Online-Zahlungen: Checkout und Bestellungen sicher prüfen

Wenn ein kleines oder mittleres Unternehmen online verkauft, müssen Technik, Kundenkommunikation, Abrechnung und Zuständigkeiten zusammenpassen. Rechtliche Hinweise in diesem Beitrag beziehen sich, soweit genannt, auf Deutschland; für Österreich, die Schweiz und andere Länder gelten gegebenenfalls andere Regeln und Übergangsregelungen.

Ein Zahlungsanbieter kann viel Infrastruktur bereitstellen. Trotzdem musst du verstehen, welche Bestellung zu welchem Preis angelegt wird, wann sie als bezahlt gilt und was bei Fehlern, Rückerstattungen oder Streitfällen passiert. Dieser Leitfaden zeigt die technischen und organisatorischen Fragen für einen ersten Überblick. Steuerliche und rechtliche Pflichten hängen vom Produkt, den Ländern und der Rolle deines Unternehmens ab.

1. Den vollständigen Weg aufzeichnen

Beginne mit einer einfachen Kette: Produkt und Preis → Bestellübersicht → Zahlungsseite → serverseitige Bestätigung → Bereitstellung oder Versand → Beleg und Support. Schreibe für jeden Schritt auf, welches System zuständig ist und welchen Status die Bestellung besitzen kann: etwa angelegt, Zahlung ausstehend, bezahlt, fehlgeschlagen, erstattet oder strittig. Diese Bezeichnungen sind ein Beispiel; richte dich nach den echten Zuständen deines Anbieters.

Entscheide, wer Vertragspartner des Kunden ist. Ein Zahlungsdienstleister und ein Anbieter, der selbst als Verkäufer auftritt, können Aufgaben und Verantwortlichkeiten unterschiedlich verteilen. Verlass dich nicht auf Produktnamen: Lies Vertrag, Abrechnung, Steuern, Auszahlung, Gebühren und Supportregelung für deinen konkreten Tarif.

2. Preis und Zahlung serverseitig zuordnen

Der Browser ist nicht vertrauenswürdig: Preise oder Produktkennungen dürfen nicht allein deshalb gelten, weil sie aus der Oberfläche kommen. Der Server muss die gültigen Produkte, Beträge und die Zuordnung zur Bestellung aus einer vertrauenswürdigen Quelle ermitteln. Preis, Währung, Versand und wiederkehrende Entgelte müssen vor dem Kauf klar sein.

Eine Rückleitung auf eine Dankeseite ist kein ausreichender Nachweis einer Zahlung. Prüfe den Status serverseitig über die vom Anbieter vorgesehenen Verfahren. Bei Ereignismeldungen vom Anbieter – oft Webhooks genannt – muss die Echtheit nach dessen Anleitung geprüft werden. Verarbeite wiederholte Zustellungen so, dass eine Bestellung nicht zweimal ausgeliefert wird. Verzögerte oder fehlgeschlagene Zahlungen brauchen eigene Zustände und einen nachvollziehbaren Umgang. Die Stripe-Dokumentation zur Auftragsabwicklung erläutert dies beispielhaft für Checkout und beschreibt auch die wiederholte Zustellung von Ereignissen. Die Stripe-Dokumentation zur Auftragsabwicklung erläutert dies beispielhaft für Checkout und beschreibt auch die wiederholte Zustellung von Ereignissen. Die Stripe-Dokumentation zur Auftragsabwicklung erläutert dies beispielhaft für Checkout und beschreibt auch die wiederholte Zustellung von Ereignissen. Die Stripe-Dokumentation zur Auftragsabwicklung erläutert dies beispielhaft für Checkout und beschreibt auch die wiederholte Zustellung von Ereignissen.

