Chargeback-Betrug: wenn Kunden Kartenzahlungen zu Unrecht zurückholen

Für Kunden ist das Chargeback ein Schutz: Wurde die Ware nicht geliefert, wurde doppelt abgebucht oder hat jemand die Karte missbraucht, kann die Zahlung über die Bank zurückgeholt werden ^[1]. Für Händler wird daraus ein Problem, wenn ein Kunde die Rückbuchung verlangt, obwohl er die Ware bekommen oder den Kauf selbst getätigt hat. Dann fehlen Geld und Ware. Visa spricht in seinem Leitfaden für Händler von Disputes; im Handel ist das Wort Chargeback üblich ^[2].

Wie eine Rückbuchung abläuft

Das Chargeback beruht auf den Regeln der Kartenorganisationen wie Visa und Mastercard. Es ist kein gesetzlich geregeltes Recht ^[1]. Der Karteninhaber wendet sich an die Bank, die seine Karte ausgegeben hat, und reicht Belege ein. Die Kartenorganisationen lassen dafür in der Regel bis zu 120 Tage Zeit, meist ab der Belastung auf der Abrechnung ^[1].

Was der Händler erfährt

Akzeptiert die Bank des Kunden die Reklamation, bucht sie die Zahlung zunächst vorläufig zurück. Der Händler kann widersprechen, die Bank muss diesem Widerspruch aber nicht folgen. Widerspricht er, muss er zeigen, dass die Belastung korrekt war. War die Zahlung geschuldet, bleibt dem Händler am Ende meist nur eine Klage, die nach dem Europäischen Verbraucherzentrum in der Praxis selten ist ^[1]. Abgewickelt wird das über die Banken: Visa verwaltet die Regeln, die Fälle laufen über die Bank des Karteninhabers und die Bank oder den Zahlungsdienstleister des Händlers, im Leitfaden Acquirer genannt ^[2].

Wann Kunden kein Chargeback bekommen

Das Europäische Verbraucherzentrum nennt Gründe, aus denen Banken Reklamationen ablehnen: verspätete Anträge, kein vorheriger Versuch, die Sache mit dem Händler zu klären, bloße Unzufriedenheit mit der Ware, Zahlungen mit PIN, die Banken meist als Beleg für eine Autorisierung werten, sowie grobe Fahrlässigkeit des Karteninhabers, etwa wenn er die Karte unbeaufsichtigt ließ oder auf Phishing hereinfiel ^[1]. Reine Girocard-Zahlungen kennen kein Chargeback ^[1].

Wann aus der Rückbuchung Betrug wird

Nicht jede unberechtigte Rückbuchung ist böse Absicht. Visa nennt als einen der häufigsten Gründe, warum sich Kunden an ihre Bank wenden, dass sie eine Buchung auf ihrer Abrechnung nicht wiedererkennen. Oft war die Zahlung gültig, aber der Name des Händlers oder die Angaben zur Buchung waren dem Karteninhaber nicht vertraut ^[2]. Andere Fälle sind gezielt.

Angeblich nicht erhalten

Ein Kunde behauptet, die Ware sei nie angekommen, obwohl sie zugestellt wurde. Diese Reklamation führt Visa als Condition 13.1 "Merchandise/Services Not Received" in der Gruppe der Verbraucherstreitigkeiten. Ein Händler kann darauf antworten, wenn er klar belegen kann, dass Ware oder Leistung wie vereinbart geliefert, bereitgestellt oder genutzt wurde ^[2]. Dabei bleibt der Händler nach Visa auch dann verantwortlich, wenn ein Versanddienst die Zustellung nicht abschließt oder die Ware beim Zoll festhängt ^[2]. Echte Lieferprobleme sind also kein Betrug. Entscheidend ist, was der Kunde genau behauptet, denn davon hängt ab, welche Belege passen ^[2].

Angeblich nicht selbst gekauft

Der Karteninhaber gibt an, die Zahlung nicht ausgelöst zu haben, und die Bank behandelt sie als Betrug mit der Karte. Bei Onlinekäufen ordnet Visa solche Fälle der Condition 10.4 "Other Fraud, Card-Absent Environment" zu ^[2]. Manchmal hat tatsächlich jemand die Kartendaten gestohlen. Nach dem Bericht von EBA und EZB lag der Betrug mit Karten, die in der EU und im EWR ausgegeben wurden, 2024 bei 1,329 Milliarden Euro, 29 Prozent mehr als im Vorjahr ^[5]. Manchmal hat aber auch ein Mitglied des Haushalts bestellt. Visa lässt in solchen Fällen Belege zu, die zeigen, dass ein Familienmitglied oder eine andere Person aus dem Haushalt den Kauf getätigt hat ^[2].

