Beim Online-Shopping bezahlen Kund:innen häufig mit ihrer Kredit- oder Debitkarte, ohne diese an einem Kartenlesegerät vorzeigen zu müssen. Solche Zahlungen werden als Card-Not-Present-Transaktionen (CNP) bezeichnet. Sie ermöglichen flexible Bezahlvorgänge, bringen für Unternehmen jedoch besondere Herausforderungen mit sich.
In diesem Beitrag erfährst du, wie Card-Not-Present-Transaktionen funktionieren, welche Zahlungsarten darunterfallen und wie du das Betrugsrisiko in deinem Onlineshop reduzieren kannst.
Was ist eine Card-Not-Present-Transaktion?
Eine Card-Not-Present-Transaktion (CNP) ist eine Kartenzahlung, bei der die physische Kredit- oder Debitkarte nicht an einem Zahlungsterminal ausgelesen wird. Stattdessen werden die Kartendaten beispielsweise online, telefonisch oder über gespeicherte Zahlungsinformationen übermittelt. CNP-Transaktionen kommen deshalb besonders häufig im E-Commerce vor.
Beispiele für Card-Not-Present-Transaktionen
CNP-Transaktionen können in unterschiedlichen Verkaufssituationen auftreten. Besonders verbreitet sind folgende Anwendungsfälle:
- Onlinebestellungen: Kund:innen kaufen Produkte in einem Onlineshop und bezahlen mit einer Kredit- oder Debitkarte. Dabei geben sie ihre Kartendaten im Checkout ein oder nutzen bereits hinterlegte Informationen.
- Telefonische Bestellungen: Kund:innen übermitteln ihre Kartendaten telefonisch, damit das Unternehmen die Zahlung verarbeitet. Solche Zahlungen werden häufig als MOTO-Transaktionen (Mail Order/Telephone Order) bezeichnet.
- Wiederkehrende Zahlungen: Bei Abonnements oder Mitgliedschaften werden hinterlegte Kartendaten verwendet, um vereinbarte Beträge regelmäßig einzuziehen.
- Zahlungen über digitale Wallets: Wenn Kund:innen bei einem Onlinekauf beispielsweise Apple Pay oder Google Pay mit einer hinterlegten Karte verwenden, handelt es sich in der Regel ebenfalls um eine CNP-Transaktion.
- Rechnungszahlungen: Bezahlen Kund:innen eine Rechnung über einen Online-Zahlungslink mit ihrer Karte, wird diese nicht physisch am Terminal ausgelesen.
Auch bei Click & Collect kann eine CNP-Transaktion stattfinden. Bestellt eine Person online, bezahlt direkt im Onlineshop und holt die Ware anschließend im Geschäft ab, bleibt die Onlinezahlung eine Card-Not-Present-Transaktion.
Entscheidend ist also nicht, wo sich die Kund:innen befinden, sondern wie die Kartendaten verarbeitet werden. Selbst im stationären Geschäft gilt eine manuell eingegebene Kartenzahlung als CNP-Transaktion, wenn die Karte nicht elektronisch am Terminal ausgelesen wird.
Card-Present vs. Card-Not-Present: Die Unterschiede
Bei Kartenzahlungen wird grundsätzlich zwischen Card-Present-Transaktionen (CP) und Card-Not-Present-Transaktionen unterschieden. Beide ermöglichen die Bezahlung mit Kredit- oder Debitkarten, unterscheiden sich jedoch hinsichtlich ihrer Abwicklung, Sicherheitsmechanismen und möglichen Kosten.
| Merkmal | Card-Present (CP) | Card-Not-Present (CNP) |
|---|---|---|
| Kartenpräsenz | Karte wird am Terminal ausgelesen | Karte wird nicht am Terminal ausgelesen |
| Typischer Einsatz | Stationärer Handel | Onlinehandel, Telefonbestellungen |
| Verarbeitung | Chip, Magnetstreifen oder kontaktlose Schnittstelle | Übermittelte oder gespeicherte Kartendaten |
| Authentifizierung | Beispielsweise PIN oder Geräteauthentifizierung | Beispielsweise 3D Secure |
| Betrugsrisiko | Bei Chip- und kontaktlosen Zahlungen tendenziell geringer | Tendenziell höher |
| Gebühren | Häufig günstigere Konditionen | Je nach Anbieter:in höhere Gebühren möglich |
Ein weiterer Unterschied betrifft die Haftung bei Betrugsfällen. Während Kartenzahlungen mit Chip spezielle Sicherheitsmechanismen nutzen, müssen CNP-Transaktionen ohne diese physische Kartenprüfung auskommen.
