Authentifizierungsausnahme: Rechtliche Einordnung bei Zahlungen

Eine Authentifizierungsausnahme spielt vor allem im elektronischen Zahlungsverkehr eine Rolle. Gemeint sind Fälle, in denen ein Zahlungsdienstleister ausnahmsweise keine starke Kundenauthentifizierung verlangen muss, obwohl der Nutzer online auf ein Zahlungskonto zugreift, eine elektronische Zahlung auslöst oder eine sicherheitsrelevante Handlung vornimmt. Für Banken, Zahlungsinstitute, Händler, Plattformen und Verbraucher ist das praktisch bedeutsam: Eine Ausnahme kann den Zahlungsvorgang vereinfachen, verändert aber nicht automatisch die Haftungslage oder die Beweisfragen nach einem Betrugsfall.

Rechtlich ist die Materie anspruchsvoll, weil nationale Vorschriften, europäische Vorgaben und technische Sicherheitsstandards ineinandergreifen. Zudem ist die Entscheidung, ob eine Authentifizierungsausnahme angewendet werden darf, regelmäßig eine Risikobewertung im Einzelfall. Wer sich pauschal auf „kleine Beträge“, „bekannte Empfänger“ oder „geringes Risiko“ beruft, übersieht häufig die Voraussetzungen und Grenzen. Der Beitrag ordnet die Grundlagen ein, grenzt zentrale Begriffe ab und zeigt, welche Fehler, Fristen und Dokumentationspflichten in der Praxis relevant werden können.

Inhaltsverzeichnis

1. Was bedeutet Authentifizierungsausnahme im Zahlungsverkehr?
2. Gesetzliche Grundlagen: PSD2, ZAG, BGB und technische Standards
3. Abgrenzung: Authentifizierung, Autorisierung, Identifizierung und Ausnahme
4. Welche Authentifizierungsausnahmen kommen in der Praxis vor?
5. Typische Praxisfälle: Händler, Bankkunden, Plattformen und Drittanbieter
6. Risiken und Haftung: Warum eine Ausnahme nicht risikolos ist
7. Fristen, Anzeigeobliegenheiten und Verjährung bei streitigen Zahlungen
8. Beweisfragen und Dokumentation: Was im Streitfall zählt
9. Handlungsschritte bei einer strittigen Authentifizierungsausnahme
10. Besonderheiten für Unternehmen und regulierte Zahlungsdienste
11. Typische Fehlannahmen bei Verbrauchern und Kunden
12. FAQ zur Authentifizierungsausnahme
13. … und 1 weitere Abschnitte

Was bedeutet Authentifizierungsausnahme im Zahlungsverkehr?

Eine Authentifizierungsausnahme bezeichnet im Zahlungsverkehr eine rechtlich und technisch geregelte Konstellation, in der von der grundsätzlich erforderlichen starken Kundenauthentifizierung abgesehen werden kann. Die starke Kundenauthentifizierung wird häufig auch als SCA bezeichnet, abgeleitet von „Strong Customer Authentication“. Sie verlangt regelmäßig die Kombination von mindestens zwei unabhängigen Elementen aus den Kategorien Wissen, Besitz und Inhärenz.

Wissen kann etwa eine PIN oder ein Passwort sein. Besitz kann ein registriertes Smartphone, eine Zahlungskarte oder ein Token sein. Inhärenz meint körperliche oder verhaltensbezogene Merkmale, etwa Fingerabdruck, Gesichtserkennung oder in bestimmten Systemen biometrisch gestützte Verfahren. Grundsätzlich soll die Kombination dieser Faktoren verhindern, dass ein Dritter allein mit abgefangenen Zugangsdaten Zahlungen auslösen kann.

Die Authentifizierungsausnahme ist keine beliebige Vereinfachung zugunsten der Nutzerfreundlichkeit. Sie ist an bestimmte Voraussetzungen gebunden. Diese Voraussetzungen ergeben sich insbesondere aus europäischem Zahlungsdiensterecht und den dazugehörigen technischen Regulierungsstandards. In Deutschland wirken diese Vorgaben unter anderem über das Zahlungsdiensteaufsichtsgesetz und die zivilrechtlichen Regelungen des Bürgerlichen Gesetzbuchs zum Zahlungsdiensterecht.

Praktisch relevant wird die Ausnahme etwa bei kontaktlosen Kartenzahlungen im niedrigen Betragsbereich, bei wiederkehrenden Zahlungen gleicher Höhe, bei Zahlungen an vertrauenswürdige Empfänger oder bei Vorgängen, die nach einer Transaktionsrisikoanalyse als risikoarm bewertet werden. Daneben gibt es Konstellationen rund um den bloßen Kontoinformationszugriff, bei denen nicht jede einzelne Abfrage erneut eine starke Kundenauthentifizierung auslösen muss.

Wichtig ist: Eine zulässige Ausnahme bedeutet nicht, dass Sicherheitsanforderungen vollständig entfallen. Zahlungsdienstleister müssen weiterhin geeignete Überwachungsmechanismen, Betrugsprävention und Risikokontrollen vorhalten. Ebenso wenig bedeutet eine Ausnahme, dass ein Kunde eine Belastung stets hinnehmen muss, wenn später ein Missbrauch festgestellt wird. Ob eine Zahlung autorisiert war, ob grobe Fahrlässigkeit vorliegt und wer den Schaden trägt, bleibt gesondert zu prüfen.

