Betrug bei Smartphone-Zahlungen: Was Händler prüfen können

Wer mit dem Telefon bezahlt, führt den Vorgang selbst am Gerät durch. Ihr Terminal sieht nur das Ergebnis und einen Token statt der Kartennummer. Prüfen lassen sich deshalb die Umstände und die Belegdaten. Der Artikel behandelt kontaktlose, tokenisierte Kartenzahlungen am Terminal in Deutschland, Österreich und der Schweiz; die Kartenregeln sind Vertragsrecht und stehen in Ihrem Händlervertrag.

Wie eine Wallet-Zahlung technisch ankommt

Eine Wallet-Zahlung am Terminal ist eine kontaktlose Kartenzahlung. Nach dem Glossar der Visa-Regeln (Ausgabe 18. April 2026) greift ein Mobile Payment Device auf die Zahlungsdaten des Karteninhabers zu und führt eine kontaktlose Transaktion durch; dahinter steht eine im Wallet hinterlegte Karte. EMVCo beschreibt die Tokenisierung: Ein Token ersetzt die Kartennummer und ist auf einen bestimmten Händler, ein Gerät oder ein Zahlungsszenario begrenzt. Die Einrichtung des Tokens bewerten die Visa-Regeln über die Visa Provisioning Intelligence, in die Visa in der Europe Region alle Issuer aufnimmt (Abschnitt 10.11.5.2; ein Opt-out ist bei einer geringen Betrugsquote möglich); Ihr Terminal sieht davon nichts.

Die Freigabe am Gerät hängt vom Wallet ab. Nach Apples Beschreibung bestätigt der Kunde bei Apple Pay in Geschäften mit Face ID, Touch ID oder Code; im Express-Modus mit einer Zahlungs- oder Transitkarte entfällt diese Abfrage. Google Wallet verlangt eine Verifikation über die Bildschirmsperre, kann aber darauf verzichten, wenn der Kunde sich wenige Minuten zuvor verifiziert hat, und für Transit-Zahlungen lässt sie sich in den Einstellungen abschalten. Eine fehlende neue Freigabe am Gerät ist deshalb kein verlässliches Zeichen für einen Betrugsfall.

Eine mit Token ausgelöste Zahlung muss nach Abschnitt 4.1.15.5 der Visa-Regeln online autorisiert werden. Wie die beiden Wallets am Terminal ablaufen, beschreibt Apple Pay und Google Pay im Laden.

Wer den Verlust trägt

Die Tabelle ordnet die Ebenen eines bestrittenen Wallet-Vorgangs; jede Zeile gilt für sich.

