DataTokenization.
Tokenisierung ersetzt sensible Werte durch nicht sensible Stellvertreter. Sie reduziert Klartextbestände und kann Datenformate erhalten. Der Schutz hängt jedoch vollständig daran, wer Tokens auflösen darf, wie Zuordnungen geschützt werden und ob Analysezwecke wirklich keine Rückführung benötigen.
Marktbild: mittel bis hoch in Payment, Analytics und Cloud-Datenplattformen. Zwölf Werkzeuge nutzen Vault-, vaultlose, formatbewahrende oder Proxy-basierte Modelle mit deutlich verschiedenen Vertrauensgrenzen.
Ein Token ist kein anonymes Datum.
Reversible Tokenisierung bleibt personenbezogen oder vertraulich, sobald eine Stelle die Zuordnung wiederherstellen kann. Anonymisierung, Maskierung und Verschlüsselung verfolgen andere Ziele und dürfen nicht sprachlich vermischt werden.
Prüfe Vault oder vaultlos, reversibel oder irreversibel, Format- und Referenzerhalt, Zugriff auf Detokenisierung, Mandantentrennung, Regionen, Datenfluss, Latenz, Batch und Streaming, Schlüsselhaltung, PCI-DSS-Umfang, Analytics und Exit.
Zwölf Werkzeuge im Vergleich.
Der Markt teilt sich in datenzentrierte Plattformen für Unternehmensdaten, die meist vaultlos und formaterhaltend tokenisieren (Protegrity, comforte, OpenText Voltage, Thales, Fortanix), und in gehostete Vault-Dienste, die vor allem Zahlungsdaten aus der eigenen Umgebung fernhalten (VGS, Basis Theory, Skyflow, PCI Proxy, IXOPAY). TokenEx und IXOPAY haben sich 2024 zusammengeschlossen (angekündigt 17.04.2024), heute tritt TokenEx unter dem Namen IXOPAY auf. Cloud-Anbieter und Secrets-Plattformen bieten Tokenisierung als Teilfunktion an, etwa Google Sensitive Data Protection oder HashiCorp Vault Transform (HashiCorp seit 28.02.2025 bei IBM). Mit comforte (Sitz Wiesbaden) ist ein Anbieter mit DACH-Bezug vertreten.
Vault: vault-basiert · Vaultless: ohne Token-Speicher · PCI-Scope: PCI-DSS-Scope-Reduktion ausdrücklich · Formaterhaltend: formaterhaltende Token · SaaS: als Dienst · On-Prem: Betrieb On-Premises · Regeln: Detokenisierung nach Regeln/Rollen. ● = auf offizieller Hersteller- oder Projektseite beschrieben, – = nicht belegt (nicht zwingend nicht vorhanden). Auswahl nicht abschliessend, keine Rangliste. Stand: Oktober 2026.
Protegrity Data Protection Platform (Vaultless Tokenization)
Protegrity USA, Inc.
Schutz auf Feldebene über SaaS-, Cloud- und On-Premises-Umgebungen hinweg.
Token werden algorithmisch erzeugt, ohne zentralen Vault, und behalten das Originalformat.
Einbindung über native Integrationen, Proxies oder SDKs laut Hersteller ohne Datenverschiebung.
Richtlinien nach Rolle, Region oder Datentyp werden zentral durchgesetzt; Originalwerte nur unter strenger Richtlinienkontrolle.
Vaultlose, formaterhaltende Tokenisierung mit zentraler Richtlinie über viele Datenspeicher.
PCI-Scope-Reduktion nur allgemein als Audit-Vereinfachung beschrieben; Betriebsmodelle des Herstellers auf der Seite nicht einzeln benannt.
CipherTrust Tokenization
Thales Group
Tokenisiert sensible Daten wahlweise vault-basiert oder vaultlos, allein oder mit Maskierung und Schwärzung.
Token behalten das Format der Originaldaten, sodass Datenbanken kein neues Schema brauchen.
Native Spaltenschutz-Option, Anwendungs-SDK und REST-Dienst, bei dem Aufrufe transparent abgefangen werden.
Laut Thales haben Cloud-Anbieter keinen Zugriff auf Token-Vaults oder Schlüssel; Zugriff für berechtigte Nutzer über zentrale Verwaltung.
Vault-basiert und vaultlos in einem Produkt, mit mehreren Integrationswegen.
Regelbasierte Detokenisierung nach Rollen auf der Produktseite nicht beschrieben; Begriffe zu statischer und dynamischer Maskierung uneinheitlich.
comforte SecurDPS
comforte
Vaultlose Tokenisierung, die sich direkt in Datenpipelines einbindet, u. a. für Kartennummern (PAN).
Formaterhaltende Token, daneben Verschlüsselung, FPE, formaterhaltender Hash und Maskierung.
Anbindung per API; RBAC über das Unternehmens-IAM, Audit-Trail je Tokenisierungs- und Detokenisierungsanfrage.