Gesetzliche Grundlagen: PSD2, ZAG, BGB und technische Standards

Die Authentifizierungsausnahme ist Teil eines europäischen Regelungssystems. Ausgangspunkt ist die zweite Zahlungsdiensterichtlinie der Europäischen Union, meist PSD2 genannt. Sie verfolgt unter anderem das Ziel, elektronische Zahlungen sicherer zu machen, Innovation zu ermöglichen und den Wettbewerb durch regulierte Drittanbieter zu fördern. Die Richtlinie enthält Vorgaben zur starken Kundenauthentifizierung und zum Zugang von Kontoinformations- und Zahlungsauslösediensten.

In Deutschland sind zentrale aufsichtsrechtliche Anforderungen im Zahlungsdiensteaufsichtsgesetz geregelt. Das ZAG betrifft vor allem die Erlaubnispflichten und Verhaltenspflichten von Zahlungsinstituten, E-Geld-Instituten und bestimmten Drittanbietern. Für vertragliche Beziehungen zwischen Zahlungsdienstleister und Nutzer sind daneben die Vorschriften des Bürgerlichen Gesetzbuchs relevant, insbesondere die Regelungen zu nicht autorisierten Zahlungsvorgängen, Erstattung, Haftung und Anzeigeobliegenheiten.

Ergänzend sind die technischen Regulierungsstandards zur starken Kundenauthentifizierung und sicheren Kommunikation maßgeblich. Diese Standards konkretisieren, wann starke Kundenauthentifizierung anzuwenden ist und unter welchen Voraussetzungen Ausnahmen zulässig sein können. Sie regeln nicht nur abstrakte Sicherheitsziele, sondern enthalten spezifische Fallgruppen, etwa für Kleinbetragszahlungen, kontaktlose Zahlungen, wiederkehrende Transaktionen, vertrauenswürdige Zahlungsempfänger und risikobasierte Ausnahmen.

Für Unternehmen ist bedeutsam, dass sich die rechtliche Bewertung nicht auf eine einzelne Norm reduzieren lässt. Ein Händler, der Zahlungen entgegennimmt, steht möglicherweise nicht selbst in der Rolle des kontoführenden Zahlungsdienstleisters. Gleichwohl kann seine technische Integration, seine Weiterleitung von Transaktionsdaten und sein Zusammenspiel mit Payment Service Providern darüber entscheiden, ob eine Ausnahme angewendet werden kann oder ob zusätzliche Authentifizierungsschritte erforderlich werden.

Für Verbraucher ist der Blick auf die gesetzlichen Grundlagen vor allem dann wichtig, wenn nach einer Kartenbelastung, Online-Überweisung oder Wallet-Zahlung streitig ist, ob der Vorgang ordnungsgemäß authentifiziert und autorisiert wurde. Eine starke Kundenauthentifizierung kann ein Indiz für eine Autorisierung sein, ersetzt aber nicht automatisch den Nachweis, dass der Zahler den konkreten Zahlungsvorgang tatsächlich freigegeben hat. Umgekehrt führt eine Authentifizierungsausnahme nicht zwingend dazu, dass der Zahlungsdienstleister haftet. Entscheidend sind die Umstände des Einzelfalls, die technischen Protokolle und das Verhalten der Beteiligten.

Abgrenzung: Authentifizierung, Autorisierung, Identifizierung und Ausnahme

In der Praxis werden Authentifizierung, Autorisierung und Identifizierung häufig vermischt. Für die rechtliche Bewertung ist die Unterscheidung jedoch wesentlich. Wer diese Begriffe sauber trennt, kann besser beurteilen, ob eine Authentifizierungsausnahme überhaupt einschlägig ist und welche Folgen ein Fehler im Zahlungsprozess hat.

Identifizierung bedeutet, eine Person oder einen Nutzer als bestimmten Rechtsträger festzustellen. Bei Kontoeröffnung kann dies etwa über Ausweisdokumente, Videoidentifikation oder andere gesetzlich zugelassene Verfahren geschehen. Die Authentifizierung betrifft demgegenüber den Nachweis, dass eine Person, die ein System nutzt, tatsächlich die berechtigte Person ist oder über ein legitimes Authentifizierungsmittel verfügt. Autorisierung meint schließlich die Zustimmung des Zahlers zu einem konkreten Zahlungsvorgang.

Die Authentifizierungsausnahme betrifft nicht die Identifizierung bei Begründung einer Geschäftsbeziehung. Sie bedeutet auch nicht automatisch, dass eine Zahlung ohne Autorisierung ausgeführt werden dürfte. Vielmehr kann eine Zahlung autorisiert sein, obwohl für den konkreten Vorgang eine Ausnahme von der starken Kundenauthentifizierung genutzt wurde. Ebenso kann eine starke Authentifizierung stattgefunden haben, ohne dass damit jeder nachgelagerte Zahlungsvorgang rechtlich zweifelsfrei autorisiert ist.

Die folgende Übersicht verdeutlicht die Unterschiede. Sie ist vereinfacht, ersetzt aber keine Einzelfallprüfung, weil Zahlungsmodelle, Kartenverfahren, Wallets, Händlervereinbarungen und Drittanbieterdienste unterschiedlich ausgestaltet sein können.

