Kartenzahlung im Onlineshop einrichten: Schritte und Pflichten

Drei Dinge gehören zum Einrichten der Kartenzahlung: ein Vertrag, der Kartenzahlungen für Ihren Shop freischaltet, ein Integrationsweg, der zu Ihrem PCI-Nachweis passt, und ein Checkout, der die starke Kundenauthentifizierung samt Ausnahmen abbildet. Die Anleitung führt vom Weg über den Testbetrieb bis zur Dokumentation.

Was Sie vorab brauchen

einen Vertrag mit einem Acquirer (der Stelle, die Kartenzahlungen für Sie annimmt) oder Zahlungsdienstleister samt Zugangsdaten für Test- und Livebetrieb
die Entscheidung, wo die Kartenfelder liegen: Seite des Anbieters, eingebettetes Formular oder eigenes Formular
ein TLS-Zertifikat für die Checkout-Domains
Testkarten oder Testfälle aus dem Testbetrieb des Anbieters
eine zuständige Person für Zahlungsstatus, Erstattungen und Rückbuchungen und die Buchhaltung für die Auszahlungen
eine Aufzeichnung, welche Ihrer Systeme Karteninhaberdaten berühren können — sie entscheidet über den Fragebogen

Wo die Kartenfelder liegen und welcher PCI-Fragebogen daraus folgt

Das Informationssupplement zur E-Commerce-Sicherheit des PCI Security Standards Council (Version 1.2, April 2017) ordnet jedem Weg, Kartenzahlungen anzunehmen, einen Fragebogen zur Selbstbewertung als möglichen Nachweis zu (Self-Assessment Questionnaire, SAQ); Voraussetzung ist, dass Sie die Zulässigkeitsbedingungen des Fragebogens erfüllen. Maßgeblich ist der Datenfluss: Je weniger Ihrer Systeme Karteninhaberdaten berühren, desto kleiner der Fragebogen.

Weg	Wo der Kunde die Kartendaten eingibt	SAQ-Typ nach dem Supplement (Stand PCI DSS v3.2)	Was Sie klären
Weiterleitung (URL-Redirect)	auf einer Seite des Anbieters, sichtbar am Adresswechsel	SAQ A, wenn alle Zulässigkeitsbedingungen des Fragebogens erfüllt sind	wie die Seite aussieht und wie der Kunde in den Shop zurückkommt
Eingebettetes Formular des Anbieters (iFrame, Kartenfelder)	im Formular des Anbieters, das in Ihrer Checkout-Seite liegt	SAQ A, wenn alle Zulässigkeitsbedingungen des Fragebogens erfüllt sind	ob der Rahmen abgeschottet eingebunden ist und wie Sie Ihre Seite gegen Skriptangriffe absichern
Eigenes Formular, Daten gehen direkt an den Anbieter (Direct Post, JavaScript-Formular)	in Ihrem Formular, Übertragung ohne Ihren Server	SAQ A-EP, wenn alle Zulässigkeitsbedingungen des Fragebogens erfüllt sind	welche Schutzmaßnahmen der Vertrag für Ihre Seite und Ihren Code verlangt
Eigenes Formular, Daten laufen über Ihren Server (Schnittstelle)	in Ihrem Formular und über Ihre Systeme	SAQ D, wenn alle Zulässigkeitsbedingungen des Fragebogens erfüllt sind	welche Systeme damit in den Geltungsbereich fallen

Das Supplement nennt als Umfang 22 Fragen für SAQ A, 191 für SAQ A-EP und 250 für SAQ D, jeweils ohne Anhänge und bezogen auf die Fassung PCI DSS v3.2. Die Zahlen gelten für die damalige Fassung. Seit dem 31. Dezember 2024 ist PCI DSS v4.0.1 die einzige aktive Fassung des Standards, und seit 31. März 2025 sind seine neuen Anforderungen vollständig anzuwenden; die Fragebögen dazu sind eigene Dokumente. Welcher Fragebogen gilt, bestätigen Ihnen Acquirer oder Kartenorganisation: Nach der Standardseite des Rates entscheiden Stellen mit Compliance-Programm darüber, ob und wie ein Unternehmen die Einhaltung nachweist. Erfüllen Sie die Zulässigkeitsbedingungen des Fragebogens nicht, den Sie ins Auge gefasst haben, kommt ein anderer Nachweis in Frage, etwa eine Prüfung vor Ort mit Report on Compliance; genau wie die Fragebögen selbst gilt auch das nur nach Bestätigung Ihres Acquirers.

Für eingebettete Zahlungsformulare kommt in der heute gültigen Fassung SAQ A v4.0.1 r1 ein zusätzliches Zulässigkeitskriterium hinzu: Der Händler muss bestätigen, dass seine Seite nicht für Skriptangriffe anfällig ist, die seine E-Commerce-Systeme betreffen können. Belegen lässt sich das durch Schutzmaßnahmen an der Seite oder durch eine Bestätigung des Zahlungsdienstleisters, dass seine Lösung die Zahlungsseite nach seinen Einbauvorgaben gegen Skriptangriffe schützt. Für eine reine Weiterleitung auf die Seite des Anbieters gilt dieses Kriterium nicht (PCI SSC FAQ 1588, Februar 2025).

