API zur Ausgabe von Kryptokarten: Ein praktischer Leitfaden zur Funktionsweise

Der Aufbau eines Kartenprogramms nach herkömmlicher Art erfordert eine Sponsorenbank, einen Zahlungsdienstleister, ein Personalisierungsbüro und eine Compliance-Abteilung – allesamt Verträge, die einzeln zusammengestellt werden. Die dafür üblicherweise angeführte Zeitspanne beträgt 18 Monate.

Eine API zur Kartenausgabe ist das Argument, dass Sie das nicht mehr tun müssen. Sie beseitigt diese Arbeit nicht wirklich, sondern verlagert den Großteil davon auf andere. Was übrig bleibt, sollten Sie verstehen, bevor Sie unterschreiben.

Wichtige Erkenntnisse

• Eine API zur Ausgabe von Kryptokarten ermöglicht es Unternehmen, Zahlungskarten zu erstellen und zu verwalten, die mit Kryptoguthaben verknüpft sind, in der Regel ohne über eine eigene Kartenlizenz, ein Banksponsoring oder eine eigene Verarbeitungsinfrastruktur zu verfügen.
• UPay Business veröffentlicht die Ausgabe physischer und virtueller Visa-Karten über eine einzige API, Krypto-Zahlungsgebühren von unter 1 Prozent im Vergleich zu den 3 bis 5 Prozent, die für traditionelle grenzüberschreitende Zahlungen anfallen, und die Akzeptanz von BTC, ETH, USDT und mehr als 50 weiteren Vermögenswerten gemäß TRC20, ERC20 und BSC.
• UPay Business veröffentlicht eine Bearbeitungszeit von etwa fünf Minuten für die Kryptoabwicklung und T+0 oder T+1 für die Fiat-Auszahlung, abhängig vom Kanal. Die Bankabwicklung erfolgt bei T+1. Es handelt sich dabei um unterschiedliche Abwicklungsschritte, nicht um einen Widerspruch. Fragen Sie daher nach, welcher Schritt in Ihrem Zahlungskorridor endet.
• In der Entwicklerdokumentation von UPay werden eine Testumgebung, ein Gültigkeitsfenster von 60 Sekunden für die Signatur pro Anfrage und eine obligatorische IP-Zulassungsliste veröffentlicht. Die Produktions-Basis-URL wird als nicht öffentlich bekannt gegeben aufgeführt.
• Die Compliance, die Sie übernehmen, ist real: Identitätsprüfung, Transaktionsüberwachung, Sanktionsprüfung, die Travel Rule mit einem Wert von 3,000 US-Dollar in den Vereinigten Staaten und PCI DSS v4.0.1, derzeit die einzige aktive Version, deren 51 zukünftige Anforderungen am 31. März 2025 in Kraft traten.
• Bei den Registrierungen sollte man sich an dem orientieren, was UPay selbst auflistet: eine Lizenz als Geldtransferdienstleister in Hongkong, eine grundsätzliche Genehmigung als Anbieter von Dienstleistungen für virtuelle Vermögenswerte in Litauen sowie Registrierungen für Geldtransfergeschäfte in den Vereinigten Staaten und Kanada.

Was ist eine API zur Ausgabe von Kryptokarten?

Eine API zur Ausgabe von Kryptokarten ist eine Reihe programmierbarer Endpunkte, die es einem Unternehmen ermöglichen, Zahlungskarten zu erstellen, aufzuladen, einzufrieren und zu kündigen, die mit dem Krypto-Guthaben eines Kunden verknüpft sind, ohne die zugrunde liegende Infrastruktur zu besitzen.

Der Anbieter verfügt über schwer zugängliche Beziehungen: Netzwerkzugehörigkeit, Ausstellungsvereinbarung, Verarbeitung und Konvertierung. Sie behalten den Kunden, die Marke und die Ausgabenrichtlinien.

Der Kryptoanteil findet im Konvertierungsschritt statt. Die Karte ist eine gewöhnliche Karte in einem herkömmlichen Netzwerk; die vom Anbieter hinzugefügte Technologie wandelt ein Kryptoguthaben bei der Autorisierung in die Abrechnungswährung um, sodass der Händler eine normale Transaktion und der Kunde eine Krypto-Abbuchung sieht.