Gerade bei Betrugsfällen ist diese Abgrenzung entscheidend. Ein Zahlungsdienstleister kann sich nicht allein darauf beschränken, irgendeinen technischen Login nachzuweisen, wenn streitig ist, ob die konkrete Zahlung autorisiert wurde. Umgekehrt kann ein Kunde nicht jede Zahlung schon deshalb zurückweisen, weil keine sichtbare Zwei-Faktor-Abfrage erschien. In vielen Fällen läuft die Prüfung im Hintergrund, oder es liegt eine regulatorisch vorgesehene Ausnahme vor.

Besonders fehleranfällig sind Begriffe wie „Freigabe“, „Bestätigung“, „Zustimmung“ oder „Verifizierung“ in Apps und Händlerprozessen. Nutzer nehmen eine Schaltfläche möglicherweise als bloße Sicherheitsabfrage wahr, während technisch bereits eine Zahlungsautorisierung oder Mandatserteilung erfolgt. Für die rechtliche Bewertung kommt es dann auf die Gestaltung der Benutzeroberfläche, die Anzeige des Betrags, den Empfänger, die Protokollierung und die vertraglichen Bedingungen an.

Welche Authentifizierungsausnahmen kommen in der Praxis vor?

Authentifizierungsausnahmen sind nicht frei erfunden, sondern typischerweise in bestimmten Fallgruppen vorgesehen. Zahlungsdienstleister dürfen diese Ausnahmen grundsätzlich nur anwenden, wenn die jeweiligen Schwellenwerte, Risikokriterien und Kontrollmechanismen eingehalten werden. In der Praxis entscheidet dabei häufig nicht nur die Bank des Kunden, sondern auch das Zusammenspiel mit Kartenorganisationen, Acquirern, Payment Service Providern, Händlersystemen und technischen Schnittstellen.

Ein klassischer Fall ist die kontaktlose Zahlung mit Karte oder mobilem Endgerät im niedrigen Betragsbereich. Der Kunde hält die Karte an das Terminal, ohne eine PIN einzugeben. Bis zu bestimmten Grenzen kann dies zulässig sein. Werden kumulierte Betrags- oder Anzahlgrenzen erreicht, muss grundsätzlich wieder eine stärkere Prüfung erfolgen. Die konkrete Umsetzung kann je nach Bank, Kartenprodukt und Terminal variieren.

Eine weitere Fallgruppe betrifft Zahlungen mit geringem Betrag im Fernabsatz, etwa bei bestimmten Online-Transaktionen. Auch hier gelten Grenzen und kumulative Betrachtungen. Die Ausnahme ist daher kein Freibrief, beliebig viele Kleinstzahlungen ohne zusätzliche Sicherung auszuführen. Bei auffälligem Verhalten, ungewöhnlichen Mustern oder erhöhtem Betrugsrisiko kann eine starke Kundenauthentifizierung dennoch erforderlich sein.

Bei wiederkehrenden Transaktionen gleicher Höhe an denselben Empfänger kann ebenfalls eine erleichterte Behandlung in Betracht kommen. Das betrifft etwa Abonnements oder regelmäßige Gebühren. Dabei ist genau zu prüfen, ob der erste Zahlungsvorgang ordnungsgemäß authentifiziert wurde und ob spätere Belastungen tatsächlich denselben Parametern folgen. Ändern sich Betrag, Empfänger oder Vertragsgrundlage, kann die Ausnahme ihre Grundlage verlieren.

Praktisch bedeutsam ist außerdem die Liste vertrauenswürdiger Zahlungsempfänger. Ein Zahler kann Empfänger unter bestimmten Bedingungen als vertrauenswürdig einstufen. Zahlungen an diese Empfänger können dann erleichtert werden. Allerdings ist die Einrichtung einer solchen Liste regelmäßig selbst sicherheitsrelevant und muss entsprechend geschützt werden. Wird ein Betrüger durch Social Engineering als vermeintlich vertrauenswürdiger Empfänger hinterlegt, stellen sich komplexe Haftungs- und Beweisfragen.

Schließlich spielt die Transaktionsrisikoanalyse eine große Rolle. Zahlungsdienstleister können anhand von Betrugsraten, Betrag, Empfänger, Gerät, Standort, Zahlungsverhalten und anderen Parametern bewerten, ob ein Vorgang als risikoarm einzustufen ist. Diese Ausnahme setzt jedoch ein leistungsfähiges Risikomanagement voraus. Die Anforderungen sind hoch, weil eine fehlerhafte Risikoeinstufung unmittelbar zu Vermögensschäden führen kann.

Typische Praxisfälle: Händler, Bankkunden, Plattformen und Drittanbieter

Die Authentifizierungsausnahme zeigt ihre rechtliche Bedeutung meist nicht im ungestörten Standardfall, sondern wenn ein Zahlungsvorgang scheitert, zurückgegeben wird oder nachträglich als betrügerisch beanstandet wird. Die Interessen der Beteiligten sind dann unterschiedlich. Verbraucher wollen eine Kontobelastung rückgängig machen. Händler möchten Zahlungsausfälle vermeiden. Zahlungsdienstleister müssen technische Protokolle, regulatorische Anforderungen und Haftungsregeln berücksichtigen.