Auslagern lässt sich die Datenhaltung, nicht die Verantwortung: Keine Option befreit nach dem Supplement den Händler vollständig von den Pflichten aus PCI DSS. Fragen Sie nach, ob Ihr Anbieter als PCI-DSS-validierter Dienstleister geführt wird.

Schritt für Schritt: Kartenzahlung einrichten

Schritt 1: Vertrag und Händlerkonto klären

Lassen Sie sich schriftlich geben: welche Karten und Währungen der Vertrag umfasst, für welche Länder er gilt, wie oft und in welcher Währung ausgezahlt wird, welche Gebührenfelder anfallen (Zahlungsgebühren) und wer bei Rückbuchungen was trägt (Zahlungsdienstleister wählen). Ergebnis: Vertrag mit Händlernummer, Zugangsdaten und benannter Ansprechperson.

Schritt 2: Integrationsweg festlegen

Wählen Sie anhand der Tabelle, wo die Kartenfelder liegen. Prüfen Sie, welchen Weg ein Modul Ihres Shopsystems nutzt: Aus seinem Namen lässt sich nicht ablesen, ob Karteninhaberdaten über Ihren Server laufen. Prüfen Sie für den gewählten Fragebogen auch dessen Zulässigkeitsbedingungen; bei einem eingebetteten Zahlungsformular gehört dazu in der Fassung SAQ A v4.0.1 r1, dass Ihre Seite gegen Skriptangriffe abgesichert ist. Ergebnis: Der Weg steht fest, samt Fragebogen-Typ für die Abstimmung mit dem Acquirer.

Schritt 3: Testbetrieb aufsetzen

Richten Sie den Testmodus des Anbieters ein und spielen Sie durch: erfolgreiche Zahlung, abgelehnte Karte, Zahlung mit Authentifizierungsabfrage, Abbruch auf der Zahlungsseite, Erstattung und Teilerstattung. Ergebnis: Jeder Fall erzeugt den richtigen Status, der Kunde landet wieder im Shop.

Schritt 4: Starke Kundenauthentifizierung einstellen

Die Pflicht zur starken Kundenauthentifizierung trifft den Zahlungsdienstleister; bei Kartenzahlungen verlangt er sie mit dem Authentifizierungsverfahren der Kartenorganisationen, das Zahlungen ohne anwesende Karte absichert (PCI SSC, PCI 3DS Core Security Standard). Sie lassen die Abfrage zu und legen mit dem Anbieter fest, welche Ausnahmen er nutzt. Nach Art. 16 der Delegierten Verordnung (EU) 2018/389 darf er bei elektronischen Fernzahlungsvorgängen von der Authentifizierung absehen, wenn der Betrag 30 Euro nicht übersteigt und entweder die seit der letzten Authentifizierung ausgelösten Vorgänge zusammen nicht über 100 Euro gehen oder der Zahler nacheinander nicht mehr als fünf Vorgänge auslöst. Ob die Ausnahme greift, entscheidet der Zahlungsdienstleister. Ergebnis: Die Testfälle mit und ohne Abfrage laufen.

Schritt 5: Zahlungsstatus, Erstattung und Rückbuchung abbilden

Legen Sie je Zahlung fest, welcher Status wann gilt: angestoßen, autorisiert, abgebucht, erstattet, storniert, zurückgebucht. Klären Sie den Weg der Rückbuchungsmeldung. Verbuchen Sie die Auszahlungen gegen Ihre Bestellliste (Payment-Abrechnung verbuchen); Streitfälle behandelt Chargebacks handhaben. Ergebnis: Jede Auszahlung lässt sich Bestellungen zuordnen.

Schritt 6: Datenfluss dokumentieren und Fragebogen abstimmen

Schreiben Sie auf, an welchen Stellen Karteninhaberdaten auftreten können: Webserver und Formular, Shopsystem, Protokolldateien, Bestellnotizen, Support-Postfach und Ticketsystem. Diese Aufzeichnung ist die Grundlage für die Abstimmung mit dem Acquirer: welcher Fragebogen gilt, ob Sie seine Zulässigkeitsbedingungen erfüllen und bis wann Sie ihn vorlegen. Ergebnis: eine Aufzeichnung und eine schriftliche Antwort.

Schritt 7: Datenschutz und Rechtstexte nachziehen

Ein Zahlungsvorgang verarbeitet personenbezogene Daten. Klären Sie mit dem Anbieter und Ihrer Beratung, wie Abwicklung und Dienstleister in Datenschutzerklärung und Auftragsverarbeitung abzubilden sind (Auftragsverarbeitung Shop-Dienstleister, Datenschutzerklärung im Onlineshop). Prüfen Sie zudem, ob Checkout und AGB die gewählte Abwicklung nennen.