Wie der Ablauf funktioniert, Schritt für Schritt

Onboarding und Identitätsprüfung. Ihre Anwendung erfasst die Kundendaten und übermittelt sie über die Verifizierungs-Endpunkte des Anbieters. Das Ergebnis wird asynchron zurückgesendet; implementieren Sie daher einen Status „Ausstehend“ anstelle von „Ja“ oder „Nein“.

Guthaben aufladen. Der Kunde überweist Kryptowährung auf das Konto, von dem die Karte abgebucht wird. Bei UPay erfolgt dies per Aufladung aus der UPay-Wallet und nicht per Lastschrift. Das Guthaben muss also vom Kunden stets aufgefüllt werden.

Ausstellung und Bereitstellung. Eine virtuelle Karte wird schnell ausgestellt. Eine physische Karte muss produziert und versendet werden. Deshalb umfassen die Karten-Endpunkte von UPay neben der Registrierung auch die Aktivierung und die Logistikverfolgung.

Autorisierung. Sobald der Kunde zahlt, sendet das Netzwerk eine Autorisierungsanfrage. Der Anbieter prüft den Kontostand und Ihre Ausgabenrichtlinien, führt die Umrechnung durch und genehmigt oder lehnt die Zahlung ab. Alle Einstellungen, die Sie kontrollieren möchten, müssen im Voraus festgelegt werden.

Abrechnung und Abstimmung. Abgeschlossene Transaktionen werden über das Netzwerk an den Händler abgerechnet, während Sie die Abstimmung anhand von Webhooks durchführen. Der Webhook-Feed dient als Datensatz, das Dashboard als Zusammenfassung.

In unserem Hinweis zur Funktionsweise von USDT-Zahlungen erklären wir, was eine Kettenbestätigung tatsächlich aussagt; sie dient als Grundlage für diese Abstimmung.

Was die API-Dokumentation von UPay tatsächlich veröffentlicht

Hier ein Auszug aus der Entwicklerdokumentation und den Unternehmensseiten von UPay.

Was ein Käufer fragt	Was UPay selbst veröffentlicht	Wo es steht
Welche Karten kann ich ausstellen?	Physische und virtuelle Visa-Karten über eine einzige API	UPay Business-Website
Gibt es einen Sandkasten?	Eine Testumgebung wird veröffentlicht; die Staging-Umgebung ist als nicht verfügbar gekennzeichnet und die URL der Produktionsumgebung wird nicht öffentlich bekannt gegeben.	UPay API-Referenz
Wie wird eine Anfrage authentifiziert?	Jede Anfrage wird signiert, und eine Signatur ist 60 Sekunden lang gültig, bevor sie erneuert werden muss.	UPay API-Referenz
Gibt es Netzwerkbeschränkungen?	Anrufende IP-Adressen müssen auf der Zulassungsliste stehen, und Antworten erfolgen nur von festgelegten Adressen.	UPay API-Referenz
Was kann ich mit einer Karte machen?	Registrieren, aktivieren, aufladen, sperren und entsperren, kündigen, Rechnungen abfragen, ein Handelspasswort festlegen, Logistik verfolgen, 3-D Secure bestätigen, einen Ausgabenbetrag autorisieren	UPay API-Referenz
Was umfasst die API sonst noch?	Händler-, Konto-, Kundengruppen-, Kunden-, Adress-, Karten-, Wallet-, Acquirer-, Ausgaben-, IFrame-, Datei-Upload-, Regionslisten-, Codelisten- und Webhook-Gruppen	UPay API-Referenz
Ist die Dokumentation auf Englisch?	Die primäre Referenz ist in vereinfachtem Chinesisch; eine vollständige englische Spiegelung ist unter upay-api-en.readme.io veröffentlicht (https://upay-api-en.readme.io/)	UPay-API-Referenz, beide Editionen
Woran merke ich, dass etwas passiert ist?	Webhook-Benachrichtigungen für Karten-, Wallet-, Acquiring- und Auszahlungsereignisse	UPay API-Referenz
Wie hoch sind die Bearbeitungskosten?	Bei Kryptozahlungen unter 1 Prozent, im Vergleich zu 3 bis 5 Prozent bei traditionellen grenzüberschreitenden Zahlungen.	UPay Business-Website
Wie schnell wird das Geld gutgeschrieben?	Etwa 5 Minuten in der Blockchain („~ 5 Minuten“); Fiat-Auszahlung T+0 oder T+1 je nach Kanal; Bankabwicklung T+1	Die Website von UPay Business und ihre Krypto-Zahlungsseite

Beides ist lesenswert, bevor Sie den Umfang der Arbeit festlegen: Die Zulassungsliste schränkt ein, wo Ihr Code ausgeführt wird, und ein 60-Sekunden-Signaturfenster schränkt ein, wie es zu Wiederholungsversuchen kommt.