Kontaktlose Kartenzahlung nach Kartendiebstahl

Ein häufiger Praxisfall ist der Verlust einer Bankkarte. Der Finder oder Dieb nutzt die Karte anschließend für mehrere kontaktlose Kleinbetragszahlungen. Für den Karteninhaber stellt sich die Frage, ob er diese Belastungen tragen muss. Grundsätzlich kann eine kontaktlose Zahlung ohne PIN unter eine Authentifizierungsausnahme fallen. Das ändert aber nichts daran, dass die Zahlung nicht vom Karteninhaber autorisiert sein muss.

Entscheidend wird, wann der Karteninhaber den Verlust bemerkt und gemeldet hat, ob er die Karte sorgfältig aufbewahrt hat, ob PIN und Karte gemeinsam zugänglich waren und ob die Bank ihre kumulativen Sicherheitsgrenzen eingehalten hat. Auch die Höhe einer möglichen Selbstbeteiligung oder Haftung hängt von den Umständen ab. Nach Sperranzeige dürfen grundsätzlich keine weiteren Belastungen zulasten des Kunden gehen, wenn die Bank die Sperre umsetzen konnte und keine besonderen Ausnahmefälle vorliegen.

Online-Händler und Kaufabbrüche durch zusätzliche Authentifizierung

Für Online-Händler kann die Anwendung oder Nichtanwendung einer Authentifizierungsausnahme wirtschaftlich spürbar sein. Eine zusätzliche Zwei-Faktor-Abfrage kann Kaufabbrüche erhöhen, während eine reibungslose Zahlung den Abschluss erleichtert. Rechtlich darf die Conversion-Optimierung aber nicht dazu führen, dass Sicherheitsanforderungen umgangen werden. Händler sind zudem auf die korrekte Weitergabe von Transaktionsdaten angewiesen, damit Zahlungsdienstleister Risiken bewerten können.

Kommt es zu Chargebacks oder Rückbelastungen, wird relevant, ob der Händler das vorgesehene Verfahren eingehalten hat. Bei bestimmten Verfahren kann eine ordnungsgemäße starke Kundenauthentifizierung das Haftungsrisiko verlagern. Wird hingegen eine Ausnahme genutzt, können Händler je nach Zahlungsart, Scheme-Regeln und Vertrag mit dem Zahlungsdienstleister stärker von Rückbelastungsrisiken betroffen sein. Diese Fragen sind nicht allein gesetzlich, sondern oft auch vertraglich und technisch geprägt.

FinTech-App mit Kontoinformationszugriff

Auch Kontoinformationsdienste und Finanz-Apps sind betroffen. Ein Nutzer bindet sein Bankkonto in einer App ein, um Umsätze zu analysieren. Nach einer ersten starken Authentifizierung können spätere Kontoabfragen unter bestimmten Voraussetzungen ohne erneute vollständige Authentifizierung erfolgen. Das kann nutzerfreundlich sein, wirft aber Fragen der Einwilligung, Dauer, Reichweite und Sicherheit des Zugriffs auf.

Wenn ein Nutzer später behauptet, er habe den Zugriff nicht in diesem Umfang gewollt, kommt es auf die Dokumentation der Einbindung, die angezeigten Informationen, die verwendeten Schnittstellen und die Widerrufs- oder Entzugsmöglichkeiten an. Besonders wichtig ist, ob es nur um Kontoinformationen ging oder ob auch Zahlungsauslösungen möglich waren. Zwischen beiden Diensten bestehen rechtlich erhebliche Unterschiede.

Unternehmenszahlungen und interne Freigabeprozesse

Bei Unternehmen entstehen zusätzliche Risiken, wenn externe Authentifizierungsverfahren auf interne Freigabeprozesse treffen. Eine Bank kann einen Zahlungsvorgang technisch korrekt authentifizieren, während intern ein Mitarbeiter Kompetenzen überschreitet oder durch CEO-Fraud zur Zahlung veranlasst wird. Eine Authentifizierungsausnahme kann solche Organisationsfragen nicht lösen.

Unternehmen sollten daher zwischen bankseitiger Authentifizierung und interner Zahlungsfreigabe unterscheiden. Vier-Augen-Prinzip, Berechtigungskonzepte, Limits, Schulungen und Protokolle bleiben erforderlich. In Streitfällen wird geprüft, ob das Unternehmen angemessene organisatorische Sicherungen eingerichtet hat und ob der Zahlungsdienstleister ungewöhnliche Muster hätte erkennen müssen.

Risiken und Haftung: Warum eine Ausnahme nicht risikolos ist

Die größte Fehlannahme besteht darin, eine Authentifizierungsausnahme als rechtliche Entlastung für alle Beteiligten zu verstehen. Tatsächlich erleichtert sie nur den Authentifizierungsprozess unter bestimmten Voraussetzungen. Sie beantwortet nicht abschließend, ob ein Zahlungsvorgang autorisiert war, ob eine Erstattung verlangt werden kann, ob ein Händler das Ausfallrisiko trägt oder ob ein Zahlungsdienstleister gegen aufsichtsrechtliche Pflichten verstoßen hat.

