Was ist Starke Kundenauthentifizierung (SCA) nach PSD2?

PSD2 (Artikel 97 der Richtlinie (EU) 2015/2366) verlangt von Zahlungsdienstleistern, **starke Kundenauthentifizierung** anzuwenden, wenn ein Zahler online auf sein Zahlungskonto zugreift, eine elektronische Zahlung auslöst oder über einen Fernkanal eine Handlung vornimmt, die ein Betrugs- oder Missbrauchsrisiko birgt. SCA bedeutet eine Authentifizierung auf Basis von **mindestens zwei** Elementen aus drei voneinander unabhängigen Kategorien — **Wissen** (z. B. Passwort oder PIN), **Besitz** (z. B. Smartphone oder Hardware-Token) und **Inhärenz** (z. B. Fingerabdruck oder Gesichtserkennung). Entscheidend ist die **Unabhängigkeit**: die Kompromittierung eines Elements darf die Zuverlässigkeit der anderen nicht beeinträchtigen ^[1].

Die operativen Details regelt die **SCA-RTS — Delegierte Verordnung (EU) 2018/389**, anwendbar seit dem **14. September 2019** ^[2]. Für Fern-Zahlungen verlangt sie **dynamische Verknüpfung**: der Authentifizierungscode ist an den konkreten Betrag und den konkreten Empfänger gebunden, sodass eine Änderung der Transaktionsdaten den Code ungültig macht.

Die RTS definiert auch eine Reihe von **Ausnahmen** von SCA (u. a. Klein­betrags- und kontaktlose Zahlungen, wiederkehrende Zahlungen gleicher Höhe an denselben Empfänger, vertrauenswürdige Begünstigte und eine risikobasierte Transaktions­risiko­analyse) sowie die **sichere Kommunikation** zwischen kontoführenden Banken und Drittdienstleistern: Banken stellen entweder eine dedizierte Schnittstelle (API) oder eine angepasste Kundenschnittstelle bereit, mit einem **Fallback-/Notfall-Mechanismus**, damit lizenzierte AISPs und PISPs nicht abgeschnitten werden. (Konkrete Artikel- und Schwellenwert-Angaben hängen am jeweiligen Anwendungsfall — wir verlinken stets den Primärtext.)

Die Kommission hat im Juni 2023 ein Reformpaket vorgeschlagen — eine **PSD3-Richtlinie (COM(2023) 366)** und eine unmittelbar geltende **Payment Services Regulation (COM(2023) 367)** —, das auch das SCA-Regime weiterentwickeln würde (u. a. Barrierefreiheit der Authentifizierung, Zuständigkeits­verteilung für SCA und zusätzliche Betrugs­abwehr wie Verification-of-Payee). Stand Mitte 2026 ist dazu eine **vorläufige politische Einigung (27. November 2025)** erreicht und der Text steht **kurz vor der Verabschiedung**, ist aber **noch nicht angenommen oder im Amtsblatt veröffentlicht** — bis dahin gilt das SCA-Regime aus PSD2 + SCA-RTS unverändert weiter.