Hanspeter Maurer, Geschäftsleiter. PCI DSS: Kreditkarten-Sicherheit ohne Kopfschmerzen. Neue Zahlungsmittel: curabill

Transkript

1 since 2001 News Liebe Kundin, lieber Kunde Den Herbst Newsletter leiten wir ein mit einem generellen Beschrieb über die PCI DSS- Sicherheitsrichtlinien, die jeder Händler einzuhalten hat, der Kreditkartenzahlungen akzeptiert. Wir möchten nochmals in Erinnerung rufen, was der Standard für Sie bedeutet und wie Sie konform zu diesen Richtlinien arbeiten können auch wenn Sie Ihren registrierten Kunden ein One-Klick Checkout anbieten. Ausserdem stellen wir Ihnen eine auf die Bedürfnisse von Tourismus-Unternehmen ausgerichtete PCI-Lösung vor. Der grosse Erfolg unserer Mobile Payment Libraries für ios und Android hat uns dazu bewogen, diese Zahlungsmodule weiter auszubauen. Nebst vielen kleinen Optimierungen bieten die Libraries neu nun auch für PayPal und die PostFinance Card den One-Klick Checkout und die Möglichkeit zur Abwicklung von regelmässig wiederkehrenden Abbuchungen (Recurring Transactions). Ich wünsche Ihnen einen schönen Spätsommer und grüsse Sie freundlich Hanspeter Maurer, Geschäftsleiter Inhalt PCI DSS: Kreditkarten-Sicherheit ohne Kopfschmerzen PCI DSS: Datatrans PCI Proxy Neue Zahlungsmittel: curabill E-Commerce-Report Suisse 2013 / Neue Acquirer Technische Informationen Neue Kunden

2 PCI DSS Kreditkarten-Sicherheit ohne Kopfschmerzen Um eine einheitliche Vorgehensweise bei der Umsetzung von Sicherheitsanforderungen zu ermöglichen, haben die Kreditkarten- Organisationen VISA und MasterCard gemeinsame Sicherheits- Standards entwickelt (PCI DSS = Payment Card Industry Data Security Standard). Ungenügend gewartete Server und Netzwerk-Komponenten, schlecht programmierte Web-Applikationen in Kombination mit einer lokal gespeicherten Kreditkartendatenbank können für Hacker lohnende Angriffsziele sein. Die Ausbeute eines solchen Angriffs: Kunden- und Kreditkartendaten, die weiterverkauft und missbräuchlich eingesetzt werden können. Um diesem Missbrauch entgegenzuwirken, haben die Kartenorganisationen den PCI- Standard eingeführt. Die Einhaltung dieses Standards gegenüber den Kreditkartenorganisationen muss durch das jeweilige Finanzinstitut (Acquirer) nachgewiesen werden. Händler sind dazu verpflichtet, ihre PCI-Konformität (Compliance) nachzuweisen, indem sie einen Selbstbewertungs-Fragebogen ( Self Assessment Questionnaire ; standardisierter Fragebogen zur Selbsteinschätzung) ausfüllen. Da jeder Händler eine andere IT-Infrastruktur hat, gibt es verschiedene Fragebögen, die sich in der Anzahl der Fragen unterscheiden. Der Fragebogen ist jährlich neu auszufüllen. PCI-Compliance Seit dem erfüllt Datatrans AG sämtliche PCI- Richtlinien und ist von VISA und MasterCard als Payment Service Provider offiziell zertifiziert (jährliche Wiederholung). Mit dieser Zertifizierung bestätigen wir sowohl die technische wie auch die organisatorische Sicherheit. Die PCI-Zertifizierung von Datatrans schützt Sie und Ihre Kunden vor Angriffen durch Kriminelle. Ihre Kunden haben die Gewissheit, dass sie gefahrlos und bequem bei Ihnen mit Kreditkarte bezahlen können ein wichtiges Argument beim Einkauf im Internet. Die PCI DSS-Standards sind für sämtliche Kartenakzeptanzstellen damit auch für Ihren Shop verbindlich. Sie gelten nicht nur für Web-Shops und Callcenter, sondern für alle Händler, die ihren Kunden Kreditkartenzahlungen anbieten. Die PCI DSS-Richtlinien betreffen sowohl Daten in digitaler Form, als auch jene, die dem Händler physisch vorliegen. Die Kartenorganisationen verlangen eine weiterführende PCI-Zertifizierung von jedem, der Kreditkartendaten annimmt, weiterleitet oder speichert. Nebst der Zertifizierung müssen regelmässig externe Schwachstellen-Scans der Systeme erfolgreich absolviert werden. Eine PCI DSS-Zertifizierung ist deshalb nicht nur sehr teuer, sondern auch äusserst aufwändig. Werden Kreditkartentransaktionen ohne Zertifizierung abgewickelt, drohen hohe Strafzahlungen und sogar die Kündigung des Kreditkartenakzeptanzvertrages. Was bedeutet dies für Sie als Datatrans-Kunde? Wir bieten Ihnen clevere Lösungen, mit denen Sie grundsätzlich sämtliche PCI-Standards vollumfänglich erfüllen auch dann, wenn Sie als Händler Zahlungsinformationen hinterlegen wollen, um Ihren Kunden einen One-Click Checkout anbieten zu können oder wenn Sie periodisch wiederkehrende Belastungen ausführen möchten (siehe Datatrans Kreditkarten-Alias und Datatrans PCI Proxy). Die Zusammenarbeit mit Datatrans entbindet die Händler jedoch nicht von der Pflicht, die PCI-Richtlinien für den Betrieb der eigenen Infrastruktur einzuhalten und den Vorgaben seines Finanzinstituts zu folgen. Datatrans haftet nicht für allfällige Schäden, die auf den nicht PCI konformen Betrieb der Infrastruktur zurückzuführen sind. 2 datatrans-news

