Three states require the gun-shop card code and twenty ban it. In neither does it see the purchase
Drei Staaten schreiben den Waffenhändler-Code vor, zwanzig verbieten ihn. Den Einkauf sieht er in keinem
Since 2022 there has been a four-digit card code for shops that sell guns: merchant category code 5723. Three US states now order the companies that sign up merchants to assign it. Twenty, by the count of the firearms industry’s own trade association, forbid them to. In July 2026 the House of Representatives voted to forbid it everywhere. Both camps argue as if the code were a window onto who buys what. The documents of the side that wanted it say otherwise. The code describes the shop, not the purchase; it is chosen from the shop’s own statement of what it mostly sells; and a retailer that sells guns as one department among many does not get it. The law that requires it and the law that bans it regulate the same small, self-declared group of specialist dealers. Neither of them requires anyone to count what the code has done.
What a merchant category code is, and what it is not
Every card payment carries a short label describing the business that accepted it. The label is a merchant category code, a four-digit number from a list kept under an international standard, ISO 18245. It is not attached to the goods. It is attached to the merchant’s account with its acquirer, the bank or processor that signs the merchant up for card acceptance and settles its payments. The bank that issued the card receives the code with the transaction, together with the amount and the merchant’s name. It does not receive a receipt.
Which code a merchant receives is set by the card networks’ rules, applied by the acquirer. Visa’s Merchant Data Standards Manual, in its October 2026 edition, states the rule plainly: a merchant that “has more than one line of business and may qualify for more than one MCC” must either use the code that describes “the business with the highest sales volume” for all its Visa sales, or use different codes for each line of business. The second option is permitted, not required. In practice, a merchant is classified by what it mostly sells, unless it chooses to split itself.
Until September 2022 there was no code for gun shops. Firearms retailers sat in broader categories such as sporting goods or general merchandise. On 9 September 2022 the body that maintains the list approved a new one, 5723, for firearms and ammunition sellers. New York City’s mayor issued a press release three days later welcoming the vote. The California statute that later made the code compulsory refers to it by the same date: the code “established by the International Organization for Standardization on September 9, 2022”.
The networks agreed, then paused, then complied where told to
The major card networks initially announced they would introduce the code. In March 2023 they stopped. Bloomberg reported on 9 March 2023 that Visa and Mastercard had paused work on it,. The pause did not last everywhere. According to Payments Dive, network executives told members of Congress in December 2023 that they would comply with California’s law. When USA Today surveyed the state of play in July 2024, Visa and Mastercard had told a Tennessee newspaper that they were not using the code in Tennessee, only where a law requires it.
That position — the code exists in the rulebook, and is used only where a statute demands it — is now the operating reality. Bank of America’s help page for merchants, dated 17 December 2025, puts it in one line: the code “should only be used in those states where it’s legally required”, and as of 1 May 2025 that meant California, Colorado and New York.
Three states require it
California was first. Assembly Bill 1587, signed on 26 September 2023 as Chapter 247 of the Statutes of 2023, adds a new division to the Financial Code. Card networks had to make the code available to acquirers by 1 July 2024. From 1 May 2025, acquirers “shall assign” it to every firearms merchant. Enforcement belongs exclusively to the Attorney General, who must give thirty days’ notice and let the business cure the violation before suing; the penalty is $10,000 per violation.
The definition of a firearms merchant is where the law’s reach is decided. It is a business licensed in California as a firearms dealer or ammunition vendor “for which the highest sales value is, or is expected to be, from the combined sale in California” of firearms, firearm accessories and ammunition — “as stated by the business to its merchant acquirer in the ordinary course of business”. The test is the networks’ own rule, restated as statute, and the input is the merchant’s own declaration.
Colorado followed with Senate Bill 24-066, signed on 1 May 2024 and in force from 7 August 2024: networks must make the code available, processors must assign it to the firearms merchants they serve, the Attorney General enforces, with a thirty-day cure and up to $10,000 per violation. New York added section 529-a to its General Business Law, signed by the governor on 9 October 2024 according to Payments Dive. Networks had to offer the code by 1 November 2024, and acquirers must assign it from 1 May 2025 to every licensed dealer “for which the highest sales value is, or is expected to be, from the combined sale in New York of firearms”, accessories and ammunition, again as reported to the acquirer. The structure is California’s, almost word for word.
Twenty states ban it
The opposite movement started earlier and is larger. The National Shooting Sports Foundation, the industry’s trade association, lists twenty states with what it calls protective laws in a factsheet updated on 15 July 2026: Alabama, Arkansas, Florida, Georgia, Iowa, Idaho, Indiana, Kentucky, Louisiana, Mississippi, Montana, North Dakota, New Hampshire, Ohio, South Dakota, Tennessee, Texas, Utah, West Virginia and Wyoming. The count comes from an organisation that campaigned for every one of those laws. That does not make it wrong, but it is the only tally on offer; no public body publishes one. USA Today, citing the same association, counted sixteen in July 2024.
