Was ist ein Payment-Gateway? So funktionieren Online-Zahlungen
Ein Payment-Gateway ist der Dienst, der beim Checkout die Zahlungsdaten einer Kundin sicher entgegennimmt, an die Banken und Kartennetzwerke zur Freigabe weitergibt und „genehmigt“ oder „abgelehnt“ zurückschickt, meist innerhalb weniger Sekunden. Es ist die Brücke zwischen deiner App und dem Finanzsystem. Stripe, PayPal, Adyen, Square und Braintree sind bekannte Beispiele.
Heute bündeln die meisten dieser Unternehmen das Gateway mit allem, was du zum Geldeinnehmen brauchst. Deshalb werden „Payment-Gateway“, „Payment-Processor“ und „Zahlungsanbieter“ oft als Synonyme verwendet.
Warum Payment-Gateways beim Bauen mit KI wichtig sind
„Zahlungen hinzufügen“ gehört zu den häufigsten Anfragen an KI-Builder und ist eine der Aufgaben, bei denen man leicht unbemerkt Fehler macht. Der Code selbst ist meist kurz. Wichtig sind die Entscheidungen drumherum:
- Welcher Anbieter zu deinem Geschäft, deinem Land und deinen Produkten passt.
- Wo der Code läuft. Geheime Zahlungsschlüssel müssen auf dem Server bleiben, niemals im Browser.
- Wie deine App erfährt, dass eine Zahlung erfolgreich war. Verlässlich geschieht das über einen Webhook des Anbieters und nicht dadurch, dass die Kundin auf einer Danke-Seite landet.
- Deine rechtlichen und steuerlichen Pflichten, die davon abhängen, wer Merchant of Record ist.
Wer versteht, was ein Gateway tut, kann klare Anweisungen geben und prüfen, ob das Ergebnis sicher ist.
Ein Alltagsvergleich
Denk an das Bezahlen mit Karte im Laden.
Das Kartenterminal an der Kasse ist das Gateway: Es liest deine Karte sicher und schickt die Anfrage los. Es entscheidet nichts. Es gibt die Frage „Kann diese Person 40 € zahlen?“ über eine Kette zu deiner Bank weiter und bekommt die Antwort zurück. Die Bank des Geschäfts (Acquirer) und deine Bank (Issuer) entscheiden, über das Kartennetzwerk (Visa, Mastercard), das beide verbindet.
Ein Online-Payment-Gateway ist dieses Terminal, für das Web neu gebaut, dazu die Sicherheit, um Kartendaten zu verarbeiten, die über das Internet ankommen.
So funktioniert eine Online-Kartenzahlung
Hier passiert alles in den wenigen Sekunden, nachdem eine Kundin auf „Bezahlen“ geklickt hat:
| Schritt | Was passiert | Wer übernimmt es |
|---|---|---|
| 1. Checkout | Die Kundin gibt ihre Kartendaten in ein sicheres Zahlungsformular ein | Das Formular oder die Seite des Zahlungsanbieters |
| 2. Verschlüsselung | Die Daten werden verschlüsselt und an das Gateway gesendet | Gateway |
| 3. Autorisierungsanfrage | Die Anfrage geht an das Kartennetzwerk und die Bank der Kundin | Processor, Kartennetzwerk |
| 4. Prüfungen | Die Bank prüft Deckung und Betrugssignale und kann eine zusätzliche Bestätigung verlangen, etwa 3D Secure | Issuing-Bank |
| 5. Antwort | Genehmigt oder abgelehnt kommt zu deiner App zurück | Gateway |
| 6. Einzug und Abrechnung | Das Geld wird eingezogen und nach dem Auszahlungsplan des Anbieters abzüglich Gebühren auf dein Bankkonto überwiesen | Processor, Acquirer |
Zwei Punkte sind wichtig:
- Autorisierung heißt nicht, bezahlt zu sein. Zuerst wird Geld reserviert, dann eingezogen, dann auf dein Konto abgerechnet, oft erst nach Tagen.
- Deine App sollte die Kartennummer gar nicht sehen. Moderne Anbieter stellen dir eine gehostete Checkout-Seite oder eingebettete Felder zur Verfügung, die sie kontrollieren. Deine App bekommt nur einen Verweis auf die Zahlung.
