Was ist Tokenisierung?
Ersetzen sensibler Kartendaten durch einen nicht-sensiblen Ersatzwert, der ohne PCI-Umfang gespeichert und wiederverwendet werden kann.
Tokenisierung ist ein grundlegender Datensicherheitsprozess, der ein sensibles Datenelement, wie z. B. eine 16-stellige Primärkontonummer (PAN), durch ein nicht-sensibles Äquivalent, einen sogenannten „Token“, ersetzt.
Dieser Token hat keinen extrinsischen oder verwertbaren Wert; er ist lediglich ein Verweis auf die Originaldaten, die sicher in einer PCI DSS konformen Umgebung, einem sogenannten Vault, gespeichert werden.
Durch die Verwendung von Token zur Initiierung von Zahlungen können Händler die Handhabung und Speicherung von Rohkartendaten auf ihren eigenen Systemen vermeiden. Dies reduziert ihren PCI DSS-Compliance-Umfang drastisch, mindert das Risiko eines Datenlecks und entfernt gefährliche Informationen aus ihrer Umgebung.
Es gibt zwei Haupttypen der Tokenisierung. Die erste ist die Gateway- (oder PSP-) Tokenisierung, bei der der Zahlungsanbieter einen proprietären Token erstellt, der nur innerhalb seines eigenen Verarbeitungsökosystems verwendet werden kann.
Dies ist effektiv für die Sicherheit, kann aber zu einer Anbieterbindung führen. Die zweite, fortschrittlichere Form ist die Netzwerk-Tokenisierung.
Hier geben die Kartenorganisationen selbst (Visa, Mastercard) den Token aus. Diese Netzwerk-Token sind über verschiedene Zahlungsanbieter hinweg interoperabel und werden, was entscheidend ist, von der ausstellenden Bank automatisch aktualisiert, wenn die physische Karte eines Kunden ersetzt wird oder abläuft.
Diese Persistenz ist ein entscheidender Vorteil, der die Autorisierungsraten für wiederkehrende und Card-on-File-Transaktionen direkt verbessert. Ein häufiges Missverständnis ist, dass Tokenisierung dasselbe wie Verschlüsselung ist.
Verschlüsselung verwendet einen Schlüssel, um Daten zu verschlüsseln und kann mit demselben Schlüssel wieder entschlüsselt werden, während ein ordnungsgemäß tokenisierter Wert nicht auf die ursprüngliche PAN zurückgeführt werden kann.
Praxisbeispiel
Ein Kunde tätigt zum ersten Mal einen Einkauf von 75 £ auf einer E-Commerce-Website. An der Kasse gibt er seine Kartendaten ein.
Das Zahlungsgateway des Händlers verwendet Tokenisierung. Die Rohkartendaten werden direkt an den sicheren Vault des Gateways gesendet und berühren niemals den Server des Händlers.
Der Vault des Gateways antwortet mit einem Token, z. B.
`gtwy_tok_123abc`, den der Händler für zukünftige Verwendungen im Kundenkonto speichert. Einen Monat später kehrt der Kunde zurück.
Er sieht seine „Gespeicherte Karte, endend mit 4242“ und wählt diese zur Zahlung aus. Die Website des Händlers sendet den Token `gtwy_tok_123abc` und den neuen Kaufbetrag an das Gateway.
Das Gateway ruft die echte Kartennummer aus seinem Vault ab und verarbeitet die Zahlung. Der Händler ermöglichte einen schnellen, bequemen Checkout, ohne jemals die riskante PAN zu speichern.
Hinweise der Kartensysteme
Während das allgemeine Konzept der Tokenisierung nicht schemaspezifisch ist, wird die fortschrittlichste Form, die Netzwerk-Tokenisierung, direkt von den Schemes vorangetrieben. Visas VTS (Visa Token Service) und Mastercards MDES (Mastercard Digital Enablement Service) sind die beiden größten Plattformen zur Erstellung und Verwaltung von Netzwerk-Token.
