Kreditkarten

Wo werden die Gelder bei Prepaid-Karten im Unterschied zu Kredit- und Debitkarten verwahrt?

Prepaid-Karten

Guthaben auf Prepaid-Karten werden vom Kartenemittenten (oder dessen Partnerbank) gehalten und im System des Emittenten mit der Kartennummer verknüpft. Vor einer Transaktion lädt der Karteninhaber Geld auf die Karte, das anschließend bei akzeptierenden Händlern ausgegeben oder an Geldautomaten abgehoben werden kann. Das Kartenguthaben verringert sich mit jeder Transaktion und kann bei Bedarf wieder aufgeladen werden.

Debitkarten

Debitkarten sind direkt mit dem Bankkonto des Karteninhabers verknüpft. Bei einer Transaktion werden die Mittel in Echtzeit oder nahezu in Echtzeit vom Konto des Karteninhabers auf das Konto des Händlers übertragen. Das Ausgabenlimit des Karteninhabers bestimmt sich nach dem verfügbaren Guthaben auf dem zugehörigen Bankkonto.

Kreditkarten

Kreditkarten werden mit einer vom Kartenaussteller eingeräumten revolvierenden Kreditlinie ausgegeben. Bei einer Transaktion zahlt der Kartenaussteller im Namen des Karteninhabers an den Händler; der Karteninhaber schuldet dem Aussteller sodann den Transaktionsbetrag. Der Karteninhaber kann einen Saldo von Monat zu Monat vortragen und hierfür Zinsen zahlen oder den Saldo jeden Monat vollständig begleichen.

Clearing und Abwicklung

Globale Karten-Zahlungssysteme werden häufig missverstanden, im Zusammenhang mit betrügerischen Machenschaften oft auch absichtlich. Tatsächlich betreiben die großen Kartenorganisationen hochgradig standardisierte, automatisierte und streng regulierte Infrastrukturen. Dieser Beitrag erläutert in präzisen technischen Begriffen, wie die wichtigsten Kartennetzwerke funktionieren und wie Clearing und Abwicklung tatsächlich erfolgen.

1. Die Rolle der Kartennetzwerke

Kartennetzwerke führen keine Kundenkonten und überweisen kein Geld direkt an Privatpersonen oder Unternehmen. Ihre alleinige Funktion besteht im Betrieb sicherer Nachrichtenübermittlungs-, Clearing- und Abwicklungssysteme zwischen regulierten Finanzinstituten.

Jedes Netzwerk betreibt eine eigene proprietäre Infrastruktur, eigene Regelwerke, Nachrichtenformate und Abwicklungszyklen. Die Netzwerke sind nicht austauschbar, und keine Transaktion läuft jemals gleichzeitig über mehr als eines davon.

2. Autorisierung, Clearing und Abwicklung – die drei Phasen

Jede rechtmäßige Kartentransaktion durchläuft drei getrennte Phasen.

2.1 Autorisierung

Die Autorisierung erfolgt bei der Kartennutzung nahezu in Echtzeit. Die Acquiring-Bank des Händlers sendet über das Kartennetzwerk eine Autorisierungsanfrage an die kartenausgebende Bank. Diese genehmigt oder lehnt die Anfrage auf Grundlage des verfügbaren Guthabens, der Risikokontrollen und des Kartenstatus ab. In dieser Phase werden keine Gelder bewegt.

2.2 Clearing

Das Clearing ist der Vorgang, bei dem genehmigte Transaktionen gebündelt, validiert und für die Abwicklung vorbereitet werden. Es handelt sich um einen dateibasierten, automatisierten Prozess, der strengen, vom Kartennetzwerk festgelegten Schemata und Fristen unterliegt.