Ware über Dritte bestellt

Beim Dreiecksbetrug bietet ein Betrüger auf einem Marktplatz einen Artikel an und lässt sich vorab bezahlen. Gleichzeitig bestellt er dieselbe Ware bei einem echten Anbieter und lässt sie direkt an den Käufer liefern. In einer Variante bestellt er mit den Daten des Käufers auf Rechnung, sodass der Shop später vom Käufer Geld verlangt ^[6]. Für den Händler sieht so eine Bestellung zunächst normal aus. Mehr zu auffälligen Bestellungen steht unter Fake-Bestellungen im Onlineshop.

Vorbeugen im Shop

Visa empfiehlt für Onlinekäufe, Karteninhaber mit 3-D Secure zu authentifizieren, die Adressprüfung und die Prüfung der Kartenprüfnummer zu nutzen, wo der Zahlungsdienstleister sie anbietet, auf auffällige Muster wie abweichende Rechnungs- und Lieferadressen oder ungewöhnliche Bestellungen zu achten, Bestell- und Versandbestätigungen an die beim Kauf genutzte E-Mail-Adresse zu schicken und Bestellung und Kommunikation genau zu dokumentieren ^[2].

Starke Kundenauthentifizierung

Bei Onlinezahlungen mit Karte reichen Kartennummer, Ablaufdatum und Prüfziffer nicht aus. Die starke Kundenauthentifizierung verlangt mindestens zwei Faktoren aus verschiedenen Kategorien: Wissen, Besitz und persönliche Merkmale wie einen Fingerabdruck ^[3]. Zahlungen, die eine automatische Risikoanalyse als wenig riskant einstuft, dürfen ohne sie laufen, solange der Anteil betrügerischer Zahlungen beim Zahlungsdienstleister unter einer gesetzlichen Obergrenze bleibt ^[3].

Für Händler hat das eine rechtliche Seite. Nach § 675v Absatz 4 BGB haftet der Zahler seiner Bank nicht für einen Schaden aus missbräuchlicher Nutzung, wenn der Zahlungsempfänger oder dessen Zahlungsdienstleister eine starke Kundenauthentifizierung nicht akzeptiert. Dasselbe gilt, wenn die Bank des Zahlers sie nicht verlangt. Beides gilt nicht, wenn der Zahler in betrügerischer Absicht gehandelt hat. Wer die starke Kundenauthentifizierung nicht akzeptiert, also der Händler oder sein Zahlungsdienstleister, muss der Bank des Zahlers den daraus entstehenden Schaden ersetzen ^[4]. Nach Visa kann eine vollständig mit 3-D Secure authentifizierte Zahlung vor einem Dispute wegen Betrugs geschützt sein, wenn alle nötigen Authentifizierungsdaten in der Autorisierungsanfrage stehen ^[2]. Laut EBA und EZB waren Kartenzahlungen mit starker Kundenauthentifizierung weniger anfällig für Betrug; bei Empfängern außerhalb des EWR, wo sie nicht vorgeschrieben ist, lag die Betrugsrate bei Kartenzahlungen 17-mal höher ^[5].

Erkennbar bleiben

Weil viele Reklamationen aus nicht erkannten Buchungen entstehen, rät Visa, den Namen, der auf der Kartenabrechnung erscheint, regelmäßig zu prüfen und an den Markennamen anzugleichen, den Kunden beim Kauf sehen. Belege, Rechnungen und Bestätigungen sollten Firmenname, Datum, Betrag, Währung, Bestellnummer und Kontaktdaten des Kundendienstes gut lesbar enthalten ^[2]. Auch Rückgaberegeln und Lieferzeiten sollten klar kommuniziert werden ^[2]. Allgemeine Schutzmaßnahmen für Shops stehen unter Betrugsprävention für Onlineshops.

Auf eine Rückbuchung antworten

Kommt ein Chargeback, prüfst du zuerst, worum es geht. Visa rät, die Reklamation des Karteninhabers und die Buchungsdaten anzusehen und zu prüfen, ob die zugeordnete Kategorie den Kern trifft ^[2]. Die Fristen sind streng: Informationen müssen innerhalb der Zeiträume und in der Phase eingereicht werden, die die Regeln vorsehen. Was zu spät oder unvollständig kommt, wird später womöglich nicht mehr berücksichtigt ^[2]. Bei Unsicherheit rät Visa, sich mit der eigenen Bank oder dem Zahlungsdienstleister abzustimmen ^[2]. Außerdem gibt es Rapid Dispute Resolution: Über den Zahlungsdienstleister legt der Händler Regeln fest, nach denen passende Disputes automatisch gelöst werden, ohne dass er Belege einreicht. Nach so einer Annahme soll er keine zusätzliche Erstattung an den Kunden schicken, sonst drohen doppelte Gutschriften ^[2].