UPay Business gibt eine Bearbeitungszeit von etwa fünf Minuten für Kryptozahlungen an und nennt „~ 5 Minuten“ im Vergleich zu 1 bis 5 Werktagen bei herkömmlichen Zahlungsmethoden. Auf der Seite für Kryptozahlungen heißt es, dass die On-Chain-Abwicklung „in Echtzeit erfolgen kann, während die Fiat-Abwicklung in der Regel T+0 oder T+1 beträgt, abhängig vom Auszahlungskanal“, wobei die Bankabwicklung mit T+1 angegeben wird.

Die Schnellberechnung bezieht sich auf den On-Chain-Teil, T+0 oder T+1 auf den Fiat-Auszahlungsteil. Fragen Sie daher nach, an welchem ​​Ende Ihr Transaktionskorridor tatsächlich endet. UPay veröffentlicht zudem als einziger Anbieter in dieser Kategorie eine ROI-Angabe: eine Einsparung von 20,000 bis 50,000 US-Dollar pro verarbeiteter Million gegenüber herkömmlichen Banksystemen.

Die Compliance, die Sie erben

Die Technologie funktioniert im Handumdrehen. Die Erstellung der Compliance-Unterlagen dauert ein Quartal und legt Ihren Starttermin fest.

Identitätsprüfung. Die Kartenausgabe ist in allen relevanten Märkten für Kartenprogramme reguliert, daher wird jeder Karteninhaber vor der Kartenausstellung verifiziert. UPay stellt hierfür Endpunkte für Einreichung, Abfrage und Status bereit, sodass Ihr Produkt einen Status zwischen „Beantragt“ und „Genehmigt“ anzeigen muss.

In unserer Erläuterung zur Einhaltung der KYC-Vorschriften im Kryptobereich wird der Zweck dieser Prüfungen erläutert.

Transaktionsüberwachung und Sanktionen. Die Überprüfung erfolgt anhand von Namen und, im Bereich der Kryptowährungen, anhand von Wallet-Adressen. Das Office of Foreign Assets Control (OFAC) des US-Finanzministeriums führt Adressen von Kryptowährungen seit 2018 auf seiner Sanktionsliste. Daher kann eine Adresse, genau wie ein Name, überprüft werden.

UPay nennt seine Infrastrukturpartner – mehr als die meisten anderen Anbieter: Identitätsverifizierung mit Sumsub ( Ankündigung von UPay im Mai 2024) , Stablecoin-Abwicklung mit StraitsX und Cloud-Infrastruktur mit Tencent Cloud. Alle drei sind auf UPay Business unter „Basiert auf vertrauenswürdigen globalen Partnerschaften“ aufgeführt. Die genannten Partner sind überprüfbar; die Angabe „Infrastruktur für Unternehmen“ hingegen nicht.

Die Travel Rule. In den Vereinigten Staaten schreibt 31 CFR 1010.410(f) vor, dass bei Geldtransfers ab 3,000 US-Dollar die Angaben zum Absender und Empfänger auf Reisen übermittelt werden müssen. Diese Regelung existierte bereits vor der Einführung von Kryptowährungen und gilt auch für diese.

PCI DSS. Die Sicherheit von Kartendaten basiert auf dem PCI-DSS-Standard (Payment Card Industry Data Security Standard). Der PCI-DSS-Rat hat Version 4.0 am 31. Dezember 2024 zurückgezogen; Version 4.0.1 ist daher die einzig gültige Version.

Von den 64 Anforderungen der Version 4.x wurden 51 auf die Zukunft datiert und traten am 31. März 2025 in Kraft . Daher erfolgt eine heutige Bewertung anhand des vollständigen Anforderungskatalogs und nicht anhand der Übergangsanforderungen.

Die Verwendung der vom Anbieter bereitgestellten Kartenfelder schränkt Ihren Anwendungsbereich ein. Er wird dadurch nicht vollständig beseitigt, und die Frage, die Ihr Prüfer stellen wird, lautet: Welche Felder werden von Ihrem eigenen Code überhaupt berührt?

