Bezahlsysteme im CheckKreditkarte, PayPal oder Lastschrift: Was ist am sichersten?
27 Prozent der Bundesbürger wurden schon Opfer von Karten- oder Kontobetrug, das zeigt eine Studie des Marktforschungsinstituts GfK im Auftrag von Mastercard. Betroffene nutzen ihre Schutzrechte selten komplett – weil kaum jemand weiß, wie sie einzufordern sind.
Drei Zahlungswege, drei verschiedene Schutzversprechen, und nicht jeder Anbieter hält, was er verspricht. Die Frage ist nur, ob die Lücke vor oder nach dem Schaden sichtbar wird. Auf den ersten Blick wirken die Zahlungsangebote zwar ähnlich sicher, bei näherer Betrachtung zeigt sich: Das stimmt nicht unbedingt. Verbraucher sollten ihre Schutzrechte kennen, nutzen und sie vor allem rechtzeitig geltend machen. Wir zeigen, welche Stichworte wichtig sind.
Bezahlung per Kreditkarte: 120 Tage und ein Verfahren, das Banken selbst nicht kennen
Das Chargeback-Verfahren von Visa und Mastercard erlaubt Rückbuchungen bei Betrug, Nichtlieferung, Händlerinsolvenz oder Doppelabbuchung. Die Frist beträgt bis zu 120 Tage nach der Transaktion. Das Ganze funktioniert nach dem sogenannten Zero-Liability-Prinzip, was konkret bedeutet: Wer nichts falsch gemacht hat, haftet mit null Euro. Das klingt erst nach einem robusten Schutz für Kunden. In der Praxis gestaltet sich die Abwicklung jedoch holpriger als es die Werbebroschüren der Kreditkartenanbieter vermuten lassen.
Das Europäische Verbraucherzentrum (EVZ) berichtet aus seiner Beratungspraxis, dass Bankangestellte das Verfahren häufig gar nicht kennen oder es ohne nachvollziehbare Begründung ablehnen. Chargeback ist kein Gesetz, sondern Privatrecht der Kartenorganisationen. Wer sein Geld zurückbekommen will, muss wissen, worauf er sich beruft. Ganz wichtig dabei: hartnäckig bleiben.
Ein konkretes Beispiel aus der EVZ-Praxis: Ein Ehepaar bezahlte 4.000 Euro per Kreditkarte für ein dubioses Urlaubszertifikat auf Gran Canaria und ging damit Betrügern auf dem Leim. Glücklicherweise wandte das Ehepaar sich an die zuständige Stelle des Kreditkartenanbieters und beantragte auf EVZ-Empfehlung ein Chargeback. Das Geld kam vollständig zurück. Ohne den Tipp der EVZ jedoch wäre das Geld wohl unwiederbringlich verloren gewesen.
Der durchschnittliche Chargeback-Betrag liegt laut Mastercard weltweit bei rund 120 US-Dollar. Es handelt sich also keinesfalls nur um Kleinstbeträge, um die hier gestritten wird.
Wer jedoch eine Phishing-Mail aktiv bestätigt und damit selbst eine Zahlung freigibt, verliert den Schutz vollständig, denn grobe Fahrlässigkeit hebt die Nullhaftung auf. Und genau das ist die Schwachstelle, auf die Betrüger seit Jahren gezielt setzen. Zwei-Faktor-Authentifizierung nach PSD2 hat das Risiko zwar deutlich reduziert, aber nicht komplett beseitigt. Social Engineering funktioniert auch gegen technisch versierte Nutzer, die es eigentlich besser wissen müssten. Eine einzige falsch geklickte Schaltfläche reicht mittlerweile schon aus, um Betrügern zum Opfer zu fallen.
Bezahlung per PayPal: 180 Tage, aber PayPal entscheidet allein
Der PayPal-Käuferschutz greift 180 Tage, also längr als das Chargeback-Fenster der größten Kreditkarten-Anbieter. Er greift, wenn Ware nicht ankommt oder erheblich von der Beschreibung abweicht. Der strukturelle Vorteil gegenüber den anderen beiden Methoden liegt woanders: Der Händler sieht nie die Bankverbindung des Käufers. Nur das PayPal-Konto wird sichtbar. Wer seine IBAN schützen will, ist bei PayPal besser aufgehoben als bei der Lastschrift.
Was vielen Käufern aber weniger bekannt ist: Der Schutz gilt ausschließlich bei Zahlung über die Option "Waren und Dienstleistungen". Wer die gebührenfreie Variante Freunde und Familie wählt, steht im Streitfall meist allein da. Fahrzeuge, Gutscheine und individuell angefertigte Produkte sind ebenfalls vom Schutz ausgenommen. Das steht auch so in den Paypal-AGBs, wird aber selten gelesen.
Und dann ist da noch das grundsätzliche Problem: PayPal entscheidet selbst, ob ein Anspruch anerkannt wird oder nicht. Ein Widerspruch gegen eine Entscheidung des Anbieters ist zwar grundsätzlich möglich, aber ein Rechtsanspruch auf eine bestimmte Entscheidung lässt sich daraus nicht ableiten. Die Stiftung Warentest hat nach eigenen Angaben mehrfach Fälle dokumentiert, in denen der Käuferschutz trotz eindeutiger Lage abgelehnt wurde. Wer auf PayPal als letzte Instanz setzt, sollte das im Vorfeld wissen.
Bezahlung per Lastschrift: Gesetzlich stark, aber Nachweispflicht oft schwer
Bei der Lastschrift greifen die längsten Fristen. Acht Wochen ohne Begründung bei autorisierten Abbuchungen, 13 Monate, wenn gar gültiges Mandat vorlag. Das ist geltendes EU-Recht und verankert in der Zahlungsdiensterichtlinie PSD2. Hier handelt es sich nicht um ein Unternehmensversprechen, das sich bei Bedarf still und heimlich über angepasste AGBs ändern lässt. Auf dem Papier ist die Lastschrift damit die rechtlich stärkste der drei Bezahl-Optionen.
Im August 2025 wurden allerdings bei einem Cyberangriff mehr als sechs Millionen IBANs kompromittiert. Die Daten landeten im Darknet und wurden dort zum Kauf angeboten. Was passierte weiter? Die sogenannte Gastkonto-Masche läuft so: Kriminelle nutzen eine fremde IBAN über die Gastfunktion bei PayPal, ohne dafür selbst ein Konto beim Anbieter zu benötigen. Der Kontoinhaber merkt es oft erst Wochen später. Dann muss er nachweisen, dass er kein Mandat erteilt hat. Und genau hier liegt das Problem, denn die Beweislast liegt beim Geschädigten und nicht beim Anbieter.
Wer nicht fahrlässig handelt, hat gute Karten
Kreditkarte und PayPal schirmen die eigentlichen Kontodaten vom Kunden vollständig ab, während bei der Lastschrift die IBAN bekannt ist und im schlimmsten Fall in die falschen Hände geraten kann. Handelt man stets umsichtig und lässt Vorsicht walten, dann sind alle drei Bezahlmethoden recht sicher. Es bestehen Sicherheitsmechanismen, um im Schadensfall das bezahlte Geld zurückzubekommen. Aber nur, wenn man nicht selbst schuldhaft oder zumindest fahrlässig gehandelt hat.