Zahlungsverkehrskonformität: Wichtige Vorschriften und bewährte Verfahren

Jedes Unternehmen, das Geldtransaktionen durchführt, steht vor dem Problem der Einhaltung von Vorschriften. Kartenzahlungen, Online-Shop-Bezahlvorgänge, Kryptozahlungen – der Kanal spielt keine Rolle. Die Regeln gelten, die Strafen sind real, und sie zu ignorieren, führt selten zu unproblematischen Konsequenzen.

Die Schwierigkeit bei der Einhaltung von Zahlungsvorschriften liegt nicht darin, dass man sie nicht kennt. Vielmehr geht es darum zu verstehen, welche Vorschriften für Ihr Unternehmen gelten, wie diese miteinander interagieren und was Sie konkret tun müssen. Genau das behandelt dieser Leitfaden.

Was ist Zahlungsverkehrskonformität und warum ist sie wichtig?

Fragt man fünf verschiedene Zahlungsdienstleister, was „Zahlungskonformität“ bedeutet, erhält man wahrscheinlich fünf unterschiedliche Antworten. In der Praxis umfasst sie alle Regeln, die regeln, wie Unternehmen Zahlungsdaten erfassen, speichern, übermitteln und verarbeiten. Diese Regeln sind notwendig, da sich der Schaden schnell und weit verbreitet, wenn Zahlungssysteme fehlerhaft funktionieren – etwa durch Betrug, Geldwäsche oder Datenlecks.

Zu den Unternehmen, die diesen Verpflichtungen unterliegen, gehören im Grunde alle, die digital mit Geld umgehen: Online-Händler, SaaS-Plattformen, Marktplätze, Fintech-Unternehmen und Krypto-Händler. Die Regeln sehen keine Größenbeschränkung vor. Ein Start-up mit zehn Mitarbeitern muss dieselben Kernanforderungen erfüllen wie ein Großunternehmen.

Zahlen, die das Ausmaß verdeutlichen: Die Verluste durch Zahlungsbetrug und E-Commerce werden zwischen 2023 und 2027 auf 343 Milliarden US-Dollar geschätzt. Laut dem Zahlungssicherheitsbericht von Verizon aus dem Jahr 2023 erfüllen 64 % der Unternehmen noch immer nicht alle PCI-DSS-Standards. Und schon ein einziger Datenverstoß kann Klagen, erzwungene Audits und Sanktionen von Kartennetzwerken nach sich ziehen, deren Beilegung Jahre dauern kann.

Die Einhaltung der Vorschriften sichert den Zugang zum Zahlungsnetzwerk. Ein Verlust dieses Zugangs – etwa durch einen Verstoß oder eine Sicherheitslücke – kann ihn endgültig verschließen.

Wer reguliert weltweit die Einhaltung der Zahlungsvorschriften?

Weltweit gibt es keine zentrale Behörde, die für die Einhaltung der Zahlungsverkehrsbestimmungen zuständig ist. Vielmehr legt ein Flickenteppich aus verschiedenen Institutionen Standards fest und setzt Regeln in unterschiedlichen Rechtsordnungen durch, und die meisten Unternehmen unterliegen letztendlich mehr als einer dieser Institutionen.

Ein in der EU ansässiger Händler, der US-amerikanische Karten von internationalen Kunden akzeptiert, muss beispielsweise gleichzeitig die Anforderungen von PCI DSS, DSGVO und gegebenenfalls FinCEN erfüllen. Die Bewältigung dieser Überschneidungen ist typisch für die Einhaltung von Zahlungs- und Regulierungsbestimmungen, wenn Ihr Unternehmen international tätig ist.

Erläuterung der wichtigsten Vorschriften zur Einhaltung der Zahlungsbestimmungen

Fünf Vorschriften definieren den Großteil dessen, was die meisten Unternehmen tun müssen. Jede zielt auf einen anderen Risikobereich ab und hat ihre eigene Strafstruktur.

