Sichere Zahlung: Standards und E-Commerce-Zertifizierungen

Bei der Online-Zahlung stellt sich nicht die Frage, ob ein Vorfall eintritt, sondern wer die Kosten dafür trägt. Die Antwort hängt von zwei Faktoren ab: der Einhaltung des für Kartendaten geltenden Standards und der tatsächlichen Nutzung der starken Authentifizierung. Ein Händler, der beide Punkte erfüllt, trägt nur ein geringes Risiko; ein Händler, der die Authentifizierung umgangen hat, um seinen Bestellprozess zu vereinfachen, trägt die gesamten betrügerischen Zahlungsausfälle.

Starke Authentifizierung – und wer im Betrugsfall haftet

Die europäische Zahlungsdiensterichtlinie schreibt eine starke Kundenauthentifizierung für die meisten Online-Transaktionen vor. Sie beruht auf mindestens zwei unabhängigen Elementen aus drei Kategorien: etwas, das der Kunde weiß (Passwort, Code), etwas, das er besitzt (Telefon, Karte), etwas, das er ist (Fingerabdruck, Gesichtserkennung).

Die daraus resultierende Haftungsregel ist einfach und wird oft missverstanden:

• Wurde die starke Authentifizierung angewendet, trägt der Händler nicht die Kosten einer angefochtenen betrügerischen Transaktion.
• Wurde sie umgangen – durch eine vom Händler oder seinem Dienstleister geltend gemachte Ausnahme –, geht das Risiko auf denjenigen über, der die Ausnahme beantragt hat.

Es gibt Ausnahmen: Transaktionen mit geringem Betrag, vom Kunden registrierte vertrauenswürdige Empfänger, Echtzeit-Risikoanalyse unter bestimmten Bedingungen. Sie erleichtern den Bestellvorgang – allerdings um den Preis einer Verantwortungsübertragung, die bewusst in Kauf genommen werden muss.

Der Kunde hat außerdem ein Recht auf Rückerstattung bei nicht autorisierten Transaktionen, die seine Bank unverzüglich vornehmen muss, außer bei Betrugsverdacht seinerseits. Der Streit wird anschließend zwischen den Instituten und dem Händler geklärt.

Der Standard für Kartendaten

Jede Einrichtung, die Kartendaten speichert, verarbeitet oder überträgt, unterliegt dem Sicherheitsstandard der Branche – unabhängig von ihrem Geschäftsvolumen. Das Anforderungsniveau variiert je nach Anzahl der jährlichen Transaktionen, doch das Prinzip selbst steht nicht zur Diskussion.

Der wirksamste Weg, diese Belastung zu reduzieren, besteht darin, den Anwendungsbereich zu verkleinern. Ein Händler, der niemals Zugriff auf Kartendaten hat – weil die Eingabe in einem vom Zahlungsdienstleister gehosteten Feld oder auf einer weitergeleiteten Seite erfolgt –, sieht seine Pflichten erheblich reduziert.

Zwei Praktiken heben diesen Vorteil auf und kommen regelmäßig vor: eine Kartennummer per E-Mail oder Telefon zu erhalten und sie selbst einzugeben, sowie Nummern in einer Datei „zur Erleichterung künftiger Bestellungen“ zu speichern. In beiden Fällen erstreckt sich der Anwendungsbereich auf die gesamte Infrastruktur, die mit den Daten in Berührung gekommen ist.

Die Tokenisierung ist die Antwort auf den Bedarf an wiederkehrenden Zahlungen: Der Händler speichert lediglich ein Token, das außerhalb seines Kontexts unbrauchbar ist – niemals die Nummer selbst.

Was den Datenschutz betrifft

Zahlungsdaten sind personenbezogene Daten, und ihre Verarbeitung kommt zu den branchenspezifischen Pflichten hinzu, ohne sie zu ersetzen.

Drei Punkte strukturieren die Konformität: eine Rechtsgrundlage für jede Verarbeitung, eine Aufbewahrungsdauer, die auf das Notwendige beschränkt ist, und eine vertragliche Regelung mit dem Zahlungsdienstleister als Auftragsverarbeiter.

Die Speicherung von Bankdaten zur Erleichterung eines späteren Kaufs setzt die gesonderte Einwilligung des Kunden voraus, die von der Annahme der Allgemeinen Geschäftsbedingungen getrennt sein muss. Ein einziges Kästchen, das sowohl die Allgemeinen Geschäftsbedingungen als auch die Speicherung der Karte abdeckt, erfüllt diese Anforderung nicht – dieselbe Logik wie bereits bei Tracker und Cookies dargelegt, wo die Einwilligung je nach Zweck einzeln eingeholt werden muss.

