Den eigenen Payment Stack besitzen

Der Kartentresor liegt nicht in deinem Shop

Das ist der eine Gedanke, auf dem diese ganze Serie ruht. Wenn eine Kundin bei dir eine Karte speichert, behält dein Shop nicht die Kartennummer. Er behält einen Token, einen bedeutungslosen Platzhalter, während die echte Kartennummer in einem gesicherten Speicher bei deinem Zahlungsdienstleister liegt. Die Kartenindustrie hat für diesen Speicher einen Namen. In der eigenen Leitlinie des PCI Security Standards Council ersetzt ein Token die Kartennummer durch einen Ersatzwert, der Token darf anstelle der echten Nummer gespeichert werden, und die echten Nummern liegen in dem, was der Council einen Card Data Vault nennt, also einen Kartentresor.¹

Lies das zweimal, denn fast jede schmerzhafte Zahlungsmigration, die ich gesehen habe, kommt daher, dass man das nicht verstanden hat. Die Geldmaschine, der Tresor, die gespeicherten Karten, die Abo Pläne: all das liegt beim Dienstleister. Dein Shop hält nur Verweise darauf. Die Frage, die darüber entscheidet, ob du je in der Falle sitzt, ist also nicht, welche Shop Software du betreibst. Es ist die Frage, wem das Dienstleisterkonto gehört, zu dem der Tresor gehört.

Gehört das Konto dir, dann ist der Tresor über ein Konto erreichbar, das du kontrollierst, und du kannst jede Storefront, jedes Framework und jede Plattform darauf richten. Gehört das Konto einer Plattform, die dir Zahlungen als gebündeltes Feature vermietet, dann ist der Tresor nur über diese Plattform erreichbar, und an dem Tag, an dem du gehst, zeigen die Verweise in deinem Shop auf eine Tür, zu der du keinen Schlüssel mehr hast. Dieser Artikel ist die Landkarte, um in der ersten Welt zu bleiben. Er ist das positive Spiegelbild meiner Migrationsserie, in der es darum geht, einen Shop zu retten, der schon feststeckt. Hier geht es darum, nie Rettung zu brauchen.

Wem das Konto gehört, entscheidet über die Portabilität

Fang bei dem an, was ein Dienstleister dich tatsächlich tun lässt, denn das ist der Test. Stripe, um einen Dienstleister zu nehmen, der seinen Ablauf ausführlich veröffentlicht, lässt dich deine Kundinnen und deren gespeicherte Karten von einem früheren Dienstleister weg und zu Stripe migrieren, wobei der alte Dienstleister die verschlüsselten Kartendaten direkt an Stripe schickt, während du bestehende Kundinnen so lange über das alte Konto belastest, bis das neue bereit ist.² Der umgekehrte Weg ist der Teil, auf den es beim Eigentum am meisten ankommt. Stripe sagt klar, dass du deine Daten zu einem späteren Zeitpunkt zu jedem PCI konformen Dienstleister exportieren kannst, solange der aufnehmende Dienstleister eine gültige PCI Bestätigung und einen öffentlichen Verschlüsselungsschlüssel bereitstellt.²

Genau dieser eine Satz ist das, was Eigentum kauft. Weil der Tresor beim Dienstleister liegt und das Konto dir gehört, können die Karten von Dienstleister zu Dienstleister wandern, direkt und verschlüsselt, ohne dass du je eine Kartennummer berührst und ohne dass deine Kundinnen irgendetwas neu eingeben. Eine Sache wandert per Regel nie mit: der Kartenprüfcode, den PCI DSS nach der Autorisierung einer Zahlung niemand speichern darf und den du zum Belasten einer gespeicherten Karte ohnehin nicht brauchst.² Alles andere, was aus einer wiederkehrenden Kundin eine wiederkehrende Kundin macht, kann reisen.