Die wichtigsten Bausteine und wer sie übernimmt
| Baustein | Was es ist |
|---|---|
| Payment-Gateway | Erfasst Zahlungsdaten sicher und gibt sie weiter. |
| Payment-Processor | Wickelt die Transaktionsdaten zwischen den Banken ab. |
| Händlerkonto (Merchant Account) | Das Konto, das Kartenzahlungen in deinem Namen empfängt. Bei Anbietern wie Stripe gebündelt. |
| Acquirer | Die Bank auf Seiten des Händlers. |
| Issuer | Die Bank der Kundin, die genehmigt oder ablehnt. |
| Kartennetzwerk | Visa, Mastercard und andere, die Acquirer und Issuer verbinden. |
| Merchant of Record | Das Unternehmen, das rechtlich an die Kundin verkauft und für Steuern, Erstattungen und Streitfälle verantwortlich ist. |
Manche Anbieter (Paddle, Lemon Squeezy) treten selbst als Merchant of Record auf und übernehmen für dich Umsatzsteuer und MwSt. gegen höhere Gebühren. Andere (Stripe, PayPal) lassen dich als Merchant of Record zurück, mit optionalen Steuerwerkzeugen. Einen fairen Überblick über die Optionen bieten Stripe vs. Paddle vs. Lemon Squeezy und Stripe vs. PayPal.
Ein Beispiel: einen Kurs verkaufen
Du verkaufst einen Online-Kurs für 99 € und bittest deinen KI-Builder um einen Button „Kaufen“.
- Die Kundin klickt auf Kaufen. Dein Server verwendet seinen geheimen Schlüssel, um den Anbieter zu bitten, eine Checkout-Sitzung über 99 € zu erstellen, und bekommt einen Link zurück.
- Die Kundin wird zur gehosteten Checkout-Seite des Anbieters geschickt, gibt ihre Karte ein und besteht gegebenenfalls die 3D-Secure-Prüfung bei ihrer Bank.
- Die Zahlung wird genehmigt, und die Kundin wird auf deine Seite „Erfolgreich“ weitergeleitet.
- Unabhängig davon schickt der Anbieter einen Webhook an deinen Server: „Zahlung für Sitzung X war erfolgreich.“ Dein Server prüft die Signatur des Webhooks, findet die Bestellung, markiert sie als bezahlt und schaltet den Kurs frei.
- Einige Tage später landet das Geld abzüglich der Gebühren auf deinem Bankkonto.
Schritt 4 ist der wichtigste. Würdest du den Kurs stattdessen auf der Erfolgsseite freischalten, könnte jeder, der diese URL findet, ihn kostenlos bekommen, und Kundinnen, deren Browser sich zu früh schließt, würden zahlen und nichts erhalten.
Wichtige Begriffe
| Begriff | Bedeutung |
|---|---|
| Checkout-Sitzung | Eine einmalige Zahlungsseite oder ein Ablauf, den dein Server für einen bestimmten Kauf erstellt. |
| Testmodus | Eine Sandbox mit Testschlüsseln und Testkartennummern, bei der kein echtes Geld fließt. |
| Publishable / Secret Key | Der Publishable Key darf im Browser-Code stehen; der Secret Key muss auf dem Server bleiben. |
| 3D Secure | Ein zusätzlicher Schritt, bei dem die Kundin die Zahlung mit ihrer Bank bestätigt. In Europa üblich nach den Regeln der Starken Kundenauthentifizierung (SCA). |
| PCI DSS | Der Sicherheitsstandard der Kartenbranche für alle, die Kartendaten verarbeiten. |
| Chargeback | Wenn eine Kundin eine Zahlung bei ihrer Bank anficht und das Geld zurückgeholt wird. |
| Erstattung (Refund) | Geld, das du freiwillig zurückgibst. |
| Auszahlung (Payout) | Die Überweisung des eingezogenen Geldes vom Anbieter auf dein Bankkonto. |
Häufige Missverständnisse
- „Ich muss Kartennummern speichern, um Kundinnen erneut zu belasten.“ Nein. Anbieter speichern die Karte und geben dir einen Referenz-Token für wiederkehrende Zahlungen und Abos. Du solltest Kartennummern niemals selbst speichern.
- „Die Erfolgsseite bedeutet, dass die Zahlung funktioniert hat.“ Bestätige Zahlungen über Webhooks auf dem Server. Weiterleitungen können übersprungen, gefälscht werden oder gar nicht stattfinden.
- „Alle Zahlungsanbieter kosten ungefähr gleich viel.“ Die Gebühren unterscheiden sich nach Anbieter, Land, Kartentyp und danach, ob die Steuerabwicklung enthalten ist. Prüfe die aktuelle Preisseite jedes Anbieters für dein Land.
- „Wenn ich Stripe nutze, bin ich PCI-konform.“ Das vereinfacht die Konformität erheblich, weil die Kartendaten beim Anbieter bleiben. Du musst trotzdem eine (meist kurze) Selbstbeurteilung ausfüllen.
