Sicher online zahlen: Prepaid-Kreditkarten und E-Wallets

12 November 2026

So funktionieren Prepaid-Kreditkarten und E-Wallets

Wer im Netz bezahlt, muss seine Kartennummer nicht zwangsläufig bei jedem Händler hinterlegen. Genau darauf zielen elektronische Geldbörsen, kurz E-Wallets, und Prepaid-Karten ab. Die Bundesanstalt für Finanzdienstleistungsaufsicht beschreibt E-Wallets als Konten beim Anbieter, in denen eine Zahlungsquelle wie ein Bankkonto oder eine Kreditkarte hinterlegt wird. Beim Bezahlen im Shop tritt dann der Wallet-Anbieter als Vermittler auf, und die eigentlichen Zahlungsdaten bleiben bei ihm.

Prepaid-Kreditkarten folgen einem anderen Prinzip, haben aber ein ähnliches Ziel. Das Guthaben wird vorab auf die Karte geladen, und gezahlt werden kann nur im Rahmen dieses Betrags. Für Nutzerinnen und Nutzer heißt das: Selbst wenn Kartendaten in falsche Hände geraten, ist der mögliche Schaden zunächst auf das aufgeladene Guthaben begrenzt. Das ersetzt keine Vorsicht, aber es setzt dem Risiko eine natürliche Obergrenze, die bei einer klassischen Karte mit direktem Zugriff aufs Konto fehlt.

Technisch kommt bei beiden Varianten der Tokenisierung große Bedeutung zu. Das Bundesamt für Sicherheit in der Informationstechnik erklärt in seiner Broschüre zum sicheren Bezahlen im E-Commerce, dass dabei die Primary Account Number, also die Kartennummer (PAN), durch ein zufälliges Token ersetzt wird. Dieses Token wird bei Bezahlvorgängen verwendet. Die echte Nummer taucht im Zahlungsalltag damit nicht mehr auf, und genau das macht die Verfahren für Händler wie für Kunden attraktiv.

Sicherheitsmerkmale: Verschlüsselung, Tokenisierung und starke Authentifizierung

Die Absicherung einer Online-Zahlung ruht auf drei Säulen, die ineinandergreifen: verschlüsselte Übertragung, Tokenisierung und eine Anmeldung, die sich nicht mit einem einzigen gestohlenen Passwort aushebeln lässt. Das BSI empfiehlt für Online-Zahlungen ausdrücklich eine verschlüsselte https-Verbindung. Im Browser erkennt man sie am vorangestellten https und am Schloss-Symbol in der Adressleiste. Wer eine Zahlungsseite ohne diese Verschlüsselung vorfindet, sollte den Vorgang abbrechen, bevor Daten eingegeben werden.

Die zweite Säule, die Tokenisierung, hat nach den Angaben des BSI einen doppelten Effekt. Die PAN verschwindet aus den IT-Systemen von Händlern oder Bezahl-Apps, und das Missbrauchsrisiko sinkt. Ein Angreifer, der einen Händlerserver knackt, findet dort statt der Kartennummern nur Token, mit denen sich außerhalb des vorgesehenen Zahlungswegs wenig anfangen lässt. Für die Betreiber hat das einen weiteren Vorteil: Sie müssen weniger sensible Daten schützen, weil sie diese schlicht nicht mehr vorhalten.

Die dritte Säule ist die starke Kundenauthentifizierung. Nach Angaben der Deutschen Bundesbank ist die Zwei-Faktor-Authentifizierung beim Einloggen im Online-Banking und bei Zahlungen im Internet Pflicht. Sie beruht auf zwei voneinander unabhängigen Faktoren aus den Kategorien Wissen, Besitz oder Inhärenz. Wissen ist etwa ein Passwort oder eine PIN, Besitz das Smartphone oder eine Karte, Inhärenz ein biometrisches Merkmal wie der Fingerabdruck. Entscheidend ist die Unabhängigkeit: Wird einer der beiden Faktoren kompromittiert, bleibt der andere intakt.

Moderne Verschlüsselungsverfahren und PSD2-konforme Authentifizierungen kommen heute bei zahlreichen Plattformen standardmäßig zum Einsatz. Ob Streaming-Dienste, Webshops oder sichere Online Casinos – digitale Anbieter schützen Transaktionen verlässlich vor unbefugten Zugriffen. Für Kundinnen und Kunden bedeutet das vor allem Gewohnheit, da die Freigabe per App, Fingerabdruck oder zusätzlichem Code inzwischen fast überall zum Bezahlvorgang gehört. Wer sie einmal eingerichtet hat, merkt im Alltag kaum noch, wie viele Schutzschichten im Hintergrund arbeiten.

Wichtig ist, dass die Faktoren tatsächlich getrennt bleiben. Wer auf demselben Smartphone sowohl das Passwort speichert als auch die Freigabe-App nutzt, schwächt die Trennung zumindest in der Praxis. Das ist kein Grund, auf mobile Verfahren zu verzichten, wohl aber ein Anlass, das Gerät selbst mit Sperrcode oder Biometrie zu sichern und Zugangsdaten nicht im Klartext darauf abzulegen.