Halte das jetzt gegen die Alternative. Gehört dir das Konto nicht, steht dir nichts davon offen, denn der Export ist eine Übertragung von Dienstleister zu Dienstleister, und du bist nicht die Partei, die eine der beiden Dienstleisterbeziehungen hält. Die Portabilität ist echt, aber sie gehört demjenigen, dem das Konto gehört.

Dieselbe Maschine, ohne die Schlüssel

Die schärfste Fassung davon ist ein Produkt, das die meisten Shop Betreiber als die bequeme Voreinstellung sehen: die eigenen gebündelten Zahlungen einer Plattform. Nimm Shopify Payments als Musterfall, und sei genau, denn das Detail ist der ganze Punkt. Die eigene Dienstleisterliste von Shopify benennt die Dienstleister hinter Shopify Payments, und in Markt um Markt sind es Stripe Gesellschaften, wobei der globale Eintrag ein mit Stripe verbundenes Unternehmen nennt, das je nach deinem Standort gilt.³ Darunter läuft eine Shopify Payments Händlerin also auf derselben Verarbeitungsmaschine, auf der eine unabhängige Stripe Händlerin läuft.

Der Unterschied ist nicht die Maschine. Es sind die Schlüssel. Bei Shopify Payments wird die Dienstleisterbeziehung von der Plattform arrangiert, zu Bedingungen, die die Plattform setzt, und Shopify sagt ausdrücklich, dass es selbst nicht Vertragspartei dieser Dienstleisterbedingungen ist und dir daraus nicht haftet.⁴ Du bekommst die Maschine, ohne das Konto zu halten, auf das der Tresor hört. Es gibt keinen Export von Dienstleister zu Dienstleister, den du anstoßen kannst, denn du bist nicht in der Weise die direkte Kundin des Dienstleisters, zu der dich ein eigenes Konto macht. Wenn du die Plattform verlässt, kommen die gespeicherten Karten nicht als saubere verschlüsselte Übertragung mit. Genau das ist die Falle, die ich in die versteckten Gefahren beim Wechseln von Payment Gateways beschreibe, und sie ist ein großer Teil dessen, was den Weg weg von Shopify schwerer macht als das Umziehen von Katalog und Theme. Dieselbe Maschine, ohne die Schlüssel, ist an dem Tag, an dem du gehen willst, weniger wert, als sie aussieht.

Ich will hier fair sein, denn das ist ein architektonisches Argument und keine Beschwerde über ein Unternehmen. Ein gebündeltes Zahlungsprodukt ist wirklich bequem. Es ist schnell eingeschaltet, die Abstimmung ist ordentlich, und für einen Shop, der nie die Plattform wechselt, kann es die richtige Wahl sein. Ich benenne nur den Preis, der später und leise bezahlt wird: du mietest die Dienstleisterbeziehung, und gemietete Beziehungen enden zu den Bedingungen des Vermieters.

Die vier Dinge, die mitwandern, wenn das Konto dir gehört

Gehört das Konto dir, werden vier verschiedene Dinge portabel, und jedes hat in dieser Serie seine eigene Speiche, weil jedes seine eigene Mechanik hat, die sich zu verstehen lohnt.

Das erste sind die gespeicherten Karten selbst, die Token und der Tresor dahinter. Wie ein Token für eine Karte einsteht, warum er für eine Diebin wertlos ist und warum genau das die Karten überhaupt wandern lässt, ist das Thema von wie Karten Tokenisierung funktioniert.

Das zweite ist der Akt des Umzugs. Die verschlüsselte Übertragung von Dienstleister zu Dienstleister, die Zuordnungsdatei, die jede gespeicherte Karte neu mit ihrem neuen Verweis verknüpft, die Rampe, die eine Wand aus Ablehnungen vermeidet: das sind Zahlungsdaten, die mit umziehen.

