Kurzfassung
Tokenisierung ersetzt sensible Daten – wie Bankkontonummern oder Sozialversicherungsnummern – durch bedeutungslose Platzhalterwerte, die als Token bezeichnet werden. Im Gegensatz zur Verschlüsselung können Tokens nicht umgekehrt oder entschlüsselt werden, was gestohlene Tokens für Hacker wertlos macht. Die 2001 erstmals kommerziell eingeführte Tokenisierung ist heute eine regulatorische Anforderung in der Finanz- und Gesundheitsbranche. Obwohl es starke Sicherheits- und Compliance-Vorteile bietet, funktioniert es am besten in Kombination mit Verschlüsselung, um den zugrunde liegenden Daten-Vault zu schützen.
Wie Tokenisierung funktioniert
Bei der Tokenisierung werden sensible, private Informationen durch etwas Unkenntliches geschützt und Nutzer nennen dies ein Token. Tokens können nicht zurückverwandelt und in ihren ursprünglichen Zustand versetzt werden. Stattdessen fungiert ein Token als Ersatz für die Originaldaten.
Der Bankensektor setzt stark auf Tokenisierung, da Regulierungsbehörden dies vorschreiben. Wichtige Informationen, wie Sozialversicherungsnummern, können auch durch Tokens ersetzt werden, um sie vor Hackern zu schützen.
Die meisten Hacker hassen Token auch wirklich. Wenn es ihnen gelingt, sie zu stehlen, was Hacker:innen oft tun, sind Tokens völlig wertlos.
Wie ist die Tokenisierung entstanden?
Wir verwenden seit Jahren Token als Ersatz für Wertgegenstände. Wenn Sie jemals in einem Casino Geld gegen Jetons eingetauscht haben, haben Sie Jetons verwendet. Aber Token hielten Anfang der 2000er-Jahre Einzug in das digitale Zeitalter, und wenn wir von Computern sprechen, haben Token eine etwas andere Bedeutung.
In den späten 1990er-Jahren speicherten Websites kritische Informationen auf ihren Servern. Wenn Sie zum Beispiel eine Stellenbewerbung ausgefüllt haben, haben Sie möglicherweise ein Formular verwendet, das diese Dinge abgefragt hat:
- Rechtlicher Name
- Adressen
- Sozialversicherungsnummer
- Telefonnummer
- Bankkontonummer (für eine Bonitätsprüfung)
Das Unternehmen speicherte all diese Daten. Wenn Sie sich jemals auf eine andere Stelle bewerben wollten, war bereits alles vorausgefüllt.
Wenn Hacker:innen Schutzmaßnahmen überwinden würden, könnten sie in Datenbanken eindringen und alle möglichen wichtigen Daten darüber entwenden, wer Sie sind und was Sie haben.
Im Jahr 2001 führte TrustCommerce Tokens ein. Unternehmen könnten Bankdaten von ihren Kund:innen für wiederkehrende Zahlungen erfassen, aber das System würde ein Token ausgeben, das das Konto für wiederholte Transaktionen mit dem Benutzer verknüpft. Anstatt wichtige Informationen immer wieder offen auszutauschen, würde ein Token diese Folgekäufe absichern.
Seitdem hat sich die Tokenisierung im mainstream etabliert. Die Technologie hat sich nicht drastisch verändert. Unternehmen erstellen Token immer noch auf fast dieselbe Weise und speichern sie auch auf ähnliche Art. Aber die Verwendung von Token hat sich weit verbreitet.
Wie funktioniert Tokenisierung?
Bei der Tokenisierung werden wertvolle, nutzbare Daten in etwas umgewandelt, das weiterhin nützlich, aber viel schwerer zu stehlen ist.
Zwei Hauptarten von Token werden von der Weltbank anerkannt.
- Front End: Nutzer:innen erstellen diese Tokens, wenn sie sich für einen Online-Dienst registrieren. Diese Tokens können problematisch sein, da sie voraussetzen, dass Benutzer:innen sowohl die Funktionsweise von Tokens verstehen als auch wissen, wie man einen Token erstellt.
- Back end: Ein System erstellt automatisch Token. Die Tokenisierung erfolgt, bevor Kennungen an andere Systeme weitergegeben werden.
Unabhängig davon, ob Sie ein Token erstellen oder jemand dies für Sie übernimmt, sind einige einfache Schritte erforderlich.
- Token-Erstellung: Kein Algorithmus oder Computerprogramm vermischt die Daten. Stattdessen könnte Ihr Token beinhalten, einige Zahlen oder Buchstaben basierend auf Regeln zu ersetzen, die das System erstellt hat. Oder Ihr Token könnte aus einer Tabelle mit verfügbaren Zahlen und Buchstaben stammen. Ihr Token ist einfach das nächste in der Reihe.