Sitz in Wiesbaden (DE); Betrieb beim Kunden, hybrid oder vollständig in der Cloud.
Vaultlose Tokenisierung mit Rollenbindung für Detokenisierung, mit Anbieter aus dem DACH-Raum.
Angaben stammen aus Herstellerbeiträgen (2024/2025), die Produktseite nennt SecurDPS nicht namentlich.
OpenText Voltage SecureData (Secure Stateless Tokenization)
OpenText Corporation
Kryptografische und nicht kryptografische Tokenisierung strukturierter Felder.
Zustandslose Tokenisierung ohne Token-Datenbank; formaterhaltende Verschlüsselung nach NIST FF1.
Kompatibel mit PCI-DSS-Anforderungen an Point-to-Point Encryption, laut OpenText mit reduziertem Audit-Umfang.
Schlüssel werden nach Authentisierung und Autorisierung gegen eine zentrale Richtlinie abgeleitet.
Vaultlose Tokenisierung und FPE aus einer Hand, ohne zu synchronisierende Token-Datenbank.
Detokenisierung nach Regeln im Produktüberblick nicht beschrieben; kein SaaS-Betrieb genannt.
Fortanix Data Security Manager (Data Tokenization)
Fortanix, Inc.
Vaultlose Tokenisierung u. a. für Kartennummern, ePHI und NPPI.
Formaterhaltende Verschlüsselung nach NIST-zugelassenen Verfahren, ohne zentrale Token-Datenbank.
Teil der Plattform mit Schlüsselverwaltung und HSM; Schlüssel in HSM nach FIPS 140-2 Level 3.
RBAC und Quorum-Freigaben; Felder lassen sich je nach Berechtigung ganz oder teilweise maskieren.
Tokenisierung, Schlüsselverwaltung und HSM in einer Plattform, wahlweise als Dienst.
Ablauf der Detokenisierung auf der Seite nicht beschrieben; verwendetes FPE-Verfahren (z. B. FF1) nicht genannt.
HashiCorp Vault Enterprise (Transform Secrets Engine)
HashiCorp (IBM)
Tokenisierung, formaterhaltende Verschlüsselung (FF3-1) und Maskierung als Transformationen.
Token-Zustand im internen Vault-Speicher oder extern in PostgreSQL, MySQL oder MSSQL; optional konvergente Token.
Rollen legen fest, welche Transformationen für Kodieren und Dekodieren erlaubt sind; Zugriff über Vault-Token mit Berechtigung.
Erfordert Vault Enterprise mit Modul ADP-Transform; Token selbst sind nicht formaterhaltend (Base58).
Tokenisierung und FPE im selben Werkzeug, das viele Teams bereits für Secrets nutzen.
PCI DSS nicht ausdrücklich adressiert; nur mit Enterprise-Lizenz.
Google Cloud Sensitive Data Protection (Pseudonymisierung)
Google LLC
Ersetzt erkannte sensible Werte durch Token, auch in unstrukturierten Daten.
FPE-FFX erhält Zeichensatz und Länge; deterministisches AES-SIV erhält referenzielle Integrität; HMAC-SHA-256 ist nicht umkehrbar.
Schlüssel werden empfohlen mit Cloud KMS gewrappt; Re-Identifikation mit demselben Schlüssel und Kontext.
Umkehr über Schlüssel statt gespeicherter Zuordnung; Google weist auf geringere Sicherheitsgarantien von FPE bei kleinen Wertebereichen hin.
Tokenisierung direkt mit Erkennung sensibler Daten verbunden, als Cloud-Dienst nutzbar.
Keine Token-Verwaltung und keine regelbasierte Detokenisierung als eigene Funktion; Bindung an Google Cloud.
Skyflow Data Privacy Vault
Skyflow, Inc.
Sensible Daten liegen isoliert im Vault, eigene Systeme halten nur Token.
Formaterhaltende oder UUID-artige Token, deterministisch oder nicht deterministisch; flüchtige Felder mit automatischer Löschung.
Policy-Based Access Control: Richtlinien an Rollen für Benutzer und Dienstkonten; Daten werden je nach Anfragendem dynamisch maskiert.
Laut Skyflow Datenresidenz in über 100 Ländern; Multi-Zone- und Multi-Region-Betrieb.
Vault mit feingranularer, rollenbasierter Steuerung von Re-Identifikation und Maskierung.
Kein On-Premises-Betrieb im engeren Sinn; Regionen für Schweiz/EU auf den geprüften Seiten nicht genannt.
VGS Vault
Very Good Security, Inc.
Ersetzt sensible Daten durch zufällig erzeugte Aliase; nur der Vault kann sie auf Originalwerte zurückführen.
Zugriff über Authentisierung, Verschlüsselung und Berechtigungen; vorkonfigurierte Routen in Dashboard und API.
Detokenisiert und leitet Daten an berechtigte Dritte wie Zahlungsabwickler weiter, ohne dass Rohdaten die eigene Umgebung berühren.
