Die weltweiten Verluste durch Online-Zahlungsbetrug im E-Commerce-Sektor wurden auf etwa 44 Milliarden USD im Jahr 2024 geschätzt. Aber wer zahlt, wenn sich eine Transaktion als betrügerisch herausstellt? Das hängt davon ab, wie die Zahlung abgewickelt wurde, welche Sicherheitstools verwendet wurden und welche Regeln im Hintergrund gelten. Diese Übertragung der Verantwortung wird als Haftungsverlagerung bezeichnet und ist ein wichtiger Bestandteil des Zahlungssystems. Leider denken viele Unternehmen erst darüber nach, wenn sie auf der falschen Seite stehen.

Im Folgenden erklären wir genau, wie die Haftungsverlagerung funktioniert, wann sie stattfindet und wie Sie sie zu Ihrem Vorteil nutzen.

Worum geht es in diesem Artikel?

• Was ist eine Haftungsverlagerung im Zusammenhang mit Kartenzahlungen?
  
• Wann findet eine Haftungsverlagerung statt und wer wird verantwortlich?
  
• Wie wirkt sich die Haftungsverlagerung auf Ihre Strategie zur Betrugsprävention aus?
  

Was ist eine Haftungsverlagerung im Zusammenhang mit Kartenzahlungen?

Eine Haftungsverlagerung definiert, wer verantwortlich ist, wenn eine Zahlung als betrügerisch eingestuft wird. Diese Verantwortung kann sich verlagern, je nachdem, wer in der Zahlungskette die richtigen Sicherheitstools verwendet hat. Es kommt darauf an, welche Partei die Transaktion nicht gesichert hat.

Wenn ein Unternehmen aktuelle Sicherheitsprotokolle wie EMV-Chiplesegeräte (Europay, Mastercard und Visa) und 3D Secure (3DS) verwendet und es immer noch zu Betrug kommt, geht die Haftung in der Regel auf den Kartenaussteller über. Wenn das Unternehmen diese Schutzmaßnahmen nicht einsetzt, ist der Aussteller nicht mehr verantwortlich. Das Unternehmen (oder die Händlerbank) haftet finanziell für die Rückbuchung.

Diese Verlagerung der Verantwortung ist beabsichtigt. Kartennetzwerke nutzen sie, um die Einführung besserer Sicherheitsvorkehrungen voranzutreiben. Die Botschaft ist klar: Wenn Sie eine stärkere Authentifizierung implementieren, kommen Sie nicht für Betrugsverluste auf.

Die Regeln von Kartennetzwerken folgen einer strengen Logik für die Bewertung der Haftung:

• Hat das Unternehmen die verfügbare Authentifizierungsmethode implementiert?

• Wurde die Transaktion über den richtigen Kanal abgewickelt?

Lauten die Antworten auf beide Fragen „Ja“, ist das Unternehmen geschützt. Wenn nicht, ist es haftbar.

Wann findet eine Haftungsverlagerung statt und wer wird verantwortlich?

Die Haftungsverlagerung gilt nicht für jede Transaktion. Dies geschieht nur, wenn bestimmte Technologien oder Protokolle zur Erkennung und Verhinderung von Betrug verwendet werden (oder nicht). Wenn diese Bedingungen erfüllt sind, geht das Betrugsrisiko vom Unternehmen auf den Aussteller über. Wenn dies nicht der Fall ist, ist das Unternehmen verantwortlich.

Hier erfahren Sie genauer, wann und warum es bei verschiedenen Arten von Transaktionen zu einer Haftungsverlagerung kommt.

EMV-Chipkartentransaktionen

Wenn Kundinnen und Kunden eine EMV-Chipkarte zur Zahlung vorlegen, das Unternehmen diese jedoch nicht mit einem Chiplesegerät verarbeitet, haftet das Unternehmen für jeglichen Betrug im Zusammenhang mit dieser Transaktion. Das bedeutet:

• Wenn das Unternehmen EMV nicht unterstützt, die Karte aber einen Chip hat, trägt das Unternehmen (oder sein Acquirer (Händlerbank)) den Verlust.

• Wenn das Unternehmen ein EMV-Lesegerät mit der Chipkarte verwendet, haftet wahrscheinlich der Aussteller.

Dies gilt nicht für angefochtene Zahlungen, die nicht mit Kartenbetrug verbunden sind, wie z. B. Ansprüche wegen „beschädigter Produkte“. Das Unternehmen ist immer noch für diese verantwortlich.

Online-Transaktionen

Die Haftungsverlagerung bei Online- oder mobilen Zahlungen hängt in der Regel davon ab, ob 3DS verwendet wurde und ob die Authentifizierung erfolgreich war:

• Wenn eine Transaktion über 3DS authentifiziert wird, geht die Haftung auf die Karteninhaberbank über.

• Wenn 3DS nicht verwendet wird, ausfällt oder nicht verfügbar ist, haftet das Unternehmen.