Das dritte ist das schwierigste und das, an dem gebündelte Produkte am festesten halten: die wiederkehrenden Vereinbarungen. Ein Abo ist nicht nur eine gespeicherte Karte, es ist ein Plan und ein Mandat, und ob das dir gehört, ist der Unterschied zwischen einem Geschäft, das du tragen kannst, und einem, das du neu bauen musst. Das sind Abonnements, die wirklich dir gehören.

Das vierte ist Reichweite. Ein einziges eigenes Dienstleisterkonto kann hinter mehreren Storefronts gleichzeitig stehen, sodass eine zweite Marke oder ein Plattformwechsel nicht eine zweite Dienstleisterbeziehung, eine zweite Reserve und eine zweite Runde Prüfung bedeutet. Das ist ein Zahlungskonto für mehrere Shops.

Als Satz gelesen beschreiben sie einen Payment Stack, den du frei umformen kannst, weil das eine unersetzliche Gut, der Tresor voller Kundenbeziehungen, an einem Konto verankert ist, das deinen Namen trägt.

Die ehrlichen Kompromisse, denn Eigentum ist nicht gratis

Das Konto zu besitzen lohnt sich, und ich wäre ein schlechter Berater, würde ich so tun, als wäre es mühelos oder kostenlos. Hier ist die ehrliche Bilanz.

Dienstleistergebühren sind ein echter, laufender Kostenpunkt, und sie sind nicht versteckt. Die veröffentlichte Preisliste von Stripe für Österreich lautet im aktuellen Stand 1,5 % plus 0,25 € für Standardkarten aus dem Europäischen Wirtschaftsraum und 3,15 % plus 0,25 € für ausländische Karten, je erfolgreicher Transaktion.⁵ Ein gebündeltes Plattformprodukt verlangt seinen eigenen Satz, auf dem Papier mal niedriger, mal höher, und der Punkt ist nicht, dass eines immer gewinnt. Der Punkt ist, dass du mit einem eigenen Konto den Satz sehen, ihn beim Wachsen verhandeln und den Dienstleister wechseln kannst, wenn ein besserer auftaucht, weil das Konto dir gehört und du es bewegen darfst.

Die starke Kundenauthentifizierung ist der zweite Posten. Unter PSD2 brauchen von der Kundin ausgelöste Online Kartenzahlungen an europäische Karteninhaber in der Regel eine Zwei Faktor Authentifizierung, in der Praxis 3D Secure, und Banken dürfen Zahlungen ablehnen, die dem nicht folgen.⁶ Das gilt für dich, egal wer das Konto hält, gebündelt oder eigen, es ist also kein Grund, das Mieten vorzuziehen. Es ist ein Grund, die Kasse ordentlich zu bauen. Die nützliche Feinheit ist, dass eine korrekt gespeicherte Karte, die belastet wird, während die Kundin weg ist, also eine vom Händler ausgelöste Transaktion, für eine Ausnahme infrage kommen kann, auch wenn Stripe vorsichtig sagt, dass Ausnahmen nie garantiert sind und die Bank trotzdem nachfragen kann.⁶

Drittens heißt das Konto zu besitzen, dass du die Händlerbeziehung hältst, und dazu gehören die Teile, die niemand mag. Rückbuchungen landen auf deinem Konto, und der Dienstleister zieht den strittigen Betrag und eine Gebühr direkt von deinem Guthaben ab, während du Belege sammelst.⁷ Du trägst auch einen Teil der PCI Pflichten. Die gute Nachricht, und sie ist wirklich gut, ist: Baust du die Kasse so, dass rohe Kartennummern direkt von der Kundin zum Dienstleister gehen und nie deine Server berühren, dann sitzt du auf der leichtesten Selbstauskunft, SAQ A, einem bescheidenen jährlichen Formular statt einer Prüfung. Wie das genau geht, lege ich in PCI DSS erklärt dar. Das Konto zu besitzen zieht dich nicht in ein schweres Prüfregime. Eine unachtsam gebaute Kasse tut das.

