Virtuelle Kreditkarten

Der Herausgeber einer virtuellen Karte hält die Ausgabelizenz des Kartensystems und haftet am Ende für die Karte, deshalb heißt er auch BIN-Sponsor. Ein Issuer Processor wie Marqeta übersetzt die Autorisierungsanfrage (auf Englisch) des Netzes, prüft die Ausgabekontrollen der Karte und meldet Freigabe oder Ablehnung zurück. Ein Unternehmen, das selbst über jede Zahlung entscheiden will, kann ein eigenes Gateway betreiben, dem Marqeta drei Sekunden für die Antwort lässt. Thredd arbeitet als Issuer Processor derselben Art für Banken und Fintechs mit Debit-, Kredit-, Prepaid- und virtuellen Kartenprogrammen.

Fintechs und Spend-Management-Anbieter ohne eigene Lizenz geben ihre Karten über eine solche Sponsorbank aus. Die Visa-Firmenkarten des US-Unternehmens Ramp zum Beispiel stammen von Celtic Bank, Column, Sutton Bank und Lead Bank (auf Englisch), jeweils mit einer Lizenz von Visa USA. Stripe bietet die Kartenausgabe mit Partnerbanken in den USA, in Großbritannien und in weiten Teilen des Europäischen Wirtschaftsraums an, wo eine virtuelle Karte sofort nach dem Anlegen nutzbar ist und in der EU 0,10 Euro kostet. Budgets und Freigaberegeln für Mitarbeiterkarten liegen eine Ebene darüber, bei der Firmenkreditkarte mit Spend Management.

Eine virtuelle Karte lässt sich auch in einer mobilen Wallet auf dem Smartphone hinterlegen. Bei Stripe fügen Karteninhaber eine virtuelle Karte zu Apple Pay, Google Pay oder Samsung Pay hinzu, und die Wallet speichert dann einen Token anstelle der Kartennummer. Dieselbe Netzwerk-Tokenisierung schützt die Kartennummern, die Händler für spätere Zahlungen speichern, und auf ihr bauen die Kartensysteme auch ihre Token für KI-Agenten auf.

In der Kreditorenbuchhaltung bezahlt der Käufer eine Rechnung mit einer Kartennummer, die eigens für diesen Lieferanten oder diese eine Rechnung angelegt wurde. Visa Commercial Pay (auf Englisch) bündelt solche Lieferantenzahlungen auf einer Plattform, gleicht die Zahlungsdaten automatisch ab und verschafft dem Käufer mehr Zeit bis zur Fälligkeit der Kartenabrechnung. Im Euroraum wird eine Lieferantenrechnung meist per SEPA-Überweisung bezahlt, daher setzen B2B-Zahlungen per Karte einen Lieferanten voraus, der Karten annimmt und die Akzeptanzgebühren trägt.

Lieferanten erhalten oft viele Zahlungen mit virtuellen Karten am Tag, jede Bank mit eigenem Ablauf, und Visa nannte diese Akzeptanz manuell, zeitraubend und teuer, als es im Oktober 2023 einen Pilot von Visa Accounts Receivable Manager startete (auf Englisch). Der Dienst ruft die Kartendaten ab, übernimmt Autorisierung und Clearing für den Lieferanten und schickt Abgleichsdaten zurück, damit die Rechnung im ERP-System geschlossen werden kann. Am 27. Mai 2026 kündigte Visa an (auf Englisch), dass Kartenherausgeber auf seinem Commercial Solutions Hub über diesen Dienst Kartenzahlungen für ihre Firmenkunden senden können, mit Start voraussichtlich im September 2026 in 69 Ländern und Gebieten.

Auf Geschäftsreisen bezahlt ein Reisebüro oder eine Buchungsplattform Hotels und Fluggesellschaften im Auftrag des Reisenden, oft mit einer virtuellen Karte pro Buchung. Für Reisevermittler erfasst Visa Commercial Pay Buchungs- und Transaktionsdaten automatisch (auf Englisch) und gleicht die Zahlungen ohne Handarbeit ab. Mitarbeitende können ihre virtuellen Reisekarten in einer mobilen Wallet hinterlegen und damit unterwegs ihre Ausgaben bezahlen.

Checkout.com, der Zahlungsdienstleister aus London, gibt seit dem 30. Juli 2025 physische und virtuelle Visa-Karten für seine Händler aus (auf Englisch), in Großbritannien und Europa. Reiseunternehmen bezahlen damit ihre Hotel- und Reisepartner aus dem Geld, das Checkout.com bereits bei ihren Kunden eingenommen hat, sodass das Kartenkonto nicht vorab aufgeladen werden muss.

Als Mastercard am 29. April 2025 Agent Pay vorstellte, führte das Unternehmen Agentic Tokens ein (auf Englisch), die auf den Token für kontaktlose Zahlungen, gespeicherte Karten und Payment Passkeys aufbauen. Mastercard beschrieb das Firmengeschäft am Beispiel eines kleinen Textilunternehmens, dessen KI-Agent Material bei einem Lieferanten im Ausland beschafft, die Zahlungsbedingungen aushandelt und mit dem Token einer virtuellen Mastercard-Firmenkarte bezahlt. Als Partner für solche B2B-Anwendungen nannte Mastercard IBM mit dem Produkt watsonx Orchestrate und Checkout.com als einen der Acquirer, welche die Token zu den Händlern bringen sollen.

Visa geht mit Visa Intelligent Commerce denselben Weg, bei dem ein Agent mit einem tokenisierten Visa-Zugang innerhalb der Limits bezahlt, die der Karteninhaber festgelegt hat. Agenten, die ganz ohne Karte zahlen, etwa mit Stablecoins oder Konto-zu-Konto-Zahlungen, gehören zum weiteren Feld der Agentic Payments.

