Ein Token Vault speichert die Zuordnung, die eine primäre Kontonummer (PAN) durch einen Tokenwert ersetzt. Dadurch können die Datenbank, der Bezahlvorgang und die Analyse- und Reporting-Tools eines Unternehmens diesen Token anstelle sensibler Zahlungsdaten verwenden. Nur der Vault kann den Token wieder mit der PAN verknüpfen. Dieser einzige Kontrollpunkt reduziert den Compliance-Umfang für den Payment Card Industry Data Security Standard (PCI DSS), unterstützt die wiederkehrende Abrechnung und Rückerstattungen ohne wiederholte Eingabe der Kartendaten und hält gespeicherte Zahlungsdaten nutzbar, ohne sie preiszugeben.

Es wird prognostiziert, dass die Netzwerk-Tokenisierung zwischen 2026 und 2030 weltweit rund 2,4 Billionen Transaktionen sichern wird.

Im Folgenden erklären wir, wie Token generiert und entschlüsselt werden, wie sich die Struktur eines Tokens von einer rohen Kartennummer unterscheidet und wie Vault-basierte Token im Vergleich zu Token abschneiden, die Kartennetzwerke direkt ausgeben.

Das Wichtigste auf einen Blick

• Ein Token Vault speichert die einzige Kopie der PAN-zu-Token-Zuordnung. Das bedeutet, dass ein Token, der an einer anderen Stelle im System abgefangen wird, nicht in echte Kartendaten zurückübersetzt werden kann.

• Die Tokenisierung von PANs beim ersten Kontakt reduziert den Umfang der PCI DSS-Bewertung eines Unternehmens, wodurch es sich oft für einen kürzeren Fragebogen zur Selbstbewertung qualifiziert.

• Aktuelle Konfigurationen speichern Netzwerk-Token oft in einem Vault, um Portabilität mit automatischen Lifecycle-Updates zu kombinieren.

Was ist ein Token Vault?

Ein Token Vault ist ein sicherer Datenspeicher, der die Zuordnung zwischen sensiblen Zahlungsdaten, wie PANs, und den Token-Werten, die diese in einem Zahlungssystem ersetzen, aufbewahrt. Der Vault selbst speichert die einzige Kopie dieser Zuordnung. Alle anderen Systeme (z. B. Checkout-Seiten, Abrechnungssysteme, Analyse- und Reporting-Tools) sehen nur das Token.

Wie funktioniert ein Token Vault?

Der Vorgang beginnt in dem Moment, in dem ein Karteninhaber/eine Karteninhaberin beim Bezahlvorgang oder bei der Einrichtung einer gespeicherten Zahlungsmethode Zahlungsdaten eingibt. Von dort aus durchläuft die PAN eine definierte Sequenz.

Erfassung

Eine Checkout-Seite oder ein Datenterminal erfasst die PAN und sendet sie über eine verschlüsselte Verbindung direkt an den Vault oder seinen Zahlungsdienstleister. Die PAN berührt niemals unverschlüsselt die eigenen Server des Unternehmens.

Tokengenerierung:

Die Tokenisierungs-Engine des Vaults erstellt ein Token. Sie kann entweder einen formatkonservierenden Token generieren, der der Struktur der PAN entspricht, oder einen undurchsichtigen Token, der eine beliebige Zeichenfolge ohne strukturelle Beziehung zur ursprünglichen Nummer ist.

Speicher

Der Vault speichert die Zuordnung von PAN zu Token in seinem verschlüsselten Datenspeicher und gibt den Token dann an das aufrufende System zurück.

Täglicher Gebrauch

Die Systeme des Unternehmens speichern und übertragen den Token für die wiederkehrende Abrechnung, Rückerstattungen und das Reporting. Keines dieser Systeme enthält jedoch jemals die eigentliche PAN.

Entschlüsselung

Wenn eine Autorisierung erforderlich ist, sendet der Zahlungsdienstleister eine Entschlüsselungsanfrage an den Vault. Der Vault gibt die PAN oder je nach Einrichtung ein Netzwerk-Token für diese spezifische Transaktion über einen verschlüsselten Kanal zurück. Anschließend wird die Anfrage zu Prüfzwecken protokolliert.

Wie unterscheidet sich ein Token von rohen Kartendaten in einem Token Vault?

Eine rohe PAN hat eine feste Struktur. Gemäß ISO/IEC 7812 identifizieren die ersten sechs bis acht Ziffern das Kartennetzwerk und die ausstellende Bank; die verbleibenden Ziffern (insgesamt bis zu 19) identifizieren das Konto. Eine abschließende Prüfziffer validiert die gesamte Nummer mithilfe des Luhn-Algorithmus. Ein Token hat keine mathematische Beziehung zu der PAN, die er ersetzt. Wird einer während der Übertragung oder in einer Datenbank abgefangen, erhält ein Angreifer nichts Brauchbares, es sei denn, er hat separaten Zugriff auf die Zuordnungstabelle und die Entschlüsselungsschlüssel des Vaults.

