A.- Am 3. April 1982 mietete ein Unbekannter bei der Firma X. in Zürich einen Personenwagen Mercedes 280 SE, wobei er den Mietzins von Fr. 4'500.-- mittels einer Kreditkarte der Diners Club (Suisse) SA bezahlte. Da der Betrag die Kreditlimite von Fr. 1'000.-- überstieg, ersuchte die Vermieterin die Diners Club SA um ihre Zustimmung, die ihr unter Vorbehalt einer Passkontrolle erteilt wurde.

In der Folge stellte sich heraus, dass die Kreditkarte bereits am 19. März 1982 einem gewissen Affeld in Baden-Baden abhanden gekommen war. Affeld meldete den Verlust der deutschen Diners Club GmbH, die der schweizerischen Gesellschaft davon jedoch erst am 19. April 1982 Kenntnis gab, weshalb auch die Firma X. nicht vorher unterrichtet wurde. Der Mercedes blieb bis heute verschwunden. Die Firma X. schätzte seinen Verkehrswert auf Fr. 42'500.--. Sie erhielt den ausstehenden Mietzins vergütet, machte aber die Diners Club (Suisse) SA für den Verlust des Wagens verantwortlich, weil ihr auf die Kreditanfrage hin nicht mitgeteilt worden sei, dass es sich um eine abhanden gekommene Karte handelte.

B.- Am 22. April 1985 klagte die Firma X. gegen die Diners Club (Suisse) SA auf Zahlung von Fr. 10'000.-- Schadenersatz nebst 5% Zins seit 10. Juni 1983; sie behielt sich zudem ein Nachklagerecht vor. Die Beklagte widersetzte sich diesen Begehren und verkündete der deutschen Diners Club GmbH den Streit.

Das Handelsgericht des Kantons Zürich hiess die Klage am 4. April 1986 in vollem Umfang gut. Die Beklagte führte dagegen Nichtigkeitsbeschwerde, die vom Kassationsgericht des Kantons Zürich am 17. Oktober 1986 im Sinne der Erwägungen abgewiesen wurde, soweit darauf einzutreten war.

C.- Die Beklagte hat gegen das Urteil des Handelsgerichts auch Berufung eingereicht mit den Anträgen, es aufzuheben und die Klage abzuweisen oder die Sache zu neuer Entscheidung an die Vorinstanz zurückzuweisen.

Die Klägerin beantragt, die Berufung abzuweisen und das angefochtene Urteil zu bestätigen.

1. Die Gutheissung der Schadenersatzklage setzt in erster Linie voraus, dass die Beklagte durch ihr Verhalten den Vertrag mit der Klägerin verletzt hat (Art. 97 Abs. 1 OR). Nach diesem Vertrag war für den Fall, dass die Gesamtausgaben eines Diners Club-Mitgliedes Fr. 1'000.-- überstiegen, das Einverständnis der Beklagten einzuholen, bevor das Vertragsunternehmen, das hier mit der Klägerin identisch war, seine Leistung erbrachte; die Beklagte war diesfalls zur Bezahlung des Gesamtbetrages nur verpflichtet, wenn sie sich auf Anfrage hin mittels eines Codes damit einverstanden erklärt hatte (Ziffer 15 des Vertrages). Die Beklagte behielt sich das Recht vor, Karten zu sperren, und fügte bei, dass das Vertragsunternehmen darüber mit einer besonderen Karte oder durch eine Mitteilung in der "Diners Post" informiert werde; zusätzlich konnte sie ihm ein alle drei Wochen erscheinendes Sperrbulletin zustellen, das bei Vorweisen von Kreditkarten zu konsultieren war. Für Bezüge oder Dienstleistungen aufgrund gesperrter Karten bestand für die Beklagte keine Zahlungspflicht gegenüber dem Unternehmen (Ziffer 16).

a) Das Handelsgericht anerkennt, dass die Beklagte nach diesen Bestimmungen des Vertrages nicht verpflichtet gewesen ist, die Klägerin über den Verlust der Kreditkarte zu unterrichten. Es nimmt unter Hinweis auf einschlägige Lehre und frühere Formularverträge mit Unternehmen jedoch an, dass die Beklagte nach Treu und Glauben eine entsprechende Nebenverpflichtung gehabt, sich darüber aber hinweggesetzt habe, indem sie die Klägerin bei der Kreditanfrage nicht auf den Verlust der Karte aufmerksam gemacht habe.

