Glossar

"Card on File"-Transaktionen sind Transaktionen, bei denen die Kartendaten gespeichert, anstatt vom Karteninhaber jedes Mal erneut eingegeben zu werden. Dabei gibt es zwei Wege, diese Transaktionen zu initiieren:

• Durch den Karteninhaber, wenn seine Zahlungsdaten zur Wiederverwendung beim Checkout gespeichert wurden.
• Durch den Händler bzw. Merchant, wenn der Karteninhaber diesem die Erlaubnis erteilt hat, Zahlungen mit der Karte durchzuführen, z.B. für wiederkehrende Zahlungen wie Abonnements.

"Card on File" wird häufig mit COF abgekürzt. Die Abkürzung COF kann auch auf "Credentials on File" verweisen, was dasselbe bedeutet - gespeicherte Zahlungsinformationen werden verwendet, anstatt vom Karteninhaber beim Bezahlen eingegeben zu werden. 

Das Speichern von Kreditkartendaten erfordert die Einhaltung strenger PCI DSS-Anforderungen, die von den Card Schemes vorgeschrieben werden. Es gibt verschiedene PCI DSS Zertifizierungsstufen, die vom Volumen der verarbeiteten Transaktionen und davon abhängen, ob die Kreditkartendaten direkt oder von einem Drittanbieter gespeichert werden.

Die PCI DSS-Anforderungen garantieren, dass sensible Karteninformationen sicher gespeichert werden, um sie vor Hackerangriffen, Datenlecks, Betrügern, usw. zu schützen. Da die Erfüllung dieser Anforderungen kostspielig ist und jährliche Audits erfordert, lagern Merchants die Speicherung von Kartendaten in der Regel an einen 3d Party Provider mit sicherem Vault aus (z. B. IXOPAY). Die meisten Händler bevorzugen diese Option, weil sie dadurch ihren PCI-DSS-Umfang und die dazugehörigen Kosten stark reduzieren können. Statt jährlicher Audits ist lediglich ein einfacher Selbstbewertungsfragebogen (SAQ - self assessment questionnaire) erforderlich. Wenn die Händler jedoch alle Anforderungen erfüllen, über die erforderliche Infrastruktur verfügen und bereit sind, sich jährlichen Audits zu unterziehen, können sie die Kreditkartendaten auch in ihrem eigenen PCI Vault speichern.

Um sicherzustellen, dass Merchants "Card on File"-Transaktionen verarbeiten können, ohne die Kreditkartendaten lokal zu speichern, wird ein Sicherheitsmechanismus namens Tokenisierung verwendet. Wenn der Kunde seine Kreditkartendaten zum ersten Mal eingibt, werden die Daten direkt an einen Vault Provider gesendet und dort in verschlüsselter Form gespeichert. Anschließend wird vom Vault Provider ein sogenanntes Token generiert. Dieses Token besteht aus einer Reihe zufälliger Zeichen, die nicht zurückverfolgt werden können, um die zugrundeliegenden Kreditkartendaten zu ermitteln. Die Händler können dieses Token speichern, ohne das Risiko einzugehen, sensible Daten preiszugeben und verwenden ihn als Referenz für die im Vault gespeicherten Kartendaten.

Bei der Durchführung einer Card-on-File Transaktion übermittelt der Händler/Merchant den Token als Teil der Transaktion, zusammen mit anderen Informationen wie dem zu belastenden Betrag. Dieses Token wird dann verwendet, um die zugehörigen Kreditkartendaten im sicheren Vault zu ermitteln. Die rohen Kartendaten werden anschließend direkt an den Payment Provider zur Abwicklung weitergeleitet.

Die beste Möglichkeit für Händler, den Schutz und die sichere Speicherung von Kreditkartendaten zu gewährleisten, ist die Nutzung eines 3d Party PCI Vault. Dadurch muss der Händler nicht mehr sicherstellen, dass seine Infrastruktur dem Standard entspricht und es entfällt die Notwendigkeit einer kostspieligen jährlichen PCI DSS-Neuzertifizierung. Außerdem wird die Haftung vom Merchant auf den Vault Provider verlagert.

Wird ein Drittanbieter mit der Speicherung von Kreditkartendaten beauftragt, sollten Merchants jedoch sicherstellen, dass die Daten niemals direkt vom Händler selbst abgerufen oder verarbeitet werden können. Die verschlüsselten Kartendaten sollten direkt beim Checkout an den Vault Provider gesendet werden.

• Sie erleichtern den Bezahlvorgang für Return-Customers, indem die Daten nicht bei jedem Kauf erneut eingegeben werden müssen. Stattdessen können die Kunden einfach eine zuvor verwendete Zahlungsmethode auswählen, die beim letzten Kauf bereits abgespeichert wurde. Der Effekt: Beschleunigte Kaufabwicklung, kein Risiko einer Eingabe von falschen Informationen und geringere Abbruchquoten.

• Sie ermöglichen Recurring Payments, bei denen Merchants die Karte in regelmäßigen Abständen belasten, z. B. für Abonnements. Sobald eine Zahlung fällig ist, belastet der Merchant die Karte, ohne dass der Kunde selbst agieren muss. Die Händler müssen jedoch sicherstellen, dass die Kreditkartendaten immer auf dem neuesten Stand sind, da sonst die Gefahr besteht, dass eine Zahlung fehlschlägt, wenn sich die Kartendaten geändert haben (z. B. wenn eine neue Karte ausgestellt wird, weil die alte abgelaufen ist).

Händler können entweder einen wie bei IXOPAY verwenden oder sich auf die von den Kartensystemen ausgegebenen Netzwerk-Tokens verlassen.

Bei der Verwendung eines Account bzw. Card Updaters werden die Kreditkartendaten regelmäßig an das Kartensystem gesendet, um zu prüfen, ob sich die Kartendaten geändert haben. Ist dies der Fall, werden die im Vault gespeicherten Informationen entsprechend aktualisiert und so sichergestellt, dass die Zahlungen weiterhin mit der Karte abgewickelt werden können.

Netzwerk-Tokens sind Token, die direkt von den Kartensystemen ausgegeben werden. Die Card Schemes stellen sicher, dass die zugehörigen Karteninformationen auf dem neuesten Stand gehalten werden. Das Netzwerk-Token behält seine Gültigkeit, auch wenn sich die zugrundeliegenden Kartendaten ändern, und garantiert so, dass die Karte weiterhin belastet werden kann.