Ein internationaler Kreditkartenbetrug mit einem mutmaßlichen Schaden von rund 300 Millionen Euro wirft neue Fragen zur Verantwortung von Zahlungsdienstleistern auf. Recherchen des Bayerischen Rundfunks zeigen Verbindungen zwischen dem sogenannten Chargeback-Skandal, dem früheren Zahlungsdienstleister Wirecard und der Euro Payment Group (EPG), einer Tochtergesellschaft des Glücksspielkonzerns Merkur.
Besonders brisant: Interne Unterlagen des Kreditkartenunternehmens Visa sollen belegen, dass die EPG Zahlungen für Händler abwickelte, die sich einem Netzwerk mutmaßlicher Scheinfirmen und betrügerischer Internetangebote zuordnen lassen.
Visa beanstandete demnach bereits 2016 und 2017 auffällig hohe Rückbuchungsquoten. Es kam zu Strafzahlungen in Höhe von mehreren Hunderttausend Euro.
Der Merkur-Konzern bestätigt die damaligen Strafzahlungen und die Geschäftsbeziehungen zu einem Großteil der betreffenden Händler. Gleichzeitig bestreitet das Unternehmen, von einem betrügerischen Zweck der Zahlungen gewusst zu haben.
Damit steht eine grundsätzliche Frage im Raum: Wie konnte ein mutmaßlich internationales Betrugsnetzwerk über Jahre hinweg Kreditkartenzahlungen abwickeln, obwohl bereits früh erhebliche Auffälligkeiten bestanden?
Operation Chargeback: Mutmaßlich 300 Millionen Euro Schaden
Die sogenannte Operation Chargeback ist ein internationales Ermittlungsverfahren des Bundeskriminalamts und der Generalstaatsanwaltschaft Koblenz.
Im Mittelpunkt steht der Verdacht, dass ein international organisiertes Netzwerk zwischen 2016 und 2021 gestohlene oder missbräuchlich verwendete Kreditkartendaten für massenhafte Abbuchungen eingesetzt hat.
Nach den Ermittlungsannahmen sollen die Beteiligten auf diese Weise rund 300 Millionen Euro erlangt haben.
Anfang November 2025 kam es zu umfangreichen internationalen Maßnahmen. Ermittler durchsuchten 60 Objekte in neun Ländern, darunter Deutschland und die Vereinigten Staaten.
Insgesamt wurden 18 Haftbefehle vollstreckt.
Auch frühere Führungskräfte von Wirecard gerieten in den Fokus der Ermittlungen. Zwei ehemalige Wirecard-Manager sind nach dem vorliegenden Bericht angeklagt.
Die Vorwürfe gegen die Beschuldigten sind schwerwiegend. Für die Angeklagten gilt jedoch die Unschuldsvermutung, solange keine rechtskräftige Verurteilung vorliegt.
Mehr als 2.000 Fake-Webseiten und rund 19 Millionen angebliche Abonnements
Das mutmaßliche Betrugssystem soll auf einer Vielzahl professionell gestalteter Internetseiten aufgebaut gewesen sein.
Nach den Ermittlungsannahmen wurden Hunderte Scheinfirmen gegründet und mehr als 2.000 Internetseiten betrieben.
Ein Schwerpunkt lag auf vermeintlichen Angeboten aus dem Erotikbereich.
Über diese Internetseiten sollen rund 19 Millionen Abonnements abgerechnet worden sein.
Die entscheidende Besonderheit: Viele der angeblichen Kunden sollen die betreffenden Abonnements überhaupt nicht wirksam abgeschlossen haben.
Stattdessen sollen missbrauchte Kreditkartendaten verwendet worden sein, um Zahlungen auszulösen.
Für die Betroffenen konnten die Abbuchungen zunächst wie gewöhnliche Kreditkartentransaktionen erscheinen.
