EMV

Eine britische Forschergruppe an der Cambridge University hat vorgestern eine Schwäche des EMV-Verfahrens zur PIN-basierten Kartenzahlung offengelegt. Der Security Group gelang es, eine EMV-Chipkarte so zu manipulieren, dass sie vom Bezahlterminal mit einer beliebigen PIN akzeptiert wurde.

[Weiter]

Im ersten -> EMV-Rennen am Berliner ZKA-Ring sind die Goldmedaillen vergeben. Nach den grünen Boliden (Team Thales) haben jetzt auch die Dunkelblauen (Team Ingenico) und die Weiß-roten (Team EL-ME) in einem dramatischen Foto-Finish gleichauf die Ziellinie passiert. Im wohl härtesten EMV-Rennen der Welt haben sich damit gleich drei würdige Sieger gefunden. [Weiter]

Als zweiter Terminalhersteller hat die Berliner Ingenico GmbH die -> EMV-Weihen des Zentralen Kreditausschusses (ZKA) erhalten. [Weiter]

Bei den Terminal-Herstellern ist die Liste der EMV-Zulassungen ja noch immer sehr kurz, nur Thales hat bislang mit dem Artema die Hürde genommen. Zugegeben, das eine kann mit dem anderen nicht verglichen werden. Aber die Hall of Fame der Geldautomaten-Hersteller soll hier dennoch eine kleine Erwähnung finden. Mit Stand 15.11.2006 lautet sie:

• NCR GmbH (Zulassung Nr. 1, 2, 5, 6)
• Wincor Nixdorf International (Zulassung Nr. 3*, 4*, 7, 8*)
• SBS Software GmbH (Zulassung Nr. 9*)
• Fiducia IT AG (Zulassung Nr. 10*, 11*, 12*, 13*, 14*)
• KEBA AG (Zulassung Nr. 15*)
• Diebold Germany GmbH (Zulasung Nr. 16*, 17*)

Die mit * markierten Zulassungen sind gemäß ZKA noch befristet bis eine erfolgreiche 3-monatige Praxisphase nachgewiesen wird. Die komplette Liste findet sich wie gewohnt beim ZKA: ec-Geldautomaten-System der deutschen Kreditwirtschaft - Liste der vom Zentralen Kreditausschuss (ZKA) zugelassenen EMV-fähigen Geldautomaten

Die Spezifikation des Kommunikationsprotokolls für EMV Contactless-Systeme liegt jetzt in der Version 2.0 vor. Kommentare zur EMV Contactless-Spezifikation können noch bis zum 22.6.2007 eingereicht werden. EMV-Contactless beschreibt, wie z.B. Zahlungen per EMV-Kreditkarte mit kontaktlosen Chipkarten funktionieren. (EMV Contactless-Spezifikationen, -> NFC-Anwendungen)

MasterCard startet heute den euopäischen Piloten für die kontaktlose Kreditkarte PayPass in der Schweiz. Der Pilotversuch erfolgt bei ausgewählten McDonalds-Händlern in Zürich, Lausanne und Lugano. Etwa 1000 Karteninhaberinnen und Karteninhaber können dann von Juli bis September 2007 Beträge bis zu 40 Franken mit Mastercard's kontaktlosem Zahlverfahren Tap N Go bezahlen. Für größere Beträge verlangen die Terminals allerdings eine Unterschrift oder sogar die PIN. Der Pilot erfolgt in Zusammenarbeit mit dem Schweizer Acquirer Aduno und wird auf der eigens eingerichteten Webseite goodbye-cash.ch von Christa Rigozzi (Miss Schweiz) stilvoll präsentiert. (News vom 29.3.2007, goodbye-cash.ch)
Nachtrag: als Gerätschaft kommt über den Schweizer Hypercom-Distributor Commtrain eine Kombination aus dem kontaktlosen Leser Saturn 6000 von OTI (On Track Innovations) mit dem Terminal T2100 von Hypercom zum Einsatz. Kazem Aminae, Vizepräsident von Hypercom, findet für diese Kombination sehr wohlwollende Worte. Das Saturn 6000 unterstützt prinzipiell eine ganze Reihe weiterer kontaktloser Verfahren, wie VISA contactless, ExpressPay von American Express und Discover Zip. Nach Schweizer Regularien sei die Transaktion am 29.3.2007 überdies die erste kontaktlose EMV-Zahlung in Europa gewesen. (News vom 10.4.2007)

Der englische EMV-Spezialist aconite und der amerikanische Anti-Fraud-Spezialist Fair Isaac haben am 27.2.2007 eine Kooperation bekanntgegeben. Ziel ist eine unübertroffene Lösung zur "offline fraud control". (News vom 27.2.2007)

Getreu einer alten Kanzlerweisheit sei hier die Frage gestellt, was denn bei einer EMV-Zulassung hinten rauskommt? Die Frage ist natürlich rhetorischer Natur und zielt auf die Antwort ab: eine Zulassung und die Aufnahme in eine Liste des ZKA. In diese "Liste der zugelassenen EMV-fähigen POS Terminals (EMV Debit/Credit)" sei hier ein Blick gewagt. Die Liste ist bekanntlich noch recht kurz, nur Thales e-Transactions hat bislang die große Hürde genommen:

Hersteller

THALES e-TRANSACTIONS [...]

Terminaltyp

bedientes Terminal, Single-Host Terminal

Konfiguration Hardware / Software

Artema Hybrid (TK Händlerterminal ..., TK HSM ..., Chipkartenkontaktiereinheit ..., Drucker ..., Varianten ...)