Deshalb können zusätzliche Authentifizierungsverfahren notwendig sein. Unter bestimmten Voraussetzungen kann beispielsweise 3D Secure die Haftung für betrügerische Kartenzahlungen vom Unternehmen auf die kartenausgebende Bank verlagern.
Wie funktioniert eine Card-Not-Present-Transaktion?
Auch wenn Kund:innen beim Onlinekauf häufig nur wenige Sekunden für die Zahlung benötigen, laufen im Hintergrund mehrere Verarbeitungsschritte ab.
1. Kund:innen geben ihre Zahlungsdaten ein
Zunächst wählen Kund:innen im Checkout die Kartenzahlung aus. Anschließend geben sie ihre Kartennummer, das Ablaufdatum und gegebenenfalls die Kartenprüfnummer ein.
Bei bereits hinterlegten Zahlungsmethoden können Zahlungsinformationen auch über einen sicheren Token abgerufen werden. Dadurch müssen Kund:innen ihre Kartendaten nicht bei jedem Einkauf erneut eingeben.
2. Der Zahlungsdienstleister verarbeitet die Anfrage
Die Zahlungsinformationen werden über das Zahlungsgateway an die beteiligten Zahlungsdienstleister:innen und Kartennetzwerke übertragen.
Das Zahlungsgateway stellt dabei die technische Verbindung zwischen dem Checkout und der Zahlungsabwicklung her.
3. Die Transaktion wird überprüft
Die kartenausgebende Bank prüft unter anderem, ob die Karte gültig ist, ausreichend Guthaben beziehungsweise ein ausreichender Kreditrahmen vorhanden ist und die Transaktion autorisiert werden kann.
Zusätzlich können Betrugserkennungssysteme die Zahlung anhand verschiedener Risikomerkmale bewerten.
Bei Bedarf wird eine weitere Identitätsprüfung über 3D Secure durchgeführt. Kund:innen bestätigen ihre Zahlung dann beispielsweise mit einer Banking-App.
4. Die Zahlung wird autorisiert
Stimmt die kartenausgebende Bank der Zahlung zu, erhalten die Zahlungsdienstleister:innen eine entsprechende Bestätigung.
Die erfolgreiche Autorisierung bedeutet zunächst, dass die Zahlung genehmigt wurde. Je nach Zahlungsablauf wird der Betrag direkt eingezogen oder zunächst für eine spätere Abbuchung autorisiert.
5. Die Zahlung wird abgerechnet
Nach der Erfassung der Zahlung erfolgt die finanzielle Abwicklung zwischen den beteiligten Instituten. Anschließend wird der Betrag gemäß dem Auszahlungsplan der Zahlungsanbieter:innen an das Unternehmen ausgezahlt.
Wie schnell die Auszahlung erfolgt, hängt unter anderem von den Zahlungsdienstleister:innen und den vereinbarten Konditionen ab.
Welche Risiken bestehen bei CNP-Transaktionen?
Card-Not-Present-Transaktionen bieten Kund:innen einen komfortablen Bezahlvorgang. Gleichzeitig müssen Unternehmen berücksichtigen, dass bei diesen Zahlungen keine physische Kartenprüfung am Terminal stattfindet.
Daraus ergeben sich verschiedene Risiken.
Kreditkartenbetrug
Bei CNP-Transaktionen können Betrüger:innen versuchen, mit gestohlenen Kartendaten einzukaufen.
Da für eine Onlinezahlung keine physische Karte benötigt wird, können bereits bekannte Kartendaten für einen unberechtigten Zahlungsversuch ausreichen. Zusätzliche Sicherheitsverfahren sollen verhindern, dass solche Transaktionen erfolgreich abgeschlossen werden.
Eine weitere Betrugsform ist das sogenannte Card Testing. Dabei testen Betrüger:innen gestohlene Kartendaten durch zahlreiche Zahlungsversuche, um herauszufinden, welche Karten noch verwendet werden können.
Chargebacks und Rückbuchungen
Eine Rückbuchung, auch Chargeback genannt, entsteht, wenn eine Karteninhaberin oder ein Karteninhaber eine Zahlung bei der kartenausgebenden Bank anficht.
Das kann verschiedene Ursachen haben. Beispielsweise wurde die Karte ohne Zustimmung verwendet, die bestellte Ware ist nicht angekommen oder die betroffene Person erkennt eine Abbuchung nicht wieder.
Für Unternehmen können Chargebacks finanzielle Folgen haben. Neben dem zurückgebuchten Zahlungsbetrag können zusätzliche Bearbeitungsgebühren entstehen.