Erst bei einer Kontrolle der Abrechnung oder nach wiederholten Belastungen fiel möglicherweise auf, dass Zahlungen an unbekannte Unternehmen erfolgt waren.
Damit ein solches System funktioniert, benötigt es jedoch nicht nur Internetseiten und Kreditkartendaten.
Erforderlich sind auch Zahlungsdienstleister, Händlerkonten und technische Schnittstellen, über die die Abbuchungen tatsächlich verarbeitet werden.
Genau an dieser Stelle werden die Verbindungen zur Euro Payment Group besonders relevant.
Merkur-Tochter EPG: Welche Rolle spielte der Zahlungsdienstleister?
Die Euro Payment Group gehört zum Unternehmensumfeld des Glücksspielkonzerns Merkur.
Nach den Recherchen des Bayerischen Rundfunks war die EPG über die Wirecard Bank in die Zahlungsabwicklung für bestimmte Online-Händler eingebunden.
Dabei soll die EPG als sogenannter Payment Facilitator tätig gewesen sein.
Ein Payment Facilitator ermöglicht es Händlern, Kartenzahlungen über eine bestehende Zahlungsinfrastruktur abzuwickeln.
Solche Geschäftsmodelle sind grundsätzlich legal und im internationalen Zahlungsverkehr verbreitet.
Sie können jedoch besondere Anforderungen an die Prüfung der angeschlossenen Händler stellen.
Denn wenn zahlreiche Händler über einen Zahlungsdienstleister abgewickelt werden, ist entscheidend, ob deren Identität, Geschäftstätigkeit und Zahlungsströme ausreichend kontrolliert werden.
Nach den BR-Recherchen wickelte die EPG Zahlungen für Unternehmen ab, die mit dem mutmaßlichen Chargeback-Netzwerk in Verbindung gebracht werden.
Das allein beweist allerdings nicht, dass die EPG oder ihre Verantwortlichen von möglichen Straftaten wussten oder daran beteiligt waren.
Interne Visa-Dokumente: Rund 30 Händler im Fokus
Eine zentrale Grundlage der BR-Recherche bilden interne Unterlagen des Kreditkartenunternehmens Visa.
In einer Tabelle sollen rund 30 Unternehmen als Händler aufgeführt sein, die dem EPG-Portfolio zugeordnet waren.
Ein erheblicher Teil dieser Gesellschaften war demnach im britischen Consett registriert.
Im Zusammenhang mit dem Wirecard-Komplex sind solche sogenannten Consett-Unternehmen bereits als mutmaßliche Briefkasten- und Scheinfirmen bekannt geworden.
Die Recherchen sollen zudem ergeben haben, dass sich bestimmte Händlerkennungen weiteren Gesellschaften zuordnen lassen, über die mutmaßlich betrügerische Abonnements abgerechnet wurden.
Das wirft Fragen zur tatsächlichen Geschäftstätigkeit der Händler auf.
Wurden die Internetangebote und die angeblichen Abonnements vor Aufnahme der Geschäftsbeziehungen geprüft?
Welche Unterlagen mussten die Händler vorlegen?
Wurden die wirtschaftlich Berechtigten festgestellt?
Und wie wurde kontrolliert, ob die abgerechneten Leistungen tatsächlich erbracht wurden?
Diese Fragen betreffen nicht nur den konkreten Fall.
Sie sind für die gesamte Zahlungsdienstleistungsbranche relevant.
Geldflüsse über Zypern und Großbritannien
Nach den vorliegenden Recherchen sollen Zahlungen aus dem betreffenden Netzwerk schließlich bei weiteren Gesellschaften gelandet sein, die überwiegend in Zypern oder Großbritannien registriert waren.
Diese Unternehmen verfügten demnach über Konten bei der Wirecard Bank.
Die Ermittlungsbehörden ordnen bestimmte Zahlungsempfänger dem inzwischen verstorbenen Ray Akhavan zu.