- Ersetzung: Ihr Token dient als Stellvertreter für die ursprünglichen, sensiblen Daten. Sie werden es nie wieder eingeben, und das System wird es niemals über Online-Kanäle übertragen.
- Speicherung: Ihre sensiblen Daten werden unkenntlich gemacht (in der Regel durch Verschlüsselung) und in einem Vault-Speicher gespeichert.
Stellen wir uns vor, kaufen Sie online etwas mit einem Token. Als Sie sich für den Dienst registriert haben, hat die Website Ihre Daten erfasst und ein Token ausgestellt, das sich auf Ihrem Smartphone befindet. Wenn Sie die App verwenden, um eine weitere Bestellung aufzugeben, schließt das Token die Transaktion ab, und Ihre Accountinformationen bleiben im Token Vault.
Der Payment Card Industry (PCI) Security Council veröffentlicht Sicherheitsrichtlinien, die Unternehmen bei der Erstellung, Speicherung und Verwendung von Tokens befolgen sollten. Aber es gibt viel Raum für Innovationen. Einige Unternehmen entwickeln ihre eigenen proprietären Token-Lösungen, um Kundendaten zu schützen.
Welche Vorteile bietet die Tokenisierung?
Das Erstellen und Speichern von Tokens ist wohl komplizierter als das einfache Speichern von Originalwerten. Aber für viele Unternehmen ist die Tokenisierung eine entscheidende Geschäftspraxis.
Zu den Vorteilen von Tokens gehören:
- Verbesserte Sicherheit. Hacker:innen sind raffiniert, und wenn sie Man-in-the-Middle-Angriffe starten, können sie wertvolle Informationen abfangen, während diese durch das Internet übertragen werden. Da Tokens wertlos und unmöglich zu entschlüsseln sind, können sie einen Angriff stoppen, bevor er beginnt.
- Geschwindigkeit. Tokens können Automatisierung ermöglichen, was den Abschluss von Transaktionen beschleunigt. In Branchen wie der Blockchain ist dies ein wichtiger Vorteil.
- Einhaltung gesetzlicher Bestimmungen. In einigen Branchen, wie dem Gesundheitswesen, müssen Unternehmen nachweisen, dass sie sensible Daten schützen. Die Verwendung von Tokens kann eine nützliche Methode sein, um diese spezielle Anforderung zu erfüllen. Im Finanzsektor wird auch vom Payment Card Industry (PCI) Council die Verwendung von Tokens vorgeschrieben, sodass Unternehmen, die diese nicht nutzen, mit Bußgeldern rechnen müssen.
Wie verhält sich Verschlüsselung im Vergleich zur Tokenisierung?
Sowohl Verschlüsselung als auch Tokenisierung sind Methoden zum Schutz sensibler Daten, aber sie funktionieren auf Grundlegend unterschiedliche Weise. Den Unterschied zu verstehen, kann Ihnen helfen, den richtigen Ansatz für Ihre Anforderungen zu wählen.
Wie unterscheidet sich Verschlüsselung von Tokenisierung?
Verschlüsselung funktioniert, indem Rohdaten durch einen Algorithmus geleitet werden. Ein Schlüssel kehrt den Prozess um. Einige Systeme verwenden denselben Schlüssel für die Verschlüsselung und Entschlüsselung, andere nutzen ein mathematisch verknüpftes Schlüsselpaar (einen öffentlichen, einen privaten) für die Verschlüsselung und Entschlüsselung.
Die Tokenisierung unterscheidet sich, da keine Schlüssel erzeugt werden. Ein Empfänger einer Nachricht kann ein Token nicht entschlüsseln und die ursprünglichen Daten wiederherstellen. Der Empfänger verwendet das Token anstelle des ursprünglichen Werts.
Verschlüsselung | Tokenisierung | |
Kann decodiert/entschlüsselt werden | Ja, entweder mit einem öffentlichen oder privaten Schlüssel (je nach Verschlüsselungstyp) | Nicht ohne Zugriff auf den Tresor der gespeicherten Daten |
Wenn die Daten gestohlen werden, können Diebe sie verwenden | Ja, wenn sie es entschlüsseln können | Nicht ohne Zugriff auf den Tresor der gespeicherten Daten |
Bleibt funktionsfähig | Nein, es muss zuerst entschlüsselt werden | Ja, es funktioniert als Ersatz für die Daten |
Arbeitet mit ganzen Dateien und Ordnern | Ja | Nein, es funktioniert nur mit strukturierten Feldern |
Wo liegen die Grenzen der Tokenisierung?
Die Tokenisierung unterliegt in der Praxis Einschränkungen, die es vor der Einführung zu verstehen gilt.
Warum ist die Implementierung der Tokenisierung so komplex?