Wenn Karteninhaber/innen später behaupten, die Belastung nicht autorisiert zu haben, ist der Aussteller nur dann verantwortlich, wenn die Authentifizierung abgeschlossen wurde. Selbst wenn die Transaktion nicht authentifiziert wurde, weil der Aussteller nicht an 3DS teilnimmt oder ein Fehler auftritt, geht die Haftung in der Regel nicht auf den Aussteller über.

Kontaktlose und Digital-Wallet-Transaktionen

Viele Digital Wallets (z. B. Apple Pay, Google Pay) kommen aufgrund der Art und Weise, wie sie tokenisiert und authentifiziert werden, für eine Haftungsverlagerung in Frage. Diese Transaktionen beinhalten häufig einen kryptografischen Nachweis, dass die Karteninhaber/innen mithilfe biometrischer Daten oder gerätebasierter Anmeldeinformationen verifiziert wurden. Wenn dieser Nachweis vorliegt, geht die Haftung in der Regel auf den Aussteller über.

Transaktionen ohne Authentifizierungsoptionen

Nicht jeder Kanal ermöglicht die Authentifizierung, einschließlich Zahlungen für Versandhandel und Telefonbestellungen (MOTO). In diesen Fällen bleibt die Haftung in der Regel beim Unternehmen, da die Transaktion nicht in Echtzeit verifiziert werden kann.

Wie wirkt sich die Haftungsverlagerung auf Ihre Strategie zur Betrugsprävention aus?

Die Haftungsverlagerung ist ein Entscheidungsinstrument. Es bestimmt, wie Sie mit Risiken umgehen, welche Sicherheitsmaßnahmen Sie beim Bezahlvorgang ergreifen und wie Sie Betrugsprävention und Kundenerlebnis in Einklang bringen.

Sie hilft Ihnen bei der Entscheidung, wann eine Authentifizierung hinzugefügt werden soll

3DS bietet Ihnen etwas, was die meisten Betrugstools nicht bieten können: Schutz vor finanzieller Haftung. Das macht es zu einem leistungsstarken Ausweichsystem, insbesondere für Transaktionen, die Risikosignale auslösen, wie z. B. Bestellungen mit hohem Wert, internationale Karten und Erstkundschaft.

Einige Unternehmen verwenden 3DS selektiv. Beispielsweise verwenden sie 3DS bei riskanten Transaktionen, um die Haftung von sich selbst abzuwälzen, lassen es jedoch bei Transaktionen mit geringem Risiko weg, um Reibung beim Bezahlvorgang zu minimieren und die Konversionsraten aufrechtzuerhalten. Sie behandeln nicht jede Kundin und jeden Kunden wie eine Bedrohung, sondern nutzen die Haftungsverlagerung dort, wo sie am wichtigsten ist.

In einigen Regionen erfordert die Einhaltung gesetzlicher Vorschriften jedoch die Verwendung von 3DS für alle Online-Transaktionen.

Sie ändert, wie Sie Risikobewertungen interpretieren

Wenn Sie wissen, dass eine Transaktion eine Haftungsverlagerung mit sich bringt (weil 3DS erfolgreich war oder der Chip verwendet wurde), genehmigen Sie sie möglicherweise, selbst wenn Betrugsindikatoren vorliegen. Umgekehrt gilt: Wenn eine Transaktion nicht für eine Haftungsverlagerung in Frage kommt, sollten Sie sie genauer unter die Lupe nehmen. Das kann bedeuten, dass mehr Verifizierungen erforderlich sind, die Transaktion einer manuellen Überprüfung unterzogen oder blockiert werden muss.

Sie verteilt die Kosten von Betrug um

Eine erfolgreiche Haftungsverlagerung bedeutet, dass der Aussteller, nicht Ihr Unternehmen, den Verlust übernimmt. Das reduziert Ihr direktes finanzielles Risiko, aber Betrug verursacht immer noch indirekte Kosten, darunter:

• Inventarverlust

• Umgang mit Anfechtungseskalationen

• Meldung von Netzwerken wegen hoher Betrugsraten

Die Haftungsverlagerung verringert zwar die Auswirkungen von Betrug, beseitigt aber nicht den Schaden. Sie sollten ihn trotzdem verhindern, wenn Sie können.

Ihre Gesamtstrategie hängt von Ihrem Geschäftsmodell, Ihrem Risikoprofil und Ihrer Region ab. Die EU verlangt beispielsweise eine starke Kundenauthentifizierung (SCA) für alle Online-Zahlungen und eine aktuelle 3DS-Authentifizierung erfüllt diese Anforderung. In den USA und anderen Regionen ist 3DS optional. Das gibt Ihnen mehr Flexibilität, bringt aber auch mehr Entscheidungen mit, die Sie treffen müssen. Wenn Sie weltweit tätig sind, verwenden Sie wahrscheinlich eine Hybridstrategie: 3DS überall dort, wo es benötigt wird, und anderswo ein risikobasierter Ansatz.