Was Zahlungsdienstleister bei der Anmeldung und Transaktion absichern

Aus den genannten Bausteinen ergibt sich ein recht klarer Maßnahmenkatalog. Er richtet sich zunächst an Anbieter von Web-Diensten, die Zahlungen annehmen, hilft aber auch Nutzern bei der Einschätzung, ob ein Angebot sauber aufgestellt ist. Die folgende Übersicht fasst die wichtigsten Schutzmechanismen zusammen:

• https-Verbindung für Online-Zahlungen nutzen
• Zwei-Faktor-Authentifizierung bzw. starke Kundenauthentifizierung einsetzen
• Tokenisierung statt direkter Speicherung von Kartendaten verwenden
• Sensible Daten nicht bei jeder Transaktion erneut eingeben lassen
• Zugänge und Konten regelmäßig auf unbekannte Vorgänge prüfen

Der vierte Punkt wirkt auf den ersten Blick wie eine reine Komfortfunktion, ist aber sicherheitsrelevant. Der BSI-Ratgeber zum Bezahlen im Internet beschreibt Internet-Bezahldienste so, dass Kundinnen und Kunden sensible Daten nicht bei jeder einzelnen Transaktion eingeben müssen. Jede Eingabe ist eine Gelegenheit, abgefangen oder auf einer gefälschten Seite abgegriffen zu werden. Wer die Daten nur einmal beim Dienstleister hinterlegt und danach lediglich Zahlungen freigibt, reduziert diese Angriffsfläche erheblich.

Der letzte Punkt der Liste liegt in der Hand der Nutzer. Ein Blick in die Umsatzübersicht der Wallet oder der Prepaid-Karte dauert nur wenige Minuten und deckt unbekannte Abbuchungen frühzeitig auf. Gerade bei kleinen Beträgen, die leicht übersehen werden, lohnt sich dieser Rhythmus. Wer eine unbekannte Transaktion entdeckt, sollte den Zugang sperren lassen und den Anbieter umgehend informieren.

Welche Risiken bleiben trotz moderner Bezahlmethoden

Auch die beste Technik macht Online-Zahlungen nicht risikofrei. Die BaFin weist darauf hin, dass Online-Verfahren Risiken wie Datendiebstahl bergen und dass nur gesicherte Verbindungen verwendet werden sollten. Der Hinweis ist bewusst allgemein gehalten, und das aus gutem Grund: Die Gefahr liegt selten in einer einzelnen Schwachstelle, sondern im Zusammenspiel aus Technik und menschlichem Verhalten. Ein starkes Verfahren nützt wenig, wenn Zugangsdaten auf einer nachgebauten Anmeldeseite eingegeben werden.

Gerade bei E-Wallets verdient das hinterlegte Konto besondere Aufmerksamkeit. Weil dort eine Zahlungsquelle wie ein Bankkonto oder eine Kreditkarte verknüpft ist, wirkt sich ein übernommener Wallet-Zugang unmittelbar auf echtes Geld aus. Das Passwort für den Wallet-Zugang sollte deshalb nirgendwo sonst verwendet werden, und die zweite Authentifizierungsstufe gehört aktiviert, wo immer sie angeboten wird. Bei Prepaid-Karten gilt dagegen die schon erwähnte Begrenzung durch das Guthaben, was das Risiko in der Praxis eindämmt.

Die Tokenisierung verschiebt Risiken außerdem, sie beseitigt sie nicht vollständig. Die PAN verschwindet zwar aus den Systemen von Händlern und Bezahl-Apps, doch beim Anbieter des Verfahrens liegen die Daten weiterhin. Dessen Absicherung können Kundinnen und Kunden nicht selbst prüfen. Sie können aber auf Anbieter setzen, die sich an die geltenden Anforderungen halten, und ihren eigenen Teil erledigen: gesicherte Verbindungen nutzen, Geräte aktuell halten und Kontobewegungen im Blick behalten.

Rechtlicher Rahmen in Deutschland und der EU

Dass starke Authentifizierung heute Standard ist, geht auf eine europäische Vorgabe zurück. Die Zweite Zahlungsdiensterichtlinie, kurz PSD2, ist nach Angaben der Deutschen Bundesbank in Deutschland seit Januar 2018 umgesetzt. Sie verpflichtet zur sogenannten starken Kundenauthentifizierung, um die Sicherheit im Zahlungsverkehr zu verbessern. Aus einer Empfehlung wurde damit eine Regel, an die sich Banken und Zahlungsdienstleister halten müssen.

Für Verbraucherinnen und Verbraucher hat das konkrete Folgen. Beim Login im Online-Banking und bei Zahlungen im Internet reicht ein Passwort allein nicht mehr aus, wie die Bundesbank in ihren Fragen und Antworten zu Sicherheit und Privatsphäre darlegt. Das kann im Einzelfall einen Schritt mehr bedeuten, etwa die Freigabe in einer App oder die Bestätigung per Fingerabdruck. Der Preis ist gering, der Gewinn an Sicherheit dagegen deutlich, weil gestohlene Zugangsdaten für sich genommen nicht genügen.

Praktisch lässt sich daraus eine einfache Faustregel ableiten. Ein Zahlungsdienst, der Kartendaten oder Zugangsdaten abfragt, ohne jemals einen zweiten, unabhängigen Faktor zu verlangen, entspricht nicht dem, was Aufsicht und Gesetzgeber inzwischen als Stand der Dinge betrachten. Wer bei einer Zahlung ungewöhnlich wenig Hürden erlebt oder auf einer Seite ohne https bezahlen soll, tut gut daran, den Vorgang abzubrechen und einen anderen Weg zu wählen.