Die PCI-Tokenisierung ist die Praxis, eine primäre Kontonummer (PAN) durch einen Ersatzwert (ein Token) zu ersetzen, der keinen verwertbaren Nutzen hat. Die Tokenisierung ist zum typischen Mechanismus geworden, um die Datenschutzanforderungen für Karteninhaberinnen und Karteninhaber des Payment Card Industry Data Security Standard (PCI DSS) zu erfüllen, da ein System, das nur Token speichert, im Allgemeinen nicht in den Geltungsbereich des vollständigen Standards fällt.

Diese Unterscheidung zwischen Systemen, die mit rohen Kartennummern arbeiten, und Systemen, die ausschließlich Token verarbeiten, bestimmt, inwieweit der PCI DSS für ein bestimmtes Unternehmen gilt. Dies ist für die Zahlungssicherheit von Bedeutung, da die Kosten für eine PCI-Datenpanne zwischen 5.000 $ und mehr als 500.000 $ liegen können.

Im Folgenden besprechen wir, wie die PCI-Tokenisierung die Compliance unterstützt, was technisch von der Eingabe einer Karte bis zur Rückgabe eines Tokens geschieht und welche Vorteile Netzwerk-Token gegenüber von Unternehmen ausgegebenen Token bieten.

Das Wichtigste auf einen Blick

• Token ersetzen PANs durch Ersatzwerte, die außerhalb eines zertifizierten Tresors nicht rückgängig gemacht werden können.

• Unternehmen, die keine rohen PANs mehr speichern, kommen häufig für einen kürzeren PCI DSS-Fragebogen zur Selbstbeurteilung (SAQ) infrage.

• Netzwerk-Token fügen kryptografische Bindungen und automatische Lifecycle-Updates hinzu, die von Unternehmen ausgegebene Token allein nicht bieten.

Was ist PCI-Tokenisierung?

Die PCI-Tokenisierung ersetzt die auf einer Zahlungskarte aufgedruckten Ziffern durch einen Token: einen Ersatzwert, der wie eine Kartennummer aussieht, aber für sich genommen keinen verwertbaren Wert hat. Der Token ist das, was sich durch die Systeme eines Unternehmens bewegt, während die PANs separat in einem Tresor gespeichert werden.

Wie verringert die PCI-Tokenisierung den Umfang des PCI DSS?

Sobald ein System das Speichern, Verarbeiten oder Übertragen von PANs einstellt und nur noch Token verarbeitet, kann der Großteil dieser Infrastruktur außerhalb der Datenumgebung der Karteninhaber/innen verlagert werden und unterliegt nicht mehr dem PCI DSS. Wenn ein System nur Token enthält, gibt es keine PAN zum Verschlüsseln, keine Verschlüsselungsschlüssel zur Verwaltung in diesem System und nichts Relevantes für die Überwachung der Dateiintegrität. Sowohl Visa als auch Mastercard erkennen die Tokenisierung als genehmigte Kontrolle in ihren eigenen Sicherheitsstandards an. Der PCI DSS verweist in seinen Richtlinien direkt auf die Tokenisierung, um PANs überall dort unleserlich zu machen, wo sie gespeichert werden.

Bei der Tokenisierung müssen der Token-Tresor selbst, jedes System, das die Kartenerfassung vor der Tokenisierung durchführt, und alles, was technisch in der Lage ist, einen Token wieder in eine PAN umzuwandeln, im Geltungsbereich bleiben. Der Tresorbetreiber benötigt eine eigene PCI-DSS-Validierung, in der Regel als Dienstleister/in der Stufe 1, was eher einen jährlichen Bericht über die Compliance von einem qualifizierten Sicherheitsbewerter als eine Selbstbewertung bedeutet. Ein Unternehmen, das sich auf einen externen Tresor verlässt, erbt einen Teil dieser Zusicherung, dokumentiert die Beziehung jedoch weiterhin in seiner eigenen Bescheinigung, in der Regel durch eine Matrix für die geteilte Verantwortung, die erklärt, welche Anforderungen der Tresorbetreiber abdeckt und welche auf das Unternehmen zurückfallen.