Außerdem können häufige Rückbuchungen dazu führen, dass Zahlungsdienstleister:innen das Risikoprofil eines Unternehmens neu bewerten oder Einschränkungen bei der Zahlungsabwicklung vornehmen.
Missbrauch durch berechtigte Karteninhaber:innen
Nicht jede strittige CNP-Transaktion beruht auf gestohlenen Zahlungsdaten.
Manchmal bestreiten Kund:innen eine tatsächlich autorisierte Zahlung, obwohl sie die Bestellung selbst aufgegeben haben. Dieser Fall wird häufig als Friendly Fraud oder First-Party Misuse bezeichnet.
Auch Missverständnisse über Lieferzeiten, Abonnements oder Erstattungsbedingungen können dazu führen, dass Kund:innen eine Zahlung anfechten.
Eine transparente Kommunikation und eine nachvollziehbare Bestelldokumentation helfen dabei, solche Konflikte zu reduzieren.
Wie lassen sich Card-Not-Present-Transaktionen absichern?
Um die Risiken bei CNP-Zahlungen zu reduzieren, können Unternehmen verschiedene technische und organisatorische Sicherheitsmaßnahmen kombinieren.
3D Secure zur Authentifizierung verwenden
3D Secure ist ein Sicherheitsverfahren, das insbesondere bei Online-Kartenzahlungen eingesetzt wird.
Es ermöglicht der kartenausgebenden Bank, die Identität der zahlenden Person zusätzlich zu überprüfen. Dafür kann beispielsweise eine Bestätigung in einer Banking-App oder ein biometrisches Merkmal erforderlich sein.
Innerhalb der Europäischen Union gelten im Rahmen der Zahlungsdiensterichtlinie PSD2 Anforderungen an die starke Kundenauthentifizierung (Strong Customer Authentication, SCA). Für bestimmte elektronische Zahlungen müssen dabei grundsätzlich mindestens zwei unabhängige Authentifizierungsfaktoren eingesetzt werden. Allerdings bestehen gesetzlich vorgesehene Ausnahmen.
3D Secure unterstützt die Umsetzung dieser Anforderungen und kann das Risiko nicht autorisierter Zahlungen verringern.
Kartendaten sicher verarbeiten
Unternehmen, die Kartendaten verarbeiten, müssen die einschlägigen Anforderungen des Payment Card Industry Data Security Standard (PCI DSS) beachten.
Der Sicherheitsstandard definiert Anforderungen an den Schutz von Zahlungsinformationen.
Dazu zählen unter anderem die sichere Übertragung von Kartendaten, geeignete Zugriffsbeschränkungen und Maßnahmen zum Schutz vor unbefugtem Zugriff.
Auch die Tokenisierung kann die Sicherheit erhöhen. Dabei werden sensible Kartendaten durch einen Ersatzwert, einen sogenannten Token, repräsentiert. Auf diese Weise müssen die vollständigen Kartendaten nicht für jede weitere Zahlung erneut übertragen oder im Shopsystem gespeichert werden.
Betrugsverdächtige Bestellungen erkennen
Automatisierte Betrugserkennungssysteme können helfen, ungewöhnliche Transaktionen frühzeitig zu identifizieren.
Zu den möglichen Warnsignalen gehören:
- Mehrere fehlgeschlagene Zahlungsversuche innerhalb kurzer Zeit
- Auffällige Abweichungen zwischen Rechnungs- und Lieferadresse
- Ungewöhnlich hohe Bestellwerte
- Die Verwendung mehrerer Karten für dieselbe Bestellung
- Verdächtige IP-Adressen oder Gerätemuster
Ein einzelnes Warnsignal bedeutet jedoch nicht zwangsläufig, dass ein Betrugsversuch vorliegt. Beispielsweise können abweichende Rechnungs- und Lieferadressen auch bei Geschenksendungen oder Bestellungen für Familienmitglieder auftreten.
Deshalb sollten verschiedene Risikomerkmale gemeinsam betrachtet werden.
Shopify stellt hierfür eine Betrugsanalyse bereit. Damit können Händler:innen auffällige Bestellungen überprüfen, bevor sie die Ware versenden.
Bestellungen nachvollziehbar dokumentieren
Eine vollständige Bestelldokumentation kann im Fall einer Zahlungsanfechtung hilfreich sein.
Dazu gehören beispielsweise Bestellbestätigungen, Rechnungen, Versandinformationen und Zustellnachweise.
Ebenso wichtig sind verständliche Rückgabe- und Erstattungsrichtlinien. Wenn Kund:innen ihre Bestellung, Zahlungsbedingungen und mögliche Erstattungen nachvollziehen können, lassen sich einige Missverständnisse vermeiden.
