hintergrund in weniger als einer Sekunde und genehmigt die Zahlung stillschweigend. Der Kunde merkt nichts davon. Genau das ist das ideale Kundenerlebnis.
Hebel zur Maximierung Ihrer reibungslosen Umwandlungsrate:
Auf dem Weg zu PSD3: Was kommt als Nächstes?
PSD2 ist nicht das letzte Wort bei den europäischen Zahlungsvorschriften. Am 27. November 2025 erzielten das Europäische Parlament und der Rat eine politische Einigung über die Dritte Zahlungsdiensterichtlinie (PSD3) und Zahlungsdiensteverordnung (PSR)Nach Angaben des Europäischen Parlaments wird die formelle Veröffentlichung in der ersten Hälfte des Jahres 2026 erwartet, die erste Umsetzungswelle soll zwischen Ende 2026 und Anfang 2027 erfolgen.
Was ändert sich mit PSD3?
Laut dem Präsidenten von Afepame stellt das DSP3/RSP-Paket „das Reifepaket dar: Es erkennt die Einschränkungen von DSP2 an, ist in Bezug auf APIs strenger und fördert eine stärkere Zusammenarbeit zwischen den Beteiligten.“
Für Händler stellt PSD3 die durch PSD2 geschaffenen Grundlagen nicht in Frage, sondern stärkt sie. Unternehmen, die ihre Zahlungsprozesse bereits optimiert und ihre Daten gesichert haben, sind am besten gerüstet, um diese neuen Anforderungen zu erfüllen.
Djaboo und das Management Ihres Cashflows
Die Einhaltung der PSD2-Vorschriften beschränkt sich nicht nur auf die Auswahl des richtigen Zahlungsdienstleisters. Sie ist Teil einer umfassenderen Organisation Ihres Unternehmens: Rechnungsverfolgung, Verwaltung wiederkehrender Zahlungen, Mandatsrückverfolgbarkeit und Kundenbeziehungsmanagement.
Genau das ermöglicht Djaboo Kleinstunternehmen und KMU. Die All-in-One-Plattform vereint Finanzmanagement, Rechnungsstellung, CRM und Projektmanagement in einem einzigen Arbeitsbereich. Sie können einen Kunden registrieren und eine Rechnung in weniger als zwei Minuten erstellen – ganz ohne technische oder buchhalterische Kenntnisse. Zahlungen und Dokumente werden direkt über Ihr Dashboard verwaltet, sodass Sie jederzeit volle Transparenz über Ihr Unternehmen haben, einschließlich wiederkehrender Transaktionen, die den PSD2-Anforderungen entsprechen müssen.
Häufig gestellte Fragen: Ihre Fragen zu PSD2
Gilt PSD2 für meine Website, wenn meine Kunden in Frankreich sind und meine Bank ebenfalls in Frankreich ansässig ist?
Ja. PSD2 gilt, solange sich sowohl die Bank des Zahlers als auch die Bank des Händlers im Europäischen Wirtschaftsraum (EWR) befinden. Wenn Sie ein französischer Händler sind und Ihre Kunden mit Karten französischer oder europäischer Banken bezahlen, sind Sie vollumfänglich betroffen. Befindet sich jedoch eine der beiden Parteien (Ihr Acquirer oder die Bank Ihres Kunden) außerhalb des EWR, gilt die Transaktion als „Single-Step“-Transaktion und unterliegt nicht den SCA-Anforderungen.
Was passiert, wenn ich die PSD2-Richtlinien nicht einhalte?
Ab Mai 2025 werden alle Transaktionen, die ohne starke Authentifizierung (und ohne gerechtfertigte Ausnahme) eingeleitet werden, systematisch abgelehnt. sanfter Rückgang von französischen Emittenten. Neben dem Umsatzverlust besteht das Hauptrisiko im Finanzbereich: Im Falle eines Betrugs bei einer nicht authentifizierten Transaktion tragen Sie die Verantwortung direkt, nicht die ausstellende Bank. Ihr Zahlungsdienstleister kann Sie zudem mit einer Begrenzung der Transaktionsgeschwindigkeit bestrafen, wenn Ihre MIT-Transaktionen nicht ordnungsgemäß verkettet sind.
Muss ich für jede Abonnementzahlung eine starke Authentifizierung anfordern?
Nein. Nur die erste Transaktion einer Festbetragsabonnementzahlung unterliegt der SCA. Nachfolgende Abbuchungen in gleicher Höhe an denselben Begünstigten sind ausgenommen. Bei variablen Beträgen ist die Situation jedoch komplexer und hängt von den jeweiligen Vorgehensweisen der einzelnen Institute ab. Für variable MITs sind ein eindeutiges vertragliches Mandat und eine authentifizierte Ersttransaktion unerlässlich. Im Zweifelsfall konsultieren Sie bitte die entsprechenden Ressourcen. Bank von Frankreich oder vonAKPR.
Wann tritt PSD3 in Kraft und sollte ich mich jetzt schon darauf vorbereiten?
Im November 2025 wurde eine politische Einigung erzielt. Die formelle Veröffentlichung wird für das erste Halbjahr 2026 erwartet. Die Zahlungsdiensteverordnung (PSD2), die die zentralen operativen Pflichten (starke Kundenauthentifizierung, Betrugsbekämpfung, Open Banking) enthält, wird EU-weit ohne nationale Umsetzung unmittelbar gelten. Die erste Umsetzungsphase wird voraussichtlich zwischen Ende 2026 und Anfang 2027 beginnen. Sie müssen nicht sofort alles ändern, aber die Architektur und die Auswahl Ihrer Zahlungsdienstleister, die Sie heute treffen, bestimmen Ihre zukünftige Compliance. Die beste Vorbereitung ist die Optimierung Ihrer bestehenden PSD18-Prozesse.
