Tokenisierung

Was ist die Tokenisierung?

Die Tokenisierung von Daten ist der Prozess, bei dem ein sensibles Datenelement durch ein nicht sensibles Datenäquivalent ersetzt wird, das als Token bekannt ist und außerhalb der spezifischen Anwendung, für die es erstellt wurde, keine Bedeutung oder Wert hat. Die Tokenisierung schützt sensible Daten vor unerwünschter Exposition sowohl während der Übertragung als auch beim Speichern und ist somit eine weithin anerkannte Sicherheitsmaßnahme, die die Compliance-Standards mehrerer Aufsichtsbehörden erfüllt, die für die Gewährleistung der Datensicherheit verantwortlich sind. Die Datentokenisierung ist besonders für Finanztransaktionen sehr beliebt geworden.

Die Tokenisierung von Daten ähnelt der Praxis der Vor-Digital-Ära, bei der U-Bahn-Token oder Spiel-Token in einer Videospielhalle verwendet wurden, um echtes Geld zu ersetzen. In beiden Fällen hatten die Tokens nur innerhalb ihres jeweiligen Systems einen Wert und konnten nicht anderweitig verwendet werden—ein U-Bahn-Token konnte nur verwendet werden, um eine Fahrt mit dieser U-Bahn zu kaufen, und ein Videospiel-Token konnte nur verwendet werden, um ein Videospiel in dieser Halle zu spielen.

Ein Daten-Token, das erstellt wurde, um Ihre monatliche Transaktion mit Netflix abzuschließen, hat außerhalb von Netflix keinen Wert. Ein Daten-Token, das erstellt wurde, um Ihre monatliche Transaktion mit Netflix abzuschließen, hat außerhalb von Netflix keinen Wert. Während ein U-Bahn-Token jedoch nur für eine Fahrt verwendet werden kann, kann ein Daten-Token einmalig oder wiederholt verwendet werden (z.B. zur Bezahlung eines wiederkehrenden Abonnements).

Wo wird die Tokenisierung eingesetzt?

Bei weitem die häufigste Verwendung der Datentokenisierung ist in der Zahlungsabwicklung, insbesondere bei Kreditkartenzahlungen. Während sich dieser Artikel auf die Tokenisierung von Daten als Methode zur Sicherung sensibler Daten konzentriert, beachte, dass du den Begriff auch in anderen Kontexten antreffen kannst (zum Beispiel steht der Begriff Tokenisierung im Blockchain-Bereich für den Besitz von physischen oder digitalen Vermögenswerten wie NFTs).

Der Austausch tokenisierter Zahlungsdaten über das Internet reduziert die Risiken beim Austausch echter Kreditkarteninformationen. Das für eine Zahlung erstellte Token ist einzigartig für den Zahler und den Zahlungsempfänger und ermöglicht es dem Zahlungsabwickler zu identifizieren, wer eine Zahlung vornimmt, ohne sensible Informationen wie den echten Namen oder die Kreditkartennummer auszutauschen. Auf ähnliche Weise ist die Tokenisierung auch die Grundlage für die Funktionalität von mobilen Wallets wie Apple Pay oder Android Pay.

Bei mobilen Wallets wie Apple Pay oder Android Pay speichert das Mobiltelefon nur ein Token, keine tatsächliche Kreditkartennummer. Wenn das Telefon beispielsweise in der Nähe des Zahlungsterminals gehalten wird, wird nur das Token übertragen, um die Zahlung abzuschließen. Wenn das Telefon nahe an das Zahlungsterminal gehalten wird, wird zum Beispiel nur das Token übertragen, um die Zahlung abzuschließen. Während die Zahlungsabwicklung der Ort ist, an dem du am häufigsten tokenisierte Daten siehst, kann die Tokenisierung eine Vielzahl von Daten in verschiedenen Einstellungen schützen.