2.3 Abwicklung

Das Settlement ist die Nettoübertragung von Geldern zwischen den Mitgliedsbanken. Das Kartennetzwerk berechnet die Nettoverpflichtungen und veranlasst das Settlement über bestimmte Abwicklungsbanken oder Zentralbankkonten. Das Settlement erfolgt ausschließlich zwischen Banken und niemals unmittelbar auf das Konto eines Händlers oder einer Privatperson.

3. Die Visa-Infrastruktur im Detail

3.1 VisaNet

VisaNet ist das globale Transaktionsverarbeitungssystem von Visa. Es leitet Autorisierungsnachrichten weiter, verwaltet Clearingdaten und berechnet Abwicklungspositionen. Alle Interaktionen finden zwischen regulierten Finanzinstituten statt.

3.2 Basel II

Base II ist das ältere Clearingsystem von Visa, das in der technischen Dokumentation weiterhin Erwähnung findet. Es legt fest, wie Transaktionsdatensätze formatiert, validiert und ausgetauscht werden. Händler und Kunden interagieren nie unmittelbar mit Base II.

3.3 TC33 und TC05

• TC05 ist der Standard-Vorlagedatensatz für einen Kauf (den „Sales Draft“).
• TC33 ist ein Mehrzweck-Datensatz, der unter anderem für Berichte und ergänzende Daten verwendet wird.

Hierbei handelt es sich um interne Clearing-Datensätze, die über VisaNet zwischen Acquirern und Emittenten ausgetauscht werden. Sie sind weder Bestätigungen, Genehmigungen noch Abwicklungsbestätigungen und haben außerhalb des internen Systems von Visa keinerlei Aussagekraft.

4. Mastercard-Infrastruktur

4.1 Banknet

Mastercard betreibt mit Banknet ein eigenes globales Netzwerk, das VisaNet entspricht. Es übernimmt das Routing der Autorisierungen, die Clearing-Dateien und die Berechnung der Abrechnungsbeträge.

4.2 Clearing und Abwicklung

Mastercard verwendet eigene Nachrichtentypen und Dateiformate. Die Abwicklung erfolgt netto zwischen den Mitgliedsbanken über vorab festgelegte Abwicklungskonten. Wie bei Visa gibt es weder eine manuelle Annahme noch eine Abwicklung einzelner Transaktionen auf Kundenkonten.

5. American Express und Diners Club

5.1 Geschlossenes Kreislaufmodell

American Express und Diners Club arbeiten historisch nach einem geschlossenen Modell (Closed Loop), das heißt, sie treten häufig sowohl als Emittent als auch als Acquirer auf. Dies verringert die Zahl der Intermediäre, ändert jedoch nichts an den grundlegenden Prinzipien.

5.2 Abwicklung

Selbst in einem geschlossenen System erfolgt die Abwicklung automatisiert, regelbasiert und auf Institutsebene. Es gibt keinen manuellen Eingriff auf Filialebene und keine „Dateiannahme“, die darüber entscheidet, ob Gelder tatsächlich vorhanden sind.

6. UnionPay

UnionPay betreibt Chinas nationales und internationales Kartennetzwerk. Es verwendet eigene Standards, die auf die chinesischen aufsichtsrechtlichen Rahmenbedingungen abgestimmt sind. Clearing und Abwicklung erfolgen über benannte Clearingstellen und Mechanismen der Zentralbank. Wie bei anderen Netzwerken sind die Transaktionen automatisiert, werden im Stapelverfahren verarbeitet und unterliegen strengen Kontrollen.

7. Clearing- und Abwicklungszyklen

Die Abwicklung erfolgt in vordefinierten Zyklen:

• In der Regel T+1 oder T+2 bei Visa und Mastercard.
• Nettoabwicklung ausschließlich zwischen Emittenten und Acquirern.
• Die endgültige Gutschrift an die Händler erfolgt über deren Acquiring-Bank, vorbehaltlich der lokalen Bankinfrastrukturen wie ACH, SEPA oder inländischer RTGS-Systeme.