The texts vary but share a pattern. Kentucky’s, now section 237.150 of the Kentucky Revised Statutes, was created by the 2024 Acts, chapter 14, effective 15 July 2024. A payment card network “shall not require or incentivize the use of a merchant category code that distinguishes a firearms retailer” from other retailers, and an acquirer or its agent “shall not assign a firearms retailer any merchant category code that distinguishes” it — the statute names 5723 explicitly. The provision quoted contains no penalty, no enforcing agency and no private right of action.
Florida’s version, enacted by Senate Bill 214 and in force since 1 July 2023, amends section 790.335 of the Florida Statutes. It bars settlement entities and acquirers from assigning a code that classifies a seller of firearms or ammunition separately, and states that such a merchant “may be assigned or may use a merchant category code for general merchandise retailers” or sporting goods retailers. The Florida Department of Agriculture and Consumer Services may investigate and impose administrative fines. The same section makes knowingly keeping a registry of privately owned firearms a third-degree felony — the concern the code ban was drafted to serve.
The House voted to ban it everywhere
The federal bill is H.R. 1181, the Protecting Privacy in Purchases Act. The Financial Services Committee ordered it reported 29 to 23 on 17 December 2025. On 14 July 2026 the House passed it 221 to 201, after rejecting a Democratic motion to recommit 208 to 217. It was referred to the Senate Banking Committee the next day; the public record lists no further action. A companion bill in the Senate, S. 1715, was introduced on 12 May 2025 by Senator Hagerty with sixteen co-sponsors.
The reported House text goes further than most state bans. It forbids any code used only or mainly for firearms retailers, and any code that identifies a retailer as selling firearms, ammunition, accessories or components. It preempts “any” state or local law regulating such codes — which would void California’s, Colorado’s and New York’s statutes. The White House said on 14 July 2026 that the administration “strongly supports” the bill, on the ground that the code lets card companies track gun owners and exposes firearms retailers to debanking and higher processing fees. That last claim is the administration’s; neither the bill nor its report, in the parts read for this piece, supplies figures for either. Debanking is a theme of current federal policy; we examined how far the ban on examiners citing reputation risk actually reaches.
The case for the code, at its strongest
The argument for the code is not weak, and its proponents made it in the same legislative record that later documents its limits. The California author described the bill as “providing financial entities with a tool that can help identify suspicious behavior”. Banks already watch card transactions for patterns that suggest fraud, money laundering or trafficking, and the merchant category is one of the few structured fields they have for every payment. A cardholder who spends heavily, over a short period, at several shops that do nothing but sell guns and ammunition presents a pattern a bank can see only if the shops are labelled as such. Under the old codes, those purchases looked like spending at a sporting goods shop.
The advocates’ favourite example, repeated by USA Today, is the 2012 Aurora shooting, whose perpetrator reportedly spent $11,000 on weapons and equipment over six weeks. The point is not that a code would certainly have stopped it. It is that a bank has no means even to consider such a pattern when the transactions are indistinguishable from purchases of tents. The code adds no new data collection: the merchant category already travels with every payment. It only makes one existing field more precise.
Against the fear of a registry, the supporters can point out, accurately, that the code carries no item, no serial number and no product description. A transaction coded 5723 tells the issuer that the cardholder spent a sum at a gun shop. It does not say on what.
The supporters’ own record says how little it sees
The difficulty is that the supporters’ own legislative record says how little the code can see, in terms an opponent could hardly improve on. The California Senate Judiciary Committee’s analysis of AB 1587, prepared for its hearing on 11 July 2023, notes that “the firearms MCC does not reveal what items are being purchased, only the nature of the merchant making the sale”. It calls it “a less precise tool for identifying firearms transactions than those already in place”. And it states the limitation that decides the whole question: “a merchant who sells firearms as one component of a larger business, such as Wal-Mart, likely would not be assigned the firearms MCC”.
The analysis continues that the code could be easily evaded by going to such a store or paying cash, and that it “is unlikely to provide the State with any information about gun purchases”. But on the question of what the code captures, the record of the state that mandated it and the argument of those who oppose it point in the same direction.
Combine that with the definition. A business is a firearms merchant if firearms, accessories and ammunition together are its largest source of sales, as the business itself tells its acquirer. A large sporting goods chain that sells guns at one counter is not. A general retailer with a gun cabinet is not. A specialist dealer whose largest revenue comes from fishing gear and clothing is not. Visa’s rule permits such a merchant to carry a separate code for its firearms line; nothing in California’s or New York’s statute requires it to. The mandate captures the dealers that most clearly are gun shops — and only those.
The ban hides the same dealers in the category where the others already are
Now read the ban laws against that background. Florida permits a gun seller to be coded as a general merchandise or sporting goods retailer. The federal bill’s title says it is meant to stop codes that “distinguish a firearms retailer from general-merchandise retailer or sporting-goods retailer”. That is exactly where the large retailers selling guns are already coded, under the networks’ highest-sales-volume rule. The ban does not create concealment. It extends to specialist dealers a concealment that mixed retailers have always had.