Vaults generieren im Allgemeinen eines von zwei Token-Formaten:

• Formatkonservierende Token: Diese behalten die Länge und die Luhn-gültige Struktur der PAN bei, einschließlich der ersten sechs Ziffern der ursprünglichen Bankidentifikationsnummer zu Routingzwecken. Das bedeutet, dass sie ohne Schemaänderungen in bestehende Datenbankfelder und Altsysteme eingefügt werden können.

• Opaque Token: Hierbei handelt es sich um beliebige alphanumerische Zeichenfolgen, die keine strukturelle Ähnlichkeit mit einer PAN aufweisen. Sie eignen sich für Zahlungs-Stacks, die auf APIs basieren, bei denen nachgelagerte Systeme keine kartenförmigen Eingaben erwarten, und sie schließen die Möglichkeit aus, dass ein Token mit einer echten Kartennummer verwechselt oder als solche verarbeitet wird.

Wie verringert ein Token Vault Ihren PCI-Compliance-Aufwand?

Der PCI DSS-Umfang hängt davon ab, wo Karteninhaberdaten gespeichert, übertragen oder verarbeitet werden. Diesen Bereich bezeichnen Prüfer als Karteninhaberdatenumgebung (CDE). Da ein Token Vault die einzigen Kopien von PANs enthält, fällt jedes andere System im Unternehmen, das Token speichert, überträgt oder verarbeitet, außerhalb der CDE. Wenn weniger Systeme mit echten Kartendaten in Berührung kommen, muss der Prüfer auch weniger Systeme untersuchen.

Diese Reduzierung des Umfangs wirkt sich direkt darauf aus, welcher Fragebogen zur PCI DSS-Selbstbewertung (SAQ) anwendbar ist. Ein PCI DSS SAQ ist ein Validierungstool, das eine Reihe von Ja-oder-Nein-Fragen enthält. Damit können Unternehmen ihre Sicherheitskonformität mit den Standards für Zahlungskarten bewerten und melden. Ein Unternehmen, das rohe PANs über seine eigenen Systeme abwickelt, ist in der Regel verpflichtet, den SAQ D, den längsten Fragebogen, auszufüllen. Ein Unternehmen, das beim ersten Kontakt tokenisiert und niemals PANs auf seinen eigenen Systemen speichert, abwickelt oder überträgt, kann sich oft für einen kürzeren Fragebogen wie SAQ A qualifizieren, der weitaus weniger Kontrollen umfasst.

Verschlüsselte Daten sind mit dem richtigen Schlüssel mathematisch umkehrbar, aber ein Token hat außerhalb des spezifischen Vaults, der ihn generiert hat, keinen eigenen Wert. Wenn Sie beides kombinieren, indem Sie gespeicherte Daten innerhalb des Vaults verschlüsseln und überall außerhalb des Vaults tokenisieren, schaffen Sie eine mehrstufige Struktur, bei der ein Verstoß gegen die eigenen Systeme des Unternehmens allein keine nutzbaren Kartendaten preisgibt.

Wie unterscheidet sich Token Vaulting von Netzwerk-Tokenisierung?

Ein Kartennetzwerk gibt einen Token direkt aus, verknüpft ihn mit einem bestimmten Gerät, einem Unternehmen oder einem Use Case und verwaltet dann den gesamten Lifecycle des Tokens selbst. Wenn die Karte eines Karteninhabers/einer Karteninhaberin neu ausgestellt wird (z. B. nach Ablauf der Gültigkeit oder bei Ersatz nach einem Verlust oder Diebstahl), wird ein Netzwerk-Token im Hintergrund aktualisiert, da das Netzwerk und nicht das Unternehmen die Verbindung zwischen dem Token und der aktuellen aktiven Karte aufrechterhält.

Ein reines Vault-Token verfügt über keinen integrierten Mechanismus zur Pflege. Wenn sich die zugrunde liegende PAN ändert, muss die Zuordnung durch den Prozess, den das Unternehmen oder sein Anbieter eingerichtet hat, aktualisiert werden. Dies kann zu einer fehlgeschlagenen Zahlung führen, bis das Update erfolgt. Da Aussteller erkennen können, ob ein Netzwerk-Token von einem registrierten Gerät oder Unternehmen stammt, verzeichnen sie in der Regel auch bessere Autorisierungsraten.