Ebene	Was die Regel sagt	Wer den Verlust trägt
Kunde und Bank, Deutschland	Nicht autorisierter Vorgang: Die Bank erstattet unverzüglich, spätestens am Ende des folgenden Geschäftstags (§ 675u Satz 2 und 3 BGB); hat sie einer zuständigen Behörde schriftlich berechtigte Gründe für den Verdacht eines betrügerischen Verhaltens des Zahlers mitgeteilt, prüft sie unverzüglich und erstattet, wenn sich der Verdacht nicht bestätigt (Satz 4). Bei einem verlorenen, gestohlenen oder sonst missbrauchten Zahlungsinstrument kann sie dem Zahler höchstens 50 Euro anlasten (§ 675v Abs. 1); diese Haftung nach Abs. 1 entfällt, wenn er den Verlust nicht bemerken konnte oder der Zahlungsdienstleister ihn verursacht hat (Abs. 2), doch den gesamten Schaden schuldet er weiterhin, wenn er ihn in betrügerischer Absicht oder durch vorsätzliche oder grob fahrlässige Verletzung einer Pflicht nach § 675l Abs. 1 BGB oder einer vereinbarten Bedingung für die Ausgabe und Nutzung des Zahlungsinstruments herbeigeführt hat (Abs. 3). Nichts schuldet er ohne verlangte starke Kundenauthentifizierung, außer bei betrügerischer Absicht (Abs. 4), und für Schäden aus der Nutzung nach der Anzeige, außer bei betrügerischer Absicht (Abs. 5 Satz 1 und 3). Bei Nichtverbrauchern können die Parteien abweichende Vereinbarungen treffen (§ 675e Abs. 4). Die Authentifizierung muss die Bank nachweisen (§ 675w)	Die Bank; sie muss auch nach einer Mitteilung an die Behörde erstatten, sobald sich der Verdacht nicht bestätigt
Kunde und Bank, Österreich	Erstattung nach § 67 Abs. 1 ZaDiG 2018, spätestens am Ende des folgenden Geschäftstags; keine Erstattung, wenn berechtigte Gründe einen Betrugsverdacht stützen und der Zahlungsdienstleister ihn der FMA unverzüglich schriftlich meldet (Abs. 2). Haftung des Zahlers für nicht autorisierte Vorgänge: höchstens 50 Euro, wenn er den Schaden durch leicht fahrlässige Verletzung einer Pflicht nach § 63 ZaDiG 2018 herbeigeführt hat (§ 68 Abs. 1); diese Haftung nach Abs. 1 entfällt, wenn der Verlust für ihn nicht bemerkbar war oder der Zahlungsdienstleister ihn verursacht hat (Abs. 2), doch den gesamten Schaden schuldet er weiterhin bei betrügerischer Absicht oder vorsätzlicher oder grob fahrlässiger Verletzung einer Pflicht nach § 63 (Abs. 3); hat er den Schaden weder in betrügerischer Absicht noch durch vorsätzliche Pflichtverletzung herbeigeführt, sind bei einer allfälligen Schadensteilung insbesondere die Art der personalisierten Sicherheitsmerkmale und die besonderen Umstände des Verlusts zu berücksichtigen (Abs. 4). Nichts schuldet er ohne verlangte starke Kundenauthentifizierung, außer bei betrügerischer Absicht (Abs. 5 Satz 1), und für Schäden aus der Nutzung nach der Anzeige, außer bei betrügerischer Absicht (Abs. 6). Bei Nichtverbrauchern sind Abweichungen möglich (§ 55 Abs. 1). Nachweis der Authentifizierung nach § 66	Die Bank; sie muss nicht erstatten, wenn berechtigte Gründe einen Betrugsverdacht stützen und sie ihn der FMA gemeldet hat
Kunde und Bank, Schweiz	Die Richtlinie (EU) 2015/2366 gilt für Zahlungsdienste, die innerhalb der Union erbracht werden (Art. 2 Abs. 1). Eine dem § 675v BGB oder dem § 68 ZaDiG 2018 entsprechende gesetzliche Haftungsgrenze des Zahlers haben wir in den für die Schweiz geöffneten Quellen nicht gefunden	Offen; die 50-Euro-Grenze aus Deutschland und Österreich lässt sich auf Schweizer Zahlungen nicht übertragen. Klären Sie die Verteilung mit dem Kartenherausgeber und in Ihrem Händlervertrag
Händler und Acquirer, Marke Visa	Visa-Regeln (Ausgabe 18. April 2026): Grund 10.1 (EMV Liability Shift Counterfeit Fraud) setzt eine gefälschte Chipkarte voraus (Tabelle 11-8), Grund 10.2 ist für kontaktlose Vorgänge ungültig (Tabelle 11-16), Grund 10.3 betrifft nur von Hand eingegebene Vorgänge vor Ort (Tabelle 11-20). Grund 10.5 (Visa Fraud Monitoring Program) ist streitbar, wenn Visa den Vorgang dem Programm zugeordnet hat (Tabelle 11-32; keine Ungültigkeitsgründe in Tabelle 11-33). Ohne die erforderliche Autorisierung kommt Grund 11.3 in Betracht: Den Streit leitet der Issuer ein (Tabelle 11-46)	Ein Streit über die Gründe 10.1 bis 10.3 trägt bei einem kontaktlosen, online autorisierten Vorgang nicht. Über Grund 10.5 und Grund 11.3 kann der Issuer (die Bank des Kunden) streiten; ob und in welcher Höhe Sie belastet werden, folgt aus dem Streitverlauf und Ihrem Händlervertrag
Händler und Zahler, wenn eine verlangte starke Kundenauthentifizierung nicht akzeptiert wird	Deutschland und Österreich: Akzeptiert der Zahlungsempfänger oder sein Zahlungsdienstleister eine verlangte starke Kundenauthentifizierung nicht, muss er dem Zahlungsdienstleister des Zahlers den Schaden ersetzen (§ 675v Abs. 4 Satz 3 BGB; § 68 Abs. 5 Satz 2 ZaDiG 2018; Grundlage ist Art. 74 Abs. 2 der Richtlinie (EU) 2015/2366)	Wer die Authentifizierung nicht akzeptiert, also Sie oder Ihr Zahlungsdienstleister

Die Zeilen zu Deutschland und Österreich setzen Zahlungsdienstleister beider Seiten in der Union voraus, die Zeile zur Schweiz nicht. Die Zeilen zu den Kartenregeln sind Vertragsrecht zwischen Bank, Acquirer und Händler; was Sie trifft, steht in Ihrem Händlervertrag. Die Visa-Regeln gelten für die Marke Visa; andere Marken haben eigene Regelwerke.