Für Zahlungsdienstleister besteht das Risiko, eine Ausnahme anzuwenden, obwohl die Voraussetzungen nicht erfüllt sind. Das kann zivilrechtliche Erstattungsansprüche, aufsichtsrechtliche Beanstandungen und Beweisprobleme auslösen. Insbesondere bei risikobasierten Ausnahmen muss nachvollziehbar sein, warum ein Vorgang als risikoarm eingestuft wurde. Eine bloße Berufung auf interne Systeme reicht im Streitfall häufig nicht, wenn die maßgeblichen Parameter nicht plausibel dokumentiert sind.

Für Händler liegt das Risiko vor allem in Rückbelastungen, Zahlungsausfällen und Streitigkeiten mit Acquirern oder Payment Service Providern. Wer Transaktionsdaten unvollständig übermittelt, Verfahren falsch integriert oder Ausnahmen ohne Verständnis der Haftungsfolgen nutzt, kann wirtschaftliche Nachteile erleiden. Die genaue Haftungsverteilung hängt jedoch von Zahlungsart, Vertragswerk, Kartenregeln und technischen Abläufen ab.

Verbraucher wiederum riskieren Nachteile, wenn sie Kartenverlust, verdächtige Abbuchungen oder kompromittierte Zugangsdaten verspätet melden. Zwar bestehen bei nicht autorisierten Zahlungsvorgängen grundsätzlich Erstattungsmechanismen. Diese können aber eingeschränkt sein, wenn der Kunde vorsätzlich oder grob fahrlässig gegen Sorgfaltspflichten verstoßen hat. Ob grobe Fahrlässigkeit vorliegt, ist eine Einzelfallfrage.

Typische Fehler in der Praxis sind:

• die Annahme, eine Zahlung ohne sichtbare Zwei-Faktor-Abfrage sei automatisch unwirksam,
• die unkritische Nutzung von Ausnahmen ohne Prüfung von Betrags- und Anzahlgrenzen,
• fehlende oder unvollständige Protokollierung von Authentifizierungs- und Risikodaten,
• verzögerte Sperranzeige nach Verlust von Karte, Smartphone oder Zugangsdaten,
• Verwechslung von Kontoinformationszugriff und Zahlungsauslösung,
• mangelhafte Information der Nutzer über Betrag, Empfänger und Zweck der Freigabe,
• fehlende interne Freigaberegeln bei Unternehmenszahlungen,
• unzureichende Abstimmung zwischen Händler, Payment Service Provider und Acquirer.

Haftungsfragen lassen sich daher selten allein mit dem Hinweis auf eine Authentifizierungsausnahme beantworten. Maßgeblich ist eine Gesamtschau: Welche gesetzlichen Pflichten galten? Welche vertraglichen Regeln waren vereinbart? Welche technischen Schritte wurden protokolliert? Welche Warnzeichen lagen vor? Und wie haben die Beteiligten nach Feststellung des Problems reagiert?

Fristen, Anzeigeobliegenheiten und Verjährung bei streitigen Zahlungen

Bei streitigen Zahlungsvorgängen sind Fristen ein zentraler Punkt. Verbraucher und Unternehmen sollten Belastungen nicht nur inhaltlich prüfen, sondern auch zeitnah reagieren. Das Zahlungsdiensterecht sieht Anzeigeobliegenheiten vor. Nutzer müssen ihren Zahlungsdienstleister grundsätzlich unverzüglich unterrichten, nachdem sie einen nicht autorisierten oder fehlerhaft ausgeführten Zahlungsvorgang festgestellt haben.

Daneben gibt es eine wichtige Ausschlussfrist: Ansprüche und Einwendungen wegen nicht autorisierter oder fehlerhaft ausgeführter Zahlungsvorgänge können ausgeschlossen sein, wenn der Nutzer den Zahlungsdienstleister nicht spätestens innerhalb von 13 Monaten nach dem Tag der Belastung unterrichtet. Diese Frist gilt jedoch nicht schematisch in jeder denkbaren Konstellation und kann etwa davon abhängen, ob die Bank die erforderlichen Informationen ordnungsgemäß mitgeteilt hat. Gleichwohl sollte niemand diese Grenze ausreizen.

Die unverzügliche Anzeige ist auch aus Beweisgründen relevant. Je früher ein Kartenverlust, ein Phishing-Verdacht oder eine unklare Abbuchung gemeldet wird, desto eher lassen sich Sperren, Rückfragen, Protokollsicherungen und Ermittlungen einleiten. Verzögerungen können den Einwand grober Fahrlässigkeit stärken oder die Rekonstruktion erschweren. Das gilt besonders bei mobilen Zahlungssystemen, bei denen Gerät, App, biometrische Freigaben und Push-Mitteilungen zusammenspielen.

Die allgemeine zivilrechtliche Verjährung kann daneben eine Rolle spielen, etwa bei vertraglichen Schadensersatzansprüchen, Rückforderungsansprüchen oder Ansprüchen zwischen Händlern und Zahlungsdienstleistern. Regelmäßig ist dann die regelmäßige Verjährungsfrist von drei Jahren zu prüfen, beginnend unter bestimmten Voraussetzungen mit dem Schluss des Jahres, in dem der Anspruch entstanden ist und Kenntnis oder grob fahrlässige Unkenntnis vorlag. Im Zahlungsdiensterecht können jedoch spezielle Ausschluss- und Reklamationsregeln vorrangig praktisch entscheidend sein.

