Warum „sicher" allein nichts aussagt
Fast jeder Anbieter im Markt schreibt, seine Lösung sei sicher. Das ist ungefähr so aussagekräftig wie „schnell" bei der Aufschaltdauer. Belastbar wird die Aussage erst, wenn man sie in die Ebenen zerlegt, auf denen tatsächlich etwas abgesichert wird — und dazu sagt, wer auf welcher Ebene haftet.
Vier Ebenen reichen aus. Das Gerät muss manipulationssicher und zugelassen sein. Die Verarbeitung und Übertragung der Kartendaten unterliegt PCI DSS. Die Zahlung selbst wird durch Chip, PIN und die europäischen Vorgaben zur starken Kundenauthentifizierung abgesichert. Und schließlich gibt es die Frage, die kaum jemand stellt: Über wessen Konto läuft eigentlich Ihr Geld?
Die vierte Ebene ist die, die im Ernstfall am meisten wehtut, und sie taucht auf Anbieterseiten praktisch nie auf. Deshalb steht sie hier weit oben.
Die vier Schichten
- 01Das Gerät
- Kartenterminals unterliegen den Hardware-Anforderungen PCI PTS POI. Die aktuelle Fassung der Geräteanforderungen ist v7.0; Marktstandard bei den heute ausgelieferten Geräten ist PCI PTS 6.x, die ersten 7.x-zertifizierten Terminals sind angekommen. Hinzu kommt die Zulassung durch die Deutsche Kreditwirtschaft, ohne die ein Gerät im girocard-System gar nicht eingesetzt werden darf.
- 02Die Verarbeitung
- Für den Umgang mit Kartendaten gilt PCI DSS, aktuell in Version 4.0.1. Die zunächst zukunftsdatierten Anforderungen aus der Version 4.x sind seit dem 31. März 2025 verbindlich. Wie viel Aufwand das für Ihren Betrieb bedeutet, hängt stark daran, ob Kartendaten Ihre Systeme überhaupt berühren.
- 03Die Zahlung
- Chip und PIN nach EMV, dazu die starke Kundenauthentifizierung. Bei kontaktlosen Zahlungen gilt in Deutschland: bis 50 Euro je Transaktion ohne PIN, danach zwingend PIN — spätestens nach kumuliert 150 Euro oder fünf Vorgängen. Das steht in Artikel 11 der Delegierten Verordnung (EU) 2018/389 und wird von der Deutschen Kreditwirtschaft eins zu eins umgesetzt.
- 04Der Geldfluss
- Die Frage, wer die Gelder zwischen Karteninhaber und Ihrem Konto überhaupt in den Händen hält. Sie entscheidet darüber, was passiert, wenn ein Beteiligter ausfällt — und sie ist der einzige Punkt dieser Liste, den Sie beim Anbietervergleich aktiv erfragen müssen.
Wo Ihr Geld läuft — und wo nicht
Das Zahlungsdiensteaufsichtsgesetz zieht eine klare Grenze. Wer Zahlungsvorgänge annimmt und abrechnet, betreibt Akquisitionsgeschäft nach § 1 Absatz 1 Satz 2 Nummer 5 ZAG und braucht dafür eine Erlaubnis. Wer dagegen als technischer Dienstleister nur weiterleitet, fällt unter die Ausnahme des § 2 Absatz 1 Nummer 9 ZAG. Das BaFin-Merkblatt zum ZAG formuliert es so: „Technische Dienstleister, die lediglich eine Autorisierungsanfrage sowie den Datensatz zur Abrechnung der Zahlung übermitteln, und die zu keiner Zeit Zugriff auf das Zahlungskonto haben, sollen jedoch nach wie vor keine Erlaubnis nach dem ZAG benötigen."
Dieselbe Behörde benennt auch die Kehrseite: Kommen Netzbetreiber „an irgendeiner Stelle des Zahlungsvorgangs in den Besitz der Kundengelder oder haben sie die Verfügungsbefugnis über die zu transferierenden Geldbeträge", können sie sich auf die Ausnahme nicht mehr berufen. Dann ist es erlaubnispflichtiges Akquisitionsgeschäft.
Für Sie als Betrieb ist daraus eine einzige, sehr konkrete Frage abzuleiten: Geht die Gutschrift direkt vom lizenzierten Acquirer auf Ihr Konto, oder läuft sie über ein Sammelkonto eines Dritten? Beide Modelle existieren am Markt, beide sind zulässig — aber sie unterscheiden sich darin, wer im Insolvenzfall zwischen Ihnen und Ihrem Geld steht.