Für die Ebene zwischen Kunde und Bank ergänzen die Visa-Regeln, dass der Herausgeber die Haftung des Karteninhabers nach dessen Meldung grundsätzlich auf null begrenzt (Abschnitt 1.4.5.1), ausgenommen Firmen- und bestimmte Prepaidkarten sowie Betrug oder Fahrlässigkeit des Inhabers. Eine Wallet-Zahlung in einer App oder im Web ist dagegen ein Vorgang ohne anwesende Karte; dafür sieht das Regelwerk den Grund 10.4 (Other Fraud – Card-Absent Environment, Tabelle 11-26) vor. Warnzeichen für Karten und Terminals: Kartenbetrug erkennen.

Checkliste: Warnzeichen bei Wallet-Zahlungen

Kein Warnzeichen beweist einen Betrug; es gibt einen Anlass zu dokumentieren oder eine andere Zahlart anzubieten. Die Punkte gelten für kontaktlose, tokenisierte Kartenzahlungen am Terminal.

Warnzeichen	Warum es zählt	Was Sie tun
Die Erstattung soll in bar oder auf ein anderes Gerät gehen	Eine Erstattung ist nach den Visa-Regeln auf dieselbe Zahlungsverbindung zu leiten, soweit das möglich ist; bar, per Scheck, als Guthaben im Geschäft oder auf eine Prepaid-Karte nur, wenn eine der dort genannten Bedingungen vorliegt (Abschnitt 1.5.4.14)	Bei Visa-Zahlungen auf die ursprüngliche Zahlungsverbindung erstatten; liegt eine Ausnahme vor, halten Sie den Grund fest; siehe Stornierung und Erstattung am Terminal
Das Terminal genehmigt die Zahlung ohne Online-Autorisierung	Eine mit Token ausgelöste Zahlung muss nach Abschnitt 4.1.15.5 der Visa-Regeln online autorisiert werden; fehlt die Autorisierung, kann die Bank über Grund 11.3 streiten. Für andere Kartenverfahren gilt das jeweilige Regelwerk und Ihr Händlervertrag	Beim Acquirer und Terminalanbieter bestätigen lassen, dass Wallet-Zahlungen online autorisiert werden (redaktionelle Empfehlung)
Am Beleg steht keine Kartennummer, und Transaktionsnummer, Betrag oder Uhrzeit fehlen im Journal	Der Token ersetzt die Kartennummer (EMVCo); zur Zuordnung eines bestrittenen Vorgangs gehören Transaktionsnummer, Betrag und Uhrzeit in Ihre Belege und ins Journal (redaktionelle Empfehlung)	Gerätenummer, Transaktionsnummer, Betrag und Uhrzeit sichern (redaktionelle Empfehlung)
Der Kunde bestreitet die Zahlung Wochen später	Für einen Streit nach Grund 10.2 gilt nach den Visa-Regeln eine Frist von 120 Kalendertagen ab dem Transaction Processing Date, für Grund 10.5 ab dem Datum des Visa-Fraud-Monitoring-Program-Berichts (Tabellen 11-17 und 11-34)	Beleg, Journal und Verkaufsdaten aufbewahren und über Ihren Acquirer antworten; Ihre Antwortfristen stehen im Händlervertrag (redaktionelle Empfehlung)

Beispielrechnung: 149 Euro, wer zahlt?

Ein Kunde bezahlt 149,00 Euro mit dem Wallet, das Terminal holt die Autorisierung ein, drei Wochen später bestreitet er die Zahlung (Beispielrechnung).

Der Kunde wendet sich an seine Bank. Ist der Vorgang nicht autorisiert, muss die Bank in Deutschland den Betrag unverzüglich erstatten, spätestens am Ende des folgenden Geschäftstags (§ 675u Satz 2 und 3 BGB); in Österreich gilt dieselbe Frist (§ 67 Abs. 1 ZaDiG 2018). Bloßes Bestreiten belegt keinen nicht autorisierten Vorgang: Die Bank muss die Authentifizierung nachweisen (§ 675w BGB, § 66 ZaDiG 2018). Wie viel der Kunde seiner Bank schuldet, steht in der Verlusttabelle oben.

