PSD2

Was ist PSD2?

PSD2 ist die zweite EU-Zahlungsdiensterichtlinie und regelt elektronische Zahlungen, Zahlungsdienstleister sowie den Zugriff auf Zahlungskonten. Für den E-Commerce ist vor allem die starke Kundenauthentifizierung relevant: Bei vielen Onlinezahlungen muss der Kunde seine Identität mit mindestens zwei unabhängigen Faktoren aus Wissen, Besitz und persönlichen Merkmalen bestätigen.

PSD2 schafft für Zahlungen im europäischen Wirtschaftsraum einen gemeinsamen rechtlichen Rahmen. Die zweite EU-Zahlungsdiensterichtlinie, englisch: Revised Payment Services Directive, betrifft Banken, Zahlungsdienstleister, Onlineshops und Kunden. Ihr Ziel ist, elektronische Zahlungen sicherer zu gestalten, Wettbewerb zu ermöglichen und neue kontobasierte Zahlungsdienste einzubeziehen.

Was regelt PSD2?

PSD2 basiert auf der EU-Richtlinie 2015/2366 und löste die erste Zahlungsdiensterichtlinie ab. In Deutschland wurden die Vorgaben vor allem über das Zahlungsdiensteaufsichtsgesetz und Änderungen des Bürgerlichen Gesetzbuchs umgesetzt. Die Regelungen erfassen unter anderem Kartenzahlungen, Überweisungen, Kontoinformationsdienste und Zahlungsauslösedienste.

Ein wesentlicher Bestandteil von PSD2 ist Open Banking. Banken müssen autorisierten Drittanbietern mit Zustimmung des Kunden einen sicheren Zugang zu bestimmten Kontodaten oder Zahlungsfunktionen ermöglichen. Ein Kontoinformationsdienst kann beispielsweise Umsätze verschiedener Banken zusammenführen. Ein Zahlungsauslösedienst kann eine Überweisung direkt vom Konto des Käufers anstoßen.

Starke Kundenauthentifizierung bei PSD2

Die starke Kundenauthentifizierung, kurz SCA für Strong Customer Authentication, verlangt grundsätzlich zwei voneinander unabhängige Merkmale. Wird ein Merkmal kompromittiert, darf dadurch die Zuverlässigkeit des zweiten Merkmals nicht beeinträchtigt werden. Eine reine Kombination aus Kartennummer und Prüfnummer erfüllt diese Anforderung regelmäßig nicht, weil beide Angaben auf derselben Karte stehen.

Wissen: etwas, das nur der Kunde kennt, beispielsweise eine PIN oder ein Passwort.
Besitz: etwas, das nur der Kunde besitzt, beispielsweise ein registriertes Smartphone oder eine Banking-App.
Inhärenz: ein persönliches Merkmal des Kunden, beispielsweise ein Fingerabdruck oder eine Gesichtserkennung.

Bei elektronischen Fernzahlungen verlangt PSD2 zusätzlich eine dynamische Verknüpfung mit Betrag und Zahlungsempfänger. Die erzeugte Bestätigung gilt damit für einen konkreten Kauf. Ändert sich der Betrag oder der Empfänger, darf derselbe Authentifizierungscode nicht einfach erneut verwendet werden.

Ein typischer Kartenzahlungsprozess nutzt 3D Secure zur Umsetzung der starken Kundenauthentifizierung. Der Kunde bestätigt den Kauf beispielsweise in der App seiner Bank mit dem registrierten Smartphone als Besitzfaktor und einem Fingerabdruck als persönlichem Merkmal. 3D Secure ist dabei das technische Verfahren, PSD2 ist der rechtliche Rahmen.

PSD2 im E-Commerce 2026

Für Onlineshops greift PSD2 vor allem während des Checkouts. Zahlungsanbieter übermitteln Transaktionsdaten an die kartenausgebende Bank. Die Bank entscheidet anhand der gesetzlichen Regeln und ihrer Risikoprüfung, ob eine starke Kundenauthentifizierung erforderlich ist, eine Ausnahme genutzt werden kann oder die Zahlung abgelehnt wird.

