Welche technischen Anforderungen stellt die Implementierung von 3DS2-Authentifizierungsflüssen in einem komplett entkoppelten Frontend?

Die Implementierung von 3DS2 in einer entkoppelten Architektur erfordert eine präzise Orchestrierung zwischen Frontend, Backend und dem Payment Service Provider (PSP). Da das Frontend keine direkte Kontrolle über die Server-Session des PSP hat, müssen wir folgende technische Komponenten realisieren:

1. Client-side Data Collection: Integration des PSP-SDKs im Frontend zur Erfassung von Browser- und Geräteinformationen (Device Fingerprinting). Diese Daten sind notwendig, um die Wahrscheinlichkeit eines "Frictionless Flows" zu erhöhen und manuelle Challenges zu reduzieren.
2. State Management: Implementierung eines Mechanismus (z. B. via JWT oder verschlüsselten Session-IDs), um die Payment-Session über den Redirect-Zyklus hinweg konsistent zu halten. Das Frontend muss in der Lage sein, nach der Rückkehr vom PSP den ursprünglichen Warenkorb- und Bestellstatus wiederherzustellen.
3. Challenge-Handling: Bereitstellung einer Logik zur Einbindung des Challenge-Fensters. Dies erfolgt entweder über ein Iframe oder einen kontrollierten Redirect auf die Seite der ausstellenden Bank, wobei die Rücksprung-URL (Return URL) dynamisch an das entkoppelte Frontend angepasst werden muss.
4. Webhook-Infrastruktur: Aufbau eines asynchronen Endpunkts im Backend, der die finale Bestätigung der Zahlung vom PSP empfängt. Der Client-Redirect darf nicht als einzige Quelle der Wahrheit für den Zahlungserfolg dienen.

Die folgende Tabelle definiert die Verantwortlichkeiten innerhalb des Flows:

Die Architektur muss zudem eine strikte Trennung zwischen der Initiierung der Zahlung und der finalen Bestätigung gewährleisten. Hierbei unterstützen wir Unternehmen im Rahmen unserer IT-Consulting & Digitale Strategie bei der Definition der Schnittstellenprotokolle und der Absicherung der Datenflüsse.

Wir empfehlen den Verzicht auf rein clientseitige Status-Abfragen und die konsequente Nutzung von server-to-server Webhooks, da nur so die Integrität des Zahlungsprozesses gegenüber Manipulationen im Frontend garantiert werden kann.