Zum Beispiel ist die Implementierung der Tokenisierung komplex. Viele verschiedene Unternehmen sind an Token-Lösungen beteiligt, und sie arbeiten nicht immer gut zusammen. Möglicherweise schließen Sie einen Vertrag mit einem Token-Anbieter ab, nur um dann festzustellen, dass dieser nicht mit einer anderen Lösung kompatibel ist, die Sie bereits verwenden.
Auch Tokens bieten keine vollständige Sicherheit. Sie müssen außerdem sicherstellen, dass die Daten in Ihrem Vault vor Dieben geschützt sind. Sie könnten Verschlüsselung verwenden, um diese Aufgabe zu erledigen, aber wenn Sie davon ausgehen, dass Token Ihnen die gesamte benötigte Hilfe bieten, könnten Sie Ihre Kunden echten Risiken aussetzen.
Wie Okta Sie unterstützt
Der Schutz der Privatsphäre von Kund:innen ist von entscheidender Bedeutung, insbesondere wenn Sie Informationen in der Cloud speichern. Aber herauszufinden, welche Tools Sie benötigen, und diese dann richtig einzurichten, ist nicht immer einfach.
Wir helfen Ihnen dabei. Erfahren Sie, wie Okta Ihnen dabei helfen kann, gespeicherte und übertragene Daten zu schützen.
Häufig gestellte Fragen
Was unterscheidet ein Token von den Originaldaten, die es ersetzt?
Ein Token ist ein bedeutungsloser Platzhalter, der sensible Daten wie eine Bankkontonummer oder eine Sozialversicherungsnummer ersetzt. Im Gegensatz zu den Originaldaten kann ein Token nicht rekonstruiert oder entschlüsselt werden – es funktioniert nur innerhalb des Systems, das es ausgestellt hat, wodurch es für alle, die es abfangen, nutzlos ist.
Können Hacker gestohlene Token verwenden, um auf Ihre Informationen zuzugreifen?
Nein. Tokens sind für sich genommen wertlos, da sie ohne Zugriff auf den sicheren Vault, in dem diese Daten gespeichert sind, nicht entschlüsselt oder zu den ursprünglichen Daten zurückverfolgt werden können. Dies ist einer der wichtigsten Sicherheitsvorteile der Tokenisierung gegenüber der Speicherung von Rohdaten.
Ist Tokenisierung dasselbe wie Verschlüsselung?
Nein. Verschlüsselung wandelt Daten mithilfe eines Algorithmus und eines Schlüssels um, was bedeutet, dass die Originaldaten von jemandem mit dem richtigen Schlüssel wiederhergestellt werden können. Die Tokenisierung ersetzt Daten durch ein Token, das keine mathematische Beziehung zum Original aufweist – es gibt keinen Schlüssel, um dies umzukehren.
Funktioniert die Tokenisierung für alle Datentypen?
Nein. Tokenisierung funktioniert nur mit strukturierten Datenfeldern, wie etwa einzelnen Zahlen oder Kennungen. Verschlüsselung hingegen kann auf ganze Dateien und Ordner angewendet werden, wodurch sie sich besser für unstrukturierte Daten eignet.
Ist die Tokenisierung in bestimmten Branchen gesetzlich vorgeschrieben?
Ja. Im Finanzsektor schreibt der Payment Card Industry (PCI) Council die Verwendung von Token für Zahlungsdaten vor. Im Gesundheitswesen müssen Unternehmen nachweisen, dass sensible Daten geschützt sind, und die Tokenisierung ist eine anerkannte Methode, um diese Anforderung zu erfüllen.
Schützt Tokenisierung allein sensible Daten vollständig?
Nicht ganz. Während Tokens selbst bei der Übertragung sicher sind, muss auch der Vault, in dem die Originaldaten gespeichert sind, geschützt werden – typischerweise durch Verschlüsselung. Allein auf die Tokenisierung zu vertrauen, ohne den Vault abzusichern, kann Kunden weiterhin einem Risiko aussetzen.
Referenzen
Funktionen: wiederkehrende Abrechnung. (April 2001). Internet Archive.
Tokenisierung. Die Weltbank.
Produktsicherheitsrichtlinien für Tokenisierung. (April 2015). PCI Security Standards Council.
Die Tokenisierung von Vermögenswerten revolutioniert die Finanzbranche. Sind Sie bereit? Inside Magazin
Was ist Tokenisierung und warum ist sie so wichtig? (August 2019). Forbes.
Verschlüsselung vs. Tokenisierung: Ein Blick unter die Haube. (September 2010). Tech News World.
Tokenisierung vs. Verschlüsselung: Was schützt kritische Daten besser? (Dezember 2020). eSecurity Planet.
Wahl zwischen Tokenisierung und Verschlüsselung. (Mai 2019). ISSA Journal.