3 PCI DSS Damit Sie als Händler mit Ihrer Lösung PCI-konform arbeiten können, beachten Sie bitte folgende Punkte: Halten Sie sich genau an unsere Implementierungsspezifikationen. Schulen Sie Ihre Mitarbeiter zum Thema PCI: Fordern Sie, dass keine elektronischen Dokumente mit Kreditkartendaten geführt oder gespeichert werden; muss eine Kreditkartennummer doch einmal notiert werden, dann auf Papier, welches nach Gebrauch umgehend fachgerecht vernichtet werden muss. Definieren Sie in Ihrem Entwicklungsauftrag die Einhaltung der PCI-Richtlinien als integrierten Bestandteil des Projektauftrags und fordern Sie kostenlose Nachbesserungen, falls dies nicht eingehalten wird. Datatrans PCI Proxy Viele Anbieter von Leistungen, speziell im Tourismus Bereich, sind darauf angewiesen, Kreditkartendaten entgegenzunehmen und für wiederkehrende Zahlungen oder als Garantie für reservierte Dienstleistungen aufzubewahren. Dieses Verfahren ist heute nur noch mit der oben erwähnten, aufwändigen PCI DSS-Zertifizierung erlaubt. Mit dem PCI Proxy bietet Datatrans eine ideale Alternative. Seit der Einführung von PCI DSS (Payment Card Industry Data Security Standards) sind der Verarbeitung und Speicherung von Kreditkartendaten jedoch enge Grenzen gesetzt. Um auch weiterhin Kreditkartennummern zur Garantie von touristischen Leistungen verwenden zu können, müssten sich theoretisch alle beteiligten Organisationen und Firmen (Buchungsportale, Channel Manager, Hotels etc.) einer PCI-Zertifizierung unterziehen, was mit einem erheblichen Aufwand verbunden ist. Der Datatrans PCI Proxy bietet eine Alternative zur PCI-Zertifizierung. Er ermöglicht es, Kreditkartendaten wie bis anhin verwenden zu können, ohne sich dabei einer weiterführenden PCI-Zertifizierung unterziehen zu müssen (siehe nebenstehenden Artikel). Anstelle von Kreditkartennummern werden im Kundensystem sogenannte Aliase (Tokens) gespeichert. Diese Aliase können in Kombination mit verschiedenen Datatrans APIs wie echte Kreditkartennummern verwendet werden. Für die folgenden Anwendungsfälle hat Datatrans bereits erfolgreich PCI Proxy Anwendungen implementiert: Online Tokenizer für Internet Reservationssysteme der flexible Service für Web Buchungstools Hotelbuchungsportale und Destination Management Systeme übermitteln in vielen Fällen Kreditkartendaten an die Leistungsträger (Hotels) beispielsweise damit diese bei Nichterscheinen eines Gastes (No Show) den Übernachtungspreis selbständig in Rechnung stellen können. Mit dem Datatrans Online Tokenizer wird die Kreditkartennummer direkt nach deren Eingabe durch den Buchenden über ein spezielles Ajax API in einen Alias umgewandelt. Obschon die Daten nicht auf einem Web Formular von Datatrans eingegeben werden, kommt dabei das Reservationssystem dennoch nie mit Kreditkartennummern in Berührung und erfüllt somit die Auflagen von PCI DSS. datatrans-news

