Zahlungssicherheit im Online-Shop: Anforderungen für Schweizer Händler

Warum die Zahlungssicherheit das Vertrauen in einen Schweizer Shop bedingt

In der Schweiz prüft der Käufer vor der Bezahlung. JUSTIS Rechtsschutz empfiehlt, die Rubrik «Impressum» oder «Kontakt» zu kontrollieren. Dort müssen Adresse, Ort, Telefonnummer und E-Mail-Adresse aufgeführt sein. Sind diese Daten schwer auffindbar, ist die Seriosität der Website fraglich. Diese Informationen sind das erste Signal für Zuverlässigkeit, das der Kunde wahrnimmt – noch vor der Zahlungsseite.

Für einen Schweizer Shop kombiniert die Compliance-Basis die LPD (Datenschutzgesetz) und die PCI-DSS-Standards für elektronische Zahlungen, wie der Leitfaden für E-Commerce-Plattformen von EWM erläutert. Der Markt verlangt zudem lokale Anpassungen. Die Oberfläche muss auf Französisch, Deutsch und Italienisch verfügbar sein. Unterstützt werden sollten der Schweizer Franken (CHF) und der Euro (EUR).

Datums-, Adress- und Nummernformate müssen den schweizerischen Standards entsprechen. Die Integration von PostFinance und TWINT ist essenziell. Eine Zahlungsseite, die die Sprache des Kunden oder das Format seiner Adresse ignoriert, weckt im sensibelsten Moment der Transaktion Zweifel.

Die wirtschaftliche Plausibilität gehört ebenfalls zur Prüfung. JUSTIS nennt das Beispiel eines Shops, der ein Smartphone für 150 CHF verkauft. Andere Anbieter verlangen dafür mehr als 500 CHF. JUSTIS rät von einer solchen Transaktion ab.

Gütesiegel wie «Trusted Shops» sind in der Schweiz weniger etabliert als in Deutschland. Für kleine Anbieter oder Start-ups sind sie oft zu teuer. Das Fehlen eines Siegels beweist daher nicht, dass ein Shop unseriös ist. Ein Siegel entbindet zudem nicht davon, die Zahlungsströme tatsächlich zu sichern.

Kundendaten und Zahlung: LPD anwenden ohne Datensammelwut

Seit dem Inkrafttreten der revidierten LPD im September 2023 müssen Schweizer Unternehmen eine dem Risiko angemessene Datensicherheit gewährleisten. Dazu gehört insbesondere eine IT-Richtlinie (weka.ch). Im Bestellprozess wird dieses Prinzip konkret: Jedes zusätzliche Feld im Zahlungsformular erweitert den Bereich, der geschützt und dokumentiert werden muss.

Die erste Massnahme ist die Minimierung. Der empfohlene Ansatz besteht darin, sich zu fragen, welche Daten man wirklich benötigt, bevor man zu viele Elemente erhebt (schutz-law.ch). Bei der Zahlung sollten Kartendaten nicht in der Datenbank des Shops gespeichert werden, wenn der Dienstleister diese selbst verarbeitet. Weniger gespeicherte Daten bedeuten weniger Risiko und weniger Dokumentationspflichten.

Transparenz ist eine von der technischen Sicherheit separate Anforderung. Online-Händler müssen robuste Datenschutzrichtlinien einführen. Sie müssen die Kunden über die Verwendung ihrer Daten informieren und deren Sicherheit garantieren (schutz-law.ch). Die Allgemeinen Geschäftsbedingungen (AGB) müssen angeben, ob der Anbieter Daten an Dritte weitergibt (JUSTIS). Diese Klausel ist unverzichtbar, sobald ein Zahlungsdienstleister, ein Transportunternehmen oder ein Analysetool in die Kette eingebunden ist.

Der EWM-Leitfaden hält die technische Anforderung von Servern in der Schweiz fest. schutz-law.ch erinnert daran, dass der Datenschutz in Europa unter die DSGVO und in der Schweiz unter die LPD fällt.

Vor- und Nachteile von Gütesiegeln wie Trusted Shops in der Schweiz

PCI DSS: Der Standard für Kartenzahlungen

Der Sicherheitsstandard der Zahlungskartenindustrie (PCI DSS) wurde 2004 vorgestellt. Er richtet sich an grosse Kreditkartenmarken. Er umfasst 12 strategische Massnahmen zur Reduzierung von Betrug mit Bankkarten. Herausgeber ist das Payment Card Industry Security Standards Council (isdecisions.com).

Für einen Online-Shop legt er den Rahmen für die Verarbeitung von Daten der Karteninhaber fest. Die Compliance hängt weitgehend vom Zahlungsdienstleister ab.

Die zwölf Anforderungen bilden eine Checkliste. Schutz der Daten der Karteninhaber durch eine Firewall. Entfernen der Standardpasswörter und sicherheitsrelevanten Standardeinstellungen der Anbieter. Schutz der gespeicherten Daten der Karteninhaber. Verschlüsselung der Übertragung dieser Daten über öffentliche offene Netzwerke. Einsatz von Kontrollen gegen Malware und Viren. Bereitstellung und Verwaltung sicherer Systeme und Anwendungen.

