Kartenbetrug erkennen und vorbeugen: Hinweise für Händler
Kurz gesagt
Warnzeichen für Kartenbetrug im Laden sind eine von Hand eingetippte Kartennummer, eine Chipkarte, die nicht per Chip gelesen wird, der Wunsch nach Erstattung auf eine andere Karte und Veränderungen am Terminal. Die Checkliste ordnet jedem Zeichen eine Handlung zu. Quellen sind die Visa-Regeln, der PCI Security Standards Council und die Polizei (Deutschland).
Das Wichtigste
- Visa (Core Rules vom 18. April 2026, Dispute-Grund 10.3): Der Karteninhaber kann eine vor Ort von Hand eingegebene Kartenzahlung bestreiten; die Bank darf bis 120 Kalendertage nach dem Verarbeitungsdatum streiten.
- Visa (Dispute-Grund 10.1): Wird eine Chipkarte nicht an einem Chipleser verarbeitet oder gehen die Chipdaten nicht an Visa, kann die Bank bei gefälschter Karte streiten; ein Fallback-Vorgang ist davon ausgenommen.
- Visa (Abschnitt 1.5.4.14): Eine Erstattung geht nach Möglichkeit als Gutschrift auf die Karte der ursprünglichen Zahlung.
- PCI SSC (Skimming Prevention, 2014): Ein Skimmer kann im Terminal verborgen sein, etwa hinter der SIM-Abdeckung, oder in einem veränderten Verbindungskabel.
- Polizeiliche Kriminalprävention (Deutschland): Bei Verdacht auf eine Straftat die Polizei unter 110 verständigen.
Kartenbetrug kann bei der Zahlung selbst und am Terminal ansetzen. Die Checkliste benennt Warnzeichen, die sich auf die Regeln der Kartenverfahren, den PCI Security Standards Council oder die Polizei stützen, und nennt die Handlung dazu. Handlungen, die keine Quelle vorschreibt, sind als redaktionelle Empfehlung gekennzeichnet.
Checkliste: Warnzeichen und Handlung
| Warnzeichen | Warum es zählt (Quelle) | Handlung |
|---|---|---|
| Die Kartennummer wird von Hand eingegeben, obwohl die Karte vor Ihnen liegt | Nach Visa-Dispute-Grund 10.3 kann der Karteninhaber eine vor Ort von Hand eingegebene Kartenzahlung bestreiten | Zahlung per Chip oder kontaktlos auslösen; geht das nicht, andere Zahlart anbieten (redaktionelle Empfehlung) |
| Die Chipkarte lässt sich nur ohne Chip verarbeiten | Nach Visa-Dispute-Grund 10.1 kann die Bank bei gefälschter Chipkarte streiten, wenn die Zahlung nicht an einem Chipleser stattfand oder die Chipdaten nicht übermittelt wurden; ein Fallback-Vorgang ist ausgenommen (Abschnitt 11.7.2.3) | Beim Terminalanbieter nachfragen, ob das Gerät Chips liest und die Chipdaten weitergibt |
| Der Kunde will die Erstattung auf eine andere Karte oder in bar | Visa verlangt eine Gutschrift nach Möglichkeit auf die Ursprungskarte; andere Wege gibt es nur in genannten Fällen (Abschnitt 1.5.4.14) | Erstatten Sie auf die Ursprungskarte; weicht der Kunde ab, prüfen Sie die Ausnahmen in Kartenzahlung stornieren und erstatten |
| Am Terminal sitzt ein neuer Aufsatz, ein anderes Kabel oder die SIM-Abdeckung wirkt verändert | Der PCI SSC beschreibt Skimmer hinter der SIM-Abdeckung und veränderte Verbindungskabel | Gerät außer Betrieb nehmen und beim Anbieter über die bekannte Nummer melden (redaktionelle Empfehlung) |
| Eine Person im Service bittet darum, das Terminal zu tauschen oder zu öffnen | Der PCI SSC nennt externes Personal und Dienstleister als Zugang zu Zahlungsgeräten | Termin und Name beim Anbieter bestätigen lassen, bevor das Gerät übergeben wird (redaktionelle Empfehlung) |
| Jemand steht dicht hinter dem Zahlenden an der PIN-Eingabe | Der PCI SSC nennt das optische Ausspähen der PIN durch Personen in der Nähe | Eingabefeld so stellen, dass es verdeckt werden kann; Abstand halten lassen (redaktionelle Empfehlung) |
| Das Terminal steht unbeaufsichtigt | Der PCI SSC nennt unbeaufsichtigte oder zeitweise unbeaufsichtigte Terminals als Angriffsziel | Terminal nach Dienstschluss wegschließen und vor Öffnung auf Veränderungen prüfen (redaktionelle Empfehlung) |
| Karten verschwinden mit einem Mitarbeitenden außer Sicht | Der PCI SSC beschreibt kleine Handskimmer in der Hand von Beschäftigten | Zahlung nur am Terminal vor dem Kunden auslösen; Karte bleibt in Kundenhand (redaktionelle Empfehlung) |
| ELV: Die Unterschrift weicht von der Karte ab | Die Polizei nennt das Bezahlen mit gefälschter Unterschrift im ELV als Tatweg | Auf PIN-Zahlung umstellen; bei Verdacht die Polizei rufen (110 in Deutschland) |
| Das Terminal fordert nach mehreren kontaktlosen Zahlungen die PIN | Wann eine PIN verlangt wird, beschreibt der Artikel Kontaktlos bezahlen | PIN eingeben lassen; einen Kauf nicht aufteilen, um die PIN zu vermeiden (redaktionelle Empfehlung) |
Was Sie täglich am Terminal prüfen
- Gehäuse, Kabel und Kartenschlitz: Sieht alles wie am Vortag aus?
- Siegel und Aufkleber, falls Ihr Anbieter welche anbringt: unversehrt?
- Tastenfeld: sitzt nichts darüber oder daneben?
- Standort: Kann ein Dritter die PIN-Eingabe sehen?
Der PCI SSC beschreibt diese Prüfung als Teil eines größeren Leitfadens („Skimming Prevention: Best Practices for Merchants“) mit Risikofragebogen und Prüfformularen.
Wenn Sie Betrug vermuten
- Schließen Sie den Kauf nicht ab, sondern bieten Sie eine andere Zahlart an.
- Notieren Sie Uhrzeit, Beleg und eine Beschreibung der Lage; sichern Sie gegebenenfalls Videoaufnahmen.
- Informieren Sie Ihren Acquirer, wenn die Zahlung schon verbucht ist; fragen Sie, welche Unterlagen er braucht.
- Sprechen Sie bei Verdacht auf eine Straftat die Polizei an; die Polizeiliche Kriminalprävention nennt in Deutschland die Nummer 110.
- Nehmen Sie ein verändertes Terminal vom Netz und bewahren Sie es auf, bis der Anbieter es geprüft hat.
Weiter: Wie Streitfälle nach einer Zahlung ablaufen, steht im Artikel zum Chargeback; Sicherheitsanforderungen an Ihre Kartendaten beschreibt PCI DSS für Händler; Terminals ohne Zulassung behandelt Zertifiziertes Terminal.