On 19 March 2026 Britain’s Financial Conduct Authority removed the £100 ceiling on contactless card payments. The ceiling had been the most visible rule in British retail payments for five years. When it went, nothing at the till changed, and nothing was meant to: the regulator itself had predicted that banks would keep the old limit. The reason they did is not inertia. It is a liability rule the reform deliberately left untouched — and it shows that the number on the rulebook was never the thing holding the limit in place.

What changed, and what did not

The legal instrument is short. The FCA Board made the Technical Standards (Strong Customer Authentication and Common and Secure Methods of Communication) (Amendment) Instrument 2025 on 18 December 2025, and it took effect on 19 March 2026, according to the FCA’s Handbook Notice 136. It rewrote Article 11 of the British version of the strong customer authentication standards, the rule that lets a card issuer skip the PIN or other second factor for a tap at a shop terminal. Until March that exemption came with two hard numbers: a single payment could not exceed £100, and once the card had made contactless payments worth £300 in total, or five in a row, the next one had to be authenticated. Both numbers are gone.

In their place is a risk-based test. An issuer may now process a contactless payment without strong authentication only if it has identified that payment as low risk, and it must run the transaction monitoring that Article 2 of the same standards already requires. The FCA did not set a fraud-rate threshold. Its guidance, summarised in Handbook Notice 136, tells issuers to watch their overall in-person contactless fraud rate and warns that a significant rise could indicate they are applying the exemption to payments it does not cover. Issuers may set their own limits, higher or lower, or none at all.

Two things were left exactly where they were. The first is liability. “We are not proposing any changes to liability provisions,” the FCA wrote in paragraph 3.78 of the notice. The second, by the regulator’s own forecast, was the limit customers would actually meet. “Based on industry feedback, we anticipate that most PSPs will continue to apply their existing limits in the short term,” the FCA wrote in paragraph 3.77. Three months earlier, when the consultation opened in September 2025, David Geale, the FCA’s executive director of payments and digital finance, had said the same thing in the press release: “we wouldn’t expect to see immediate changes to limits by firms.”

The forecast held. Press reports published around the commencement date — Crowdfund Insider on 20 March 2026, citing the banks’ own positions — listed Barclays, HSBC, Lloyds Banking Group, NatWest, Santander and Nationwide among the issuers keeping £100, with several saying they would keep the limit under review. The reports did not name a single large issuer that had raised it. That list comes from press coverage, not from a register; the FCA publishes no count of issuer limits.

A ceiling that was never the setting

To understand why removing the ceiling moved nothing, it helps to notice that the ceiling had rarely been the number in use. The FCA’s March 2025 engagement paper, which opened this review, records that contactless cards were introduced in Britain in 2007 and that before April 2020 the typical limit set by the industry was £30 — below the regulatory maximum at the time of €50, roughly £45. For most of contactless history, in other words, British issuers chose to stay under the legal ceiling, not at it.

The 2021 increase worked the same way. The FCA’s press release of 3 March 2021 announced that its rule changes would “allow for an increase in the single transaction contactless payment threshold from £45 to £100,” with the cumulative threshold rising from £130 to £300. The wording matters: the regulator permitted, and the industry then decided. The banks moved to £100 in October 2021, according to press reports, because they chose to.

So the regulatory number has always been an upper bound on a decision taken elsewhere. When the bound was tight, as it was in 2021, the industry pressed against it and the regulator lifted it. When the bound is loose, as it is now, the industry sits where it was. The question is what decides where they sit.

Who pays when a tap goes wrong

The answer is in the Payment Services Regulations 2017, the statutory instrument that governs British payment services, and specifically in regulations 76 and 77. Regulation 76 requires the payer’s provider to refund an unauthorised payment. Regulation 77 sets out how much of that loss the provider can pass back to the customer. Where a card is lost or stolen, the provider may make the payer liable “up to a maximum of £35.” Even that small amount is unavailable if the customer could not have detected the loss before the payment was made. The customer bears everything only if they acted fraudulently or, intentionally or with gross negligence, failed to keep the card and its security details safe.

For a contactless card the practical consequence is plain. A stolen card used at a till without a PIN is an unauthorised payment. Unless the bank can show fraud or gross negligence by its own customer — a high bar when no secret was ever needed to make the payment — the bank refunds the loss, less at most £35. Geale put it directly in September 2025: “People are still protected; even with contactless, firms will refund your money if your card is used fraudulently.”

That is the mechanism. The issuer chooses the limit, and the issuer pays for the fraud that the limit fails to stop. Decision and cost sit with the same party. Removing the rulebook number takes away a constraint the issuer was not pressing against, while the constraint it does face — its own loss account — is untouched. The FCA said as much in paragraph 3.92 of the notice: issuers “are also still financially incentivised to prevent contactless fraud given the liability provisions remain unchanged.” The same allocation logic runs through card payments generally; the liability shift between card-present and remote payments is another place where the party that can authenticate is the party that pays when it does not.

