Warum ein deutscher Sicherheitstext hier nicht passt
Wer in Österreich nach Sicherheit bei Kartenzahlung sucht, findet überwiegend deutsche Inhalte. Das ist kein kleiner Schönheitsfehler, sondern führt in die Irre: Die Rolle des Netzbetreibers im Sinne der Deutschen Kreditwirtschaft existiert in Österreich nicht, die Wirtschaftskammer beschreibt den Markt ausschließlich mit den internationalen Rollen Acquirer, Issuer und Kartennetzwerk. Auch das nationale Debitsystem ist ein anderes: Die Bankomatkarte ist Teil des Vier-Parteien-Systems und beruht nicht auf einem eigenen nationalen Verfahren.
Damit fällt die halbe deutsche Argumentation weg. Es gibt hier keine Zulassung durch die Deutsche Kreditwirtschaft, an der ein Gerät hängt, und es gibt keinen Netzbetreibervertrag, in dem Pflichten stehen. Aufsicht, Kassenrecht und Belegpflichten sind stattdessen österreichisch geregelt — und in einem Punkt sogar strenger als in Deutschland.
Vier Ebenen reichen aus, um die Frage zu sortieren. Das Gerät, die Registrierkassa, die Zahlung selbst und der Weg des Geldes. Die letzte ist die, die im Ernstfall am meisten wehtut, und sie taucht auf Anbieterseiten praktisch nie auf.
Die vier Ebenen
- 01Das Gerät
- Kartenterminals unterliegen den Hardware-Anforderungen PCI PTS POI — ein internationaler Standard, der in Österreich genauso gilt wie in Deutschland. Was hier fehlt, ist die nationale Zulassungsschicht darüber: Eine Entsprechung zur Zulassung durch die Deutsche Kreditwirtschaft gibt es im österreichischen Markt nicht. Maßgeblich ist, was Ihr Acquirer für sein Netz freigibt.
- 02Die Registrierkassa
- Die österreichische Besonderheit. Kartenzahlung zählt nach § 131b BAO als Barumsatz, und Barumsätze sind mit einer Signatur- beziehungsweise Siegelerstellungseinheit gegen Manipulation zu sichern. Diese Ebene existiert in Deutschland in dieser Form nicht — dort greift die technische Sicherheitseinrichtung nur, wenn überhaupt ein elektronisches Kassensystem eingesetzt wird.
- 03Die Zahlung
- Chip und PIN, dazu die starke Kundenauthentifizierung nach PSD2. Am Terminal heißt das: Karte als Besitz, PIN als Wissen. Die Ausnahme für kontaktlose Zahlungen ist der Punkt, an dem österreichische und deutsche Texte auseinandergehen — die Werte stehen weiter unten.
- 04Der Geldfluss
- Die Frage, wer die Gelder zwischen Karteninhaber und Ihrem Konto überhaupt in den Händen hält. Sie entscheidet darüber, was passiert, wenn ein Beteiligter ausfällt, und sie ist der einzige Punkt dieser Liste, den Sie beim Anbietervergleich aktiv erfragen müssen.
Wer in Österreich beaufsichtigt — FMA und ZaDiG 2018
Das Zahlungsdienstegesetz 2018 setzt die europäische Zahlungsdiensterichtlinie PSD2 in österreichisches Recht um. Es ist am 1. Juni 2018 in Kraft getreten und hat das ZaDiG 2009 abgelöst; die Bestimmungen zu den neuen Zahlungsdiensten wurden am 14. September 2019 wirksam. Zuständige Aufsichtsbehörde ist die Finanzmarktaufsicht, nicht die deutsche BaFin.
Das Bundesministerium für Finanzen zählt zu den erfassten Zahlungsdiensten unter anderem die Ausführung von Zahlungsvorgängen, Kreditkartenzahlungen, Bankomatbehebungen, Kontoinformationsdienste und die Ausgabe von Zahlungsinstrumenten. Erbringen dürfen sie Kreditinstitute, E-Geld-Institute und Zahlungsinstitute unter harmonisierten Konzessions- und Aufsichtsvorschriften.
Zahlungsinstitute dürfen dabei — anders als Banken — nur die konzessionierten Zahlungsdienste erbringen; das Einlagengeschäft ist ihnen untersagt. Wer Zahlungsdienste in Anbindung an einen konzessionierten Zahlungsdienstleister erbringt, handelt als Agent gemäß § 22 ZaDiG 2018. Für Sie als Betrieb ist das keine akademische Unterscheidung: Sie sagt Ihnen, in welcher Eigenschaft Ihnen jemand gegenübersitzt.