So the two sets of laws are mirror images over the same narrow group. In the three mandate states, a specialist dealer carries 5723 and a department store with a gun counter does not. In the twenty ban states, neither does. The purchase that both sides talk about — a rifle, a box of ammunition — is equally invisible at the department store in all twenty-three states. The surveillance that one side fears and the other wants exists, in its fullest form, only as a label on a specialist’s account.
Who has to sort it out
The rules land on the acquirer, the party that assigns codes — and in many cases on an intermediary acting for it. The layer of sales agents and processors that signs up merchants on behalf of acquirers is registered with the networks but not published, so there is no public way to see who classified a given shop.
Bank of America’s merchant guidance shows what the split requires in practice. Merchants must report every state in which they operate a permanent or temporary retail location. A gun show booth may need its own merchant location with a different code: inside California, Colorado or New York it may need 5723; elsewhere, where several states prohibit the code, it may need a code other than 5723. For online sellers, the requirement “potentially” applies where most firearm sales go to buyers in the three mandate states, even if the seller is not located there. The same merchant can thus be a gun shop in one state and a sporting goods store in the next, and whether a remote seller is one or the other is a matter for evaluation, not a published rule.
The federal bill would remove this patchwork by preemption, in one direction. It defines a firearms retailer as a person, entity or retail location “physically located in the United States”.
Nobody is required to count anything
The mandate statutes in California, Colorado and New York set deadlines, penalties and a cure procedure. None of the texts read for this piece obliges anyone — network, acquirer, issuer or state agency — to report how many merchants carry the code, how many transactions it labels, or whether any bank has used it to file a report on suspicious activity. A search for public evidence of the code’s use since May 2025 turned up commentary and vendor blog posts, not data.
The ban statutes do not count either. Kentucky’s provision has no enforcement clause at all. The only measurement duty found in any of the texts sits in the federal Senate bill, S. 1715, which would require the Attorney General to report annually to Congress on investigations and the law’s effectiveness — that is, on enforcing the ban, not on what the code did before it.
The result is a rule that has been fought over in more than twenty legislatures and on the floor of the House, and whose effect nobody is in a position to state. The supporters cannot show a case it helped; the opponents cannot show a dealer it debanked. The single party that could count the merchants carrying 5723 is the networks themselves, which see every code on every transaction — the same pattern in which, in the recent US card settlement, the only count of who refuses premium cards goes to Visa.
How sure we are
Firmly held: the code identifies the merchant, not the item. California and New York assign it by the merchant’s largest source of sales, as declared by the merchant. California’s own Senate committee analysis states that a mixed retailer such as Walmart would likely not receive it. The House passed the federal ban 221 to 201 on 14 July 2026, and the Senate has not acted on it as far as the public record shows.
With reasonable confidence: three states mandate the code and about twenty ban it. The mandate count matches both a bank’s guidance and the trade association; the ban count is the trade association’s, and no public body publishes one.
Tentatively: that the code has had no measurable effect on detection. The absence of public data is consistent with that, but equally with banks using it quietly and saying nothing.
What this does not tell you
First, it does not tell you whether a merchant-level signal is useless. A coarse signal combined with amount, frequency and the cardholder’s other behaviour may still help a bank’s monitoring in a way no public record would show. The argument here is about the gap between what the laws claim and what they mandate, not about the value of transaction monitoring.
Second, it does not tell you how many of the specialist dealers in the mandate states actually carry 5723 today. Compliance with California’s and New York’s laws is enforced only after a complaint and a thirty-day cure; whether the Attorneys General have issued any notices was not found.
Third, it does not settle the privacy question. A label on a specialist dealer’s transactions is information about the cardholder. Whether it is too much, or too little to matter, depends on how issuers store and use it, and none of the laws on either side regulates that.
What the case says about payments regulation
A merchant category code was built to sort payments for commercial purposes — the California committee analysis names the sorting of card rewards as one. When the state reaches for it as an instrument of policy, it inherits the code’s design rather than the purpose it is given. That design is coarse by construction. It classifies the account, not the transaction; it is set from the merchant’s own description; it assumes one dominant line of business. Every argument for and against 5723 is really an argument about a finer instrument that the code is not.
The broader pattern is familiar from other parts of the payments system. A standard field, set privately and for commercial reasons, becomes the hook for public rules because it already exists on every transaction. The rules then specify who must fill the field, never who must report what it shows. The obligation falls on whoever runs the infrastructure; the measurement falls to nobody, or to the network that sees everything and publishes nothing. When legislatures on both sides regulate a label instead of the conduct they care about, the label becomes the battlefield — and the conduct remains exactly as visible, or as invisible, as it was before.
