Ein Payment Vault ist ein sicheres, externes System, das sensible Zahlungsdaten im Auftrag eines Unternehmens speichert. Anstelle dieser Daten erhält das Unternehmen einen Token: einen Stellvertreter, der bei einem Datenleck ein viel geringeres Risiko birgt, dem Unternehmen aber dennoch ermöglicht, bei dieser Kundin oder diesem Kunden erneut abzubuchen oder eine fehlgeschlagene Zahlung bei Bedarf erneut zu versuchen. Die Nutzung von Tokens wächst schnell. In den nächsten fünf Jahren wird für die Anzahl netzwerk-tokenisierter Transaktionen weltweit eine durchschnittliche jährliche Wachstumsrate (CAGR) von 18,1 % prognostiziert.

Im Folgenden gehen wir darauf ein, wie ein Vault Kartendaten tatsächlich speichert und schützt, was er für die Einhaltung des Payment Card Industry Data Security Standard (PCI DSS) und die Konversion tut und wie er sich von der Tokenisierung unterscheidet, die ein Zahlungsdienstleister bereits selbst durchführt.

Das Wichtigste auf einen Blick

• Ein Payment Vault ersetzt gespeicherte Kartennummern durch Tokens, sodass bei einer Verletzung der Systeme des Unternehmens nichts offengelegt wird, was ein betrügerischer Akteur nutzen könnte, um erfolgreich eine Transaktion durchzuführen.

• Die Speicherung verkürzt in der Regel die PCI DSS-Bewertung eines Unternehmens und unterstützt Abonnements mit hinterlegten Karten, Zahlungs-Wiederholungen und die Möglichkeit, über mehrere Abwickler weiterzuleiten.

• Vom Abwickler ausgegebene Tokens sind normalerweise an diesen einen Anbieter gebunden, während ein dedizierter Vault es einem Unternehmen ermöglicht, gespeicherte Zugangsdaten dorthin zu verschieben, wo es sie benötigt.

Was ist ein Payment Vault?

Ein Payment Vault ist ein sicheres, externes System, das sensible Zahlungsdaten wie Kartennummern und Konto-Details im Auftrag eines Unternehmens speichert. Diese Daten berühren niemals die eigenen Server des Unternehmens. Wenn eine Kundin oder ein Kunde beim Bezahlvorgang die Karte eingibt, erfasst der Vault die Nummer, verschlüsselt sie und gibt einen Token zurück, den das Unternehmen für jede nachfolgende Transaktion verwendet.

Wie speichert und schützt ein Payment Vault Kartendaten?

Die Hauptaufgabe eines Vaults besteht darin, die reine Kartennummer von allem anderen in den Systemen eines Unternehmens getrennt zu halten.

Sehen wir uns das näher an:

• Verschlüsselung bei der Erfassung: Die Kartennummer wird verschlüsselt, wenn sie in den Vault eingeht, bevor sie auf die Festplatte geschrieben wird, was bedeutet, dass in der Umgebung des Unternehmens nie eine Klartextversion der Nummer existiert.

• Tokenisierung: Der Vault generiert einen Token – eine Zeichenfolge ohne mathematische Verbindung zur echten Kartennummer – und sendet diesen Token an das Unternehmen zurück, um ihn für jede zukünftige Referenz auf die Transaktion zu verwenden.

• Token-Zuordnung: Nur der Vault verfügt über die Zuordnung zwischen Token und Karte. Die eigene Datenbank des Unternehmens, das Customer Relationship Management (CRM) und die Support-Tools sehen den Token, was bedeutet, dass eine Verletzung auf ihrer Seite nichts offenlegt, was ein betrügerischer Akteur nutzen könnte, um erfolgreich eine Transaktion durchzuführen.

• Zugriffskontrollen und Logs: Der Vault schränkt jede Anfrage zur Detokenisierung einer Karte ein und protokolliert diese. Selbst eine Mitarbeiterin oder ein Mitarbeiter mit Systemzugriff kann eine reine Nummer nicht ohne einen bestimmten, überprüften Grund abrufen.

• Umgang mit dem CVV: Netzwerkregeln erlauben es Vaults nicht, den Kartenprüfwert (CVV) nach der Autorisierung zu speichern. Er muss jedes Mal neu erfasst werden, wenn eine Transaktion dies erfordert.

• Netzwerk-Tokenisierung: Einige Vaults arbeiten auch mit vom Netzwerk ausgegebenen Tokens, die automatisch aktualisiert werden, wenn eine Karte nach Verlust oder Ablauf neu ausgestellt wird; diese reduzieren Zahlungen, die aufgrund abgelaufener oder ungültiger Kartenangaben fehlschlagen.

