Betrug im Onlineshop erkennen und vorbeugen
Kurz gesagt
Betrügerische Bestellungen erkennen Sie nicht an einem Merkmal, sondern an der Kombination aus Zahlart, Warenkorb und Kundendaten. Prüfen Sie verdächtige Fälle in einer Warteschlange mit Frist und dokumentierter Entscheidung, statt sie automatisch abzulehnen. Bei grenzüberschreitenden Verkäufen innerhalb der Union verbietet Art. 5 Abs. 1 der Verordnung (EU) 2018/302, im Rahmen der akzeptierten Zahlungsmethoden Zahlungen allein wegen Wohnsitz, Sitz des Zahlungsdienstleisters oder Ausstellungsort der Karte unterschiedlich zu behandeln, sofern der Vorgang über Überweisung, Lastschrift oder Karte innerhalb derselben Zahlungsmarke und Zahlungskategorie läuft, die Authentifizierung nach der Richtlinie (EU) 2015/2366 erfüllt ist und er in einer akzeptierten Währung erfolgt.
Das Wichtigste
- Ein einzelnes Merkmal beweist keinen Betrug; erst die Kombination aus Wert, Adresse, Zahlart und Bestellverlauf ergibt ein Risikosignal.
- Beispielregel: Ein Bestellwert über dem Dreifachen des Kundendurchschnitts löst eine Prüfung aus, keine automatische Ablehnung.
- Verdächtige Bestellungen laufen in eine Warteschlange mit Frist, entscheidender Person und dokumentierter Begründung.
- Risikoregeln dürfen Zahlungen innerhalb der Union nicht nach Wohnsitz, Sitz des Zahlungsdienstleisters oder Ausstellungsort der Karte unterschiedlich behandeln (Art. 5 Abs. 1 der Verordnung (EU) 2018/302), sofern der Vorgang über Überweisung, Lastschrift oder Karte innerhalb derselben Zahlungsmarke und Zahlungskategorie läuft, die Authentifizierung nach der Richtlinie (EU) 2015/2366 erfüllt ist und er in einer akzeptierten Währung erfolgt.
- Die starke Kundenauthentifizierung verlangt der Zahlungsdienstleister, nicht der Händler: Art. 97 Abs. 1 Buchst. b der Richtlinie (EU) 2015/2366, in Deutschland § 55 Abs. 1 Satz 1 Nr. 2 ZAG, in Österreich § 87 Abs. 1 Z 2 ZaDiG 2018; die Ausnahmen regeln Art. 16 und Art. 18 der Delegierten Verordnung (EU) 2018/389.
- In Deutschland muss der Zahlungsdienstleister des Karteninhabers einen nicht autorisierten Betrag erstatten (§ 675u BGB); hat er einer zuständigen Behörde berechtigte Gründe für den Verdacht, dass der Zahlende betrügerisch gehandelt hat, schriftlich mitgeteilt, muss er diese Erstattung nur unverzüglich prüfen und erfüllen, wenn sich der Verdacht nicht bestätigt (§ 675u Satz 4 BGB). Ersatz bis 50 Euro kann er vom Zahlenden nur verlangen, wenn der Vorgang auf einem verlorenen, gestohlenen, sonst abhandengekommenen oder missbräuchlich verwendeten Zahlungsinstrument beruht (§ 675v Abs. 1 BGB); die Haftung entfällt nach § 675v Abs. 2 BGB, wenn der Zahlende den Verlust vor dem Vorgang nicht bemerken konnte oder eine Stelle des Zahlungsdienstleisters ihn verursacht hat, nach Abs. 4 BGB, wenn keine starke Kundenauthentifizierung verlangt oder akzeptiert wurde, ausser bei Betrug, und nach Abs. 5 BGB entfällt die Haftung für Schäden aus der Nutzung nach der Anzeige sowie der Ersatz nach Abs. 1, wenn der Zahlungsdienstleister seiner Pflicht nach § 675m Abs. 1 Nr. 3 BGB nicht nachgekommen ist; Abs. 5 Satz 2 beseitigt nur diesen Ersatz bis 50 Euro nach Abs. 1, nicht die volle Haftung nach Abs. 3, und beide Ausschlüsse des Abs. 5 gelten nicht, wenn der Zahlende in betrügerischer Absicht gehandelt hat (§ 675v Abs. 5 Satz 2 und 3 BGB). Bei betrügerischem Handeln oder vorsätzlicher oder grob fahrlässiger Pflichtverletzung haftet der Zahlende dagegen in voller Höhe (§ 675v Abs. 3 BGB). Ob der Händler belastet wird, regelt der Vertrag mit seinem Zahlungsdienstleister (Acquiring-Vertrag).
