3D-Secure
3D-Secure ist das Verfahren, mit dem du eine Online-Zahlung mit Kredit- oder Debitkarte zusätzlich bei deiner Bank bestätigst. Hier erfährst du, wann die Freigabe Pflicht ist, wann sie fehlen darf und wer bei Missbrauch haftet.
Was du über 3D-Secure wissen musst
- 🔐 Was es ist: 3D-Secure lässt dich eine Online-Kartenzahlung bei deinem Kartenherausgeber bestätigen, zum Beispiel in der App deiner Bank per Fingerabdruck, Gesichtserkennung oder PIN.
- ⚖️ Pflicht: Deine Bank muss bei einer Online-Zahlung eine starke Kundenauthentifizierung mit zwei unabhängigen Faktoren verlangen, sofern keine gesetzliche Ausnahme greift (§ 55 ZAG).
- 💳 Ausnahme Kleinbetrag: Bei Online-Zahlungen bis 30 Euro darf deine Bank auf die Freigabe verzichten, solange seit der letzten Freigabe höchstens 100 Euro oder, je nach Zählweise der Bank, fünf solcher Zahlungen zusammengekommen sind.
- ⚠️ Haftung: Verlangt deine Bank keine starke Kundenauthentifizierung, haftest du für eine missbräuchliche Zahlung nicht, außer du hast in betrügerischer Absicht gehandelt (§ 675v Abs. 4 BGB).
Du bestellst online, gibst deine Kartendaten ein, und dann meldet sich die App deiner Bank: Zahlung bestätigen? Das ist 3D-Secure. Die Abfrage soll sicherstellen, dass wirklich du bezahlst und nicht jemand, der nur deine Kartennummer und die Prüfziffer kennt.
Was ist 3D-Secure?
3D-Secure ist ein Sicherheitsprotokoll für Kartenzahlungen, bei denen die Karte nicht vorgelegt wird, also beim Online-Shopping und in Apps. Beim Bezahlen übermittelt der Händler Daten zur Zahlung, zur Karte und zu deinem Gerät an deinen Kartenherausgeber. Der Herausgeber prüft diese Daten und entscheidet, ob er die Zahlung ohne Rückfrage zulässt oder eine Bestätigung von dir verlangt.
Das „3-D“ steht für drei Domänen, die an jeder Prüfung beteiligt sind: der Händler mit seinem Zahlungsdienstleister, dein Kartenherausgeber und dazwischen das Kartennetzwerk, etwa Visa oder Mastercard. Der aktuelle Standard heißt EMV 3-D Secure und wird vom Standardisierungsgremium EMVCo gepflegt.
3D-Secure gilt nicht nur für Kreditkarten. Auch Debitkarten mit Visa- oder Mastercard-Funktion nutzen das Verfahren für Online-Zahlungen. Wie sich die beiden Kartenarten sonst unterscheiden, zeigt dir unser Ratgeber Debitkarte und Kreditkarte im Vergleich.
So läuft eine Freigabe mit 3D-Secure ab
Kartendaten eingeben
Du gibst im Checkout Kartennummer, Ablaufdatum und Prüfziffer ein. Laut BaFin genügen diese Angaben allein für eine Online-Zahlung nicht, außer deine Bank nutzt eine Ausnahme.
Daten gehen an deine Bank
Der Händler schickt die Zahlungsdaten über das Kartennetzwerk an deinen Kartenherausgeber, also an die Bank, die deine Karte ausgegeben hat.
Deine Bank entscheidet
Sie prüft das Risiko. Greift eine gesetzliche Ausnahme, kann sie die Zahlung ohne Rückfrage durchlassen. Sonst fordert sie eine Freigabe an.
Du bestätigst
Du nutzt zwei voneinander unabhängige Faktoren aus drei Kategorien: Wissen (PIN, Passwort), Besitz (registriertes Smartphone) oder Inhärenz (Fingerabdruck, Gesicht). So definiert es § 1 Abs. 24 ZAG.