Über wessen Konto Ihr Geld läuft
Das ist die Frage, die im Verkaufsgespräch fast nie gestellt wird, und sie hat eine einfache Form: Geht die Gutschrift vom konzessionierten Acquirer direkt auf Ihr Geschäftskonto, oder läuft sie über ein Sammelkonto eines Dritten? Beide Modelle existieren am Markt, und beide sind zulässig. Sie unterscheiden sich darin, wer im Insolvenzfall zwischen Ihnen und Ihrem Geld steht.
Der rechtliche Hintergrund erklärt, warum die Antwort überhaupt variiert. Wer selbst keine Kundengelder entgegennimmt, sondern Terminals bereitstellt, konfiguriert, wartet und an einen Acquirer anbindet, ist typischerweise technischer Dienstleister und kein konzessionspflichtiges Zahlungsinstitut. Sobald jemand Gelder durchleitet oder Verfügungsbefugnis über sie hat, sieht die Einordnung anders aus.
Fragen Sie deshalb dreierlei ab, bevor Sie unterschreiben: Wer ist Ihr Vertragspartner für die Akzeptanz? Wer hält die Konzession beziehungsweise wer ist als Agent nach § 22 ZaDiG 2018 für wen tätig? Und auf welchem Weg erreicht die Gutschrift Ihr Konto? Drei Fragen, drei Sätze Antwort — wenn die Antwort länger wird, wissen Sie schon mehr als vorher.
Dieselbe Zahlung, zwei Rechtsordnungen
Die Punkte, an denen ein aus Deutschland übernommener Text in Österreich sachlich falsch wird. Rechtsstand 1. August 2026.
| Punkt | Österreich | Deutschland |
|---|---|---|
| Aufsicht und Gesetz | FMA, ZaDiG 2018 | BaFin, ZAG |
| Kassenpflicht | allgemein seit 2016 ab 15.000 Euro Jahresumsatz und über 7.500 Euro Barumsatz | keine allgemeine Pflicht; für 2027 geplant ab 100.000 Euro |
| Technischer Manipulationsschutz | Signatur- bzw. Siegelerstellungseinheit nach RKSV, maschinenlesbarer Code am Beleg | TSE nach KassenSichV, nur bei Einsatz eines elektronischen Kassensystems |
| Behördenregistrierung | FinanzOnline, Kasse und Signatureinheit, binnen eines Monats nach Inbetriebnahme | Mitteilungsverfahren nach § 146a Abs. 4 AO |
| Kartenzahlung ist Barumsatz | ja (§ 131b BAO) | nein in dieser Form |
| Belegpflicht | § 132a BAO, inklusive Mitnahmepflicht des Kunden | Belegausgabepflicht, keine Mitnahmepflicht |
| Kontaktlos ohne PIN, kumuliert | 125 Euro | 150 Euro |
Die österreichischen Angaben stammen aus § 131b und § 132a BAO, der Darstellung des USP sowie von oesterreich.gv.at und der Oesterreichischen Nationalbank. Die deutsche Spalte steht hier nur zur Abgrenzung und ist auf den deutschen Seiten ausführlich belegt.
Kontaktlos: 50 Euro je Zahlung, 125 Euro kumuliert — nicht 150
Das ist die Zahl, an der sich erkennen lässt, ob ein Text für Österreich geschrieben wurde. Das Amtsportal oesterreich.gv.at nennt bis zu fünf Transaktionen zu je 50 Euro ohne PIN oder Unterschrift; ab kumuliert 125 Euro wird PIN oder Unterschrift zwingend. Die Oesterreichische Nationalbank bestätigt das: „PIN-Eingabe bei kontaktlosem Kartenzahlen ist erst ab 50 Euro erforderlich oder nach mehreren Zahlungen mit insgesamt 125 Euro."
Die europäische Obergrenze aus den technischen Regulierungsstandards liegt bei 150 Euro kumuliert. Österreich nutzt sie nicht aus. Wer den deutschen Wert übernimmt, schreibt eine falsche Zahl auf seine Seite — und erklärt Ihren Mitarbeitern an der Kassa etwas, das im Alltag nicht eintritt.
Wichtig für die Kassa: Der Zähler läuft auf der Karte beziehungsweise im Wallet, nicht im Terminal. Derselbe Gast kann deshalb einmal ohne PIN und beim nächsten Mal mit PIN zahlen, ohne dass sich an Ihrem Gerät etwas geändert hätte. Das ist kein Defekt und kein Grund, das Terminal neu zu starten.
