Tokenisierung im Payment erklärt

Tokenisierung ersetzt sensible Kartendaten (z.B. die Primary Account Number, PAN) durch einen nicht rückverfolgbaren Token. Die echten Kartendaten werden in einem gesicherten Vault gespeichert, während der Token im System des Händlers zirkuliert. Selbst bei einem Datenleck sind die Tokens für Angreifer wertlos.

1. Ersterfassung: Der Kunde gibt seine Kartendaten im Checkout ein
2. Übertragung an Vault: Die Daten werden direkt an den Token-Service-Provider (TSP) übermittelt – der Händler-Server sieht die PAN nie
3. Token-Generierung: Der TSP speichert die PAN im Vault und gibt einen Token zurück (z.B. tok_ch_4xK9mPq2)
4. Token-Nutzung: Der Händler speichert nur den Token und nutzt ihn für Folgetransaktionen, Refunds oder Abos
5. De-Tokenisierung: Bei einer Transaktion wandelt der TSP den Token intern wieder in die PAN um und leitet die Autorisierung weiter

Der Händler kommt zu keinem Zeitpunkt mit den echten Kartendaten in Berührung.

• PCI-Scope-Reduktion um bis zu 90%: Von SAQ D (300+ Fragen) auf SAQ A (22 Fragen)
• Autorisierungsrate +2–5%: Network Tokens werden von Issuern bevorzugt behandelt, da sie an einen spezifischen Händler gebunden und schwerer zu missbrauchen sind
• Weniger Kartenablehnung bei Renewal: Network Tokens werden automatisch aktualisiert, wenn eine Karte erneuert wird – weniger unfreiwillige Abos-Kündigungen (Churn-Reduktion um 15–25%)
• Betrugs-Reduktion: Tokens sind händlergebunden und können nicht für andere Händler verwendet werden

Diese Werte sind Richtwerte basierend auf Branchendaten von Visa und Mastercard. Effektive Ergebnisse variieren je nach Branche und Kundensegment.

Ein Schweizer SaaS-Unternehmen mit 20'000 Abonnenten stellte von Gateway-Tokens auf Network Tokens via Stripe um:

• Vorher: 8% der monatlichen Zahlungen scheiterten wegen abgelaufener Karten
• Nachher: Fehlerquote sank auf 2% dank automatischer Karten-Aktualisierung
• Ergebnis: CHF 180'000 weniger Umsatzverlust pro Jahr, kein zusätzlicher Aufwand im Kundendienst

• TWINT und PostFinance: Für diese Zahlungsmethoden ist keine Kartentokenisierung nötig – hier gelten eigene Mechanismen
• Debitkarten (Visa Debit, Debit Mastercard): Vollständig tokenisierbar; besonders relevant, da Schweizer Konsumenten zunehmend Debit statt Credit nutzen
• Recurring-Zahlungen: In der Schweiz stark verbreitet bei Versicherungen, Telco und Abos – Tokenisierung ist hier quasi Pflicht
• Anbieter mit Network Tokenisierung in CH: Stripe, Adyen, Datatrans (seit 2024), Worldline

• Einmalige Transaktionen ohne Wiederholung: Wenn keine Kartendaten gespeichert werden müssen, bringt Tokenisierung keinen Zusatznutzen (die Hosted Payment Page reicht)
• Nur alternative Zahlungsmethoden: Bei reinem TWINT- oder Rechnungskauf entfällt die Kartentokenisierung
• Minimale Transaktionsvolumen: Bei sehr wenigen Transaktionen rechtfertigt der Implementierungsaufwand den Nutzen nicht

Tokenisierung ist der effektivste Hebel zur PCI-DSS-Scope-Reduktion:

• Network Tokens aktivieren: Wenn Ihr PSP dies anbietet, aktivieren Sie Network Tokenisierung – die Mehrkosten sind meist null
• Token-Migration planen: Beim PSP-Wechsel klären Sie frühzeitig, ob Tokens portiert werden können (Stripe und Adyen bieten Token-Export)
• Monitoring einrichten: Überwachen Sie die Autorisierungsrate vor und nach der Token-Umstellung, um den Effekt zu messen
• Kunden informieren: Bei Umstellung auf Network Tokens ändert sich für den Kunden nichts – aber intern müssen Prozesse (Refunds, Support-Tools) angepasst werden