Starke Kundenauthentifizierung im Laden: Was die EU-Regeln verlangen
Kurz gesagt
In der EU muss der Zahlungsdienstleister des Kunden bei einer elektronischen Zahlung am Terminal eine starke Kundenauthentifizierung verlangen, zum Beispiel Karte plus PIN (Art. 97 Abs. 1 Richtlinie (EU) 2015/2366). Er darf davon absehen, etwa bei kontaktlosen Zahlungen bis 50 Euro unter den Bedingungen des Art. 11 Delegierte Verordnung (EU) 2018/389; eine Pflicht dazu besteht nicht.
Das Wichtigste
- EU: Die Pflicht trifft den Zahlungsdienstleister des Zahlers, also die Bank, die die Karte ausgegeben hat (Art. 97 Abs. 1 Buchst. b Richtlinie (EU) 2015/2366); in Deutschland steht sie in § 55 ZAG, in Österreich in § 87 ZaDiG 2018.
- Starke Kundenauthentifizierung bedeutet mindestens zwei Elemente aus Wissen, Besitz und Inhärenz, die voneinander unabhängig sind (Art. 4 Nr. 30 Richtlinie (EU) 2015/2366).
- Ausnahmen an der Verkaufsstelle: kontaktlose Zahlung bis 50 Euro je Zahlung mit Summen- oder Anzahlgrenze (Art. 11) und unbeaufsichtigte Terminals für Verkehrsnutzungsentgelte und Parkgebühren (Art. 12 Delegierte Verordnung (EU) 2018/389); beide sind Kann-Regeln für den Zahlungsdienstleister.
- Akzeptiert der Zahlungsempfänger oder sein Zahlungsdienstleister eine verlangte starke Kundenauthentifizierung nicht, muss er den finanziellen Schaden ersetzen (Art. 74 Abs. 2 Richtlinie (EU) 2015/2366; in Deutschland § 675v Abs. 4 BGB).
- Die Regeln der Delegierten Verordnung (EU) 2018/389 gelten seit 14. September 2019; die Schweiz ist nicht Gegenstand dieses Artikels.
Die starke Kundenauthentifizierung (englisch Strong Customer Authentication, SCA) ist eine Vorgabe aus der Zahlungsdienste-Richtlinie, kurz PSD2. Sie richtet sich an Banken und andere Zahlungsdienstleister, nicht unmittelbar an Händler. Für den Laden ist sie dennoch wichtig, weil sie bestimmt, wann ein Kunde am Terminal etwas bestätigen muss und wann nicht.
Was verlangt die Richtlinie?
Nach Art. 97 Abs. 1 der Richtlinie (EU) 2015/2366 stellen die Mitgliedstaaten sicher, dass ein Zahlungsdienstleister eine starke Kundenauthentifizierung verlangt, wenn der Zahler online auf sein Zahlungskonto zugreift, einen elektronischen Zahlungsvorgang auslöst oder über einen Fernzugang eine riskante Handlung vornimmt. Für den Laden zählt der zweite Fall: Auch eine Kartenzahlung am Terminal ist ein elektronischer Zahlungsvorgang. Die Richtlinie war ab 13. Januar 2018 anzuwenden (Art. 115 Abs. 2); die Sicherheitsmaßnahmen des Art. 97 gelten nach Art. 115 Abs. 4 erst 18 Monate nach Inkrafttreten der technischen Regulierungsstandards.
Diese Standards sind die Delegierte Verordnung (EU) 2018/389. Sie gilt nach ihrem Art. 38 Abs. 2 ab 14. September 2019. Deutschland hat die Pflicht in § 55 ZAG übernommen, Österreich in § 87 ZaDiG 2018.
Starke Kundenauthentifizierung heißt: Mindestens zwei Elemente aus den Kategorien Wissen (etwas, das nur der Nutzer weiß), Besitz (etwas, das nur der Nutzer besitzt) und Inhärenz (etwas, das der Nutzer ist). Sie müssen voneinander unabhängig sein (Art. 4 Nr. 30 der Richtlinie). Als Beispiel nennt dieser Artikel die Chipkarte (Besitz) mit PIN (Wissen); das ist eine Einordnung des Beispiels, die Verordnung nennt keine Produkte.
Wer ist verpflichtet, wer entscheidet?
Verpflichtet ist der Zahlungsdienstleister des Zahlers, im Laden also die Bank, die die Karte ausgegeben hat. Ob eine Ausnahme genutzt wird, entscheidet ebenfalls dieser Zahlungsdienstleister: Die Verordnung sagt für die Ausnahmen in Art. 11 und 12, Zahlungsdienstleister „dürfen“ davon absehen. Sie dürfen dabei die Anforderungen des Art. 2 (Überwachung der Zahlungsvorgänge) nicht unterschreiten.
