Ihre Kunden sollen den Einkauf verständlich abschließen können und ihre Zahlungsdaten über den vorgesehenen Weg übermitteln. Für Ihr Unternehmen beginnt die Sicherheitsentscheidung deshalb bei der konkreten Einbindung des Bezahlvorgangs. Wird der Kunde weitergeleitet, erscheint ein eingebettetes Formular oder erzeugt Ihr Shop eigene Eingabefelder? Ein passender IT-Auftrag betrachtet diesen tatsächlichen Ablauf und die Grenzen zwischen Shop, Agentur und Zahlungsdienstleister. So können Sie eine geeignete Integration wählen und erkennen, welche Betreuung nach der Einrichtung weiter gebraucht wird.
Den Bezahlweg aus Kundensicht nachzeichnen
Beschreiben Sie zunächst den vollständigen Weg vom Warenkorb bis zur Rückmeldung an Ihren Shop. Welche Seite sieht der Kunde, wo gibt er Zahlungsangaben ein und welche Nachricht erhält Ihr Unternehmen anschließend? Lassen Sie den vorgesehenen Ablauf anhand der konkreten Integration erklären. Eine Darstellung im Verkaufsprospekt sagt nicht immer, welche Variante in Ihrem Shop tatsächlich eingerichtet wurde. Für den Auftrag zählt der bestätigte technische Stand.
Beziehen Sie die angebotenen Zahlarten getrennt ein. Nicht jeder Weg muss dieselben beteiligten Systeme oder dieselbe Rückmeldung verwenden. Eine übersichtliche Darstellung hilft, die Unterschiede zu erkennen, ohne dass Sie selbst technische Schnittstellen untersuchen müssen. Halten Sie auch fest, wer eine zusätzliche Zahlart später einschalten darf. Eine Erweiterung sollte den bestehenden Prüf- und Betreuungsumfang nicht unbemerkt verändern, nur weil sie im Verwaltungsbereich einfach auswählbar ist.
Fragen Sie ausdrücklich, welche Zahlungsinformationen Ihr Shop selbst verarbeitet oder speichert und welche ausschließlich beim Zahlungsanbieter bleiben. Ihr Unternehmen benötigt für die laufende Bearbeitung häufig eine nachvollziehbare Zuordnung von Zahlung und Bestellung. Welche Daten dafür tatsächlich zurückkommen, muss der Anbieter an Ihrer Einrichtung erklären. Übernehmen Sie keine pauschale Aussage aus einer anderen Integration und schließen Sie aus einem fremden Anbieterlogo nicht automatisch auf einen vollständig ausgelagerten Ablauf.
Weiterleitung und Einbettung bewusst vergleichen
Ein gehosteter Bezahlvorgang und ein eingebettetes Formular können sich für Kunden ähnlich anfühlen, sind aber technisch unterschiedliche Einbindungen. Stripe dokumentiert beispielsweise sowohl die Weiterleitung auf eine gehostete Seite als auch eingebettete Varianten. Das ist ein konkretes Anbieterbeispiel, keine Empfehlung für jeden Shop. Lassen Sie Ihre Agentur beschreiben, welche Variante sie tatsächlich anbietet und wie diese zum eingesetzten Shopsystem passt. Stripe: Checkout-Integration
Für den Vergleich brauchen Sie neben dem Erscheinungsbild den tatsächlichen Verantwortungsumfang. Welche Teile liefert der Zahlungsanbieter, welche gestaltet die Agentur und welche betreiben Sie selbst? Fragen Sie nach den Voraussetzungen der jeweiligen Variante. Eine stärker angepasste Oberfläche sollte nicht nur als gestalterischer Vorteil beschrieben werden. Sie benötigen auch eine verständliche Aussage darüber, welche zusätzliche Einrichtung und laufende Pflege damit für Ihren konkreten Shop verbunden ist.
Beziehen Sie den Hilfeweg für Kunden ein. Was geschieht, wenn die Weiterleitung nicht gelingt, der Vorgang unterbrochen wird oder die Rückkehr zum Shop ausbleibt? Ihr Team sollte einen solchen Fall bearbeiten können, ohne den Kunden zur Mitteilung vollständiger Kartendaten per Nachricht aufzufordern. Lassen Sie einen passenden Supportablauf für die tatsächlich verwendeten Zahlarten vorbereiten. So werden sichere Datengrenzen und ein brauchbarer Kundenservice zusammen geplant.
Den eigenen Prüfbereich fachlich bestimmen lassen
Bei Kartenzahlungen sollte die Einordnung der konkreten Integration mit den zuständigen Stellen abgestimmt werden. Der PCI Security Standards Council verweist für die Wahl des passenden Selbstbewertungswegs auf die annehmende Stelle, etwa den Acquirer oder die Kartenorganisation. Eine allgemeine Zusage Ihrer Agentur ersetzt diese Zuordnung nicht. Halten Sie fest, wer die dafür benötigten technischen Informationen liefert und wer die offenen Fragen mit dem jeweiligen Ansprechpartner klärt. PCI SSC: FAQ 1588
Dieselbe FAQ unterscheidet für das dort erläuterte Skript-Kriterium ausdrücklich eingebettete Bezahlformulare von Weiterleitungen. Daraus folgt keine pauschale Befreiung eines weiterleitenden Shops von sämtlichen Sicherheitsaufgaben. Bitten Sie um eine auf Ihre tatsächliche Einbindung bezogene Bewertung. Einzelne Kriterien sollten nicht aus ihrem Zusammenhang gelöst und als allgemeine Garantie für jede ähnliche Shopvariante verwendet werden. Entscheidend bleiben der vollständige passende Prüfrahmen und die bestätigte Zuständigkeit.