What the fraud figures say, and who publishes them

The fraud data for contactless payments in Britain come almost entirely from UK Finance, the banking industry’s trade association. UK Finance’s Annual Fraud Report 2026, published in June, puts contactless fraud at £46.8 million in 2025, an increase of 8 per cent on 2024. The FCA’s engagement paper, citing the same association’s earlier report, gives £41.5 million for 2023. Over the same period total unauthorised fraud, across all payment types, was £703.4 million in 2025 according to UK Finance, down 5 per cent from 2024. Contactless fraud is therefore a small share of unauthorised fraud — on these figures about one pound in fifteen — but it is one of the few lines that has grown in each of the last two years.

Measured against spending it is smaller still. UK Finance’s Annual Fraud Report 2025 estimated contactless fraud at about 1.3p per £100 spent, against about 6p for all unauthorised card fraud, figures the FCA repeated in its September 2025 press release. The association’s Half Year Fraud Report 2025 gave 1.2p per £100 for contactless against 6.9p for all card fraud, while recording that contactless fraud in the first six months of 2025 was “up 27 per cent on a year ago.”

Two cautions belong next to these numbers. The first is about the publisher. UK Finance represents the banks that bear the losses and that also lobbied, in their responses to the FCA, for a common industry limit. That gives the association an interest in the data being accurate — its members pay for errors — but it is still the only party measuring, and no one with an interest in a different number has produced one. The FCA collects its own fraud data by exemption through a return called REP017 and said in paragraph 3.110 of the notice that it will use it to monitor the new rule; this research found no published REP017 series for contactless.

The second caution is about what a low fraud rate means under a cap. A rate of roughly a penny per hundred pounds was measured on payments that were all £100 or less, made with cards that forced a PIN after £300 or five taps. It describes fraud inside the fence. It does not tell anyone what the rate would be on a £400 tap, because no such tap was allowed. The same structural problem appears in the transaction risk analysis exemption for remote payments, where the fraud rate that qualifies an issuer for the exemption is measured on a population of payments that mostly never use it. An issuer deciding whether to raise its limit has no data on the payments it would be newly exposing itself to, and the party with the loss and no data will usually wait.

The arithmetic of being first

There is a further reason for the banks to stay together, and the industry said it out loud. Several respondents to the consultation, the FCA recorded in paragraph 3.85, stressed “the importance of maintaining a common contactless limit on single transactions,” warning of “an increased risk of fragmentation, system complexity and confusion for both consumers and retailers.” Some, according to paragraph 3.86, called for an industry forum to set recommended, non-mandatory limits.

The economics behind that request can be stated cautiously. A stolen card is worth to a thief roughly what can be spent on it before it is blocked. If every issuer caps taps at £100, a stolen card from any bank is worth about the same. If one issuer raises its limit to £300 while the others hold, its cards become the most valuable ones to steal and to use, and the fraud that would have been spread across the market tends to concentrate on the issuer that moved first. That issuer bears the loss alone, under regulation 77, while any benefit in customer convenience is modest and shared with the wallets that already bypass the limit. This is an inference about incentives, not a measured effect; no source found in this research quantifies fraud migration between British issuers. But it explains why the industry asked for a shared number rather than freedom, and why a shared number reached informally is the likely result of a rule that formally abolished one.

The case for the reform

None of this makes the reform pointless, and the argument for it deserves its strongest form, which is not weak.

First, the cap had become arbitrary. The FCA’s engagement paper noted that “inflation has risen significantly since we last set the contactless limits in 2021.” A fixed nominal number erodes every year; a risk-based test does not.

Second, the cap already did not apply to a large part of contactless spending. Payments made with a phone or watch wallet authenticate the customer on the device, usually by fingerprint or face, so they count as strongly authenticated. The engagement paper said in paragraph 2.9 that wallets “can enable payment transactions to be made above the contactless payment limits without the need to enter a PIN.” A rule that bound plastic cards but not phones was drawing its line by device rather than by risk. The economics of the wallet itself — who is paid for wallet tokenisation and by whom — are a separate story, but the point here is simpler: the £100 limit had become a limit on one form factor.

Third, a risk-based exemption puts the decision where the information is. An issuer can see a card’s history, the merchant, the terminal, the time and the pattern of recent taps. A single national number cannot. The FCA’s paper modelled the idea on Article 18, the existing exemption for remote payments. If issuers with good fraud controls can safely allow larger taps, a rule that forbids them to do so imposes friction without buying safety.

Fourth, the comparison with other jurisdictions does not suggest that a cap is necessary. The FCA’s paper listed an industry-set limit of C$250 in Canada and no regulatory limit in the United States or Singapore, against the EU’s €50 single and €150 cumulative limits under Delegated Regulation 2018/389, which remain in force there.