Seit 2022 gibt es für Waffengeschäfte einen eigenen vierstelligen Kartencode: den Händlerkategoriecode 5723. Drei US-Bundesstaaten verpflichten die Unternehmen, die Händler für die Kartenannahme unter Vertrag nehmen, ihn zu vergeben. Zwanzig verbieten es ihnen – so jedenfalls die Zählung des Branchenverbands der Waffenindustrie. Im Juli 2026 hat das Repräsentantenhaus beschlossen, den Code landesweit zu verbieten. Beide Lager reden, als sei der Code ein Fenster, durch das man sieht, wer was kauft. Die Unterlagen der Seite, die ihn wollte, sagen etwas anderes. Der Code beschreibt das Geschäft, nicht den Einkauf. Er richtet sich nach der eigenen Angabe des Händlers, womit er den größten Umsatz macht. Und wer Waffen als eine Abteilung unter vielen verkauft, bekommt ihn nicht. Das Gesetz, das ihn vorschreibt, und das Gesetz, das ihn verbietet, regeln dieselbe kleine, selbst erklärte Gruppe von Fachhändlern. Keines von beiden verlangt, dass irgendjemand zählt, was der Code bewirkt hat.
Was ein Händlerkategoriecode ist – und was nicht
Jede Kartenzahlung trägt eine kurze Kennung, die das annehmende Geschäft beschreibt. Diese Kennung ist der Händlerkategoriecode, eine vierstellige Zahl aus einer Liste, die nach der internationalen Norm ISO 18245 geführt wird. Sie hängt nicht an der Ware. Sie hängt am Vertrag des Händlers mit seinem Acquirer, also der Bank oder dem Abwickler, der ihn für die Kartenannahme unter Vertrag nimmt und seine Zahlungen gutschreibt. Die Bank, die die Karte ausgegeben hat, erhält den Code mit der Transaktion, zusammen mit Betrag und Händlername. Einen Kassenbon erhält sie nicht.
Welchen Code ein Händler bekommt, bestimmen die Regelwerke der Kartennetzwerke, angewandt vom Acquirer. Visas Merchant Data Standards Manual, Ausgabe Oktober 2026, sagt es deutlich: Ein Händler, der mehr als eine Geschäftssparte hat und für mehr als einen Code in Frage kommt, muss entweder für alle Visa-Umsätze den Code verwenden, der „das Geschäft mit dem höchsten Umsatzvolumen“ beschreibt, oder für jede Sparte einen eigenen Code. Die zweite Möglichkeit ist erlaubt, nicht vorgeschrieben. Praktisch heißt das: Ein Händler wird nach dem eingeordnet, was er überwiegend verkauft, es sei denn, er teilt sich selbst auf.
Bis September 2022 gab es keinen Code für Waffengeschäfte. Sie liefen unter breiteren Kategorien wie Sportartikel oder Gemischtwaren. Am 9. September 2022 genehmigte das zuständige Normungsgremium einen neuen Code, 5723, für Händler von Schusswaffen und Munition. Der Bürgermeister von New York City begrüßte die Entscheidung drei Tage später in einer Pressemitteilung. Das kalifornische Gesetz, das den Code später zur Pflicht machte, nennt dasselbe Datum: der Code, den die Internationale Organisation für Normung „am 9. September 2022“ eingerichtet habe.
Die Netzwerke sagten zu, hielten inne und folgten dann dem Gesetz
Die großen Kartennetzwerke kündigten zunächst an, den Code einzuführen. Im März 2023 hielten sie inne. Bloomberg berichtete am 9. März 2023, Visa und Mastercard hätten die Arbeit daran ausgesetzt. Ganz verschwand der Code damit nicht. Nach einem Bericht von Payments Dive erklärten Vertreter der Netzwerke im Dezember 2023 gegenüber Kongressabgeordneten, sie würden das kalifornische Gesetz befolgen. Als USA Today im Juli 2024 den Stand zusammenfasste, hatten Visa und Mastercard einer Zeitung in Tennessee mitgeteilt, sie setzten den Code dort nicht ein – nur dort, wo ein Gesetz es verlange.
Genau so wird es heute gehandhabt: Der Code steht im Regelwerk, benutzt wird er nur, wo ein Gesetz es fordert. Die Hilfeseite der Bank of America für ihre Händler, datiert auf den 17. Dezember 2025, fasst das in einem Satz: Der Code solle „nur in den Staaten verwendet werden, in denen er gesetzlich vorgeschrieben ist“. Zum 1. Mai 2025 waren das Kalifornien, Colorado und New York. Das ist die Anleitung einer Bank an ihre eigenen Kunden, keine Rechtsnorm – aber die deutlichste öffentliche Beschreibung, wie ein Acquirer mit der Spaltung tatsächlich umgeht.