- „Testmodus und Live-Modus verhalten sich identisch.“ Sie ähneln sich, aber der Live-Modus braucht ein vollständig verifiziertes Konto, echte Webhook-Endpunkte für die Live-Umgebung und echte Bankdaten.
- „Ein Payment-Gateway übernimmt meine Steuern.“ Nur wenn es Merchant of Record ist oder du seine Steuerfunktionen aktivierst und konfigurierst. Prüfe die lokalen Regeln oder frag eine Beraterin oder einen Berater.
Was du deinen KI-Builder fragen solltest
- „Füge [Stripe] Checkout für [Produkt] hinzu. Erstelle die Sitzung auf dem Server mit dem geheimen Schlüssel aus einer Umgebungsvariable.“
- „Markiere Bestellungen nur dann als bezahlt, wenn ein verifizierter Webhook eintrifft, und prüfe die Signatur des Webhooks.“
- „Der Webhook kann zweimal gesendet werden; er darf keine doppelten Bestellungen erzeugen.“
- „Verwende Testmodus-Schlüssel und erkläre mir das Testen mit den Testkarten des Anbieters, einschließlich einer abgelehnten Karte.“
- „Was passiert, wenn die Kundin den Tab nach der Zahlung schließt?“
- „Zeige mir jede Stelle, an der ein Zahlungsschlüssel verwendet wird, und bestätige, dass der geheime Schlüssel nie im Browser ankommt.“
Payment-Gateways in Mythex
Mythex enthält keine eingebauten Zahlungen für die Apps, die du baust, und es gibt keinen Ein-Klick-Knopf „Stripe verbinden“. Du legst ein Konto bei deinem gewählten Anbieter an, trägst dessen Testschlüssel als Projekt-Secrets ein und bittest den Agenten, den Checkout auf der Serverseite zu bauen. Teste in der Vorschau mit den Testkarten des Anbieters und veröffentliche dann. Die Dokumentation beschreibt das unter Zahlungen mit Stripe annehmen, und Webhooks behandelt den Bestätigungsschritt.
Für eine Schritt-für-Schritt-Anleitung siehe wie du Zahlungen zu deiner App hinzufügst und für wiederkehrende Abrechnung wie du Abos mit Stripe hinzufügst.
Fragen
Was ist ein Payment-Gateway einfach erklärt?
Ein Payment-Gateway ist der Dienst, der die Zahlungsdaten einer Kundin sicher aus deinem Checkout entgegennimmt, zur Freigabe an die Banken und Kartennetzwerke schickt und deiner App eine Genehmigung oder Ablehnung zurückgibt, meist innerhalb weniger Sekunden.
Worin unterscheidet sich ein Payment-Gateway von einem Payment-Processor?
Genau genommen ist das Gateway die sichere Eingangstür, die Zahlungsdaten erfasst und weitergibt, und der Processor wickelt die Transaktion zwischen den Banken ab. In der Praxis bündeln moderne Anbieter wie Stripe, PayPal und Adyen beides und dazu das Händlerkonto in einem Dienst, weshalb die Begriffe oft gleichbedeutend verwendet werden.
Muss ich PCI-konform sein, um Kartenzahlungen anzunehmen?
Jedes Unternehmen, das Karten annimmt, muss in irgendeiner Form den Sicherheitsstandard PCI DSS erfüllen. Eine gehostete Checkout-Seite oder die eingebetteten Zahlungsfelder des Anbieters sorgen dafür, dass Kartennummern nie deine Server berühren, und das verringert deine Verantwortung erheblich. Dein Anbieter sagt dir, welche Selbstbeurteilung für dich gilt.
Was ist ein Merchant of Record?
Ein Merchant of Record ist das Unternehmen, das rechtlich an die Kundin verkauft und für Dinge wie das Erheben und Abführen von Umsatzsteuer oder MwSt. sowie für Erstattungen und Rückbuchungen verantwortlich ist. Dienste wie Paddle und Lemon Squeezy treten für dich als Merchant of Record auf; bei Stripe oder PayPal bist du es meist selbst.
Kann ich Zahlungen zu einer mit KI gebauten App hinzufügen?
Ja. Ein KI-Builder kann den Code schreiben, der deine App mit einem Anbieter wie Stripe verbindet: Checkout-Sitzungen auf dem Server erstellen, Webhooks verarbeiten und Bestellungen aktualisieren. Du brauchst trotzdem ein eigenes Konto beim Anbieter, und du solltest alles im Testmodus des Anbieters prüfen, bevor du live gehst.