Kreditkarten-Diebstahl: Wer haftet bei Betrug mit kontaktloser Zahlung?

Händler fragen sich, ob sie den Schaden tragen müssen, wenn Kunden mit gestohlenen Kreditkarten kontaktlos ohne PIN zahlen.

Eins ist sicher: Der Händler haftet nicht, solange er bei Annahme der Kartenzahlung nichts von dem Karten-Diebstahl gewusst hat und die von den Zahlungsdienstleistern verlangten Kunden-Authentifizierungen vorgenommen hat.

Aber ohnehin existieren zur Schadensbegrenzung verschiedene Sicherheits-Mechanismen wie etwa eine bestimmte Gesamtsumme, ab der eine zwingende PIN-Eingabe erforderlich wird. Diebe können also nicht unbegrenzt kontaktlos ohne PIN einkaufen gehen, was die Häufigkeit solcher Missbrauchs-Fälle minimiert.

Wie funktioniert kontaktloses Bezahlen?

Unter einer kontaktlosen Zahlung mit einer EC- oder Kreditkarte versteht man eine Zahlung, bei der die Karte nicht in das Kartenlesegerät eingesteckt oder durch dieses durchgezogen wird. Stattdessen hält man die Karte in die Nähe des Kartenlesers, ohne diesen berühren zu müssen.

So gut wie alle neuen Kartenlesegeräte, die heute auf den Markt kommen, können kontaktlose Zahlungen annehmen. Die meisten großen Handelsketten setzen solche Geräte bereits ein. Damit ein Kunde kontaktlos zahlen kann, muss er eine EC- oder Kreditkarte besitzen, bei der ein sogenannter NFC-Chip verbaut ist. Außerdem muss die Karte für kontaktlose Zahlungen freigeschaltet sein.

Die Kartendaten können vom Kartenterminal nur ausgelesen werden, wenn die Karte sehr dicht an das Gerät gehalten wird; so sollen versehentliche Abbuchungen vermieden werden. Über einen weiteren Sicherheits-Mechanismus des Lesegerätes wird der Zahlungsvorgang abgebrochen, wenn zwei Kontaktlos-Karten gleichzeitig in der Nähe sind.

Kontaktlose Zahlungen sorgen für eine Zeitersparnis während des Kassiervorgangs, da in der Regel bei Zahlungen bis 25 € keine PIN eingegeben werden muss und auch keine Unterschrift abgefragt wird. Bei Visa-Karten beträgt dieses Limit 50 €.

PIN-freie Zahlungen nicht unendlich möglich

Liegt der Zahl-Betrag unter 25 € (bzw. 50 €) und wird trotzdem die PIN abgefragt, kann man dem Kunden erklären, dass dies ein vorgeschriebener Sicherheitsmechanismus ist, der in regelmäßigen Abständen greift. (siehe Artikel 11 RTS SKA)

Zum einen sollte auf allen Karten mit NFC-Chip ein Transaktionszähler installiert sein, der nach fünf kontaktlosen Transaktionen ohne PIN zwingend eine PIN-Abfrage verlangt.

Zum anderen sollte ein zweiter Zähler auf der Karte alle kontaktlosen Zahlungen ohne PIN addieren und ab einer Gesamtsumme von 150 € automatisch die PIN abfragen. Einige Banken arbeiten hier mit einem Limit von 100 €.

Bei all diesen Limits sollte es sich nicht um Tageslimits handeln, was aber teilweise behauptet wird.

Verkäufer selten verantwortlich bei Betrug

Wenn der Händler doch einmal in die Situation kommt, dass jemand mit einer gestohlenen Kreditkarte eine Kontaktlos-Zahlung ohne PIN-Eingabe vornimmt, muss der Händler in der Regel nicht mit Rückbuchungen rechnen.

Verlangt der Zahlungsdienstleister des Zahlenden keine PIN oder Unterschrift bei der Kontaktlos-Zahlung, muss dieser Zahlungsdienstleister für den Schaden haften, wenn sich am Ende herausstellt, dass die Karte gestohlen war. (siehe § 675v Abs. 4 S. 1 Nr. 1 BGB)

Nur Händler, die wissentlich mit Kreditkarten-Betrügern Geschäfte machen oder etwa den Kunden nicht unterschreiben lassen, obwohl das Kartenterminal das verlangt, können bei kontaktloser Zahlung haftbar gemacht werden. (siehe § 675v Abs. 4 S. 1 Nr. 2 und S. 3 BGB iVm. Artikel 74 Abs. 2 PDS2-Richtlinie)

Kommt ein Opfer eines Kartendiebstahls in den Laden des Händlers, kann der Händler diesem erklären, dass der Karteninhaber nicht für missbräuchliche kontaktlose Zahlungen ohne PIN (bzw. ohne Unterschrift) haftet, solange der Karteninhaber nicht in betrügerischer Absicht gehandelt hat.