Zahlungsausfälle und Betrugsbekämpfung

Zwei unterschiedliche Risiken lasten auf einem Händler, und sie erfordern unterschiedliche Antworten.

Der betrügerische Zahlungsausfall resultiert aus einer gestohlenen Karte oder einem Identitätsdiebstahl. Die starke Authentifizierung neutralisiert ihn, indem sie die Haftung überträgt. Sie ist der einzige Mechanismus, der wirklich schützt.

Die missbräuchliche Rückbuchung tritt ein, wenn ein Kunde eine Transaktion anficht, die er tatsächlich selbst durchgeführt hat. Hier reicht die Authentifizierung allein nicht aus: Man muss die Lieferung und die Vertragskonformität der Leistung nachweisen können. Als Nachweise dienen die Sendungsverfolgung, der Zustellnachweis und der Verlauf der Kommunikation – ein Thema, das wir in unserem Artikel über die Liefer- und Rückgabepflichten.

Ein dritter Mechanismus begrenzt beide Risiken: die Begrenzung und Filterung untypischer Transaktionen nach Betrag, Häufigkeit oder geografischer Zone.

Anwendungsszenarien

Klassischer Online-Shop. Ein vom Dienstleister gehostetes Eingabefeld verwenden, niemals selbst mit Kartendaten in Berührung kommen, die standardmäßig aktivierte starke Authentifizierung beibehalten. Dies ist die Konfiguration, die sowohl den Compliance-Aufwand als auch das finanzielle Risiko minimiert.

Wiederkehrendes Abonnement. Die Tokenisierung nutzen, mit einer gesonderten Einwilligung des Kunden zur Speicherung des Zahlungsmittels, getrennt von der Annahme der Allgemeinen Geschäftsbedingungen.

Telefonverkauf. Dies ist die riskanteste Situation: keine starke Authentifizierung, mündlich diktierte Daten. Besser einen Zahlungslink versenden, der die Transaktion in den gesicherten Rahmen zurückführt und eine Nachvollziehbarkeit schafft.

Häufig gestellte Fragen

Ist die starke Authentifizierung verpflichtend? Ja, für die meisten Online-Transaktionen, außer bei geregelten Ausnahmen. Wer sich auf eine Ausnahme beruft, übernimmt die Haftung für den Betrug.

Wer haftet im Fall von Kartenbetrug? Wurde die starke Authentifizierung angewendet, trägt der Händler die Kosten nicht. Wurde sie durch eine Ausnahme umgangen, geht die Haftung auf denjenigen über, der die Ausnahme beantragt hat.

Muss man zertifiziert sein, um online zu verkaufen? Der Standard gilt, sobald Kartendaten gespeichert, verarbeitet oder übertragen werden. Das Anforderungsniveau hängt vom Volumen ab, doch der Anwendungsbereich verringert sich erheblich, wenn der Händler niemals Zugriff auf die Daten hat.

Darf man eine Kartennummer speichern? Nicht im Klartext und nicht ohne gesonderte Einwilligung. Die Tokenisierung ermöglicht wiederkehrende Zahlungen, ohne die Nummer selbst zu speichern.

Darf eine per E-Mail erhaltene Nummer eingegeben werden? Das ist unbedingt zu vermeiden: Die Daten fallen dann in den Compliance-Bereich der gesamten Infrastruktur, die damit in Berührung gekommen ist, einschließlich des E-Mail-Systems.

Wie wehrt man sich gegen eine missbräuchliche Anfechtung? Durch den Nachweis von Lieferung und Vertragskonformität: Sendungsverfolgung, Zustellnachweis, Verlauf der Kommunikation. Die Authentifizierung allein reicht bei diesem Vorwurf nicht aus.

Auf den Punkt gebracht

Zwei Entscheidungen bestimmen das Risiko eines Online-Händlers, und beide werden bei der Wahl des Zahlungsprozesses getroffen.

Die erste besteht darin, niemals Zugriff auf Kartendaten zu haben, indem man die Eingabe beim Dienstleister erfolgen lässt. Sie reduziert den Compliance-Aufwand erheblich und beseitigt das Risiko eines Datenlecks.

Die zweite besteht darin, die starke Authentifizierung beizubehalten, anstatt Ausnahmen geltend zu machen, um den Bestellvorgang zu vereinfachen. Jede Ausnahme bringt ein paar Prozentpunkte mehr Konversion, überträgt aber die Kosten des Betrugs. Diese Rechnung sollte man ausdrücklich aufstellen, mit der tatsächlichen Zahlungsausfallquote im Verhältnis zum Konversionsgewinn – dies ist einer der grundlegenden Kompromisse im rechtlichen Rahmen eines Online-Shops.