Einen Mechanismus für eine Ad-hoc-Abwicklung, eine sofortige oder im Ermessen liegende Abwicklung auf Verlangen einer privaten Partei gibt es nicht.

8. Abschließende Bemerkung

Kartennetzwerke zählen zu den ausgereiftesten und am stärksten standardisierten Finanzinfrastrukturen überhaupt. Ihre Prozesse sind deterministisch, automatisiert und prüfbar.

4- oder 6-stellige PINs

In der Regel handelt es sich bei PINs um vierstellige Codes, in einigen Regionen oder Finanzinstituten können jedoch auch sechsstellige PINs verwendet werden. Der Hauptzweck einer PIN besteht darin, zu überprüfen, dass die Person, die die Transaktion auslöst, der berechtigte Karteninhaber ist.

Bei einer Kreditkartentransaktion kann der Kunde aufgefordert werden, an einem POS-Terminal seine PIN einzugeben, wenn er eine Chip-und-PIN-Karte verwendet. Dies ist in Europa Standard. In den Vereinigten Staaten erfordern die meisten Chip-Kreditkarten für Käufe keine PIN, und die großen Kartennetzwerke haben das Unterschriftserfordernis im Jahr 2018 abgeschafft.

So wird eine vier- oder sechsstellige PIN bei einer Transaktion verwendet:

1. Der Kunde steckt seine Chipkarte in das POS-Terminal und gibt seine PIN ein.
2. Das Terminal fordert den Kunden zur Eingabe seiner PIN auf.
3. Der Kunde gibt seine PIN ein, die anschließend vom POS-Terminal verschlüsselt wird.
4. Die verschlüsselte PIN wird zusammen mit den Transaktionsdaten zur Überprüfung an die kartenausgebende Bank gesendet.
5. Die ausstellende Bank vergleicht die verschlüsselte PIN mit der in ihrem System hinterlegten PIN. Stimmen die PINs überein, wird die Transaktion autorisiert.

In einigen Fällen wird die PIN lokal vom Chip der Karte geprüft, anstatt an den Emittenten übermittelt zu werden. Dies wird als Offline-PIN-Prüfung bezeichnet und kann den Transaktionsablauf beschleunigen.

Wichtig ist, dass die PIN nicht mit dem drei- oder vierstelligen Card Verification Value (CVV) bzw. Card Verification Code (CVC) auf der Rückseite der Karte identisch ist. CVV/CVC-Codes werden bei Transaktionen ohne physische Kartenvorlage, etwa bei Online-Käufen, verwendet, um zu prüfen, dass die Person, welche die Transaktion auslöst, die Karte physisch besitzt.

Tap to Pay

Technologische Grundlage: NFC und sein RFID-Ursprung

Zentral für das Tap-to-pay-Verfahren ist Near Field Communication (NFC), eine Technologie, die das umfassendere Rahmenwerk der Radiofrequenz-Identifikation (RFID) verfeinert und spezialisiert. NFC beruht auf elektromagnetischer Induktion zwischen zwei Schleifenantennen, die in einer an eine Rennbahn erinnernden Bauform ausgelegt sind und sich in einem Abstand von höchstens vier Zentimetern befinden. Diese begrenzte räumliche Nähe ermöglicht einen sicheren und raschen Datenaustausch, der auf die Erfordernisse von Zahlungstransaktionen zugeschnitten ist.

Passive und aktive Symbiose

Das Zusammenspiel zwischen dem Zahlungsinstrument (Karte oder NFC-fähiges Gerät) und dem Lesegerät beruht auf einer Rollenverteilung: Das Lesegerät ist der aktive Initiator, der die Kommunikation eigenständig aufbauen kann; die Karte hingegen ist ein passiver Antwortender, der keine eigene Stromversorgung besitzt, aber auf die Anfragen des Lesegeräts reagiert. Diese Interaktion löst die Übermittlung der Zahlungsdaten aus – ein Vorgang, der sich grundlegend von der statischen Datenübertragung bei Magnetstreifen unterscheidet.