Wann die PIN trotzdem entfällt — die Ausnahmen der SCA
Starke Kundenauthentifizierung verlangt zwei Elemente aus Wissen, Besitz und Inhärenz. Die Ausnahmen davon sind eng gefasst und stammen aus der europäischen Verordnung, nicht aus einer Entscheidung Ihres Anbieters.
- 01Kontaktlos an der Kassa
- bis 50 Euro je Zahlung, solange die Nutzungskriterien erfüllt sind — in Österreich kumuliert bis 125 Euro.
- 02Kleinbetragszahlungen
- bis 30 Euro, gebunden an Bedingungen zu den vorangegangenen Transaktionen.
- 03Wiederkehrende Zahlungen
- gleicher Betrag an denselben Empfänger, also der klassische Abo-Fall.
- 04Vertrauenswürdige Empfänger
- vom Zahler selbst auf eine Whitelist gesetzt — die Entscheidung liegt beim Karteninhaber, nicht beim Händler.
- 05Bestellungen per Post oder Telefon
- MOTO-Transaktionen fallen nicht in den Anwendungsbereich der PSD2. Das ist keine Erleichterung, sondern verschiebt das Risiko: Für diese Vorgänge gibt es keine Authentifizierung, auf die Sie sich berufen könnten.
Die Registrierkassa gehört in dieselbe Kette
In Deutschland lassen sich Terminal und Kasse getrennt betrachten. In Österreich nicht: Weil die Kartenzahlung als Barumsatz gilt, erzeugt jedes Terminal aufzeichnungspflichtige Barumsätze. Wer glaubt, er entkomme der Registrierkassa, indem er nur noch Karte akzeptiert, irrt.
Der Manipulationsschutz verlangt nach § 131b BAO eine kryptographische Signatur beziehungsweise ein Siegel jedes Barumsatzes über eine dem Steuerpflichtigen zugeordnete Einheit. Praktisch sichtbar wird das am maschinenlesbaren Code auf dem Beleg, der die Umsätze miteinander verkettet und Manipulation nachweisbar macht.
Ein Punkt, der bei Terminal-Aufbauten regelmäßig untergeht: Der Händlerbeleg des Terminals ersetzt den Kassenbeleg nach § 132a BAO nicht. Wer Kartenzahlung akzeptiert, braucht den Kassenbeleg zusätzlich. Die Pflichten im Einzelnen — Grenzen, Belegmerkmale, Startbeleg, Jahresbeleg — stehen auf der eigenen Seite zur Registrierkassenpflicht.
Haftung bei Missbrauch: 50 Euro — und warum im Netz 150 Euro kursieren
Zur Haftungsobergrenze des Karteninhabers bei nicht autorisierten Zahlungen kursieren in Österreich zwei Beträge. Maßgeblich ist der Gesetzestext: Nach § 68 Absatz 1 Zahlungsdienstegesetz 2018 kann der Zahlungsdienstleister bei einem verlorenen, gestohlenen oder missbräuchlich verwendeten Zahlungsinstrument Ersatz „bis zu einem Betrag von 50 Euro" verlangen, wenn der Karteninhaber seine Sorgfaltspflichten leicht fahrlässig verletzt hat. Bei betrügerischer Absicht oder grober Fahrlässigkeit haftet er nach Absatz 3 für den gesamten Schaden; war der Missbrauch vor der Zahlung nicht bemerkbar, haftet er nach Absatz 2 gar nicht.
Die ebenfalls verbreiteten 150 Euro sind ein Altstand aus dem Vorgängergesetz: Das Amtsportal oesterreich.gv.at führt sie zum kontaktlosen Bezahlen bis heute, obwohl das ZaDiG 2018 die Grenze gesenkt hat. Wir sagen das hier ausdrücklich, weil die Zahl aus einer amtlichen Quelle stammt und deshalb besonders zäh weiterlebt — Rechtsstand September 2026, geprüft am Gesetzestext im Rechtsinformationssystem des Bundes.
Für Ihren Betrieb ist die Einordnung ohnehin eine andere, als der Betrag vermuten lässt: Diese Haftungsgrenze betrifft das Verhältnis zwischen Karteninhaber und kartenausgebender Bank, nicht Ihr Verhältnis als Akzeptanzstelle. Ihr Risiko liegt woanders — bei der Frage, ob eine Zahlung ordnungsgemäß autorisiert wurde und ob Sie das im Streitfall belegen können.
