Tokenisation is sold as security and billed at both ends. One of the two prices may not be disclosed.
Tokenisierung wird als Sicherheit verkauft und an beiden Enden abgerechnet. Einer der beiden Preise darf nicht genannt werden.
A payment token is a substitute number that stands in for a card number so the real one never travels. It was introduced as a security measure, and it works. It has also become a billing unit, and it is billed twice on the same transaction: the issuer pays the wallet provider at one end, the merchant pays the card network at the other. The merchant’s price appears in acquirer fee schedules. The issuer’s price does not — and according to the Reserve Bank of Australia, writing in June 2026, some wallet providers “contractually prevent issuers from disclosing the fees associated with mobile wallet transactions”. The only central bank I can find that has put a number on that fee had to work it out backwards from a cost survey, and the issuers who answered said the number was too low.
What a token is, and why it produces two invoices
When a card is loaded into Apple Pay, Google Pay or Samsung Pay, the card number is not copied onto the phone. The network issues a device-specific substitute — the token — which is useless anywhere else. The merchant receives the token, the network translates it back, the issuer sees its own card. A stolen token cannot be replayed on another device or in another channel. That is the security case, and it is a good one.
On that plumbing sit two separate meters. At the consumer end the wallet provider supplies secure storage, the biometric check and the provisioning of the token onto the device; where it charges, the bill goes to the issuer. At the merchant end the network supplies the token vault and a set of adjacent services bolted onto it; that bill goes to the acquirer, who passes it through. Neither charge existed before tokenisation, and both are levied per transaction or per token — they scale with volume, not with the cost of the service.
The first end: the issuer pays the wallet
The plainest official statement comes from the UK. In Feedback Statement FS25/1, published jointly by the Financial Conduct Authority and the Payment Systems Regulator on 19 February 2025, the regulators write: “Apple charges card issuers fees to allow their customers to use Apple Pay, whereas other wallets such as Google Pay do not.” The paragraph continues: “We understand that since there are no alternative mobile wallets on iOS that are capable of making NFC mobile payments, card issuers must either pay this fee or be denied access to the technology.”
Note the word “must”: a supervisory body describing a price that is not the outcome of a negotiation, because the counterparty has no alternative route to the hardware. The same document records that the share of UK card transactions made through a digital wallet rose from 8 per cent in 2019 to 29 per cent in 2023.
What FS25/1 does not contain is a number, and neither does any other supervisory document I found. The figure that circulates — 0.15 per cent of a credit card transaction in the United States, a fraction of a cent on debit — comes from litigation filings and press reporting, not from Apple, which has never published it. A rate quoted by plaintiffs in an antitrust case comes from a source with an interest in the number being large, exactly as a fraud-reduction percentage published by a tokenisation vendor does. Neither is disqualified by the interest. Both need it stated.
The litigation shows how hard the number is to obtain. In Affinity Credit Union v. Apple Inc., case 4:22-cv-04174-JSW in the Northern District of California, three credit unions seek to represent, in the amended complaint’s words as quoted by the court, “all U.S. entities that (a) issued any Payment Card enabled for Apple Pay and (b) paid Apple a fee for any Apple Pay transaction on that Payment Card”. The existence of the fee is the class definition. On 9 September 2024 Judge Jeffrey White refused the plaintiffs’ request to block subpoenas Apple had served on seven absent class members, among them Bank of America, Citigroup and JP Morgan Chase. The price is being assembled in court, under compulsion, from seven banks at once, because it is available nowhere else.
The only official measurement, and how it was made
Australia is the exception. In August 2025 the Reserve Bank of Australia published an Issuer Cost Study, a mandatory survey of card issuers run for its Review of Merchant Card Payment Costs and Surcharging. Among the cost categories it collected was “fees and other costs associated with mobile wallet providers”. The answers came back at 0.7 cents per transaction for both debit and credit — 0.01 per cent of value for debit, 0.02 per cent for credit.
Those are averages across an issuer’s entire portfolio, not across wallet transactions. In its Issues Paper of June 2026 the RBA converted them, stating that “issuer costs when a transaction is initiated via a mobile wallet are estimated to be around 2 cents per debit transaction and 0.06 per cent of transaction value for credit transactions on average”. The footnote is explicit: the estimate is produced “by scaling the issuer cost data using 2024/25 RBA Retail Payments Statistics data by the share of debit and credit card transactions conducted via mobile wallets”. It is a division, not an observation.
Run the division backwards — my own arithmetic, labelled as such — and the implied wallet share falls out. Debit: 0.7 cents across all transactions divided by 2 cents per wallet transaction implies roughly 35 per cent. Credit: 0.02 divided by 0.06 implies roughly 33 per cent. The same paper states that by the end of 2025, Apple Pay, Google Pay and Samsung Pay together accounted for around 45 per cent of all card payments by number. Both can be right — the cost data are older — but the published per-wallet figure is a ratio of two quantities measured at different times, and it drifts upward on its own as the denominator grows, without any provider changing a price.
The RBA also records that the measurement was contested by the people who paid the bill: “Several issuers raised concerns that the Issuer Cost Study underestimated the fees paid to mobile wallet providers.” Those issuers were arguing for a higher regulated interchange cap at the time, so they had an interest in a large number. That does not make them wrong. It means the only official figure in existence is a scaled estimate that one side calls too low and the other side is contractually barred from correcting.
