Was ist Tokenisierung im Zahlungsverkehr?

Bei der Tokenisierung tritt ein Token an die Stelle der Kartennummer, und sein Einsatz ist begrenzt. EMVCo, Herausgeber der EMV-Spezifikationen, beschreibt den EMV-Payment-Token als eindeutigen Ersatzwert, der nur eingeschränkt nutzbar ist, etwa bei einem bestimmten Händler, auf einem Gerät oder in einem Zahlungsszenario (EMVCo).

In einem Beitrag von 2022 zeichnet EMVCo den Weg des Tokens nach: Er läuft vom Kaufort zum Acquirer und über die Kartennetzwerke zum Kartenherausgeber, der die Zahlung autorisiert. Ein Token Service Provider gibt die Token aus, und EMVCo vergibt jedem Token Service Provider einen Code. Eine Payment Account Reference (PAR) verknüpft Zahlungen mit Token mit der PAN. Nach einem Datenleck kann der Kartenherausgeber die Token für einen bestimmten Händler oder ein Gerät ersetzen, oft ohne Zutun des Karteninhabers, und muss weniger Karten austauschen (EMVCo, 31. März 2022).

Ein Token für die Kreditkarte kann viele Längen und Formate haben, nur aus Ziffern oder mit Buchstaben. Der PCI Security Standards Council nennt ein Beispiel: Aus der PAN 4959 0059 0172 3389 wird der Token 729129118523184663129. Ein anderes Format behält die ersten sechs und die letzten vier Ziffern der PAN: Aus 5994 0059 0172 3383 wird 599400x18523mw4cw3383 (PCI SSC, August 2011).

Ein Einmal-Token steht für eine einzige Transaktion, ein Mehrfach-Token für eine PAN über viele Transaktionen. Bei der Debitkarte funktioniert die Tokenisierung genauso, denn EMV-Token gelten überall dort, wo heute eine PAN im Einsatz ist.

Der Unterschied liegt darin, ob sich die Kartennummer aus dem Wert zurückrechnen lässt. Für einen Token verlangen die PCI-Leitlinien, dass die PAN allein aus dem Token rechnerisch nicht zu ermitteln ist. Ein Token, der durch umkehrbare Verschlüsselung entsteht, ist eine verschlüsselte PAN und kann unter weitere Regeln des PCI DSS fallen. Ob ein Wert als Token oder als verschlüsselte Daten gilt, hängt also davon ab, wie er erzeugt wurde.

Detokenisierung ist der umgekehrte Weg: Der Token wird gegen seine PAN eingelöst. Tokenisierung und Detokenisierung sollen laut den Leitlinien nur innerhalb eines klar abgegrenzten Tokenisierungssystems stattfinden. Die Paare aus Token und PAN liegen in einem Card Data Vault, für Angreifer oft das lohnendste Ziel.

Tokenisierung verkleinert den Bereich, für den PCI DSS gilt, denn ein Händler, der Token speichert, hält weniger Kartendaten. Die Pflicht entfällt damit nicht. Der PCI Security Standards Council (PCI SSC) stellte 2011 klar, dass Tokenisierungslösungen die Pflicht, PCI DSS einzuhalten und nachzuweisen, nicht aufheben. Token, die allein eine Zahlung auslösen können, in den Leitlinien „High-Value Tokens“ genannt, können im Geltungsbereich des PCI DSS bleiben, auch wenn sie keine PAN preisgeben.

Ein Zahlungs-Token ersetzt eine Kartennummer und hat keinen eigenen Wert; ein Asset-Token auf einer Blockchain ist der Vermögenswert oder die Forderung selbst. Der Internationale Währungsfonds (IWF) definiert Tokenisierung als Schaffung von Vermögenswerten oder ihren Abbildungen auf einem gemeinsamen, vertrauenswürdigen und programmierbaren Ledger, meist einer Blockchain (IWF, 4. Dezember 2025). Im Bankwesen hat das Wort beide Bedeutungen. Eine Bank tokenisiert Kartennummern, um Kartenzahlungen zu schützen, und sie kann Anleihen oder Einlagen tokenisieren, um sie auf einem Ledger zu handeln und abzuwickeln. Mehr dazu unter Was ist Tokenisierung von Vermögenswerten? und Was sind tokenisierte Einlagen?

Die EU-Zahlungsdiensterichtlinie PSD2 erwähnt keine Token. Für Kartenzahlungen schreibt sie die starke Kundenauthentifizierung vor: Art. 97 verlangt sie, wenn ein Zahler eine elektronische Zahlung auslöst. Bei Fernzahlungen muss die Authentifizierung die Zahlung an einen bestimmten Betrag und Empfänger binden. Zahlungsdienstleister müssen außerdem die Vertraulichkeit und Integrität der personalisierten Sicherheitsmerkmale schützen. Deutschland setzt das in § 55 des Zahlungsdiensteaufsichtsgesetzes (ZAG) um, mit der BaFin als Aufsicht (§ 4 ZAG). Österreich setzt es in § 87 des Zahlungsdienstegesetzes 2018 um, mit der FMA als Aufsicht (§ 88).

Die Schweiz gehört nicht zur EU, PSD2 gilt dort nicht. PCI DSS ist ein Branchenstandard, kein Gesetz; die PCI-Leitlinien raten Händlern, ihren Acquirer oder die Kartenorganisationen nach besonderen Anforderungen an Token zu fragen.

Das Eurosystem überwacht Kartenzahlverfahren und elektronische Wallets nach seinem PISA-Rahmenwerk, das die EZB in Frankfurt am 22. November 2021 veröffentlicht hat. Es gilt seit dem 15. November 2022 und erfasst auch digitale Zahlungstoken (EZB, 22. November 2021).

Diese Seite ist keine Rechtsberatung.