Lizenzierung. Fordern Sie die Liste an und vergleichen Sie sie mit den offiziellen Registern, nicht mit den Angaben auf der Marketingseite. UPay führt eine Lizenz als Geldtransferdienstleister in Hongkong, eine grundsätzliche Genehmigung als Anbieter von Dienstleistungen für virtuelle Vermögenswerte in Litauen sowie Registrierungen für Geldtransfergeschäfte in den USA und Kanada auf.

UPay hat die Kennungen für diese beiden Unternehmen veröffentlicht: 31000257909666 für die US-Registrierung und M24993747 für die kanadische. Suchen Sie selbst in der MSB-Registrierungssuche von FinCEN und im MSB-Register von FINTRAC danach. Sollte das Unternehmen, mit dem Sie einen Vertrag abschließen, dort nicht gefunden werden, fragen Sie nach dem Grund, bevor Sie weitere Schritte unternehmen.

Die beiden Seiten von UPay sind diesbezüglich nicht einheitlich. Auf der Startseite werden die vier Lizenzen als vorhanden aufgeführt; auf der Seite „Über uns“ werden sie weiterhin in einer Zeitleiste unter „Ziele und Pläne“ als anzustrebende Lizenzen mit den Daten Q3 2023 und Q1 2024 aufgeführt, neben einer Treuhandlizenz, die auf der Startseite nicht erwähnt wird.

Das ist der Normalzustand im Verkäufermarketing, und deshalb ist das Register und nicht die Webseite die Lösung.

Herausforderungen bei der Verwendung von APIs zur Ausgabe von Kryptokarten

Die Regeln unterscheiden sich je nach Markt und Nationalität. Eine einzelne API ermöglicht nicht die Entwicklung eines einzelnen Produkts. Sanktionslisten, Netzwerkregeln und die Länderliste des Anbieters schränken ein, wen Sie bedienen können.

Das Konversionsrisiko verschwindet nicht, es verlagert sich. Die Konvertierung bei Autorisierung konzentriert das Risiko des Kunden auf die Sekunden um jeden Kauf herum. Bei einem volatilen Finanzinstrument ist ein Rückgang des Kontostands, der eine Stunde zuvor noch ausreichend erschien, ein Supportfall und kein Fehler.

Sie entwickeln weiterhin den eher langweiligen Teil: API-Probleme und Kontrollkarten, Kontoauszüge, Reklamationsbearbeitung, den 3-D-Secure-Ablauf, Aufladeerinnerungen und den Steuerexport. Die Teams konzentrieren sich auf die Endpunkte und vernachlässigen das restliche Produkt.

Ihre Kunden benötigen Aufklärung. Eine aus einem digitalen Portemonnaie aufgeladene Karte wird abgelehnt, wenn das Guthaben nicht ausreicht, kein Dispokredit besteht und keine automatische Aufladung aktiviert ist. Weisen Sie Ihre Kunden darauf im Onboarding-Prozess hin, anstatt dies in den Allgemeinen Geschäftsbedingungen zu erwähnen.

Sie übernehmen die Stabilität des Anbieters. Ein Kartenprogramm ist keine Abhängigkeit, die man mal eben über ein Wochenende austauschen kann. Fragen Sie nach, was mit aktiven Karten passiert, wenn der Anbieter seinen Ausgabepartner wechselt.

Was Sie vor der Unterzeichnung prüfen sollten

Welche Märkte, nach welchen Kriterien? Die Kartenberechtigung richtet sich nach der Staatsangehörigkeit, nicht nach dem Wohnsitz, und variiert je nach Karte. Die Premier-Karte von UPay lehnt Anträge aus einer langen Liste von Ländern und Gebieten ab, die meisten davon unbewohnt oder umstritten.

Die Platinum-Karte lehnt Anträge von Staatsangehörigen einer deutlich kürzeren Liste ab, die unter anderem die USA, China, Indien, Indonesien, Pakistan, Vietnam, die Türkei, Saudi-Arabien und Israel umfasst. Die Ablehnung von Anträgen aufgrund der kürzeren Liste führt zum Ausschluss von der Vereinbarung, und beide Karten schließen Staatsangehörige sanktionierter Länder kategorisch aus.

UPay überarbeitet die Liste und gibt an, dass sie auf Visa und wichtigen globalen regulatorischen Risiko- und Sanktionslisten basiert. Die aktuelle Version finden Sie im Hilfezentrum von UPay.