And fifth, the FCA can fairly say that it achieved what it set out to achieve. It never claimed that limits would rise. Its stated aim was to let firms “tailor contactless payments to fit their customers’ needs,” in Geale’s words, and to rework a rule set whose authentication provisions the government had committed to revoking, according to the FCA’s engagement paper. A reform that removes a constraint and leaves behaviour unchanged has not failed if behaviour was already where the people bearing the cost wanted it.

All of that is correct, and it confirms the argument above rather than answering it. Each point explains why the cap was unnecessary; none explains why removing it should change anything. The cap was unnecessary because the liability rule was doing the work.

The public said no, and almost nobody uses the dial

The consultation produced an unusual pattern of response. The FCA’s September 2025 press release recorded nearly 1,300 responses to the earlier engagement paper. Handbook Notice 136 reports that 78 per cent of public respondents to that paper had supported keeping the status quo, and that for the formal consultation “the vast majority of public respondents (84%) were opposed.” There were 155 public and 19 corporate submissions to the consultation. The industry, by contrast, was generally supportive. Of two retail trade associations that responded, one supported the change on condition that issuers remained responsible for fraud prevention and reimbursement, and one opposed it.

Respondent counts are not a survey: people who write to a regulator select themselves, and objectors write more. But it is the only measure of consumer opinion the FCA published, and the regulator kept its core policy against it, changing three things: commencement was delayed by three months, and guidance was strengthened on vulnerable customers and on limits that customers set for themselves.

That last change is where the reform meets a hard number from the regulator itself. The FCA encourages issuers to let customers lower their limit or switch contactless off, and many already do. But in paragraph 3.102 of the notice the FCA recorded that “fewer than 1% of consumers who could change their personal limits actually do.” A customer-set limit protects the few who use it; as a way of matching limits to individual risk, it barely exists. In practice the issuer’s default is the limit, and the issuer’s default follows the issuer’s losses.

What the reform did move

If the number stayed, something else did move, and it is worth naming. Before March 2026, a British issuer that kept £100 could point to the rulebook: the limit was the regulator’s. After March, the same £100 is a commercial choice that the issuer must be able to justify under the Consumer Duty, the FCA’s outcomes-based standard for retail financial services, and under the requirement to identify each exempted payment as low risk. The responsibility moved from the regulator’s text to the firm’s risk model, and with it the explanation a firm owes if fraud rises.

The regulator also moved into a monitoring role it had not occupied before. Under a risk-based test the FCA has to judge whether each issuer’s low-risk classification is credible, using REP017 data that it has not published for this purpose. Its cost-benefit analysis of the change was not quantified; paragraph 3.106 of the notice says the FCA “acknowledged these potential risks and benefits within the CBA but did not quantify them.” The regulator is therefore supervising a new discretion without a published baseline against which outsiders could check it.

Confidence differs across these conclusions. Firmly established: the rule changed on 19 March 2026, the liability provisions did not, and the FCA predicted that most issuers would keep £100. With reasonable confidence: the largest British issuers kept £100 through the first months after commencement, on the evidence of press reports that cite their own statements. Tentatively: that fear of becoming the preferred target for stolen cards, rather than simple caution, is what holds the industry at a common number — a plausible reading of the industry’s own request for a common limit, but not something any data in this research measures.

What this does not tell you

It does not tell you that limits will stay at £100. The FCA said “short term,” and issuers said “under review.” If one large issuer finds that its fraud on taps above £100 is low — data it can gather only by trying — and moves, others may follow quickly, as they did in 2021. The argument here explains the first months, not the next five years.

It does not tell you how much fraud a higher limit would produce. The fraud rates published by UK Finance were measured under the cap, and the FCA has not published contactless data from its own returns. Any claim about the cost of a £300 limit extrapolates beyond the data.

And it does not show that the reform was wrong. A rule that changes who decides without changing the decision can still be good policy, especially if the old rule was blocking adjustments that issuers will want later. The criticism, if there is one, is narrower: the reform was presented as giving consumers convenience, while its own impact assessment predicted no change in what consumers would experience.

A ceiling only binds the party that wants to cross it

The general lesson reaches beyond contactless cards. Payments regulation is full of numbers that look like controls — caps, thresholds, limits — and the instinct when one is removed is to expect the behaviour it constrained to change. That expectation is only right when the party making the decision wanted to go further and was stopped. When the party making the decision also carries the cost of getting it wrong, the regulatory number is decorative: the cost does the constraining, and removing the number moves the accountability rather than the outcome.

The useful question to ask of any such reform, then, is not what the rule allowed but who pays when the allowed thing goes wrong. In British contactless payments the answer is the issuer, under a regulation the reform did not touch. As long as that stays true, the limit at the till will be set by the issuer’s loss account, and the regulator’s role is to make sure the issuer can explain the number — not to choose it. A reform that wants to change the number has to change who pays. One that changes only who decides should expect, as the FCA did, that nothing at the till will move.

