Was eine gehostete Bezahlseite ist
Ihr Shop kennt den Warenkorb, den Betrag und die Bestellnummer. Für den Bezahlschritt übergibt er diese Angaben an den Zahlungsabwickler und schickt den Kunden auf eine Seite, die dieser betreibt. Dort wählt der Kunde seine Zahlart, gibt seine Kartendaten ein und durchläuft die Authentifizierung bei seiner Bank. Anschließend kommt er mit dem Ergebnis zurück in Ihren Shop.
Der entscheidende Punkt: Die Kartennummer wird nie an Ihren Server übermittelt. Sie liegt nicht in Ihrer Datenbank, nicht in Ihren Protokolldateien und nicht im Zwischenspeicher Ihres Webservers. Zurück bekommen Sie nur eine Zahlungskennung und bei Bedarf einen Platzhalter, mit dem sich spätere Erstattungen oder Folgezahlungen auslösen lassen.
Für einen Betrieb ohne eigene Entwicklungsabteilung ist das der schnellste und sicherste Weg. Ein Restaurant mit Tischreservierung und Anzahlung, eine Werkstatt mit Onlineannahme oder ein Hofladen mit Abholshop brauchen keine eigene Bezahlstrecke. Sie brauchen eine, die funktioniert, aktuell bleibt und im Ernstfall nicht ihr Problem ist.
Drei Auslieferungsformen — derselbe Kern
Gehostet heißt nicht zwingend, dass der Kunde Ihre Seite sichtbar verlässt. Es gibt drei gängige Darstellungen.
- 01Weiterleitung
- Der Kunde landet auf einer eigenständigen Bezahlseite; die Adresse im Browser wechselt sichtbar. Das ist die robusteste Variante, weil sie auch auf alten Geräten und in eingeschränkten Browsern funktioniert. Der Nachteil ist der sichtbare Bruch — manche Kunden werden misstrauisch, wenn plötzlich ein fremder Name in der Adresszeile steht.
- 02Eingebetteter Rahmen
- Die Bezahlseite wird in einem abgeschirmten Bereich innerhalb Ihrer Seite angezeigt. Optisch bleibt der Kunde bei Ihnen, technisch tippt er in eine fremde, abgesicherte Umgebung. Für den Sicherheitsnachweis wird das in der Regel wie eine gehostete Seite behandelt, solange die Eingabefelder nicht Teil Ihrer eigenen Seite sind.
- 03Überlagerung
- Die Bezahlseite legt sich als Fenster über den Warenkorb, der Hintergrund bleibt sichtbar. Im deutschsprachigen Markt begegnet Ihnen dafür auch der Begriff Lightbox. Inhaltlich ist es derselbe eingebettete Rahmen, nur anders positioniert.
Warum der Sicherheitsnachweis der eigentliche Kostenfaktor ist
Wer Kartenzahlungen annimmt, unterliegt dem Kartensicherheitsstandard PCI DSS. Dieser Standard verlangt einen jährlichen Nachweis, dass Kartendaten in Ihrem Umfeld sicher behandelt werden. Für die meisten Händler geschieht das über eine Selbstauskunft, einen standardisierten Fragebogen. Welcher Fragebogen für Sie gilt, hängt nicht von Ihrem guten Willen ab, sondern davon, wo die Kartendaten technisch entlanglaufen.
Das ist der Punkt, an dem sich die Wege wirtschaftlich unterscheiden. Ein Händler, der die Bezahlseite auslagert, füllt einen kurzen Fragebogen aus. Ein Händler, der das Formular selbst baut und die Kartendaten über den eigenen Server schickt, landet beim umfangreichsten Fragebogen mit Hunderten von Anforderungen an Netzwerktrennung, Protokollierung, Schwachstellenprüfung und Zugriffskontrolle. Der Unterschied ist für einen mittelständischen Betrieb kein Detail, sondern eine ernsthafte Jahresposition.
Wichtig ist dabei die geteilte Verantwortung: Auch der beste Abwickler nimmt Ihnen nicht alles ab. Ihr Shopsystem, Ihre Server und Ihre Zugangsdaten bleiben Ihre Baustelle. Was Sie sich aber sparen, ist der gesamte Block rund um die Verarbeitung und Speicherung von Kartendaten — und das ist der aufwendigste Teil.