Aber reine Vault-Token und Netzwerk-Token sind keine konkurrierenden Ansätze. Tatsächlich werden sie in aktuellen Konfigurationen oft kombiniert. Ein Vault kann Netzwerk-Token anstelle von oder zusammen mit PANs speichern, was einem Unternehmen ein Speichersystem bietet und es ihm gleichzeitig ermöglicht, die automatischen Updates und Autorisierungsvorteile des Netzwerks zu nutzen.

Wie wählen Sie den richtigen Token Vault für Ihr Unternehmen aus?

Nicht jeder Token Vault löst dasselbe Problem. Berücksichtigen Sie diese Details, bevor Sie sich für einen entscheiden:

• Portabilität: Prüfen Sie, ob die im Vault generierten Token anbieterübergreifend funktionieren oder ob sie an einen einzigen Zahlungsdienstleister gebunden sind. Ein Vault, der an einen Abwickler gebunden ist, kann Ihre Möglichkeiten einschränken, später Anbieter hinzuzufügen oder zu wechseln, ohne jede gespeicherte Karte neu tokenisieren zu müssen.

• Integrationskomplexität: Finden Sie heraus, wie viel Aufwand es bedeutet, PANs an den Vault weiterzuleiten und Token abzurufen. Dazu gehört auch die Frage, ob bestehende Checkout-Seiten, mobile SDKs und Backend-Systeme Codeänderungen oder nur eine Konfiguration erfordern.

• Compliance-Zertifizierungen: Bestätigen Sie, dass der Vault-Anbieter ein PCI Level 1-Dienstleister ist und einen Compliance-Nachweis vorlegen kann, da Ihr eigener Auditor genau danach fragen wird.

• Unterstützung für Netzwerk-Token: Stellen Sie sicher, dass der Vault Netzwerk-Token über mehrere Netzwerke hinweg (z. B. Visa, Mastercard, American Express, Discover) anfordern, speichern und aktualisieren kann, und nicht nur für ein oder zwei Netzwerke.

• Entschlüsselungskontrollen: Verstehen Sie, wer unter welchen Bedingungen eine PAN vom Vault zurückfordern kann und wie diese Anfragen protokolliert werden. Auditoren prüfen die Zugriffskontrollen genau.

Die Vault and Forward API von Stripe speichert Token zusammen mit der nativen Netzwerk-Tokenisierung, sodass eine gespeicherte Karte ohne zusätzlichen Integrationsaufwand automatische Lifecycle-Updates erhält. Außerdem ermöglicht sie es einem Unternehmen, Autorisierungsanfragen an einen Abwickler seiner Wahl weiterzuleiten.

So kann Stripe Payments Sie unterstützen

Stripe Payments bietet eine einheitliche, globale Zahlungslösung, mit der jedes Unternehmen – von Start-ups bis hin zu globalen Konzernen – Zahlungen online, vor Ort und weltweit akzeptieren kann.

Mit Stripe Payments können Sie Folgendes umsetzen:

• Optimieren Sie Ihren Bezahlvorgang: Schaffen Sie ein reibungsloses Kundenerlebnis und sparen Sie Tausende von Entwicklungsstunden mit vorgefertigten Zahlungs-UIs, Zugang zu mehr als 125 Zahlungsmethoden und Link, einem Digital Wallet von Stripe.

• Neue Märkte schneller erschließen: Erreichen Sie Kundinnen und Kunden weltweit und reduzieren Sie die Komplexität und Kosten der Verwaltung mehrerer Währungen mit grenzüberschreitenden Zahlungsoptionen, die in 195 Ländern und über 135 Währungen verfügbar sind.

• Online- und Vor-Ort-Zahlungen vereinheitlichen: Schaffen Sie Unified Commerce über Online- und Vor-Ort-Kanäle hinweg, um Interaktionen zu personalisieren, Treue zu belohnen und Ihren Umsatz zu steigern.

• Zahlungs-Performance verbessern: Steigern Sie Ihren Umsatz mit einer Reihe anpassbarer, einfach zu konfigurierender Zahlungstools, darunter No-Code-Betrugsvorbeugung und erweiterte Funktionen zur Verbesserung der Autorisierungsquoten.

• Schnelleres Wachstum dank einer flexiblen, zuverlässigen Plattform: Bauen Sie auf einer Plattform auf, die mit Ihnen mitwächst, mit einer historischen Erreichbarkeit von 99,999 % und branchenführender Zuverlässigkeit.

Erfahren Sie mehr darüber, wie Stripe Payments Sie bei Online- und Vor-Ort-Zahlungen unterstützen kann oder starten Sie noch heute.