1. PCI DSS – der Payment Card Industry Data Security Standard – gilt für alle Unternehmen, die Karteninhaberdaten speichern, verarbeiten oder übermitteln. Er legt zwölf technische und betriebliche Anforderungen fest. Die Strafen bei Nichteinhaltung betragen je nach Schwere des Verstoßes 5.000 bis 100.000 US-Dollar pro Monat.
2. PSD2 – Die Zahlungsdiensterichtlinie 2 der EU regelt die Tätigkeit von Zahlungsdienstleistern im gesamten Europäischen Wirtschaftsraum. Die wichtigste Anforderung ist die starke Kundenauthentifizierung (SCA) für elektronische Transaktionen. Die Strafen können bis zu 5 Millionen Euro oder 3 % des weltweiten Jahresumsatzes betragen.
3. AML/KYC – Die Anti-Geldwäsche-Vorschriften verpflichten Unternehmen, die Identität ihrer Kunden zu überprüfen (Know Your Customer), Transaktionen auf verdächtige Aktivitäten zu überwachen und Meldungen über verdächtige Aktivitäten einzureichen. Diese Regeln basieren auf nationalen Gesetzen, die auf Empfehlungen der FATF beruhen.
4. DSGVO / CCPA – Die EU-Datenschutz-Grundverordnung und der California Consumer Privacy Act (CCPA) regeln den Datenschutz im Zahlungsverkehr und legen fest, wie personenbezogene Daten und Zahlungsinformationen erhoben, gespeichert und verarbeitet werden. Die DSGVO-Strafen betragen maximal 20 Millionen Euro oder 4 % des weltweiten Jahresumsatzes. Die 2022 verhängte Geldstrafe von 405 Millionen Euro gegen Meta bestätigte, dass die Aufsichtsbehörden konsequent durchgreifen werden.
5. BSA-/FinCEN-Regeln – Der US-amerikanische Bank Secrecy Act (BSA) verpflichtet Finanzinstitute und Geldtransferunternehmen zur Einrichtung von Programmen zur Bekämpfung von Geldwäsche (AML), zur Meldung von Bargeldtransaktionen über 10.000 US-Dollar und zur Einreichung von Verdachtsmeldungen (SARs). FinCEN hat diese Verpflichtungen auf in den USA tätige Kryptounternehmen ausgeweitet.

PCI DSS 4.0: Die Grundlage für die Sicherheit von Zahlungsdaten

Die meisten Online-Unternehmen erfüllten die Anforderungen des PCI DSS-Standards vor allen anderen Regulierungen. Version 4.0 wurde 2022 finalisiert und ist seit April 2025 vollständig in Kraft. Sie bringt wichtige Änderungen mit sich, die Händler und Zahlungsdienstleister kennen sollten.

Der Grad der Einhaltung hängt vom jährlichen Kartentransaktionsvolumen ab:

• Stufe 1 : Über 6 Millionen Transaktionen pro Jahr – jährliche Vor-Ort-Prüfung durch einen qualifizierten Sicherheitsgutachter (QSA)
• Stufe 2 : 1–6 Millionen Transaktionen/Jahr – jährlicher Selbstbewertungsfragebogen (SAQ) plus vierteljährliche Netzwerk-Scans
• Stufe 3 : 20.000–1 Million E-Commerce-Transaktionen/Jahr — SAQ plus vierteljährliche Scans
• Stufe 4 : Weniger als 20.000 E-Commerce-Transaktionen pro Jahr – Empfehlung des SAQ

Was hat sich in Version 4.0 gegenüber Version 3.2.1 geändert?

• Individueller Ansatz : Unternehmen können nun alternative Kontrollmaßnahmen implementieren, die dem Zweck einer Anforderung entsprechen, anstatt sich strikt an vorgegebene technische Spezifikationen zu halten.
• Obligatorische MFA : Die Multi-Faktor-Authentifizierung ist nun für jeden Zugriff auf die Karteninhaberdatenumgebung erforderlich, nicht nur für Remote-Sitzungen.
• Phishing- und Social-Engineering-Schulung : Gezielte Sensibilisierungsschulungen sind eine formale Anforderung, keine Empfehlung.
• Stärkere Passwörter : mindestens 12 Zeichen (vorher 8), mit automatischer Rotation alle 90 Tage für Konten mit hohen Berechtigungen.