Das US-Unternehmen Ramp für Spend Management gibt jedem Agenten eine Identität, einen Verantwortlichen, ein Budget und freigegebene Zahlungswege (auf Englisch) und zeichnet jede Zahlung auf, während der Agent arbeitet. Die Agent Card von Ramp (auf Englisch) gibt einem Agenten Kartendaten für den Bezahlvorgang im Browser, und der Agent hält sich an Ausgabelimit, Händlerregeln und Freigaben des genutzten Budgets. Im März 2026 kündigte Ramp an, Visa Intelligent Commerce und das Visa Trusted Agent Protocol (auf Englisch) bei seinen mehr als 50.000 Kunden einzuführen, während Visa selbst Kunde von Ramp wurde.

Die EU-Obergrenzen für Interchange-Entgelte gelten nicht für Firmenkarten, und die Regeln zur Kartenakzeptanz ziehen dieselbe Grenze. Nach Artikel 10 der Interchange-Verordnung darf ein Kartensystem Händler verpflichten, alle Verbraucherkarten einer Marke und Kategorie anzunehmen, doch ein Händler mit Visa-Verbraucherkarten darf Firmenkarten trotzdem ablehnen. Artikel 10 Abs. 5 verpflichtet die Herausgeber, jede Karte elektronisch als Kredit-, Debit-, Prepaid- oder Firmenkarte erkennbar zu machen, sodass die Kasse eine virtuelle Firmenkarte von einer Verbraucherkarte unterscheiden kann.

Das Aufschlagsverbot in Artikel 62 Abs. 4 der Zahlungsdiensterichtlinie gilt nur für Zahlungsinstrumente mit gedeckelten Interchange-Entgelten, und Firmenkarten gehören nicht dazu. Nach Artikel 62 Abs. 5 dürfen die Mitgliedstaaten Aufschläge weiter beschränken, und jeder Aufschlag darf nach Artikel 62 Abs. 3 die direkten Kosten des Händlers nicht übersteigen. In Deutschland macht § 270a BGB Kartenentgelte nur bei Zahlungen von Verbrauchern im gedeckelten Bereich unwirksam, ein Lieferant darf einem Geschäftskunden die Zahlung mit einer virtuellen Firmenkarte also berechnen.

Die zweite Zahlungsdiensterichtlinie erlaubt dem Kartenherausgeber und dem Geschäftskunden, in ihrem Kartenvertrag von mehreren Verbraucherschutzregeln abzuweichen. Nach Artikel 61 Abs. 1 können sie vereinbaren, dass die Artikel 72, 74, 76, 77, 80 und 89 ganz oder teilweise nicht gelten, darunter die Nachweise zur Authentifizierung und die Haftung für nicht autorisierte Zahlungen. Ein Unternehmen, das virtuelle Karten an Mitarbeitende oder KI-Agenten ausgibt, findet seinen Anteil an Betrugsschäden deshalb im Kartenvertrag, und die Grenzen für Verbraucher gelten dort womöglich nicht.

Die starke Kundenauthentifizierung kennt in Artikel 17 der technischen Regulierungsstandards eine eigene Ausnahme für Firmenzahlungen. Im Juni 2019 beantwortete die Europäische Bankenaufsichtsbehörde eine Frage zu hinterlegten und virtuellen Karten (auf Englisch) und bestätigte, dass Zahlungsdienstleister die Ausnahme auf Kartenzahlungen anwenden dürfen, die nur Zahlern offenstehen, die keine Verbraucher sind. Über die Ausnahme entscheidet allein der Zahlungsdienstleister des Zahlers, und die Aufsicht muss den Ablauf als mindestens so sicher einstufen wie die Authentifizierung nach PSD2.

Eine virtuelle Kreditkarte ist eine Zahlungskarte ohne Plastik, ausgegeben als Kartennummer mit Ablaufdatum und Prüfnummer für Online- und Wallet-Zahlungen. Unternehmen legen oft eine Karte pro Lieferant oder pro Reise an, damit jede Karte ein eigenes Limit und eine eigene Zahlungshistorie hat.

Beide Karten laufen über dasselbe Kartennetz und tragen dieselben Kartendaten, doch eine virtuelle Karte gibt es nur in einer App, im Browser oder in einer mobilen Wallet. Eine virtuelle Karte ist bereit, sobald der Herausgeber sie anlegt, während eine Plastikkarte erst hergestellt und dem Karteninhaber zugeschickt werden muss.

Eine Einmal-Kreditkarte ist eine virtuelle Kartennummer, die der Herausgeber nach einer Zahlung oder nach einem festen Betrag sperrt. Kartenplattformen setzen solche Regeln über Ausgabekontrollen mit einem Limit pro Autorisierung und einer Liste erlaubter Händlerkategorien um, sodass die Nummer bei jedem anderen Händler oder bei einem höheren Betrag scheitert.

Ja, wenn der Herausgeber es unterstützt, fügt der Karteninhaber die virtuelle Karte zu Apple Pay, Google Pay oder Samsung Pay hinzu und kann damit auch am Kartenterminal zahlen. Stripe unterstützt diese Wallets für seine virtuellen Karten, wobei die Vorlaufzeiten je nach Region unterschiedlich sind.

Eine virtuelle Karte begrenzt den Schaden einer abgeflossenen Kartennummer, weil sie sich an einen Händler oder einen Betrag binden und nach der Nutzung abschalten lässt. Die Kartendaten brauchen trotzdem Schutz: Nach PCI DSS kann ein Unternehmen, das virtuelle Karten für eigene Nutzer erzeugt, als Dienstleister gelten und muss den Standard dann einhalten.