Betrug im Onlineshop muss nicht wie ein Angriff aussehen: Die Zahlung ist gültig, die Adresse existiert, und trotzdem gehört der Vorgang nicht zusammen. Der Besteller zahlt mit einem fremden Kartenkonto, gibt beim Rechnungskauf eine erfundene Identität an oder bestreitet die Zahlung nach der Lieferung. Ein einzelnes Merkmal beweist nichts. Erst eine Regel, die mehrere Signale zusammenführt, lenkt den Fall in eine Prüfung, bevor die Ware das Lager verlässt. Welche Zahlarten Sie anbieten, wählen Sie auch nach ihrem Ausfallrisiko (Zahlungsarten im Onlineshop).
Wie fremde Zahlungsdaten in den Shop kommen
Die Daten, mit denen bestellt wird, kommen aus fremder Hand. Nach dem Lagebild der EU-Polizeibehörde Europol werden kompromittierte Kartendaten und Zugangsdaten zu Online-Shopping-Umgebungen auf kriminellen Plattformen gehandelt, und Kartenprüfdienste testen die Verwendbarkeit von Kartendaten (Europol, IOCTA 2025, Abschnitt 5.1). Als Wege, auf denen die Daten in fremde Hand geraten, nennt dasselbe Lagebild kompromittierte Geräte und Konten (Infostealer), Phishing mit nachgebauten Anmeldeseiten, digitales Skimming auf den Webseiten und Apps von Onlinehändlern sowie aus öffentlich verfügbaren Bankidentifikationsnummern erzeugte Kartennummern (BIN-Angriffe) (Europol, IOCTA 2025, Abschnitte 3.1 und 3.2). Ein Angriff auf Ihren Shop ist dafür nicht nötig: Die Daten können beispielsweise aus einem anderen Shop, aus einem kompromittierten Kundenkonto oder aus einem Phishing-Vorgang stammen.
Im Shop entstehen daraus vier Fallgruppen:
- Fremde Zahlungsdaten. Bezahlt wird per Karte, Wallet oder Lastschrift, aber nicht vom Kontoinhaber; die Ware geht an einen Unbekannten.
- Erfundene Identität beim Rechnungskauf. Der Besteller existiert an der angegebenen Adresse nicht; Sie liefern und erhalten nichts (Kauf auf Rechnung).
- Bestreitung nach der Lieferung. Der Kontoinhaber bestreitet den Vorgang oder den Erhalt der Ware (Chargebacks im Onlineshop).
- Übernommenes Kundenkonto. Im fremden Konto liegt eine hinterlegte Zahlart, und die Lieferadresse wurde nie bestätigt.
Wer beim Rechnungskauf eine erfundene Identität angibt oder eine erhaltene Lieferung wahrheitswidrig bestreitet, täuscht über Tatsachen. Betrug liegt aber erst vor, wenn die weiteren Merkmale hinzukommen: dass die Täuschung einen Irrtum erregt und dadurch das Vermögen des Verkäufers beschädigt wird und der Täter in der Absicht handelt, sich oder einem Dritten einen rechtswidrigen Vermögensvorteil zu verschaffen (§ 263 Abs. 1 StGB; in Österreich verlangt § 146 StGB, dass die Täuschung über Tatsachen zu einer Handlung, Duldung oder Unterlassung verleitet, die den Verkäufer oder einen anderen am Vermögen schädigt, und dass der Täter mit dem Vorsatz handelt, sich oder einen Dritten unrechtmäßig zu bereichern). Die Bereicherungsabsicht ist ein eigenes Tatbestandsmerkmal und folgt nicht schon aus der Angabe einer erfundenen Identität oder aus der Bestreitung der Lieferung. Ein berechtigter Streit erfüllt die Merkmale nicht: Wer die Lieferung tatsächlich nicht erhalten hat oder Mängel geltend macht, täuscht nicht und handelt nicht in Bereicherungsabsicht. Eine Anzeige ersetzt die Rückforderung gegen den Besteller nicht.