Zulassungs-Nummer

emvT000001

Zulassung

befristet *

zugelassene Funktionen

Zahlung inkl. Autostorno, Buchung der Reservierung Variante A, Manuelle Stornierung Variante B, Gutschrift, Reservierung, Änderung der Reservierung, Mündliche Autorisierung, Trinkgeld, Mündliche Rückfrage

Das ist vielleicht schon der fachlichen Neugier wegen interessant zu lesen. Zur weiteren Verdeutlichung seien ein paar Angaben ausführlicher umrahmt:

Terminaltyp Thales hat hier die Zulassung für ein "bedientes, single-Host Terminal". Das ist das klassische Reinprofil für ein Netzbetreiber-Terminal. Also ein Terminal, das letztlich beim Händler auf dem Tresen oder bei der Kassiererin an der Kasse steht, und das genau einen Netzbetreiber für die Transaktionsabwicklung nutzt. Um der Phantasie freien Lauf zu lassen sei komplettiert, dass die Nutzung für Warenautomaten bzw. als unbedientes Terminal sowie ein Lowest-Cost-Transaktions-Routing über verschiedene Netze damit noch nicht erlaubt sind.

Zulassung Die Zulassung ist befristet. Die Fußnoten des ZKA klären auf, dass für die unbefristete Zulassung noch der Nachweis über eine erfolgreiche dreimonatige Praxisphase erfolgen muss. Es darf spekuliert werden, ob diese Einschränkung in der Praxis eine Bedeutung entwickeln wird. Aus Marketing-Sicht ist diese Regelung begrüßenswert, da die Produktmanager sowohl bei der vorläufigen, als auch bei der endgültigen Zulassung jubeln dürfen.

zugelassene Funktionen Alte Häsinnen und Hasen der electronic cash-Zulassung haben hier im ersten Moment vielleicht eine Augenbraue hochgezogen. Bei der EMV-Zulassung gibt es natürlich nicht nur Zahlung und Storno, sondern es werden alle Transaktionsarten berücksichtigt. Anders ausgedrückt, es muss praktisch jede Transaktions-Funktion zugelassen werden.

Dieser kleine Ausflug war hoffentlich unterhaltsam. Zur Vollständigkeit hier noch der Hinweis auf die Informationsseite des ZKA. (Informationsseite des ZKA zum EMV-Zulassungsverfahren).

Thales hat die Pole-Position im ZKA-Ring errungen. Thales gab gestern bekannt, mit ihrem Terminal Artema Hybrid das gemeinsame Zulassungsverfahren des ZKA für -> EMV-fähige POS-Terminals bestanden zu haben. Mit Spannung kann nun auf die Plätze gewartet werden. Wird es erwartungsgemäß Ingenico, oder vermasseln sie es? Schafft ICP das auf ihrer Webseite avisierte Ziel zum Ende April 2007? Wie auch immer es weitergeht: Chapeau! und einen herzlichen Glückwunsch an die grummeligen Gesellen und Meister nach Bad Hersfeld! (PM vom 5.2.2007)

EMV steht stark vereinfacht gesagt für: "Kreditkarte mit Chip". Genauer betrachtet ist EMV ein Oberbegriff für eine Reihe von Standards, die auf eine einheitliche und herstellerunabhängige Nutzbarkeit von Chipkarten-Applikationen abzielen.

Der Hauptgrund für die Entwicklung weg vom Magnetstreifen hin zur Chipkarte war der zunehmende Betrug mit gefälschten Kreditkarten. Betrüger hatten mit Kreditkarten nämlich sehr leichtes Spiel. Für den Kartenbetrug reichte es meistens schon aus, die Kartendaten aus weggeworfenen Belegen zu rekonstruieren. Kartendubletten konnten so mit minimalem technischen Aufwand hergestellt werden. Im Februar 1999 beschlossen daher die drei Kreditkartengesellschaften Europay International, MasterCard International und VISA, ein sichereres und zukunftsträchtiges Verfahren zu initiieren. Die Wahl fiel auf eine sehr komplexe Chipkarten-Lösung. Der Name der Lösung, EMV, leitet sich ganz einfach aus den Anfangsbuchstaben der Initiatorengruppe her. Als Randnotiz sei erwähnt, dass Europay International im Juli 2002 mit MasterCard fusionierte, und dass die vor allem im asiatischen Raum bedeutende JCB im Dezember 2004 ebenfalls beitrat. Der Name der Lösung bleibt aber bei EMV, und wird nicht etwa in MVJ umgetauft.

EMV-Karten werden in Deutschland in größerem Stil erst seit 2005 ausgegeben. Allerdings ist bis heute die technische Infrastruktur zur Nutzung der Karten mit Ausnahme der Geldautomaten noch sehr lückenhaft, so dass auch bei Kreditkarten mit Chip in den meisten Fällen nur die alte magnetstreifenbasierte Verarbeitung durchgeführt wird. Dies ist nicht zuletzt der komplizierten Technik und der in Deutschland besonders aufwändigen Regulierung und Marktstruktur geschuldet.

Nennenswerter Vorreiter für EMV waren die Tankstellen der BP in Zusammenarbeit mit dem Terminalhersteller Ingenico. BP erhielt hierfür im Jahr 2005 die Erlaubnis zur Verarbeitung von MasterCard-EMV-Karten. Eine generelle Akzeptanz von EMV-Karten befindet sich noch im allerersten Stadium. Als erster Anbieter hat der Terminalhersteller Thales e-Transactions im Februar 2007 eine generelle Zertifizierung ihrer Terminals für EMV-Karten in Deutschland erfolgreich absolviert, als zweiter Hersteller hat sich im Mai 2007 die Ingenico eingereiht.