The second end: the merchant pays the network
At the acceptance end the pricing is visible, because acquirers publish pass-through schedules and the card brands notify fee changes in advance. What those schedules show for 2026 is a set of charges that did not exist when tokenisation arrived as a security feature. From April 2026, Visa’s Digital Commerce Service Fee — introduced in October 2023 on settled card-not-present transactions — applies to card-not-present purchase authorisations and bundles several previously separate services into one charge, including token authentication verification and the account and credential updaters. From June 2026, per acquirer and card-brand notices, Visa assesses a card-not-present token fee of 0.015 per cent with a one-cent minimum, and a card-present token fee of 0.01 per cent domestically and 0.05 per cent cross-border, alongside per-token provisioning charges of roughly five to seven cents.
Those figures come from acquirer fee schedules, card-brand bulletins and payments consultancies that sell merchants advice on exactly these line items — not a neutral source set. It exists only because the networks publish full schedules to participants alone, the same opacity the RBA describes in its March 2026 Conclusions Paper, which records that “full scheme fee schedules are not publicly available” and that even sophisticated participants with access “find them difficult to interpret or use”.
What the networks publish is the aggregate. For the fiscal year ended 30 September 2025, Visa reported revenue from value-added services of 10.9 billion dollars, up 24 per cent. Mastercard reported value-added services and solutions net revenue of 13.315 billion dollars for calendar 2025, up 23 per cent on a currency-neutral basis. Tokenisation fees are booked inside those lines and neither company discloses what share they represent. The honest statement is the narrow one: the segment containing tokenisation grows at roughly a quarter a year at both networks, and no one outside them can say how much of that is the token.
Why no fee cap reaches either end
Europe caps interchange — the fee the merchant’s bank pays the cardholder’s bank — at 0.2 per cent on consumer debit and 0.3 per cent on consumer credit, under Regulation (EU) 2015/751. Neither charge described above is interchange. The merchant-side token fee is a scheme fee, which the regulation does not cap. The issuer-side wallet fee is paid to a party that does not appear in the regulation at all.
That second exclusion is deliberate and recent. Recital 24 of the Commission’s proposed Payment Services Regulation, COM(2023) 367, treats pass-through wallets that tokenise an existing payment instrument as technical services, excluded from the definition of a payment instrument, because a token is not an instrument but a “payment application” within the meaning of Article 2(21) of Regulation (EU) 2015/751. Staged wallets, which hold stored value, are treated differently: issuing one is a payment service requiring authorisation. A pass-through wallet does not.
The logic is coherent — a wallet that merely presents someone else’s card is not issuing anything — but legal classification and money flow now point in different directions. Around 45 per cent of Australian card payments by number pass through three wallets whose operators are, in the European drafting, technical service providers. The same split appears elsewhere: a rule writes an exemption into a single line and the exempted corner grows into the part that matters.
Four authorities, four different results
Each of the four jurisdictions that examined this came away with something, and none of it is the price.
The European Commission took the access route. On 11 July 2024 it made binding, under Article 9 of Regulation 1/2003, commitments Apple had offered in case AT.40452: third-party wallet developers get access to the NFC input on iOS in Host Card Emulation mode free of charge, users can set a competing wallet as default, Face ID and Touch ID are available to rivals, and a monitoring trustee reports to the Commission for ten years. The preliminary view had been that Apple abused a dominant position under Article 102 TFEU by reserving that access to Apple Pay. The decision opens the door and says nothing about what Apple charges issuers to walk through it, because that was never the theory of harm — the same pattern as the route Europe took on access to the chip itself.
The United Kingdom took the market-structure route. FS25/1 established the facts and handed the competition question to the Competition and Markets Authority, which in October 2025 designated both Apple and Google as having strategic market status in respect of their mobile platforms under the Digital Markets, Competition and Consumers Act 2024. The CMA opened a consultation on steering conduct requirements on 30 June 2026 and has called for evidence on NFC access on iOS. Designation is a precondition for imposing conduct requirements, not a conduct requirement; as of this writing none addresses the issuer fee.
The United States closed the route it had. The Consumer Financial Protection Bureau’s larger-participant rule, which would have brought wallet providers handling at least 50 million transactions a year under supervisory examination, took effect on 9 January 2025. Congress repealed it under the Congressional Review Act — the Senate voting 51–47 on 5 March 2025, the House 219–211 — and the resolution became Public Law 119-11. That Act does not merely delete a rule; it bars an agency from issuing one in substantially the same form without new legislation. The supervisory gap is now statutory.
Australia took the measurement route and then declined to use it. Having collected the cost data, the Payments System Board decided in March 2026 to require each designated card network to publish quarterly aggregate data on scheme fees and interchange — and, separately, fees for tokenised transactions. Note what changed between consultation and conclusion. The consultation proposed a reporting category of “mobile wallet transactions”. The final decision uses “tokenised transactions”, on the stated ground that this is “more appropriate” and “more robust to future technological changes”, with a footnote explaining that tokenised contactless transactions are “a close proxy” for wallet transactions while tokenised card-not-present ones may also be virtual cards or Click-to-Pay. The reasoning is sound engineering. The effect is that the published series will measure the token rather than the wallet. Mobile wallets themselves were excluded from the Review and referred to a further consultation, which opened in June 2026 and asks whether regulatory action is warranted at all.