Risikosignale und Beispielregeln
Die Werte sind redaktionelle Beispiele; für Händlerregeln haben wir in den geöffneten Quellen keine amtliche Vorgabe gefunden. Jede Regel entscheidet nur, ob eine Bestellung in die Prüfung kommt.
| Signal | Beispielregel (Beispielwerte) | Erste Maßnahme |
|---|---|---|
| Bestellwert weit über dem üblichen Kundenwert | Wert über dem Dreifachen des Durchschnittsbons dieses Kunden aus den letzten 90 Tagen und über 500,00 Euro | Ware sperren, Fall in die Prüfung |
| Lieferanschrift weicht von der Rechnungsanschrift ab | Lieferanschrift in einem anderen Land als die Rechnungsanschrift | Prüfung vor dem Versand |
| Erstbestellung mit leicht wiederverkäuflicher Ware | Erstkunde, Warenwert über 300,00 Euro, Artikel aus Elektronik oder Markenware | Prüfung; starke Kundenauthentifizierung abwarten |
| Bestellserie in kurzer Zeit | mehr als drei Bestellungen mit derselben Karte oder E-Mail-Adresse innerhalb von 24 Stunden | Karte und Konto sperren, bis der Fall geklärt ist |
| Kartentest | mehr als zehn abgelehnte Autorisierungen derselben Karte innerhalb einer Stunde | Karte und IP-Adresse blockieren |
| Rechnungskauf ohne Absicherung | Erstbestellung über 200,00 Euro auf Rechnung ohne Bonitätsprüfung | Vorkasse oder Zahlung mit Authentifizierung anbieten |
| Neues SEPA-Mandat mit hohem Betrag | Mandat in derselben Woche erteilt und Betrag über 200,00 Euro | Prüfung, Rückgabefrist des Regelwerks beachten |
Prüfen Sie am Vorgang, nicht am Herkunftsland: Bei grenzüberschreitenden Verkäufen innerhalb der Union untersagt Art. 5 Abs. 1 der Verordnung (EU) 2018/302, im Rahmen der akzeptierten Zahlungsmethoden die Bedingungen eines Zahlungsvorgangs an Staatsangehörigkeit, Wohnsitz, Standort des Zahlungskontos, Sitz des Zahlungsdienstleisters oder Ausstellungsort der Karte zu knüpfen, sofern der Vorgang über Überweisung, Lastschrift oder ein kartengebundenes Zahlungsinstrument innerhalb derselben Zahlungsmarke und Zahlungskategorie läuft, die Authentifizierungsanforderungen der Richtlinie (EU) 2015/2366 erfüllt sind und der Vorgang in einer Währung erfolgt, die Sie akzeptieren. Nach Abs. 2 dürfen Sie die Ware zurückhalten, bis Sie die Bestätigung erhalten haben, dass der Zahlungsvorgang ordnungsgemäß eingeleitet wurde, soweit objektive Gründe das rechtfertigen.
Die Prüf-Warteschlange
Verdächtige Bestellungen gehören in eine eigene Warteschlange, getrennt von der Auftragsbearbeitung.
| Zustand | Was passiert | Wer entscheidet | Frist (Beispiel) |
|---|---|---|---|
| Neu | Die Regel hat ausgelöst; Ware ist gesperrt | System | sofort |
| In Prüfung | Adresse, Bestellverlauf und Zahlart sind verglichen | Prüfperson | 4 Stunden während der Geschäftszeit, sonst 24 Stunden |
| Warten auf Rückmeldung | Der Kunde soll Lieferanschrift oder Zahlung bestätigen | Prüfperson | 48 Stunden |
| Freigegeben | Ware geht raus; Entscheidung und Begründung sind gespeichert | Prüfperson | — |
| Storniert | Begründung und Rückabwicklung der Zahlung sind erfasst | Prüfperson, oberhalb 1.000,00 Euro die Leitung | — |
Jeder Fall braucht die ausgelöste Regel, die geprüften Angaben und die Begründung. Diese Aufzeichnung ist Ihr Beleg, wenn der Zahlungsdienstleister später einen Vorgang zurückholt (Chargebacks im Onlineshop).
