Eine Kartennummer ist ein unangenehmes Datum: Sie ist lange gültig, sie steht auf der Karte, und wer sie kennt, kann in manchen Kanälen damit bezahlen. Tokenisierung löst dieses Problem, indem die echte Nummer durch einen Platzhalter ersetzt wird, der außerhalb seines Einsatzzwecks wertlos ist.
Der Begriff taucht in Wallets auf, in Onlineshops, in Terminalverträgen und in Kassensystemen, meint aber nicht überall dasselbe. Es lohnt sich, die Varianten auseinanderzuhalten.
Wie ein Token entsteht
Ein Token ist eine Ersatznummer, die aussieht wie eine Kartennummer und sich in den Systemen auch so verarbeiten lässt. Vergeben wird sie von einer Stelle, die zugleich die Zuordnung zur echten Nummer verwahrt. Bei den Kartensystemen übernimmt das ein eigener Dienst, im Onlinegeschäft häufig der Zahlungsdienstleister.
Kommt der Token zurück, löst die vergebende Stelle ihn wieder auf und leitet die Zahlung an den Kartenherausgeber weiter. Alle Systeme dazwischen, also Kasse, Shop und Warenwirtschaft, sehen nur die Ersatznummer.
Warum ein gestohlener Token wenig taugt
Die Wirkung entsteht nicht durch das Ersetzen allein, sondern durch die Einschränkungen, die an einem Token hängen. Er ist typischerweise an ein Gerät, an einen Händler oder an einen Kanal gebunden. Zusätzlich wird zu jeder Zahlung ein wechselnder Sicherheitswert erzeugt, der nur zu diesem einen Vorgang passt.
Wer eine Tokendatenbank kopiert, hat deshalb keine brauchbaren Kartendaten in der Hand. Genau das ist der Unterschied zu einer Liste echter Kartennummern, die sich sofort verwenden ließe.
Zwei Arten von Token, die oft verwechselt werden
Die eine Art vergeben die Kartensysteme selbst. Diese Token laufen durch das gesamte Zahlungsnetz und stehen hinter der Zahlung mit dem Smartphone. Die andere Art vergibt dein Zahlungsdienstleister für den eigenen Gebrauch, damit du wiederkehrende Zahlungen auslösen kannst, ohne Kartendaten zu speichern.
Der Unterschied wird praktisch, wenn du den Anbieter wechseln willst. Ein Token des Kartensystems ist übertragbar organisiert, ein hausinterner Token gehört in die Welt des Anbieters, der ihn vergeben hat. Frag deshalb vor einem Wechsel ausdrücklich, ob deine gespeicherten Zahlungsmittel mitgenommen werden können. Diese Frage vergisst fast jeder, und sie entscheidet darüber, ob deine Stammkundschaft ihre Karte anschließend neu hinterlegen muss.
Der Nebeneffekt, den kaum jemand erwartet
Wird eine Karte ersetzt, weil sie abläuft oder verloren ging, ändert sich die echte Nummer, der Token aber nicht. Die vergebende Stelle aktualisiert die Zuordnung im Hintergrund. Bei Abonnements, Mitgliedsbeiträgen und hinterlegten Zahlungsmitteln bricht dadurch weniger weg als früher.
Verlass dich trotzdem nicht blind darauf. Ob die Aktualisierung greift, hängt am Kartenherausgeber und daran, ob dein Dienstleister den Abgleich nutzt. Wenn dir wiederkehrende Zahlungen wichtig sind, lass dir bestätigen, dass er aktiv ist.
Wogegen Tokenisierung nichts ausrichtet
Ein Token schützt Kartendaten. Er schützt dich nicht vor einem Widerspruch der Kundschaft, nicht vor einer Rückbelastung und nicht davor, dass jemand mit einem gestohlenen, aber freigeschalteten Gerät zahlt. Er ersetzt auch keine Prüfung, ob die Ware an die richtige Person geht.
Ebenso wenig macht er deine eigenen Abläufe sauber. Wer Kartennummern auf Notizzetteln sammelt, telefonisch entgegennimmt oder in Mails weiterleitet, hat weiterhin ein Problem, unabhängig davon, was die Technik dahinter tut.
Wo dir das im Alltag begegnet
Am Terminal steckt Tokenisierung hinter jeder Zahlung mit Telefon oder Uhr. Dein Gerät bekommt dabei nie die Nummer der Karte zu sehen, die in der Wallet hinterlegt ist, sondern eine Ersatznummer, die zu diesem Gerät gehört.
Im Onlinegeschäft begegnet sie dir überall dort, wo Kundschaft ein Zahlungsmittel speichert: bei Abonnements, bei Vorbestellungen, bei Kundenkonten mit hinterlegter Karte. Wichtig ist die erste Zahlung, denn dort muss die Kundschaft zustimmen, dass ihr Zahlungsmittel für spätere Zahlungen aufbewahrt wird. Wer diesen Schritt überspringt, hat später einen Token, den er nicht sauber verwenden darf.
Was du daraus mitnehmen kannst
Halte die echte Kartennummer aus deinen Systemen heraus, wo immer es geht. Frage bei Kasse, Shop und Terminal danach, wer den Token vergibt und was bei einem Anbieterwechsel damit passiert. Und behandle Tokenisierung als das, was sie ist: ein wirksamer Schutz der Daten, kein Schutz vor Zahlungsausfall.