Für Händler hat das eine Konsequenz. Nach Art. 74 Abs. 2 der Richtlinie trägt der Zahler bei einer nicht autorisierten Zahlung ohne verlangte starke Kundenauthentifizierung einen Verlust nur bei betrügerischer Absicht. Akzeptiert aber der Zahlungsempfänger oder sein Zahlungsdienstleister eine starke Kundenauthentifizierung nicht, muss er dem Zahlungsdienstleister des Zahlers den finanziellen Schaden ersetzen. In Deutschland steht das in § 675v Abs. 4 BGB. Nach unserer redaktionellen Einschätzung heißt das praktisch: Das Terminal muss die Authentifizierung ermöglichen, die die Bank des Kunden anfordert, etwa die PIN-Eingabe.
Entscheidungstabelle: Welche Zahlung im Laden braucht was?
Die Tabelle gilt für die EU. Jede Zeile nennt die Grundlage und wer über die Anwendung entscheidet.
| Zahlung im Laden | Starke Kundenauthentifizierung? | Grundlage | Entscheidet |
|---|---|---|---|
| Kartenzahlung mit Chip am bedienten Terminal | Grundsätzlich ja, sofern keine Ausnahme greift; Beispiel Karte plus PIN | Art. 97 Abs. 1 Buchst. b, Art. 4 Nr. 30 Richtlinie (EU) 2015/2366 | Pflicht des Zahlungsdienstleisters des Zahlers |
| Kontaktlos, Einzelbetrag höchstens 50 Euro, und frühere kontaktlose Zahlungen seit der letzten Authentifizierung zusammen höchstens 150 Euro oder höchstens fünf in Folge | Zahlungsdienstleister darf verzichten | Art. 11 Delegierte Verordnung (EU) 2018/389 | Zahlungsdienstleister (Kann-Regel) |
| Kontaktlos, ohne dass die Bedingungen des Art. 11 erfüllt sind: Einzelbetrag über 50 Euro, oder weder die Summenbedingung (höchstens 150 Euro) noch die Anzahlbedingung (höchstens fünf in Folge) eingehalten | Grundsätzlich ja, sofern der Zahlungsdienstleister keine andere Ausnahme anwendet | Art. 97 Abs. 1 Buchst. b Richtlinie; Art. 11 nicht erfüllt | Pflicht des Zahlungsdienstleisters |
| Unbeaufsichtigtes Terminal, Zahlung eines Verkehrsnutzungsentgelts oder einer Parkgebühr | Zahlungsdienstleister darf verzichten | Art. 12 Delegierte Verordnung (EU) 2018/389 | Zahlungsdienstleister (Kann-Regel) |
| Zahlung an einen Empfänger, den der Kunde bei seiner Bank auf einer Liste vertrauenswürdiger Empfänger geführt hat | Zahlungsdienstleister darf verzichten, wenn die allgemeinen Anforderungen erfüllt sind; das Anlegen der Liste verlangt starke Kundenauthentifizierung | Art. 13 Delegierte Verordnung (EU) 2018/389 | Zahlungsdienstleister |
| Elektronische Fernzahlung (Internet oder Gerät der Fernkommunikation), etwa bis 30 Euro oder bei niedrigem Risiko | Ausnahmen Art. 16 und 18; keine Ausnahme für die Kartenzahlung am Terminal | Art. 16, 18 Delegierte Verordnung (EU) 2018/389 | Zahlungsdienstleister |
Weitere Ausnahmen betreffen andere Konstellationen: wiederkehrende Zahlungen mit gleichem Betrag und gleichem Empfänger (Art. 14), Überweisungen zwischen Konten derselben Person beim selben Zahlungsdienstleister (Art. 15) und dedizierte Zahlungsprozesse von Unternehmen (Art. 17).
Kontaktlos und Wallets
Die kontaktlose Ausnahme und ihre Werte für Deutschland, Österreich und die Schweiz stehen ausführlich in Kontaktlos bezahlen: Limits, PIN-Abfrage und Funktionsweise. Zahlungen mit dem Handy oder der Uhr behandelt Apple Pay und Google Pay im Laden. Ob ein Mindestbetrag für Kartenzahlungen zulässig ist, klärt Mindestbetrag bei Kartenzahlung.
Was sich ändern kann
Der Gesetzgeber der EU verhandelt eine Verordnung über Zahlungsdienste im Binnenmarkt. Nach der Verfahrensdatei des Europäischen Parlaments (2023/0210(COD), abgerufen am 13. Oktober 2026) steht das Verfahren bei der Position des Rates in erster Lesung; ein Inkrafttreten ist dort nicht verzeichnet. Maßgeblich bleiben bis dahin die Richtlinie (EU) 2015/2366 und die Delegierte Verordnung (EU) 2018/389 in den hier zitierten Fassungen.