Zurück zu den Leitfäden SECURITY

Netzwerk-Tokenisierung: Betrug reduzieren und Autorisierungsraten verbessern

Netzwerk-Tokenisierung ist eine Technologie, die von Visa, Mastercard und anderen Kartenschemata entwickelt wurde und die primaere Kontonummer einer Karte auf Netzwerkebene durch einen eindeutigen Token ersetzt. Im Gegensatz zur Gateway-Level-Tokenisierung, bei der der Token vom Zahlungsverarbeiter verwaltet wird, werden Netzwerk-Token vom Kartenschema selbst ausgegeben und validiert, was eine sicherere und zuverlaessigere Darstellung der Kartendaten schafft, die der Karte durch Aktualisierungen, Ersetzungen und Konto-Aenderungen folgt. Haendler und Plattformen, die Netzwerk-Tokenisierung implementieren, sehen messbare Verbesserungen bei den Autorisierungsraten, Reduzierungen der Betrugsverluste und vereinfachte PCI-DSS-Compliance.

Was Netzwerk-Tokenisierung ist und wie sie sich von Gateway-Tokenisierung unterscheidet

Tokenisierung bei Zahlungen ersetzt eine sensible Kartennummer (die Primary Account Number oder PAN) durch einen nicht-sensiblen Ersatzwert (den Token), der in Zahlungsablaeufen verwendet werden kann, ohne die zugrundeliegenden Kartendaten preiszugeben. Wenn ein Token von einem Angreifer abgefangen wird, hat er ausserhalb seines urspruenglichen Kontexts keinen Wert.

Gateway-Tokenisierung: Das Payment-Gateway generiert einen Token und pflegt eine Zuordnung zwischen dem Token und der tatsaechlichen Kartennummer in seinem eigenen Tresor. Der Token ist eindeutig fuer dieses Gateway. Wenn der Haendler zu einem anderen Verarbeiter wechselt, muessen die Token migriert oder neu erfasst werden.

Netzwerk-Tokenisierung: Der Token wird vom Kartennetzwerk selbst ausgegeben (Visa Token Service, Mastercard Digital Enablement Service). Der Token ist an die Kartendaten auf Aussteller-Ebene gebunden, nicht nur an die Kartennummer. Wenn der Karteninhaber nach Ablauf oder Verlust eine Ersatzkarte erhaelt, kann die zugrundeliegende Berechtigung (und damit der Netzwerk-Token) weiterhin gueltig sein, da der Token dem Konto zugeordnet ist, nicht der physischen Kartennummer.

Dieser grundlegende Unterschied schafft mehrere Vorteile fuer Haendler, die Netzwerk-Token gegenueber Gateway-Token verwenden, insbesondere fuer wiederkehrende Abrechnung, gespeicherte Credential-Transaktionen und Abonnementunternehmen.

Fuer Haendler in Hochrisikokategorien, die bereits mit einem High-Risk-Payment-Gateway arbeiten, fuegt die Netzwerk-Tokenisierung eine zusaetzliche Schutzschicht gegen Betrug hinzu.

Wie Netzwerk-Token in einer Zahlungstransaktion funktionieren

Der Netzwerk-Token-Lebenszyklus umfasst mehrere unterschiedliche Schritte, die gemeinsam eine sicherere und zuverlaessigere Zahlungsdaten-Berechtigung gewaehrleisten.

Token-Bereitstellung: Wenn ein Karteninhaber eine Karte zum gespeicherten Zahlungsmittel-System eines Haendlers hinzufuegt, fordert das Gateway des Haendlers einen Netzwerk-Token vom Token-Dienst des entsprechenden Kartenschemas an. Das Schema validiert die Karte mit dem Aussteller und gibt einen Token (typischerweise 16 Stellen im gleichen Format wie eine PAN) und einen Kryptogramm-Schluessel zurueck.

Transaktionsnutzung: Wenn eine nachfolgende Transaktion die gespeicherte Berechtigung verwendet, generiert das Gateway ein transaktionsspezifisches Kryptogramm unter Verwendung des Netzwerk-Tokens und des Kryptogramm-Schluessels. Die Transaktion wird an den Acquirer mit dem Netzwerk-Token plus Kryptogramm uebermittelt. Der Acquirer leitet dies an das Kartenschema weiter, das zur echten PAN de-tokenisiert und das Kryptogramm validiert, bevor es an den Aussteller zur Autorisierung weitergeleitet wird.

