Wer ein Abonnementgeschäft betreibt, weiß, dass Card-on-File-Tokenisierung keine Option, sondern eine Notwendigkeit ist. SaaS-Modelle, digitale Abonnements und Streaming-Dienste speichern Kartendaten per Definition: Ohne eine gespeicherte Kartennummer gibt es keine automatische Erneuerung. Dies platziert automatisch jedes Abonnementgeschäft innerhalb des PCI DSS-Perimeters, mit spezifischen Pflichten, die viele Unternehmen unterschätzen.
Abonnement-Abrechnung PCI DSS: Warum Ihr Unternehmen automatisch im Scope ist
Ein Unternehmen, das Abonnements anbietet und die Karte des Kunden bei jeder Erneuerung automatisch belastet, speichert Kartendaten oder hat darauf Zugriff. Der Abonnement-Abrechnung PCI DSS-Scope ist weiter, als die meisten Händler erwarten: Selbst wenn die Daten beim PSP gespeichert sind, bleibt der Händler für die Systemkomponenten im Scope, die die wiederkehrende Abrechnung orchestrieren, Zahlungsausfälle verwalten, Erneuerungsbenachrichtigungen senden oder Karteninformationen aktualisieren. Die bloße Verwendung eines PSP-Tokens reicht nicht aus, um den Perimeter zu verlassen, wenn das Abrechnungssystem des Händlers mit diesem Token interagiert.
PCI DSS-Anforderungen für Abonnementunternehmen umfassen insbesondere Anforderung 3 (Schutz gespeicherter Kartendaten), Anforderung 6 (Sicherheit von Systemen und Anwendungen) und Anforderung 8 (Identifizierung und Authentifizierung des Zugriffs). Token-Management, Protokolle wiederkehrender Transaktionen und Wiederholungssysteme für fehlgeschlagene Zahlungen müssen mit diesen Anforderungen im Hinterkopf konzipiert werden.
Wie Card-on-File-Tokenisierung Ihre wiederkehrende Abrechnung schützt
Mit Card-on-File-Tokenisierung wird die PAN des Kunden beim ersten Registrieren der Karte durch ein Token ersetzt. Alle nachfolgenden Erneuerungen verwenden das Token: Das Abrechnungssystem des Händlers sieht niemals eine Kartennummer im Klartext, und der externe Vault übernimmt die Detokenisierung zum Zeitpunkt der Autorisierung beim PSP. Der PCI-Perimeter des Händlers reduziert sich auf nur die Systeme, die Tokens verarbeiten, die per Definition keine sensiblen Daten enthalten.
Ein weiterer praktischer Vorteil ist das Kartenaktualisierungsmanagement. Wenn ein Kunde eine neue Karte erhält (aufgrund von Ablauf oder Ersatz), kann der Vault automatisch über Account-Updater-Dienste der Netzwerke aktualisieren (Visa Account Updater, Mastercard Automatic Billing Updater). Das Token im System des Händlers bleibt unverändert, ist aber intern auf die neue PAN gemappt. Dies reduziert fehlgeschlagene Zahlungen aufgrund abgelaufener Karten, ohne Benutzerinteraktion zu erfordern.
Upgrades, Downgrades und Stornierungen: Token-Lebenszyklus bei Abonnements
Der Lebenszyklus eines Abonnements ist komplexer als eine einzelne Transaktion: Plan-Upgrades, -Downgrades, Pausen, Stornierungen mit Teilrückerstattungen und Reaktivierungen nach Kündigung sind allesamt Szenarien, die das Abrechnungssystem verwalten muss. Mit der Tokenisierung operieren alle diese Ereignisse auf dem Token, nicht auf der PAN. Das Token bleibt für die gesamte Dauer der Kundenbeziehung gültig, unabhängig von Änderungen des Plans oder der Geschäftsbedingungen.
Im Falle einer Stornierung muss das Token im Vault inaktiv gemacht, aber nicht unbedingt gelöscht werden: PCI DSS-Vorschriften und Aufbewahrungsanforderungen für Buchhaltungsdaten können es erfordern, einen Nachweis der ursprünglichen Transaktion für einen Mindestzeitraum aufzubewahren. Die korrekte Verwaltung des Token-Lebenszyklus, von der Erstellung bis zur Deaktivierung, ist ein integraler Bestandteil eines PCI-Compliance-Programms für Abonnementunternehmen.
Häufig gestellte Fragen
Wie verwalte ich die automatische Erneuerung mit einem PCI-Token?
Das Abrechnungssystem sendet dem Vault eine Belastungsanforderung unter Verwendung des mit dem Kunden verknüpften Tokens. Der Vault ruft die entsprechende PAN ab, überträgt sie zur Autorisierung an den PSP und gibt das Ergebnis zurück. Der Händler erhält nur die Autorisierungsbestätigung, ohne die PAN jemals zu sehen. Der Prozess ist identisch mit jeder anderen wiederkehrenden Transaktion, aber Kartendaten fließen nie durch die Systeme des Händlers.
Was passiert mit dem Token, wenn der Kunde seine Karte wechselt?
Mit Netzwerk-Account-Updater-Diensten aktualisiert der Vault automatisch das Token-PAN-Mapping, wenn eine Karte erneuert oder ersetzt wird. Das Token im System des Händlers bleibt unverändert. Alternativ wird beim manuellen Eingeben der neuen Karte durch den Kunden ein neues Token generiert, das das vorherige im Kundenprofil ersetzt.
Ersetzt ein SEPA-Lastschriftmandat die Card-on-File für wiederkehrende Zahlungen?
SEPA-Lastschrift ist eine gültige Alternative für wiederkehrende Zahlungen in Euro, aber sie operiert auf IBAN, nicht auf Kartendaten. Sie fällt nicht in den PCI DSS-Perimeter. Für Händler, die sowohl Karten als auch SEPA akzeptieren, bleibt die Card-on-File-Tokenisierung für den Kartenkanal notwendig, während SEPA-Zahlungen einem separaten Pfad außerhalb des PCI-Perimeters folgen.
Die Verwaltung der Abonnement-Abrechnung PCI DSS-Compliance muss nicht komplex sein. Card-on-File-Tokenisierung reduziert Ihren Scope auf nur die Systeme, die Tokens verarbeiten, ohne Kartendaten in Ihrer eigenen Infrastruktur. Entdecken Sie PCI Proxy EU.