Beschränkung des Zugriffs auf Kartendaten auf die Personen, die diese benötigen. Identifizierung der Zugriffe auf Systemkomponenten und Authentifizierungspflicht. Einschränkung des physischen Zugriffs auf die Daten der Karteninhaber. Überwachung und Protokollierung der Zugriffe auf Kartendaten und Netzwerkressourcen. Regelmässige Tests der Sicherheitsprozesse und -systeme. Erstellung und Aktualisierung einer Informationssicherheitsrichtlinie für alle Mitarbeitenden.

Zwei Punkte haben direkte Auswirkungen auf die Organisation eines Schweizer KMU. Die Beschränkung des Zugriffs auf die notwendigen Personen. Die regelmässigen Tests, die eine Planung der Kontrollen statt Improvisation voraussetzen. Die zwölfte Regel verlangt die Erstellung und Aktualisierung einer Informationssicherheitsrichtlinie für alle Mitarbeitenden (isdecisions.com).

Wichtige Standards für die Zahlungssicherheit im Online-Handel in der Schweiz

Zahlungsdienstleister: Verantwortlichkeiten verteilen und Ströme sichern

Vor der Unterzeichnung ist die Frage der Verantwortung zu klären. Wer haftet wofür im Falle von Betrug, Datenleck oder Streit mit einem Kunden? schutz-law.ch lädt ausdrücklich dazu ein, sich darüber zu informieren, wer verantwortlich ist. Die AGB des Shops müssen angeben, ob Daten an Dritte weitergegeben werden.

Der Vertrag mit dem Dienstleister, die Datenschutzrichtlinie und die AGB müssen denselben Inhalt widerspiegeln. Sie müssen den Umfang der übermittelten Daten und die Rolle der einzelnen Parteien präzise definieren.

Technisch gesehen sind die erforderlichen Bausteine von Schweizer Anbietern öffentlich dokumentiert. Worldline Schweiz behandelt die Datensicherheit und PCI DSS, 3-D Secure sowie den EMV-Sicherheitsstandard. Dieser Bereich ist der Sicherheit bargeldloser Zahlungen gewidmet.

Für den Shop bedeutet dies konkrete Fragen an den Dienstleister. Wird die Zahlung durch 3-D Secure authentifiziert? Werden die Karten nach EMV verarbeitet? Auf welchem Niveau wird die PCI-DSS-Compliance bescheinigt, sodass der Shop aus dem Bereich der Kartendaten herausfällt?

Das Budget spielt bei der Wahl eine Rolle. Als Beispiele für Plattformkosten im Schweizer Markt liegt eine SaaS-Lösung zwischen 23 CHF und 299 CHF pro Monat. Die Installation ist schnell, die Wartung inklusive, aber die Anpassungsmöglichkeiten sind begrenzt. Eine Open-Source-Lösung kostet zwischen 100 CHF und 300 CHF pro Monat. Sie ist flexibler, erfordert aber technisches Know-how (EWM).

Die Kosten der Zahlungs-Compliance — Tests, Überwachung, Sicherheitsrichtlinie — kommen zu diesen Beträgen hinzu. Sie müssen je nach Transaktionsvolumen und gewähltem Anpassungsgrad abgewogen werden.

Die Wahl des Hostings wird gleichzeitig getroffen. EWM nennt Server in der Schweiz als technische Anforderung im Zusammenhang mit dem Datenschutz. Ein ausländischer Zahlungsdienstleister ist nicht ausgeschlossen. Dann müssen jedoch die vertraglichen Garantien geprüft werden. Zudem müssen die Kunden in den AGB (JUSTIS) und in der Datenschutzrichtlinie (schutz-law.ch) über die Weitergabe ihrer Daten an Dritte informiert werden.

E-Commerce-Lösungen: Vergleich der Kosten und Merkmale (Schweizer Markt)

Lokale Zahlungsmittel: Schweizer Erwartungen und Sicherheit vereinen

Auf dem Schweizer Markt bestimmen die Erwartungen der Käufer die Wahl der Zahlungsmittel. EWM empfiehlt die Integration von PostFinance und TWINT. Ebenso wichtig ist die Unterstützung des Schweizer Frankens (CHF) und des Euros (EUR). Datums-, Adress- und Nummernformate müssen den schweizerischen Standards entsprechen. Ein Shop, der nur internationale Lösungen und fremde Formate anbietet, erzeugt Reibung genau dort, wo der Kunde seine Daten eingeben muss.

Jedes hinzugefügte Zahlungsmittel muss denselben Sicherheitsfilter bestehen wie die Karte. Einen PCI-DSS-konformen Dienstleister verlangen. Die Authentifizierung durch 3-D Secure und die Verarbeitung nach dem EMV-Standard gehören zu den von Worldline Schweiz dokumentierten Sicherheitsthemen. Der von schutz-law.ch empfohlene Minimierungsansatz lädt dazu ein, die Speicherung von Zahlungsdaten auf das Notwendige zu beschränken.