Akhavan galt als eine wichtige Figur im internationalen Geschäft mit Online-Erotikangeboten und wird in den Ermittlungen als Schlüsselfigur des mutmaßlichen Chargeback-Netzwerks beschrieben.
Er starb 2024 in Los Angeles.
Für die Aufarbeitung ist insbesondere entscheidend, wie die einzelnen Gesellschaften miteinander verbunden waren und wer die tatsächliche Kontrolle über die Zahlungseingänge hatte.
Komplexe Unternehmensstrukturen und grenzüberschreitende Zahlungswege können Ermittlungen erheblich erschweren.
Sie sind allerdings für sich genommen noch kein Beweis für eine Straftat.
Visa soll bereits 2016 und 2017 Alarm geschlagen haben
Besonders kritisch erscheinen die Hinweise auf frühe Warnsignale.
Nach den vom Bayerischen Rundfunk ausgewerteten Unterlagen beanstandete Visa bereits in den Jahren 2016 und 2017 wiederholt hohe Rückbuchungsquoten bei Händlern aus dem EPG-Portfolio.
Eine solche Rückbuchung wird als Chargeback bezeichnet.
Dabei wird eine Kreditkartenzahlung unter bestimmten Voraussetzungen beanstandet und über das Kartensystem rückabgewickelt.
Hohe Chargeback-Raten können verschiedene Ursachen haben.
Dazu gehören beispielsweise unklare Abonnementbedingungen, mangelhafte Leistungen, Streitigkeiten über Zahlungen oder nicht autorisierte Transaktionen.
Wenn Rückbuchungen jedoch gehäuft auftreten, können sie ein erhebliches Risikosignal darstellen.
Nach den BR-Recherchen bewertete Visa die damaligen Auffälligkeiten als außergewöhnlich schwerwiegend.
Ein Visa-Mitarbeiter aus dem Risikomanagement soll im Mai 2017 eine Umstrukturierung des betreffenden Händlerportfolios verlangt haben.
In einer internen Darstellung wurde die EPG demnach als besonders problematischer Chargeback-Fall in Europa eingeordnet.
Strafzahlungen in Höhe von mehreren Hunderttausend Euro
Die Auffälligkeiten blieben offenbar nicht ohne finanzielle Folgen.
Nach den Recherchen wurden Strafzahlungen in Höhe von mehreren Hunderttausend Euro verhängt.
Der Merkur-Konzern bestätigte gegenüber dem Bayerischen Rundfunk, dass solche Strafzahlungen tatsächlich angefallen seien.
Die dadurch entstandenen Ausfälle habe die EPG getragen.
Auch die Geschäftsbeziehungen zu einem Großteil der vom BR genannten Händler wurden demnach bestätigt.
Diese Aussagen sind für die Einordnung wesentlich.
Sie bestätigen, dass es die entsprechenden Geschäftsbeziehungen und wirtschaftlichen Konsequenzen tatsächlich gab.
Sie beantworten jedoch noch nicht die Frage, welche Informationen den Verantwortlichen über die Geschäftstätigkeit der angeschlossenen Händler vorlagen.
Ebenso bleibt offen, welche internen Prüfungen nach den Beanstandungen durchgeführt wurden.
Merkur bestreitet Kenntnis von betrügerischen Geschäften
Der Merkur-Konzern weist den Vorwurf zurück, von einem betrügerischen Zweck der abgewickelten Zahlungen gewusst zu haben.
Nach der gegenüber dem Bayerischen Rundfunk abgegebenen Stellungnahme hatte das Unternehmen zu keinem Zeitpunkt entsprechende Kenntnis.
Zudem erklärte der Konzern, dass die Kartenabwicklung für Online-Händler im Frühjahr 2017 eingestellt worden sei.
Diese Stellungnahme muss bei einer fairen Bewertung ausdrücklich berücksichtigt werden.