Die Folgen einer Missachtung des PCI DSS sind gravierend. Als Heartland Payment Systems 2008 Opfer eines Sicherheitsvorfalls wurde, beliefen sich die Gesamtschäden auf über 200 Millionen US-Dollar. Der Aktienkurs brach innerhalb weniger Tage um 50 % ein und verlor bis zu einer Erholung 77 % seines Wertes. Kleine Unternehmen überstehen so etwas in der Regel nicht.

AML und KYC: Finanzkriminalität an der Quelle aufdecken

Die Einhaltung der AML-Vorschriften bedeutet, Systeme zu entwickeln, die Finanzkriminalität erkennen, bevor sie Ihre Plattform erreicht. KYC – die Identitätsprüfung – ist die Voraussetzung für diese Überwachung.

Was die Einhaltung der AML-Vorschriften tatsächlich erfordert:

• Transaktionsüberwachung : Automatisierte Systeme erkennen ungewöhnliche Muster – große Überweisungen, schnelle Geldbewegungen, Strukturierung von Transaktionen (Aufteilung von Transaktionen, um die Meldeschwellenwerte einzuhalten).
• Meldung verdächtiger Aktivitäten: Bei Auftreten verdächtiger Aktivitäten muss innerhalb bestimmter Fristen ein Bericht über verdächtige Aktivitäten an die zuständige Behörde gesendet werden.
• Sanktionsprüfung : Jeder Kunde und Geschäftspartner wird in Echtzeit anhand der Sanktionslisten von OFAC, UN und EU überprüft.
• Sorgfaltspflicht gegenüber Kunden (Customer Due Diligence, CDD) : Laufende Überprüfung des Risikoprofils, nicht nur eine einmalige Prüfung bei der Kundenaufnahme.
• Erweiterte Sorgfaltspflichten (Enhanced Due Diligence, EDD) : Vertiefte Überprüfung von Hochrisikokunden – politisch exponierten Personen (PEP) und Personen aus Hochrisikogebieten.

KYC beim Onboarding umfasst üblicherweise die Dokumentenprüfung (Personalausweis, Adressnachweis) sowie eine Identitätsprüfung. eKYC-Lösungen erledigen dies heute mithilfe von KI in Sekundenschnelle; für jedes Unternehmen, das ein umfangreiches Onboarding durchführt, ist dies zum Standard geworden.

Die FATF-Reiseregel führt eine kryptospezifische Ebene ein: Anbieter von Dienstleistungen für virtuelle Vermögenswerte müssen bei Überweisungen über 1.000 US-Dollar Absender- und Empfängerinformationen erfassen und übermitteln. Die genaue Grenze variiert je nach Rechtsordnung geringfügig, die Verpflichtung gilt jedoch unabhängig davon, ob es sich um Bitcoin, Stablecoins oder andere digitale Vermögenswerte handelt.

PSD2-, SCA- und Open-Banking-Anforderungen

PSD2 hat die Authentifizierung für Zahlungsdienstleister in der gesamten EU grundlegend verändert. Ihr Kernmandat, die starke Kundenauthentifizierung, ist nun der Standard für jeden Zahlungsdienst, der im Europäischen Wirtschaftsraum tätig ist.

SCA erfordert die Authentifizierung mittels mindestens zweier von drei unabhängigen Faktoren:

• Etwas, das Sie wissen : Passwort, PIN, Sicherheitsfrage
• Etwas, das Sie besitzen : Mobiltelefon, Hardware-Token, Smartcard
• Etwas, das Sie ausmacht : Fingerabdruck, Gesichtserkennung, Stimmmuster

3D Secure 2.0 ist der wichtigste technische Standard für die Implementierung von SCA bei Transaktionen ohne Kartenpräsenz. Er übermittelt Risikosignale zwischen Händler, Kartennetzwerk und ausstellender Bank und ermöglicht so reibungslose Transaktionen mit geringem Risiko.