Welche Vorteile bietet die Nutzung eines Payment Vaults?

Payment Vaults bedeuten eine geringere Compliance-Belastung. Wenn ein Unternehmen niemals reine Kartendaten auf den eigenen Systemen speichert, verarbeitet oder überträgt, qualifiziert es sich in der Regel für einen kürzeren PCI DSS-Fragebogen (Self-Assessment Questionnaire, SAQ) anstelle der Vollversion, die für Unternehmen erforderlich ist, die Karteninhaberdaten direkt handhaben. Das bedeutet, dass weniger Sicherheitskontrollen aufrechterhalten werden müssen und weniger Zeit für den jährlichen Nachweis der Compliance aufgewendet wird.

Darüber hinaus ermöglicht ein Vault die folgenden Praktiken:

• Hinterlegte Karten für Abonnements: Ein Unternehmen kann Kundinnen und Kunden jeden Monat eine Rechnung stellen, ohne sie bitten zu müssen, eine Karte erneut einzugeben, da der Token und nicht die Karte selbst für alle Transaktionen nach der ersten verwendet wird.

• Wiederholungslogik für fehlgeschlagene Zahlungen: Wenn eine Transaktion fehlschlägt, kann das Unternehmen es mit demselben gespeicherten Token erneut versuchen, oft nachdem ein Netzwerk-Token bereits im Hintergrund mit einem neuen Ablaufdatum oder einer neuen Kartennummer aktualisiert wurde.

• Routing für mehrere Abwickler: Da der Vault nicht im Besitz eines einzelnen Abwicklers ist, kann ein Unternehmen denselben gespeicherten Token an verschiedene Anbieter senden, um Autorisierungsraten zu vergleichen oder eine Backup-Abdeckung hinzuzufügen, falls es bei einem Anbieter zu einem Ausfall kommt.

• Schnellerer Bezahlvorgang für wiederkehrende Kundinnen und Kunden: Sobald eine Karte gespeichert ist, kann eine wiederkehrende Kundin oder ein wiederkehrender Kunde einen Kauf abschließen, ohne etwas einzutippen, was die Konversion beim Bezahlvorgang erleichtern kann.

Wie unterscheidet sich ein Payment Vault von der Tokenisierung durch Abwickler?

Die Tokens, die ein Zahlungsdienstleister ausstellt, sind normalerweise an dessen eigene Systeme gebunden, was bedeutet, dass ein bestimmter Token in der Regel nur für zukünftige Transaktionen über denselben Anbieter funktioniert. Wenn die Karte anderswo weitergeleitet wird, muss das Unternehmen sie erneut erfassen oder die Endkundin/den Endkunden bitten, sie noch einmal einzugeben.

Ein dedizierter Payment Vault hebt diese Einschränkung auf. Das Unternehmen speichert die Karte einmal in einer Umgebung, die es kontrolliert, und leitet dann die zugrundeliegenden Zugangsdaten oder einen daraus abgeleiteten Netzwerk-Token an den Abwickler weiter, der für eine bestimmte Transaktion am besten geeignet ist. Kosten, Autorisierungsraten, geografische Lage und Ausfälle spielen alle bei dieser Routing-Entscheidung eine Rolle, was nicht möglich ist, wenn der Token nur im geschlossenen System eines Abwicklers existiert.

Ein Unternehmen, das zwei Abwickler parallel ohne Vault testet, benötigt zwei separate Sätze gespeicherter Karten, die in zwei getrennten Systemen vorgehalten werden, von denen keines vom anderen weiß. Mit einem Vault kann eine einzige gespeicherte Zugangsinformation zwischen den Systemen verschoben werden, ohne jemals im proprietären Token-Format eines der Anbieter stecken zu bleiben.

Welche Risiken und Einschränkungen gibt es bei einem Payment Vault?

Während Payment Vaults die Compliance-Belastung eines Unternehmens verringern, gelten dennoch einige reale Grenzen. Der Vault selbst kann zum Ziel werden. Da die Kartendaten jeder Kundin und jedes Kunden zentral an einem Ort gespeichert sind, hat ein erfolgreicher Angriff auf den Vault überdurchschnittlich große Folgen. Zudem ist Übertragbarkeit keine Selbstverständlichkeit. Das Verschieben einer gespeicherten Zugangsinformation zwischen Abwicklern erfordert, dass sowohl der Vault als auch der empfangende Abwickler ein gemeinsames Format für die Übergabe unterstützen, sei es eine verschlüsselte Zugangsinformation, ein Netzwerk-Token oder eine speziell für die Übertragung erstellte Schnittstelle (API).