Visa Secure, Mastercard Identity Check, SafeKey: ein Verfahren, drei Namen
Die Kartennetzwerke vermarkten 3D-Secure unter eigenen Namen. Technisch steckt überall der Standard EMV 3-D Secure dahinter.
| Kartennetzwerk | Name des Verfahrens | Hinweis |
|---|---|---|
| Visa | Visa Secure | löste „Verified by Visa“ ab |
| Mastercard | Mastercard Identity Check | hieß früher „Mastercard SecureCode“ |
| American Express | American Express SafeKey | Karten sind laut Anbieter automatisch freigeschaltet |
Quellen: Visa Deutschland, Mastercard Deutschland, American Express Deutschland. Stand: September 2026.
Wie du freigibst, legt deine Bank fest, nicht das Netzwerk: per App mit Fingerabdruck, per SMS-Code oder mit Teilen deiner Karten-PIN. Was die Netzwerke sonst trennt, zeigen die Unterschiede zwischen Visa und Mastercard.
Ist 3D-Secure Pflicht?
Das Gesetz schreibt nicht 3D-Secure vor, sondern eine starke Kundenauthentifizierung. Nach § 55 Abs. 1 ZAG muss dein Zahlungsdienstleister sie verlangen, wenn du eine elektronische Zahlung auslöst. Die Vorschrift setzt Art. 97 der EU-Zahlungsdiensterichtlinie PSD2 um.
3D-Secure ist das Protokoll, mit dem Händler und Banken diese Pflicht im Online-Handel umsetzen. So beschreibt es auch Visa für sein Programm Visa Secure.
Die Detailregeln samt Ausnahmen stehen in der Delegierten Verordnung (EU) 2018/389. Sie gilt seit dem 14. September 2019. Für Online-Kartenzahlungen setzte die Europäische Bankenaufsichtsbehörde EBA eine Umstellungsfrist bis zum 31. Dezember 2020. Seit dem Ende dieser Frist gilt die Pflicht auch beim Online-Einkauf mit Karte ohne Aufschub.
Ob du deine Karte einmalig für 3D-Secure registrieren musst, legt dein Kartenherausgeber fest. Mastercard verweist dafür auf die jeweilige Bank, American Express schaltet seine Karten automatisch frei.
Wann du ohne Freigabe zahlst
Nicht jede Online-Zahlung löst eine Freigabe aus. Die EU-Verordnung 2018/389 erlaubt deiner Bank Ausnahmen, für Online-Käufe zählen vor allem vier:
- Kleinbeträge: Eine Online-Zahlung bis 30 Euro darf ohne Freigabe laufen, solange seit der letzten Freigabe je nach Zählweise deiner Bank höchstens 100 Euro oder höchstens fünf solcher Zahlungen zusammengekommen sind. Wird die Grenze überschritten, verlangt die Bank wieder eine Freigabe, sofern keine andere Ausnahme greift.
- Vertrauenswürdige Empfänger: Bietet deine Bank eine Liste vertrauenswürdiger Empfänger an, darf sie Zahlungen an Händler auf dieser Liste ohne Freigabe durchlassen. Das Anlegen und Ändern der Liste verlangt selbst eine starke Kundenauthentifizierung, und nur du kannst Einträge vornehmen, nicht der Händler.
- Risikoanalyse: Stuft deine Bank eine Online-Zahlung nach einer Echtzeit-Prüfung als risikoarm ein, darf sie auf die Freigabe verzichten. Das geht nur bis zu festen Betragsgrenzen und nur, solange die Betrugsquote der Bank unter einer gesetzlichen Obergrenze liegt. Ungewöhnliches Kaufverhalten, ein ungewöhnlicher Ort oder Schadsoftware schließen die Ausnahme aus.
- Vom Händler ausgelöste Zahlungen: Richtest du ein Abo mit Karte ein, bestätigst du beim Einrichten. Die späteren Abbuchungen löst der Händler selbst aus, ohne dass du etwas tust, und sie brauchen keine erneute Freigabe. Dasselbe Prinzip gilt für die Lastschrift im Internet.
