Network tokens: the card number is quietly being retired
Netzwerk-Token: Die Kartennummer wird leise abgeschafft
The card number is being retired. Not announced, not legislated — replaced, transaction by transaction, with tokens that look like card numbers and behave very differently. It is the most significant change to card payments in a decade and almost nobody outside the industry has noticed.
What a network token is
A network token is a substitute card number issued by the card network, tied to a specific merchant or channel. The merchant stores the token instead of the real number. If the token is stolen, it is useless anywhere else.
The security benefit is genuine and large. A breach at a merchant holding tokens yields data that cannot be used elsewhere — which removes the entire economic basis for the attack.
The second benefit is quieter and, commercially, bigger. When a card is reissued — lost, expired, compromised — the token survives. The network updates the mapping behind it, and the merchant’s stored credential keeps working. For a subscription business, involuntary churn from expired cards is a substantial and entirely avoidable revenue loss, and tokenisation removes most of it.
The part worth thinking about
Consider what that continuity means. Before tokens, a customer who wanted to stop a recurring charge had a blunt instrument: cancel the card. It was crude, it worked, and it worked without the merchant’s cooperation.
With network tokens, that instrument is gone. The card is replaced, the token persists, the charge continues. The customer must now cancel through the merchant — the party with an interest in making cancellation difficult.
This is not a defect anyone designed. It is a straightforward consequence of a system built to preserve credentials working exactly as intended. But it removes a consumer remedy that people relied on, and it removes it silently: nothing tells the cardholder that their new card is already connected to the subscriptions the old one paid.
The networks have addressed the visibility side — subscription management interfaces where cardholders can see and stop recurring payments on their card. Whether issuers surface those interfaces prominently is a different question, and in our observation the answer varies considerably.
Who ends up holding the map
Tokenisation also relocates something valuable. The mapping between token and real card number sits with the network’s token service. That service now holds a structural record of which merchants hold credentials for which cardholders — an unusually complete picture of consumer commercial relationships, held by parties whose business already includes data services.
We are not alleging misuse. We are noting that a dataset of this shape did not previously exist in one place, and that its creation was a side effect of a security measure rather than a decision anyone debated.
Who benefits, in order
Merchants benefit most: fewer failed payments, less churn, reduced breach exposure. Networks benefit substantially: the tokenisation service is a product, it deepens the merchant relationship, and it makes the network harder to disintermediate. Issuers benefit moderately. Cardholders benefit from the security and lose a control they had.
That distribution is worth stating because tokenisation is invariably presented as a consumer security measure. It is one. It is also a commercial infrastructure play, and both things are true at once.
What we would want visible
Three things. That cardholders are told, at reissue, which merchants hold a token against their card. That stopping a token is available in one step, from the bank, without contacting the merchant. And that the retention rules for token-to-card mapping data are published.
None of these is technically difficult. All of them run against someone’s commercial interest, which is generally why obvious things do not happen.
Sources: EMVCo Payment Tokenisation Specification; Visa and Mastercard published documentation on network tokenisation and card-on-file services; issuer subscription management interfaces. This article contains opinion, marked as such.
Die Kartennummer wird abgeschafft. Nicht angekündigt, nicht per Gesetz — sondern Transaktion für Transaktion ersetzt durch Token, die wie Kartennummern aussehen und sich sehr anders verhalten. Es ist die größte Änderung im Kartengeschäft seit einem Jahrzehnt, und außerhalb der Branche hat es kaum jemand bemerkt.
Was ein Netzwerk-Token ist
Ein Netzwerk-Token ist eine Ersatzkartennummer, ausgegeben vom Kartennetzwerk und an einen bestimmten Händler oder Kanal gebunden. Der Händler speichert den Token statt der echten Nummer. Wird der Token gestohlen, ist er anderswo wertlos.
Der Sicherheitsgewinn ist echt und groß. Ein Datenabfluss bei einem Händler, der Token hält, liefert Daten, die nirgends sonst verwendbar sind — womit die wirtschaftliche Grundlage des Angriffs entfällt.