The case for the fee, put as well as it can be put
The argument on the other side is straightforward and not weak. Someone built the thing. A pass-through wallet is not a veneer over a card: it requires secure hardware, a provisioning path to every issuer, lifecycle management when cards are reissued or lost, a biometric layer, and a support obligation to consumers who blame the phone before the bank. Charging for an input is the ordinary way inputs are sold, and Google’s decision not to charge is a commercial choice available to a company that monetises the device elsewhere, not proof that the service is costless.
The security case is real and issuers benefit directly. A token that cannot be replayed removes a category of card-not-present fraud from the issuer’s own loss account. If the fee buys a lower fraud rate on wallet-initiated transactions, the issuer is buying something it would otherwise build, and the fee is a price rather than a toll.
The strongest version comes from the supervisor most critical elsewhere. The RBA’s Issues Paper notes that wallet providers “have made progress in enabling LCR” — least-cost routing, which lets a merchant send a debit transaction down the cheaper of two networks — and that wallet functionality “could extend further to enable competition between cards and alternative payment methods”, including in-person account-to-account payments. A gatekeeper that opens a route to a cheaper rail is doing something no card network has an incentive to do.
What weakens the case is the shape of the evidence for it. The fraud reductions attributed to tokenisation are published by the networks that sell tokenisation, and they do not agree: roughly 26 per cent, around 30 per cent and “up to 60 per cent” all appear in Visa material, alongside an authorisation-rate lift given variously as 4.6 per cent globally and as six basis points. A range that wide from a single interested party is an admission that the quantity is estimated rather than measured. Nor do supervisory data corroborate it: in their joint report of 15 December 2025 the European Banking Authority and the European Central Bank put card fraud in the EEA at 1.3 billion euro for 2024, up 4 per cent, over a period when tokenised volume rose steeply. That report recommends tokenisation among technical defences but publishes no fraud rate for tokenised transactions against untokenised ones. Nobody in European supervision measures the thing the fee is sold on.
What this does not tell you
The 45 per cent figure for Australia and the 7 per cent share of euro-area point-of-sale payments made with a mobile device in the ECB’s SPACE 2024 study are not the same measurement and must not be read as a gap. The Australian number is a share of card payments by number; the ECB number is a share of all point-of-sale payments including cash, which the same study puts at 52 per cent of transactions.
The 0.15 per cent is unverified. It has never been published by the party that charges it, it is reported for the United States only, and the RBA’s Australian measurement of 0.06 per cent for credit is roughly two and a half times lower. Both can be true at once, because these rates are negotiated per market and per issuer — which is why a single circulating figure should not be treated as the price.
The American litigation is at the pleading stage, not a verdict. Judge White dismissed the tying claim and let others proceed; surviving a motion establishes that allegations are plausible, not that they are correct. No court has found any fee supracompetitive.
Causation between wallets and fraud outcomes is not established here in either direction. Wallet transactions differ from others in more ways than tokenisation — device binding, a biometric check, a skew towards in-person use, a self-selected population.
On confidence: I hold firmly that the issuer-side fee exists, is charged by one major wallet and not the other, and is contractually non-disclosable — two supervisors state all three. With reasonable confidence I hold that merchant-side token fees rose in 2026 and that no cap applies to either end. Tentatively, I hold that the published Australian figure understates what issuers pay per wallet transaction, because the issuers said so and because the scaling depends on a share that has since moved.
What the case teaches about payments generally
The lesson is not that a wallet fee is too high; nobody outside the contracts knows what it is. The lesson is structural, and it recurs. A control introduced for safety acquires a meter, and once it has a meter it stops being infrastructure and becomes a product. That happened with authentication, where the exemption from the security requirement turned into a commercial service. It happened with the services around acceptance, where the margin on the payment is the smallest part of what an acquirer earns. It is happening now with the token. The pattern is stable because a safety mechanism, once mandatory in practice, has the one property a pricing engineer wants: nobody can decline it.
The second lesson concerns where price regulation attaches. Europe caps a fee defined by the legal relationship between two licensed institutions. It does not cap fees defined by the flow of money, so a charge levied by an unlicensed technical service provider on a licensed one sits outside the cap by construction, however large it becomes. Fifteen years of interchange regulation has produced a system in which the capped component is published, benchmarked and argued about, while the uncapped components grow next to it in the dark.
The third lesson is the most uncomfortable. Of the four authorities that examined this, one opened access without touching price, one is still establishing its power to act, one had its supervisory power repealed by statute, and one measured the cost and then changed the reporting category from the entity to the technology. None of them did anything wrong; each acted within a mandate, with the instruments available. And the aggregate outcome of four competent regulators acting properly is that a fee charged on roughly half of all card transactions in at least one developed market remains, in 2026, a number obtainable only by subpoena.
