Sicheres Bezahlen: E-Commerce-Standards und Zertifizierungen

Bei Online-Zahlungen stellt sich nicht die Frage, ob ein Vorfall eintritt, sondern wer dessen Kosten trägt. Die Antwort hängt von zwei Faktoren ab: der Einhaltung des für Kartendaten geltenden Standards und der tatsächlichen Nutzung der starken Authentifizierung. Ein Händler, der beide Punkte erfüllt, trägt nur ein geringes Risiko; ein Händler, der die Authentifizierung umgangen hat, um seinen Bestellprozess reibungsloser zu gestalten, trägt die vollen Kosten betrügerischer Zahlungsausfälle.

Die starke Authentifizierung – und wer im Betrugsfall zahlt

Die europäische Zahlungsdiensterichtlinie schreibt für die meisten Online-Transaktionen eine starke Kundenauthentifizierung vor. Sie beruht auf mindestens zwei unabhängigen Elementen aus drei Kategorien: etwas, das der Kunde weiß (Passwort, Code), etwas, das er besitzt (Telefon, Karte), etwas, das er ist (Fingerabdruck, Gesichtserkennung).

Die daraus resultierende Haftungsregel ist einfach und wird oft missverstanden:

• Wurde die starke Authentifizierung angewendet, trägt der Händler die Kosten einer angefochtenen betrügerischen Transaktion nicht.
• Wurde sie ausgeschlossen – durch eine vom Händler oder seinem Dienstleister geltend gemachte Ausnahme – geht das Risiko auf denjenigen über, der die Ausnahme beantragt hat.

Es gibt Ausnahmen: Transaktionen mit geringem Betrag, vom Kunden registrierte vertrauenswürdige Empfänger, Echtzeit-Risikoanalyse unter bestimmten Bedingungen. Sie erleichtern den Bestellprozess, allerdings um den Preis einer Haftungsverlagerung, die bewusst in Kauf genommen werden muss.

Der Kunde hat außerdem bei einer nicht autorisierten Transaktion Anspruch auf Erstattung, die seine Bank unverzüglich vornehmen muss, außer bei Betrugsverdacht seinerseits. Der Streit wird anschließend zwischen den Instituten und dem Händler geklärt.

Der für Kartendaten geltende Standard

Jede Stelle, die Kartendaten speichert, verarbeitet oder überträgt, unterliegt dem Sicherheitsstandard der Branche, unabhängig von ihrem Geschäftsvolumen. Das Anforderungsniveau variiert je nach Anzahl der jährlichen Transaktionen, doch das Prinzip selbst steht nicht zur Verhandlung.

Der wirksamste Weg, diese Belastung zu verringern, besteht darin, den Geltungsbereich einzuschränken. Ein Händler, der niemals Zugriff auf Kartendaten hat – weil die Eingabe in einem vom Zahlungsdienstleister gehosteten Feld erfolgt oder auf einer weitergeleiteten Seite – sieht seine Pflichten erheblich reduziert.

Zwei Praktiken heben diesen Vorteil auf und kommen regelmäßig vor: eine Kartennummer per E-Mail oder Telefon zu erhalten und sie selbst einzugeben, sowie Nummern in einer Datei „zur Erleichterung künftiger Bestellungen“ aufzubewahren. In beiden Fällen erstreckt sich der Geltungsbereich auf die gesamte Infrastruktur, die mit den Daten in Berührung gekommen ist.

Die Tokenisierung ist die Antwort auf den Bedarf an wiederkehrenden Zahlungen: Der Händler bewahrt lediglich ein außerhalb seines Kontexts unbrauchbares Token auf, niemals die Nummer selbst.

Was den Datenschutz betrifft

Zahlungsdaten sind personenbezogene Daten, und ihre Verarbeitung kommt zu den branchenspezifischen Pflichten hinzu, ohne sie zu ersetzen.

Drei Punkte bestimmen die Konformität: eine Rechtsgrundlage für jede Verarbeitung, eine Aufbewahrungsdauer, die auf das Notwendige begrenzt ist, und eine vertragliche Regelung mit dem Zahlungsdienstleister als Auftragsverarbeiter.

Die Aufbewahrung von Bankdaten zur Erleichterung eines späteren Kaufs setzt die ausdrückliche Einwilligung des Kunden voraus, getrennt von der Annahme der allgemeinen Geschäftsbedingungen. Ein einziges Kästchen, das sowohl die allgemeinen Geschäftsbedingungen als auch die Aufbewahrung der Karte abdeckt, erfüllt diese Anforderung nicht – dieselbe Logik gilt wie bei Trackern und Cookies, bei denen die Einwilligung zweckgebunden eingeholt werden muss.