Alle Ausnahmen sind Kann-Regeln. Deine Bank darf trotzdem jedes Mal eine Freigabe verlangen. Über eine Ausnahme entscheiden die beteiligten Zahlungsdienstleister, nie der Händler selbst.
Rechtsgrundlage: Art. 13, 16 und 18 der Delegierten Verordnung (EU) 2018/389; EBA-Auslegungen 2018_4031, 2018_4128 und 2019_4785. Stand: September 2026.
Wer haftet, wenn trotzdem Geld abgebucht wird?
Hast du eine Zahlung nicht ausgelöst, muss deine Bank sie spätestens bis zum Ende des Geschäftstags nach deiner Meldung erstatten. Das gilt nicht, wenn sie der Aufsicht schriftlich einen begründeten Betrugsverdacht gegen dich meldet (§ 675u BGB). Ob du einen Teil des Schadens trägst, regelt § 675v BGB:
| Situation | Deine Haftung | Rechtsgrundlage |
|---|---|---|
| Karte verloren, gestohlen oder missbraucht, ohne grobe Pflichtverletzung von dir | höchstens 50 Euro | § 675v Abs. 1 BGB |
| Deine Bank hat keine starke Kundenauthentifizierung verlangt, etwa weil sie eine Ausnahme genutzt hat | 0 Euro, außer bei Betrugsabsicht | § 675v Abs. 4 BGB |
| Missbrauch nach deiner Sperrmeldung | 0 Euro, außer bei Betrugsabsicht | § 675v Abs. 5 BGB |
| Betrugsabsicht oder vorsätzliche beziehungsweise grob fahrlässige Verletzung deiner Sorgfaltspflichten | gesamter Schaden | § 675v Abs. 3 BGB |
Rechtsgrundlage: §§ 675l, 675u, 675v, 675w und 676b BGB, umgesetzt aus Art. 69 bis 74 PSD2. Stand: September 2026.
Die Regel aus § 675v Abs. 4 BGB zeigt, warum 3D-Secure auch dich absichert: Verzichtet deine Bank auf die Freigabe, trägt sie das Risiko, und die 50 Euro Selbstbeteiligung entfallen.
Bestreitest du eine Zahlung, muss die Bank die korrekte Authentifizierung beweisen. Eine aufgezeichnete Freigabe allein beweist nach § 675w BGB noch keine grobe Fahrlässigkeit, dafür braucht die Bank weitere Beweismittel.
Melde eine fremde Zahlung sofort. Spätestens 13 Monate nach dem Tag der Belastung sind deine Ansprüche ausgeschlossen, sofern deine Bank dich über die Zahlung informiert hat (§ 676b BGB). Wie du deine Karte schnell sperrst, zeigt dir der Ratgeber Karte sofort sperren.
Wo 3D-Secure schützt und wo nicht
3D-Secure schützt dich
- wenn jemand deine Kartennummer und Prüfziffer ausgespäht hat: Verlangt deine Bank eine Freigabe, reichen die Daten allein nicht für eine Online-Zahlung
- wenn ein Shop den Betrag nachträglich ändern will: Der Freigabecode gilt nur für den angezeigten Betrag und Händler
- wenn deine Bank auf die Freigabe verzichtet: Dann liegt das Missbrauchsrisiko bei ihr, nicht bei dir
3D-Secure schützt dich nicht
- wenn du selbst eine Zahlung freigibst, die du nicht ausgelöst hast, etwa weil ein angeblicher Bankmitarbeiter am Telefon darum bittet
- bei Abo-Folgebuchungen, die der Händler nach deiner ersten Freigabe selbst auslöst
- bei Händlern, deren Zahlungsdienstleister außerhalb der EU sitzt: Er ist nicht an die EU-Regeln gebunden. Kann deine Bank keine Freigabe anfordern, entscheidet sie selbst, ob sie die Zahlung blockiert oder durchlässt und dann dafür haftet
Wie Betrüger an Kartendaten und Freigaben kommen, zeigt der Ratgeber zu typischen Betrugsmaschen bei Kreditkarten.
