Ist 3D-Secure ein Conversion-Killer?

Die 3D-Secure Technologie, bekannt unter den Markennamen Verified by Visa und MasterCard SecureCode, ist grundsätzlich nichts neues. Bereits im Jahr 2003 haben wir einen Fachartikel für die Netzwoche verfasst. In wenigen Worten umschrieben, geht es um folgendes:

• Ohne 3D-Secure ist nur die Bank des Onlineshops bei Kreditkarten-Transaktionen involviert, eine Identifikation des Karten-Inhabers entfällt.
• Mit 3D-Secure wird im Checkout-Prozess zur Prüfung auch die Bank des Kunden – die ihm die Karte ausgestellt hat – involviert zur Identifizierung.

Die Schweiz kennt das sog. 4-Parteien-System. Neben dem Händler und dem Kunden sind jeweils deren Banken involviert wobei zu beachten ist, dass die sog. Merchant- (Bank des Händlers) und Issuer-Banken (Bank des Kunden) nicht die selben sind.

Mit 3D-Secure ist im online Kreditkarten-Zahlungsprozess die Bank des Kunden fortan als zusätzliche Partei im Spiel.

Haftungsumkehr / Liability Shift

Erst in der jüngeren Vergangenheit wurde nun diese Technologie fast flächendeckend in der Schweiz für die Kunden aufgeschaltet, den Händlern steht sie bereits seit längerem zur Verfügung. Für den Händler ergeben sich gewisse Vorteile, insbesondere wird bei Aufschaltung von 3D-Secure die Haftung an die Bank des Kunden verlagert, der sog. Liability Shift.

Für den Kunden wird durch die Identifikation gefühlt die Sicherheit erhöht. Wie immer besteht jedoch zwischen Sicherheit und Benutzerfreundlichkeit ein Trade-Off. Kommt hinzu, dass die vermeintliche zusätzliche Sicherheit vom Kunden mit der Haftungsübernahme bezahlt werden soll.

Soweit die eine Seite der Medaille. Die Kehrseite jedoch ist, dass die Abbrüche im Checkout angestiegen sind mit 3D-Secure und die Kunden durch den neuen Identifikations-Schritt irritiert scheinen.

Entpuppt sich die vermeintliche zusätzliche Sicherheit als Conversion-Killer?

Bereits 2009 schrieb Peter Schüpbach von Fashionfriends in seinem persönlichen Blog unter dem Titel „VISA/Mastercard – 3d Secure Bullsh***“

„Das ganze Prozedere ist eine absolute Verhinderung eines Kaufprozesses. Ich will gar nicht wissen, wie viele Nutzer da abbrechen und nie mehr die Karte benützen. Zudem ist die Art und Weise der Information der Benutzer eine absolute Katastrophe.“

Eine kurze Umfrage via Twitter, ob 3D-Secure ein Conversions-Killer sei, provozierte folgende Aussagen:

Ähnlich tönt es in den Callcentern und Kundendiensten bei einigen der umsatzstärksten Schweizer Onlineshops, die regelmässig mit Anfragen irritierter Kunden bzgl. 3D-Secure konfrontiert werden.

Woran liegt’s?

Die Kreditkarte gibt es schon um einiges länger als das Internet und sie wurde daher auch grundsätzlich nicht für den Distanzkauf konzipiert. Dennoch hat sie sich durch ihre Charakterisierung der für den Händler idR. garantierten Zahlung vor Lieferung zum Quasi-Standard im (intl.) E-Commerce entwickelt und ist bei den meisten (neuen) Onlineshops Zahlungsmittel erster Wahl, bevor man sich an andere Zahlungsmethoden wie Rechnung etc. wagt.

Einzelne Händler bestätigen zwar, dass ohne 3D-Secure das Betrugsrisiko signifikant höher sei. Doch bezahlt der Händler den zusätzlichen Schutz mit weniger Umsatz durch abgebrochene Checkouts?