Laut VGS PCI DSS Level 1; Nutzung soll den eigenen PCI-Umfang deutlich verringern.
Hält Zahlungsdaten über Vault und Weiterleitung aus der eigenen Umgebung fern.
Formaterhaltung und Datenstandort (EU) auf der Produktseite nicht beschrieben.
Basis Theory (Secure Data Vault)
Basis Theory, Inc.
Tokenisiert Zahlungsdaten in einem Secure Data Vault und steuert Zahlungsflüsse.
Erfassung über Universal Form Elements; ergänzend Netzwerk-Token, Account Updater und 3D Secure.
Proxy für eigene Zahlungsflüsse (Custom Payment Flows) zur Weiterleitung an Zahlungsabwickler.
Laut Hersteller PCI Level 1, SOC 2 Type II, HIPAA und ISO 27001.
Entwicklernahe Vault- und Proxy-Bausteine für Zahlungsdaten.
Formaterhaltung, Zugriffsregeln für Detokenisierung und Region (EU) auf der Startseite nicht beschrieben; PCI-Scope-Reduktion nicht ausdrücklich.
IXOPAY Universal Tokens (vormals TokenEx)
IXOPAY (vormals TokenEx)
Tokenisierung von Zahlungsdaten über alle Kanäle und Zahlungsabwickler hinweg.
Universal Tokens sollen den PCI-Umfang laut Hersteller um bis zu 90 % verringern.
API-Dokumentation und Sandbox; Zahlungsdaten über Kanäle und Zahlungsabwickler hinweg vereinheitlichen.
Statusseite nennt Rechenzentren in den USA und der EU.
Zahlungstokenisierung, die sich über mehrere Zahlungsabwickler hinweg nutzen lässt.
Token-Verfahren, Formaterhaltung und Detokenisierungsregeln auf der Startseite nicht beschrieben; Schwerpunkt Zahlungsdaten.
PCI Proxy
Planet (PCI Proxy)
Token Vault für Erfassung, Speicherung und Nutzung von Kartendaten ; Token lassen sich mit beliebigen Zahlungsabwicklern teilen, um den PCI-Scope auszulagern.
Eigene Token (Alias 2.0) ersetzen die Kartennummer; Netzwerk-Token der Kartenschemen werden bei Verfügbarkeit angefordert.
Forward Proxy tauscht das Token beim Weiterleiten gegen Kartennummer oder Netzwerk-Token samt Kryptogramm.
Die Dokumentation kennzeichnet Datenflüsse ausserhalb und innerhalb des PCI-DSS-Umfangs.
Hält Kartendaten über Token und Weiterleitungs-Proxy aus den eigenen Systemen fern.
Auf Kartendaten ausgerichtet; Hostingort auf den geprüften Seiten nicht genannt.
Weitere Anbieter
Kurz eingeordnet, ausserhalb der Vergleichsmatrix.
- IBM Guardium Data Encryption: formaterhaltende Tokenisierung als Teilfunktion genannt, ohne eigene Detailseite
- Baffle Data Protection: längen- und typerhaltende Tokenisierung im Datenbank-Proxy; Schwerpunkt Verschlüsselung
- Ubiq Platform: vaultlose und Payment-Tokenisierung genannt; Schwerpunkt Verschlüsselung, Betriebsmodell offen
- eperi sEcure: Tokenisierung auf einer Unterseite erwähnt, Schwerpunkt SaaS-Verschlüsselung
- Netzwerk-Token der Kartenorganisationen (Visa VTS, Mastercard MDES): Token der Kartenschemen, kein eigenständiges Unternehmensprodukt; von PCI Proxy u. a. genutzt
- Evervault: Verschlüsselungs- und Vault-Dienst für Zahlungsdaten
- Piiano Vault: Privacy Vault für Entwickler
- Tokens werden als anonym behandelt, obwohl zentrale Detokenisierung möglich ist.
- Ein globaler Token-Domain-Schlüssel erlaubt unerwünschte Korrelation zwischen Systemen.
- Der Anbieterwechsel scheitert, weil Mapping, Format und Rückführung nicht exportierbar sind.
Tokenisiere einen realen Datensatz durch Erfassung, Verarbeitung, Analytics, Support und Löschung. Prüfe jede Detokenisierung, Ausfall des Vaults, Formatkollisionen, Datenresidenz und vollständigen Exit.
Encryption schützt Inhalte kryptografisch, Data Masking verändert ihre Darstellung. Rights Management kontrolliert die spätere Dokumentnutzung. PETs ermöglichen bestimmte Berechnungen ohne zentrale Klartextzusammenführung.
Security Tool Navigator · Gebiet 08
Im Gebiet Data Security einordnen.
Diese Werkzeugklasse gehört zum Gebiet Data Security. Der Gebietshub zeigt, wie die Werkzeugklassen zusammenwirken, wo sie sich abgrenzen und welche Fragen CIO und CISO jeweils klären.