Drei Staaten schreiben ihn vor
Kalifornien war der erste. Das Gesetz AB 1587, unterzeichnet am 26. September 2023 als Kapitel 247 der Gesetzessammlung 2023, ergänzt das Finanzgesetzbuch um einen neuen Teil. Die Kartennetzwerke mussten den Code bis zum 1. Juli 2024 bereitstellen. Ab dem 1. Mai 2025 muss jeder Acquirer ihn jedem Waffenhändler zuweisen. Durchsetzen darf das allein der Generalstaatsanwalt; er muss vorher schriftlich mahnen und dem Unternehmen dreißig Tage zur Abhilfe lassen. Die Strafe beträgt 10.000 Dollar je Verstoß.
Über die Reichweite des Gesetzes entscheidet die Begriffsbestimmung. Waffenhändler ist ein in Kalifornien zugelassener Schusswaffen- oder Munitionshändler, dessen höchster Umsatzwert aus dem gemeinsamen Verkauf von Schusswaffen, Zubehör und Munition in Kalifornien stammt oder stammen soll – und zwar „wie vom Unternehmen gegenüber seinem Acquirer im gewöhnlichen Geschäftsgang angegeben“. Der Maßstab ist also die Regel der Netzwerke, in Gesetzesform gegossen, und die Grundlage ist die Selbstauskunft des Händlers.
Colorado folgte mit dem Gesetz SB 24-066, unterzeichnet am 1. Mai 2024 und in Kraft seit dem 7. August 2024: Die Netzwerke müssen den Code bereitstellen, die Abwickler ihn den Waffenhändlern zuweisen, die sie betreuen. Auch hier setzt der Generalstaatsanwalt durch, mit dreißig Tagen Abhilfefrist und bis zu 10.000 Dollar je Verstoß. New York fügte seinem Wirtschaftsgesetzbuch den Abschnitt 529-a hinzu, laut Payments Dive am 9. Oktober 2024 von der Gouverneurin unterzeichnet. Die Netzwerke mussten den Code bis zum 1. November 2024 anbieten; ab dem 1. Mai 2025 müssen die Acquirer ihn jedem zugelassenen Händler zuweisen, dessen höchster Umsatzwert aus dem Verkauf von Schusswaffen, Zubehör und Munition in New York stammt – wiederum nach Angabe gegenüber dem Acquirer. Der Aufbau ist der kalifornische, fast wörtlich.
Zwanzig Staaten verbieten ihn
Die Gegenbewegung begann früher und ist größer. Die National Shooting Sports Foundation, der Branchenverband der Waffenindustrie, nennt in einem am 15. Juli 2026 aktualisierten Merkblatt zwanzig Staaten mit „Schutzgesetzen“: Alabama, Arkansas, Florida, Georgia, Iowa, Idaho, Indiana, Kentucky, Louisiana, Mississippi, Montana, North Dakota, New Hampshire, Ohio, South Dakota, Tennessee, Texas, Utah, West Virginia und Wyoming. Die Zahl stammt von einer Organisation, die für jedes dieser Gesetze geworben hat. Das macht sie nicht falsch, aber es ist die einzige Zählung, die es gibt; keine Behörde veröffentlicht eine. USA Today kam, gestützt auf denselben Verband, im Juli 2024 auf sechzehn.
Die Texte unterscheiden sich, folgen aber einem Muster. Kentuckys Vorschrift, heute Abschnitt 237.150 der Kentucky Revised Statutes, geht auf Kapitel 14 der Gesetze von 2024 zurück und gilt seit dem 15. Juli 2024. Ein Kartennetzwerk darf die Verwendung eines Codes, der einen Waffenhändler von anderen Händlern unterscheidet, weder verlangen noch dazu anreizen; ein Acquirer oder sein Beauftragter darf einem Waffenhändler keinen solchen Code zuweisen – 5723 wird ausdrücklich genannt. Strafe, zuständige Behörde oder ein Klagerecht Privater enthält die Vorschrift nicht.
Floridas Fassung, eingeführt durch das Gesetz SB 214 und in Kraft seit dem 1. Juli 2023, ändert Abschnitt 790.335 der Florida Statutes. Sie verbietet Abwicklern und Acquirern, Verkäufer von Schusswaffen oder Munition gesondert einzuordnen, und bestimmt, ein solcher Händler „darf“ den Code für Gemischtwarenhändler oder für Sportartikelhändler erhalten oder verwenden. Ermitteln und Bußgelder verhängen darf das Landwirtschafts- und Verbraucherschutzministerium des Staates. Derselbe Abschnitt stellt das wissentliche Führen eines Registers privater Schusswaffen als Verbrechen dritten Grades unter Strafe – das ist die Sorge, der das Codeverbot dienen soll.
Das Repräsentantenhaus will ihn überall verbieten
Das Bundesgesetz heißt H.R. 1181, Protecting Privacy in Purchases Act. Der Finanzausschuss des Repräsentantenhauses billigte es am 17. Dezember 2025 mit 29 zu 23 Stimmen. Am 14. Juli 2026 verabschiedete das Haus es mit 221 zu 201 Stimmen, nachdem ein Rücküberweisungsantrag der Demokraten mit 208 zu 217 gescheitert war. Tags darauf ging es an den Bankenausschuss des Senats; weitere Schritte verzeichnet das öffentliche Register nicht. Ein Parallelentwurf im Senat, S. 1715, wurde am 12. Mai 2025 von Senator Hagerty mit sechzehn Mitunterzeichnern eingebracht.