Am 19. März 2026 hat die britische Finanzaufsicht FCA die Obergrenze von 100 Pfund für kontaktlose Kartenzahlungen gestrichen. Fünf Jahre lang war sie die sichtbarste Regel im britischen Einzelhandelszahlungsverkehr. Als sie fiel, änderte sich an der Kasse nichts — und das war auch nicht vorgesehen: Die Aufsicht selbst hatte vorhergesagt, dass die Banken bei der alten Grenze bleiben würden. Der Grund dafür ist keine Trägheit. Es ist eine Haftungsregel, die die Reform bewusst unangetastet ließ. Und sie zeigt, dass die Zahl im Regelwerk nie das war, was die Grenze festhielt.

Was sich geändert hat und was nicht

Das Rechtsinstrument ist knapp. Der Vorstand der FCA erließ am 18. Dezember 2025 das Technical Standards (Strong Customer Authentication and Common and Secure Methods of Communication) (Amendment) Instrument 2025; in Kraft trat es am 19. März 2026. So steht es im Handbook Notice 136 der Aufsicht. Geändert wurde Artikel 11 der britischen Fassung der Standards zur starken Kundenauthentifizierung — jene Vorschrift, nach der der Kartenherausgeber bei einer kontaktlosen Zahlung am Ladenterminal auf PIN oder einen anderen zweiten Faktor verzichten darf. Bis März war diese Ausnahme an zwei feste Zahlen gebunden: Eine einzelne Zahlung durfte 100 Pfund nicht übersteigen, und sobald mit der Karte kontaktlos insgesamt 300 Pfund oder fünf Zahlungen hintereinander zusammengekommen waren, musste die nächste authentifiziert werden. Beide Zahlen sind weg.

An ihre Stelle tritt eine Risikoprüfung. Ein Herausgeber darf eine kontaktlose Zahlung nur noch dann ohne starke Authentifizierung abwickeln, wenn er sie als risikoarm eingestuft hat, und er muss die Transaktionsüberwachung betreiben, die Artikel 2 derselben Standards ohnehin verlangt. Eine Betrugsquote als Schwelle legte die FCA nicht fest. Ihre Leitlinien, zusammengefasst im Handbook Notice 136, verlangen, dass Herausgeber ihre gesamte kontaktlose Betrugsquote im Präsenzgeschäft im Blick behalten; ein deutlicher Anstieg könne darauf hindeuten, dass die Ausnahme auf Zahlungen angewandt wird, die sie nicht deckt. Herausgeber dürfen eigene Grenzen setzen — höher, niedriger oder gar keine.

Zwei Dinge blieben, wo sie waren. Das erste ist die Haftung. „Wir schlagen keine Änderungen an den Haftungsbestimmungen vor”, schrieb die FCA in Randziffer 3.78. Das zweite war, nach eigener Vorhersage der Aufsicht, die Grenze, auf die Kunden tatsächlich stoßen. „Nach den Rückmeldungen der Branche erwarten wir, dass die meisten Zahlungsdienstleister ihre bestehenden Grenzen kurzfristig beibehalten”, heißt es in Randziffer 3.77. Schon bei Beginn der Konsultation im September 2025 hatte David Geale, bei der FCA zuständig für Zahlungsverkehr und digitale Finanzen, in der Pressemitteilung gesagt, man erwarte „keine sofortigen Änderungen der Grenzen durch die Unternehmen”.

Die Vorhersage trat ein. Presseberichte um den Stichtag — Crowdfund Insider am 20. März 2026, gestützt auf Aussagen der Banken — nannten Barclays, HSBC, Lloyds Banking Group, NatWest, Santander und Nationwide unter den Herausgebern, die bei 100 Pfund bleiben; mehrere wollten die Grenze „weiter prüfen”. Einen großen Herausgeber, der sie angehoben hätte, nannten die Berichte nicht. Die Aufzählung stammt aus der Presse, nicht aus einem Register; die FCA veröffentlicht keine Übersicht über die Grenzen der einzelnen Institute.

Eine Obergrenze, die nie die Einstellung war

Warum das Streichen der Obergrenze nichts bewegte, versteht man, wenn man sieht, dass sie selten die tatsächlich genutzte Zahl war. Das Diskussionspapier der FCA vom März 2025, mit dem die Überprüfung begann, hält fest, dass kontaktlose Karten 2007 in Großbritannien eingeführt wurden und dass die von der Branche gesetzte Grenze vor April 2020 typischerweise bei 30 Pfund lag — unter dem damaligen aufsichtsrechtlichen Höchstwert von 50 Euro, rund 45 Pfund. Die längste Zeit blieben britische Herausgeber also freiwillig unter der Obergrenze, nicht an ihr.