Sie arbeiten mit Emittenten zusammen, um Token bereitzustellen und sie mit den zugrunde liegenden Kartendaten synchron zu halten. Die Verwendung von Netzwerk-Token kann manchmal zu niedrigeren Interchange-Raten führen, da die Schemes diese Transaktionen aufgrund der Einbeziehung eines dynamischen Kryptogramms als sicherer ansehen.
Im Gegensatz dazu sind Gateway-Token proprietär für den PSP, der sie erstellt hat, und bieten keine direkten Interchange-Vorteile, obwohl sie ein wesentliches Werkzeug zur Reduzierung des PCI DSS-Umfangs bleiben.
Warum das für Händler wichtig ist
Für Händler ist die Tokenisierung nicht optional; sie ist ein wesentlicher Bestandteil der modernen Zahlungsabwicklung. Die primäre Auswirkung ist eine signifikante Reduzierung des PCI DSS-Compliance-Aufwands, wodurch Zeit, Geld und Ressourcen gespart werden, die sonst für strenge Sicherheitskontrollen und Audits aufgewendet würden.
Sie ist auch eine kritische Sicherheitsmaßnahme gegen Datenlecks. Durch die Verwendung der Netzwerk-Tokenisierung können Händler auch direkt ihren Gewinn verbessern.
Die automatischen Kartenaktualisierungen, die durch Netzwerk-Token bereitgestellt werden, erhöhen die Autorisierungsraten für Card-on-File-Transaktionen, reduzieren die unfreiwillige Abwanderung und sichern Einnahmequellen, ein Merkmal, das besonders für Abonnementgeschäfte wertvoll ist.
Die Nutzung eines PSP wie Cardflo, der mehrere Token-Typen unterstützt, bietet Händlern Sicherheit und die Flexibilität, ihr Zahlungsrouting zu optimieren.
Häufig gestellte Fragen
Wie unterscheidet sich die Tokenisierung von der Verschlüsselung in einer Zahlungsumgebung?
Verschlüsselung verwendet einen Algorithmus, um Daten zu verbergen, die mit einem Schlüssel entschlüsselt werden können, während die Tokenisierung die Daten vollständig durch einen nicht-mathematischen Platzhalter ersetzt.
Das bedeutet, dass, wenn eine Datenbank mit Token kompromittiert wird, die Werte für einen Angreifer nutzlos sind, da sie nicht rückgängig gemacht werden können, um die ursprüngliche PAN preiszugeben, ohne Zugriff auf den sicheren Token-Vault zu haben.
Was ist der Hauptvorteil der Verwendung von Netzwerk-Token gegenüber Gateway-spezifischen Token?
Netzwerk-Token bieten eine größere Portabilität und Langlebigkeit, da sie im gesamten Zahlungsökosystem erkannt werden und nicht an einen einzelnen Zahlungsdienstleister gebunden sind.
Sie werden automatisch aktualisiert, wenn eine Bank eine neue Karte ausstellt, wodurch die Wahrscheinlichkeit von Transaktionsablehnungen aufgrund veralteter Kartendaten verringert und sichergestellt wird, dass der Händler einen nahtlosen wiederkehrenden Abrechnungszyklus aufrechterhalten kann.
Was ist der Unterschied zwischen Tokenisierung und Verschlüsselung?
Verschlüsselung ist ein Zwei-Wege-Prozess, der einen mathematischen Algorithmus und einen Schlüssel verwendet, um Daten zu verschlüsseln. Jeder, der den Schlüssel besitzt, kann die Daten wieder in ihre ursprüngliche Form entschlüsseln.
Tokenisierung ist ein Ein-Wege-Prozess, bei dem sensible Daten durch einen nicht-sensiblen Token ersetzt werden. Es gibt keine mathematische Beziehung zwischen dem Token und den Originaldaten, was bedeutet, dass er nicht rückgängig gemacht werden kann.
