Payment Gateway
Definition: Ein Payment Gateway ist eine technische Schnittstelle, die Zahlungsdaten zwischen dem Online-Shop des Händlers und dem Zahlungsabwickler (Acquirer oder PSP) verschlüsselt überträgt und die Transaktionsautorisierung in Echtzeit ermöglicht. Es ist das digitale Äquivalent zum Kartenterminal im stationären Handel: Der Kunde gibt seine Zahlungsdaten ein, das Gateway validiert, verschlüsselt und leitet sie sicher weiter, und gibt das Ergebnis (Autorisiert/Abgelehnt) zurück an den Shop.
Erläuterung
Das Payment Gateway ist das Scharnier im elektronischen Zahlungsverkehr. Ohne Gateway keine Kartenakzeptanz – es übersetzt den Kaufwunsch des Kunden in eine autorisierte Transaktion. In der modernen E-Commerce-Praxis verschwimmt die Grenze zwischen Gateway und PSP: Anbieter wie Stripe oder Adyen bieten beides in einer Lösung an. Für den Händler ist die praktische Frage: Welche Integration bietet die gewünschten Zahlungsmethoden, die notwendige Sicherheit und die beste Checkout-Experience?
Ablauf einer Gateway-Transaktion
- Schritt 1 – Dateneingabe: Kunde gibt Kartendaten oder Zahlungsdaten im Checkout ein; Gateway verschlüsselt sofort (SSL/TLS, Tokenisierung)
- Schritt 2 – Weiterleitung an PSP/Acquirer: Verschlüsselte Daten werden an den Payment Service Provider oder direkt an die Acquirer-Bank übermittelt
- Schritt 3 – Autorisierung: Acquirer fragt bei der kartenausgebenden Bank (Issuer) an, ob die Transaktion genehmigt wird; Kreditlimit, Kartenstatus, Betrugsmuster werden geprüft
- Schritt 4 – Rückantwort: Autorisiert oder abgelehnt; Gateway übermittelt Ergebnis an den Shop; Bestellung wird bestätigt oder Fehlermeldung angezeigt; Gesamtdauer typisch 1–3 Sekunden
Hosted Gateway vs. API-Gateway
- Hosted Payment Page: Kunde wird für Dateneingabe auf die Seite des Gateways weitergeleitet (z. B. PayPal-Checkout-Seite); Kartendaten nie im Shop; minimale PCI-DSS-Anforderungen für den Händler; weniger Kontrolle über Design und UX
- Embedded / iFrame: Zahlungsformular erscheint im Shop-Design als eingebetteter iFrame; Daten laufen durch das Gateway-System, nicht durch den Shop-Server; Balance aus UX und PCI-Sicherheit; am häufigsten genutzt
- API-Gateway (Direct Integration): Volle Kontrolle über das Zahlungsformular und UX; Kartendaten laufen durch die eigenen Server; erfordert PCI-DSS Level 1 oder 2 Zertifizierung; nur für sehr grosse Händler oder spezifische UX-Anforderungen sinnvoll
Führende Payment-Gateway-Anbieter
- Stripe: Developer-first; hervorragende API und Dokumentation; 1,5 % + 0,25 € (EU-Karten); 190+ Währungen; breite Zahlungsmethoden (Karte, SEPA, Klarna, Apple Pay, Google Pay); Shopify-nativ integrierbar
- Adyen: Enterprise-Fokus; führend bei internationalen Händlern mit hohem Volumen; eigene Acquiring-Lizenz für bessere Approval Rates; Interchange-Preismodell bei hohem Volumen günstiger
- Mollie: Stark im DACH- und Benelux-Raum; einfache Integration; gut für KMU; alle relevanten lokalen Zahlungsmethoden (iDEAL, Bancontact, SEPA); transparente Preise ohne Monatsgebühren
- Datatrans (Schweiz): Schweizer Marktführer; stark bei TWINT-Integration; ideal für Schweizer Händler; PCI-DSS-konform; Anbindung an Postfinance und Schweizer Banken
- Computop / PAYONE: Deutsche Alternativen; stark bei grossen deutschen Händlern; gute Anbindung an German banking (SEPA, Rechnungskauf-Integration)
PCI-DSS und Sicherheit
- PCI-DSS: Payment Card Industry Data Security Standard; Sicherheitsstandard für alle, die Kartendaten verarbeiten; 4 Compliance-Level je nach Transaktionsvolumen; bei Hosted/iFrame-Gateway meist nur SAQ A (einfachstes Level) nötig (→ PCI-DSS-Compliance)
- Tokenisierung: Gateway ersetzt echte Kartennummer durch einen Token; Token kann für Wiederkaufsbestellungen gespeichert werden ohne echte Kartendaten zu halten; Basis für «Saved Payment Methods»
- 3D Secure 2 (3DS2): Zusätzliche Authentifizierung für Kartentransaktionen (SMS-Code, Biometrie); EU-Pflicht unter PSD2 für bestimmte Transaktionen; gute Gateways implementieren 3DS2 reibungslos mit minimaler Conversion-Friction