Die Beklagte hält dem entgegen, dass die Kontrollanfrage gemäss Ziffer 15 des Vertrages nicht die Klägerin schützen wolle, sondern ausschliesslich ihrem eigenen Schutz diene, weil sie dem Vertragsunternehmen eine Zusage mache und das volle Kreditrisiko trage. Wenn sie bei Verlust, Diebstahl oder Fälschung einer Karte die Anzeige an das Unternehmen unterlasse, habe auch das nur zur Folge, dass sie die zugesagte Vergütung nicht wegen Missbrauchs der Karte verweigern könne. Das folge ferner aus Ziffer 16 des Vertrages, wonach sie wohl das Recht, aber nicht die Pflicht habe, Karten zu sperren. Das Handelsgericht unterstelle ihr eine Mitteilungspflicht, die dem Zweck der Kontrollanfrage widerspreche; dadurch verletze es insbesondere Art. 1 und 18 OR.

b) Die Kontroll- oder Kreditanfrage, die vorliegend wegen Überschreitung der Kreditlimite erforderlich war und von der Klägerin beachtet wurde, bezweckt jedenfalls unmittelbar nur den Schutz der Kreditkartenorganisation gegen die Gewährung von Krediten, deren Risiko sie im Einzelfall ablehnen möchte. Es versteht sich indes von selbst, dass die Organisation dem Vertragsunternehmen die Kreditzusage schon aus eigenem Interesse verweigern wird, wenn sie vom Verlust einer Kreditkarte Kenntnis erhält; insoweit hilft die Anfrage daher auch Missbräuche verhindern.

Davon geht unter Hinweis auf A. KELLER (Kreditkarten, S. 79) auch das Handelsgericht aus. Sollte die Beklagte dies bestreiten wollen, so wäre ihr nicht zu folgen.

Anders kann es sich verhalten, wenn die Organisation, wie das hier unstreitig der Fall gewesen ist, zur Zeit der Kreditanfrage noch keine Kenntnis vom Verlust der Karte hat. Das hängt davon ab, ob die Organisation im Sinne einer vertraglichen Nebenverpflichtung gehalten ist, sämtliche Kartenverluste als mögliche Gefährdungstatbestände dem Vertragsunternehmen zu melden, wie das die Vorinstanz annimmt. Diese Frage ist hier aufgrund des Vertrages zu beantworten. Nach dessen Ziffer 16 war die Beklagte berechtigt, jederzeit Karten zu sperren, das Vertragsunternehmen darüber wie vorgesehen zu informieren und ihm für Bezüge mit gesperrten Kreditkarten die Zahlung zu verweigern. Für eine Mitteilungspflicht der Beklagten ist dieser Bestimmung nichts zu entnehmen; ihr Wortlaut schliesst eine solche Pflicht vielmehr aus. Daran ändert sich auch nichts, wenn die Bestimmung zusammen mit Ziffer 15 des Vertrages ausgelegt wird, zumal in dieser Klausel vor allem von Pflichten des Unternehmens die Rede ist. Auf frühere Formularverträge abstellen zu wollen, welche zwischen den Parteien nie galten oder nicht mehr gelten, geht zum vornherein nicht an.