Gib nur eine Zahlung frei, deren Betrag und Händler du gerade selbst ausgelöst hast.
Unsere Einschätzung: 3D-Secure ist lästig, wenn die App im falschen Moment klingelt. Aber es verschiebt das Risiko zu deinen Gunsten. Ohne deine Freigabe haftest du nur in engen Grenzen, und verzichtet die Bank darauf, trägt sie den Schaden. Lass die Benachrichtigungen deiner Banking-App aktiv, lies bei jeder Freigabe Betrag und Händler und brich ab, wenn etwas nicht passt. Wenn du eine neue Karte suchst, findest du die Angebote in unserem Überblick Kreditkarten im Vergleich.
Häufige Fragen zu 3D-Secure
3-D Secure ist ein Sicherheitsprotokoll für Online-Kartenzahlungen. Dein Kartenherausgeber prüft die Zahlungsdaten und verlangt bei Bedarf eine Bestätigung von dir, zum Beispiel per App oder SMS-Code. Visa nennt das Verfahren Visa Secure, Mastercard nennt es Mastercard Identity Check.
Ist 3-D Secure Pflicht?Pflicht ist die starke Kundenauthentifizierung: Nach § 55 ZAG muss deine Bank sie bei Online-Zahlungen verlangen, sofern keine Ausnahme greift. 3-D Secure ist das Verfahren, mit dem Kartenzahlungen diese Pflicht erfüllen. Die EU-Regeln gelten seit dem 14. September 2019, für Online-Kartenzahlungen nach einer Übergangszeit bis Ende 2020.
Wie kann ich 3-D Secure aktivieren?Das hängt von deinem Kartenherausgeber ab. Manche Banken verlangen eine einmalige Registrierung der Karte, andere schalten sie automatisch frei, zum Beispiel American Express. Die Anleitung findest du auf der Website oder in der App deiner Bank.
Gilt 3D-Secure auch für Debitkarten?Ja. Die Pflicht zur starken Kundenauthentifizierung gilt für elektronische Zahlungen allgemein. Debitkarten mit Visa- oder Mastercard-Funktion nutzen online dasselbe Verfahren wie Kreditkarten.
Kann ich 3D-Secure deaktivieren?Nein. Deine Bank ist nach § 55 ZAG verpflichtet, bei Online-Zahlungen eine starke Kundenauthentifizierung zu verlangen. Verzichten darf nur sie, und nur in den gesetzlich erlaubten Ausnahmefällen, etwa bei Kleinbeträgen bis 30 Euro.
Warum musste ich bei einem Online-Kauf nichts bestätigen?Dann hat deine Bank eine Ausnahme genutzt, etwa für einen Kleinbetrag, einen Händler auf deiner Liste vertrauenswürdiger Empfänger oder eine risikoarme Zahlung. Oder der Händler hat eine Abo-Folgebuchung ausgelöst. Hat deine Bank bei einer Zahlung, die du nicht autorisiert hast, keine starke Kundenauthentifizierung verlangt, haftest du nicht, außer bei Betrugsabsicht (§ 675v Abs. 4 BGB).
Datenstand: September 2026 | Quellen: Zahlungsdiensteaufsichtsgesetz (§§ 1, 55 ZAG), Bürgerliches Gesetzbuch (§§ 675l, 675u, 675v, 675w, 676b BGB), Richtlinie (EU) 2015/2366 (PSD2), Delegierte Verordnung (EU) 2018/389, BaFin, Europäische Bankenaufsichtsbehörde (EBA), EMVCo, Visa, Mastercard, American Express. Dieser Eintrag dient der allgemeinen Information und ersetzt keine Rechtsberatung.