Der zweite Nutzen ist leiser und kommerziell größer. Wird eine Karte neu ausgegeben — verloren, abgelaufen, kompromittiert —, überlebt der Token. Das Netzwerk aktualisiert die Zuordnung dahinter, und das gespeicherte Zahlungsmittel des Händlers funktioniert weiter. Für ein Abogeschäft ist unfreiwillige Abwanderung durch abgelaufene Karten ein erheblicher und vollständig vermeidbarer Umsatzverlust, den Tokenisierung weitgehend beseitigt.
Der Teil, über den man nachdenken sollte
Man überlege, was diese Kontinuität bedeutet. Vor den Token hatte ein Kunde, der eine wiederkehrende Belastung stoppen wollte, ein grobes Werkzeug: die Karte sperren. Es war unelegant, es funktionierte — und es funktionierte ohne Mitwirkung des Händlers.
Mit Netzwerk-Token ist dieses Werkzeug weg. Die Karte wird ersetzt, der Token bleibt, die Belastung läuft weiter. Kündigen muss der Kunde nun beim Händler — bei der Partei mit dem Interesse, das Kündigen schwer zu machen.
Das hat niemand als Mangel entworfen. Es ist die schlichte Folge eines Systems, das Zahlungsmittel erhalten soll und genau das tut. Es nimmt aber ein Verbrauchermittel weg, auf das sich Menschen verlassen haben — und es nimmt es lautlos: Nichts sagt dem Karteninhaber, dass seine neue Karte bereits mit den Abos verbunden ist, die die alte bezahlt hat.
Die Netzwerke haben die Sichtbarkeitsseite adressiert — Verwaltungsoberflächen, in denen Karteninhaber wiederkehrende Zahlungen sehen und stoppen können. Ob die kartenausgebenden Banken diese Oberflächen prominent zeigen, ist eine andere Frage, und nach unserer Beobachtung fällt die Antwort sehr unterschiedlich aus.
Wer am Ende die Landkarte hält
Tokenisierung verlagert außerdem etwas Wertvolles. Die Zuordnung zwischen Token und echter Kartennummer liegt beim Tokendienst des Netzwerks. Dieser Dienst hält damit eine strukturelle Aufzeichnung darüber, welche Händler für welche Karteninhaber Zahlungsmittel hinterlegt haben — ein ungewöhnlich vollständiges Bild der Geschäftsbeziehungen von Verbrauchern, gehalten von Parteien, deren Geschäft ohnehin Datendienste umfasst.
Wir behaupten keinen Missbrauch. Wir halten fest, dass ein Datenbestand dieser Form vorher nicht an einer Stelle existierte — und dass seine Entstehung ein Nebeneffekt einer Sicherheitsmaßnahme war und keine Entscheidung, über die jemand diskutiert hätte.
Wer profitiert, der Reihe nach
Händler am meisten: weniger Fehlbuchungen, weniger Abwanderung, geringeres Abflussrisiko. Netzwerke erheblich: Der Tokendienst ist ein Produkt, er vertieft die Händlerbeziehung und macht das Netzwerk schwerer ersetzbar. Kartenausgebende Banken mäßig. Karteninhaber profitieren von der Sicherheit und verlieren eine Kontrolle, die sie hatten.
Diese Verteilung gehört benannt, weil Tokenisierung stets als Verbrauchersicherheitsmaßnahme präsentiert wird. Sie ist eine. Sie ist auch ein kommerzieller Infrastrukturzug, und beides stimmt gleichzeitig.
Was sichtbar sein sollte
Dreierlei. Dass Karteninhaber bei Neuausgabe erfahren, welche Händler einen Token gegen ihre Karte halten. Dass sich ein Token in einem Schritt bei der Bank stoppen lässt, ohne Kontakt zum Händler. Und dass die Aufbewahrungsregeln für die Zuordnungsdaten veröffentlicht werden.
Nichts davon ist technisch schwer. Alles davon läuft jemandem wirtschaftlich zuwider, was in der Regel der Grund ist, warum Naheliegendes nicht geschieht.
Quellen: EMVCo Payment Tokenisation Specification; veröffentlichte Unterlagen von Visa und Mastercard zu Netzwerk-Tokenisierung und Card-on-File-Diensten; Verwaltungsoberflächen der kartenausgebenden Banken. Dieser Beitrag enthält Meinung, als solche gekennzeichnet.