Zahlungsausfälle und Betrugsbekämpfung

Zwei unterschiedliche Risiken lasten auf einem Händler, und sie erfordern unterschiedliche Antworten.

Der betrügerische Zahlungsausfall resultiert aus einer gestohlenen Karte oder Identitätsdiebstahl. Die starke Authentifizierung neutralisiert ihn, indem sie die Kostenlast verlagert. Sie ist das einzige Mittel, das wirklich schützt.

Die missbräuchliche Rückbuchung tritt auf, wenn ein Kunde eine Transaktion bestreitet, die er dennoch selbst durchgeführt hat. Hier reicht die Authentifizierung nicht aus: Man muss die Lieferung und die Vertragsgemäßheit der Leistung nachweisen können. Nützliche Nachweise sind die Sendungsverfolgung, der Zustellnachweis und der Verlauf der Kommunikation – ein Thema, das wir in unserem Artikel über die Liefer- und Rückgabepflichten.

Ein drittes Mittel begrenzt beide Risiken: die Begrenzung und Filterung atypischer Transaktionen nach Betrag, Häufigkeit oder geografischer Zone.

Anwendungsszenarien

Standard-Onlineshop. Ein vom Dienstleister gehostetes Eingabefeld verwenden, niemals mit Kartendaten in Berührung kommen, die standardmäßig aktivierte starke Authentifizierung beibehalten. Dies ist die Konfiguration, die sowohl den Compliance-Aufwand als auch das finanzielle Risiko minimiert.

Wiederkehrendes Abonnement. Tokenisierung nutzen, mit einer ausdrücklichen Einwilligung des Kunden zur Aufbewahrung des Zahlungsmittels, getrennt von der Annahme der allgemeinen Geschäftsbedingungen.

Telefonverkauf. Dies ist die riskanteste Situation: keine starke Authentifizierung, mündlich diktierte Daten. Besser ist der Versand eines Zahlungslinks, der die Transaktion in den gesicherten Rahmen zurückführt und eine Spur hinterlässt.

Häufig gestellte Fragen

Ist die starke Authentifizierung verpflichtend? Ja, für die meisten Online-Transaktionen, sofern keine geregelten Ausnahmen gelten. Wer eine Ausnahme geltend macht, überträgt die Betrugslast auf sich selbst.

Wer zahlt im Falle eines Kartenbetrugs? Wurde die starke Authentifizierung angewendet, trägt der Händler die Kosten nicht. Wurde sie durch eine Ausnahme ausgeschlossen, geht sie auf denjenigen über, der sie beantragt hat.

Muss man zertifiziert sein, um online zu verkaufen? Der Standard gilt, sobald Kartendaten gespeichert, verarbeitet oder übertragen werden. Das Anforderungsniveau hängt vom Volumen ab, doch der Geltungsbereich verringert sich erheblich, wenn der Händler niemals Zugriff auf die Daten hat.

Darf man eine Kartennummer aufbewahren? Nicht im Klartext und nicht ohne ausdrückliche Einwilligung. Die Tokenisierung ermöglicht wiederkehrende Zahlungen, ohne die Nummer selbst zu speichern.

Darf eine per E-Mail erhaltene Nummer eingegeben werden? Das ist unbedingt zu vermeiden: Die Daten fallen dann in den Compliance-Geltungsbereich der gesamten Infrastruktur, die sie verarbeitet hat, einschließlich des E-Mail-Systems.

Wie verteidigt man sich gegen eine missbräuchliche Anfechtung? Durch den Nachweis von Lieferung und Vertragsgemäßheit: Sendungsverfolgung, Zustellnachweis, Verlauf der Kommunikation. Die Authentifizierung allein beantwortet diesen Vorwurf nicht.

Zusammenfassung

Zwei Entscheidungen bestimmen das Risiko eines Online-Händlers, und beide werden bei der Wahl des Zahlungsprozesses getroffen.

Die erste besteht darin, niemals auf Kartendaten zuzugreifen, indem die Eingabe beim Dienstleister erfolgt. Sie verringert den Compliance-Aufwand erheblich und beseitigt das Risiko eines Datenlecks.

Die zweite besteht darin, die starke Authentifizierung beizubehalten, statt Ausnahmen geltend zu machen, um den Ablauf zu erleichtern. Jede Ausnahme bringt einige Prozentpunkte an Conversion, überträgt aber die Betrugskosten. Diese Rechnung sollte man bewusst aufstellen, mit der tatsächlichen Zahlungsausfallquote gegenüber dem Conversion-Gewinn – dies ist einer der grundlegenden Abwägungspunkte im rechtlichen Rahmen eines Onlineshops.