Wer trägt welche Pflicht
Sicherheitsversprechen werden im Markt gern so formuliert, als nähme der Anbieter Ihnen alles ab. Die Rollenverteilung sieht anders aus.
| Pflicht | Händler | Netzbetreiber | Acquirer |
|---|---|---|---|
| PCI DSS | ja, über Selbstauskunft | ja, als Service Provider | ja, Level 1 |
| PCI PTS POI | mittelbar — nur zugelassene Geräte einsetzen | ja, über Geräteauswahl und -betrieb | mittelbar |
| ZAG-Erlaubnis | nein | nur bei Besitz oder Verfügungsbefugnis über die Gelder | ja |
| Verpflichteter nach GwG | in der Regel nein (Ausnahme: Güterhändler) | nein, als technischer Dienstleister | ja |
| Datenschutz | eigenständig verantwortlich im eigenen Einflussbereich | eigenständig verantwortlich im eigenen Einflussbereich | eigenständig verantwortlich im eigenen Einflussbereich |
Beim Datenschutz ist die getrennte Verantwortlichkeit der entscheidende Punkt: Händler, Netzbetreiber und Acquirer sind jeweils eigenständig Verantwortliche in ihrem technischen Einflussbereich — es gibt hier keinen Auftragsverarbeitungsvertrag, der die Verantwortung verschiebt. Rechtsstand 1. August 2026.
PCI DSS bleibt Ihre Verantwortung
Das ist der Satz, den kein Vertrieb gern sagt, und er stammt nicht von uns, sondern von einem der größten Anbieter im Markt. PAYONE schreibt auf seiner eigenen PCI-Seite: „Die Verantwortung für die Einhaltung der PCI-DSS-Standards liegt bei jedem Händler, der Kreditkartenzahlungen akzeptiert." Ein Netzbetreiber oder Zahlungsdienstleister kann diese Verantwortung reduzieren, indem er die Kartendaten aus Ihren Systemen heraushält — abnehmen kann er sie Ihnen nicht.
Praktisch heißt das: Der Aufwand hängt an Ihrem Aufbau. Ein Terminal, das die Kartendaten selbst verschlüsselt und direkt an den Netzbetreiber sendet, hält Ihre Kasse und Ihr Netzwerk aus dem Geltungsbereich weitgehend heraus. Eine Kasse, die Kartendaten selbst verarbeitet oder speichert, holt sie hinein. Welche Selbstauskunft daraus folgt, wird im Onboarding festgelegt.
Was Sie unabhängig davon in der Hand haben, ist banal und wirksam: Terminals nicht unbeaufsichtigt zugänglich lassen, Siegel und Gehäuse regelmäßig ansehen, Zugangsdaten nicht teilen, Softwarestände aktuell halten.
Warum das Terminal ein zugelassenes Gerät sein muss
Die Händlerbedingungen sind an diesem Punkt knapp und eindeutig: „Für die Teilnahme am girocard-System dürfen nur Terminals eingesetzt werden, die über eine Zulassung der Deutschen Kreditwirtschaft verfügen." Geräte, die eine vorgeschriebene Umstellung nicht mitgemacht haben, dürfen nach Fristablauf nicht weiterbetrieben werden.
Dass daran nicht zu rütteln ist, zeigt der Blick auf die andere Vertragsseite. Der Zulassungsvertrag belegt den Netzbetreiber mit einer Vertragsstrafe von 15 Euro pro Monat je nicht umgestelltem girocard-Terminal, monatlich erneut, gedeckelt je nach Terminalbestand bei 100.000, 500.000 oder einer Million Euro. Ein Anbieter, der Sie auf einem veralteten Gerät weiterlaufen lässt, zahlt dafür selbst.
Für Sie ist das vor allem ein Argument, den Softwarestand ernst zu nehmen — und ein Grund, beim Anbieterwechsel früh zu klären, ob das vorhandene Gerät überhaupt übernommen werden kann.
Was passiert, wenn die Technik ausfällt
Ausfallsicherheit ist im girocard-System nicht dem guten Willen überlassen. Jeder zugelassene Netzbetreiber muss einen Business-Continuity-Plan vorhalten, ihn mindestens jährlich prüfen, aktualisieren und testweise durchführen. Das Ziel ist im Vertrag beziffert: Die Weiterleitung von Autorisierungsnachrichten muss in weniger als zwei Stunden nach Ausfallbeginn wieder aufgenommen werden.
Dazu kommen Pflichten, die im Störfall die Aufklärung ermöglichen. Alle ein- und ausgehenden Nachrichten an der Schnittstelle sind vollständig zu speichern und sechs Monate aufzubewahren. Hinweise auf missbräuchliche Nutzung sind der Deutschen Kreditwirtschaft unverzüglich zu melden, und über die Einhaltung der Service Level ist jährlich zu berichten.
Und ein Punkt, der selten irgendwo steht: Die vom Netzbetreiber eingezogenen girocard-Entgelte gelten ausdrücklich als Treuhandvermögen der kartenausgebenden Zahlungsdienstleister und sind getrennt vom sonstigen Vermögen auf einem separaten Konto zu führen. Weitergeleitet wird spätestens zum 15. des Folgemonats.
