Virtuelle Firmenkarte: Sicherheit und Einsatzbereiche

Die virtuelle Firmenkarte ist eine Zahlungskartennummer, die nur in digitaler Form existiert — ohne Plastikkarte im Portemonnaie. Konkret spricht man von einer „Virtual Card Number“ (VCN): 16 Ziffern, ein Ablaufdatum und eine Prüfziffer, exakt wie bei einer klassischen Karte, nur eben auf Anforderung über ein Webportal oder eine API geliefert^[2]. Das Prinzip ist im Privatkundenbereich alt; im B2B hat es sich durchgesetzt, weil es zwei Probleme löst, die Finanzleitungen das Leben schwer machen: die Nachvollziehbarkeit und die Betrugsexposition.

Wo eine physische Karte ein einzelnes, unbegrenzt wiederverwendbares Objekt ist, entsteht die virtuelle Karte in wenigen Sekunden und je nach Konfiguration für eine einzige Transaktion. Üblicherweise werden drei Familien unterschieden: die wiederverwendbare virtuelle Karte (eine dauerhafte Nummer für einen Mitarbeiter oder einen Zweck), die begrenzte Mehrzweckkarte (zeitlich oder betragsmäßig gedeckelt) und die Einmalkarte, flüchtig konzipiert und nach der Transaktion vernichtet^[3]. Je gezielter der Einsatzzweck, desto kleiner die Angriffsfläche. Das ist die ganze Logik des Produkts.

Die letzte Nuance zählt: Eine virtuelle Karte ruht auf einem einzigen Finanzierungskonto (dem des Unternehmens), aber jede abgeleitete Nummer ist unabhängig. Wer eine virtuelle Nummer kompromittiert, bekommt nur Zugang zu den auf dieser Nummer festgelegten Limits — niemals zum Hauptkonto. Genau diese Abschottung verwandelt ein Zahlungswerkzeug in ein Steuerungsinstrument.

Sicherheit ist das Hauptargument der Aussteller, und die Zahlen geben ihm recht. In ihrer Erhebung 2025 zu Zahlungsbetrug misst die AFP (Association for Financial Professionals) den Betrug je Kanal: 63 % der Unternehmen erlitten 2024 Angriffe über Schecks, 38 % über Überweisungen mittels Identitätserschleichung (Business Email Compromise) und nur 5 % über virtuelle Karten^[1]. Der Abstand ist nicht marginal — er beträgt eine Größenordnung.

Die Gründe liegen in der Mechanik des Produkts. Erstens dient eine Einmal-Nummer nur einmal: Nach der Transaktion gestohlen, ist sie bereits deaktiviert. Zweitens wird jede virtuelle Karte bei der Erzeugung konfiguriert: Betrag, Währung, Gültigkeitszeitraum, zugelassener Händler — was eine zweckentfremdete Nutzung jenseits des definierten Rahmens nahezu unmöglich macht. Drittens legt die virtuelle Nummer nie die Koordinaten des Hauptkontos offen. Die wenigen erfassten Betrugsfälle kommen selten vom Zahlungsvorgang selbst: Sie entstehen aus Social Engineering, wenn ein Mitarbeiter durch Täuschung zur Zahlung an einen Scheinlieferanten verleitet wird^[1].

Die virtuelle Karte ist kein Universalmittel. Sie glänzt auf vier präzisen Feldern, auf denen Nachvollziehbarkeit und Kontrolle je Transaktion mehr einbringen als der Komfort einer Plastikkarte.

1. Marketing und Media-Einkauf. Das ist der Lehrbuchfall. Eine Agentur oder ein Growth-Team schaltet Kampagnen auf mehreren Plattformen (Google, Meta, LinkedIn …). Statt einer einzigen geteilten Karte (ein Abgleich-Albtraum) erzeugt man eine Nummer je Kampagne, gar je Kunde. Das Spend ist automatisch einsortiert: kein manuelles Zuordnen mehr, und eine Anomalie (ein Ausschlag auf einer schlafenden Kampagne) springt sofort ins Auge. Für Media-Agenturen ist das de facto zum Standard geworden.

2. Abos und Software (SaaS). Shadow IT kostet teuer: von Teams abgeschlossene, vergessene Abos, die sich über Jahre verlängern. Eine virtuelle Karte je Abo löst das Problem vorab: Limit passgenau auf den Tarif, automatische Deaktivierung bei Kündigung, volle Sichtbarkeit über die Verlängerungen. Und wenn ein SaaS-Anbieter den Tarif ohne Ankündigung ändert, lehnt die Karte ab: Der Alarm kommt sofort — wo eine klassische Karte es durchgewunken hätte.