Eine zusätzliche Bestätigung verlängert den Kaufprozess, verhindert aber nicht automatisch den Abschluss. Entscheidend sind verständliche Hinweise, eine mobil nutzbare Weiterleitung und eine Rückkehr auf die korrekte Bestellbestätigung. Eine systematische Usability-Optimierung sollte deshalb den vollständigen Zahlungsprozess einschließlich Fehlerfällen und Authentifizierungsabbrüchen prüfen.

Ausnahmen von der Authentifizierung

PSD2 erlaubt Ausnahmen von der starken Kundenauthentifizierung, wenn definierte Bedingungen erfüllt sind. Bei elektronischen Fernzahlungen kann beispielsweise eine Kleinbetragsausnahme für Beträge unter 30 Euro greifen. Nach mehreren aufeinanderfolgenden Zahlungen oder einem kumulierten Betrag von mehr als 100 Euro seit der letzten starken Authentifizierung muss erneut geprüft werden.

Weitere Ausnahmen betreffen unter bestimmten Voraussetzungen wiederkehrende Zahlungen mit gleichem Betrag und Empfänger, vertrauenswürdige Zahlungsempfänger sowie risikoarme Transaktionen. Bei Abonnements wird in der Regel die Einrichtung beziehungsweise die erste Zahlung stark authentifiziert. Spätere Händlerabbuchungen können anders behandelt werden, sofern Betrag, Empfänger und technischer Ablauf die Voraussetzungen erfüllen.

Eine PSD2-Ausnahme ist kein Anspruch des Onlineshops auf eine Zahlung ohne zusätzliche Bestätigung. Händler und Zahlungsanbieter können eine Ausnahme beantragen oder kennzeichnen, doch die kartenausgebende Bank entscheidet über die Freigabe. Ein Checkout sollte deshalb auch dann funktionieren, wenn die Bank nachträglich eine starke Kundenauthentifizierung verlangt.

PSD2 im Checkout messen

Messbar ist die Auswirkung von PSD2 durch einen getrennten Zahlungsfunnel: Auswahl der Zahlungsart, Start der Authentifizierung, erfolgreiche Bestätigung, Autorisierung und Bestellabschluss. Wenn 1.000 Kunden eine Kartenzahlung starten und 850 Bestellungen abgeschlossen werden, beträgt die Abschlussquote dieses Zahlungswegs 85 Prozent. Erst die Aufteilung der übrigen 150 Vorgänge in Abbruch, technische Störung und Bankablehnung zeigt den konkreten Handlungsbedarf.

Ein häufiger Analysefehler besteht darin, jede fehlgeschlagene Kartenzahlung der starken Kundenauthentifizierung zuzuordnen. Eine Zahlung kann auch wegen eines unzureichenden Verfügungsrahmens, falscher Kartendaten, technischer Zeitüberschreitungen oder einer Risikobewertung der Bank scheitern. Prüfe deshalb Fehlercodes des Zahlungsdienstleisters und vergleiche die Abschlussquote nach Zahlungsart, Gerät und Bankantwort.

Folgen für SEO, SEA und GEO

PSD2 beeinflusst Rankings und KI-Empfehlungen nicht direkt. Ein fehlerhafter Zahlungsprozess senkt jedoch den wirtschaftlichen Wert des über SEO, SEA oder GEO gewonnenen Traffics. Hohe Reichweite hilft einem Onlineshop wenig, wenn authentifizierte Zahlungen nicht zur Bestellbestätigung zurückgeführt werden oder Kunden bei unklaren Fehlermeldungen abbrechen.

Bei SEA verfälschen Checkout-Probleme den ROAS, also das Verhältnis zwischen Werbeumsatz und Werbekosten. Kampagnen erscheinen schwächer, obwohl das Problem nach dem Anzeigenklick entsteht. Eine Prüfung des Zahlungsfunnels gehört deshalb neben Kampagnenstruktur und Tracking zu einer belastbaren Google-Ads-Analyse für Onlineshops.