Welche Belege zählen

Visa erlaubt Händlern, mit sogenanntem Compelling Evidence zu antworten. Die Belege müssen klar mit der bestrittenen Zahlung verbunden sein, etwa über die letzten vier Ziffern der Karte oder das Token, den Betrag und Angaben zum Karteninhaber wie Name, E-Mail-Adresse oder Anschrift ^[2]. Bei gelieferter Ware nennt Visa Fotos oder E-Mails, die zeigen, dass der Kunde die Ware erhalten hat oder nutzt, und den Nachweis der Lieferung an die Adresse, für die die Adressprüfung passte ^[2]. Bei digitalen Gütern zählen etwa IP-Adresse, Gerätekennung, Name und E-Mail im Kundenkonto sowie Anmeldungen vor und nach dem Kauf ^[2].

Für Fälle, in denen der Kunde den Kauf bestreitet, gibt es bei Visa unter dem Namen Compelling Evidence 3.0 eine Regel für frühere Käufe. Danach können mindestens zwei frühere, nicht bestrittene Zahlungen herangezogen werden, wenn sie sich über bestimmte Merkmale wie Gerätekennung, IP-Adresse, Kundenkonto oder Lieferadresse mit dem bestrittenen Kauf verbinden lassen. Sie müssen in der Regel innerhalb von 365 Tagen vor dem bestrittenen Kauf liegen, müssen nach dem Leitfaden in der Regel aber mehr als 120 Tage zurückliegen. Auf welchen Zeitpunkt sich die 120 Tage beziehen, nennt der Leitfaden an zwei Stellen unterschiedlich: den bestrittenen Kauf oder die Einreichung des Disputes durch die Bank. Maßgeblich sind die Visa Rules. Außerdem darf die Bank sie vorher nicht als Betrug gemeldet haben ^[2]. Visa betont, dass solche Belege keine Garantie für den Ausgang sind ^[2].

Wenn ein Muster dahintersteckt

Fallen mehrere Rückbuchungen mit derselben Lieferadresse, demselben Gerät oder demselben Kundenkonto auf, kann sich dahinter gezielter Betrug verbergen. Dann lohnt es sich, die Fälle gesammelt bei der Polizei anzuzeigen; wie das geht, steht unter Betrug anzeigen. Wie Kunden ihre Karte selbst schützen, erklärt die Seite Sicher online bezahlen. Zur technischen Absicherung der Shop-Website gehören Updates, Backups und sichere Zugänge, beschrieben unter Website-Sicherheit.

1. Organisation Chargeback: So holen Sie Kreditkartenzahlungen zurück. Europäisches Verbraucherzentrum Deutschland. Stand 31.03.2026. abgerufen am 29.10.2026
2. Organisation Visa Dispute Management Guide for Merchants, Seiten 2, 12, 13, 22 bis 26, 55, 56, 77, 78, 84, 89 bis 91, 93, 96, 97 und 99. Visa. Stand Oktober 2026. abgerufen am 29.10.2026
3. Behörde Starke Kundenauthentifizierung: Regeln für Onlinebanking und Onlineshopping. Bundesanstalt für Finanzdienstleistungsaufsicht. Stand ohne Datum. abgerufen am 29.10.2026
4. Gesetz § 675v BGB: Haftung des Zahlers bei missbräuchlicher Nutzung eines Zahlungsinstruments. Bundesministerium der Justiz. Stand ohne Datum. abgerufen am 29.10.2026
5. Behörde Gemeinsamer Bericht von EBA und EZB über Betrug im Zahlungsverkehr: starke Authentifizierung nach wie vor wirksam, aber Betrüger passen sich an (Pressemitteilung). Europäische Zentralbank. Stand 15.12.2025. abgerufen am 29.10.2026
6. Behörde Online-Betrug: Dreiecksbetrug. Polizeiliche Kriminalprävention der Länder und des Bundes. Stand ohne Datum. abgerufen am 29.10.2026

Zuletzt geprüft am 30.10.2026, nächste Prüfung spätestens im Oktober 2027. Fehler entdeckt? Schreib uns.