Ein Zahlungstoken ist eine Ersatznummer, die für die Kartennummer einsteht, damit die echte Nummer nirgends mehr unterwegs ist. Eingeführt wurde sie als Sicherheitsmaßnahme, und sie wirkt. Sie ist zugleich eine Abrechnungseinheit geworden, und abgerechnet wird sie auf derselben Zahlung zweimal: Am einen Ende zahlt der Kartenherausgeber an den Wallet-Anbieter, am anderen zahlt der Händler an das Kartennetz. Der Preis des Händlers steht in den Entgeltverzeichnissen der Acquirer. Der Preis des Herausgebers steht nirgends — nach den Worten der australischen Zentralbank vom Juni 2026 untersagen manche Wallet-Anbieter den Herausgebern vertraglich, die Entgelte für Wallet-Zahlungen offenzulegen. Die einzige Zentralbank, von der ich eine Zahl dazu finden konnte, musste sie aus einer Kostenerhebung zurückrechnen — und die Herausgeber, die geantwortet hatten, nannten sie zu niedrig.
Was ein Token ist, und warum daraus zwei Rechnungen werden
Wird eine Karte in Apple Pay, Google Pay oder Samsung Pay hinterlegt, wandert die Kartennummer nicht auf das Telefon. Das Kartennetz vergibt eine gerätegebundene Ersatznummer — das Token —, die anderswo wertlos ist. Der Händler bekommt das Token, das Netz übersetzt zurück, der Herausgeber sieht seine eigene Karte. Ein gestohlenes Token lässt sich auf keinem anderen Gerät und in keinem anderen Kanal noch einmal verwenden. Das ist der Sicherheitsgrund, und er ist gut.
Auf dieser Technik sitzen zwei getrennte Zählwerke. Am Kundenende liefert der Wallet-Anbieter den gesicherten Speicher, die biometrische Prüfung und das Einrichten des Tokens; wo er dafür etwas verlangt, geht die Rechnung an den Herausgeber. Am Händlerende liefert das Kartennetz den Tokenspeicher und angebaute Dienste; diese Rechnung geht an den Acquirer, der sie weiterreicht. Beides gab es vor der Tokenisierung nicht, und beides wird je Zahlung oder je Token erhoben — es wächst mit der Menge, nicht mit den Kosten der Leistung.
Das erste Ende: Der Herausgeber zahlt an die Wallet
Der klarste amtliche Satz stammt aus Großbritannien. Im Feedback Statement FS25/1, das die Finanzaufsicht FCA und die Zahlungsverkehrsaufsicht PSR am 19. Februar 2025 gemeinsam veröffentlicht haben, steht: „Apple erhebt von Kartenherausgebern Entgelte dafür, dass deren Kunden Apple Pay nutzen dürfen, während andere Wallets wie Google Pay das nicht tun.” Und weiter: „Da es auf iOS keine alternativen mobilen Wallets gibt, die NFC-Zahlungen ausführen können, müssen Kartenherausgeber dieses Entgelt entweder zahlen oder es wird ihnen der Zugang zu der Technik verwehrt.”
Man beachte das Wort „müssen”: Eine Aufsichtsbehörde beschreibt einen Preis, der nicht aus einer Verhandlung stammt, weil die Gegenseite keinen anderen Weg zur Hardware hat. Dasselbe Papier hält fest, dass der Anteil der britischen Kartenzahlungen über eine digitale Wallet von 8 Prozent im Jahr 2019 auf 29 Prozent im Jahr 2023 gestiegen ist.
Was in FS25/1 nicht steht, ist eine Zahl — und in keinem anderen Aufsichtsdokument, das ich gefunden habe, steht sie auch. Der Wert, der kursiert — 0,15 Prozent einer Kreditkartenzahlung in den Vereinigten Staaten, ein Bruchteil eines Cents bei Debitkarten —, stammt aus Klageschriften und Presseberichten, nicht von Apple, das ihn nie veröffentlicht hat. Ein Satz, den Kläger in einem Kartellverfahren nennen, kommt aus einer Quelle mit Interesse an einer großen Zahl — genau wie eine Betrugsminderung in Prozent, die ein Anbieter von Tokenisierung veröffentlicht. Keines von beiden ist deshalb falsch. Beides muss mit dem Interesse danebenstehen.
Wie schwer die Zahl zu bekommen ist, zeigt das Verfahren selbst. In Affinity Credit Union ./. Apple Inc., Aktenzeichen 4:22-cv-04174-JSW vor dem Bundesbezirksgericht für den Nordbezirk von Kalifornien, wollen drei Kreditgenossenschaften eine Gruppe vertreten, die das Gericht aus der geänderten Klageschrift zitiert: „alle US-Rechtsträger, die (a) eine für Apple Pay freigeschaltete Zahlungskarte ausgegeben und (b) Apple ein Entgelt für eine Apple-Pay-Zahlung auf dieser Karte gezahlt haben”. Das Bestehen des Entgelts ist die Gruppendefinition. Am 9. September 2024 lehnte Richter Jeffrey White den Antrag der Kläger ab, Vorladungen zu stoppen, die Apple an sieben nicht am Verfahren beteiligte Gruppenmitglieder gerichtet hatte, darunter Bank of America, Citigroup und JP Morgan Chase. Der Preis wird vor Gericht zusammengetragen, unter Zwang, aus sieben Banken gleichzeitig, weil er sonst nirgends zu haben ist.