Ein Rechenbeispiel
Die Beispielrechnung nutzt erfundene Werte: 1.000 Bestellungen im Monat, durchschnittlicher Bestellwert 60,00 Euro, Prüfaufwand 8 Minuten je Fall.
| Position | ohne Prüfung | mit Prüfung |
|---|---|---|
| Vom Regelsatz markierte Bestellungen | 0 | 15 |
| Betrügerische Bestellungen, die durchlaufen | 3 | 1 |
| Warenwert, der verloren geht (je Fall 150,00 Euro) | 450,00 Euro | 150,00 Euro |
| Aufwand je Rückbuchung (je Fall 15,00 Euro) | 45,00 Euro | 15,00 Euro |
| Prüfzeit (120 Minuten zu 30,00 Euro je Stunde) | 0,00 Euro | 60,00 Euro |
| Summe im Monat | 495,00 Euro | 225,00 Euro |
Die Prüfung spart im Beispiel 270,00 Euro im Monat. Nicht gerechnet sind der durch die Verzögerung verlorene Umsatz und die Marge abgelehnter Bestellungen.
Was der Rechtsrahmen vorgibt
| Punkt | Grundlage | Bedeutung für Ihre Regeln |
|---|---|---|
| Starke Kundenauthentifizierung beim Bezahlen | Art. 97 Abs. 1 Buchst. b der Richtlinie (EU) 2015/2366, in Deutschland § 55 Abs. 1 Satz 1 Nr. 2 ZAG, in Österreich § 87 Abs. 1 Z 2 ZaDiG 2018; Ausnahmen nach Art. 16 und Art. 18 der Delegierten Verordnung (EU) 2018/389 | Ob eine Zahlung ohne starke Kundenauthentifizierung durchgeht, entscheidet Ihr Zahlungsdienstleister: Beim Kleinbetrag darf der ausgelöste Vorgang 30 Euro nicht übersteigen, und zusätzlich dürfen die früheren Vorgänge seit der letzten Authentifizierung zusammen nicht über 100 Euro gehen oder es dürfen seitdem nicht mehr als fünf Vorgänge nacheinander sein (Art. 16); bei der Transaktionsrisikoanalyse bis 100, 250 oder 500 Euro muss seine nach Art. 19 berechnete Betrugsrate die Referenzbetrugsrate des Anhangs einhalten und die Echtzeitrisikoanalyse darf keines der sechs Szenarien des Art. 18 Abs. 2 Buchst. c melden, etwa ungewöhnliche Ausgabe- oder Verhaltensmuster, eine Malware-Infektion im Authentifizierungsverfahren oder einen ungewöhnlichen Ort des Zahlers. Sie selbst können die Ausnahme nicht anwenden (Starke Kundenauthentifizierung). |
| Gleiche Bedingungen für Zahlungen | Art. 5 Abs. 1 der Verordnung (EU) 2018/302, für grenzüberschreitende Verkäufe innerhalb der Union | Im Rahmen der akzeptierten Zahlungsmethoden dürfen Sie einen Zahlungsvorgang nicht an Staatsangehörigkeit, Wohnsitz, Standort des Zahlungskontos, Sitz des Zahlungsdienstleisters oder Ausstellungsort des Zahlungsinstruments knüpfen, sofern er über Überweisung, Lastschrift oder ein kartengebundenes Zahlungsinstrument innerhalb derselben Zahlungsmarke und Zahlungskategorie läuft, die Authentifizierungsanforderungen der Richtlinie (EU) 2015/2366 erfüllt sind und er in einer von Ihnen akzeptierten Währung erfolgt; eine Karte aus einem anderen Mitgliedstaat dürfen Sie danach nicht zu schlechteren Bedingungen annehmen (Geoblocking-Verordnung). |
| Ware bis zur Bestätigung zurückhalten | Art. 5 Abs. 2 der Verordnung (EU) 2018/302 | Soweit objektive Gründe es rechtfertigen, dürfen Sie die Ware zurückhalten, bis bestätigt ist, dass der Zahlungsvorgang ordnungsgemäß eingeleitet wurde. |