Die Anhebung von 2021 lief genauso. In ihrer Pressemitteilung vom 3. März 2021 kündigte die FCA an, ihre Änderungen würden „eine Anhebung der Schwelle für einzelne kontaktlose Zahlungen von 45 auf 100 Pfund ermöglichen”; die Summengrenze stieg von 130 auf 300 Pfund. Das Wort ist wichtig: Die Aufsicht erlaubte, die Branche entschied. Auf 100 Pfund gingen die Banken nach Presseberichten im Oktober 2021 — weil sie es wollten.

Die aufsichtsrechtliche Zahl war also immer eine Obergrenze für eine Entscheidung, die anderswo fiel. War sie eng, wie 2021, drückte die Branche dagegen, und die Aufsicht hob sie an. Ist sie locker, wie jetzt, bleibt die Branche, wo sie war. Die Frage lautet also: Was bestimmt, wo sie bleibt?

Wer zahlt, wenn eine Zahlung missbraucht wird

Die Antwort steht in den Payment Services Regulations 2017, der Verordnung, die britische Zahlungsdienste regelt, genauer in den Vorschriften 76 und 77. Nach Vorschrift 76 muss der Zahlungsdienstleister des Zahlers einen nicht autorisierten Zahlungsvorgang erstatten. Vorschrift 77 regelt, wie viel davon er an den Kunden zurückgeben darf. Bei verlorener oder gestohlener Karte kann der Kunde „bis zu höchstens 35 Pfund” haften. Selbst dieser Betrag entfällt, wenn der Kunde den Verlust vor der Zahlung nicht bemerken konnte. Den gesamten Schaden trägt er nur, wenn er betrügerisch gehandelt oder vorsätzlich oder grob fahrlässig gegen seine Pflichten zur sicheren Aufbewahrung von Karte und Sicherheitsmerkmalen verstoßen hat.

Für die kontaktlose Karte ist die Folge eindeutig. Wird eine gestohlene Karte ohne PIN an der Kasse eingesetzt, ist das ein nicht autorisierter Zahlungsvorgang. Solange die Bank ihrem Kunden weder Betrug noch grobe Fahrlässigkeit nachweisen kann — eine hohe Hürde, wenn für die Zahlung gar kein Geheimnis nötig war —, erstattet sie den Schaden, abzüglich höchstens 35 Pfund. Geale sagte es im September 2025 so: „Die Menschen bleiben geschützt; auch bei kontaktlosen Zahlungen erstatten die Unternehmen das Geld, wenn die Karte betrügerisch eingesetzt wird.”

Das ist der Mechanismus. Der Herausgeber wählt die Grenze, und der Herausgeber bezahlt den Betrug, den die Grenze nicht verhindert. Entscheidung und Kosten liegen bei derselben Partei. Wer die Zahl im Regelwerk streicht, nimmt eine Beschränkung weg, gegen die der Herausgeber gar nicht drückte; die Beschränkung, die ihn tatsächlich bindet — sein eigenes Schadenskonto —, bleibt bestehen. Die FCA schrieb es in Randziffer 3.92 selbst: Die Herausgeber hätten „weiterhin einen finanziellen Anreiz, kontaktlosen Betrug zu verhindern, da die Haftungsbestimmungen unverändert bleiben”. Dieselbe Zuordnungslogik zieht sich durch das Kartengeschäft insgesamt; die Haftungsverschiebung zwischen Präsenz- und Ferngeschäft ist ein weiterer Ort, an dem zahlt, wer hätte authentifizieren können und es nicht tat.

So gelesen war die Reform darauf angelegt, kurzfristig nichts zu ändern. Eine Aufsicht, die die Betrugskosten beim Herausgeber lässt und ihm dann den Regler in die Hand gibt, muss erwarten, dass der Regler dort bleibt, wo die Kostenkurve des Herausgebers ihn hingestellt hat. Die FCA hat das erwartet und es gesagt.

Was die Betrugszahlen sagen — und wer sie herausgibt

Die Betrugsdaten zum kontaktlosen Zahlen in Großbritannien stammen fast vollständig von UK Finance, dem Branchenverband der Banken. Nach dessen Annual Fraud Report 2026 vom Juni lag der kontaktlose Betrug 2025 bei 46,8 Millionen Pfund, acht Prozent mehr als 2024. Das Diskussionspapier der FCA nennt, gestützt auf einen früheren Bericht desselben Verbands, 41,5 Millionen Pfund für 2023. Der gesamte Betrug mit nicht autorisierten Zahlungen über alle Zahlungsarten lag 2025 laut UK Finance bei 703,4 Millionen Pfund, fünf Prozent weniger als im Vorjahr. Kontaktloser Betrug ist danach ein kleiner Teil — rund ein Pfund von fünfzehn —, aber einer der wenigen Posten, die in beiden vergangenen Jahren gewachsen sind.