SCA-Ausnahmen dienen dazu, unnötige Reibungsverluste zu reduzieren:

PSD2 schreibt auch Open Banking vor. Banken müssen lizenzierten Drittanbietern mit Kundeneinwilligung über APIs Zugriff auf Kundendaten gewähren. Die Einhaltung dieser Zugriffsregeln ist Lizenzbedingung – sie ist nicht optional.

Zahlungskonformität im Krypto- und Digital-Asset-Bereich

Die meisten Leitfäden zur Einhaltung der Zahlungsvorschriften beschränken sich auf Kartenzahlungen und Überweisungen. Das ist eine echte Lücke. Kryptohändler, Zahlungsportale und Unternehmen im Bereich digitaler Vermögenswerte unterliegen den vollen Bestimmungen der Geldwäschebekämpfung und der Kundenidentifizierung (AML/KYC) sowie einer stetig wachsenden Anzahl kryptospezifischer Regeln.

Anbieter von Dienstleistungen für virtuelle Vermögenswerte (VASPs) – Kryptobörsen, Wallets, Zahlungsportale – werden gemäß den FATF-Richtlinien zur Bekämpfung von Geldwäsche als Finanzinstitute behandelt. In der Praxis bedeutet dies:

• Vollständige KYC-Prüfung bei der Kontoeröffnung, laufende Transaktionsüberwachung und Meldepflichten für Verdachtsmeldungen (SAR).
• FATF-Reiseregel : Bei Überweisungen über 1.000 US-Dollar müssen Absendername, Kontonummer des Auftraggebers und Empfängerdaten mit der Transaktion übermittelt werden.
• Registrierung bei FinCEN als Geldtransferdienstleister für in den USA ansässige Kryptounternehmen
• Die Lizenzierung gemäß EU MiCA (Verordnung über Märkte für Krypto-Assets), die seit 2024 gilt, umfasst Reserveanforderungen, Verbraucherschutzbestimmungen und Offenlegungspflichten für Stablecoin-Emittenten und Krypto-Dienstleister.

Die praktische Herausforderung besteht darin, dass die Compliance über Hunderte von Assets und Blockchains hinweg funktionieren muss, die jeweils unterschiedliche Abwicklungs- und Nachverfolgbarkeitseigenschaften aufweisen. Dies von Grund auf neu zu entwickeln, ist teuer und zeitaufwendig.

Plisio übernimmt die Einhaltung der Vorschriften auf Gateway-Ebene und unterstützt über 200 Kryptowährungen. Gleichzeitig gewährleistet es eine AML-konforme Transaktionsüberwachung und ein KYC-freundliches Händler-Onboarding. Für E-Commerce-Unternehmen, die Kryptowährungen akzeptieren möchten, ohne selbst eine Compliance-Infrastruktur aufzubauen, ist die Wahl eines Gateways, das diese regulatorische Komplexität übernimmt, der optimale Weg.

Wie man einen Workflow zur Einhaltung der Zahlungsbestimmungen erstellt

Compliance ist kein Werkzeug, das man einfach einschaltet. Es ist ein kontinuierlicher Prozess, der scheitert, wenn er als einmaliges Projekt behandelt wird.