Viertens ist ein einziger Dienstleister ein einzelner Punkt, um den du planen musst. Wird dein eines Konto gesperrt, zur Prüfung zurückgehalten oder hat es schlicht eine Störung, stoppen deine Einnahmen. Die Antwort ist nicht, auf Eigentum zu verzichten, sondern dafür zu bauen: ein zweiter Dienstleister eingerichtet und ruhend, ein sanfter Rückfall an der Kasse und das Wissen, dass du, weil deine Karten portabel sind, nie Geisel der schlechten Woche eines Anbieters bist. Ein Shop, dem sein Konto gehört, kann einen Ausweichdienstleister hinzufügen. Ein Shop, der gebündelte Zahlungen mietet, kann das nicht.

Klar gesagt: du nimmst Gebühren, Authentifizierungsarbeit, Rückbuchungen, eine leichte Compliance Pflicht und die Verantwortung, für den Ausfall zu planen, auf dich. Dafür behältst du das eine, was wirklich schwer zu ersetzen ist. Ich halte diesen Handel für fast jedes Geschäft für richtig, das in fünf Jahren noch handeln und sich verändern will. Ich sage das, weil es meine ehrliche Sicht ist, nicht weil ich einen Dienstleister verkaufe. Ich baue den individuellen Shop und verdrahte ihn mit einem Konto, das der Kundin gehört. Ich nehme keine Dienstleisterprovision und behaupte nicht, ein Dienstleister sei schlicht der beste.

Warum das auf Eigentum und Wachstum einzahlt

Es gibt einen Grund, warum das unter demselben Dach sitzt wie das Eigentum an deinen Daten. Du kannst ein Geschäft nicht auf Evidenz aufbauen, wenn die Evidenz und die Kundinnen dahinter nicht dir gehören, um darauf zu handeln. Eine gespeicherte Karte ist nicht nur Bequemlichkeit. Sie ist eine stehende Beziehung, die Erlaubnis, erneut zu belasten, ein Signal von Treue, der Rohstoff einer Rückgewinnungskampagne und einer Berechnung des Kundenwerts. Wenn diese Beziehungen in einem Konto liegen, das jemand anderes kontrolliert, ist dein Wachstum geliehen. Liegen sie in einem Konto, das dir gehört, ist jede einzelne ein Gut, das du messen, behalten und ausbauen kannst. Das ist dasselbe Argument, das ich über deine Daten und deine Analytik in wem gehören eigentlich deine Geschäftsdaten mache, angewandt auf die wertvollsten Datensätze, die ein Shop hat: die, mit denen er Geld nehmen kann.

Darum behandle ich die Zahlungswahl als eine grundlegende Entscheidung und nicht als Installationsdetail, im selben Atemzug wie die Plattformentscheidung selbst, die ich in deinen Onlineshop migrieren darlege. Die Storefront ist ersetzbar. Die Kundin, die dir genug vertraut, um eine Karte zu hinterlegen, ist es nicht.

Ein durchgerechnetes Beispiel: eine Marke aus Linz, die das Konto statt des Pakets wählt

Lass mich das mit einem erfundenen Geschäft konkret machen, denn konkret ist der Ort, an dem das Argument hält oder auseinanderfällt. Alpkante verkauft Heimtextilien und Outdoor Ausrüstung an alpkante.example, geführt aus einem Lokal in Linz von einer Gründerin namens Lena. Sie startet zum ersten Mal richtig, erwartet ein paar tausend Bestellungen im Monat und, wichtig, eine Abo Box, von der sie hofft, dass sie zum Kern des Geschäfts wird. Jede Zahl unten ist erfunden, um die Mechanik zu zeigen.

Lena hat zwei Wege. Weg eins ist eine gehostete Plattform mit eingeschalteten gebündelten Zahlungen: an einem Nachmittag live, nichts zu bedenken. Weg zwei ist der, den ich baue: ein individueller Shop auf Solidus, dem quelloffenen Rails Ecommerce Framework, verdrahtet mit einem Dienstleisterkonto, das Lena auf den Namen ihrer eigenen Firma eröffnet. Weg zwei kostet etwas mehr im Aufbau und verlangt von ihr ein kurzes jährliches SAQ A Formular. Sie wählt Weg zwei, und das kauft ihr über die folgenden zwei Jahre Folgendes.