Selbst wenn die Tokenisierung den Großteil des Datenschutzes für Karteninhaber/innen übernimmt, verschwinden einige Anforderungskategorien nicht. Anforderung 12, die sich auf Sicherheitsrichtlinien und die Reaktion auf Vorfälle bezieht, gilt weiterhin für jedes Unternehmen, das Kartenzahlungen akzeptiert. Netzwerksegmentierung gemäß Anforderung 1, physische Sicherheit bei physischen Terminals, Zugriffskontrollen für Mitarbeiter/innen und allgemeine Hygiene, Patches, Firewalls und Antivirensoftware auf jedem System, das vor der Tokenisierung mit dem Zahlungsablauf in Berührung kommt, sind weiterhin vorhanden.

Die Tokenisierung kann sich auch darauf auswirken, wie ein Unternehmen die PCI-DSS-Compliance validiert, was entweder über einen SAQ oder einen Report on Compliance erfolgt. Ein Unternehmen, das vollständige PANs auf seinen eigenen Servern speichert, fällt normalerweise unter SAQ D, der den vollständigen PCI-DSS-Anforderungssatz abdeckt. Eines, das bei der Eingabe tokenisiert und niemals eine unverschlüsselte PAN speichert, kann sich oft stattdessen für die einfacheren Versionen SAQ A oder SAQ A-EP qualifizieren.

Wie funktioniert die PCI-Tokenisierung in der Praxis?

Die Mechanismen der PCI-Tokenisierung lassen sich auf vier Schritte reduzieren: Erfassung, Umtausch, Speicherung und Wiederverwendung.

Zunächst bestätigt das System, dass die Eingabe eine strukturell gültige Kartennummer ist, typischerweise 13–19 Ziffern, und identifiziert die Kartenmarke und das ausstellende Netzwerk. Dann erstellt es den Ersatz-Token, der entweder zufällig oder formatkonservierend ist (so dass der Token vorhandene Datenbanken und Analyse- und Reporting-Tools durchlaufen kann, ohne Längen- oder Formatanahmen zu verletzen, die in älteren Systemen integriert sind).

Die echte PAN und ihr entsprechender Token werden in einen verschlüsselten Tresor geschrieben, wobei die Verschlüsselungsschlüssel separat verwaltet werden, häufig in einem Hardware-Sicherheitsmodul. Der Ersatzwert bleibt in den anderen Systemen des Unternehmens, wo er die PAN für jede zukünftige Referenz ersetzt.

Wenn eine Abbuchung ausgeführt werden muss, detokenisiert das Tokenisierungssystem den Wert intern, leitet die echte PAN zur Autorisierung an das Kartennetzwerk weiter und gibt sie niemals an die Systeme weiter, die die Anfrage initiiert haben. Abgleich-Tools können Transaktionen anhand des Tokens abgleichen, da es für die gesamte Dauer dieser Kartenbeziehung konsistent derselben zugrunde liegenden PAN zugeordnet ist.

Wie unterscheidet sich die Netzwerk-Tokenisierung von der händlerbasierten PCI-Tokenisierung?

Ein von einem Unternehmen ausgegebener Token, der vom Unternehmen selbst oder von einem Zahlungsdienstleister in seinem Namen generiert wird, existiert vollständig innerhalb des Zahlungs-Stacks dieses Unternehmens. Er wird einer PAN in einem Tresor zugeordnet, den das Unternehmen oder sein Anbieter betreibt, und funktioniert typischerweise nur innerhalb dieses Systems. Er löst das PCI-DSS-Speicherproblem gut, geht aber nicht darüber hinaus.

Ein Netzwerk-Token stammt vom Kartennetzwerk selbst. Diese Token sind kryptografisch über eine Token-Anforderer-ID an ein bestimmtes Gerät, Unternehmen oder einen bestimmten Kanal gebunden, sodass ein für den Bezahlvorgang eines Unternehmens bereitgestellter Token nicht an einer anderen Stelle wiederverwendet werden kann, selbst wenn er durchsickert. Netzwerk-Token aktualisieren sich auch selbst: Wenn die Karte eines Kunden nach einer Verlustmeldung neu ausgestellt wird oder abläuft, pusht das Netzwerk den aktualisierten Token automatisch.

Beide Ansätze sind konform, da beide die rohe PAN aus der Umgebung des Unternehmens entfernen. Der Unterschied zeigt sich über die Compliance hinaus. Netzwerk-Token führen in der Regel zu höheren Autorisierungsraten, da Aussteller die kryptografische Bindung verifizieren und dem Transaktionskontext vertrauen können, und sie minimieren fehlgeschlagene Verlängerungen, die durch Ablehnungen abgelaufener Karten entstehen.