Gemessen am Umsatz ist er noch kleiner. UK Finance bezifferte im Annual Fraud Report 2025 den kontaktlosen Betrug auf etwa 1,3 Pence je 100 Pfund Umsatz, gegenüber etwa 6 Pence bei allem nicht autorisierten Kartenbetrug; die FCA übernahm diese Werte in ihrer Pressemitteilung vom September 2025. Der Halbjahresbericht 2025 des Verbands nannte 1,2 Pence gegenüber 6,9 Pence bei allem Kartenbetrug und vermerkte zugleich, kontaktloser Betrug habe in den ersten sechs Monaten 2025 „27 Prozent über dem Vorjahr” gelegen.

Zu diesen Zahlen gehören zwei Vorbehalte. Der erste betrifft den Herausgeber. UK Finance vertritt die Banken, die die Schäden tragen und die sich in ihren Stellungnahmen an die FCA für eine gemeinsame Branchengrenze aussprachen. Das gibt dem Verband ein Interesse an genauen Zahlen — seine Mitglieder zahlen für Fehler —, aber er ist die einzige Stelle, die misst, und niemand mit einem Interesse an einer anderen Zahl hat eine vorgelegt. Die FCA erhebt mit der Meldung REP017 eigene Betrugsdaten je Ausnahme und kündigte in Randziffer 3.110 an, die neue Regel damit zu beobachten; eine veröffentlichte REP017-Reihe zum kontaktlosen Zahlen fand diese Recherche nicht.

Der zweite Vorbehalt betrifft die Aussagekraft einer niedrigen Quote unter einer Grenze. Ein Penny je 100 Pfund wurde an Zahlungen gemessen, die alle höchstens 100 Pfund betrugen, mit Karten, die nach 300 Pfund oder fünf Zahlungen die PIN erzwangen. Die Zahl beschreibt Betrug innerhalb des Zauns. Was eine kontaktlose Zahlung über 400 Pfund kosten würde, sagt sie nicht, denn eine solche war nicht erlaubt. Dasselbe Strukturproblem zeigt sich bei der Ausnahme für Fernzahlungen nach Transaktionsrisikoanalyse, deren maßgebliche Betrugsquote an Zahlungen gemessen wird, die die Ausnahme größtenteils nie nutzen. Ein Herausgeber, der über eine höhere Grenze nachdenkt, hat keine Daten zu genau den Zahlungen, denen er sich neu aussetzen würde. Wer den Schaden trägt und keine Daten hat, wartet in der Regel.

Die Rechnung des Ersten

Es gibt einen weiteren Grund, warum die Banken beieinander bleiben, und die Branche hat ihn selbst ausgesprochen. Mehrere Stellungnahmen betonten nach Randziffer 3.85 „die Bedeutung einer gemeinsamen kontaktlosen Grenze für Einzelzahlungen” und warnten vor „einem erhöhten Risiko von Zersplitterung, Systemkomplexität und Verwirrung für Verbraucher und Händler”. Einige schlugen nach Randziffer 3.86 ein Branchengremium vor, das empfohlene, nicht verbindliche Grenzen festlegt.

Die Ökonomie dahinter lässt sich vorsichtig beschreiben. Eine gestohlene Karte ist für den Dieb ungefähr so viel wert, wie er damit ausgeben kann, bevor sie gesperrt wird. Deckeln alle Herausgeber bei 100 Pfund, ist eine gestohlene Karte jeder Bank etwa gleich viel wert. Hebt einer auf 300 Pfund an und die anderen nicht, werden seine Karten die lohnendsten, und der Betrug, der sich sonst über den Markt verteilt, sammelt sich tendenziell bei dem, der sich zuerst bewegt hat. Den Schaden trägt er nach Vorschrift 77 allein; der Komfortgewinn für Kunden ist bescheiden und teilt er mit den Wallets, die die Grenze ohnehin umgehen. Das ist ein Schluss aus den Anreizen, kein gemessener Effekt; keine in dieser Recherche gefundene Quelle beziffert eine Betrugsverlagerung zwischen britischen Herausgebern. Er erklärt aber, warum die Branche um eine gemeinsame Zahl statt um Freiheit bat — und warum eine informell vereinbarte gemeinsame Zahl das wahrscheinliche Ergebnis einer Regel ist, die eine solche Zahl förmlich abgeschafft hat.

Was für die Reform spricht

Sinnlos ist die Reform deshalb nicht, und das Argument für sie verdient seine stärkste Form. Es ist nicht schwach.

Erstens war die Grenze willkürlich geworden. Das Diskussionspapier der FCA hielt fest, die Inflation sei „seit der letzten Festlegung der Grenzen 2021 deutlich gestiegen”. Eine feste Nominalzahl verliert jedes Jahr an Wert; eine Risikoprüfung nicht.