Welche Selbstauskunft zu welcher Umsetzung gehört
Die Bezeichnungen der Fragebögen wirken kryptisch, die Logik dahinter ist einfach: Je näher die Kartendaten an Ihrem System liegen, desto umfangreicher der Nachweis.
| Umsetzung | Selbstauskunft | Was das bedeutet |
|---|---|---|
| Gehostete Bezahlseite oder eingebetteter Rahmen | SAQ A | Der kürzeste Fragebogen. Kartendaten berühren Ihre Systeme nicht. |
| Eigenes Formular mit Umwandlung im Browser | SAQ A-EP | Deutlich umfangreicher, weil Ihre Seite den Bezahlvorgang beeinflusst, auch wenn die Daten direkt weiterfließen. |
| Kartenterminal am Verkaufsort | SAQ C | Kartendaten werden ausschließlich über das Terminal erfasst. |
| Manuelle Erfassung im Browser | SAQ C-VT | Gilt für das virtuelle Terminal und wird ausdrücklich als Ausnahmefall behandelt. |
| Direktanbindung über die Schnittstelle | SAQ D | Der umfangreichste Nachweis. Sie verarbeiten Kartendaten selbst und tragen die volle Prüflast. |
Zusätzlich zur Selbstauskunft verlangen die Kartensysteme regelmäßige Schwachstellenprüfungen Ihrer von außen erreichbaren Systeme. Stand August 2026. Diese Übersicht ersetzt keine verbindliche Einstufung durch einen qualifizierten Prüfer.
Die Händlerstufen nach Transaktionsvolumen
Neben der Integrationsart bestimmt Ihr Jahresvolumen, wie der Nachweis geführt wird. Die Grenzen setzen die Kartensysteme, nicht Ihr Abwickler.
| Stufe | Grober Anhaltspunkt | Nachweisform |
|---|---|---|
| Stufe 1 | sehr hohe Transaktionszahlen pro Jahr oder nach einem Datenabfluss | Prüfbericht durch einen qualifizierten Prüfer, zusätzlich regelmäßige Schwachstellenprüfungen |
| Stufe 2 | hohe Transaktionszahlen pro Jahr | Selbstauskunft, gegengezeichnet von einem qualifizierten oder internen Prüfer |
| Stufe 3 | mittleres Onlinevolumen | vereinfachtes Risikomanagement, in der Regel Selbstauskunft |
| Stufe 4 | kleines Onlinevolumen — der Normalfall für Handel und Handwerk | vereinfachtes Risikomanagement, in der Regel Selbstauskunft |
Die genauen Schwellen unterscheiden sich je Kartensystem und werden von diesen festgelegt. Wenn Sie wissen wollen, in welche Stufe Ihr Betrieb fällt, sagen Sie uns Ihre Transaktionszahl — dann ordnen wir das gemeinsam ein.
Was Sie mit einer gehosteten Bezahlseite nicht mehr selbst tun
Was bleibt: Ihr Shop, Ihre Zugangsdaten, Ihre Serverpflege — und die Entscheidung, welche Zahlarten Sie anbieten.
Was sich an der Bezahlseite gestalten lässt
Gehostet bedeutet nicht anonym. Für den Kunden soll erkennbar bleiben, bei wem er kauft.
- 01Erscheinungsbild
- Logo, Farben, Schrift und Hintergrund lassen sich an Ihren Shop angleichen, damit der Übergang nicht wie ein Bruch wirkt. Je näher die Bezahlseite optisch an Ihrem Shop liegt, desto weniger Kunden brechen an dieser Stelle ab.
- 02Zahlartenauswahl
- Sie legen fest, welche Verfahren angeboten werden — und in welcher Reihenfolge. Die Reihenfolge ist kein Schönheitsthema: Was oben steht, wird häufiger gewählt.
- 03Sprache und Währung
- Die Seite kann sich nach dem Land des Kunden richten. Für einen Shop, der nach Deutschland und Österreich liefert, heißt das unterschiedliche Zahlarten bei gleichem Erscheinungsbild.
- 04Mobile Darstellung
- Der überwiegende Teil der Onlinekäufe entsteht heute am Telefon. Eine Bezahlseite, die dort nicht sauber funktioniert, kostet mehr Umsatz als jede Gebührendifferenz. Prüfen Sie das vor dem Livegang auf echten Geräten, nicht nur im verkleinerten Browserfenster.
- 05Rücksprungadressen
- Für Erfolg, Abbruch und Fehler gehören eigene Zielseiten hinterlegt. Ein Kunde, der nach einem Abbruch auf einer leeren Seite landet, kommt selten zurück. Ein Kunde, der seinen Warenkorb unverändert wiederfindet, versucht es meist noch einmal.