4 PCI DSS Infos Für weitere Informationen zu den verschiedenen PCI Proxy- Varianten kontaktieren Sie uns am besten per an oder Sie rufen uns einfach an. Unsere Spezialisten beraten Sie gerne. No Show Charge Detokenizer für Hotels der ideale Service für die PCI konforme Abwicklung von No Show Charges Hotels und andere Leistungsträger wie beispielsweise Autovermieter belasten häufig sogenannte No Show Fees. Mit dem Detokenizer ist es in solchen Fälle möglich, dem Leistungsträger auf PCI konforme Weise eine Kreditkartennummer anzuzeigen und entsprechende Nachbuchungen auszuführen. IATA HOT File Tokenizer für Airlines der zuverlässige Service für den PCI konformen Import von HOT files Airline eigene Ticket Offices, Global Distribution Systems (GDS) und Travel Agents/ BSPs übermitteln Reservierungsdaten im IATA HOT Format. Der Datatrans PCI Proxy entfernt alle Kreditkartendaten aus den HOT Files und ersetzt diese durch Aliase. Channel Manager Tokenizer die High End Lösung für die PCI konforme Integration von Online Buchungsportalen und Global Distribution Systems Der Channel Manager Tokenizer ist der Premium Service unter den Datatrans PCI Proxy APIs. Es handelt sich dabei um eine universelle Schnittstelle zwischen den Leistungsträgern (Hotels oder Hotelgruppen, Destinationen etc.) auf der einen und Online Reisebuchungsportalen auf der anderen Seite. Der Channel Manager Tokenizer unterstützt alle gängigen Buchungsportale und Globalen Distributionssysteme (GDS). PCI DSS-Zertifizierung wird auch für Hotels zur Pflicht Ab Herbst dieses Jahres müssen alle Hotels die Payment Card Industry Data Security Standards (PCI DSS) zwingend erfüllen. Die PCI DSS sind die weltweit gültigen Sicherheitsstandards der internationalen Kreditkartenorganisationen. Sie sollen dazu beitragen, Kreditkartendaten besser zu schützen und damit die Sicherheit zu erhöhen. Die PCIzertifizierten Hotellösungen bewahren Hoteliers vor finanziellen Schäden und Schadenersatzforderungen im Falle von Datenmissbrauch. Halten sich Hotels hingegen nicht an diese Standards und lassen sich nicht entsprechend zertifizieren, können sie haftbar gemacht werden. Mit einer korrekten, die Spezifikationen befolgenden Implementierung der Datatrans Zahlungslösung, erfüllen Sie die technischen Anforderungen von PCI DSS (Payment Card Industry Data Security Standard). Für Sonderfälle mit Benutzerprofilen stehen spezielle Lösungung zur Verfügung: Datatrans Kreditkarten-Alias Datatrans PCI Proxy 4 datatrans-news

5 Neue Zahlungsmittel curabill Kauf auf Rechnung und Ratenzahlung Internet-Shops, die mit Datatrans arbeiten, können die von den Konsumenten stark nachgefragten Zahlungsarten Kauf auf Rechnung und Ratenzahlung neu auch von curabill, einem Kompetenzzentrum der Swisscom Schweiz AG, für ihre Shops anbieten. Die Rechnung ist die am häufigsten von den Konsumenten gewünschte Zahlungsart. Wie der Einsatz zeigt, erhöht diese Zahlungsart den Umsatz eines Shops deutlich, bei gleichzeitig signifikanter Reduzierung der Kaufabbruchquote. Als Ergänzung zum Kauf auf Rechnung bietet curabill auch die Ratenzahlung mit vollständig papierlosem Online- Entscheid an. Beide Zahlungsarten sind für den Konsumenten nach einer im Hintergrund durchgeführten Antragsprüfung sofort nutzbar. Dank der bereits bestehenden technischen Integration erfolgt die Aufschaltung für den Internet-Shop innert kürzester Zeit. Die speziellen Services und Vorteile von curabill sind: Rechnungserstellung in allen Landessprachen Eigenes mehrsprachiges Servicecenter für Anfragen von Ihnen und Ihrer Kunden Kundennähe durch lokale Betreuung Alle Dienstleistungen aus einer Hand Individuelle Teilzahlungsvereinbarungen für Ihre Kunden Ratenkauf komplett digital mit Sofortentscheid und risikofrei für den Händler Individuelle Risikomodelle mit einer Ausfallabsicherung bis zu 100% und damit eine kostengünstige Preisstruktur Sofortige Auszahlung der eingereichten Rechnungsbeträge Individuelle Zahlungs- und Mahnfristen vereinbar Vollintegrierte Inkassoprozesse ausgeführt durch die Swisscom Tochter Alphapay AG Weitere Informationen über die verschiedenen Angebote wie auch über die Implementierung dieser Services finden Sie unter curabill ist eine Schweizer Spezialistin für Forderungsmanagement, Factoring und Treuhand-Dienstleistungen und verfügt über mehr als 30 Jahre Erfahrung in diesem hochsensiblen Bereich. Infos Möchten Sie nähere Informationen oder interessieren Sie sich für eine konkrete Offerte? Wir helfen Ihnen gerne weiter bitte kontaktieren Sie unser Verkaufsteam unter oder per an datatrans-news