Die einzige amtliche Messung, und wie sie entstand
Australien ist die Ausnahme. Im August 2025 veröffentlichte die Reserve Bank of Australia eine Kostenerhebung bei Kartenherausgebern, eine Pflichtabfrage für ihre Überprüfung der Kartenkosten des Handels. Zu den erhobenen Kostenarten gehörte „Entgelte und sonstige Kosten im Zusammenhang mit Anbietern mobiler Wallets”. Die Antworten ergaben 0,7 Cent je Zahlung für Debit- wie Kreditkarten — 0,01 Prozent des Zahlbetrags bei Debit, 0,02 Prozent bei Kredit.
Das sind Durchschnitte über den gesamten Kartenbestand eines Herausgebers, nicht über Wallet-Zahlungen. In ihrem Diskussionspapier vom Juni 2026 hat die Zentralbank umgerechnet: Die Kosten lägen, „wenn eine Zahlung über eine mobile Wallet ausgelöst wird, im Durchschnitt bei rund 2 Cent je Debitkartenzahlung und 0,06 Prozent des Zahlbetrags bei Kreditkarten”. Die Fußnote nennt das Verfahren offen: Die Schätzung entsteht, „indem die Kostendaten der Herausgeber mit dem Anteil der über mobile Wallets abgewickelten Debit- und Kreditkartenzahlungen aus der Zahlungsverkehrsstatistik 2024/25 skaliert werden”. Das ist eine Division, keine Beobachtung.
Rechnet man die Division zurück — eigene Rechnung, als solche gekennzeichnet —, fällt der unterstellte Wallet-Anteil heraus. Debit: 0,7 Cent über alle Zahlungen geteilt durch 2 Cent je Wallet-Zahlung ergibt rund 35 Prozent. Kredit: 0,02 geteilt durch 0,06 ergibt rund 33 Prozent. Dasselbe Papier nennt für Ende 2025 rund 45 Prozent aller Kartenzahlungen nach Anzahl für Apple Pay, Google Pay und Samsung Pay zusammen. Beides kann stimmen — die Kostendaten sind älter —, aber der veröffentlichte Wert je Wallet-Zahlung ist ein Verhältnis zweier zu verschiedenen Zeitpunkten gemessener Größen. Er wandert von allein nach oben, während der Nenner wächst, ohne dass ein Anbieter einen Preis ändert.
Die Zentralbank hält außerdem fest, dass die Messung von denen bestritten wurde, die die Rechnung bezahlen: „Mehrere Herausgeber äußerten Bedenken, dass die Kostenerhebung die an Anbieter mobiler Wallets gezahlten Entgelte unterschätzt.” Diese Herausgeber stritten zur selben Zeit für eine höhere Obergrenze beim Interbankenentgelt, hatten also ein Interesse an einer großen Zahl. Falsch werden sie dadurch nicht. Es heißt nur: Die einzige amtliche Zahl, die es gibt, ist eine hochgerechnete Schätzung, die die eine Seite für zu niedrig hält und die andere vertraglich nicht berichtigen darf.
Das zweite Ende: Der Händler zahlt an das Kartennetz
Auf der Akzeptanzseite ist die Preisbildung sichtbar, weil Acquirer ihre Durchleitungsentgelte veröffentlichen und die Kartenmarken Änderungen vorher ankündigen. Was diese Verzeichnisse für 2026 zeigen, sind Posten, die es nicht gab, als die Tokenisierung als Sicherheitsmerkmal eingeführt wurde. Ab April 2026 gilt Visas Digital Commerce Service Fee — im Oktober 2023 zunächst auf abgerechnete Ferngeschäfte eingeführt — für Autorisierungen im Ferngeschäft und bündelt mehrere zuvor getrennte Dienste in einem Posten, darunter die Prüfung des Token-Authentifizierungswerts sowie den Konto- und Zugangsdatenaktualisierer. Ab Juni 2026 erhebt Visa nach Mitteilungen von Acquirern und Kartenmarken ein Token-Entgelt im Ferngeschäft von 0,015 Prozent bei einem Mindestbetrag von einem Cent und im Präsenzgeschäft 0,01 Prozent im Inland sowie 0,05 Prozent grenzüberschreitend, dazu Einrichtungsentgelte je Token von etwa fünf bis sieben Cent.
Diese Angaben stammen aus Entgeltverzeichnissen von Acquirern, aus Rundschreiben der Kartenmarken und von Beratungshäusern, die Händlern genau zu diesen Posten Rat verkaufen — kein neutraler Quellenkreis. Es gibt ihn nur, weil die Netze ihre vollständigen Verzeichnisse ausschließlich an Teilnehmer geben, dieselbe Undurchsichtigkeit, die die australische Zentralbank in ihrem Abschlusspapier vom März 2026 beschreibt: „Vollständige Systementgeltverzeichnisse sind nicht öffentlich zugänglich”, und selbst erfahrene Teilnehmer mit Zugang „finden sie schwer zu deuten oder zu nutzen”.
