PAN-Tokenisierung ist der Prozess, durch den eine echte Kartennummer durch einen zufälligen Bezeichner ersetzt wird, der außerhalb des Systems, das ihn generiert hat, keinen Wert hat. Es ist die Technologie, die es Händlern, PSPs und Plattformen ermöglicht, Zahlungen zu verwalten, ohne jemals sensible Daten in ihren eigenen Systemen zu speichern oder zu übertragen. Das Verständnis der Funktionsweise – auf jeder Ebene – ist für jeden unerlässlich, der Architektur- oder Compliance-Entscheidungen treffen muss.
Von PAN zu Token: wie der Prozess Schritt für Schritt funktioniert
Der PAN-Tokenisierungsfluss beginnt immer mit der sicheren Erfassung von Kartendaten. Der Kunde gibt die Kartennummer auf einer gehosteten Seite oder über ein PCI-DSS-zertifiziertes clientseitiges SDK ein: Auf diese Weise passieren die Daten niemals die Server des Händlers. Der Vault des Tokenisierungsanbieters empfängt die PAN im Klartext, speichert sie sicher und generiert einen zufälligen Token, der an das System des Händlers zurückgegeben wird.
Von diesem Punkt an arbeitet der Händler ausschließlich mit dem Token. Um eine Zahlung zu verarbeiten, sendet er den Token zusammen mit dem Betrag und den Abrechnungsanweisungen an den Vault: Der Vault ruft die echte PAN ab, übermittelt sie an das Kartennetzwerk und gibt nur die Autorisierungsantwort zurück. Der gesamte Zyklus erfolgt in Millisekunden, für den Endnutzer transparent.
Tokenisierung vs. Verschlüsselung: Unterschiede, die zählen
Die Unterscheidung zwischen Tokenisierung und Verschlüsselung ist nicht terminologischer Natur: Es handelt sich um einen architektonischen Unterschied mit direkten Auswirkungen auf Sicherheit und Compliance. Verschlüsselung transformiert die PAN in verschlüsselte Daten, die eine mathematische Beziehung zum Original behalten: Jeder, der den Entschlüsselungsschlüssel besitzt, kann die PAN wiederherstellen. Das Risiko verlagert sich auf das Schlüsselmanagement, das weiterhin in der Verantwortung des Händlers liegt.
Tokenisierung erzeugt einen zufälligen Wert ohne Beziehung zur ursprünglichen PAN. Es gibt keinen Algorithmus, der es erlaubt, die Originaldaten aus dem Token wiederherzustellen: Der einzige Weg zur „Detokenisierung" ist der Zugriff auf den Vault mit den richtigen Zugangsdaten. Das bedeutet, dass ein Verstoß in der Datenbank des Händlers nur wertlose Token freilegt, keine echten Kartennummern. Aus PCI-DSS-Sicht fallen Datenbanken, die nur Token enthalten, nicht in die CDE.
Der Token-Lebenszyklus: Vault, Abruf und Widerruf
Ein Token hat einen definierten Lebenszyklus, der Erstellung, Nutzung und Widerruf umfasst. Bei der Erstellung verknüpft der Vault den Token mit der PAN und speichert ihn mit Metadaten wie Händler-ID, Erstellungsdatum und etwaigen Nutzungslimits. Während des aktiven Lebenszyklus kann der Token für Belastungen, Rückerstattungen und Stornierungen verwendet werden, ohne dass der Händler jemals die PAN sieht.
Der Widerruf erfolgt, wenn der Kunde die Löschung seiner Daten beantragt, wenn die Karte abläuft oder ersetzt wird, oder wenn der Händler beschließt, die Beziehung zu beenden. Ein gut konzipierter Vault verwaltet auch den automatischen Token-Ersatz, wenn eine Karte abläuft, und aktualisiert die PAN im Vault, ohne dass der Kunde seine Daten erneut eingeben muss. PCI Proxy EU unterstützt diesen Prozess durch die Account-Updater-Programme der führenden Kartennetzwerke.
Häufig gestellte Fragen
Kann ein Token umgekehrt werden, um die PAN wiederherzustellen?
Nicht von jedem. Nur der Vault, der den Token generiert hat, kann die Detokenisierung durchführen, und nur mit autorisierten API-Zugangsdaten. Technisch gesehen ist der Token ein zufälliger Wert ohne mathematische Beziehung zur PAN: Es gibt keinen Umkehralgorithmus. Dies ist der grundlegende Vorteil der Tokenisierung gegenüber der symmetrischen Verschlüsselung.
Erfordert Tokenisierung Änderungen an meinem Checkout?
Es hängt von Ihrer aktuellen Architektur ab. Wenn Ihr Checkout Kartendaten direkt erfasst, müssen Sie das Formular durch eine gehostete Seite oder ein clientseitiges SDK von PCI Proxy EU ersetzen. Das Backend muss geändert werden, um Token statt PANs zu empfangen und zu verwalten. Wenn Sie bereits eine gehostete Zahlungsseite eines PSP verwenden, kann die Integration mit PCI Proxy EU auf API-Ebene ohne Frontend-Änderungen erfolgen.
Was unterscheidet Netzwerk-Tokenisierung von Zahlungs-Tokenisierung?
Zahlungs-Tokenisierung (oder Händler-Tokenisierung) generiert Token, die vom Vault des Anbieters verwaltet werden und in den internen Flüssen des Händlers verwendet werden. Netzwerk-Tokenisierung generiert Token, die direkt von Kartennetzwerken (Visa, Mastercard) ausgegeben werden und mit einem bestimmten Gerät verbunden sind. Beide reduzieren Risiken, operieren aber auf verschiedenen Ebenen: Zahlungs-Tokenisierung schützt Daten innerhalb des Händlerperimeters, Netzwerk-Tokenisierung schützt die Übertragung an das Netzwerk.
Möchten Sie Tokenisierung schnell in Ihre Zahlungsinfrastruktur implementieren? Entdecken Sie PCI Proxy EU.