Was Zahlungsdienstleister, PSPs und Händler jetzt rechtlich beachten müssen
Aktuell: In einer international koordinierten Aktion („Operation Chargeback“) sind am 04./05. November 2025 europaweit Objekte durchsucht und 18 Personen festgenommen worden. Betroffen sind nach Behördenangaben 3 Netzwerke, die mit 19 Mio. Schein-Abos aus 4,3 Mio. gestohlenen Kreditkartendaten in 193 Ländern mindestens 300 Mio. € erbeutet haben sollen – teils unter Kompromittierung deutscher Zahlungsdienstleister. Koordiniert wurde der Einsatz u. a. von BaFin, BKA, FIU und Eurojust. (Quellen: BaFin-PM 05.11.2025; BKA; Eurojust; heise online)
Rechtlicher Hintergrund: Welche Pflichten treffen Zahlungsdienstleister und Händler?
Für Institute nach ZAG, E-Geld-Institute und Acquirer gelten organisatorische Mindeststandards und AML-Pflichten:
Unsicher bei einer Rechtsfrage? Holen Sie sich jetzt eine schnelle Einschätzung – ab 29,99 €.
- PDF-Antwort in 5 klaren Kapiteln
- Rechtliche Einordnung & nächste Schritte
- Optional: Doku-Check & Anwaltstelefon
Geprüft gem.EU AI-Act
- GwG-Sorgfaltspflichten inkl. Risikoanalyse, interne Sicherungsmaßnahmen und laufende Überwachung (§ 10 GwG, §§ 4–6 GwG), Verdachtsmeldungen an die FIU (§ 43 GwG).
- Organisationspflichten & Outsourcing nach ZAG, u. a. für Acquiring, Merchant-Onboarding, Agenten/Reseller und IT-Dienstleister (§ 27 ZAG, § 26 ZAG).
- Starke Kundenauthentifizierung (SCA) nach der Delegierten VO (EU) 2018/389 (RTS zu PSD2).
- DORA: Seit 17. 01. 2025 gelten unionsweit Vorgaben zur digitalen operationalen Resilienz (z. B. IKT-Risiko, Third-Party-Management) – auch für Zahlungsdienstleister (VO (EU) 2022/2554; BaFin-Info).
Strafrechtlich kommen Computerbetrug (§ 263a StGB) und Geldwäsche (§ 261 StGB) in Betracht; zivil- und aufsichtsrechtlich drohen Rückabwicklungen, Bußgelder und aufsichtliche Maßnahmen.
Analyse: Warum ist „Micro-Charging“ über Schein-Abos so gefährlich?
Die Täter hielten Abbuchungen bewusst klein (unter ca. 50 €), tarnten sie als Abo-Gebühren mit unklaren Verwendungszwecken und nutzten Transaktions-/Merchant-Laundering, um Zahlungen über kompromittierte PSP-Infrastrukturen einzuschleusen. Für die Praxis heißt das: klassische Fraud-Filter reichen nicht, wenn Onboarding, Merchant-Monitoring, MCC-Kontrollen, IP-/Device-Korrelation und Auslagerungssteuerung Lücken haben. (vgl. BaFin/BKA/Eurojust zu Modus Operandi)
Praxis-Check zum Chargeback: Was müssen Zahlungsdienstleister, PSPs und Händler jetzt tun?
- Risikomatrix aktualisieren (Abo-Modelle, Micropayments, Negative-Option-Billing). Dokumentieren Sie das Update der geschäfts- und kundenbezogenen Sicherungsmaßnahmen (§§ 4–6 GwG).
- Merchant-Onboarding & KYC schärfen: UBO-Prüfung, Geschäftsmodell-Plausibilisierung, Domain-/Content-Checks, Test-Checkout, Transaktions-Use-Cases; laufende Merchant-Überwachung (Chargeback-Quoten, Descriptor-Streuung, MCC-Drift) (§ 27 ZAG).
- Auslagerungen & Agenten nachschärfen: Risiko-Klassifizierung, SLA/OLA mit KPI-Triggern, Exit-Strategien, Stichproben-Audits bei Resellern/Call-Centern/IT-Providern (§ 26 ZAG).
- SCA-Ausnahmen überprüfen (z. B. „niedriges Risiko“, „niedrige Beträge“): Schwellen, Fraud-Rate und Whitelist governance-fest justieren; Audit-Trail für die Aufsicht bereithalten (VO 2018/389).
- FIU-Prozesse testen: Low-value-Pattern als Verdachtsindikator definieren; unverzüglich melden (§ 43 GwG); Backlog-Screening vergangener Monate („retro reviews“).
- DORA-Gaps schließen: IKT-Risiko, Lieferantensteuerung & Vorfallsmanagement gegen die DORA-Anforderungen mappen (VO (EU) 2022/2554).