Veröffentlicht wird von den Netzen die Gesamtsumme. Für das am 30. September 2025 endende Geschäftsjahr wies Visa Erlöse aus Zusatzdiensten von 10,9 Milliarden Dollar aus, ein Plus von 24 Prozent. Mastercard nannte für das Kalenderjahr 2025 Nettoerlöse aus Zusatzdiensten und -lösungen von 13,315 Milliarden Dollar, währungsbereinigt 23 Prozent mehr. Die Tokenisierungsentgelte stecken in diesen Zeilen, und keines der Unternehmen legt offen, welchen Anteil sie ausmachen. Der ehrliche Satz ist der enge: Der Bereich, in dem die Tokenisierung verbucht wird, wächst bei beiden Netzen um etwa ein Viertel im Jahr, und niemand außerhalb kann sagen, wie viel davon das Token ist.
Warum keine Obergrenze eines der beiden Enden erreicht
Europa deckelt das Interbankenentgelt — das Entgelt, das die Bank des Händlers an die Bank des Karteninhabers zahlt — mit der Verordnung (EU) 2015/751 auf 0,2 Prozent bei Verbraucher-Debitkarten und 0,3 Prozent bei Verbraucher-Kreditkarten. Keiner der beschriebenen Posten ist ein Interbankenentgelt. Das Token-Entgelt auf der Händlerseite ist ein Systementgelt, das die Verordnung nicht deckelt. Das Wallet-Entgelt auf der Herausgeberseite geht an eine Partei, die in der Verordnung überhaupt nicht vorkommt.
Diese zweite Ausnahme ist gewollt und jung. Erwägungsgrund 24 des Kommissionsvorschlags für eine Zahlungsdiensteverordnung, COM(2023) 367, behandelt durchreichende Wallets, die ein bestehendes Zahlungsinstrument tokenisieren, als technische Dienstleistung und nimmt sie aus dem Begriff des Zahlungsinstruments heraus, weil ein Token kein Instrument sei, sondern eine „Zahlungsanwendung” im Sinne des Artikels 2 Nummer 21 der Verordnung (EU) 2015/751. Für Wallets mit gespeichertem Guthaben gilt das Gegenteil: Deren Ausgabe ist ein erlaubnispflichtiger Zahlungsdienst. Eine durchreichende Wallet ist es nicht.
Die Begründung ist schlüssig — wer nur die Karte eines anderen vorzeigt, gibt nichts aus —, doch Rechtsform und Geldfluss zeigen jetzt in verschiedene Richtungen. Rund 45 Prozent der australischen Kartenzahlungen nach Anzahl laufen über drei Wallets, deren Betreiber in der europäischen Fassung technische Dienstleister sind. Dieselbe Spaltung tritt anderswo auf: Eine Regel schreibt eine Ausnahme in eine einzige Zeile, und die ausgenommene Ecke wächst zu dem Teil heran, auf den es ankommt.
Vier Behörden, vier verschiedene Ergebnisse
Jede der vier Rechtsordnungen, die sich damit befasst hat, hat etwas mitgenommen — der Preis war es nie.
Die Europäische Kommission wählte den Zugangsweg. Am 11. Juli 2024 erklärte sie nach Artikel 9 der Verordnung 1/2003 Verpflichtungszusagen für bindend, die Apple im Verfahren AT.40452 angeboten hatte: Fremde Wallet-Entwickler erhalten unentgeltlich Zugang zur NFC-Schnittstelle auf iOS im Host-Card-Emulation-Verfahren, Nutzer können eine konkurrierende Wallet als Standard setzen, Face ID und Touch ID stehen Wettbewerbern offen, ein Überwachungstreuhänder berichtet zehn Jahre lang. Vorläufig hatte die Kommission angenommen, Apple missbrauche mit dem Vorbehalt dieses Zugangs eine beherrschende Stellung nach Artikel 102 AEUV. Der Beschluss öffnet die Tür und sagt nichts darüber, was Apple den Herausgebern für den Durchgang berechnet — das war nie der Vorwurf, dasselbe Muster wie beim Weg, den Europa für den Zugang zum Chip selbst gewählt hat.
Das Vereinigte Königreich wählte den Weg über die Marktstruktur. FS25/1 stellte den Sachverhalt fest und gab die Wettbewerbsfrage an die Wettbewerbsbehörde CMA weiter, die im Oktober 2025 Apple und Google für ihre mobilen Plattformen den strategischen Marktstatus nach dem Digital Markets, Competition and Consumers Act 2024 zuerkannt hat. Am 30. Juni 2026 eröffnete die CMA eine Anhörung zu Verhaltenspflichten beim Lenken von Nutzern und rief zu Stellungnahmen zum NFC-Zugang auf iOS auf. Die Zuerkennung ist die Voraussetzung für Verhaltenspflichten, nicht selbst eine; bis heute betrifft keine das Entgelt der Herausgeber.
Die Vereinigten Staaten haben den Weg geschlossen, den sie hatten. Die Regel der Verbraucherschutzbehörde CFPB über größere Anbieter digitaler Zahlungsanwendungen, die Wallet-Anbieter mit mindestens 50 Millionen Zahlungen im Jahr unter die Aufsichtsprüfung gestellt hätte, trat am 9. Januar 2025 in Kraft. Der Kongress hob sie nach dem Congressional Review Act auf — der Senat am 5. März 2025 mit 51 zu 47, das Repräsentantenhaus mit 219 zu 211 —, und die Entschließung wurde zum Gesetz 119-11. Dieses Gesetz löscht nicht nur eine Regel; es verbietet der Behörde, ohne neue Gesetzgebung eine im Wesentlichen gleiche zu erlassen. Die Aufsichtslücke steht jetzt im Gesetz.
