So klappt sicheres Onlineshopping mit der Karte

Betrug und Miss­brauch wird reduziert

Für den Online-Geld­verkehr gelten mitt­lerweile Regeln, die auch Kreditkarten betreffen. Betrugs­risiken und Miss­brauch sollen so reduziert werden. Die Karten­daten alleine reichen nicht mehr fürs Onlineshopping. Wie beim Online­banking sind zusätzliche Sicher­heit­schecks mit einer Zwei-Faktor-Authentifizierung vorgesehen.

So funk­tionieren die 3D-Secure-Verfahren

Beim Einkauf mit der Kreditkarte kommen sogenannte 3D-Secure-Verfahren zum Zuge, die an die neue EU-Richt­linie angepasst wurden. Bei Visa nennt sich das Verfahren „ Visa Secure“, bei Mastercard „Mastercard Identity Check“, bei American Express „Safekey“. In der Regel müssen Kunden Zahlungen mit einer einmal gültigen Trans­aktions­nummer (Tan) frei­geben. Banken bieten verschiedene Verfahren an, die meist übers Mobiltelefon laufen.

Einmalige Registrierung nötig

Kundinnen und Kunden müssen sich in der Regel für die 3D-Secure-Verfahren auf den Websites der Banken registrieren, dort Namen, Adresse und Kreditkarten­nummer angeben und einen Identifikationscode anfordern. Das geht auf verschiedenen Wegen.

Per Über­weisung. Inner­halb von wenigen Tagen erhalten die Kunden eine Gutschrift über einen Cent-Betrag. In der Informations­zeile verbirgt sich der Code.

Per Umsatz­anzeige. Der Code erscheint auf der Umsatz­anzeige der Kreditkarten­rechnung – oft schon Minuten später.

Per Post. Der Identifikationscode wird dem Kunden in einem Brief zuge­schickt.

Ist der Code da und wird ein Tan-Verfahren für das Smartphone gewählt, müssen Kundin oder Kunde die passende App der Bank laden. Um die Anmeldung abzu­schließen, besuchen sie erneut die Registrierungs-Website, geben den Code ein und wählen – sofern es mehrere Varianten gibt – ein Verfahren aus. Ist der Registrierung­scode richtig, wird es frei­geschaltet.

So läuft Onlineshopping mit Kreditkarte

Tech­nisch passiert nach der Kauf­entscheidung Folgendes:

• Der Onlineshop leitet Kunden auf eine Internetseite mit 3D-Secure-Verfahren weiter, die mit der Bank des Kunden in Verbindung steht.
• Bei dem Kunden öffnet sich im Browser ein Eingabefenster, das informiert, auf welchem Weg die Zahlung freigegeben werden muss.
• Läuft die Identifikation korrekt – der Kunde gibt etwa die richtige Tan und falls gefordert auch noch ein Pass­wort ein –, bestätigt die Bank, dass er der recht­mäßige Karten­inhaber ist.
• Damit ist der Kauf abge­schlossen. Die Bank­daten werden nur zwischen der Bank und der 3D-Secure-Website getauscht, der Händler hat währenddessen keinen Zugriff auf die Daten.

Ausnahmen von der Regel

Es kann noch vorkommen, dass nicht alle Trans­aktionen mit der zusätzlichen Absicherung versehen sind. So können Kunden bei ihrer Bank beantragen, bestimmte Händler davon auszunehmen. Stimmt die Bank zu, setzt sie den Händler auf eine sogenannte Whitelist. Beträge unter 30 Euro müssen auch nicht doppelt abge­sichert werden, sofern bis dahin nicht mehr als 5 Trans­aktionen zusammenkamen oder die Summe unter 150 Euro liegt.

Wenn die Kreditkarte verloren geht

Kommt die Karte abhanden, müssen die Kunden diese nach wie vor umge­hend sperren lassen. Neu ist, dass sie die Bank auch benach­richtigen sollten, wenn das Legimitations­medium abhanden kommt. Das ist in den meisten Fällen das Smartphone. Aber auch einfache Handys, PhotoTan-, ChipTan- und BestSign-Geräte fallen in diese Kategorie. Einige Banken verlangen bei Diebstahl und Verlust von Karte oder Legimitations­medium eine Anzeige bei der Polizei.

Sinn­voll ist es, bei der Verlustmeldung gleich nach­zufragen, ob solch eine Anzeige nötig ist. Kunden sind auch verpflichtet, beim SMS-Tan-Verfahren ihr Handy mit einer Pin-Nummer oder einem Pass­wort zu schützen. Beim AppTan-Verfahren muss der Kunde dafür sorgen, dass die App nur mit Pass­wort, Pin oder Finger­abdruck freigegeben werden kann.

Haftung bei grober Fahr­lässig­keit

Die neuen Tan-Verfahren versprechen mehr Sicherheit, Betrug ist dennoch nicht ausgeschlossen. Grund­sätzlich haftet ein Kunde im Miss­brauchs­fall nur, wenn er vorsätzlich oder grob fahr­lässig handelt. Ein Beispiel für grobe Fahr­lässig­keit wäre, dass er Kreditkarte und Handy offen auf dem Büro­schreibtisch liegen lässt.

Bei leichter Fahr­lässig­keit – etwa, wenn der Kunde seinen Computer mit aktueller Software geschützt hat, aber Hacker trotzdem Daten abgreifen konnten – haftet er bei den meisten Banken nicht. Einige Banken schreiben eine Teilhaftung vor: Kunden zahlen maximal 50 Euro für Schäden bis zur Karten­sperrung. Für Schäden, die nach der Sperrung verursacht wurden, haften Kunden nicht.

Manchmal hilft nur ein Kauf­abbruch

Sollte bei einem Online­einkauf die Kreditkartenzahlung nicht per 3D-Secure-Verfahren abge­sichert sein und es deshalb zu einem Miss­brauch kommen, haftet nicht der Kunde, sondern der Händler.

Trotzdem sollte es auch für Kunden ein Warnzeichen sein, wenn sie beim Onlineshopping mit der Kreditkarte nicht auf eine 3D-Secure-Seite weitergeleitet werden. Das kann auch beim Onlineshopping in anderen Ländern passieren, denn die Neuregelung betrifft nur den EU-Raum. Wer auf Nummer sicher gehen will, sollte in solch einem Fall den Kauf abbrechen und lieber die gewünschte Ware in einem Geschäft kaufen oder sich einen anderen, sicheren Onlineshop suchen.