Shared Payment Token
Ein Shared Payment Token ist eine Ersatznummer, die bei einer Kartenzahlung anstelle der echten Kartennummer weitergereicht wird. Sie funktioniert nur für einen bestimmten Zweck und ist deshalb für Diebe weitgehend wertlos.
Wenn du online mit Karte bezahlst, wandert deine sechzehnstellige Kartennummer normalerweise durch mehrere Firmen. Der Shop bekommt sie, sein Zahlungsdienstleister auch, und irgendwo wird sie gespeichert. Genau das ist das Problem: Wer die Nummer stiehlt, kann sie überall einsetzen. Ein Shared Payment Token ist eine Ersatznummer, die an dieser Stelle die echte Nummer vertritt. Sie sieht aus wie eine Kartennummer, gehört aber nur zu einer bestimmten Beziehung, etwa zu genau diesem einen Shop oder zu genau diesem einen Handy. Nur die Bank und der Kartenanbieter wissen, welche echte Karte dahintersteckt.
Warum eine gestohlene Ersatznummer wenig wert ist
Datenlecks bei Online-Händlern sind Alltag. Erbeuten Angreifer echte Kartennummern, können sie damit in beliebigen anderen Shops einkaufen. Erbeuten sie dagegen Tokens, ist die Beute meist unbrauchbar. Denn das Token ist an einen Empfänger gebunden und wird woanders schlicht abgelehnt.
Für dich als Kunde hat das noch einen praktischen Vorteil. Wenn deine Karte abläuft oder du eine neue bekommst, bleibt das Token gleich. Die Bank hinterlegt einfach die neue Kartennummer dahinter. Abos für Musik oder Streaming laufen dadurch weiter, ohne dass du überall neue Daten eintippen musst.
Auch für Händler ist das attraktiv, allerdings aus einem anderen Grund. Wer echte Kartendaten speichert, unterliegt strengen Sicherheitsauflagen und muss regelmäßig geprüft werden. Wer nur Tokens speichert, hat deutlich weniger Aufwand und weniger Haftungsrisiko.
Wie aus der Kartennummer eine Ersatznummer wird
Im Hintergrund arbeitet ein sogenannter Token-Service, betrieben etwa von Visa, Mastercard oder der Bank. Gibst du deine Karte das erste Mal ein, fragt der Händler dort an. Der Token-Service prüft die Karte und gibt eine Ersatznummer zurück. Die Zuordnung zwischen Token und echter Karte liegt allein in seinem Tresor.
Wichtig ist: Ein Token wird nicht berechnet, sondern zugelost. Aus dem Token lässt sich die echte Nummer also nicht zurückrechnen, auch nicht mit sehr viel Rechenleistung. Das unterscheidet Tokenisierung von Verschlüsselung. Verschlüsselte Daten kann man mit dem passenden Schlüssel wieder lesbar machen, ein Token dagegen ist ohne die Tabelle des Token-Service bedeutungslos.
Bei jeder späteren Zahlung schickt der Händler nur noch das Token los. Der Token-Service tauscht es unterwegs gegen die echte Nummer und leitet die Anfrage an die Bank weiter. Oft kommt zusätzlich ein kurzlebiger Prüfcode dazu, der nur für diese eine Zahlung gilt. Das Wort „shared“ bedeutet dabei, dass mehrere Beteiligte dasselbe Token benutzen dürfen, etwa ein Shop und dessen Zahlungsdienstleister. Ein Token, das jeder verwenden darf, wäre dagegen kein Sicherheitsgewinn.
Vom Handy-Bezahlen bis zum KI-Einkaufsassistenten
Am häufigsten begegnet dir die Technik beim Bezahlen mit dem Handy. Apple Pay und Google Pay legen deine echte Kartennummer nie auf dem Gerät ab, sondern nur ein gerätegebundenes Token. Geht das Handy verloren, wird dieses eine Token gesperrt, die Karte selbst bleibt gültig. Dasselbe Prinzip steckt hinter dem gespeicherten Bezahlen bei großen Online-Händlern.
In den Tech-Nachrichten taucht der Begriff seit 2025 vor allem im Zusammenhang mit KI-Assistenten auf. Programme, die selbstständig für dich einkaufen sollen, brauchen eine Zahlungsmethode. Ihnen die echte Kartennummer zu geben, wäre riskant. Stattdessen bekommen sie ein Token mit engen Grenzen, etwa einem Höchstbetrag oder einem einzigen erlaubten Händler.
Ein verbreiteter Irrtum ist, ein Token sei dasselbe wie eine virtuelle Kreditkarte. Der Unterschied liegt in der Sichtbarkeit. Eine virtuelle Karte ist ein eigenes Produkt, das du selbst anlegst und verwaltest. Ein Shared Payment Token entsteht automatisch im Hintergrund, und du bekommst es normalerweise nie zu Gesicht.