Im ersten Jahr ist sie froh über die gewöhnlichen Dinge. Die Gebühr ist eine Zeile, die sie lesen und, sobald ihr Volumen wächst, neu verhandeln kann. Wenn eine Kundin eine Belastung anficht, ist es ihr Konto und ihr Beleg, und sie beantwortet es in ihrem eigenen Dashboard.⁷ Sie richtet einen zweiten Dienstleister ruhend ein, damit die Kasse ausweicht statt auszufallen, falls ihr Hauptdienstleister einen schlechten Tag hat. Nichts davon stünde ihr im Paket offen.

Dann kommen die nützlichen Momente. Nach achtzehn Monaten wächst Lena aus ihrer ersten Storefront heraus und will einen schnelleren, individuelleren Bau. Weil ihr Kartentresor bei ihrem Dienstleister liegt und das Konto ihr gehört, berührt der Plattformwechsel keinerlei Zahlungsdaten: die neue Storefront zeigt auf dasselbe Konto, die gespeicherten Karten und die Abo Pläne laufen weiter, und keine Kundin gibt eine Karte neu ein. Im Paket hätte derselbe Schritt einen Export von Dienstleister zu Dienstleister bedeutet, den sie nicht anstoßen kann, und eine Wand aus Kundinnen, die erneut zahlen sollen, genau der Verlust, den ich in die versteckten Gefahren beim Wechseln von Payment Gateways durchrechne.

Bald darauf startet sie eine zweite Marke, ein Geschenklabel, auf eigener Domain. Ein eigenes Konto steht hinter beiden Shops, es gibt also keine zweite Prüfung, keine zweite Reserve, und ihre Auswertung rollt über die zwei zusammen. Noch später bietet ihr ein neuer Dienstleister einen deutlich besseren Satz für ihren Kartenmix. Weil ihre Karten von Grund auf portabel sind, kann sie den verschlüsselten Export laufen lassen und wechseln, über die Zuordnungsdatei jede gespeicherte Karte neu verknüpfen und das Volumen hochfahren, damit das neue Konto den Banken am ersten Tag nicht wie ein Fremder vorkommt.²

Die Kompromisse waren durchweg echt. Lena zahlte jeden Monat Dienstleistergebühren. Sie baute ihre Kasse für 3D Secure, damit europäische Kundinnen sauber authentifizieren.⁶ Sie beantwortete ihre eigenen Rückbuchungen und hielt ihr SAQ A aktuell. Und im Gegenzug wechselte sie einmal die Plattform, startete einen zweiten Shop und wechselte einmal den Dienstleister, und über alle drei liefen ihre Kundinnen und deren gespeicherte Karten einfach weiter. Das Paket hätte ihren ersten Nachmittag leichter gemacht und jeden Schritt danach schwerer.

Die Fragen, die ich stelle, bevor ich einen einzigen Schlüssel verdrahte

Das meiste davon wird am Anfang entschieden, in dem Namen, auf den das Konto eröffnet wird, und darin, wie die Kasse gebaut ist, lange bevor jemand das Wort Migration sagt. Das sind also die Fragen, die ich einem Dienstleister stelle und schriftlich beantwortet haben will, bevor ich irgendetwas verdrahte:

• Steht das Händlerkonto auf den Namen der eigenen Firma der Kundin, in direkter Beziehung der Kundin zum Dienstleister, und nicht in einem Unterarrangement, das eine Plattform kontrolliert?
• Veröffentlicht der Dienstleister einen Kartenexport zu jedem PCI konformen Anbieter, wie lange dauert er und gibt es eine Gebühr?
• Hält die Kasse rohe Kartennummern von den eigenen Servern der Kundin fern, sodass das Geschäft auf SAQ A sitzt?
• Unterstützt der Dienstleister 3D Secure sauber und trägt er den Nachweis früherer Authentifizierung, sodass gespeicherte Karten nach einem Wechsel nicht erneut abgefragt werden?
• Kann ein Konto hinter mehr als einer Storefront stehen, und kann ein zweiter Dienstleister als Reserve eingerichtet werden?

