Welche technischen Anforderungen müssen für eine PCI-DSS-konforme Tokenisierung der Zahlungsdaten in einer Headless-Architektur erfüllt werden?

Die technische Umsetzung einer PCI-DSS-konformen Tokenisierung in einer Headless-Architektur zielt primär auf die Minimierung des PCI-Scopes ab. Wir setzen hierbei auf das Prinzip der Client-seitigen Tokenisierung, um zu verhindern, dass Primäre Accountnummern (PAN) die Infrastruktur des Händlers berühren.

In einer Headless-Umgebung wird das Frontend (Storefront) vollständig vom Backend (Commerce Engine) getrennt. Die Anforderungen an die Tokenisierung gliedern sich in folgende technische Komponenten:

1. Client-seitige Datenerfassung: Die Eingabefelder für Kreditkartendaten dürfen nicht Teil des eigenen DOM sein. Wir implementieren Hosted Fields oder iFrames, die direkt vom Payment Service Provider (PSP) bereitgestellt werden. Dadurch fließen die sensiblen Daten direkt vom Browser des Kunden zum PSP.
2. Token-Austausch: Der PSP gibt nach erfolgreicher Validierung einen Token zurück. Dieser Token ist ein nicht-sensibler Referenzwert, der keinen Rückschluss auf die ursprüngliche PAN zulässt.
3. API-Kommunikation: Das Frontend übermittelt diesen Token via REST- oder GraphQL-API an das Headless-Backend. Die Übertragung muss über TLS 1.2 oder höher verschlüsselt sein.
4. Backend-Speicherung: Im Backend werden ausschließlich die Token gespeichert. Die Orchestrierung dieser Datenströme erfordert präzises Data Engineering, um die Konsistenz zwischen Token, Transaktions-ID und Kundenprofil zu gewährleisten, ohne gegen Compliance-Regeln zu verstoßen.

Die folgenden Anforderungen definieren die technische Umsetzung:

Zusätzlich ist eine strikte Trennung der Netzwerke und eine regelmäßige Überprüfung der API-Endpunkte notwendig, um sicherzustellen, dass keine unbefugten Zugriffe auf die Token-Referenzen erfolgen.

Wir empfehlen den konsequenten Verzicht auf eigene Server-seitige Tokenisierungslösungen und den Einsatz von Hosted Fields, da jede Form der PAN-Berührung im eigenen Backend die Komplexität der Zertifizierung und das Haftungsrisiko unverhältnismäßig steigert.