3. Lieferantenzahlungen. Historisch ist das das Territorium von Scheck und Überweisung, den beiden am stärksten betrugsanfälligen Kanälen^[1]. Die für eine konkrete Zahlung ausgegebene virtuelle Einmal-Karte beschleunigt den Zahlungseingang beim Lieferanten und beseitigt das Risiko abgefangener Bankverbindungen oder Schecks. Aussteller, die dieses Segment ins Visier nehmen, heben den Rückgang der Debitorenlaufzeit (DSO) und einen automatisierten Abgleich hervor: zwei Gewinne, die keine Überweisung bietet.

4. Die Geschäftsreise. Flugbuchung, Hotel, Bahn, Restaurantbelege: eine virtuelle Karte je Reise, gedeckelt auf das Reisebudget, nach der Rückkehr geschlossen. Die Reisenden schießen keine privaten Ausgaben mehr vor, die Finanzleitung verfolgt jede Ausgabe in Echtzeit, und es gibt keine physische Karte mehr, die auf der Dienstreise verloren gehen kann. Dieser Anwendungsfall gehört übrigens zu den am besten dokumentierten in der B2B-Literatur zu virtuellen Karten.

So gestellt, ist die Frage falsch formuliert. Die virtuelle Karte ersetzt die physische nicht: Sie ergänzt sie. Die physische Karte bleibt unentbehrlich, wo immer die Zahlung „in Anwesenheit“ der Karte erfolgt: eine Mautstelle, eine Tankstelle, ein Restaurant auf der Dienstreise, ein Geldautomat. Die virtuelle Karte glänzt im „Karte nicht anwesend“-Fall (E-Commerce, Abo, Online-Lieferantenzahlung). Auf beiden Feldern greift die Echtzeitkontrolle: Limits, Sofortsperre, Alarme je Transaktion.

Das richtige Modell ist für die meisten Unternehmen die Koexistenz: eine physische Karte für den Feldeinsatz (Kraftstoff, Maut, Verpflegung unterwegs), ergänzt durch virtuelle Karten für die Online-Ströme. Genau das bietet eine in eine Profi-Zahlungssuite integrierte Tankkarte: ein einziges Back-Office für beide Medien, statt zweier Werkzeuge, die einander ignorieren.

Ein oft unterschätzter Punkt: Die virtuelle Karte eignet sich besser für die Echtzeitkontrolle als die physische. Bei einer physischen Karte erfordert die Anpassung eines Limits den Kontakt zum Aussteller; bei einer virtuellen lässt sich die Konfiguration im Portal on the fly ändern. Für ein Finanzteam, das für eine Fachmesse ein Limit öffnen und am selben Abend wieder schließen muss, ist der Unterschied real.

Der Markt der B2B-virtuellen Karten ist explodiert: Das weltweite Volumen der B2B-Zahlungen per virtueller Karte ist zum dominierenden Segment des Marktes geworden, und die Einmalzahlung machte 2024 knapp 60 % des Marktes aus^[4]. Auf der Anbieterseite teilen sich zwei Familien den Raum.

Auf der einen Seite die Ausgabenmanagement-Plattformen (Brex, Ramp, die Corporate-Karte von Spendesk, Mooncard), die die virtuelle Karte in einen Workflow aus Spesenabrechnung und Freigaben einbetten. Auf der anderen Seite die Emissions-Infrastrukturen (allen voran Stripe Issuing), die jedem Unternehmen erlauben, eigene virtuelle Karten per API zu erzeugen. Die Netze (Visa, Mastercard) speisen das Ganze und bilden die Sicherheitsreferenz^[2]. Greenway positioniert sich auf dem ersten Feld: eine virtuelle Firmenkarte, integriert in eine Suite, die auch Kraftstoff, Maut und Laden abdeckt — alles gesteuert aus einem einzigen Back-Office, mit 1 % jeder Transaktion, die über das Programm 1%ForAll® fließt.

Bei der Auswahl wiegen zwei Kriterien mehr als der Bruttopreis: die Integrationstiefe (spricht die Karte mit Ihrer Buchhaltung, Ihrem Fuhrparkmanagement, Ihrem Spesenwerkzeug?) und die Qualität der Echtzeitkontrolle (Limit je Transaktion, Fernsperrung, Alarme). Eine virtuelle Karte ohne nennenswertes Back-Office löst nur die Hälfte des Versprechens ein.

Wer die Integrationslogik und die breitere Rolle der Corporate-Karte vertiefen möchte: Unsere Analyse zur Corporate-Karte im Dienst der CSR und unser Überblick über die sieben besten smarten Firmenkarten runden das Bild ab.