Was ist
Kartenausgabe?
White-Label-Programme erklärt.

Der Karten-Lebenszyklus

Jede Karte durchläuft einen standardisierten Lebenszyklus, den das ausgebende Programm vollständig verwaltet:

1. Antrag und KYC. Der Karteninhaber reicht Ausweisdokumente, einen Adressnachweis und gegebenenfalls Einkommens- oder wirtschaftliche Eigentümerdaten ein. Der Emittent prüft die Dokumente (manuell oder liveness-basiert), führt Sanktions- und PEP-Screenings durch und vergibt einen Risikoscore.
2. Kartenerstellung. Unter einem der BIN-Bereiche des Emittenten wird eine Primärkontonummer generiert, Ablaufdatum und CVV werden festgelegt, das Karteninhaber-Profil wird beim Kartensystem registriert.
3. Produktion und Versand. Virtuelle Karten werden sofort aktiviert. Physische Karten werden produziert — geprägt oder bedruckt — und an den Karteninhaber versandt.
4. Aktivierung. Der Karteninhaber bestätigt den Empfang, legt eine PIN fest und schaltet die Karte zur Nutzung frei.
5. Autorisierung. Jede Transaktion löst eine Echtzeit-Entscheidung aus, die auf Guthaben, Händlerkategorie, geografischem Standort, Systembeschränkungen und den Betrugsregeln des Emittenten basiert.
6. Abrechnung und Clearing. Genehmigte Transaktionen werden täglich über das Kartensystem abgerechnet; der Emittent wird belastet, der Acquirer des Händlers gutgeschrieben, das Guthaben des Karteninhabers aktualisiert.
7. Streitfälle und Chargebacks. Karteninhaber-Einsprüche — Betrug, Nichtlieferung, doppelte Buchungen — werden über systemdefinierte Chargeback-Prozesse abgewickelt, die der Emittent verwaltet.
8. Neuausstellung und Stilllegung. Bei Ablauf wird die Karte ersetzt; bei Kompromittierung wird sie gesperrt und neu ausgestellt; bei Programmende wird die Karte stillgelegt.

Kartentypen

Verarbeitungsinfrastruktur und Systemzertifizierung

Jedes Kartenprogramm läuft auf den Infrastrukturen eines oder mehrerer Kartensysteme — Visa, Mastercard, American Express, Discover, JCB, UnionPay. Jedes System verlangt eine Programmzertifizierung: eine strukturierte technische und operative Prüfung, die Autorisierung, Abrechnung, Streitfallprozesse, Betrugskontrollen und operative Resilienz umfasst. Die Zertifizierung ist in der Regel der zeitintensivste Schritt beim Start eines neuen Kartenprogramms und derjenige, den BaaS-Anbieter für Partner am stärksten beschleunigen.

EMV — Europay, Mastercard, Visa — ist der Chipkarten-Standard, der definiert, wie physische Karten mit Terminals interagieren. EMVCo, das Konsortium, das den Standard besitzt, zertifiziert Hardware- und Software-Stacks. Moderne Programme unterstützen zudem kontaktlose Zahlungen (NFC) und tokenisierte Zahlungen über Apple Pay und Google Pay, die eine zusätzliche Zertifizierung durch die Tokenisierungsnetzwerke der Kartensysteme erfordern (VTS für Visa, MDES für Mastercard).

Compliance und Sicherheit

Die Kartenausgabe unterliegt mehreren sich überschneidenden Compliance-Regimen:

1. PCI DSS. Der Payment Card Industry Data Security Standard regelt, wie Kartendaten gespeichert, verarbeitet und übertragen werden. Emittenten und Prozessoren sind in der Regel auf Level 1 — der strengsten Stufe — und werden jährlich geprüft.
2. 3D Secure 2. Starke Kundenauthentifizierung für Card-not-present-Transaktionen, verpflichtend im Rahmen von PSD2 in der EU und weltweit zunehmend eingeführt.
3. AML und Sanktionen. Der Onboarding-Prozess für Karteninhaber umfasst vollständige KYC-, Sanktions- und PEP-Prüfungen; eine kontinuierliche Transaktionsüberwachung erfolgt über die gesamte Karteninhaber-Beziehung hinweg.
4. Betrugsüberwachung. Emittentenseitige Betrugsregeln — Häufigkeitsprüfungen, Geolokalisierung, Gerätefingerabdruck, Verhaltensanalyse — blockieren verdächtige Autorisierungen in Echtzeit.
5. Systemregeln. Visa Core Rules, Mastercard Rules: Hunderte von Seiten operativer und kommerzieller Anforderungen, die quartalsweise aktualisiert werden.

Integrationsmuster

Eine moderne Kartenausgabe-API stellt den Lebenszyklus über einen einheitlichen Satz von Endpunkten bereit: Karteninhaber anlegen, Karte erstellen, Guthaben aufladen, autorisieren (synchron und webhook-gesteuert), sperren, ersetzen, schließen. Webhook-gesteuerte Ereignisströme halten die Systeme des Partners in Echtzeit mit dem Ledger des Emittenten synchronisiert. Idempotenzschlüssel, Sandbox-Umgebungen und strukturierte Fehlerantworten sind Standard.

Eine typische Integration umfasst: Karteninhaber-Onboarding (KYC-Übergabe), Kartenerstellung und -versand, Autorisierungs- und Abrechnungs-Webhooks, Chargeback-Benachrichtigungen, Guthabenabstimmung und planmäßiges Reporting. Partner, die bereits ein eigenes Banking-Ledger betreiben, integrieren über die Ereignisse; Partner ohne eigenes Ledger nutzen das des Emittenten direkt.

Typische Fehler beim Start eines Kartenprogramms

1. Unterschätzung der Zertifizierung. Die Systemzertifizierung ist der kritische Pfad. Self-Service-BaaS-Anbieter wie Codego vorzertifizieren BIN-Bereiche, sodass der Partner die Zertifizierung übernimmt, anstatt sie von Grund auf zu durchlaufen.
2. Vernachlässigung der Chargeback-Ökonomie. Chargebacks binden Support-Kapazitäten und mindern Interchange-Erträge. Programme sollten die Chargeback-Abwicklung frühzeitig konzipieren.
3. Inkonsistentes KYC über Produkte hinweg. Wenn ein Programm sowohl Karten als auch IBANs ausgibt, muss das KYC aufeinander abgestimmt sein: ein Onboarding-Prozess, eine Risikosicht, ein einheitlicher Entscheidungsrahmen.
4. Fehlende Apple Pay / Google Pay-Unterstützung. Die Karteninhaber-Aktivierung ist deutlich höher, wenn Wallets vom ersten Tag an unterstützt werden. Codego-Programme ermöglichen die Apple Pay- und Google Pay-Aktivierung innerhalb von 24 Stunden.
5. Unzureichende Betrugskontrollen. Standard-Betrugsregeln sind konservativ ausgelegt; Programme in riskanteren Segmenten müssen frühzeitig angepasst werden, um Verlustspitzen zu vermeiden.

Häufig gestellte Fragen

Verwandte Themen