Visa vs. Mastercard: Warum „Copy-Paste“ bei der Tokenisierung scheitert
Wer glaubt, er könne die IT-Schnittstelle für Visa bauen und den Code dann einfach für Mastercard kopieren, wird im Projektverlauf ein böses Erwachen erleben. Auf den ersten Blick folgen beide dem EMVCo-Standard. Doch wie so oft im Zahlungsverkehr liegt der Teufel (und der Projekterfolg) im Detail.
Als Berater sehe ich oft, dass Banken beide Projekte parallel starten und Synergien erwarten, die es technisch so nicht gibt. Hier sind die kritischen Unterschiede, die Sie kennen müssen:
- Das „Binding“ Konzept: Visa und Mastercard haben unterschiedliche Philosophien, wenn es um die Verknüpfung von Gerät und Token geht. Während Visa oft sehr stark auf die Reputation des Geräts (Device Score) setzt, fordert Mastercard in bestimmten Szenarien andere kryptografische Beweise bei der Provisionierung. Das beeinflusst direkt Ihre „Yellow Path / Green Path“-Strategie. Was bei Visa „durchrutscht“, kann bei Mastercard eine step-up Authentication auslösen.
- Datenfelder in der Autorisierung: Wenn eine Token-Transaktion reinkommt, sieht diese anders aus als eine Kartenzahlung. Beide Schemes nutzen unterschiedliche Felder im ISO-8583 Protokoll, um den „Token Assurance Level“ zu kommunizieren. Interpretieren Sie diese Felder falsch, lehnen Sie valide Transaktionen ab. Ein klassischer Fehler: Das Ablaufdatum des Tokens weicht oft vom Ablaufdatum der physischen Karte ab. Wer hier stur auf das Datum der Plastikkarte validiert, verliert Umsätze.
- Lifecycle-APIs: Die Befehle, um einen Token zu pausieren oder zu löschen, heißen nicht nur anders, sie verhalten sich auch asynchron unterschiedlich. Bei einem Scheme ist die Sperre „sofort“ wirksam, beim anderen kann es durch Batch-Prozesse oder Caching minimale Verzögerungen geben, die im Risikomanagement berücksichtigt werden müssen.
Das Fazit für Entscheider: Es gibt keinen „besseren“ Service – beide sind hochprofessionell. Aber die Harmonisierung beider Welten im Backend der Bank ist die eigentliche Herausforderung. Eine intelligente Middleware muss die „Sprache“ von VTS und MDES übersetzen und dem Kernbankensystem eine einheitliche Logik präsentieren. Genau an dieser Schnittstelle entscheidet sich, ob Ihr Tokenisierungsprojekt in 6 Monaten live geht oder in einer Endlosschleife von Zertifizierungen stecken bleibt.