| Datenschutz bei der Prüfung | Art. 5 Abs. 1 Buchst. c und Art. 6 Abs. 1 DSGVO (gilt in der EU, also in Deutschland und Österreich) | Sie brauchen eine Rechtsgrundlage und dürfen nur die Daten erheben, die die Prüfung trägt; für eine ausschließlich automatisierte Entscheidung gilt zusätzlich Art. 22 DSGVO (Identität und Adresse prüfen). |
| Nicht autorisierte Kartenzahlung in Deutschland | § 675u und § 675v Abs. 1 bis 5 BGB | Die Bank des Karteninhabers muss den Betrag erstatten und das Zahlungskonto auf den Stand ohne die Belastung bringen (§ 675u Sätze 1 bis 3 BGB); hat sie einer zuständigen Behörde berechtigte Gründe für den Verdacht, dass der Zahlende betrügerisch gehandelt hat, schriftlich mitgeteilt, muss sie die Erstattung nur unverzüglich prüfen und erfüllen, wenn sich der Verdacht nicht bestätigt (§ 675u Satz 4 BGB). Ersatz bis 50 Euro kann sie nur verlangen, wenn der Vorgang auf einem verlorenen, gestohlenen, sonst abhandengekommenen oder missbräuchlich verwendeten Zahlungsinstrument beruht (§ 675v Abs. 1 BGB); das entfällt, wenn der Zahlende den Verlust vor dem Vorgang nicht bemerken konnte oder eine Stelle des Zahlungsdienstleisters ihn verursacht hat (§ 675v Abs. 2 BGB), bei Betrug oder vorsätzlicher oder grob fahrlässiger Pflichtverletzung haftet er voll (§ 675v Abs. 3 BGB), ohne starke Kundenauthentifizierung aber gar nicht, ausser bei Betrug (§ 675v Abs. 4 BGB). Nach Abs. 5 haftet er auch nicht für Schäden aus der Nutzung eines nach der Anzeige verwendeten Zahlungsinstruments und nicht für Schäden im Sinne des Abs. 1, also den Ersatz bis 50 Euro, wenn der Zahlungsdienstleister seine Pflicht nach § 675m Abs. 1 Nr. 3 BGB nicht erfüllt hat; Abs. 5 Satz 2 beseitigt nur diesen Ersatz bis 50 Euro, nicht die volle Haftung nach Abs. 3, und beides gilt nicht bei Betrug. Wer die starke Kundenauthentifizierung nicht akzeptiert, ersetzt dem Zahlungsdienstleister des Zahlenden den Schaden (§ 675v Abs. 4 Satz 3 BGB). |
| SEPA-Lastschrift in Deutschland | § 675x Abs. 2 bis 4 BGB; § 675e Abs. 1 und 4 BGB | Bei SEPA-Basis- und SEPA-Firmenlastschrift kann der Zahlende ohne Angabe von Gründen innerhalb von acht Wochen ab der Belastung die Erstattung verlangen; danach ist der Anspruch ausgeschlossen (§ 675x Abs. 2 und 4 BGB). Hat er mit seinem Zahlungsdienstleister nach § 675x Abs. 3 BGB vereinbart, dass er keinen Erstattungsanspruch hat, weil er seine Zustimmung zur Ausführung direkt seinem Zahlungsdienstleister erteilt hat und, sofern vereinbart, mindestens vier Wochen vor dem Fälligkeitstermin unterrichtet wurde, entfällt er; ist der Zahlende kein Verbraucher, darf der Vertrag nach § 675e Abs. 4 BGB auch sonst von den §§ 675v bis 676 BGB abweichen. |
| SEPA-Lastschrift im SEPA-Regelwerk | SEPA Direct Debit Core Scheme Rulebook, Abschnitt 4.2 | Die Bank des Zahlenden kann eine verrechnete Belastung bis fünf Interbank-Geschäftstage nach dem Settlement zurückgeben; den Betrag holt sich die Bank des Empfängers von diesem zurück (SEPA-Lastschrift im Shop). |
