Kontaktlos bezahlen: das 50-Euro-Limit, die PIN-Abfrage und wer bei Missbrauch haftet

Wie kontaktloses Bezahlen technisch funktioniert

Kontaktlose Karten tragen einen NFC-Chip mit Antenne, der auf wenige Zentimeter Entfernung mit dem Terminal kommuniziert. Anders als beim Magnetstreifen werden nicht die statischen Kartendaten übertragen, sondern für jede Zahlung ein einmaliger kryptografischer Code, den das Terminal an die Bank weiterleitet. Ein Mitschnitt der Übertragung lässt sich deshalb nicht für eine zweite Zahlung verwenden.

Das Verfahren ist für Debitkarten, Kreditkarten und die Girocard dasselbe; die Unterschiede zwischen den Kartenarten liegen in der Abrechnung, nicht in der Technik – wer sie nachlesen will, findet sie im Beitrag zum Unterschied zwischen Debit- und Kreditkarte. Auch Geldautomaten nehmen zunehmend kontaktlose Karten an, dort allerdings immer mit PIN.

Das 50-Euro-Limit und die Regel von 150 Euro oder fünf Zahlungen

Bis 50 Euro je Zahlung verlangt das Terminal in Deutschland keine PIN; die Kartenherausgeber haben die Grenze 2020 von 25 auf 50 Euro angehoben. Darüber wird die Karte weiterhin nur ans Terminal gehalten, aber die PIN ist Pflicht. Das Limit ist eine Vorgabe des Kartenherausgebers und kann bei einzelnen Banken niedriger sein.

Die zweite Regel steht in der Delegierten Verordnung (EU) 2018/389 zur starken Kundenauthentifizierung: Ohne Authentifizierung darf kontaktlos nur bezahlt werden, solange seit der letzten PIN-Zahlung weder mehr als fünf Zahlungen noch mehr als 150 Euro kumuliert angefallen sind. Ist eine der Grenzen erreicht, verlangt das Terminal die PIN, auch bei einem Kaffee für drei Euro. Wer sich wundert, warum die Karte „plötzlich" die PIN will, hat meist gerade die fünfte Zahlung gemacht. Der Zähler wird mit jeder PIN-Eingabe zurückgesetzt.

Mit dem Smartphone gelten andere Regeln

Wer die Karte in Apple Pay oder Google Wallet hinterlegt, zahlt kontaktlos ohne Betragsgrenze und ohne PIN am Terminal. Der Grund ist nicht Großzügigkeit, sondern dass das Entsperren des Geräts per Fingerabdruck, Gesicht oder Code bereits die starke Kundenauthentifizierung ist, die die Verordnung verlangt. Die Karte selbst wird dabei nie übertragen; die Wallet nutzt eine Gerätenummer, die nur auf diesem Telefon gilt.

Für die Sicherheit heißt das: Ein gestohlenes, gesperrtes Smartphone kann nicht bezahlen, eine gestohlene Karte bis zur Sperrung schon. In dieser Hinsicht ist die Wallet der Karte überlegen.

Karte gestohlen: was ein Dieb anrichten kann – und was Sie tragen

Mit einer gestohlenen Karte kann ein Dieb bis zur Sperrung kontaktlos bezahlen, aber nur innerhalb der Regeln: höchstens 50 Euro je Zahlung und höchstens fünf Zahlungen oder 150 Euro, bevor die PIN verlangt wird, die er nicht kennt. Der maximale Schaden ist damit begrenzt – und den größten Teil davon trägt ohnehin die Bank.

Für nicht autorisierte Zahlungen vor der Sperrmeldung haften Sie nach § 675v Abs. 1 BGB mit höchstens 50 Euro, unabhängig vom tatsächlichen Schaden. Ab der Sperrmeldung haften Sie mit nichts (§ 675v Abs. 5 BGB). Die volle Haftung droht nur bei grober Fahrlässigkeit oder Betrugsabsicht – etwa wenn die PIN auf der Karte notiert war. Bei PIN-losen Kontaktlos-Zahlungen lässt sich das kaum konstruieren, weil keine PIN im Spiel ist; ein Diebstahl aus der Jackentasche ist keine grobe Fahrlässigkeit.

Die Bank muss den Betrag nach § 675u BGB unverzüglich erstatten, spätestens bis zum Ende des folgenden Geschäftstags, sofern sie keinen begründeten Betrugsverdacht hat. Die richtige Reihenfolge nach dem Verlust – Sperren über 116 116, Umsätze prüfen, Anzeige – beschreibt der Beitrag zur gestohlenen Karte. Umsätze, die die Bank nicht anerkennt, holen Sie über die Rückbuchung zurück.

Auslesen im Vorbeigehen: Mythos und Realität

Mit einem NFC-Lesegerät lassen sich aus wenigen Zentimetern Entfernung tatsächlich Daten von einer Karte auslesen – Kartennummer und Ablaufdatum, bei älteren Karten auch der Name. Was fehlt, ist alles, was eine Zahlung braucht: die Prüfziffer auf der Rückseite, die jeder Onlineshop verlangt, und der einmalige kryptografische Code, den nur der Chip im Dialog mit einem echten Terminal erzeugt. Eine Zahlung im Vorbeigehen über ein mobiles Terminal wäre theoretisch denkbar, hinterlässt aber ein registriertes Händlerkonto, auf das die Bank zurückgreifen kann, und ist in der Praxis nicht dokumentiert.

RFID-Schutzhüllen schaden nicht, lösen aber ein Problem, das kaum existiert. Wirksamer ist, was die Bank ohnehin anbietet: Echtzeit-Benachrichtigungen für jede Zahlung, sodass ein Missbrauch in der Minute auffällt, in der er passiert. Wer die Kontaktlos-Funktion nicht will, kann sie bei vielen Banken in der App abschalten; die Karte funktioniert dann nur noch gesteckt mit PIN. Für Onlinekäufe bei unbekannten Händlern ist ohnehin die virtuelle Karte mit Einmalnummer die bessere Wahl.