Ein Dienstleister, den du verlassen kannst, auf einem Konto, das dir gehört, ist mehr wert als ein etwas niedrigerer Schauwert auf einem Konto, das du nicht verlassen kannst. Ein Anbieter, den du nicht verlassen kannst, kann den Satz später setzen. Bau auf dem Konto, das dir gehört, halte den Tresor portabel, und die Storefront, das Framework und sogar der Dienstleister werden zu Dingen, die du ändern kannst, ohne je wieder eine Kundin nach ihrer Karte zu fragen.

Wenn du gerade dabei bist zu wählen, wie dein Shop Geld nimmt, oder vermutest, dass deine Zahlungen leise an eine Plattform gebunden sind, die du eines Tages verlassen willst, bring es in den kostenlosen Workshop und wir kartieren deinen Payment Stack gemeinsam, mit deinem eigenen Namen auf dem Konto. Die ersten zwei Wochen der Arbeit gehen auf mich.

Footnotes

1. PCI Security Standards Council, Information Supplement: Tokenization Product Security Guidelines (ein Token ersetzt die Kartennummer durch einen Ersatzwert und darf anstelle der echten Nummer gespeichert werden, und die echten Kartennummern liegen in einem Card Data Vault), April 2015, https://listings.pcisecuritystandards.org/documents/Tokenization_Product_Security_Guidelines.pdf ↩

2. Stripe, Import payment data to Stripe (gespeicherte Zahlungsdaten von einem früheren Dienstleister migrieren, bestehende Kundinnen während des Umzugs weiter über das alte Konto belasten, der Kartenprüfcode kann nicht importiert werden, und du kannst deine Daten später zu jedem PCI konformen Dienstleister exportieren), Stripe Dokumentation, 2026, https://docs.stripe.com/get-started/data-migrations/pan-import ↩ ↩² ↩³ ↩⁴

3. Shopify, Payment Processors for Shopify Payments (die Dienstleisterliste nennt Stripe Gesellschaften je Land und ein mit Stripe verbundenes Unternehmen für alle Regionen), Shopify Legal, 2026, https://www.shopify.com/legal/processor-list ↩

4. Shopify, Shopify Payments Terms of Service, Vereinigte Staaten (Shopify ist nicht Vertragspartei der Payment Processor Terms und haftet dir daraus nicht), Shopify Legal, 2026, https://www.shopify.com/legal/terms-payments-us ↩

5. Stripe, Preise (Österreich: 1,5 % plus 0,25 € für Standardkarten aus dem EWR und 3,15 % plus 0,25 € für ausländische Karten, je erfolgreicher Transaktion), stripe.com, abgerufen am 14. November 2026, https://stripe.com/at/pricing ↩

6. Stripe, Strong Customer Authentication readiness (die starke Kundenauthentifizierung unter PSD2 gilt für Kartenzahlungen von Kundinnen im Europäischen Wirtschaftsraum und verlangt 3D Secure, und vom Händler ausgelöste Transaktionen mit gespeicherter Karte können für eine Ausnahme infrage kommen, die nie garantiert ist), Stripe Dokumentation, 2026, https://docs.stripe.com/strong-customer-authentication ↩ ↩² ↩³

7. Stripe, How disputes work (wird eine Zahlung angefochten, werden der strittige Betrag und eine Gebühr von deinem Kontoguthaben abgezogen, während du Belege einreichst), Stripe Dokumentation, 2026, https://docs.stripe.com/disputes/how-disputes-work ↩ ↩²