Zweitens galt die Grenze für einen großen Teil des kontaktlosen Zahlens ohnehin nicht. Wer mit Telefon oder Uhr zahlt, authentifiziert sich auf dem Gerät, meist per Fingerabdruck oder Gesicht; die Zahlung gilt als stark authentifiziert. Wallets könnten, so das Papier in Randziffer 2.9, Zahlungen „oberhalb der kontaktlosen Grenzen ohne Eingabe einer PIN” ermöglichen. Eine Regel, die Plastikkarten band, Telefone aber nicht, zog ihre Linie nach Gerät statt nach Risiko. Wer an der Wallet-Tokenisierung verdient, ist eine eigene Geschichte; hier zählt nur, dass die 100-Pfund-Grenze zu einer Grenze für eine einzige Bauform geworden war.

Drittens legt eine risikobasierte Ausnahme die Entscheidung dorthin, wo die Information liegt. Der Herausgeber sieht die Vorgeschichte der Karte, den Händler, das Terminal, die Uhrzeit, das Muster der letzten Zahlungen. Eine einheitliche nationale Zahl sieht nichts davon. Das FCA-Papier lehnte die Idee an Artikel 18 an, die bestehende Ausnahme für Fernzahlungen. Wenn Herausgeber mit guten Betrugskontrollen höhere Beträge sicher zulassen können, erzeugt ein Verbot Reibung, ohne Sicherheit zu kaufen.

Viertens legt der Blick ins Ausland nicht nahe, dass eine Grenze nötig ist. Das FCA-Papier nennt für Kanada eine von der Branche gesetzte Grenze von 250 kanadischen Dollar und für die Vereinigten Staaten und Singapur keine aufsichtsrechtliche Grenze, gegenüber 50 Euro je Zahlung und 150 Euro kumuliert in der EU nach der Delegierten Verordnung 2018/389, die dort weiter gilt.

Fünftens kann die FCA zu Recht sagen, sie habe erreicht, was sie wollte. Sie hat nie behauptet, die Grenzen würden steigen. Ihr erklärtes Ziel war, den Unternehmen zu erlauben, kontaktloses Zahlen „auf die Bedürfnisse ihrer Kunden zuzuschneiden”, wie Geale sagte. Eine Reform, die eine Beschränkung beseitigt und das Verhalten unverändert lässt, ist nicht gescheitert, wenn das Verhalten schon dort war, wo es die Kostenträger haben wollten.

Das alles stimmt — und es bestätigt das Argument oben, statt es zu widerlegen. Jeder Punkt erklärt, warum die Grenze überflüssig war; keiner erklärt, warum ihr Wegfall etwas ändern sollte. Überflüssig war sie, weil die Haftungsregel die Arbeit tat.

Die Öffentlichkeit war dagegen, und kaum jemand nutzt den eigenen Regler

Die Konsultation brachte ein ungewöhnliches Bild. Nach der Pressemitteilung der FCA vom September 2025 gingen auf das Diskussionspapier fast 1.300 Antworten ein. Laut Handbook Notice 136 hatten 78 Prozent der Antworten aus der Öffentlichkeit dort für den Status quo plädiert, und bei der förmlichen Konsultation war „die große Mehrheit der Antworten aus der Öffentlichkeit (84 %)” gegen die Vorschläge. Eingegangen waren 155 Stellungnahmen von Privatpersonen und 19 von Unternehmen. Die Branche war überwiegend dafür. Von zwei Handelsverbänden stimmte einer unter der Bedingung zu, dass die Herausgeber für Betrugsabwehr und Erstattung verantwortlich bleiben; der andere lehnte ab.

Eingaben sind keine Umfrage: Wer der Aufsicht schreibt, wählt sich selbst aus, und Gegner schreiben eher. Es ist aber das einzige Maß für Verbrauchermeinung, das die FCA veröffentlicht hat, und die Aufsicht hielt an ihrem Kern fest. Geändert wurden drei Dinge: Der Start wurde um drei Monate verschoben, und die Leitlinien zu schutzbedürftigen Kunden und zu selbst gesetzten Kundengrenzen wurden verschärft.

An diesem letzten Punkt trifft die Reform auf eine harte Zahl der Aufsicht selbst. Die FCA ermuntert Herausgeber, Kunden das Senken der Grenze oder das Abschalten der Kontaktlosfunktion zu ermöglichen, und viele bieten das bereits an. Doch in Randziffer 3.102 hielt sie fest, dass „weniger als 1 % der Verbraucher, die ihre persönliche Grenze ändern könnten, das tatsächlich tun”. Eine selbst gesetzte Grenze schützt die wenigen, die sie nutzen; als Weg, Grenzen an das individuelle Risiko anzupassen, existiert sie kaum. Praktisch ist die Voreinstellung des Herausgebers die Grenze, und diese Voreinstellung folgt seinen Schäden.