Der Text des Repräsentantenhauses geht weiter als die meisten Landesgesetze. Er verbietet jeden Code, der ausschließlich oder überwiegend für Waffenhändler verwendet wird, und jeden Code, der einen Händler als Verkäufer von Schusswaffen, Munition, Zubehör oder Bauteilen kenntlich macht. Er verdrängt jedes Landes- oder Kommunalrecht, das solche Codes regelt – die Gesetze Kaliforniens, Colorados und New Yorks wären damit hinfällig. Das Weiße Haus erklärte am 14. Juli 2026, die Regierung unterstütze das Gesetz „nachdrücklich“: Der Code erlaube es Kartenunternehmen, Waffenbesitzer zu verfolgen, und setze Waffenhändler der Gefahr von Kontokündigungen und höheren Abwicklungsentgelten aus. Diese Behauptung ist die der Regierung; Zahlen dazu liefern weder der Gesetzestext noch die hier gelesenen Teile des Ausschussberichts. Kontokündigungen aus politischen Gründen sind ein Leitmotiv der derzeitigen Bundespolitik; wie weit das Verbot reicht, dass Prüfer sich auf Reputationsrisiken berufen, haben wir gesondert untersucht.
Was für den Code spricht, in seiner stärksten Form
Das Argument für den Code ist nicht schwach, und seine Befürworter haben es in denselben Gesetzgebungsunterlagen vorgetragen, die später seine Grenzen festhalten. Der kalifornische Initiator beschrieb das Gesetz als Mittel, Finanzinstituten „ein Werkzeug“ zu geben, „das helfen kann, verdächtiges Verhalten zu erkennen“. Banken beobachten Kartenzahlungen ohnehin auf Muster, die auf Betrug, Geldwäsche oder Schmuggel hindeuten, und die Händlerkategorie ist eines der wenigen strukturierten Felder, die sie zu jeder Zahlung haben. Wer in kurzer Zeit hohe Summen in mehreren Geschäften ausgibt, die nichts als Waffen und Munition verkaufen, zeigt ein Muster, das eine Bank nur sehen kann, wenn diese Geschäfte als solche gekennzeichnet sind. Unter den alten Codes sahen solche Käufe aus wie Einkäufe im Sportgeschäft.
Das liebste Beispiel der Befürworter, von USA Today wiedergegeben, ist der Anschlag von Aurora 2012, dessen Täter in sechs Wochen Berichten zufolge 11.000 Dollar für Waffen und Ausrüstung ausgab. Der Punkt ist nicht, dass ein Code ihn sicher aufgehalten hätte. Der Punkt ist, dass eine Bank ein solches Muster nicht einmal in Erwägung ziehen kann, wenn die Zahlungen von einem Zeltkauf nicht zu unterscheiden sind. Der Code erhebt keine neuen Daten: Die Händlerkategorie reist ohnehin mit jeder Zahlung. Er macht nur ein vorhandenes Feld genauer.
Der Sorge vor einem Register können die Befürworter zutreffend entgegenhalten, dass der Code keinen Artikel, keine Seriennummer und keine Warenbeschreibung enthält. Eine Zahlung mit dem Code 5723 sagt der Kartenbank, dass jemand in einem Waffengeschäft eine Summe ausgegeben hat. Wofür, sagt sie nicht.
Die eigenen Unterlagen der Befürworter sagen, wie wenig er sieht
Die Schwierigkeit: Die Gesetzgebungsunterlagen der Befürworter beschreiben selbst, wie wenig der Code sehen kann – in Worten, die ein Gegner kaum treffender wählen könnte. Die Analyse des Justizausschusses des kalifornischen Senats zu AB 1587, vorbereitet für die Anhörung am 11. Juli 2023, hält fest, der Waffencode zeige nicht, welche Artikel gekauft werden, „sondern nur die Art des Händlers, der verkauft“. Sie nennt ihn ein weniger genaues Werkzeug zur Erkennung von Waffenkäufen als die bereits vorhandenen. Und sie benennt die Grenze, an der die ganze Frage hängt: Ein Händler, der Schusswaffen als einen Teil eines größeren Geschäfts verkauft, „etwa Wal-Mart“, würde den Waffencode wahrscheinlich nicht erhalten.
Weiter heißt es dort, der Code lasse sich leicht umgehen, indem man in ein solches Geschäft geht oder bar bezahlt, und er werde dem Staat voraussichtlich keine Informationen über Waffenkäufe liefern. In der Frage, was der Code erfasst, weisen die Unterlagen des Staates, der ihn vorschrieb, und die Argumente seiner Gegner in dieselbe Richtung.