Australien wählte den Weg der Messung und verzichtete dann darauf, sie zu nutzen. Nachdem die Kostendaten vorlagen, beschloss der Zahlungsverkehrsausschuss im März 2026, jedes benannte Kartennetz zur vierteljährlichen Veröffentlichung von Summendaten zu System- und Interbankenentgelten zu verpflichten — und, gesondert ausgewiesen, zu Entgelten für tokenisierte Zahlungen. Entscheidend ist, was sich zwischen Anhörung und Beschluss geändert hat. Die Anhörung schlug als Meldekategorie „Zahlungen über mobile Wallets” vor. Der Beschluss nimmt „tokenisierte Zahlungen”, weil das „angemessener” und „widerstandsfähiger gegenüber künftigen technischen Änderungen” sei; eine Fußnote erklärt, tokenisierte kontaktlose Zahlungen seien „ein enger Näherungswert” für Wallet-Zahlungen. Technisch ist das sauber überlegt. Die Wirkung ist, dass die veröffentlichte Reihe das Token misst und nicht die Wallet. Die mobilen Wallets selbst blieben außerhalb der Überprüfung und wurden auf eine weitere Anhörung verwiesen, die im Juni 2026 begann und fragt, ob ein Eingreifen überhaupt geboten ist.
Der Fall für das Entgelt, so stark vertreten, wie er sich vertreten lässt
Das Gegenargument ist geradlinig und nicht schwach. Jemand hat die Sache gebaut. Eine durchreichende Wallet ist kein Firnis über einer Karte: Sie verlangt gesicherte Hardware, einen Einrichtungsweg zu jedem Herausgeber, die Pflege über den Lebenszyklus bei Kartentausch oder Verlust, eine biometrische Schicht und eine Betreuungspflicht gegenüber Kunden, die eher das Telefon beschuldigen als die Bank. Für eine Vorleistung Geld zu verlangen, ist der übliche Weg; und dass Google nichts verlangt, ist eine kaufmännische Entscheidung eines Unternehmens, das die Gerätebeziehung anderswo zu Geld macht — kein Beleg, dass die Leistung nichts kostet.
Der Sicherheitsgrund ist echt, und die Herausgeber haben unmittelbar etwas davon. Ein Token, das sich nicht wiederverwenden lässt, nimmt eine ganze Gattung des Fernbetrugs aus dem eigenen Schadenskonto. Kauft das Entgelt eine niedrigere Betrugsquote bei Wallet-Zahlungen, kauft der Herausgeber etwas, das er sonst selbst bauen müsste — dann ist es ein Preis und keine Maut.
Die stärkste Fassung des Arguments kommt von der Aufsicht, die sonst am schärfsten urteilt. Das australische Diskussionspapier hält fest, die Wallet-Anbieter hätten „Fortschritte dabei gemacht”, die Weiterleitung auf das günstigste Netz zu ermöglichen — jenes Verfahren, mit dem ein Händler eine Debitkartenzahlung über das billigere zweier Netze schicken kann —, und die Funktionen könnten „weiter gehen und Wettbewerb zwischen Karten und alternativen Zahlverfahren ermöglichen”, bis hin zu Überweisungen von Konto zu Konto an der Ladenkasse. Ein Torwächter, der einen Weg zu einer billigeren Schiene öffnet, tut etwas, wozu kein Kartennetz einen Anreiz hat.
Schwach wird der Fall durch die Gestalt seiner Belege. Die der Tokenisierung zugeschriebenen Betrugsminderungen veröffentlichen die Netze, die Tokenisierung verkaufen, und sie widersprechen einander: rund 26 Prozent, etwa 30 Prozent und „bis zu 60 Prozent” stehen alle in Visa-Material, daneben eine Verbesserung der Autorisierungsquote, die einmal mit 4,6 Prozent weltweit und einmal mit sechs Basispunkten angegeben wird. Eine so weite Spanne aus einer einzigen interessierten Quelle ist ein Eingeständnis, dass die Größe geschätzt und nicht gemessen wird. Die Aufsichtsdaten stützen sie auch nicht: Im gemeinsamen Bericht vom 15. Dezember 2025 beziffern die Europäische Bankenaufsichtsbehörde und die Europäische Zentralbank den Kartenbetrug im Europäischen Wirtschaftsraum für 2024 auf 1,3 Milliarden Euro, 4 Prozent mehr als im Vorjahr — während das tokenisierte Volumen steil wuchs. Der Bericht empfiehlt Tokenisierung unter den technischen Abwehrmitteln, veröffentlicht aber keine Betrugsquote tokenisierter gegen nicht tokenisierte Zahlungen. Niemand in der europäischen Aufsicht misst das, womit das Entgelt begründet wird.
