Glossar

Die PAN (Primary Account Number) ist eine einzigartige Kennung für Kreditkarten, Debitkarten und andere Zahlungskarten. Diese Nummer kann bis zu 19 Ziffern lang sein und besteht aus verschiedenen Abschnitten.

Die ersten 6 oder 8 Ziffern bezeichnen die so genannte Issuer Identification Number (IIN), d.h. die Branche, das Netzwerk und das Finanzinstitut, das die Karte ausgestellt hat. Die IIN ist auch als BIN oder Bankleitzahl bekannt. Die erste Ziffer in der BIN oder IIN gibt das Card Scheme an (z. B. beginnt American Express mit einer 3, Visa-Karten beginnen mit der Ziffer 4 und Discover mit der 6). Die restlichen Ziffern der BIN/IIN bezeichnen das Finanzinstitut, das die Karte ausgibt.

Alle anderen Ziffern mit Ausnahme der letzten Ziffer identifizieren den Karteninhaber. Die letzte Ziffer ist eine Kontrollzahl, mit der überprüft wird, ob die Kartennummer korrekt eingegeben wurde, da diese letzte Ziffer vom Wert aller anderen Ziffern abhängt.

Die PANs von Kredit- und Debitkarten stellen sensible Finanzdaten dar und dürfen nur in PCI DSS-konformen Vaults gespeichert werden, die strengen Sicherheitsregeln unterliegen. Bedingt werden diese von den Card Schemes selbst. Da die PCI DSS-Zertifizierung teuer ist und jährlich durchgeführt werden muss, lagern die meisten Händler die Speicherung der PANs in den Vault eines Drittanbieters aus. Dadurch verringert sich der PCI DSS-Umfang für die Händler erheblich.

Wenn ein Verbraucher zum ersten Mal eine PAN eingibt, die gespeichert werden soll - entweder weil dieser sich für die Speicherung seiner Zahlungsdaten entschieden hat oder weil er einen Abonnementvertrag abgeschlossen hat - wird die PAN direkt an den Vault zur Speicherung gesendet. Es wird ein Token generiert und an den Händler zurückgeschickt. Dieses Token kann vom Händler gespeichert und für nachfolgende Transaktionen mit der Karte verwendet werden. Token enthalten keine sensiblen Informationen, sondern sind lediglich eine einzigartige Kennung, die zum Aufrufen der Kartendaten verwendet wird.

Um bei einer Card-on-File-Transaktion auf eine im Vault gespeicherte PAN verweisen zu können, muss der Händler dieses Token der Transaktion beifügen. Der Payment Provider oder die Payment Orchestration Plattform sucht dann nach der entsprechenden PAN und leitet sie zusammen mit den Transaktionsdaten zur Verarbeitung weiter. Auf diese Weise wird sichergestellt, dass die Händler die PAN nie direkt bearbeiten müssen.

Kartendaten können sich im Laufe der Zeit ändern, da sie über ein Ablaufdatum verfügen und daher regelmäßig neu ausgestellt werden. Das bedeutet, dass Transaktionen mit der Karte nicht mehr möglich sind, ohne die Kartendaten beim Checkout manuell zu aktualisieren.

Dabei gibt es zwei Methoden, um sicherzustellen, dass die Kartendaten stets auf dem neuesten Stand sind und für die Verarbeitung von Card-on-File Transaktionen verwendet werden können: ein Account Updater und Netzwerk-Tokenisierung.

Ein Account-Updater prüft regelmäßig, ob eine Karte aktualisiert wurde, indem er geupdatete Informationen von den Card Schemes anfordert. Wenn sich die Kartendaten seit der letzten Abfrage geändert haben, werden die aktualisierten Kartendaten zurückgegeben und können in dem sicheren Vault, in dem die PAN gespeichert ist, aktualisiert werden.

Die Netzwerk-Tokenisierung hingegen verwendet Token, die direkt von den Card Schemes ausgegeben werden. Die Issuer verwalten den Lebenszyklus des Tokens und stellen sicher, dass die Kartendaten, auf die der Token verweist, aktuell sind. Änderungen an den Kartendaten, z.B. bei der Neuausstellung einer Karte, machen das Token, das von den Händlern gespeichert wird, nicht ungültig - ganz im Gegensatz zu Token, die von PSPs ausgegeben werden.

IXOPAY bietet einen sowohl einen Account Updater als auch Netzwerk-Tokenisierung an.