Starke Kundenauthentifizierung (SCA)
Die starke Kundenauthentifizierung, kurz SCA, schützt elektronische Zahlungen durch zwei oder mehr unabhängige Elemente aus mindestens zwei unterschiedlichen Kategorien: Wissen, Besitz und Inhärenz. Beispiele sind Passwort, registriertes Gerät und biometrisches Merkmal. Ein einzelner Faktor genügt der Definition nicht.
Die Europäische Bankenaufsichtsbehörde EBA beschreibt diese Faktoren und ihre Unabhängigkeit. Welche Prüfung bei einer konkreten Zahlung nötig ist, entscheiden Zahlungsanbieter und Bank, nicht edoobox.
Aufgaben von edoobox, Anbieter und Bank
| Beteiligter | Aufgabe |
|---|---|
| edoobox | Startet den Provider-Zahlungsablauf, hält Buchungsreferenz und Betrag zusammen und verarbeitet Rückkehr sowie Providerstatus. |
| Zahlungsanbieter | Erzeugt den Zahlungsauftrag, meldet zusätzliche Aktion oder Ergebnis und stellt die technische Authentifizierungsstrecke bereit. |
| Bank / Kartenherausgeber | Entscheidet über die konkrete Freigabe, Ausnahme oder Ablehnung und authentifiziert die zahlende Person. |
Stripe: requires_action und PaymentIntent
Die edoobox Stripe-Integration arbeitet mit PaymentIntents. Meldet Stripe requires_action, muss die zahlende Person eine zusätzliche Aktion wie 3-D-Secure abschliessen. Danach wird der PaymentIntent erneut bewertet. Erst succeeded belegt die erfolgreiche Zahlung.
Der offizielle Stripe-PaymentIntent-Lebenszyklus erläutert, dass requires_action unter anderem für 3-D-Secure verwendet wird.
PayPal: PAYER_ACTION_REQUIRED
Beim PayPal-Auftrag kann PAYER_ACTION_REQUIRED auftreten. Die aktuelle edoobox Integration sucht dann die PayPal-Genehmigungsadresse und leitet die zahlende Person zur erneuten Freigabe. Nach der Rückkehr wird der Auftrag erfasst oder erneut geprüft.
Auch hier gilt: Eine Weiterleitung oder Rückkehr ist noch kein Erfolg. Prüfen Sie den PayPal-Auftrag auf COMPLETED und die edoobox Transaktion.
Abbruch, Zeitüberschreitung und doppelte Versuche
Schliesst die Person die Bankfreigabe, den Provider-Tab oder das Browserfenster, kann die Zahlung unvollständig bleiben.
Ein erneuter Versuch darf nicht allein aufgrund zweier Rückleitungen als doppelte Zahlung beurteilt werden; vergleichen Sie Provider- und Transaktions-IDs.
Bei MustPay kann der Countdown enden, während eine Authentifizierung noch offen ist. Prüfen Sie Zahlung und Buchung gemeinsam.
Versenden Sie Zugang oder definitive Teilnahmebestätigung erst bei dem Status, den Ihr Prozess als ausreichend festgelegt hat.
Fehler zielgerichtet analysieren
Notieren Sie Buchungsnummer, Zeitpunkt, Betrag, Währung und ausgewählte Zahlungsart.
Prüfen Sie die edoobox Transaktion und deren Provider-ID.
Prüfen Sie im Providerportal, ob zusätzliche Aktion, Erfolg, Fehlschlag oder Abbruch gemeldet wurde.
Kontrollieren Sie Buchungsstatus, MustPay und E-Mail-Postausgang.
Geben Sie dem Provider-Support keine Kartendaten, sondern nur die vorgesehenen Transaktionsreferenzen.
SCA-Testmatrix
Zahlung ohne zusätzliche Aktion.
Erfolgreiche 3-D-Secure- oder Bankfreigabe.
Bewusster Abbruch während der Authentifizierung.
Ablehnung durch Bank oder Provider.
Erneuter Zahlungsversuch nach Abbruch.
MustPay-Countdown während einer offenen Authentifizierung.
Anwendungsbeispiel: Stripe verlangt 3-D-Secure
Der PaymentIntent wechselt auf requires_action. Die Teilnehmerin bestätigt bei ihrer Bank und kehrt zurück. Die Administration prüft anschliessend succeeded, edoobox Transaktion und Buchungsbestätigung.
Anwendungsbeispiel: PayPal verlangt erneute Genehmigung
Der PayPal-Auftrag meldet PAYER_ACTION_REQUIRED. Die Person wird zur Freigabe zurückgeschickt. Erst nach COMPLETED wird die Zahlung als erfolgreich behandelt.
Anwendungsbeispiel: Authentifizierung wird abgebrochen
Eine Person schliesst den Bankdialog. Das Team prüft Providerstatus und Buchung und fordert bei Bedarf einen neuen Zahlungsversuch an. Es versendet keine definitive Zahlungsbestätigung allein aufgrund der angelegten Buchung.
Hinterlegte Karte und automatische Zahlungen
Eine gespeicherte Karte ist keine Zusage, dass jede spätere Belastung ohne Mitwirkung gelingt. Bei automatischen Belastungen kann die Bank erneut eine Authentifizierung verlangen oder die Zahlung ablehnen. Prüfen Sie bei einer Fehlermeldung zuerst den tatsächlichen Zahlungsstatus und die offene Rechnung; ein automatischer Versuch allein ist kein Zahlungsnachweis.
Für automatische Belastungen der edoobox Kontokosten beschreibt Automatische Zahlung mit hinterlegter Kreditkarte die Einrichtung, Standard- und Ersatzkarte sowie den Umgang mit Fehlern. Dies ist ein eigener Ablauf gegenüber der Zahlung einer Teilnehmerbuchung.
Stripe-Status richtig einordnen
| Status | Bedeutung für die Kontrolle |
|---|---|
requires_action | Die zahlende Person muss eine weitere Aktion abschliessen, beispielsweise die Bankfreigabe. |
requires_payment_method | Die Zahlung benötigt eine geeignete Zahlungsmethode oder einen neuen bestätigten Versuch. |
processing | Die Verarbeitung läuft noch. Warten Sie auf das endgültige Ergebnis. |
succeeded | Der Zahlungsablauf ist erfolgreich abgeschlossen. Prüfen Sie zusätzlich die Zuordnung in edoobox. |
Stripe beschreibt diese Zustände in Payment status updates. Nach Rückerstattungen oder späteren Auseinandersetzungen prüfen Sie auch die Transaktion und deren Verlauf.