Dies macht die Tokenisierung zu einer sichereren Methode zum Schutz gespeicherter Zahlungsdaten.
Bin ich, wenn ich Tokenisierung verwende, immer noch im Geltungsbereich von PCI DSS?
Die Verwendung der Tokenisierung über einen zertifizierten Drittanbieter reduziert Ihren PCI DSS-Umfang drastisch, eliminiert ihn aber nicht vollständig. Sie müssen Ihre Compliance weiterhin jährlich validieren, typischerweise durch Ausfüllen des einfachsten Self-Assessment Questionnaire (SAQ A).
Dies bestätigt, dass Sie keine Kartendaten speichern, verarbeiten oder übertragen und sich auf einen konformen Dienstleister verlassen.
Kann ich andere Zahlungsmethoden als Kreditkarten tokenisieren?
Ja. Obwohl die Tokenisierung am häufigsten mit Kartenzahlungen in Verbindung gebracht wird, kann das Prinzip auf andere Zahlungsinstrumente angewendet werden.
Zum Beispiel können Bankkontonummern, die für Lastschriftverfahren (wie SEPA oder ACH) verwendet werden, tokenisiert werden, um Händlern die Initiierung zukünftiger Zahlungen zu ermöglichen, ohne die tatsächlichen Bankdaten zu speichern. Dies bietet einen ähnlichen Sicherheits- und Compliance-Vorteil.
Was passiert mit meinen Token, wenn ich meinen Zahlungsanbieter wechseln möchte?
Wenn Sie proprietäre Gateway-Token verwenden, erfordert ein Anbieterwechsel einen sicheren Token-Migrationsprozess. Dies beinhaltet, dass Ihr alter Anbieter die im Vault gespeicherten Kartendaten an Ihren neuen Anbieter überträgt, der sie dann erneut tokenisiert.
Dies kann komplex sein und Gebühren verursachen. Wenn Sie Netzwerk-Token verwenden, sind diese portabel, und Sie können sie einfach über einen neuen Anbieter verarbeiten, der ebenfalls mit dem Token-Dienst des Schemes verbunden ist.
Verhindert die Tokenisierung Betrug?
Die Tokenisierung ist in erster Linie ein Werkzeug zum Schutz gespeicherter Daten und zur Verhinderung ihrer Kompromittierung bei einem Datenleck. Sie verhindert keinen Transaktionsbetrug, wie z.
B. die Verwendung gestohlener Kartendaten für einen Kauf. Die Netzwerk-Tokenisierung fügt jedoch eine Sicherheitsebene durch die Verwendung eines transaktionsspezifischen Kryptogramms hinzu, was Transaktionen sicherer macht und Emittenten hilft, mehr legitime Zahlungen zu genehmigen.
See how Tokenisierung plays out in practice
Industries and regions where this term drives real acquiring, routing, or dispute decisions.
Verwandte Begriffe
Ein PCI DSS konformer Speicher für tokenisierte Kartendaten, der es einem Händler ermöglicht, eine Karte erneut zu belasten, ohne die PAN zu speichern.
Ein vom Schema ausgegebener Token, der die PAN durchgängig ersetzt und automatisch aktualisiert wird, wenn die zugrunde liegende Karte neu ausgestellt wird.
Der Payment Card Industry Data Security Standard, der von den Schemata vorgeschriebene Rahmen für den Umgang mit Kartendaten.
Eine technische Schicht, die Kartendaten verschlüsselt, Autorisierungsanfragen an einen Acquirer weiterleitet und das Ergebnis an den Händler zurückgibt.
Verwandte Anleitungen.
Bereit, Ihre Zahlungsabwicklung zu verbessern?
Erzählen Sie uns von Ihrem Unternehmen. Wir finden für Sie die richtigen Partner und die passende Route, typischerweise innerhalb einer Woche.