Die Zahlungsgarantie ist selbst ein Sicherheitsmerkmal
Bei einer autorisierten girocard-Zahlung gibt der kartenausgebende Zahlungsdienstleister die Erklärung ab, die Forderung in Höhe des autorisierten Betrages zu begleichen. Solange Terminal und Verfahren stimmen und der Umsatz fristgerecht eingereicht wird, tragen Sie kein Ausfallrisiko. Das ist der greifbarste Unterschied zum elektronischen Lastschriftverfahren, bei dem genau dieses Risiko bei Ihnen bleibt.
Bei Kreditkarten funktioniert das anders. Dort kann ein bereits gutgeschriebener Umsatz auf Betreiben des Karteninhabers zurückgebucht werden. Der Karteninhaber hat dafür in der Regel deutlich mehr Zeit als Sie für die Antwort — planen Sie diese Frist ein, statt sie zu entdecken, wenn der Fall eintritt.
Die Detailseiten
Diese Seite ordnet. Die Tiefe zu den einzelnen Standards steht jeweils an eigener Stelle.
Häufige Fragen zur Sicherheit
Kann jemand mein Terminal manipulieren?
Kartenterminals sind genau dagegen gebaut: Die PCI-PTS-POI-Anforderungen zielen auf Manipulationssicherheit der Hardware, und Geräte löschen ihre kryptographischen Schlüssel bei einem Eingriffsversuch. Der praktische Schutz liegt trotzdem bei Ihnen — ein Gerät, das nachts frei zugänglich ist, ist ein anderes Risiko als eines im abgeschlossenen Verkaufsraum. Kontrollieren Sie Gehäuse und Kabel regelmäßig.
Ab wann muss der Kunde die PIN eingeben?
In Deutschland gilt: Kontaktlos bis 50 Euro je Transaktion ohne PIN. Spätestens nach kumuliert 150 Euro oder fünf aufeinanderfolgenden kontaktlosen Vorgängen ist eine PIN zwingend. Das folgt aus Artikel 11 der Delegierten Verordnung (EU) 2018/389. Achtung bei Vergleichen über die Grenze: In Österreich liegt die Kumulationsgrenze bei 125 Euro, nicht bei 150.
Speichert mein Terminal Kartendaten?
Ein zugelassenes Terminal verschlüsselt Kartendaten und hält sie aus Ihren übrigen Systemen heraus — das ist der Grund, warum diese Konstruktion den PCI-Aufwand senkt. Was in Ihrem Betrieb tatsächlich gespeichert wird, hängt aber am Gesamtaufbau, insbesondere an der Kasse. Diese Frage gehört ins Onboarding-Gespräch, nicht ins Nachhinein.
Was passiert bei einem Ausfall des Netzbetreibers?
Der Zulassungsvertrag verpflichtet jeden Netzbetreiber zu einem Business-Continuity-Plan mit einem Wiederanlaufziel von unter zwei Stunden für die Weiterleitung von Autorisierungsnachrichten, jährlich zu testen. Für Ihren Betrieb heißt das trotzdem: Halten Sie einen Plan B bereit, und wissen Sie, wo die Terminal-ID steht — danach wird bei jeder Störungsmeldung als Erstes gefragt.
Ist eine Zahlung ohne PIN unsicherer für mich?
Für die girocard nicht: Entscheidend für die Zahlungsgarantie ist die positive Autorisierung, nicht die Art der Kundenauthentifizierung. Die Bedingungen der Garantie — zugelassenes Terminal, vereinbartes Verfahren, fristgerechte Einreichung — bleiben dieselben. Anders liegt es beim Lastschriftverfahren, das gar keine Garantie kennt.
Brauche ich einen Auftragsverarbeitungsvertrag mit meinem Netzbetreiber?
Nach der Einordnung, die wir unserer Recherche zugrunde legen, nicht: Händler, Netzbetreiber und Acquirer sind jeweils eigenständige Verantwortliche in ihrem technischen Einflussbereich. Keiner verarbeitet die Zahlungsdaten weisungsgebunden für den anderen. Das ist kein Nachteil, sondern die saubere Abbildung der tatsächlichen Rollen — es gehört nur transparent gesagt.
Stand der Angaben und was wir nicht behaupten
Grundlagen dieser Seite sind der Vertrag über die Zulassung als Netzbetreiber im girocard-System vom 27. Januar 2025, die Händlerbedingungen in der Fassung April 2026, § 1 und § 2 ZAG nebst BaFin-Merkblatt, Artikel 11 der Delegierten Verordnung (EU) 2018/389 sowie die Veröffentlichungen des PCI Security Standards Council zu PCI DSS v4.0.1 und PCI PTS POI v7.0. Recherchestand: 1. August 2026.
Zwei Punkte lassen wir bewusst offen, statt zu runden. Die genauen Stichtage rund um den Übergang von PCI PTS POI v6 auf v7 — bis wann v6 für neue Zulassungen gilt und wie lange bereits zugelassene Geräte weiterverwendet werden dürfen — konnten wir nicht aus einem lesbaren Originaldokument belegen. Und welcher PCI-Selbstauskunftstyp für welche Terminalkonstellation gilt, ist über unsere Quellen nicht amtlich verifiziert. Wo unsere Belege enden, endet auch unsere Aussage.