Die Authentifizierung passiert an dieser Stelle
Auf der Bezahlseite läuft auch die starke Kundenauthentifizierung ab. Im günstigen Fall merkt der Kunde davon nichts, weil seine Bank die Zahlung im Hintergrund freigibt. Im anderen Fall wird er aufgefordert, sich in seiner Banking-App zu bestätigen — per Fingerabdruck, Gesichtserkennung oder Freigabecode. Beide Wege sind vorgesehen, und welcher genommen wird, entscheidet nicht Ihr Shop, sondern die Bank des Kunden.
Für Sie hat das einen praktischen Vorteil: Sie müssen die Verfahren nicht selbst einbauen und nicht selbst aktuell halten. Wenn die Kartensysteme eine neue Version ihres Authentifizierungsverfahrens verlangen, betrifft das die gehostete Seite, nicht Ihren Shop. Wer eigene Formulare betreibt, muss solche Umstellungen selbst nachziehen — meist mit Frist und meist zum ungünstigsten Zeitpunkt.
Was die Authentifizierung für Ihre Abschlussquote bedeutet und in welchen Fällen sie ausnahmsweise entfallen kann, steht ausführlich auf der Seite zu 3-D Secure. Dort steht auch, was jede Ausnahme an Haftungsschutz kostet — denn das ist der Teil, den die meisten Anbieter weglassen.
Häufige Fragen zur Bezahlseite
Merkt mein Kunde, dass er die Seite wechselt?
Bei der Weiterleitung ja — die Adresse im Browser ändert sich. Beim eingebetteten Rahmen und bei der Überlagerung bleibt er optisch in Ihrem Shop. Wenn Ihre Kundschaft eher zurückhaltend ist, ist die eingebettete Variante die ruhigere Wahl. Wenn Sie viel Publikum mit alten Geräten haben, ist die Weiterleitung die robustere.
Kann ich trotzdem Kartendaten für Folgekäufe speichern?
Speichern nicht, aber hinterlegen. Der Abwickler legt die Karte ab und gibt Ihnen einen Platzhalter zurück. Mit diesem Platzhalter lösen Sie spätere Zahlungen oder Erstattungen aus, ohne je eine Kartennummer zu besitzen. Für Abonnements und Stammkunden ist das der übliche Weg.
Was passiert, wenn der Kunde während der Zahlung das Fenster schließt?
Dann bleibt die Zahlung in einem offenen Zustand, bis der Abwickler sie als abgelaufen markiert. Ihr Shop darf in diesem Moment keine Bestellung als bezahlt buchen. Verlassen Sie sich deshalb nie auf die Rückkehr des Kunden, sondern auf die Statusmeldung des Abwicklers — mehr dazu auf der Entwicklerseite.
Verliere ich Abschlüsse, weil der Kunde die Seite wechselt?
Ein sichtbarer Wechsel kostet erfahrungsgemäß etwas, ein unsauberer Wechsel kostet deutlich mehr. Wer Logo und Farben übernimmt, den Betrag klar anzeigt und nach dem Bezahlen zuverlässig in den Shop zurückführt, verliert wenig. Wer den Kunden auf eine fremd wirkende, langsam ladende Seite schickt, verliert viel.
Wer haftet, wenn die Bezahlseite ausfällt?
Die technische Verfügbarkeit liegt beim Betreiber der Seite. Was Sie tun können, ist vorzusorgen: eine zweite Zahlart, die nicht über denselben Weg läuft, und eine verständliche Fehlerseite mit Kontaktmöglichkeit. Wir sagen Ihnen im Gespräch, wie die Zusagen zur Verfügbarkeit im konkreten Fall aussehen — pauschal auf einer Website behauptet man das nicht.
Muss ich mich trotzdem um PCI DSS kümmern?
Ja, aber deutlich weniger. Die Verantwortung ist geteilt: Der Abwickler weist seine eigene Konformität nach, Sie führen Ihre Selbstauskunft. Lassen Sie sich den Nachweis Ihres Dienstleisters zeigen — ein seriöser Anbieter legt ihn vor, ohne dass Sie zweimal fragen müssen.
Zahlarten auf der Bezahlseite
Karten, Wallets und internationale Verfahren in einem Checkout — der Kunde wählt, was er kennt, ohne den Shop zu verlassen.