Wir konfrontierten die Schweizer Payment Provider mit dieser Fragestellung. Die Postfinance konnte nach eigenen Worten keine erhöhten Abbruchquoten feststellen: Zudem wurden auch keine Volumen-Veränderungen seit Einführung von 3D-Secure registriert. Die Postfinance legt Wert auf folgende Feststellung:

„3DSecure wurde aufgrund von Kundenbedürfnissen und einer Lücke im Bereich gestohlene/verlorene Kreditkarte eingeführt. Konnten doch Dritte im Fall lost/stolen mit dieser Karte im e-commerce ohne weiteres Zahlen. Mit 3DSecure wurde diese Lücke geschlossen und die Karteninhaber sind gegen Missbrauch geschützt.

Es ist im Interesse von allen beteiligten Parteien, 3DSecure konsequent umzusetzen um dem Kartenmissbrauch im e-commerce keinen Nährboden zu bieten.“

Dem ist grundsätzlich nicht einzuwenden und Sicherheit geht vor! Ähnlich die Argumentation seitens Datatrans mit Blick auf die Sicherheit:

„Auch wir hören von höheren Abbruchquoten mit 3-D Secure. Trotzdem unterstützen und befürworten wir das Verfahren, und zwar aus folgenden Gründen:

1. Der Grossteil der Schweizer VISA- und MasterCard Karteninhaber haben sich mittlerweile für Verified by VISA/MasterCard SecureCode registriert und kennen das Verfahren.
2. Seit der breiteren Einführung von 3D Secure sind Fraud-Fälle bei unseren Kunden massiv zurückgegangen.
3. In Zukunft werden die statischen Passwörter wohl durch dynamische abgelöst (z.B. via SMS). Dies vereinfacht den Checkout mit 3D Secure.“

Sicherheit zu Lasten Benutzerfreundlichkeit?

Aber auch Datatrans sieht Optimierungspotential im Verfahren, welches man kundenfreundlicher gestalten sollte, nicht zuletzt auch, um die Conversionen nicht unnötig zu gefährden:

„Gleichzeitig sind wir der Ansicht, dass man das Verfahren weiter vereinfachten könnte – vor allem in Hinblick auf einen verstärkten Einsatz von mobilen Geräten. MasterCard schlägt mit ihrem Programm „Advanced Registration“ eine sinnvolle Lösung vor. Wir wissen allerdings nicht, wann dieses Programm im Markt eingeführt wird – ausserdem scheint VISA momentan noch keine entsprechende Regelung zu planen.“

Diese Lösung sieht vor, dass beim Anlegen des Kundenprofils im Onlineshop nur bei Ersttransaktionen das 3D-Secure-Passwort seitens des Kunden erfasst werden muss. Bei Folgetransaktionen erfolgt die Identifikation durch den Händler über das Kundenlogin, die erneute Identifikation über 3D-Secure durch die Kreditkarten-Organisation kann dann entfallen. Nicht berücksichtigt sind hierbei jedoch Gastlogins.

Ist 3D-Secure der Weisheit letzter Schluss?

Man darf hoffen, dass es dies definitiv nicht ist. Denn die aktuelle Umsetzung ist wenig benutzerfreundlich und führt wiederholt zu Kaufabbrüchen. Zudem kann sie den derzeit verbreiteten Betrugsmethode mittels Trojanern wenig entgegensetzen, da kein zweiter Kommunikationsweg ins Spiel kommt. Hier können bspw. die dynamischen Passwörter über SMS abhilfe schaffen.

3D-Secure kann daher nur eine Zwischenlösung sein – sie ist zweifelsohne in der heutigen Umsetzung mit starken Usability-Mängeln behaftet und eines dieser Übel, die man zusammen mit Captchas heutzutage den Kunden zumutet – von Technikern entwickelt die wissen, dass die Kunden deren private Adresse nicht kennen.

Conversions-Optimierer sind gefordert

Für die Conversion in Onlineshops heisst dies vorab, den Kunden möglichst gut zu führen und zu informieren, dass sich im Checkout seine „Hausbank“ einschaltet und er sich gegenüber dieser identifizieren muss. Es gilt subtil darauf hin zu arbeiten, dass die heutige Irritation in ein gestärktes Sicherheitsgefühl transformiert werden kann.

Denn sonst entpuppt sich 3D-Secure in der Tat als Conversion-Killer.

---