Wer trägt welche Pflicht
Sicherheitsversprechen werden im Markt gern so formuliert, als nähme der Anbieter Ihnen alles ab. Die Rollenverteilung sieht anders aus.
| Pflicht | Betrieb | Acquirer | Technischer Dienstleister |
|---|---|---|---|
| PCI DSS | ja, über Selbstauskunft | ja | ja, als Service Provider |
| Nur freigegebene Terminals einsetzen | ja, mittelbar über die Gerätewahl | gibt die Freigabe für sein Netz | ja, über Geräteauswahl und Betrieb |
| Konzession nach ZaDiG 2018 | nein | ja | nein, solange keine Kundengelder berührt werden |
| Verpflichteter nach FM-GwG | in der Regel nein | ja, als Finanzinstitut nach § 2 Z 2 lit. f FM-GwG | nein |
| Registrierkassa und Belege | ja, allein | nein | nein |
Die Zuordnung des Acquirers als Verpflichteter nach dem Finanzmarkt-Geldwäschegesetz ergibt sich aus § 1 Abs. 1 in Verbindung mit § 2 Z 2 lit. f FM-GwG. Die letzte Zeile ist der Punkt, den kein Anbieter Ihnen abnehmen kann: Registrierkassa, Belegerteilung und Aufzeichnung bleiben vollständig bei Ihnen.
Häufige Fragen zur Sicherheit in Österreich
Braucht mein Terminal eine österreichische Zulassung?
Eine nationale Zulassungsstelle wie die Deutsche Kreditwirtschaft gibt es in Österreich nicht. Maßgeblich sind der internationale Hardware-Standard PCI PTS POI und die Freigabe durch den Acquirer, an dessen Netz das Gerät angebunden ist. Fragen Sie bei einem Gebrauchtgerät ausdrücklich nach beidem.
Warum verlangt das Terminal manchmal die PIN, obwohl der Betrag klein ist?
Weil der Zähler auf der Karte liegt, nicht im Gerät. Nach mehreren kontaktlosen Zahlungen oder ab kumuliert 125 Euro verlangt die Karte wieder eine PIN-Eingabe. Das ist die Regel, nicht die Ausnahme, und kein Hinweis auf einen Defekt.
Bin ich als Betrieb geldwäscherechtlich verpflichtet?
In der Regel nicht. Verpflichteter nach dem FM-GwG ist der Acquirer beziehungsweise das Zahlungsinstitut. Deshalb werden Sie bei der Anmeldung geprüft — nicht aus Misstrauen, sondern weil Ihr Vertragspartner diese Prüfung gesetzlich schuldet.
Ersetzt der Terminalbeleg den Kassenbeleg?
Nein. Der Zahlungsbeleg des Terminals dokumentiert die Kartentransaktion; der Beleg nach § 132a BAO dokumentiert den Geschäftsfall und trägt bei Registrierkassenpflicht zusätzlich die Merkmale der RKSV. Sie brauchen beides.
Was passiert, wenn die Signatureinheit ausfällt?
Dann laufen Meldefristen, und die Belege sind während des Ausfalls entsprechend zu kennzeichnen. Den Ablauf haben wir auf der Seite zum Ausfall der Bankomatkasse ausführlich beschrieben, weil er in der Praxis zusammen mit einer Störung auftritt.
Wie erkenne ich, ob mein Geld über ein fremdes Konto läuft?
Sie erkennen es am Vertrag, nicht am Prospekt. Sehen Sie nach, wer Ihr Vertragspartner für die Akzeptanz ist, wer die Gutschrift auslöst und ob zwischen Acquirer und Ihrem Konto eine weitere Stelle steht. Wenn sich das aus den Unterlagen nicht beantworten lässt, ist das selbst schon eine Antwort.
Stand der Angaben
Rechtsgrundlagen sind das ZaDiG 2018, § 131b und § 132a BAO sowie das FM-GwG in geltender Fassung. Die Kontaktlos-Werte stammen von oesterreich.gv.at und der Oesterreichischen Nationalbank, die Angaben zur Aufsicht von der FMA und vom Bundesministerium für Finanzen, die Marktrollen von der Wirtschaftskammer Österreich. Rechtsstand 1. August 2026.
Die Haftungsobergrenze bei nicht autorisierten Zahlungen stammt aus § 68 Zahlungsdienstegesetz 2018 in der geltenden Fassung; die abweichende Angabe von 150 Euro auf einem Amtsportal ist ein Altstand des Vorgängergesetzes und hier ausdrücklich als solcher gekennzeichnet. Diese Seite ist eine kaufmännische Einordnung und ersetzt keine Rechts- oder Steuerberatung.