Die Integration erfordert auch Entwicklungsaufwand. Ein Unternehmen, das einen Vault einführt, muss seinen Bezahlvorgang, die Logik für Abonnement-Abrechnung und die Systeme für den Abgleich um Tokens anstelle von reinen Kartennummern herum neu aufbauen. Und während ein Vault den Geltungsbereich des PCI DSS einschränkt, benötigen Unternehmen dennoch Richtlinien, die die sichere Übertragung bei der Erfassung, den Mitarbeiterzugriff auf die Verwaltungstools des Vaults und den eigenen Compliance-Status ihres Anbieters abdecken.

Wie finden Sie heraus, ob ein Payment Vault das Richtige für Ihr Unternehmen ist?

Wiederkehrende Abbuchungen sind das deutlichste Zeichen dafür, dass ein Payment Vault für Ihr Unternehmen geeignet ist. Ein Unternehmen, das immer nur einmalige Zahlungen abwickelt und nie wieder bei einer Kundin oder einem Kunden abbuchen muss, benötigt möglicherweise nicht die Infrastruktur, die ein Vault hinzufügt. Abonnement-Unternehmen, Marktplätze, die Auszahlungen vornehmen, und alle Unternehmen, die fehlgeschlagene Zahlungen erneut versuchen, profitieren in der Regel am meisten von einem Vault.

Die Flexibilität der Abwickler ist ein weiteres Signal. Ein Unternehmen, das zufrieden damit ist, jede Transaktion auf unbestimmte Zeit über einen einzigen Anbieter abzuwickeln, benötigt keine Übertragbarkeit. Ein Unternehmen jedoch, das Autorisierungsraten von verschiedenen Abwicklern vergleichen, einen Backup-Anbieter hinzufügen oder Konditionen aushandeln möchte, ohne die Kartenangaben jeder Kundin und jedes Kunden erneut einziehen zu müssen, würde davon profitieren.

Die Vault and Forward API von Stripe ist genau auf diesen Use Case ausgelegt. Sie ermöglicht es einem Unternehmen, Zahlungsmethoden zu speichern, und nutzt dann die API, um diese gespeicherten Zugangsdaten an einen Drittanbieter-Abwickler oder Endpoint seiner Wahl zu senden.

So kann Stripe Payments Sie unterstützen

Stripe Payments bietet eine einheitliche, globale Zahlungslösung, mit der jedes Unternehmen – von Start-ups bis hin zu globalen Konzernen – Zahlungen online, vor Ort und weltweit akzeptieren kann.

Mit Stripe Payments können Sie Folgendes umsetzen:

• Optimieren Sie Ihren Bezahlvorgang: Schaffen Sie ein reibungsloses Kundenerlebnis und sparen Sie Entwicklungsaufwand mit vorgefertigten Zahlungs-UIs, Zugang zu mehr als 125 Zahlungsmethoden und Link, einem von Stripe entwickelten Wallet.

• Neue Märkte schneller erschließen: Erreichen Sie Kundinnen und Kunden weltweit und reduzieren Sie die Komplexität und Kosten der Verwaltung mehrerer Währungen mit grenzüberschreitenden Zahlungsoptionen, die in 195 Ländern und über 135 Währungen verfügbar sind.

• Online- und Vor-Ort-Zahlungen vereinheitlichen: Schaffen Sie Unified Commerce übergreifend über Online- und Vor-Ort-Kanäle, um Interaktionen zu personalisieren, Treue zu belohnen und Ihren Umsatz zu steigern.

• Zahlungs-Performance verbessern: Steigern Sie Ihren Umsatz mit einer Reihe anpassbarer, einfach zu konfigurierender Zahlungstools, darunter No-Code-Betrugsvorbeugung und erweiterte Funktionen zur Verbesserung der Autorisierungsquoten.

• Schnelleres Wachstum dank einer flexiblen, zuverlässigen Plattform: Bauen Sie auf einer Plattform auf, die mit Ihnen mitwächst, mit einer sensationellen Erreichbarkeit von 99,999 % und branchenführender Zuverlässigkeit.

Erfahren Sie mehr darüber, wie Stripe Payments Sie bei Online- und Vor-Ort-Zahlungen unterstützen kann oder starten Sie noch heute.