Obwohl tokenisierte Daten am häufigsten bei der Zahlungsabwicklung verwendet werden, kann Tokenisierung auch in vielen anderen Bereichen zum Schutz unterschiedlicher Daten eingesetzt werden. Zum Beispiel können Gesundheitssysteme sensible Daten einer Person (wie Name, Geburtsdatum und medizinische ID-Nummer) in einen Token umwandeln. Dies bietet sowohl der Person als auch den Betreuern überprüfbaren und sicheren Zugriff auf Gesundheitsdaten, ohne die sensiblen Daten der Person unnötig zu exponieren. Dies bietet sowohl dem Einzelnen als auch den Pflegekräften überprüfbaren und sicheren Zugang zu Gesundheitsdaten, ohne die sensiblen Daten der Person unnötig offenzulegen. Diese Art der Tokenisierung von Daten zum Schutz sensibler Informationen wird häufig eingesetzt, um die von Gesetzen wie DSGVO und HIPAA festgelegten Standards zu erfüllen.

Wie funktioniert die Tokenisierung?

In einer typischen Situation, in der Datentokenisierung verwendet wird, sind drei Parteien beteiligt:

• Die Person, deren Daten geschützt werden müssen.
• Die mittlere Partei, mit der die Person interagiert (wie eine Arztpraxis oder Händler).
• Ein Drittanbieter, der die Daten speichert oder die Transaktion verarbeitet (wie ein Gesundheitssystem, ein Kreditkartenunternehmen oder eine auf den Umgang mit Tokens spezialisierte Firma). Diese dritte Partei speichert alle echten Daten auf einer hochsicheren Datenbank, manchmal auch als Tresor bezeichnet.

Das Token wird von der dritten Partei erstellt – derjenigen, die mit der Speicherung der echten Daten beauftragt ist – auf unterschiedliche Weise. Die meisten Erstellungsprozeduren—unter Verwendung eines Zufallsgenerators, Hashing der Originaldaten oder Zuweisung des nächsten Tokens auf einer voreingestellten Liste oder einem Index—ergeben ein Token, das nicht “dekodiert” werden kann. Gelegentlich wird ein Token unter Verwendung von Verschlüsselung erstellt, was zu einem Token führt, das theoretisch entschlüsselt werden kann. Ein Token kann auch teilweise maskiert werden. Beispielsweise wird eine zufällige Nummer verwendet, um die ersten 12 Ziffern einer Kreditkartennummer zu ersetzen, sodass die letzten vier Ziffern unverändert bleiben. Dies siehst du in Aktion, wenn du eine Liste von Kreditkarten anzeigst, aus der du zur Zahlung auswählen kannst, aber nur die letzten vier Ziffern tatsächlich angezeigt werden.

Die Transaktion wird vom Drittanbieter im Auftrag des Mittelsmanns abgewickelt; der Mittelsmann (Händler oder Gesundheitsdienstleister) speichert das daraus resultierende Token in deinen Daten, aber keine tatsächlichen sensiblen Daten. Wenn sie etwas im Zusammenhang mit den Daten tun wollen (z. B. die Patientenakten einsehen, eine Gebühr für zurückgegebene Artikel zurückerstatten oder eine monatliche Gebühr für ein Abonnement verarbeiten), wenden sie sich an den Drittanbieter und legen das Token vor. Der Drittanbieter schaut in seinem Token Vault nach den echten Daten und liefert die angeforderten Transaktionsdaten oder verarbeitet die angeforderte Transaktion, ohne sensible Daten wie eine Kreditkartennummer zurückzusenden.

Beispiel für die Tokenisierung in der Praxis

Schauen wir uns ein Beispiel für die Tokenisierung von Daten an, bei dem ein Online-Händler die Zahlungsinformationen eines Kunden für zukünftige Käufe speichert (dieses Szenario tritt normalerweise am Ende einer Transaktion auf). Stelle dir vor, du hast eine Bestellung aufgegeben und deine Zahlungsmethode angegeben. Der Händler wird dir dann mitteilen, dass deine Zahlung bestätigt wurde, und (normalerweise) anbieten, deine Zahlungsmethode für zukünftige Verwendung zu speichern. Die Speicherung von Zahlungsinformationen kann zukünftige Transaktionen vereinfachen, aber du möchtest sicherstellen, dass deine Zahlungsinformationen nicht dem Risiko ausgesetzt sind, offengelegt zu werden (zum Beispiel durch einen Datenverstoß).