Kryptografische Absicherung: Sicherheit in Perfektion

Ein Grundpfeiler der Sicherheitsarchitektur der Tap-to-Pay-Technologie ist die Erzeugung eines transaktionsspezifischen Kryptogramms. Dieses Kryptogramm entsteht durch eine kryptografische Verknüpfung von Transaktions- und Karteninformationen unter Verwendung eines kryptografischen Schlüssels, der im Chip der Karte gespeichert ist. Dieses Verfahren errichtet eine starke Barriere gegen die missbräuchliche Vervielfältigung von Zahlungsdaten und erhöht die Sicherheit jeder Transaktion erheblich.

Die Kommunikation zwischen der Zahlungsplatine und der Hauptplatine innerhalb des Lesegeräts ist entscheidend dafür, dass die Transaktionsdaten zu einem gesicherten, verschlüsselten Paket zusammengefügt werden. Diese Verschlüsselung, die während des gesamten Datenwegs zu und von den Zahlungsabwicklern und Netzwerken aufrechterhalten wird, schützt vor Eindringversuchen und unbefugtem Datenzugriff und wahrt die Vertraulichkeit der Transaktion vom Beginn bis zum Abschluss.

Vergleichende Sicherheitsanalyse und Entwicklungspfade der Verbreitung

Im Vergleich zu ihren Vorläufern, den Magnetstreifen- und Chipeinschubverfahren, stellt die Tap-to-pay-Technologie einen Quantensprung bei der Transaktionssicherheit dar. Die dynamische Verschlüsselung und die auf kurze Reichweite begrenzten Kommunikationsprotokolle verringern von Haus aus die Angriffsflächen für Datenkompromittierung und wirken damit dem Skimming und dem unbefugten Datenabfluss entgegen, die Zahlungsvorgänge am Verkaufsort seit jeher belastet haben.

Die Verbreitung blieb in einigen Märkten, insbesondere in den USA, aufgrund von Infrastrukturkosten und Verbrauchergewohnheiten jahrelang hinter Europa zurück, ist jedoch seit 2020 deutlich gestiegen.

Zusammenfassend lässt sich sagen, dass die Tap-to-pay-Technologie durch ihr anspruchsvolles Zusammenspiel aus NFC-Technologie, kryptografischer Strenge und verschlüsselter Datenübertragung einen Paradigmenwechsel im Bereich sicherer und effizienter Zahlungsverfahren einläutet. Ihre fortschreitende Integration in den Zahlungsalltag verspricht, den Standard hinsichtlich Transaktionssicherheit und Komfort zu heben, und markiert eine entscheidende Weiterentwicklung im Handels- und Zahlungsverkehr.

Datenkommunikation

Nachfolgend eine Zusammenfassung des Kommunikationsablaufs:

1. Datenerfassung: Löst ein Karteninhaber eine Transaktion aus, erfasst das POS-Terminal die Kartendaten (Kartennummer, Ablaufdatum, CVV usw.) durch Durchziehen, Einstecken, Antippen oder manuelle Eingabe der Kartendaten.
2. Gesicherte Übertragung: Die erfassten Kartendaten werden vom POS-Terminal sicher an die Acquiring-Bank oder den Zahlungsdienstleister des Händlers übermittelt. Hierfür wird üblicherweise das Protokoll TLS (Transport Layer Security) verwendet, das die Daten verschlüsselt und so deren Vertraulichkeit und Integrität während der Übertragung gewährleistet.
3. ISO-8583-Nachrichtenaustausch: Die Acquiring-Bank oder der Zahlungsdienstleister formatiert die Transaktionsdaten gemäß dem Nachrichtenstandard ISO 8583. Dieser Standard definiert Struktur und Inhalt der Nachrichten, die zwischen den am Transaktionsprozess beteiligten Stellen wie Händlern, Acquirern, Emittenten und Kartennetzwerken ausgetauscht werden.
4. Kommunikation mit den Kartennetzwerken: Die Acquiring-Bank oder der Zahlungsdienstleister übermittelt die im ISO-8583-Format erstellte Autorisierungsanfrage über dedizierte Kommunikationskanäle an das Kartennetzwerk (z. B. Visa, Mastercard). Bei diesen Kanälen handelt es sich in der Regel um private Netzwerke, die die an der Transaktionsabwicklung beteiligten Parteien sicher miteinander verbinden.
5. Routing über das Kartennetzwerk: Das Kartennetzwerk ermittelt die für die Karte zuständige emittierende Bank und leitet die Autorisierungsanfrage an den Emittenten weiter. Das Kartennetzwerk kann zusätzliche Kommunikationsprotokolle und -technologien wie TCP/IP und VPNs (Virtual Private Networks) einsetzen, um eine sichere und zuverlässige Übertragung der Transaktionsdaten zu gewährleisten.

Während des gesamten Kommunikationsprozesses kommen mehrere Sicherheitsebenen zum Einsatz, darunter Verschlüsselung, gesicherte Protokolle und die Einhaltung von Branchenstandards wie PCI DSS. Dies gewährleistet die Vertraulichkeit, Integrität und Verfügbarkeit der Transaktionsdaten auf ihrem Weg vom POS-Terminal zum Routing des Kartennetzwerks und darüber hinaus.

Protokolle

ISO 8583

ISO 8583 ist ein Nachrichtenstandard für die Kommunikation von Finanztransaktionen, insbesondere für Kartenzahlungen. Er definiert das Nachrichtenformat, die Datenelemente und die Verarbeitungscodes, die für den Austausch von Transaktionsinformationen zwischen verschiedenen Beteiligten wie Händlern, Acquirern, Emittenten und Kartennetzwerken erforderlich sind.

Eine Autorisierungsanfrage im ISO-8583-Format enthält verschiedene Datenelemente, die in einer strukturierten Nachricht angeordnet sind. Die Nachricht besteht aus einem Message Type Identifier (MTI), Bitmaps und Datenelementen.

Nachfolgend ein vereinfachtes Beispiel für eine ISO-8583-Autorisierungsanfrage:

1. Message Type Identifier (MTI): Ein vierstelliger numerischer Code, der den Zweck der Nachricht angibt. Eine Autorisierungsanfrage lautet „0100“; die Antwort lautet „0110“.
2. Bitmaps: Eine Folge von Bits (üblicherweise 64 Bit, mitunter 128 Bit), die anzeigt, welche Datenelemente in der Nachricht vorhanden sind. Jedes Bit der Bitmap entspricht einem bestimmten Datenelement.
3. Datenelemente: Die eigentlichen Transaktionsinformationen, gegliedert in Felder mit den Nummern 1 bis 128. Jedes Datenelement hat eine bestimmte Bedeutung und ein bestimmtes Format, etwa numerisch, alphanumerisch oder binär.

Datenelemente

Nachfolgend ein Beispiel für einige gängige Datenelemente in einer ISO-8583-Autorisierungsanfrage:

• DE 2: Primary Account Number (PAN) – Die für die Transaktion verwendete Kartennummer.
• DE 3: Verarbeitungscode – Ein sechsstelliger Code, der die Transaktionsart (z. B. Kauf, Erstattung) und das zu verwendende Konto (z. B. Giro- oder Kreditkonto) festlegt.
• DE 4: Transaktionsbetrag – Der Transaktionsbetrag, üblicherweise als 12-stelliger numerischer Wert mit implizitem Dezimalpunkt dargestellt.
• DE 7: Übertragungsdatum und -uhrzeit – Datum und Uhrzeit der Auslösung der Transaktion, üblicherweise im Format JJMMTThhmmss.
• DE 11: System Trace Audit Number (STAN) – Eine eindeutige Transaktionskennung, die vom Terminal oder Zahlungssystem erzeugt wird.
• DE 22: Point of Service Entry Mode – Ein Code, der angibt, wie die Kartendaten erfasst wurden (z. B. durch Durchziehen, Chiplesung oder manuelle Eingabe).
• DE 25: Point of Service Condition Code – Ein Code, der bestimmte Bedingungen der Transaktion angibt (z. B. Kunde anwesend, E-Commerce).
• DE 41: Card Acceptor Terminal Identification – Eine eindeutige Kennung des POS-Terminals.
• DE 42: Card Acceptor Identification Code – Eine eindeutige Kennung des Händlers bzw. des Kartenakzeptanten.
• DE 49: Währungscode, Transaktion – Ein dreistelliger Code, der die für die Transaktion verwendete Währung angibt.

Im Kontext des Finanznachrichtenstandards ISO 8583 steht die Abkürzung „MTI“ für Message Type Identifier. Es handelt sich um einen vierstelligen numerischen Code, der den Zweck der Nachricht kennzeichnet und das erste Feld einer ISO-8583-Nachricht ist.

MTI / Protokolle

Der MTI besteht aus 4 Stellen (jeweils mit einem Wertebereich von 0–9) mit folgender Bedeutung:

1. Version (erste Stelle): Gibt die verwendete ISO-8583-Version der Nachricht an.
   • 0: ISO 8583:1987
   • 1: ISO 8583:1993
   • 2: ISO 8583:2003
   • 3-9: Für künftige Verwendung oder kundenspezifische Versionen reserviert
2. Klasse (zweite Stelle): Gibt den Hauptzweck der Nachricht an.
   • 0: Für die ISO-Verwendung reserviert
   • 1: Autorisierung
   • 2: Finanztransaktionen (z. B. Bargeldabhebung, Kontostandabfrage)
   • 3: Dateiaktionen (z. B. Dateiaktualisierungen)
   • 4: Rückbuchung und Chargeback
   • 5: Abstimmung
   • 6: Verwaltung
   • 7: Gebühreneinzug
   • 8: Netzwerkmanagement
   • 9: Für die Verwendung durch die ISO reserviert
3. Funktion (dritte Stelle): Gibt die spezifische Funktion der Nachricht an.
   • 0: Anfrage
   • 1: Anforderungsantwort
   • 2: Beratung
   • 3: Rückmeldung zur Avisierung
   • 4: Benachrichtigung
   • 5: Empfangsbestätigung der Benachrichtigung
   • 6–9: Für die Verwendung durch ISO reserviert
4. Ursprung (vierte Position): Kennzeichnet den Auslöser der Nachricht.
   • 0: Acquirer
   • 1: Wiederholung durch den Acquirer
   • 2: Emittent
   • 3: Wiederholung des Emittenten
   • 4–9: Für die Verwendung durch ISO reserviert

Einige Beispiele für MTIs in ISO-8583-Nachrichten:

• 0100: Autorisierungsanfrage
• 0110: Autorisierungsantwort
• 0200: Finanztransaktionsanfrage
• 0210: Finanztransaktionsantwort
• 0420: Stornierungsanforderung
• 0421: Wiederholte Stornierungsanforderung
• 0430: Storno-Antwort
• 0500: Acquirer-Abstimmungsanfrage
• 0510: Acquirer-Abstimmungsantwort
• 0800: Anfrage zur Netzwerkverwaltung
• 0810: Antwort des Netzwerkmanagements

Bitte beachten Sie, dass diese Beispiele auf den standardisierten Nachrichtentypen nach ISO 8583 beruhen. Je nach den spezifischen Anforderungen der einzelnen Zahlungssysteme oder Finanzinstitute können jedoch individuelle Ausgestaltungen und Anpassungen bestehen.