Aus der Abwicklung von Zahlungen für später verdächtige Händler lässt sich nicht automatisch ableiten, dass ein Zahlungsdienstleister vorsätzlich an einem Betrug beteiligt war.
Eine strafrechtliche Verantwortlichkeit würde konkrete Feststellungen zu den Handlungen und zum Wissen der jeweiligen Verantwortlichen voraussetzen.
Gleichzeitig bleibt aus Verbraucherschutzsicht die Frage berechtigt, ob die bestehenden Kontrollmechanismen ausreichten und wie auf auffällige Rückbuchungsquoten reagiert wurde.
Warum wurde die EPG nicht Gegenstand deutscher Ermittlungen?
Eine weitere Besonderheit betrifft die internationale Zuständigkeit.
Nach den Angaben im BR-Bericht wurde die betreffende Zahlungsabwicklung über eine Tochtergesellschaft der EPG auf Malta betrieben.
Die Generalstaatsanwaltschaft Koblenz erklärte demnach, dass die deutschen Ermittler in diesem Fall deshalb nicht tätig geworden seien.
Daraus lässt sich jedoch nicht ableiten, dass das Verhalten der EPG umfassend untersucht und als rechtmäßig bewertet wurde.
Ebenso wenig belegt die fehlende Einbeziehung in das konkrete deutsche Verfahren eine strafrechtliche Verantwortlichkeit.
Die Frage nach einer möglichen aufsichtsrechtlichen oder strafrechtlichen Überprüfung durch andere zuständige Behörden bleibt davon zu unterscheiden.
Gerade bei internationalen Zahlungsstrukturen ist die Zuständigkeitsverteilung zwischen verschiedenen Staaten häufig komplex.
Welche Verantwortung tragen Zahlungsdienstleister?
Der Fall berührt eine grundsätzliche Schwachstelle des digitalen Zahlungsverkehrs.
Verbraucher nehmen bei einer Kreditkartenzahlung häufig nur den Namen eines Online-Angebots wahr.
Im Hintergrund können jedoch mehrere Unternehmen beteiligt sein.
Dazu gehören der Händler, ein technischer Zahlungsabwickler, ein Payment Facilitator, eine Händlerbank und die beteiligten Kartensysteme.
Jede dieser Stellen übernimmt unterschiedliche Aufgaben.
Für den Schutz vor missbräuchlichen Transaktionen sind insbesondere die Identifizierung der Händler, die Überwachung auffälliger Zahlungsvorgänge und der Umgang mit Beschwerden wichtig.
Welche konkreten Prüfpflichten bestehen, richtet sich nach dem jeweiligen rechtlichen Rahmen, den Vertragsbeziehungen und der Rolle des beteiligten Unternehmens.
Eine automatische Haftung aller beteiligten Zahlungsdienstleister für jeden Betrugsfall gibt es nicht.
Wenn jedoch über längere Zeit ungewöhnlich viele Zahlungen beanstandet werden, stellt sich die Frage, ob bestehende Risikokontrollen angemessen funktioniert haben.
Was bedeutet der Skandal für betroffene Kreditkartenkunden?
Für Verbraucher ist entscheidend, ob ihre Kreditkartendaten ohne wirksame Zustimmung verwendet wurden.
Wer auf einer Kreditkartenabrechnung unbekannte Zahlungen entdeckt, sollte diese möglichst umgehend gegenüber dem kartenausgebenden Institut beanstanden.
Bei nicht autorisierten Zahlungsvorgängen können gesetzliche Erstattungsansprüche bestehen.
Dabei kommt es auf die konkreten Umstände an, insbesondere auf die Autorisierung der Zahlung und mögliche gesetzliche Ausnahmen.
Betroffene sollten ihre Kreditkartenabrechnungen sorgfältig prüfen und auffällige Buchungen dokumentieren.
Auch wiederkehrende kleine Beträge verdienen Aufmerksamkeit.