Die operative Regel lautet, die Anzahl der offenen Kanäle zu begrenzen, statt sie unkontrolliert zu erweitern. Jede zusätzliche Integration vergrössert den technischen Bereich, der getestet und überwacht werden muss.

Die kommerzielle Konfiguration ist Teil der Sicherungsarbeit, da sie Streitigkeiten vermeidet. Sie erfordert eine klare Anzeige der Preise und Lieferfristen. Sie verlangt Verkaufsbedingungen, die aktuell und dem Geschäftsmodell entsprechend sind, ohne generische Texte zu kopieren (schutz-law.ch).

Die Abwicklung der Schweizer Mehrwertsteuer und die Organisation der Lieferung folgen derselben Logik. EWM nennt die Schweizer Post und DHL Schweiz. Exakte Angaben zum Zeitpunkt der Bestellung reduzieren Zahlungsstreitigkeiten und Rückerstattungsforderungen.

Interne Regeln, Phishing und Incidents: Der menschliche Faktor

Die IT-Richtlinie ist das Instrument, das die Nutzung der Geräte durch die Mitarbeitenden rechtlich regelt, ohne deren ausdrückliche Zustimmung zu benötigen (weka.ch). Obwohl nicht zwingend vorgeschrieben, dient sie als einseitig verbindliche Richtlinie. Sie definiert die Nutzungsregeln für die Hardware, Verbote und Meldepflichten im Incident-Fall. Für einen Online-Shop deckt sie direkt die Arbeitsplätze ab, die Zugriff auf das Backoffice, Kundendaten und Zahlungstools haben.

Ihr Inhalt muss mindestens die Nutzung der unternehmenseigenen IT-Hardware behandeln. Sie muss auch die Nutzung privater IT-Hardware, mobiles Arbeiten, Meldepflicht, Überwachung und Sanktionen abdecken (weka.ch). Der Artikel präzisiert, dass sie die Datensicherheit abdecken muss.

Sie muss auch bestimmte nicht genehmigte Software verbieten und die Nutzung von KI-Tools regeln. Dieser Punkt ist sensibel, sobald ein Mitarbeitender Bestelldaten in ein externes Tool einfügt.

Die operativste Massnahme ist die Pflicht zur sofortigen Meldung bei Verlust eines Geräts oder bei Phishing-Versuchen (weka.ch). Sie hat nur Wert, wenn der Mitarbeitende weiss, an wen und innerhalb welcher Frist er melden muss. Die Richtlinie muss einen internen Empfänger benennen.

Sie muss präzisieren, dass die Meldung für den Meldenden keine Sanktion nach sich zieht, da sonst Incidents verschwiegen würden. Das Dokument dient schliesslich als Rechtsgrundlage für Überwachungsmassnahmen und Sanktionen bei Nichteinhaltung.

Checkliste vor dem Launch: Zu validierende Anforderungen

Auf juristischer und vertraglicher Ebene ein vollständiges Impressum vorsehen. Adresse, Ort, Telefon und E-Mail-Adresse müssen leicht auffindbar sein (JUSTIS). Die AGB müssen dem schweizerischen Recht entsprechen, aktuell sein und dürfen nicht kopiert werden. Sie präzisieren die eventuelle Weitergabe von Daten an Dritte (JUSTIS, schutz-law.ch).

Die Datenschutzrichtlinie muss die Datennutzung und die Sicherheitsmassnahmen beschreiben. Sie berücksichtigt die LPD in der Schweiz und die DSGVO in Europa (schutz-law.ch). Die Rechtsform — Einzelunternehmen, GmbH oder AG — muss unter Kenntnis der Haftungs- und Steuerimplikationen gewählt werden (schutz-law.ch).

Auf technischer Ebene und bei der Zahlung das für den Dienstleister und den Shop geltende PCI-DSS-Compliance-Niveau bestätigen. Diese Bestätigung stützt sich auf die zwölf Anforderungen der Norm (isdecisions.com).

Eine Firewall einrichten. Standardpasswörter und -einstellungen entfernen. Übertragungen über offene Netzwerke verschlüsseln. Den Zugriff auf Kartendaten auf die notwendigen Personen beschränken. Die Sicherheit regelmässig testen. Eine Informationssicherheitsrichtlinie verfassen (isdecisions.com).

3-D Secure aktivieren und Karten nach dem EMV-Standard verarbeiten (Worldline Schweiz). Server in der Schweiz hosten. Datums-, Adress- und Nummernformate einhalten, die den schweizerischen Standards entsprechen (EWM).

Auf organisatorischer Ebene eine IT-Richtlinie vorsehen, die firmeneigene Hardware, private Hardware, mobiles Arbeiten, nicht genehmigte Software, KI-Tools, Überwachung und Sanktionen abdeckt (weka.ch).

Ein Incident-Management-Verfahren mit der Pflicht zur sofortigen Meldung bei Geräteverlust oder Phishing-Versuchen schreiben (weka.ch). Lokale Zahlungsmittel wie TWINT und PostFinance effektiv integrieren und die Währungen CHF und EUR verwalten (EWM).