Die Bank sucht den Verlust bei Ihrem Acquirer. Bei einem kontaktlosen, online autorisierten Vorgang tragen die Betrugsgründe 10.1 bis 10.3 der Visa-Regeln nicht: Grund 10.2 ist für kontaktlose Vorgänge ungültig, Grund 10.3 setzt eine von Hand eingegebene Zahlung voraus, Grund 10.1 eine gefälschte Chipkarte. Damit ist der Fall nicht erledigt: Hat Visa den Vorgang dem Visa Fraud Monitoring Program zugeordnet, kann die Bank über Grund 10.5 streiten.

Anders, wenn Ihr Terminal ohne die erforderliche Autorisierung genehmigt hat: Nach den Visa-Regeln kann der Issuer (die Bank des Kunden) dann einen Streit nach Grund 11.3 einleiten (Tabelle 11-46). Ob Sie die 149,00 Euro tragen, folgt aus dem Streitverlauf und Ihrem Händlervertrag; eine Bearbeitungsgebühr kann Ihr Händlervertrag vorsehen. Dasselbe Risiko trifft Sie, wenn Sie eine verlangte starke Kundenauthentifizierung nicht akzeptieren (§ 675v Abs. 4 Satz 3 BGB, § 68 Abs. 5 Satz 2 ZaDiG 2018).

Typische Fehler

• Den Wallet-Beleg wie einen Kartenbeleg ablegen. Er zeigt keine Kartennummer. Sichern Sie Transaktionsnummer, Betrag und Uhrzeit aus Beleg und Journal, damit sich der Vorgang einem Streit zuordnen lässt (redaktionelle Empfehlung).
• Eigenmächtig eine zusätzliche Prüfung verlangen, die das Wallet nicht vorsieht. Die Verifikation führt der Kunde am Gerät durch; fordert der Vorgang am Terminal eine PIN oder eine Unterschrift, folgen Sie den angezeigten Anweisungen (Google Wallet Help, Pay in store).
• Aus einer fehlenden Freigabe am Gerät auf Betrug schließen. Bei Apple Pay gehört die Bestätigung zum Ablauf, im Express-Modus entfällt sie; Google Wallet kann auf eine neue Verifikation verzichten, wenn der Kunde sich wenige Minuten zuvor verifiziert hat.
• Bar erstatten, weil das Gerät nicht dabei ist. Die Gutschrift gehört möglichst auf die ursprüngliche Zahlungsverbindung; bar nur unter den Bedingungen aus Abschnitt 1.5.4.14 der Visa-Regeln.
• Offline genehmigte Wallet-Zahlungen zulassen. Ohne die nach Abschnitt 4.1.15.5 der Visa-Regeln erforderliche Online-Autorisierung kommt für den Issuer Grund 11.3 in Betracht (Tabelle 11-46); ob und in welcher Höhe Sie belastet werden, folgt aus dem Streitverlauf und Ihrem Händlervertrag.
• Die 50-Euro-Grenze als Ihr Risiko lesen. Sie regelt nur das Verhältnis zwischen Kunde und Bank; Ihre Belastung folgt aus dem Händlervertrag.

So gehen Sie vor

1. Lassen Sie sich vom Acquirer bestätigen, dass Wallet-Zahlungen über Ihre Vertragsnummer abgerechnet werden und bei Visa nach Abschnitt 4.1.15.5 der Visa-Regeln online autorisiert werden.
2. Spielen Sie einen Testvorgang mit einem eigenen Wallet durch, auch eine Erstattung, und prüfen Sie Beleg und Journal.
3. Klären Sie, wie Ihr Terminal die am Gerät durchgeführte Authentifizierung behandelt; ohne deren Annahme droht die Ersatzpflicht nach § 675v Abs. 4 Satz 3 BGB und § 68 Abs. 5 Satz 2 ZaDiG 2018.
4. Halten Sie Gerätenummer, Transaktionsnummer, Betrag und Uhrzeit fest.
5. Bei Visa-Zahlungen erstatten Sie nach Möglichkeit auf die ursprüngliche Zahlungsverbindung; bar, per Scheck, als Guthaben im Geschäft oder auf eine Prepaid-Karte nur, wenn eine der Bedingungen aus Abschnitt 1.5.4.14 der Visa-Regeln vorliegt.
6. Prüfen Sie das erneut beim Wechsel von Terminal oder Zahlungsdienstleister; siehe Zahlungsdienstleister auswählen.