Click to Pay

EMVCo hat die Spezifikationen für Secure Remote Commerce nach einer Branchenkonsultation veröffentlicht und 2020 alle darauf aufbauenden Verbraucherdienste Click to Pay genannt. Die Spezifikationen bestehen aus einer API und einem JavaScript-SDK, die Kartennetze, Zahlungsdienstleister und Händler umsetzen. Ein Händler darf das Click-to-Pay-Symbol zeigen, sobald er einen Markenlizenzvertrag mit EMVCo unterschrieben hat, und das Symbol zeigt Kundinnen und Kunden, dass das Verfahren an dieser Kasse funktioniert.

Eine Mastercard lässt sich registrieren über eine teilnehmende Bank, im Click-to-Pay-Bereich der Mastercard-Website oder beim Bezahlen bei ausgewählten Händlern. Beim nächsten Kauf genügt die E-Mail-Adresse, oder der Kunde wird automatisch erkannt, auch in einem Shop, in dem er noch nie bestellt hat. Läuft eine Karte ab, werden die hinterlegten Daten im Hintergrund erneuert, und Händler binden das Verfahren über ihren Zahlungsdienstleister oder ihren Acquirer ein.

Jede für Click to Pay registrierte Karte von Mastercard erhält einen Token, und Visa zufolge speichern und verarbeiten Händler nur einen digitalen Platzhalter statt der 16-stelligen Kartennummer. Visa nennt einen solchen Token wertlos, wenn er in falsche Hände gerät. Click to Pay baut auf dem Token-Standard von EMVCo auf, den Network Tokenization für gespeicherte Karten und Wallets erklärt.

Nach eigenen Netzdaten sieht Visa bis zu 11 Prozent höhere Autorisierungsraten als bei manuell eingegebenen Kartennummern, und in einem Visa-Pilotprojekt von 2023 war der Checkout bis zu 20 Sekunden schneller. Mastercard will bis 2030 alle Online-Kartenzahlungen in Europa tokenisieren und authentifizieren, und im April 2025 war bereits fast die Hälfte seiner Transaktionen ohne physische Karte in Europa tokenisiert.

Ein Passkey ist ein FIDO-Zugangsschlüssel, den man mit demselben Fingerabdruck, Gesichtsscan oder derselben PIN freigibt, mit der man das Smartphone entsperrt. Version 1.5 der EMVCo-Spezifikationen erlaubt einen Passkey für die Karten im eigenen Click-to-Pay-Profil, womit der Einmalcode bei jeder Kartenauswahl entfallen kann. Visa hat seinen Visa Payment Passkey Service auf den FIDO-Standards aufgebaut und integriert ihn zuerst in Click to Pay, sodass eine biometrische Prüfung die Zahlung ohne Passwort bestätigt.

Mastercard nannte Dintero, Netopia und Solidgate als neue Partner für seine Payment Passkeys, und Netopia Payments bezeichnet sich als ersten europäischen Prozessor, der sie mit Click to Pay verbindet. Nach den Regeln der PSD2 verlangt die kartenausgebende Bank eine starke Kundenauthentifizierung, wenn eine Zahlung sie erfordert, und Mastercard zufolge erfüllt Click to Pay diese Vorgaben. Banken nutzen dieselbe FIDO-Technik für Passkeys im Online-Banking, wo sie das Passwort beim Login ersetzt.

Mastercard hat Click to Pay 2023 mit MediaMarkt und Saturn in Deutschland eingeführt. Im August 2024 hat Schwarz Digits das Verfahren im Lidl Onlineshop und auf dem Kaufland Marktplatz gestartet, wo das Click-to-Pay-Logo neben dem Mastercard-Logo steht. In einer GfK-Umfrage im Auftrag von Mastercard gaben 51 Prozent der Befragten in Deutschland an, Click to Pay nutzen zu wollen.

Visa meldete im September 2024, dass Juwelier Christ, Netto und Marktkauf Click to Pay einführen und die Direktbank DKB die Anmeldung in ihrer Banking-App anbietet. Im März 2025 boten ein Viertel der 20 größten Onlinehändler in Deutschland das Verfahren an oder führten es ein, darunter notebooksbilliger.de. Die Lufthansa Group kündigte Click to Pay auf ihren Buchungsportalen ab Oktober 2025 an, für Lufthansa, SWISS, Austrian Airlines und Brussels Airlines.

Mastercard zählte Click to Pay im Juni 2025 in 26 europäischen Märkten, nachdem sich die Anmeldungen innerhalb eines Jahres mehr als verdoppelt hatten. Zu den neuen Partnern für das Verfahren gehörten Consors Finanz BNP Paribas, Fiserv, N26, PayU und SIX sowie die Dienste Ogone und Saferpay von Worldline.

Im Juni 2026 hat Visa Click to Pay für berechtigte Visa-Karteninhaber von Revolut freigeschaltet, das europaweit mehr als 40 Millionen Kundinnen und Kunden hat. Revolut bietet das Verfahren auch Händlern an im Vereinigten Königreich und in Europa, die es dann an ihrer Kasse als Zahlart zeigen können.

Click to Pay ist der Name für Online-Bezahldienste, die auf den Secure-Remote-Commerce-Spezifikationen von EMVCo beruhen. Man bezahlt aus einem gespeicherten Kartenprofil, und der Shop erhält statt der Kartennummer einen Token, ein Verfahren, das man als Tokenisierung im Zahlungsverkehr kennt.

Ein Händler mit Click to Pay hält nur einen Token, daher legt ein Datenleck im Shop keine nutzbare Kartennummer offen. Die kartenausgebende Bank prüft die Zahlung weiterhin und kann eine Bestätigung in ihrer App oder einen Passkey verlangen. In Visa-Netzdaten von Oktober 2024 bis Februar 2025 zeigte Click to Pay bis zu 91 Prozent weniger Betrug als manuell eingegebene Kartennummern.

Eine Karte lässt sich über eine teilnehmende Bank registrieren, etwa in der Banking-App der DKB, oder direkt beim Bezahlen bei einem Händler, der Click to Pay anbietet. Wer eine Mastercard hat, kann sich auch im Click-to-Pay-Bereich der Mastercard-Website anmelden. Nach dieser einen Registrierung genügen E-Mail-Adresse und eine Bestätigung, um die Karte in anderen teilnehmenden Shops auszuwählen.

Visa berechnet Händlern für Click to Pay keine zusätzliche Transaktionsgebühr, wie Visa beim Ausbau des Verfahrens in Deutschland im September 2024 erklärte. Die üblichen Kosten der Kartenzahlung selbst, etwa Scheme-Gebühren und das Entgelt des Acquirers, fallen weiterhin an.

Visa, Mastercard und weitere EMVCo-Mitglieder betreiben eigene Click-to-Pay-Systeme nach denselben Spezifikationen. EMVCo beschreibt das Symbol als Zeichen für ein einheitliches Bezahlerlebnis, unabhängig von Karte, Gerät oder Händler, und vergibt es per Lizenz an Händler und andere Beteiligte.