Der Schluss der Vorinstanz, eine Pflicht der Kreditkartenorganisation, ihr angeschlossene Unternehmen über Kartenverluste zu informieren, ergebe sich aus Treu und Glauben, widerspricht übrigens nicht nur den Abreden der Parteien; er lässt sich auch nicht auf die von ihr zitierte Lehre stützen. Die Autoren äussern sich zwar einlässlich über die Nebenpflichten der Beteiligten, erwähnen darunter aber keine solche Informationspflicht der Organisation gegenüber den Unternehmen (J. WÜRSCH, Die Kreditkarte nach schweizerischem Privatrecht, Diss. Freiburg 1975 S. 139; A. KELLER, Kreditkarten, S. 103 und 110), sondern bloss eine Pflicht der Organisation, dem Vertragsunternehmen die von ihr veröffentlichten Mitteilungen und Sperrlisten zuzustellen (H. GIGER, Kreditkartensysteme, S. 301). Die Vorinstanz übergeht dies, wenn sie daraus, dass die Autoren von einer Haftung der Organisation für versäumte Anzeigen sprechen, auf eine allgemeine Informationspflicht der Organisation schliesst; sie verkennt insbesondere, dass das Zitat WÜRSCH unter der Überschrift "Gefahrtragung durch den Herausgeber" steht und GIGER am angeführten Ort nicht sagt, dass er unter Schadenstragung etwas anderes versteht.

c) Der Vertrag der Parteien kann nach Treu und Glauben nur dahin verstanden werden, dass die Beklagte verschwundene Karten sperren darf, dem Vertragsunternehmen einen Kartenmissbrauch aber nicht entgegenhalten kann, wenn sie eine Sperre unterlässt und das Unternehmen seine Prüfungspflicht erfüllt hat. Was das Handelsgericht als Nebenverpflichtung der Beklagten bezeichnet, ist deshalb keine vertragliche Verpflichtung, deren Verletzung Schadenersatz zur Folge hätte, sondern eine blosse Obliegenheit, welche die Beklagte bloss im eigenen Interesse beachten muss, wenn sie Säumnisfolgen vorbeugen will. Es verhält sich ähnlich wie mit der Rügepflicht des Käufers (Art. 201 OR) oder der Pflicht des Geschädigten zur Abwendung oder Milderung des Schadens (Art. 44 Abs. 2 OR), die vom Begriff der Rechtspflicht ebenfalls nicht erfasst werden (VON TUHR/PETER, OR I S. 12/13 und 176). Da die Beklagte ihrer Obliegenheit zu spät nachkam, konnte sie sich dem Unternehmen gegenüber zwar nicht mehr auf den Kartenmissbrauch berufen, hatte der Klägerin folglich die Wagenmiete von Fr. 4'500.-- zu vergüten; mangels einer Vertragsverletzung im Sinne von Art. 97 Abs. 1 OR wurde sie ihr aber nicht schadenersatzpflichtig. Die Klage ist deshalb abzuweisen.

2. Bei diesem Ergebnis kann dahingestellt bleiben, ob das Verhalten der Beklagten nach dem gewöhnlichen Lauf der Dinge überhaupt geeignet war, einen Schaden, wie den von der Klägerin behaupteten, herbeizuführen (BGE 108 II 53 E. 3 mit Hinweisen), zumal es um den Verlust einer Kreditkarte in Deutschland ging und der Mietwagen damit in der Schweiz erschlichen wurde; dass zwischen dem Verlust und dem Missbrauch einer Kreditkarte ein solcher Zusammenhang besteht, heisst jedenfalls noch nicht, die Rechtserheblichkeit des Zusammenhanges sei deswegen auch für alle direkten und indirekten Folgen des Missbrauchs zu bejahen. Es braucht auch nicht entschieden zu werden, ob die Beklagte wegen der weltweiten Tätigkeit ihrer Organisation und wegen ihres internationalen Informationssystems als Hilfsperson der deutschen Schwestergesellschaft anzusehen wäre und sich deren verspätete Meldung anrechnen lassen müsste. Offenbleiben kann ferner, ob die Klägerin ihre Prüfungspflicht verletzt habe, wie die Beklagte ihr vorwirft.

Demnach erkennt das Bundesgericht:

Die Berufung wird gutgeheissen, das Urteil des Handelsgerichts des Kantons Zürich vom 4. April 1986 aufgehoben und die Klage abgewiesen.