Wer ist der Aussteller? Die Karten von UPay werden von Partnerinstitutionen und nicht von UPay selbst ausgestellt, und die Regeln dieser Institution sind für Ihr Programm verbindlich.

UPay hat einen Aussteller genannt: JC Credit Limited für seine Hongkonger Kreditkarte, deren Bedingungen auf Mastercard verweisen. Die aktuellen Premier- und Platinum-Karten sowie die Business-API-Karten werden über Visa ausgegeben. Erkundigen Sie sich, welches Institut Ihre Karte ausstellt.

Welcher Zinssatz gilt? Fragen Sie nach dem bei der Autorisierung festgelegten Zinssatz, dem Spread und wer die Differenz zwischen Autorisierung und Abrechnung trägt.

Wie Sie aussteigen. Fragen Sie nach, was mit Ihren Karteninhabern passiert, wenn Sie kündigen, wem die tokenisierten Zugangsdaten gehören und welche Kündigungsfrist gilt. Die Antwort findet sich selten in der Dokumentation.

Sie gewichten eher die Anbieter als die Mechanismen? Unser Leitfaden zu Kryptokarten-Ausgabeplattformen für Startups vergleicht diese, und die B2B-Krypto-Zahlungsinfrastruktur deckt die Abwicklungsseite ab.

Was tatsächlich Zeit in Anspruch nimmt

Eine realistische erste Implementierung dauert drei bis vier Monate, wobei der Entwicklungsaufwand nur gering ist: Die Entwicklung selbst nimmt Wochen in Anspruch, die Erstellung der Compliance-Dokumentation ein Quartal. Beides sind Arbeitsschätzungen und keine veröffentlichten Zahlen.

Die Überprüfung der Geschäftstätigkeit (KYB) bei Unternehmen mit verschachtelten Eigentumsverhältnissen ist der Schritt, der am häufigsten zu lange dauert. Halten Sie Gründungsdokumente, ein Organigramm und die Kontaktdaten der Geschäftsführer bereit.

Danach geht es eher um Entscheidungen als um Code: Welche Ausgabenkontrollen werden offengelegt, was unternimmt der Support, wenn eine Karte an einer Zapfsäule aufgrund einer Vorautorisierung abgelehnt wird, und wie kann ein Kunde sein aufgebrauchtes Guthaben wieder aufladen?

Die Integration selbst ist der kurze Teil, und genau diesen Teil beschreibt unser Leitfaden zur Integration der Payment-Gateway-API .

Häufig gestellte Fragen

Ist die Integration einer API zur Ausgabe von Kryptokarten schwierig?

Die Integration selbst ist nicht der schwierigste Teil. Dokumentation, Testumgebung und Webhooks reduzieren die Entwicklungsphase auf wenige Wochen. Die Verifizierung durch das eigene Unternehmen, die Freigabe der Compliance-Abteilung und die kommerziellen Bedingungen bestimmen den Termin.

Benötige ich eine eigene Lizenz, um Karten über eine API auszugeben?

In der Regel nicht: Der Anbieter und sein ausstellender Partner besitzen die Lizenzen, und Sie agieren als Programmmanager auf Grundlage ihrer Genehmigungen. Dies ist eine wirtschaftliche Einschätzung und keine Rechtsberatung; daher sollten Sie dies für jeden Markt, in dem Sie tätig sind, überprüfen.

Wie geht eine Kryptowährungskarte mit Preisschwankungen zwischen Kauf und Abrechnung um?

Der Anbieter rechnet bei Autorisierung um, daher wird der Saldo mit dem zu diesem Zeitpunkt festgelegten Kurs belastet. Die Differenz zwischen Autorisierung und Abrechnung wird vorgehalten, und der Vertrag legt fest, wo.

Worin besteht der Unterschied zwischen der Ausgabe von Karten und einem Zahlungsportal?

Ein Zahlungsgateway ermöglicht es Ihnen, Zahlungen von Kunden entgegenzunehmen. Die Kartenausgabe stellt Kunden eine Karte zum Bezahlen zur Verfügung. Ähnliche technische Grundlagen, gegensätzliche Probleme – und viele Unternehmen benötigen beides.

Kann ich meinen Kunden überall Karten ausstellen?

Nein. Kartenprogramme führen Listen von Ländern und Nationalitäten, die aufgrund von Sanktionen und Netzwerkregeln nicht bedient werden können. Informieren Sie sich über die aktuelle Liste, bevor Sie einen Markt sondieren.