6 Payment News E-Commerce-Report Schweiz 2013 neu auch in Französisch kostenlos erhältlich Der neue E-Commerce-Report Schweiz 2013 steht ab sofort zum ersten Mal auch auf Französisch kostenlos zur Verfügung. Sie können ihn auch weiterhin auf Deutsch gratis herunterladen. Infos Weitere Informationen finden Sie unter: Auch in diesem Jahr zeichnen die beiden Professoren Ralf Wölfle und Uwe Leimstoll ein qualitativ hochstehendes Bild über den Schweizer Onlinehandel aus Anbietersicht. Hierzu äussert sich der Verband des Schweizerischen Versandhandels wie folgt: Der E-Commerce Report 2013 ist da. Es ist erneut ein «Glanzstück» an differenzierter Betrachtungsweise entgegen allen Hypes und Buzzwords. Eine Wohltat für den Praktiker, der nicht einfach nur von Visionen leben kann, sondern sein tägliches Brot (und dasjenige seiner Mitarbeiter) im harten Konkurrenzkampf verdienen muss. Investieren oder zurückbleiben? Diese Frage fasst die Situation im Schweizer B2C-E-Commerce aus Sicht der Anbieter zusammen. Während der Wachstumstrend im Onlinehandel weiterhin ungebrochen ist und von den Studienteilnehmern für die kommenden Jahre fortgeschrieben wird, verschärft sich für die Anbieter der Wettbewerb. Deshalb stellen sie ihre Geschäftskonzepte auf den Prüfstand, optimieren und justieren auf vielen Ebenen. Gleichzeitig tauchen immer neue Handlungsfelder auf. Sie stellen einerseits Chancen, andererseits aber auch die Notwendigkeit von Entscheidungen und Investitionen dar. Die wichtigsten Handlungsfelder sind Cross-Channel-Konzepte und Mobile. Unter den folgenden Links können Sie die Studie kostenlos beziehen: in Deutsch (pdf, 1 MB): in Französisch (pdf, 1.1 MB): Neue Acquirer Hobex AG Für Österreich steht neu neben card complete und PayLife auch der Acquirer hobex zur Verfügung. hobex ist österreichischer Komplettanbieter für bargeldlose Zahlungssysteme. Sie sind Ansprechpartner für alle Fragen in Bezug auf Hard- und Softwarelösungen wie Akzeptanz der Kredit- oder Bankomatkarten oder Zahlung im Internethandel. 6 datatrans-news

