Was ist Tokenisierung?

Auch bekannt als: Tokenization, Payment Tokenisation, Netzwerk-Token, Network Tokenization

• Die EMV Payment Tokenisation Specification – Technical Framework liegt in Version 2.4 vom 9. Juli 2026 vor und ist lizenzgebührenfrei verfügbar
• Die Payment Account Reference (PAR) verknüpft mehrere Tokens mit derselben Karte, ohne die Kartennummer preiszugeben
• Bei Apple Pay wird die gerätespezifische Device Account Number im Secure Element gespeichert; Apple kann nicht darauf zugreifen
• Die vollständige Kartennummer wird laut Apple weder auf dem Gerät noch auf den Apple-Pay-Servern gespeichert
• Das PCI SSC führt einen eigenen Sicherheitsstandard für Token Service Provider, die EMV Payment Tokens erzeugen und ausgeben

Wie Tokenisierung technisch funktioniert

Ein Token Requestor — etwa eine Wallet, ein Händler oder ein Zahlungsdienstleister — fordert für eine Karte einen Token an. Ein Token Service Provider erzeugt ihn, hinterlegt die Zuordnung zwischen Token und echter Kartennummer in seinem eigenen, besonders geschützten System und gibt nur den Token heraus. Entscheidend sind die Nutzungsbeschränkungen: EMVCo beschreibt den Payment Token als eindeutigen Ersatzwert, dessen Verwendbarkeit gezielt auf bestimmte Händler, Geräte oder Zahlungsszenarien eingeschränkt wird. Damit dennoch erkennbar bleibt, dass verschiedene Tokens zur selben Karte gehören, gibt es die Payment Account Reference — eine kanalübergreifende Kennung, die Betrugserkennung und Kundenbindungsprogramme ermöglicht, ohne die Kartennummer offenzulegen.

Netzwerk-Token und Händler-Token

Beide Begriffe meinen Unterschiedliches. Ein Netzwerk-Token entsteht nach der EMV Payment Tokenisation Specification, wird von einem registrierten Token Service Provider ausgegeben und ist im Autorisierungsnetz der Kartensysteme selbst gültig. Die aktuelle Fassung des Technical Framework ist Version 2.4 vom 9. Juli 2026; sie ist lizenzgebührenfrei verfügbar. Ein Händler- oder PSP-Token dagegen ist ein rein interner Stellvertreter in der Datenbank eines Dienstleisters: Er senkt das Risiko der eigenen Datenhaltung, taugt aber nicht zur Autorisierung und wird außerhalb dieses Systems nicht verstanden. Das PCI SSC führt für Token Service Provider einen eigenen Sicherheitsstandard, weil dort die Zuordnung zwischen Token und echter Kartennummer liegt.

Was Tokenisierung bei SoftPOS bedeutet

Ein erheblicher Teil der Zahlungen, die an einem SoftPOS-Gerät ankommen, ist bereits tokenisiert — nämlich alle Wallet-Zahlungen. Apple beschreibt das Verfahren offen: Der Kartenherausgeber erzeugt eine gerätespezifische Device Account Number, sie wird verschlüsselt übertragen und im Secure Element des Geräts abgelegt; Apple selbst kann darauf nicht zugreifen. Die vollständige Kartennummer wird laut Apple weder auf dem Gerät noch auf den Apple-Pay-Servern gespeichert, und die Device Account Number wird nie in iCloud gesichert. Der Kartenherausgeber kann ihre Verwendbarkeit zusätzlich einschränken. Für den Händler heißt das: Er sieht die echte Kartennummer des Kunden bei einer Wallet-Zahlung ohnehin nie.

Wirkung auf Sicherheit und Prüfaufwand

Der wirtschaftliche Reiz der Tokenisierung liegt darin, dass sensible Daten aus der eigenen Umgebung verschwinden. Wo keine Kartennummern gespeichert sind, gibt es auch nichts zu stehlen, und der Prüfumfang nach PCI DSS fällt entsprechend kleiner aus. Der Effekt ist allerdings kein Automatismus: Er tritt nur ein, wenn die Kartennummer tatsächlich zu keinem Zeitpunkt in die eigenen Systeme gelangt, und er ist gegenüber Acquirer und Prüfer nachzuweisen. Ein zweiter, oft unterschätzter Vorteil betrifft den Betrieb: Weil Netzwerk-Tokens an die Karte und nicht an eine konkrete Kartennummer gebunden sind, überstehen hinterlegte Zahlungsmittel eine Kartenerneuerung, ohne dass der Kunde neu eingeben muss.

Abgrenzung — womit Tokenisierung verwechselt wird

Tokenisierung wird oft mit Verschlüsselung gleichgesetzt. Ein verschlüsselter Wert lässt sich mit dem passenden Schlüssel wieder in die Kartennummer zurückrechnen; ein Token hat keinen mathematischen Bezug zur Kartennummer, die Zuordnung existiert nur in der geschützten Datenbank des Token Service Providers. Ebenso wenig ist Maskierung Tokenisierung: Die Anzeige der letzten vier Ziffern verbirgt Daten nur optisch, ersetzt sie aber nicht.

Verwandte Begriffe

Häufige Fragen

Sehe ich als Händler bei Apple Pay die Kartennummer meines Kunden?

Nein. Bei einer Wallet-Zahlung übermittelt das Kundengerät eine gerätespezifische Device Account Number, nicht die echte Kartennummer. Apple gibt an, dass die vollständige Kartennummer weder auf dem Gerät noch auf den Apple-Pay-Servern gespeichert wird. Für Ihre Buchhaltung erhalten Sie in der Regel nur eine maskierte Darstellung und eine Transaktionsreferenz.

Senkt Tokenisierung meinen PCI-DSS-Aufwand?

Sie kann es, aber nicht automatisch. Der Prüfumfang sinkt nur, wenn Kartennummern zu keinem Zeitpunkt in Ihre Systeme gelangen und Sie das gegenüber Acquirer und Prüfer belegen können. Wird die Kartennummer irgendwo zwischengespeichert, protokolliert oder per Formular entgegengenommen, bleibt der betroffene Bereich im Geltungsbereich des Standards.

Was ist der Unterschied zwischen Netzwerk-Token und Händler-Token?

Ein Netzwerk-Token entsteht nach der EMVCo-Spezifikation, wird von einem Token Service Provider ausgegeben und ist im Autorisierungsnetz der Kartensysteme selbst gültig. Ein Händler- oder PSP-Token ist ein interner Stellvertreter in der Datenbank eines Dienstleisters — er reduziert das eigene Risiko, taugt aber nicht zur Autorisierung und ist außerhalb dieses Systems bedeutungslos.

Quellen

• EMVCo — EMV Payment Tokenisation
• Apple Support — Sicherheit bei der Kartenbereitstellung (Apple Pay)
• PCI SSC — Token Service Provider (TSP) Security Requirements

Teil des SoftPOS24 Payment-Glossars mit 71 Fachbegriffen zu SoftPOS, Kartenzahlung und Zahlungsverkehr. Fehler entdeckt? Korrektur melden — wir prüfen jede Meldung.