Unternehmen sollten zusätzlich vertragliche Fristen beachten. Acquirer-Verträge, Payment-Service-Verträge, Kartenregelwerke und Plattformbedingungen enthalten häufig eigene Reklamations-, Nachweis- und Mitwirkungsfristen. Diese können kürzer sein als gesetzliche Verjährungsfristen. Wer Chargeback-Mitteilungen oder Anfragen des Zahlungsdienstleisters liegen lässt, kann Rechte verlieren, obwohl materiell gute Argumente bestanden hätten.

Beweisfragen und Dokumentation: Was im Streitfall zählt

Ob eine Authentifizierungsausnahme rechtmäßig angewendet wurde, ist im Streitfall regelmäßig eine Beweis- und Dokumentationsfrage. Zahlungsdienstleister müssen darlegen können, wie der Zahlungsvorgang technisch verarbeitet wurde, welche Authentifizierungsschritte erfolgt sind, welche Ausnahme genutzt wurde und warum diese zulässig war. Für Kunden und Händler ist es wiederum wichtig, eigene Unterlagen frühzeitig zu sichern, weil technische Protokolle nicht immer dauerhaft verfügbar oder ohne weiteres zugänglich sind.

Bei nicht autorisierten Zahlungsvorgängen genügt der bloße technische Nachweis der Nutzung eines Zahlungsinstruments nicht in jedem Fall, um eine Autorisierung oder ein pflichtwidriges Verhalten des Kunden zu beweisen. Gleichwohl können Protokolle, Geräteinformationen, IP-Adressen, Zeitstempel, TAN-Freigaben, Push-Bestätigungen und Betrugsmuster erhebliche Indizwirkung haben. Die rechtliche Bewertung hängt davon ab, ob die Daten plausibel, vollständig und widerspruchsfrei sind.

Verbraucher sollten nach einer verdächtigen Belastung nicht nur die Bank kontaktieren, sondern Belege sichern. Händler sollten Zahlungs- und Versandnachweise, Kundenkommunikation und technische Transaktionsdaten aufbewahren. Unternehmen sollten interne Freigaben, Rollen, Limits und Kommunikationswege dokumentieren. Je komplexer der Zahlungsvorgang, desto wichtiger wird eine strukturierte Chronologie.

Relevante Nachweise können insbesondere sein:

• Kontoauszüge oder Kreditkartenabrechnungen mit Datum, Betrag und Empfänger,
• Sperrbestätigungen für Karten, Online-Banking, Apps oder Geräte,
• Bankkommunikation, Reklamationsschreiben und Eingangsbestätigungen,
• Push-Mitteilungen, SMS, E-Mails oder App-Benachrichtigungen zur Freigabe,
• Geräteinformationen, soweit verfügbar, etwa neues Smartphone oder SIM-Wechsel,
• Anzeige bei der Polizei oder Aktenzeichen bei Betrugsverdacht,
• Händlerbelege, Bestellbestätigungen, Versand- und Zustellnachweise,
• interne Freigabeprotokolle bei Unternehmenszahlungen,
• Vertragsunterlagen mit Zahlungsdienstleistern oder Payment Service Providern,
• Screenshots von Fehlermeldungen, Zahlungsdialogen oder auffälligen Login-Vorgängen.

Die Dokumentation sollte möglichst unverändert und nachvollziehbar gesichert werden. Screenshots sind hilfreich, ersetzen aber nicht immer Originalnachrichten oder exportierbare Protokolle. Bei Unternehmen empfiehlt sich zusätzlich, Zugriffsrechte und Protokolldaten nicht vorschnell zu löschen. Dabei sind Datenschutz, arbeitsrechtliche Vorgaben und IT-Sicherheitsanforderungen zu beachten.

Handlungsschritte bei einer strittigen Authentifizierungsausnahme

Wer eine Zahlung beanstandet oder eine fehlerhafte Anwendung einer Authentifizierungsausnahme vermutet, sollte geordnet vorgehen. Unstrukturierte Telefonate, unvollständige Angaben oder vorschnelle Schuldeingeständnisse können später zu Problemen führen. Ebenso ungünstig ist es, nur auf eine Erstattung zu warten, ohne Fristen und Nachweise im Blick zu behalten.

Die folgenden Schritte eignen sich als praxisnahe Orientierung. Sie ersetzen keine individuelle Prüfung, helfen aber, die wichtigsten Punkte frühzeitig zu sichern:

• Zahlungsvorgang genau identifizieren: Notieren Sie Datum, Uhrzeit, Betrag, Empfänger, Karten- oder Kontobezeichnung und Buchungstext. Bei mehreren Zahlungen sollte eine tabellarische Übersicht erstellt werden.
• Zahlungsinstrument sofort sperren: Bei Kartenverlust, Phishing-Verdacht, kompromittiertem Smartphone oder unbekannter App-Freigabe sollte die Sperre unverzüglich veranlasst und die Sperrbestätigung dokumentiert werden.
• Bank oder Zahlungsdienstleister schriftlich informieren: Beanstanden Sie den Vorgang zeitnah und nachvollziehbar. Verweisen Sie darauf, ob Sie die Zahlung nicht autorisiert haben oder ob Sie eine fehlerhafte Ausführung vermuten.
• Fristen kontrollieren: Notieren Sie die 13-Monats-Grenze ab Belastung sowie vertragliche Reklamationsfristen. Bei Chargebacks oder Händlerstreitigkeiten können deutlich kürzere Antwortfristen gelten.
• Unterlagen sichern: Speichern Sie Kontoauszüge, App-Mitteilungen, E-Mails, SMS, Screenshots, Sperrbestätigungen und Aktenzeichen. Dokumentieren Sie auch, wann Sie welche Stelle kontaktiert haben.
• Keine Geräte vorschnell zurücksetzen: Bei Phishing, Malware oder unklaren Freigaben können Geräteinformationen wichtig sein. Eine IT-forensische Sicherung kann in besonderen Fällen sinnvoll sein.
• Polizeiliche Anzeige prüfen: Bei Betrugsverdacht ist eine Anzeige häufig zweckmäßig. Sie ersetzt aber nicht die fristgerechte Reklamation gegenüber dem Zahlungsdienstleister.
• Vertragliche Rollen klären: Händler und Plattformen sollten prüfen, ob sie selbst, ein Payment Service Provider, ein Acquirer oder ein Marktplatz Vertragspartner des Zahlungsvorgangs ist.
• Risikohinweise und Benutzeroberflächen rekonstruieren: War der Betrag erkennbar? Wurde der Empfänger angezeigt? Ging es um Login, Karteneinbindung oder Zahlungsfreigabe? Diese Details können entscheidend sein.
• Antworten des Zahlungsdienstleisters prüfen: Allgemeine Hinweise auf „ordnungsgemäße Authentifizierung“ sollten mit den konkreten Protokolldaten, der behaupteten Ausnahme und dem streitigen Zahlungsvorgang abgeglichen werden.
• Interne Zuständigkeiten festlegen: Unternehmen sollten eine Person bestimmen, die Kommunikation, Dokumentation und Fristen zentral koordiniert.
• Rechtliche Bewertung einholen, wenn hohe Beträge oder komplexe Abläufe betroffen sind: Dies gilt insbesondere bei mehreren Beteiligten, internationalen Zahlungen, Unternehmenskonten, Chargebacks oder Verdacht auf grobe Fahrlässigkeit.

Bei Verbrauchern steht häufig die schnelle Begrenzung des Schadens im Vordergrund. Bei Unternehmen kommt hinzu, dass organisatorische Schwächen behoben werden sollten. Dazu gehören Zahlungsfreigaben, Schulungen, Rechtekonzepte, Limits und technische Kontrollmechanismen. Händler sollten außerdem prüfen, ob ihre Payment-Integration vollständige und korrekte Daten übermittelt, damit unnötige Authentifizierungsabbrüche und Haftungsnachteile vermieden werden.

Wer bereits eine ablehnende Antwort der Bank erhalten hat, sollte diese nicht nur nach dem Ergebnis beurteilen. Entscheidend ist, ob die Begründung erkennen lässt, auf welche konkrete Authentifizierung oder Ausnahme sich der Zahlungsdienstleister stützt, welche Kundensorgfaltspflicht verletzt worden sein soll und welche Tatsachen dafür angeführt werden. Pauschale Verweise können angreifbar sein, wenn sie den konkreten Vorgang nicht nachvollziehbar erklären.

Besonderheiten für Unternehmen und regulierte Zahlungsdienste

Unternehmen, Zahlungsinstitute, E-Geld-Institute, FinTechs und Plattformbetreiber müssen die Authentifizierungsausnahme nicht nur aus Sicht einzelner Zahlungsvorgänge betrachten. Für sie geht es auch um Governance, Compliance, technische Prozessgestaltung und Haftungsverteilung entlang der Zahlungskette. Eine ungenaue Umsetzung kann nicht nur zu Einzelfallstreitigkeiten führen, sondern wiederkehrende Risiken erzeugen.

Regulierte Zahlungsdienste sollten ihre Ausnahmelogik dokumentieren. Dazu gehören Schwellenwerte, Risikoparameter, Betrugsraten, Monitoring, Eskalationsprozesse und Änderungen an der Systemlogik. Besonders bei transaktionsrisikobasierten Ausnahmen ist eine nachvollziehbare Governance wesentlich. Wenn ein System Zahlungen als risikoarm klassifiziert, muss erklärbar sein, welche Datenpunkte berücksichtigt wurden und wie Fehlklassifikationen erkannt werden.

Auch Outsourcing und Drittanbietersteuerung sind relevant. Viele Zahlungsprozesse beruhen auf Dienstleistern für Betrugserkennung, App-Betrieb, Cloud-Infrastruktur, Kartenprozesse oder Schnittstellen. Verantwortlichkeiten sollten vertraglich klar geregelt sein. Wer Protokolldaten im Streitfall benötigt, muss wissen, ob und wie lange ein Dienstleister diese Daten speichert. Fehlende Datenzugriffe können die Rechtsdurchsetzung erheblich erschweren.

Händler und Plattformen sind nicht immer selbst Adressaten aller aufsichtsrechtlichen SCA-Pflichten, können aber durch Prozessgestaltung erheblichen Einfluss nehmen. Unvollständige Warenkorb-, Empfänger-, Betrag- oder Kundendaten können dazu führen, dass Risikoanalysen schlechter funktionieren oder Ausnahmen nicht genutzt werden können. Umgekehrt kann eine fehlerhafte Einbindung von Zahlungsfenstern oder Weiterleitungen zu Beweisproblemen führen, wenn später streitig ist, was der Kunde gesehen und bestätigt hat.