Token-Lebenszyklus-Verwaltung: Das Kartenschema verwaltet die Token-Gueltigkeit. Wenn die Karte eines Karteninhabers erneuert, als verloren gemeldet oder aktualisiert wird, kann das Schema die Token-Zuordnung automatisch aktualisieren, ohne dass der Haendler neue Kartendaten vom Kunden erfassen muss.

Kryptogramm-Einzigartigkeit: Jede Transaktion generiert ein einzigartiges Kryptogramm. Selbst wenn ein boesartiger Akteur den Token und das Kryptogramm aus einer Transaktion abfaengt, kann er es nicht erneut verwenden, da das Kryptogramm einmalig ist.

Vorteile: Hoehere Autorisierungsraten, weniger Betrug, besseres Kundenerlebnis

Die praktischen Vorteile der Netzwerk-Tokenisierung fuer Haendler sind messbar und kommerziell bedeutsam.

Hoehere Autorisierungsraten: Ausgebende Banken behandeln netzwerk-tokenisierte Transaktionen mit groesserem Vertrauen als PAN-basierte Card-Not-Present-Transaktionen. Haendler, die Netzwerk-Tokenisierung implementieren, sehen typischerweise Autorisierungsraten-Verbesserungen von 1-3 Prozentpunkten, was bei hohem Volumen direkt in messbare Umsatzerholung uebersetzt.

Reduzierter Card-Not-Present-Betrug: Netzwerk-Token sind ausserhalb ihres autorisierten Haendlerkontexts nutzlos und werden durch ein transaktionsspezifisches Kryptogramm validiert. Ein Angreifer, der einen Netzwerk-Token aus einem Datenleck erhaelt, kann ihn nicht verwenden, um nicht autorisierte Transaktionen bei anderen Haendlern zu verarbeiten.

Reduzierte Zahlungsfehler durch Karten-Aktualisierungen: Fuer Abonnement- und wiederkehrende Abrechnungsunternehmen sind Kartenablauf und -ersatz eine staendige Quelle von Zahlungsfehlern. Netzwerk-Token, die der Konto-Berechtigung statt der spezifischen Kartennummer zugeordnet sind, sind inherent widerstandsfaehiger gegen Karten-Aenderungen.

Kundenerlebnis-Verbesserung: Kunden muessen ihre Zahlungsdetails nicht mit jeder Karten-Erneuerung aktualisieren, wenn der Haendler die Netzwerk-Tokenisierung korrekt verwendet.

Haftungsverschiebung bei Betrugsstreitigkeiten: Netzwerk-tokenisierte Transaktionen koennen je nach den spezifischen Regeln des Kartenschemas fuer bestimmte Betrugs-Steitigkeits-Kategorien verbesserte Haftungsschutz erhalten.

Implementierung: Was Haendler benoetigen, um Netzwerk-Tokenisierung zu aktivieren

Die Implementierung von Netzwerk-Tokenisierung erfordert Gateway-Level-Unterstuetzung und eine kleine Anzahl von Integrationsaenderungen auf der Haendlerseite.

Gateway-Faehigkeitsanforderung: Netzwerk-Tokenisierung ist nur ueber Gateways verfuegbar, die als registrierte Token-Anforderer bei Visa und Mastercard eingetragen sind. Nicht alle Gateways unterstuetzen Netzwerk-Tokenisierung.

Integrationsaenderungen: Fuer Haendler, die ein Gateway verwenden, das Netzwerk-Tokenisierung unterstuetzt, liegt die primaere Aenderung darin, wie gespeicherte Berechtigungen gespeichert werden. Anstatt einen Gateway-Token zu speichern, speichert das System des Haendlers den waehrend des Bereitstellungsschritts zurueckgegebenen Netzwerk-Token sowie zugehoerige Metadaten.

Gespeichertes Credential-Framework: Netzwerk-Tokenisierung ist am wertvollsten, wenn sie mit dem gespeicherten Credential-Framework des Kartenschemas kombiniert wird, das definiert, wie nachfolgende haendlerinitierte und kundeninitiierte Transaktionen mit gespeicherten Berechtigungen in der Autorisierungsanforderung markiert werden.

Sandbox-Tests: RoxPay's Sandbox-Umgebung ermoeglicht es Haendlern, Netzwerk-Token-Bereitstellung, Transaktions-Einreichung mit Token und Kryptogramm zu testen. Vollstaendige API-Dokumentation ist unter app.roxpay.eu/api/v4/docs verfuegbar.