Was daraus nicht folgt
Die 45 Prozent für Australien und der Anteil von 7 Prozent der Zahlungen an der Ladenkasse im Euroraum, die nach der EZB-Studie SPACE 2024 mit einem mobilen Gerät geleistet werden, sind nicht dieselbe Messung und dürfen nicht als Abstand gelesen werden. Die australische Zahl ist ein Anteil an den Kartenzahlungen nach Anzahl; die EZB-Zahl ist ein Anteil an allen Zahlungen an der Ladenkasse einschließlich Bargeld, das dieselbe Studie bei 52 Prozent der Vorgänge sieht.
Die 0,15 Prozent sind ungeprüft. Sie wurden nie von der Partei veröffentlicht, die sie erhebt, sie werden nur für die Vereinigten Staaten berichtet, und die australische Messung von 0,06 Prozent für Kreditkarten liegt etwa zweieinhalbmal darunter. Beides kann gleichzeitig stimmen, weil diese Sätze je Markt und je Herausgeber ausgehandelt werden — weshalb man eine einzelne kursierende Zahl nicht für den Preis halten sollte.
Das amerikanische Verfahren steht am Anfang, es ist kein Urteil. Richter White hat den Kopplungsvorwurf abgewiesen und andere Ansprüche weiterlaufen lassen; wer einen Abweisungsantrag übersteht, hat gezeigt, dass sein Vortrag schlüssig ist, nicht dass er zutrifft. Kein Gericht hat festgestellt, dass ein Entgelt überhöht ist.
Ein Ursachenzusammenhang zwischen Wallets und Betrugsergebnissen ist hier in keine Richtung belegt. Wallet-Zahlungen unterscheiden sich von anderen in mehr als der Tokenisierung — Gerätebindung, biometrische Prüfung, ein Übergewicht des Präsenzgeschäfts, eine sich selbst auswählende Nutzerschaft.
Zur Sicherheit der Aussagen: Fest vertrete ich, dass das Entgelt auf der Herausgeberseite besteht, von einer großen Wallet erhoben wird und von der anderen nicht, und dass es vertraglich nicht offengelegt werden darf — zwei Aufsichtsbehörden sagen alle drei Dinge. Mit vernünftiger Sicherheit vertrete ich, dass die Token-Entgelte auf der Händlerseite 2026 gestiegen sind und dass für keines der beiden Enden eine Obergrenze gilt. Vorsichtig vertrete ich, dass der veröffentlichte australische Wert unterschätzt, was Herausgeber je Wallet-Zahlung zahlen — weil die Herausgeber das gesagt haben und weil die Hochrechnung an einem Anteil hängt, der sich seither bewegt hat.
Was der Fall über den Zahlungsverkehr insgesamt lehrt
Die Lehre ist nicht, dass ein Wallet-Entgelt zu hoch wäre; niemand außerhalb der Verträge weiß, wie hoch es ist. Die Lehre ist baulicher Art, und sie wiederholt sich. Eine Vorkehrung, die aus Sicherheitsgründen eingeführt wird, bekommt ein Zählwerk, und sobald sie eines hat, ist sie keine Infrastruktur mehr, sondern ein Produkt. So ging es der Authentifizierung, wo die Ausnahme von der Sicherheitspflicht zu einer kaufmännischen Leistung wurde. So ging es den Nebenleistungen rund um die Akzeptanz, wo die Marge auf die Zahlung der kleinste Teil dessen ist, was ein Acquirer verdient. So geht es jetzt dem Token. Das Muster ist stabil, weil ein Sicherheitsmechanismus, der praktisch verpflichtend ist, genau die Eigenschaft hat, die ein Preisgestalter sucht: Niemand kann ihn ablehnen.
Die zweite Lehre betrifft die Stelle, an der Preisregulierung ansetzt. Europa deckelt ein Entgelt, das über das Rechtsverhältnis zweier zugelassener Institute bestimmt ist. Es deckelt keine Entgelte, die über den Geldfluss bestimmt sind — also liegt eine Forderung, die ein nicht zugelassener technischer Dienstleister an ein zugelassenes Institut stellt, konstruktionsbedingt außerhalb der Grenze, gleich wie groß sie wird. Fünfzehn Jahre Regulierung des Interbankenentgelts haben ein System hervorgebracht, in dem der gedeckelte Bestandteil veröffentlicht, verglichen und bestritten wird, während die ungedeckelten daneben im Dunkeln wachsen.
Die dritte Lehre ist die unbequemste. Von den vier Behörden, die sich die Sache angesehen haben, hat eine den Zugang geöffnet, ohne den Preis zu berühren, eine baut ihre Eingriffsbefugnis noch auf, einer wurde die Aufsichtsbefugnis per Gesetz entzogen, und eine hat die Kosten gemessen und danach die Meldekategorie vom Beteiligten auf die Technik umgestellt. Keine hat etwas falsch gemacht; jede hat innerhalb ihres Auftrags gehandelt, mit den Mitteln, die sie hatte. Und das Gesamtergebnis vier ordentlich arbeitender Behörden ist, dass ein Entgelt, das auf etwa der Hälfte aller Kartenzahlungen mindestens eines entwickelten Marktes anfällt, im Jahr 2026 eine Zahl bleibt, die man nur mit einer gerichtlichen Vorladung bekommt.
