Tokenisierung (Zahlungsdaten)
Kurz gesagt
Tokenisierung ersetzt bei Kartendaten die Kartennummer (PAN) durch einen Platzhalterwert, den Token. PCI SSC unterscheidet irreversible Token, aus denen sich die PAN nicht zurückgewinnen lässt, und reversible Token, bei denen ein Token-Dienst oder ein Karten-Daten-Tresor die PAN zurückliefert. Ein EMV Payment Token, das nach der EMV Payment Tokenisation Specification gebildet und verwendet wird und außerhalb der Token-Datenumgebung des Token Service Providers bleibt, zählt nach PCI SSC nicht als Account Data; Systeme, die nur solche Token verarbeiten, können aus dem PCI-DSS-Umfang fallen, solange dort keine Kartendaten verarbeitet werden und keine Verbindung zu solchen Systemen besteht.
Das Wichtigste
- Ein Token ersetzt die Kartennummer (PAN). PCI SSC unterscheidet irreversible Token, aus denen sich die PAN nicht zurückgewinnen lässt, und reversible Token, bei denen ein Token-Dienst oder ein Karten-Daten-Tresor die PAN zurückliefert.
- EMV Payment Tokens sind auf einen Händler, ein Gerät oder einen Verwendungszweck beschränkt und laufen durch das Kartennetz bis zum Kartenherausgeber.
- PCI DSS gilt überall, wo Account Data (Kartendaten, insbesondere die PAN) gespeichert, verarbeitet oder übertragen werden.
- Ein EMV Payment Token, das nach der EMV Payment Tokenisation Specification gebildet und verwendet wird und außerhalb der Token-Datenumgebung des Token Service Providers bleibt, zählt nach PCI SSC nicht als Account Data und damit nicht zum PCI-DSS-Umfang.
- Tokenisierung kann den PCI-DSS-Umfang verkleinern; keine Technik hebt alle PCI-DSS-Anforderungen auf (PCI SSC, Scoping-Guidance, Dezember 2016).
- PCI DSS ist ein Standard des PCI Security Standards Council, kein Gesetz; geltende Fassung ist v4.0.1 (v4.0 zurückgezogen am 31. Dezember 2024).
Definition
Tokenisierung ist bei Zahlungsdaten ein Verfahren, bei dem ein Platzhalterwert, der Token, die Kartennummer (Primary Account Number, PAN) ersetzt. Das System, das den Token erhält, enthält danach nur den Token, nicht die Kartennummer selbst (PCI SSC, Tokenization Product Security Guidelines, Version 1.0, April 2015).
Dasselbe Dokument unterscheidet zwei Grundformen. Irreversible Token lassen sich nicht in die PAN zurückrechnen: Aus dem Token allein ist die Kartennummer nicht zu gewinnen, auch nicht aus gespeicherten Daten; ein solcher Token kann aber einem Kunden- oder Kontobezug zugeordnet sein. Reversible Token sind rückrechenbar, kryptografische über einen Schlüssel, nicht-kryptografische über einen Nachschlagevorgang in einem Karten-Daten-Tresor (Card Data Vault). In jeder Bauart soll der Token von einer gültigen PAN unterscheidbar sein.
Wann sie verwendet wird
Bei reversiblen Token erzeugt ein Token-Dienst (Token Service Provider, TSP) den Token und hält die Zuordnung zur PAN in einem geschützten Bereich; irreversible Token brauchen keine solche Zuordnung. EMV Payment Tokens nach der EMV Payment Tokenisation Specification sind über Token Domain Restriction Controls an einen bestimmten Händler, ein Gerät oder einen Verwendungszweck gebunden; außerhalb dieser Parameter lassen sie sich nicht verwenden, und nach PCI SSC sind sie zusammen mit einem dynamischen Token-Kryptogramm oder gleichwertigen Domain Controls zu verwenden. Sie laufen im Kartennetz bis zum Herausgeber. Beispiel: Ein Shop speichert eine Karte für Folgekäufe und legt statt der Kartennummer den Token des Zahlungsdienstleisters ab.
Was sie für den PCI-DSS-Umfang bringt
PCI DSS erfasst jede Systemkomponente, die Account Data speichert, verarbeitet oder überträgt, also Kartendaten wie die Kartennummer (PAN). Ein EMV Payment Token, das nach der EMV Payment Tokenisation Specification gebildet und verwendet wird und außerhalb der Token-Datenumgebung des TSP bleibt, gilt nach PCI SSC nicht als Account Data und damit nicht im Umfang; Systeme, die zusätzlich Account Data verarbeiten oder mit solchen Systemen verbunden sind, bleiben im Umfang. Nach der PCI-SSC-Guidance für Scoping und Netzsegmentierung (Version 1.0, Dezember 2016) kann Tokenisierung die Zahl der anwendbaren Anforderungen und die Größe der Cardholder Data Environment verkleinern; keine Technik hebt alle PCI-DSS-Anforderungen auf.
Rechtsgrundlage und Standard
Ob und wie ein Shop Token einsetzt, regeln die Vorgaben der Kartenorganisationen und die Verträge mit Acquirer und Zahlungsdienstleister; PCI DSS und die EMV-Spezifikation sind Standards, keine staatlichen Rechtsvorschriften. Geltende Fassung des PCI DSS ist v4.0.1; v4.0 wurde am 31. Dezember 2024 zurückgezogen. EMVCo veröffentlicht die Spezifikation in der Fassung v2.4 vom 9. Juli 2026. Zum Ablauf der Kartenzahlung siehe Kartenzahlung im Onlineshop.
Nicht zu verwechseln mit
- Händler- und Acquirer-Token: Erzeugt der Acquirer, der Händler oder ein Dienstleister des Händlers, nachdem der Karteninhaber die PAN oder andere Zahlungsmerkmale vorgelegt hat; eine abgeschlossene Zahlung setzt das nicht voraus, die Tokenisierung kann vor oder nach der Autorisierung erfolgen. Solche Token sind nicht standardisiert und nicht für neue Autorisierungen nutzbar, sondern für gespeicherte Karten und Folgezahlungen (PCI SSC, FAQ 1384 und Tokenization Product Security Guidelines v1.0, Abschnitt “Tokenization At-a-Glance”).
- Ausgeber-Token (virtual card numbers): Erzeugt der Kartenherausgeber; solche Token sehen einer PAN ähnlich, sodass Händler und Acquirer den Token kaum von einer Kartennummer unterscheiden können (PCI SSC, FAQ 1384).
- Verschlüsselung (Point-to-Point Encryption): Verschlüsselt die PAN, ersetzt sie aber nicht; die PCI-SSC-Scoping-Guidance nennt Verschlüsselung und Tokenisierung als getrennte Mittel.