Um Ihren RoxPay-Antrag zu starten und die Netzwerk-Tokenisierungs-Faehigkeit fuer Ihre Integration zu besprechen, kann das Onboarding-Team den aktuellen Token-Anforderer-Status bestaetigen.

Netzwerk-Tokenisierung und PCI-DSS-Compliance

PCI DSS verlangt von Haendlern und Verarbeitern, Karteninhaberdaten zu schuetzen, primaer die Primary Account Number. Netzwerk-Tokenisierung hat direkte Auswirkungen auf den PCI-DSS-Umfang und die Compliance-Verpflichtungen des Haendlers.

Umfangsreduzierung: Wenn ein Haendler Netzwerk-Token anstelle von rohen PANs speichert, wird der Token selbst nach PCI DSS nicht als Karteninhaberdaten betrachtet, da er ohne das Kryptogramm nicht ausserhalb des autorisierten Haendlerkontexts fuer Zahlungen verwendet werden kann.

Kein vollstaendiger Ersatz fuer PCI-Compliance: Netzwerk-Tokenisierung reduziert den Umfang, eliminiert aber nicht alle PCI-Verpflichtungen. Das Gateway und die Zahlungsverarbeitungsinfrastruktur muessen weiterhin PCI-DSS-Compliance aufrechterhalten.

Gateway-Level-Zertifizierung: Die Verwendung eines PCI-DSS-Level-1-zertifizierten Gateways ist die Grundlage. RoxPay haelt PCI-DSS-Level-1-Zertifizierung (Zertifikatsnummer QS83A47X629), die hoechste Zertifizierungsstufe, die die gesamte Zahlungsverarbeitungsinfrastruktur abdeckt.

Dokumentation fuer QSAs: Wenn ein Haendler Netzwerk-Tokenisierung implementiert, sollte er den Token-Ablauf in seiner PCI-DSS-Umfangs-Dokumentation fuer seinen Qualified Security Assessor dokumentieren.

Häufig gestellte Fragen

Ist Netzwerk-Tokenisierung dasselbe wie 3D Secure?

Nein. Netzwerk-Tokenisierung und 3D Secure sind separate Technologien, die unabhaengig oder zusammen verwendet werden koennen. Netzwerk-Tokenisierung ersetzt die Kartennummer durch einen sicheren Token, um Betrug bei gespeicherten Berechtigungen zu reduzieren. 3D Secure ist ein Authentifizierungsprotokoll, das die Identitaet des Karteninhabers waehrend einer Transaktion verifiziert. Beide verbessern die Sicherheit und koennen sich gegenseitig ergaenzen, adressieren aber unterschiedliche Punkte im Zahlungsablauf.

Bemerken Kunden einen Unterschied, wenn Netzwerk-Tokenisierung aktiviert ist?

In den meisten Faellen nein. Das Checkout-Erlebnis ist unveraendert. Der Kunde gibt seine Kartendaten einmal ein, und das Gateway stellt den Netzwerk-Token im Hintergrund bereit. Fuer wiederkehrende Abrechnungskunden ist der auffaelligste Unterschied, dass ihre Zahlungsmethode seltener aufgrund einer abgelaufenen Karte abgelehnt wird.

Koennen Netzwerk-Token ueber mehrere Haendler hinweg verwendet werden?

Nein. Netzwerk-Token werden fuer den Verwendungskontext eines bestimmten Haendlers ausgegeben. Ein fuer Haendler A bereitgestellter Token kann nicht verwendet werden, um eine Zahlung bei Haendler B zu verarbeiten. Diese Domain-Bindung ist eine der Schluessel-Sicherheitseigenschaften von Netzwerk-Token.

Mehr erfahren

Optimieren Sie Ihre Zahlungen heute

RoxPay unterstuetzt Netzwerk-Tokenisierung, 3DS2 und tokenisierte gespeicherte Berechtigungen innerhalb einer PCI-DSS-Level-1-zertifizierten Plattform. IC++-Preise ab 0,45 Prozent, Settlement auf jede SEPA-Bank in 24-48 Stunden.

Kostenlos starten → Mit einem Experten sprechen

✓ Keine monatlichen Fixkosten · ✓ Aktivierung in 24 Stunden · ✓ Dedizierter technischer Support