Lassen Sie die vereinbarte Einordnung dokumentieren und bei wesentlichen Änderungen erneut betrachten. Ein später hinzugefügtes Modul kann den Ablauf verändern, auf dessen Grundlage die frühere Bewertung erfolgte. Die Betreuung sollte solche Änderungen erkennen und an die zuständige Stelle melden. Damit wird aus einer einmaligen Auswahl kein dauerhaft ungeprüft verwendetes Etikett. Ihr Unternehmen kann nachvollziehen, welche Integration der aktuellen Aussage zugrunde liegt.
Die Seite rund um das Bezahlformular berücksichtigen
Fragen Sie, welche zusätzlichen Bestandteile auf der Checkout-Seite eingebunden sind. Dazu können Analysewerkzeuge, Gestaltungsmodule oder andere Erweiterungen gehören. Der Anbieter sollte ihren Zweck und ihre Zuständigkeit erläutern können. Eine Komponente sollte nicht allein deshalb dauerhaft bleiben, weil sie aus einer älteren Shopvorlage übernommen wurde. Lassen Sie den Bedarf am tatsächlich gewünschten Bezahlablauf prüfen und unnötige Einbindungen als eigenen Entscheidungspunkt benennen.
Für eingebettete Zahlungsformulare beschreibt PCI SSC unterschiedliche Wege, das genannte Skript-Kriterium zu bestätigen. Dazu können geeignete Schutztechniken oder eine passende Bestätigung des Zahlungsanbieters zur nach Anleitung eingesetzten Lösung gehören. Welcher Weg in Ihrer Umgebung trägt, muss konkret beurteilt werden. Eine allgemeine Werbeaussage eines zusätzlichen Moduls ist dafür keine automatisch ausreichende Grundlage. Fragen Sie nach dem nachvollziehbaren Bezug zur tatsächlich eingerichteten Lösung.
Legen Sie fest, wer Veränderungen an dieser Seite freigibt. Ein neues Marketingwerkzeug oder eine gestalterische Anpassung kann eine erneute fachliche Betrachtung erforderlich machen. Der Freigabeweg sollte deshalb die für den Checkout zuständige Betreuung erreichen. Ihr Team muss nicht jede technische Auswirkung selbst beurteilen. Es sollte aber wissen, wann eine geplante Ergänzung nicht nur eine gewöhnliche Inhaltsänderung ist und vor der Einführung abgestimmt werden muss.
Verwaltungszugänge und Änderungen betreuen lassen
Klären Sie, welche Konten für Shop, Zahlungsdienst und zugehörige Erweiterungen benötigt werden. Wem sind sie geschäftlich zugeordnet, welche Rollen erhalten die einzelnen Beteiligten und wer organisiert eine Vertretung? Eine Agentur benötigt möglicherweise bestimmte Verwaltungsrechte für ihre Arbeit. Daraus sollte kein unklarer dauerhafter Vollzugriff auf sämtliche geschäftlichen Aufgaben Ihres Unternehmens werden. Lassen Sie den tatsächlichen Bedarf der jeweiligen Rolle verständlich erklären.
Vereinbaren Sie einen geschützten Umgang mit erforderlichen Zugangsmitteln. Für den Angebotsvergleich müssen keine geheimen Schlüssel in Projektmails oder allgemeine Tabellen kopiert werden. Sobald ein konkreter Auftrag vorliegt, wird der benötigte berechtigte Zugang passend eingerichtet. Halten Sie auch fest, wie er nach einem Personal- oder Anbieterwechsel überprüft wird. Eine fortgeführte Integration sollte nicht von einem privaten Konto oder der Erinnerung einer einzelnen externen Person abhängen.
Fragen Sie nach der Dokumentation von Änderungen. Ihr Unternehmen sollte erkennen können, welche Integration zuletzt angepasst wurde und wer bei einer Auffälligkeit zuständig ist. Eine kurze nachvollziehbare Änderungsübersicht kann die Bearbeitung erheblich erleichtern. Sie muss keine geheimen technischen Werte enthalten. Wichtig ist die Verbindung zwischen dem bestätigten Betriebsstand, dem verantwortlichen Ansprechpartner und der Information, ob die vereinbarte Prüfung nach der Anpassung stattgefunden hat.