Zusammen mit der Begriffsbestimmung ergibt das ein klares Bild. Waffenhändler ist, wessen größte Umsatzquelle Schusswaffen, Zubehör und Munition zusammen sind – nach eigener Angabe gegenüber dem Acquirer. Eine große Sportartikelkette, die an einer Theke auch Gewehre verkauft, ist es nicht. Ein Gemischtwarenhändler mit Waffenvitrine ist es nicht. Ein Fachhändler, der mit Angelzeug und Bekleidung mehr umsetzt als mit Waffen, ist es nicht. Visas Regel erlaubt einem solchen Händler einen eigenen Code für die Waffensparte; weder das kalifornische noch das New Yorker Gesetz verlangt das. Die Pflicht erfasst die Händler, die am eindeutigsten Waffengeschäfte sind – und nur diese.
Das Verbot versteckt dieselben Händler dort, wo die anderen schon sind
Liest man vor diesem Hintergrund die Verbotsgesetze, verschiebt sich das Bild. Florida erlaubt, einen Waffenhändler als Gemischtwaren- oder Sportartikelhändler einzuordnen. Der Titel des Bundesgesetzes nennt als Zweck, Codes zu verhindern, die einen Waffenhändler von einem Gemischtwaren- oder Sportartikelhändler unterscheiden. Genau dort aber sind die großen Händler, die auch Waffen verkaufen, nach der Umsatzregel der Netzwerke ohnehin eingeordnet. Das Verbot schafft keine Verborgenheit. Es dehnt auf die Fachhändler eine Verborgenheit aus, die Mischsortimenter schon immer hatten.
Die beiden Gesetzesgruppen sind damit Spiegelbilder über derselben schmalen Gruppe. In den drei Pflichtstaaten trägt der Fachhändler 5723 und das Kaufhaus mit Waffentheke nicht. In den zwanzig Verbotsstaaten trägt ihn keiner von beiden. Der Kauf, über den beide Seiten reden – ein Gewehr, eine Schachtel Munition –, ist im Kaufhaus in allen dreiundzwanzig Staaten gleich unsichtbar. Die Überwachung, die die einen fürchten und die anderen wollen, gibt es in ihrer vollständigsten Form nur als Etikett auf dem Konto eines Fachhändlers.
Wer es sortieren muss
Die Regeln treffen den Acquirer, der die Codes vergibt – und oft einen Vermittler, der für ihn handelt. Die Schicht von Vertriebsagenten und Abwicklern, die Händler im Auftrag von Acquirern unter Vertrag nimmt, ist bei den Netzwerken registriert, aber nicht veröffentlicht. Öffentlich lässt sich also nicht nachvollziehen, wer ein bestimmtes Geschäft eingeordnet hat.
Die Händleranleitung der Bank of America zeigt, was die Spaltung praktisch verlangt. Händler müssen jeden Staat melden, in dem sie einen festen oder vorübergehenden Verkaufsort betreiben. Ein Stand auf einer Waffenmesse kann einen eigenen Händlerstandort mit anderem Code brauchen: in Kalifornien, Colorado oder New York womöglich 5723, anderswo, wo mehrere Staaten den Code verbieten, womöglich einen anderen. Für Onlinehändler gilt die Pflicht „möglicherweise“, wenn der Großteil der Waffenverkäufe an Käufer in den drei Pflichtstaaten geht, auch wenn der Händler dort nicht sitzt. Derselbe Händler kann also in einem Staat ein Waffengeschäft sein und im nächsten ein Sportgeschäft, und ob ein Versandhändler das eine oder das andere ist, ist eine Frage der Einzelprüfung, nicht einer veröffentlichten Regel.
Das Bundesgesetz würde diesen Flickenteppich durch Vorrang beseitigen, in eine Richtung. Es bestimmt als Waffenhändler eine Person, ein Unternehmen oder einen Verkaufsort, der sich physisch in den Vereinigten Staaten befindet.
Niemand muss etwas zählen
Die Pflichtgesetze Kaliforniens, Colorados und New Yorks setzen Fristen, Strafen und ein Abhilfeverfahren. Keiner der für diesen Beitrag gelesenen Texte verpflichtet irgendjemanden – Netzwerk, Acquirer, Kartenbank oder Behörde –, zu melden, wie viele Händler den Code tragen, wie viele Zahlungen er kennzeichnet oder ob eine Bank ihn je für eine Verdachtsmeldung genutzt hat. Eine Suche nach öffentlichen Belegen für seinen Einsatz seit Mai 2025 förderte Kommentare und Blogbeiträge von Anbietern zutage, keine Daten.
Die Verbotsgesetze zählen ebenso wenig. Kentuckys Vorschrift enthält überhaupt keine Durchsetzungsregel. Die einzige Messpflicht in den gelesenen Texten steht im Senatsentwurf S. 1715: Der Bundesjustizminister soll dem Kongress jährlich über Ermittlungen und die Wirksamkeit des Gesetzes berichten – also über die Durchsetzung des Verbots, nicht darüber, was der Code vorher bewirkt hat.