Diese Vorgaben sind EU-Recht, und ihre Reichweite hängt an der Leistung, nicht am Sitz Ihres Shops: Die Richtlinie (EU) 2015/2366 gilt nach Art. 2 Abs. 1 für Zahlungsdienste, die innerhalb der Union erbracht werden; ihre Titel III und IV gelten nach Art. 2 Abs. 2 bis 4 für Zahlungsvorgänge, an denen Zahlungsdienstleister in der Union beteiligt sind, und bei einem Vorgang, an dem nur einer der beteiligten Zahlungsdienstleister in der Union ansässig ist, nach Art. 2 Abs. 4 für die Bestandteile des Vorgangs, die in der Union getätigt werden, jeweils mit den in diesen Absätzen genannten Ausnahmen. Die Pflichten treffen den Zahlungsdienstleister; Ihr Vertrag mit dem Acquirer ersetzt die gesetzlichen Regeln nicht. Die Verordnung (EU) 2018/302 knüpft dagegen nicht an den Sitz des Anbieters an: Nach ihren Erwägungsgründen 4 und 5 können sich ungerechtfertigtes Geoblocking und andere Formen der Diskriminierung auch aus Handlungen von Anbietern ergeben, die in Drittländern niedergelassen sind, und rein inländische Sachverhalte nimmt Art. 1 Abs. 2 aus. Die Prüfliste arbeiten Sie in allen drei Ländern gleich ab.
Typische Fehler
- Nur den Bestellwert prüfen. Ein hoher Warenkorb trifft auch Stammkunden. Erst Zahlart, Lieferanschrift und Bestellverlauf zusammen machen den Fall auffällig.
- Regeln ohne Auswertung betreiben. Ohne die Zahl, welcher Anteil der markierten Bestellungen betrügerisch war, wissen Sie nicht, ob eine Regel zahlt oder nur Zeit kostet.
- Sofort stornieren. Eine Regel, die ohne Prüfung ablehnt, verliert zahlende Kundschaft; zusätzlich dürfen Sie im Rahmen der akzeptierten Zahlungsmethoden Zahlungen nicht nach Land unterschiedlich behandeln, wenn der Vorgang über Überweisung, Lastschrift oder Karte innerhalb derselben Zahlungsmarke und Zahlungskategorie läuft, die Authentifizierung nach der Richtlinie (EU) 2015/2366 erfüllt ist und die Währung akzeptiert wird (Art. 5 Abs. 1 der Verordnung (EU) 2018/302).
- Nichts dokumentieren. Ohne Regelname, geprüfte Angaben und Begründung fehlt der Beleg, wenn eine Zahlung zurückgeholt wird.
- Daten unbegrenzt speichern. Art. 5 Abs. 1 Buchst. e DSGVO verlangt eine Speicherbegrenzung; legen Sie je Regel eine Löschfrist fest.
- Adressprüfung mit Betrug verwechseln. Eine abweichende Rechnungsanschrift kann eine Umzugs- oder Firmenanschrift sein; der fehlende Abgleich allein beweist keinen Betrug.
So gehen Sie vor
- Sammeln Sie für die letzten 12 Monate je Bestellung Zahlart, Warenwert, Liefer- und Rechnungsanschrift und das Ergebnis (geliefert, storniert, zurückgebucht).
- Schreiben Sie die Regeln wie in der Tabelle auf, jede mit Signal, Schwelle und erster Maßnahme.
- Legen Sie die Warteschlange im Shopsystem an: Zustände, Fristen und zuständige Personen, getrennt von der Auftragsbearbeitung.
- Speichern Sie zu jeder Entscheidung die Begründung als Nachweis für den Streitfall.
- Werten Sie nach 90 Tagen je Regel aus, welcher Anteil der markierten Bestellungen betrügerisch war, und passen Sie die Schwellen an.
- Klären Sie mit Ihrem Zahlungsdienstleister, wann er die starke Kundenauthentifizierung verlangt, und nennen Sie Zweck und Löschfrist der Prüfdaten in der Datenschutzerklärung (Datenschutzerklärung für den Onlineshop).
Rechtsberatung gehört dazu, wenn Sie eine Bestellung wegen ihres Risikoprofils ablehnen oder Kundendaten über die Bestellung hinaus auswerten wollen.