3. Kartendaten und Zuständigkeiten

Für viele kleine Projekte ist eine vom Zahlungsanbieter bereitgestellte Zahlungsseite oder entsprechend integrierte Lösung ein sinnvoller Prüfpunkt. Welche Sicherheitsanforderungen für dich gelten, hängt von der konkreten Integration und den Vorgaben des Anbieters beziehungsweise Acquirers ab. Auch bei ausgelagerter Zahlungsabwicklung können eigene Pflichten bestehen. Der PCI Security Standards Council erläutert unterschiedliche Integrationsfälle.

Erfasse oder speichere keine Kartendaten in eigenen Formularen, Logs oder Supportnachrichten, ohne die dafür erforderliche Infrastruktur und Zuständigkeit zu verstehen. Schütze auch das Händlerkonto mit individuellen Zugängen und Mehrfaktor-Anmeldung.

4. Vor dem Echtgeldbetrieb testen

Nutze die offizielle Testumgebung des Anbieters. Gehe erfolgreiche Zahlung, Abbruch, Ablehnung, wiederholte Ereignismeldung, verzögerte Bestätigung und Rückerstattung durch. Prüfe, ob Bestellung, Auslieferung, Kundeninformation und Buchhaltung denselben Zustand anzeigen. Teste auch, was geschieht, wenn die Verbindung nach Zahlung ausfällt. Verwende ausschließlich die vom Anbieter vorgesehenen Testdaten; keine echten Kartendaten in Testprotokolle kopieren.

Denke an Stornierung, Rückfragen, Belege, Auszahlungen, Rückbuchungen und Betrugsprüfung. Bei Abonnements gehören Preis und Intervall, nächste Abbuchung sowie Kündigungs- und Fehlerwege zu den zentralen Abläufen.

5. Rechtliche Anforderungen passend zum Angebot klären

Bei bestimmten elektronischen Verbraucherverträgen in Deutschland verlangt § 312j BGB unter anderem eine eindeutige Bestätigung der Zahlungspflicht. Je nach Angebot können weitere Informations-, Widerrufs-, Steuer-, Datenschutz- und Barrierefreiheitsfragen relevant sein. Eine Anbieterintegration allein beantwortet sie nicht. Lass den konkreten Kaufweg und die Texte vor dem Start entsprechend prüfen.

Prompt für die Checkout-Prüfung

Untersuche meine freigegebene Testintegration lesend. Dokumentiere Produkt- und Preisquelle, Erstellung der Bestellung, Zahlungsstatus, Rückleitung, Webhook-Verifikation, Schutz gegen doppelte Verarbeitung, Auslieferung und Rückerstattung mit Fundstellen. Erstelle Testfälle für Erfolg, Abbruch, Ablehnung, Verzögerung, Wiederholung und direkte Rückleitungs-URL. Trenne Codebefund von ungeprüften Anbietereinstellungen und rechtlichen Fragen. Nutze keine echten Zahlungen oder Kartendaten; ändere weder Konten noch Preise. Prüfe aktuelle Anbieterdokumentation und markiere unbekannte Voraussetzungen.

Checkliste zum Mitnehmen

• Vertragspartner, Anbieter, Gebühren, Auszahlung und Zuständigkeiten geklärt.
• Produkt, Preis und Bestellstatus serverseitig nachvollziehbar.
• Zahlungsbestätigung sicher geprüft; doppelte Verarbeitung verhindert.
• Erfolg, Abbruch, Fehler, verzögerte Zahlung und Erstattung in Testumgebung geprüft.
• Bestätigung, Belege, Support und Abrechnung festgelegt.
• Konkreter Kaufweg einschließlich Verbraucher-, Steuer- und Datenschutzfragen fachlich geprüft.

Wenn du deinen Checkout technisch durchgehen möchtest, sprich Moinsen an. Die konkrete rechtliche und steuerliche Prüfung erfolgt passend zu deinem Geschäft mit qualifizierter Unterstützung. Kontakt zu Moinsen.

Weiterlesen: Sicherheit · Datenschutz · Kosten · Alle Beiträge im Moinsen-Blog.