Für SEO und GEO, also Generative Engine Optimization, sollten Informationsseiten Zahlungsarten, Sicherheitsverfahren und Rückerstattungsprozesse verständlich erklären. Solche Inhalte beantworten konkrete Fragen potenzieller Käufer und schaffen eindeutige Informationen für Suchmaschinen sowie KI-Systeme. Die technische Zahlungsabwicklung bleibt trotzdem eine Aufgabe des Shops, des Zahlungsdienstleisters und der beteiligten Banken. Eine E-Commerce-SEO-Strategie sollte Sichtbarkeit und Kaufprozess deshalb gemeinsam betrachten.

PSD2, 3D Secure und PSD3

Begriff	Bedeutung	Relevanz für Onlineshops
PSD2	EU-Rechtsrahmen für Zahlungsdienste und starke Kundenauthentifizierung	Legt Anforderungen an viele elektronische Zahlungen fest
SCA	Authentifizierung mit mindestens zwei unabhängigen Faktoren	Bestimmt, wann der Käufer seine Identität zusätzlich bestätigen muss
3D Secure	Technisches Verfahren für die Authentifizierung von Kartenzahlungen	Bindet den Kartenherausgeber in die Zahlungsfreigabe ein
PSD3 und PSR	Europäisches Nachfolgeregelwerk zur Weiterentwicklung des Zahlungsrechts	Kann Prozesse und Pflichten künftig verändern

Der Unterschied zwischen PSD2 und 3D Secure liegt in ihrer Funktion: PSD2 formuliert rechtliche Anforderungen, während 3D Secure ein Verfahren zur technischen Umsetzung bei Kartenzahlungen ist. PSD3 und die Payment Services Regulation entwickeln den europäischen Rechtsrahmen weiter. Onlineshops sollten konkrete Anwendungstermine und technische Änderungen mit ihrem Zahlungsdienstleister prüfen.

Wenn du die SEO-Sichtbarkeit und den Kaufprozess deines Onlineshops gemeinsam bewerten möchtest, kann ein unverbindlicher Potenzialcheck die relevanten Ansatzpunkte einordnen.

Kostenloser Potenzialcheck

Häufige Fragen zu PSD2

Gilt PSD2 für jeden Onlineshop?

PSD2 betrifft Onlineshops, sobald sie Zahlungen verarbeiten, die in den räumlichen und sachlichen Anwendungsbereich der europäischen Zahlungsregeln fallen. Die technische Umsetzung übernimmt meist ein Zahlungsdienstleister, die korrekte Einbindung in den Checkout bleibt jedoch für den Händler relevant.

Muss jede Onlinezahlung doppelt bestätigt werden?

Nein. PSD2 sieht Ausnahmen und Transaktionen außerhalb der starken Kundenauthentifizierung vor. Ob eine zusätzliche Bestätigung erforderlich ist, hängt unter anderem von Zahlungsart, Betrag, Risiko, Empfänger und Entscheidung der beteiligten Zahlungsdienstleister ab.

Was bedeutet PSD2 bei einer Kreditkartenzahlung?

Bei einer Kreditkartenzahlung kann PSD2 verlangen, dass der Karteninhaber den Kauf über ein zusätzliches Verfahren bestätigt. Häufig geschieht das über 3D Secure und eine Freigabe in der Banking-App.

Gilt PayPal als PSD2-konforme Zahlungsart?

Zahlungsdienste wie PayPal müssen die für ihren Dienst geltenden europäischen Zahlungsregeln berücksichtigen. Wie eine konkrete Zahlung authentifiziert wird, hängt vom PayPal-Konto, der hinterlegten Zahlungsquelle und der Risikoprüfung ab.

Wer haftet bei einer nicht autorisierten Zahlung?

Die Haftung hängt vom konkreten Zahlungsablauf, dem Verhalten der Beteiligten und den gesetzlichen Voraussetzungen ab. Händler sollten Verdachtsfälle über ihren Zahlungsdienstleister klären und bei rechtlichen Streitfragen fachkundigen Rat einholen.

Was passiert, wenn die PSD2-Authentifizierung abbricht?

Bei einem Abbruch erhält der Onlineshop normalerweise keine erfolgreiche Zahlungsautorisierung. Der Checkout sollte eine verständliche Fehlermeldung anzeigen und eine erneute Zahlung oder eine alternative Zahlungsart ermöglichen, ohne den Warenkorb zu verlieren.