Der Chip auf einer Zahlungskarte ist kein Speicher, sondern ein kleiner Rechner mit eigenem Betriebssystem. EMV ist der Standard, der festlegt, wie dieser Rechner mit deinem Terminal spricht. Er ist der Grund, warum eine Kartenzahlung heute technisch etwas anderes ist als zu Zeiten des Magnetstreifens, auch wenn der Vorgang an der Kasse gleich aussieht.
Für dich ist das keine reine Technikfrage. Ob eine Zahlung über den Chip, über das kontaktlose Feld oder über den Magnetstreifen läuft, entscheidet mit darüber, wer für einen Missbrauch geradesteht.
Was am Magnetstreifen grundsätzlich falsch war
Der Magnetstreifen ist im Kern eine Tonspur. Er enthält Daten, die sich bei jedem Lesevorgang gleich verhalten, und er gibt sie an jedes Gerät heraus, das danach fragt. Wer den Streifen einmal auslesen konnte, konnte ihn kopieren, und die Kopie verhielt sich am Terminal wie das Original.
Die gesamte Sicherheit lag deshalb außerhalb der Karte: in der Unterschrift, in Sperrlisten, in der Abfrage bei der Bank. Die Karte selbst konnte nicht beweisen, dass sie echt ist. Genau das leistet der Chip.
Der Chip führt ein Gespräch mit dem Terminal
Steckst du eine Chipkarte oder hältst sie an das Lesefeld, läuft ein Ablauf aus mehreren Schritten. Terminal und Karte einigen sich zuerst darauf, welche Zahlungsanwendung genutzt wird, denn eine Karte kann mehrere tragen, etwa eine girocard-Anwendung und eine internationale Debitanwendung. Danach liest das Terminal die Kartendaten und prüft die Echtheitsmerkmale des Chips.
Erst dann wird über die Freigabe verhandelt: Wird eine PIN verlangt? Wird die Bank gefragt oder entscheidet die Karte selbst? Am Ende steht die Verbuchung, bei der die Karte die Antwort der Bank noch einmal zur Kenntnis nimmt. Diese Reihenfolge erklärt, warum das Display mehrfach wechselt und warum eine zu früh gezogene Karte den Vorgang abbricht.
Ein Kryptogramm statt einer Kopie
Der entscheidende Unterschied steckt in einer Rechnung, die der Chip zu jeder einzelnen Zahlung anstellt. In sie gehen der Betrag, die Währung, ein Zähler der Karte und ein Zufallswert des Terminals ein. Heraus kommt ein Kryptogramm, ein kurzer Wert, den nur diese eine Karte für genau diese eine Zahlung erzeugen kann.
Der Kartenherausgeber kann das Kryptogramm nachrechnen. Passt es nicht, ist die Zahlung nicht die, für die sie sich ausgibt. Mitschneiden und später erneut abspielen bringt nichts, weil der nächste Vorgang andere Werte enthält. Deshalb schützt der Chip auch dann noch, wenn jemand die Kartennummer kennt.
Die Karte darf widersprechen
Im Chip stehen Regeln, die der Kartenherausgeber hineingeschrieben hat: wann online gefragt werden muss, wann eine PIN fällig ist, wie viel ohne Rückfrage bei der Bank durchgehen darf. Das Terminal macht einen Vorschlag, die Karte kann ihn verschärfen.
Dieses Zusammenspiel erklärt Situationen, die an der Kasse wie ein Fehler aussehen. Dieselbe Karte verlangt beim einen Kunden eine PIN und beim nächsten nicht, obwohl der Betrag ähnlich ist. Nicht dein Terminal ist launisch, sondern die Karte hat einen internen Zähler erreicht.
Der Rückfallweg über den Streifen
Wird der Chip nicht gelesen, kennen viele Terminals noch den Weg über den Magnetstreifen. Damit fällt der Sicherheitsgewinn weg, und die Kartensysteme haben diesen Rückfall deshalb stark eingeschränkt. Wo er noch möglich ist, verschiebt er das Risiko in der Regel zu dem, der ihn benutzt hat.
Wenn Chipzahlungen bei dir häufig scheitern, ist meist der Kartenschlitz verschmutzt oder der Leser verschlissen. Das ist ein Wartungsthema und kein Grund, dauerhaft auf den Streifen auszuweichen.
Was das an deiner Kasse bedeutet
Lass die Kundschaft die Karte selbst stecken oder auflegen und die PIN selbst eingeben. Brich einen Vorgang nicht mittendrin ab, um ihn auf einem anderen Weg zu wiederholen, sondern warte die Antwort des Terminals ab. Und nimm häufige Leseprobleme ernst, statt sie zu umgehen.
Welche Anwendungen deine Terminals unterstützen und wie die Rückfallwege eingestellt sind, hängt an der Einrichtung deiner Geräte. Das ist die Aufgabe deines Netzbetreibers, bei R&B Pay also unsere.