Ist die PCI-Tokenisierung für Ihr Unternehmen geeignet?

Die ehrliche Antwort hängt davon ab, wie viele Daten von Karteninhaber/innen heute mit den unternehmenseigenen Systemen in Berührung kommen.

Hier sind einige Szenarien, in denen die Tokenisierung den größten Nutzen bringt:

• Wiederkehrende oder Transaktionen mit gespeicherten Karten: Abonnement-Unternehmen, Mitgliedschaftsplattformen und alle, die eine Karte für zukünftige Abbuchungen speichern, profitieren am meisten davon, wenn PANs aus ihren eigenen Umgebungen verlagert werden.

• Mehrere interne Systeme, die Zahlungsdaten berühren: Wenn Kundensupport-Tools, Analysen und Bestellverwaltung auf eine Transaktion verweisen müssen, können sie dies mithilfe von Token tun, ohne die Datenumgebung der Karteninhaber/innen erweitern zu müssen, um jede einzelne abzudecken.

• Begrenzte interne Sicherheitsressourcen: Unternehmen ohne dedizierte Teams profitieren davon, die PAN-Speicherung und die Schlüsselverwaltung an einen zertifizierten Tresorbetreiber auszulagern, anstatt diese Infrastruktur selbst aufzubauen.

• Pläne zur Senkung der Ablehnungsraten für hinterlegte Karten: Unternehmen, die bei abgelaufenen Karten Autorisierungs- oder Verlängerungsprobleme haben, sollten sicherstellen, dass ihre Tokenisierungssysteme Netzwerk-Token und nicht nur Token auf Unternehmensebene unterstützen.

Unternehmen, die Stripe nutzen, erhalten die PCI-Tokenisierung bereits standardmäßig, integriert in Checkout-Integrationen, gehostete Felder und gespeicherte Zahlungsmethoden. Die praktische Entscheidung besteht in der Regel nicht darin, ob tokenisiert werden soll, sondern ob die aktuelle Integration rohe PANs vollständig von den eigenen Servern des Unternehmens fernhält, und um dies zu bestätigen, deckt zusammen mit der Frage, welcher SAQ gilt, den Großteil der pragmatischen Bewertung ab.

So kann Stripe Payments Sie unterstützen

Stripe Payments bietet eine einheitliche, globale Zahlungslösung, mit der jedes Unternehmen – von Start-ups bis hin zu globalen Konzernen – Zahlungen online, vor Ort und weltweit akzeptieren kann.

Mit Stripe Payments können Sie Folgendes umsetzen:

• Optimieren Sie Ihr Checkout-Erlebnis: Schaffen Sie ein reibungsloses Kundenerlebnis und sparen Sie Tausende von Entwicklungsstunden mit vorgefertigten Zahlungs-UIs, Zugang zu über 125 Zahlungsmethoden und Link, einem von Stripe entwickelten Digital Wallet.

• Neue Märkte schneller erschließen: Erreichen Sie Kundinnen und Kunden weltweit und reduzieren Sie die Komplexität und Kosten der Verwaltung mehrerer Währungen mit grenzüberschreitenden Zahlungsoptionen, die in 195 Ländern und über 135 Währungen verfügbar sind.

• Online- und Vor-Ort-Zahlungen vereinheitlichen: Schaffen Sie Unified Commerce über Online- und Vor-Ort-Kanäle hinweg, um Interaktionen zu personalisieren, Treue zu belohnen und Ihren Umsatz zu steigern.

• Zahlungs-Performance verbessern: Steigern Sie Ihren Umsatz mit einer Reihe anpassbarer, einfach zu konfigurierender Zahlungstools, darunter No-Code-Betrugsvorbeugung und erweiterte Funktionen zur Verbesserung der Autorisierungsquoten.

• Schnelleres Wachstum dank einer flexiblen, zuverlässigen Plattform: Bauen Sie auf einer Plattform auf, die mit Ihnen mitwächst, mit einer historischen Erreichbarkeit von 99,999 % und branchenführender Zuverlässigkeit.

Erfahren Sie mehr darüber, wie Stripe Payments Sie bei Online- und Vor-Ort-Zahlungen unterstützen kann oder starten Sie noch heute.