Für Unternehmen mit hohem Zahlungsvolumen empfiehlt sich zudem eine regelmäßige Auswertung von Rückbelastungen, Betrugsfällen und Authentifizierungsabbrüchen. Solche Daten können zeigen, ob bestimmte Märkte, Zahlungsmittel, Endgeräte oder Prozessschritte auffällig sind. Die rechtliche Bewertung sollte dabei mit IT-Sicherheit, Datenschutz, Vertragsmanagement und Kundenkommunikation abgestimmt werden. Eine isolierte Betrachtung nur durch die Fachabteilung greift häufig zu kurz.

Typische Fehlannahmen bei Verbrauchern und Kunden

Auch auf Kundenseite bestehen wiederkehrende Missverständnisse. Viele Nutzer gehen davon aus, dass jede Online-Zahlung zwingend mit einer sichtbaren Zwei-Faktor-Abfrage verbunden sein müsse. Bleibt diese aus, wird der Vorgang als „unsicher“ oder „rechtswidrig“ empfunden. Das kann zutreffen, muss es aber nicht. Eine Authentifizierungsausnahme kann gerade dazu führen, dass der Zahlungsvorgang ohne zusätzliche sichtbare Abfrage abgewickelt wird.

Eine weitere Fehlannahme betrifft die Haftung bei kontaktlosen Zahlungen. Kunden meinen teilweise, sie müssten jede Zahlung tragen, solange die echte Karte verwendet wurde. Auch das ist zu pauschal. Wird die Karte nach Diebstahl genutzt, kann es sich um nicht autorisierte Zahlungsvorgänge handeln. Die Haftung hängt dann von Verlustmeldung, Sorgfaltspflichten, Sperrzeitpunkt und weiteren Umständen ab. Eine kontaktlose Ausnahme ersetzt nicht die Zustimmung des Karteninhabers.

Umgekehrt unterschätzen Nutzer mitunter ihre eigenen Pflichten. Zugangsdaten, PINs, Geräteentsperrung, TAN-Apps und Karten dürfen nicht so aufbewahrt werden, dass Dritte leicht darauf zugreifen können. Wer Warnhinweise ignoriert, Freigaben ohne Prüfung von Betrag und Empfänger bestätigt oder auf Phishing-Anweisungen reagiert, kann sich dem Vorwurf grober Fahrlässigkeit ausgesetzt sehen. Ob dieser Vorwurf berechtigt ist, hängt jedoch stark von der konkreten Täuschungssituation und der Erkennbarkeit des Risikos ab.

Bei Wallets und mobilen Zahlungen kommt hinzu, dass Nutzer oft mehrere Ebenen verwechseln: Geräteentsperrung, Wallet-Aktivierung, Karteneinbindung und konkrete Zahlungsfreigabe. Eine biometrische Entsperrung des Smartphones ist nicht in jedem Fall gleichbedeutend mit der Autorisierung einer Zahlung. Andererseits kann sie Bestandteil eines sicheren Authentifizierungsverfahrens sein. Für Streitfälle ist deshalb entscheidend, welche Handlung zu welchem Zeitpunkt für welchen Zweck verlangt wurde.

Sinnvoll ist, Konto- und Kartenumsätze regelmäßig zu kontrollieren, Push-Benachrichtigungen zu aktivieren und Freigabedialoge bewusst zu lesen. Wer Unregelmäßigkeiten schnell erkennt, kann Sperren auslösen, Nachweise sichern und seine Rechtsposition verbessern. Zugleich sollten Nutzer nicht vorschnell zahlen, erstatten oder Schuldanerkenntnisse abgeben, wenn die technische und rechtliche Lage unklar ist.

FAQ zur Authentifizierungsausnahme

Fazit: Authentifizierungsausnahme sorgfältig prüfen und dokumentieren

Die Authentifizierungsausnahme ist ein wichtiges Instrument, um sichere Zahlungsprozesse nutzerfreundlich zu gestalten. Sie darf jedoch nicht mit einer pauschalen Haftungsfreistellung oder einer automatischen Zahlungsautorisierung verwechselt werden. Entscheidend bleiben die gesetzlichen Voraussetzungen, die konkrete Ausnahmekategorie, technische Protokolle, Risikokontrollen und das Verhalten der Beteiligten.

Bei streitigen Zahlungen sollten Betroffene zuerst den Vorgang identifizieren, Zahlungsinstrumente sperren, fristgerecht reklamieren und Nachweise sichern. Unternehmen sollten zusätzlich Vertragsrollen, interne Freigaben und Payment-Prozesse prüfen. Händler und Zahlungsdienstleister profitieren von sauberer Dokumentation, klaren Schnittstellen und nachvollziehbaren Risikoregeln.

Ob eine Ausnahme zulässig war und welche Haftungsfolgen sich daraus ergeben, lässt sich nur im Einzelfall beurteilen. Gerade bei höheren Beträgen, mehreren Beteiligten, Betrugsverdacht oder ablehnenden Bankentscheidungen sollte die technische Darstellung mit den rechtlichen Anforderungen abgeglichen werden.