In diesem Fall, nachdem der Händler die Zahlungsanforderung über ein gesichertes “Payment Gateway” (ein vom Händler beauftragter Vermittler, um Transaktionen zu verarbeiten und mit dem endgültigen Zahlungsabwickler umzugehen) an den Zahlungsprozessor übermittelt hat, speichert das Payment Gateway die echten Transaktionsdaten in seinem sicheren Token Vault. Dies umfasst die tatsächliche Kreditkartennummer sowie ein generiertes Token; nur dieses Token wird dem Händler zurückgegeben. Das Payment Gateway sendet das Token auch an den Zahlungsprozessor, der das Token schließlich verwendet, um die Transaktion abzuschließen.

Der Händler speichert dann das Token als Nachweis der Transaktion, aber keine tatsächlichen Zahlungsdaten. Der Händler kann dann anbieten, die Kreditkarte des Kunden für zukünftige Verwendung zu speichern, obwohl er wirklich nur das Token speichert. Wenn der Kunde in Zukunft erneut einen Kauf tätigt, leitet der Händler die Kaufinformationen und das zuvor gespeicherte Token über das Payment Gateway weiter. Es wird kein Austausch tatsächlicher Kreditkartendaten stattfinden.

Warum ist die Tokenisierung so sicher?

Die meisten Tokens können nicht dekodiert oder entschlüsselt werden (je nachdem, welches Verfahren verwendet wird), sodass ein abgefangenes Token während der Übertragung oder als Teil eines Datenlecks nicht entschlüsselt werden kann, um die ursprünglichen Daten preiszugeben. Tokens sind einzigartig für die Person und die Einheit, die die Daten der Person verwendet – eine einzelne Kreditkarte kann durch mehrere Tokens mit unterschiedlichen Tokens für jeden Händler dargestellt werden. Wenn die Daten eines Händlers kompromittiert werden, wird nur dieses Token offengelegt und kann nicht bei anderen Händlern verwendet werden.

Die Tokenisierung von Daten gilt als sicher genug, um die von HIPAA, DSGVO und PCI DSS (Payment Card Industry Data Security Standard) festgelegten Sicherheitsanforderungen zu erfüllen. Die PCI-Standards erlauben Händlern nur dann, tatsächliche Kreditkarteninformationen in ihren eigenen Daten zu speichern, wenn sie eine starke (und teure) Verschlüsselungsinfrastruktur aufrechterhalten. Insbesondere kleine und mittelgroße Unternehmen profitieren von der Nutzung von Payment Gateways und deren hochsicheren Token Vaults, da sie dadurch wiederkehrende Zahlungen und wiederverwendbare Zahlungsformulare einrichten können, ohne ein komplexes internes Sicherheitssystem zu benötigen.

Einschränkungen der Tokenisierung

Die Tokenisierung von Daten ist ideal für einige Anwendungen, wie wir bei Kreditkartenzahlungen und den Zugangsdaten für Konten gesehen haben. Jedoch ist die Tokenisierung von Daten etwas eingeschränkt, da sie am besten für Daten funktioniert, die einem einheitlichen, vorhersehbaren Format entsprechen (wie eine 16-stellige Kreditkartennummer oder Sozialversicherungsnummer).

Wie die Tokenisierung Einzelpersonen zugute kommt

Diese Methode zur Sicherung sensibler Informationen erhöht die Sicherheit und den Schutz der Privatsphäre der persönlichen Daten einer Person, von finanziellen Daten bis hin zu Gesundheitsdaten und mehr. Es macht auch tägliche Aufgaben einfacher und sorgenfreier. Zum Beispiel ist die Verwendung Ihres Mobiltelefons und Apple Pay an einer Tankstelle einfacher als das Durchziehen oder Tippen einer Kreditkarte und kann sicherer sein.