- Verbraucherschutz im Checkout: Für Betreiber von Abo-Webseiten – Button-Lösung gem. § 312j BGB und Kündigungsbutton nach § 312k BGB strikt einhalten.
Übersicht: Wer muss jetzt was tun? (Rechtsgrundlagen & Fristen)
| Akteur | Pflicht/Thema | Konkrete Maßnahme | Frist | Rechtsgrundlage/Quelle |
|---|---|---|---|---|
| Zahlungsinstitute / E-Geld-Institute (Acquirer/PSP) | AML & Monitoring | Risk-Scoring für Micropayments, Merchant-Velocity, Descriptor-Analysen, Retro-Review | sofort | § 10 GwG, § 43 GwG |
| PSPs mit Auslagerungen/Agenten | Outsourcing/Third-Party | Risikoeinstufung, Verträge anpassen, Audit-Plan & Exit-Strategien | 14–30 Tage | § 26 ZAG, § 27 ZAG |
| Produkt/Checkout-Owner (Abo-Geschäft) | Transparenz & Kündigung | Bestell- und Kündigungsbutton rechtssicher gestalten; AGB & Widerruf checken | sofort | § 312j BGB, § 312k BGB |
| Fraud/Compliance | SCA & Ausnahmen | Regeln für „niedriges Risiko/Betrag“ neu kalibrieren; Dokumentation für Aufsicht | sofort | VO 2018/389 |
| CTO/CISO/IKT-Risikomanagement | Resilienz (DORA) | Third-Party-Inventory, Notfall-/Testkonzepte, Vorfallsmeldungen harmonisieren | laufend | VO (EU) 2022/2554, BaFin |
| Legal/Investigations | Straf- & Haftungsrisiken | Beweissicherung, Anzeige-/Kooperationswege, Rückabwicklung & Regress planen | sofort | § 263a StGB, § 261 StGB |
FAQ zum Chargeback aus der Praxis
Wann muss ich an die FIU melden?
Sobald Tatsachen einen Verdacht begründen, dass ein Geschäft oder eine Transaktion der Geldwäsche/Terrorismusfinanzierung dient – unverzüglich über goAML (§ 43 GwG).
Dürfen SCA-Ausnahmen bei Kleinstbeträgen breit genutzt werden?
Nur, wenn die regulatorischen Schwellen und Fraud-Quoten eingehalten werden und die Ausnahme begründet dokumentiert ist (VO 2018/389).
Welche Rolle spielen Auslagerungen in solchen Fällen?
Eine unzureichende Auslagerungssteuerung (z. B. bei Call-Centern, Resellern, IT-Providern) erhöht das Risiko. ZAG verlangt angemessene Vorkehrungen inkl. Risikoanalyse, Audit-Rechten und Exit-Plänen (§ 26 ZAG).
Fazit
Operation Chargeback ist ein Weckruf: Wer Abo-Geschäftsmodelle ermöglicht oder Zahlungsabwicklung betreibt, muss AML-Kontrollen, SCA-Regeln, Merchant-Onboarding und Auslagerungssteuerung jetzt nachschärfen. Mit sauberer Dokumentation, klaren KPI-Triggern und gelebter DORA-Governance reduzieren Institute und Händler nicht nur rechtliche Risiken – sie schützen Kund:innen und Marke und steigern die eigene Resilienz.
Weiterführende Quellen
- BaFin-Pressemitteilung „Operation Chargeback“ (05.11.2025)
- BKA-Kurzmeldung (05.11.2025)
- Eurojust-Pressemitteilung (05.11.2025)
- heise online (05.11.2025)
- Rechtsgrundlagen: § 10 GwG, § 43 GwG, § 27 ZAG, § 26 ZAG, § 263a StGB, § 261 StGB, DORA, RTS SCA
Haftungsausschluss & Rechtsservice
Hinweis: Dieser Beitrag ersetzt keine Rechtsberatung im Einzelfall. Holen Sie bei konkreten Fällen bitte qualifizierten Rat ein. Unter dem Stichwort „Deutsche-Rechtsanwaltshotline“ können Sie ein 30-minütiges Gespräch für 49,99 €* buchen: Telefonische Rechtsberatung. Besser nutzen Sie zunächst unseren „LexBot“ – die erste, professionelle KI-Rechtsberatung ab 29,99 €* mit schriftlicher Antwort 24/7 in 3 Minuten: LexBot. Dieser Artikel wurde mit Hilfe von KI erstellt.
Sie suchen individuelle Unterstützung? Finden Sie hier den passenden Anwalt für Bank- & Kapitalmarktrecht.
Sollte Ihnen dieser Beitrag geholfen haben, so können Sie uns etwas zurückgeben in dem Sie uns bei Google bewerten.