Den Nachweis ohne echte Kundenkartendaten planen
Vereinbaren Sie mit den Beteiligten einen geeigneten Testweg für die ausgewählte Integration. Fragen Sie, welche vom Anbieter bereitgestellten Testmöglichkeiten verfügbar sind und wie verhindert wird, dass unbeabsichtigt echte Zahlungen ausgelöst werden. Ihr Unternehmen sollte vor dem Test wissen, in welcher Umgebung gearbeitet wird und welche Freigabe für einen späteren produktiven Start erforderlich ist. Eine selbst gewählte kleine Echtzahlung ist keine allgemeine notwendige Voraussetzung für den technischen Nachweis.
Betrachten Sie neben dem erfolgreichen Abschluss auch abgebrochene und noch ungeklärte Vorgänge. Wie erscheint deren Status im Shop und welche Information erhält das zuständige Team? Eine sichtbare Bestätigungsseite allein beantwortet diese Fragen nicht. Lassen Sie zeigen, wie die Integration die vereinbarten Rückmeldungen verarbeitet und wie ein fehlender oder widersprüchlicher Status erkannt wird. Dafür eignen sich kontrollierte Fälle innerhalb des abgestimmten Testumfangs.
Prüfen Sie außerdem die praktische Bedienung auf den für Ihre Kunden wichtigen Geräten. Können Hinweise gelesen und Fehler verständlich korrigiert werden? Ein technisch korrekt angebundener Dienst kann im konkreten Shop trotzdem unverständliche Übergänge erzeugen. Die Abnahme sollte deshalb den tatsächlich dargestellten Kundenweg einschließen. Welche Kombinationen sinnvoll betrachtet werden, vereinbaren Sie am Bedarf, statt ungezielt jede denkbare Gerätevariante in den Auftrag aufzunehmen.
Störungen und verdächtige Veränderungen getrennt behandeln
Ein nicht abgeschlossener Bezahlvorgang kann eine gewöhnliche technische Störung sein. Eine unerwartete Änderung des Zahlungsziels oder eine fremde Eingabeaufforderung benötigt dagegen eine andere fachliche Einordnung. Ihr Team sollte wissen, über welchen Kontakt es solche Beobachtungen meldet. Lassen Sie die zuständige Betreuung den Sachverhalt prüfen und den passenden weiteren Ablauf mit dem Zahlungsanbieter abstimmen. Eine eigenständige Untersuchung mit echten Kundendaten ist dafür kein sinnvoller erster Schritt.
Beschreiben Sie vorab, wer über eine vorübergehende Einschränkung des betroffenen Zahlungswegs entscheidet. Wenn eine Alternative angeboten werden soll, muss deren tatsächliche Einrichtung ebenfalls bekannt sein. Ein spontan ausgedachter Ersatzweg kann neue ungeklärte Datenflüsse schaffen. Lassen Sie daher mögliche Betriebsentscheidungen vorbereiten und den jeweiligen Freigabeweg festhalten. Die technische Bewertung und die geschäftliche Entscheidung bleiben dabei erkennbare unterschiedliche Aufgaben.
Nach einer Korrektur sollte klar sein, welche Funktion erneut geprüft wurde. Eine wieder erreichbare Seite bestätigt noch nicht automatisch den vollständigen Bezahlablauf. Bitten Sie um einen begrenzten nachvollziehbaren Abschluss mit betroffenem Bereich, durchgeführter Änderung und verbleibenden Einschränkungen. Ihr Team kann danach den Kundenservice auf einen bestätigten Stand beziehen. Falls weitere Arbeiten notwendig sind, werden sie gezielt vereinbart und nicht in einer allgemeinen Erledigtmeldung verborgen.
Einrichtung und laufende Pflege vergleichen
Stellen Sie die Einrichtung der Integration, die fachliche Einordnung des Prüfbereichs und die laufende Betreuung im Angebot getrennt gegenüber. Wer pflegt Shopmodule, wer beobachtet Änderungen des Zahlungsanbieters und wer beantwortet Rückfragen zu Nachweisen? Vergleichen Sie nur Angebote mit demselben vorgesehenen Ablauf. Ein günstig benannter Checkout kann einen anderen Betreuungsumfang enthalten als eine Leistung, die auch die regelmäßigen betrieblichen Übergaben berücksichtigt.
Planen Sie schließlich den möglichen Wechsel einer Agentur oder eines Zahlungsdienstes mit ein. Welche Dokumentation und berechtigten Verwaltungsinformationen erhält die neue Betreuung? Welche noch offenen Vorgänge müssen weiterbearbeitet werden? Eine geordnete Übergabe betrachtet den tatsächlichen Geschäftsprozess und nicht nur die Darstellung des Bezahlbuttons. Ihr Unternehmen soll nach dem Wechsel wissen, welcher Anbieter für welchen Teil des laufenden Ablaufs zuständig ist.
Den Checkout-Bedarf anfragen
Beschreiben Sie in der Anfrage auf der Startseite Ihr Shopsystem, die gewünschte Einbindungsart und die bisherigen Zuständigkeiten. Übermitteln Sie keine Kartendaten, geheimen Schnittstellenschlüssel oder vertraulichen Kundenvorgänge. Welche Prüfung und Betreuung für Ihren konkreten Zahlungsweg passen, vereinbaren Sie anschließend mit dem jeweiligen Anbieter.