1. Ermitteln Sie den Umfang Ihrer IT-Umgebung – erfassen Sie jedes System, das Zahlungsdaten verarbeitet: Checkout-Seiten, Zahlungsabwickler, Datenbanken und Integrationen von Drittanbietern. PCI DSS deckt nur die definierten Bereiche ab, und die meisten Sicherheitslücken entstehen in Bereichen, die nicht berücksichtigt wurden.
2. Führen Sie eine Compliance-Gap-Analyse durch – Vergleichen Sie die aktuellen Kontrollen mit den Anforderungen von PCI DSS, AML/KYC und DSGVO (bzw. CCPA). Dokumentieren Sie, was fehlt, nicht nur, was bereits vorhanden ist.
3. Implementieren Sie technische Kontrollen – Tokenisierung ersetzt Kartennummern durch unkritische Token; Verschlüsselung schützt Daten während der Übertragung und im Ruhezustand. Allein diese beiden Schritte decken den Großteil des Anwendungsbereichs von PCI DSS ab.
4. Richten Sie die Transaktionsüberwachung ein – Automatisierte Systeme müssen verdächtige Transaktionen in Echtzeit kennzeichnen. Definieren Sie Alarmregeln, überprüfen Sie Warteschlangen und Eskalationswege vor der Inbetriebnahme, nicht danach.
5. Schulen Sie Ihre Mitarbeiter – Social Engineering und Phishing verursachen mehr Sicherheitslücken als technische Ausfälle. PCI DSS 4.0 schreibt nun gezielte Schulungen zur Sensibilisierung für IT-Sicherheit vor; behandeln Sie diese als wirksame Kontrollmaßnahme.
6. Dokumentieren Sie alles – Richtlinien, Verfahren, Prüfprotokolle, Notfallpläne. Aufsichtsbehörden verlangen Dokumentationen als Nachweis für Ihre Absicht und Ihre Fähigkeiten, nicht nur für funktionierende Systeme.
7. Planen Sie regelmäßige Audits ein – jährliche PCI-DSS-Prüfungen, vierteljährliche Netzwerk-Scans und laufende Überprüfungen Ihres AML-Programms. Ohne aktive Wartung kann die Einhaltung der Vorschriften beeinträchtigt werden.
8. Wählen Sie konforme Zahlungspartner – Ihre Zahlungsdienstleister, Gateway-Anbieter und Bankpartner tragen eine gemeinsame Verantwortung. Ein Partner, der PCI DSS auf Infrastrukturebene umsetzt, reduziert Ihren Aufwand erheblich.

Best Practices für die Einhaltung der Zahlungsbestimmungen im E-Commerce

Sobald Ihr Programm zur Einhaltung der Zahlungsvorschriften läuft, verhindern diese Praktiken, dass es still und leise zusammenbricht:

• Verwenden Sie ein PCI-DSS-Level-1-zertifiziertes Gateway – dadurch wird die Verarbeitung von Karteninhaberdaten an den Anbieter ausgelagert, wodurch sich Ihr PCI-DSS-Geltungsbereich in der Regel auf SAQ A reduziert.
• Aktivieren Sie 3D Secure 2.0 – dies reduziert das Betrugsrisiko bei Transaktionen ohne Kartenpräsenz und erfüllt die EU-SCA-Anforderungen.
• Tokenisieren Sie alles – ersetzen Sie Kartennummern durch Tokens bei der Eingabe; Rohdaten von Karteninhabern sollten niemals in Ihren Systemen gespeichert werden.
• Geräte-Fingerprinting und IP-Geolokalisierung einsetzen – Betrugspräventionssignale aus Verhaltensdaten generieren, ohne den Bezahlvorgang zu vereinfachen
• Datenminimierung anwenden – gemäß DSGVO nur die benötigten Daten erheben, diese nur so lange wie nötig speichern und planmäßig löschen.
• Händler müssen vor der Zahlungsfreigabe überprüft werden – auf Marktplätzen und Plattformen gilt die Einhaltung der Onboarding-Vorschriften auch für Unterhändler.
• Halten Sie einen Notfallplan bereit – die DSGVO schreibt vor, dass Datenschutzverletzungen innerhalb von 72 Stunden den Aufsichtsbehörden gemeldet werden müssen; in den meisten US-Bundesstaaten sind es 30 Tage. Ein ungetesteter Plan ist nur ein Dokument.

Simon Chartan

A journalist with a strong technical background and a passion for decentralized finance. With degrees in MBA and Master of Engineering in Data Science, the author combines analytical expertise with a clear, engaging writing style. At Plisio, they cover topics such as cryptocurrency, blockchain, DeFi, and digital finance—helping readers make sense of a rapidly evolving fintech landscape.