Das Ergebnis ist eine Regel, um die in mehr als zwanzig Parlamenten und im Plenum des Repräsentantenhauses gestritten wurde und deren Wirkung niemand angeben kann. Die Befürworter können keinen Fall zeigen, in dem sie geholfen hat; die Gegner keinen Händler, dem ihretwegen das Konto gekündigt wurde. Zählen könnten die Händler mit 5723 nur die Netzwerke selbst, die jeden Code auf jeder Zahlung sehen – dasselbe Muster wie im jüngsten US-Kartenvergleich, in dem die einzige Zählung, wer Premiumkarten ablehnt, an Visa geht.
Wie sicher wir sind
Fest vertreten: Der Code bezeichnet den Händler, nicht den Artikel. Kalifornien und New York vergeben ihn nach der größten Umsatzquelle des Händlers, wie der Händler sie selbst angibt. Die Analyse des kalifornischen Senatsausschusses hält fest, dass ein Mischsortimenter wie Walmart ihn wahrscheinlich nicht erhielte. Das Repräsentantenhaus hat das Bundesverbot am 14. Juli 2026 mit 221 zu 201 Stimmen beschlossen; der Senat hat nach öffentlicher Aktenlage nicht darüber befunden.
Mit vernünftiger Sicherheit: Drei Staaten schreiben den Code vor, rund zwanzig verbieten ihn. Die Zahl der Pflichtstaaten bestätigen sowohl die Anleitung einer Bank als auch der Branchenverband; die Zahl der Verbotsstaaten stammt allein vom Verband, eine amtliche Zählung gibt es nicht.
Vorsichtig: dass der Code keine messbare Wirkung auf die Erkennung verdächtiger Käufe hatte. Das Fehlen öffentlicher Daten passt dazu, aber ebenso dazu, dass Banken ihn still nutzen und nichts darüber sagen.
Was daraus nicht folgt
Erstens folgt daraus nicht, dass ein Signal auf Händlerebene nutzlos ist. Ein grobes Signal, verbunden mit Betrag, Häufigkeit und dem übrigen Verhalten des Karteninhabers, kann die Überwachung einer Bank verbessern, ohne dass es in einer öffentlichen Akte auftaucht. Es geht hier um die Lücke zwischen dem, was die Gesetze behaupten, und dem, was sie anordnen – nicht um den Wert der Zahlungsüberwachung.
Zweitens folgt daraus nicht, wie viele Fachhändler in den Pflichtstaaten heute tatsächlich 5723 tragen. Die Gesetze Kaliforniens und New Yorks werden erst nach einer Mahnung und dreißig Tagen Abhilfefrist durchgesetzt; ob die Generalstaatsanwälte je gemahnt haben, ließ sich nicht feststellen.
Drittens ist die Frage des Datenschutzes damit nicht entschieden. Ein Etikett auf den Zahlungen eines Fachhändlers ist eine Information über den Karteninhaber. Ob sie zu viel ist oder zu wenig, um ins Gewicht zu fallen, hängt davon ab, wie Kartenbanken sie speichern und nutzen – und das regelt keines der Gesetze, auf keiner Seite.
Was der Fall über die Regulierung des Zahlungsverkehrs lehrt
Ein Händlerkategoriecode wurde gebaut, um Zahlungen für geschäftliche Zwecke zu sortieren – die kalifornische Ausschussanalyse nennt die Zuordnung von Kartenprämien als einen davon. Greift der Staat nach ihm als Instrument der Politik, erbt er die Bauart des Codes, nicht den Zweck, den er ihm zuschreibt. Diese Bauart ist von Grund auf grob. Sie ordnet das Konto ein, nicht die Zahlung; sie stützt sich auf die Selbstbeschreibung des Händlers; sie unterstellt eine einzige vorherrschende Sparte. Jedes Argument für und gegen 5723 ist in Wahrheit ein Argument über ein feineres Instrument, das der Code nicht ist.
Das Muster kennt man aus anderen Teilen des Zahlungsverkehrs. Ein Standardfeld, privat und aus geschäftlichen Gründen festgelegt, wird zum Ansatzpunkt öffentlicher Regeln, weil es auf jeder Zahlung schon vorhanden ist. Die Regeln bestimmen dann, wer das Feld befüllen muss, nie aber, wer berichten muss, was es zeigt. Die Pflicht trifft den, der die Infrastruktur betreibt; die Messung trifft niemanden – oder das Netzwerk, das alles sieht und nichts veröffentlicht. Wenn Gesetzgeber auf beiden Seiten ein Etikett regeln statt des Verhaltens, um das es ihnen geht, wird das Etikett zum Schlachtfeld. Das Verhalten bleibt so sichtbar oder so unsichtbar, wie es vorher war.