Schritt 8: Live schalten und beobachten

Schalten Sie erst live, wenn die Testfälle durchlaufen sind. Beobachten Sie danach als redaktioneller Vorschlag wöchentlich: Anteil abgelehnter Zahlungen, Zahlungen mit Authentifizierungsabfrage, Abbrüche auf der Zahlungsseite, offene Bestellungen ohne Zahlungseingang, Rückbuchungen. Nach jeder Änderung an Kartenfeldern, Modul oder Shopsystem-Version wiederholen Sie die Testfälle. Ergebnis: ein Kennzahlenverlauf, den Sie nach jeder Umstellung mit dem vorherigen Stand vergleichen.

Wer starke Kundenauthentifizierung verlangt

Nach Art. 97 Abs. 1 der Richtlinie (EU) 2015/2366 (PSD2) stellen die Mitgliedstaaten sicher, dass ein Zahlungsdienstleister eine starke Kundenauthentifizierung verlangt, wenn der Zahler online auf sein Zahlungskonto zugreift, einen elektronischen Zahlungsvorgang auslöst oder über einen Fernzugang eine Handlung vornimmt, die das Risiko eines Betrugs birgt. In Deutschland steht das in § 55 Abs. 1 ZAG, in Österreich in § 87 Abs. 1 ZaDiG 2018. Die Ausnahmen regelt die Delegierte Verordnung (EU) 2018/389, die seit 14. September 2019 anzuwenden ist (Art. 38 Abs. 2); wiederkehrende Zahlungen und die Transaktionsrisikoanalyse behandelt Starke Kundenauthentifizierung.

Für die Schweiz nennt dieser Artikel keine Authentifizierungspflicht: Die PSD2 gilt für Zahlungsdienste, die innerhalb der Union erbracht werden (Art. 2 Abs. 1). Anforderungen für einen Schweizer Vertrag klären Sie mit Ihrem Acquirer und den Kartenorganisationen.

Entgelte für Kartenzahlung

Ein Entgelt für die Nutzung einer Zahlungskarte dürfen Sie in Deutschland nicht vereinbaren, wenn Zahlungen von Verbrauchern betroffen sind und Kapitel II der Verordnung (EU) 2015/751 anwendbar ist (§ 270a Satz 2 BGB); für SEPA-Überweisung und SEPA-Lastschrift gilt das ohne diese Einschränkung (§ 270a Satz 1 BGB). In Österreich ist die Erhebung von Entgelten durch den Zahlungsempfänger bei Nutzung eines bestimmten Zahlungsinstruments unzulässig (§ 56 Abs. 3 ZaDiG 2018); Ermäßigungen und andere Anreize für ein Zahlungsinstrument bleiben dort zulässig. Unionsrechtliche Grundlage ist Art. 62 Abs. 4 PSD2. Für die Schweiz nennt der Artikel keine Regel; Schweizer Zuschläge behandelt Bestellabschluss in der Schweiz.

So prüfen Sie das Ergebnis

Vertrag, Händlernummer und Zugangsdaten liegen vor; Karten, Länder und Auszahlungswährung sind schriftlich bestätigt.
Der Integrationsweg ist festgelegt, der Datenfluss aufgezeichnet, der Fragebogen-Typ mit dem Acquirer abgestimmt und die Zulässigkeitsbedingungen des Fragebogens sind erfüllt.
Alle Testfälle aus Schritt 3 sind durchlaufen, auch Erstattung und Teilerstattung.
Jede Zahlung hat im Shopsystem einen Status, der zu Abrechnung und Auszahlung passt.
Karteninhaberdaten erscheinen in keinem Protokoll, keiner Bestellnotiz und keiner Support-Nachricht.

Wenn etwas nicht klappt

Symptom	Ursache	Behebung
Gültige Karten werden abgelehnt	Authentifizierung läuft nicht durch oder Ausnahmen sind nicht eingestellt	Einstellungen mit dem Anbieter prüfen, Testfall wiederholen
Der Shop zeigt “bezahlt”, im Anbieterkonto fehlt die Zahlung	Rückmeldung des Anbieters kommt nicht an oder wird doppelt verarbeitet	Rücksprung und Statusabfrage prüfen
Der Kunde kommt nach der Zahlung nicht in den Shop zurück	Rücksprung- oder Abbruchadresse passt nicht	Adressen im Anbieterkonto und im Shop abgleichen
Auszahlung und Bestellliste passen nicht zusammen	Gebühren, Erstattungen oder Zeitzonen sind nicht berücksichtigt	Abrechnung gegen die Bestellliste abgleichen
Der genannte Fragebogen passt nicht zum Datenfluss	Modul oder Shopsystem leitet Daten anders als angenommen	Datenfluss neu aufnehmen, Fragebogen-Typ bestätigen lassen

Wann Sie Hilfe holen sollten

Ziehen Sie Ihren Zahlungsdienstleister hinzu, wenn der Datenfluss unklar bleibt, eine Authentifizierung im Testbetrieb nicht durchläuft oder Haftungsfragen bei Rückbuchungen strittig sind. Für die Verbuchung der Auszahlungen und die Kalkulation eines Entgelts in Ihren Preisen ist Ihre Buchhaltung oder Steuerberatung die richtige Stelle.