Welche Gebühren fallen bei CNP-Transaktionen an?
Die Verarbeitung von Card-Not-Present-Transaktionen kann mit höheren Gebühren verbunden sein als die Abwicklung von Card-Present-Zahlungen.
Ein wesentlicher Grund dafür ist das tendenziell höhere Betrugsrisiko, das Zahlungsdienstleister:innen und Kartennetzwerke bei Transaktionen ohne physische Kartenprüfung berücksichtigen.
Die tatsächlichen Gebühren unterscheiden sich allerdings je nach Zahlungsanbieter:in, Kartenart, Geschäftsmodell, Land und Tarif.
Häufig setzen sie sich aus mehreren Bestandteilen zusammen:
- Interbankenentgelt (Interchange Fee): Eine Gebühr, die im Rahmen der Kartenzahlung an die kartenausgebende Bank fließt.
- Kartennetzwerkgebühren: Entgelte, die für die Nutzung und Verarbeitung über das jeweilige Kartennetzwerk anfallen.
- Zahlungsdienstleistergebühren: Kosten für die technische Zahlungsabwicklung und gegebenenfalls zusätzliche Dienstleistungen.
- Zusätzliche Gebühren: Je nach Anbieter:in können beispielsweise Kosten für Währungsumrechnungen oder Rückbuchungen entstehen.
Nicht jede:r Zahlungsanbieter:in weist diese Bestandteile einzeln aus. Häufig werden die Kosten in einem prozentualen Transaktionsentgelt und einer festen Gebühr pro Zahlung zusammengefasst.
Für Onlineshops lohnt es sich deshalb, nicht nur die regulären Transaktionsgebühren, sondern auch mögliche Zusatzkosten und das Risiko von Rückbuchungen zu berücksichtigen.
Bei Shopify Payments hängen die Gebühren für Kartenzahlungen unter anderem vom gewählten Shopify-Abonnement und den jeweiligen Zahlungsbedingungen ab.
Einen Überblick über unterschiedliche Anbieter und Gebührenmodelle bietet der Beitrag zu Zahlungslösungen für Onlineshops.
Card-Not-Present-Transaktionen im E-Commerce
CNP-Transaktionen sind ein wichtiger Bestandteil des Onlinehandels. Sie ermöglichen es Kund:innen, unabhängig von ihrem Standort mit Kredit- oder Debitkarten zu bezahlen.
Für Unternehmen ergeben sich daraus verschiedene Vorteile. Onlinezahlungen können rund um die Uhr abgewickelt werden, ohne dass Kund:innen persönlich anwesend sein müssen. Gleichzeitig lassen sich beispielsweise digitale Produkte, wiederkehrende Zahlungen oder internationale Bestellungen über entsprechende Zahlungslösungen abwickeln.
Entscheidend ist dabei die Verbindung aus einer möglichst einfachen Zahlungsabwicklung und wirksamen Sicherheitsmaßnahmen.
Mit Shopify Payments können Shopify-Händler:innen Kredit- und Debitkartenzahlungen direkt über ihren Shopify-Store verarbeiten. Die Lösung unterstützt unter anderem Betrugserkennung und 3D Secure. Zahlungen und Bestellungen lassen sich zentral im Shopify-Adminbereich verwalten.
Daneben spielt die Auswahl der Zahlungsmethoden eine Rolle. Denn nicht jede Onlinezahlung ist automatisch eine CNP-Transaktion. Beispielsweise funktionieren klassische Überweisungen oder Rechnungskäufe ohne Kartenzahlung nach anderen Verfahren.
Fazit
Card-Not-Present-Transaktionen ermöglichen Kartenzahlungen, ohne dass die physische Karte an einem Zahlungsterminal ausgelesen werden muss. Sie kommen vor allem beim Online-Shopping, bei telefonischen Bestellungen und bei wiederkehrenden Zahlungen zum Einsatz.
Für Unternehmen bieten sie flexible Verkaufsmöglichkeiten. Gleichzeitig bestehen besondere Herausforderungen im Hinblick auf Betrugsprävention, Rückbuchungen und Zahlungsgebühren.
Mit sicheren Zahlungsdienstleister:innen, zusätzlichen Authentifizierungsverfahren und einer sorgfältigen Prüfung verdächtiger Bestellungen lassen sich viele Risiken reduzieren. Damit bilden CNP-Transaktionen eine wichtige Grundlage für die sichere Abwicklung von Kartenzahlungen im E-Commerce.