Was die Reform tatsächlich verschoben hat

Wenn die Zahl blieb, hat sich doch etwas bewegt. Vor März 2026 konnte ein britischer Herausgeber, der bei 100 Pfund blieb, auf das Regelwerk verweisen: Die Grenze war die der Aufsicht. Seit März ist dieselbe Zahl eine geschäftliche Entscheidung, die er nach der Consumer Duty — dem ergebnisorientierten Verbraucherstandard der FCA — und nach der Pflicht, jede ausgenommene Zahlung als risikoarm einzustufen, begründen können muss. Die Verantwortung wanderte vom Text der Aufsicht in das Risikomodell des Instituts, und mit ihr die Erklärung, die ein Institut schuldet, wenn der Betrug steigt.

Auch die Aufsicht hat eine neue Rolle. Bei einer Risikoprüfung muss die FCA beurteilen, ob die Einstufung „risikoarm” bei jedem Herausgeber glaubwürdig ist, und zwar mit REP017-Daten, die sie dafür nicht veröffentlicht hat. Ihre Kosten-Nutzen-Analyse blieb ohne Zahlen; nach Randziffer 3.106 habe man die möglichen Risiken und Vorteile „in der Kosten-Nutzen-Analyse anerkannt, aber nicht beziffert”. Die Aufsicht überwacht damit einen neuen Ermessensspielraum ohne veröffentlichten Ausgangswert, an dem Außenstehende sie messen könnten.

Die Gewissheit ist nicht überall gleich. Fest vertreten: Die Regel änderte sich am 19. März 2026, die Haftungsbestimmungen nicht, und die FCA sagte voraus, dass die meisten Herausgeber bei 100 Pfund bleiben. Mit vernünftiger Sicherheit: Die größten britischen Herausgeber blieben in den ersten Monaten nach dem Stichtag bei 100 Pfund — belegt durch Presseberichte, die sich auf deren eigene Aussagen stützen. Vorsichtig: dass die Angst, zum bevorzugten Ziel für gestohlene Karten zu werden, und nicht bloße Vorsicht die Branche bei einer gemeinsamen Zahl hält. Das ist eine plausible Lesart des Wunsches der Branche nach einer gemeinsamen Grenze, aber nichts, was die Daten dieser Recherche messen.

Was daraus nicht folgt

Es folgt nicht, dass die Grenzen bei 100 Pfund bleiben. Die FCA sprach von „kurzfristig”, die Banken von „weiter prüfen”. Stellt ein großer Herausgeber fest, dass sein Betrug bei Zahlungen über 100 Pfund gering ist — was er nur durch Ausprobieren erfährt —, und bewegt sich, könnten andere schnell folgen, wie 2021. Das Argument hier erklärt die ersten Monate, nicht die nächsten fünf Jahre.

Es folgt nicht, wie viel Betrug eine höhere Grenze erzeugen würde. Die Quoten von UK Finance wurden unter der Grenze gemessen, und die FCA hat keine kontaktlosen Daten aus ihren eigenen Meldungen veröffentlicht. Jede Aussage über die Kosten einer 300-Pfund-Grenze, in welche Richtung auch immer, reicht über die vorhandenen Daten hinaus.

Und es folgt nicht, dass die Reform falsch war. Eine Regel, die ändert, wer entscheidet, ohne die Entscheidung zu ändern, kann gute Politik sein — besonders wenn die alte Regel Anpassungen blockierte, die Herausgeber später wollen werden. Die Kritik, wenn es eine gibt, ist enger: Die Reform wurde als Komfortgewinn für Verbraucher dargestellt, während ihre eigene Folgenabschätzung keine Veränderung dessen vorhersagte, was Verbraucher erleben.

Eine Obergrenze bindet nur den, der darüber will

Die allgemeine Lehre reicht über kontaktlose Karten hinaus. Die Zahlungsverkehrsregulierung ist voller Zahlen, die wie Steuerungsinstrumente aussehen — Deckel, Schwellen, Grenzen —, und wird eine gestrichen, erwartet man instinktiv, dass sich das begrenzte Verhalten ändert. Das stimmt nur, wenn die entscheidende Partei weiter gehen wollte und daran gehindert wurde. Trägt die entscheidende Partei auch die Kosten eines Fehlers, ist die aufsichtsrechtliche Zahl Dekoration: Die Kosten begrenzen, und das Streichen der Zahl verschiebt die Verantwortung, nicht das Ergebnis.

Die nützliche Frage an jede solche Reform lautet deshalb nicht, was die Regel erlaubte, sondern wer zahlt, wenn das Erlaubte schiefgeht. Beim britischen kontaktlosen Zahlen ist das der Herausgeber, nach einer Vorschrift, die die Reform nicht berührt hat. Solange das so bleibt, setzt das Schadenskonto des Herausgebers die Grenze an der Kasse, und die Aufsicht hat dafür zu sorgen, dass er die Zahl begründen kann — nicht, sie zu wählen. Eine Reform, die die Zahl ändern will, muss ändern, wer zahlt. Eine, die nur ändert, wer entscheidet, sollte erwarten, was die FCA erwartet hat: dass sich an der Kasse nichts bewegt.