Gerade bei angeblichen Abonnements können einzelne Abbuchungen zunächst unauffällig erscheinen.
Wer einen Missbrauch vermutet, sollte außerdem prüfen lassen, ob die Karte gesperrt und ersetzt werden muss.
Sind Rückforderungen auch Jahre später noch möglich?
Die mutmaßlichen Taten im Chargeback-Komplex betreffen nach den Ermittlungsannahmen den Zeitraum von 2016 bis 2021.
Für Verbraucher stellt sich deshalb die Frage, ob heute noch Ansprüche geltend gemacht werden können.
Eine pauschale Antwort ist nicht möglich.
Entscheidend sind unter anderem die Art des Anspruchs, der Zeitpunkt der Belastung, die Kenntnis des Betroffenen und die jeweils geltenden Fristen.
Bei nicht autorisierten Zahlungsvorgängen bestehen besondere gesetzliche Anzeige- und Ausschlussregelungen.
Daneben können im Einzelfall andere zivilrechtliche Ansprüche in Betracht kommen.
Bei lange zurückliegenden Abbuchungen können jedoch erhebliche rechtliche Hindernisse bestehen.
Betroffene sollten deshalb nicht davon ausgehen, dass sämtliche früheren Kreditkartenbelastungen automatisch erstattungsfähig sind.
Eine individuelle Prüfung kann insbesondere bei größeren Schäden sinnvoll sein.
Die offenen Fragen an Merkur und die Euro Payment Group
Aus Sicht von Verbraucherschutzforum.berlin bleiben mehrere Fragen von erheblichem öffentlichem Interesse.
Wie viele Händler aus dem EPG-Portfolio waren von den damals beanstandeten Chargeback-Raten betroffen?
Welche konkreten Prüfungen wurden vor der Aufnahme dieser Händler durchgeführt?
Wurden die wirtschaftlich Berechtigten der betreffenden Gesellschaften identifiziert?
Welche internen Warnmeldungen lagen zwischen 2016 und 2017 vor?
Wie reagierte die EPG auf die Beanstandungen von Visa?
Welche Maßnahmen wurden ergriffen, um weitere problematische Zahlungen zu verhindern?
Wann und aus welchen Gründen wurde das Kartenprocessing für Online-Händler im Frühjahr 2017 beendet?
Wurden die Vorgänge von unabhängigen Prüfern oder zuständigen Aufsichtsbehörden untersucht?
Und welche Konsequenzen hat der Merkur-Konzern aus den damaligen Vorgängen für seine heutigen Kontrollsysteme gezogen?
Eine nachvollziehbare Beantwortung dieser Fragen könnte wesentlich dazu beitragen, die Rolle des Zahlungsdienstleisters besser zu verstehen.
Wirecard und die Lehren aus dem Chargeback-Komplex
Die Verbindung zum ehemaligen Zahlungsdienstleister Wirecard verleiht dem Fall zusätzliche Bedeutung.
Wirecard steht seit Jahren im Mittelpunkt umfangreicher strafrechtlicher und wirtschaftlicher Aufarbeitungen.
Der Chargeback-Komplex betrifft jedoch einen eigenständigen Ermittlungsgegenstand.
Es wäre deshalb falsch, sämtliche Vorgänge ohne weitere Prüfung gleichzusetzen.
Die aktuellen Recherchen zeigen vielmehr, wie wichtig die Kontrolle von Zahlungsströmen, Händlerbeziehungen und auffälligen Transaktionsmustern ist.
Ein technisch funktionierendes Zahlungssystem kann auch dann erhebliche Risiken bergen, wenn die tatsächliche Geschäftstätigkeit angeschlossener Händler nicht ausreichend transparent ist.
Für Verbraucher sind solche Strukturen oft kaum erkennbar.
Umso wichtiger ist es, dass Zahlungsdienstleister und zuständige Kontrollinstanzen ihre jeweiligen Aufgaben zuverlässig erfüllen.