7 Technische Informationen Alarmmails, Signatur, XML Status Request und Mobile Payment Libraries Unpersönliche Gruppen- -Adressen für Alarmmails Datatrans verschickt Alarmmails, sobald in der Zahlungsverarbeitung Störungen auftreten, die für eine Mehrheit von unseren Kunden von Bedeutung sind; dies unabhängig vom Störungsgrund und vom Störungsverursacher (d.h. auch für Drittsysteme). Damit diese Meldungen auch ankommen, sollte die bei uns hinterlegte Adresse unpersönlich sein, d.h. eine Gruppen- -Adresse oder ein Alias. Bitte setzen Sie sich mit uns in Verbindung, falls eine von Ihnen gewünschte Adresse auf diesem Verteiler fehlt oder aktualisiert werden sollte: Infos Für weitere Informationen zu diesen Themen wenden Sie Sich bitte an unser Support-Team. Verbesserter Schutz vor betrügerischen Manipulationen durch die Signatur Bei Verwendung von externen Zahlungsformularen wie beispielsweise der Datatrans Universal Payment Page (UPP) besteht ein kleines Risiko, dass ein findiger Käufer während des Bezahlprozesses bestimmte Daten wie beispielsweise den Betrag manipuliert und somit gefälschte Informationen an Datatrans übermittelt werden. Dies kann dazu führen, dass die Transaktion mit einem zu kleinen Betrag abgerechnet werden. Derartigen Manipulationen kann man durch die Verwendung der Signatur (Parameter «sign») zuverlässig vorbeugen. Es gibt zwei Varianten der Signatur, einen statischen Schlüssel sowie einen dynamischen Hash-Wert. Die dynamische Variante ist etwas aufwändiger zu integrieren, dafür bietet sie auch den besseren Schutz. Verbesserter XML Status Request In bestimmten Situationen kann es nützlich sein, den Status einer Transaktion nachträglich zu ermitteln. Ein Beispiel sind Zahlungsprozesse, die nicht ordentlich durch den Aufruf der Rücksprungadresse des Händlers zum Abschluss kamen. Durch den XML Status Request ist es möglich, zuverlässig zu ermitteln, ob solche Transaktionen ausgeführt wurden. Bisher war es allerdings so, dass eine eindeutige Referenznummer pro Transaktion und Händler Voraussetzung war, um den Status zu ermitteln. Wenn mehrere Transaktionen mit derselben Referenznummer abgerechnet wurden, brachte der Status Request nur die Anzahl der gefundenen Transaktionen zurück, jedoch ohne ergänzende Details. Neu werden auch bei mehreren Transaktionen mit derselben Referenznummer alle Details zurückgegeben. Diese neue Abfrage ist kostenlos, d.h. im Transaktionspreis inbegriffen. PayPal Billing Agreement und PostFinance Alias auch in unseren Mobile Payment Libraries verfügbar Der grosse Erfolg unserer Mobile Payment Libraries hat uns dazu bewogen, diese Zahlungsmodule weiter auszubauen. Nebst vielen kleinen Optimierungen sind wir nun auch die One-Click Checkout Features angegangen. Für PayPal können neu sogenannte Billing Agreements abgeschlossen werden. Für PostFinance Card Transaktionen können Alias Freigaben getätigt werden. Das heisst, für beide Zahlungsarten können nun direkt in der nativen ios oder Android App die Kontodaten für künftige Zahlungen gespeichert werden. So ist es möglich, dass registrierten Kunden die gespeicherten Daten für das vereinfachte Bezahlen (One-Click Checkout) zur Verfügung stehen. Oder der Händler kann regelmässig wiederkehrende Zahlungen (Recurring Billing) wie beispielsweise bei Abonnementsgebühren ausführen. datatrans-news

8 Neue Kunden Bisnode, Edelweiss Air und Schweizer Jugendherbergen Neu dürfen wir Bisnode, Edelweiss Air und die Schweizer Jugendherbergen bei Datatrans begrüssen. Bisnode ( Bisnode ist europäischer Marktführer für digitale Wirtschaftsinformationen und unterstützt Unternehmen, bessere geschäftliche Entscheidungen zu treffen, Risiken zu minimieren und Vertriebserfolge zu maximieren. Die aus Datenvernetzung gewonnenen Einblicke erleichtern den Kunden von Bisnode das Entscheiden sowohl in strategischen Fragen wie auch im operativen Alltagsgeschäft. Bisnode bedient mit über Mitarbeitenden mehr als Kunden in 19 europäischen Märkten. Bisnode hat Datatrans als Payment Service Provider für die sichere Abwicklung der Online- Zahlungen über das Wirtschaftsinformations-Portal monetas gewählt. Mit monetas kann jedermann einfach und günstig Firmen in Deutschland, Österreich und der Schweiz durchleuchten und Informationen aus dem Handelsregister oder zur Bonität abrufen. Edelweiss Air AG ( Die Edelweiss Air AG wurde am 19. Oktober 1995 in Bassersdorf gegründet. Im November 2008 wurde Edelweiss in die Lufthansa-Gruppe integriert und ist heute eine Schwestergesellschaft von SWISS. Der Firmensitz ist am Flughafen Zürich. Im Jahr 2012 flog Edelweiss rund 1.3 Millionen Passagiere an schöne Feriendestinationen in weltweit 28 Ländern. Die Edelweiss Air durfte für ihre ausgezeichneten Leistungen in den Jahren jeweils den goldenen Travelstar Award entgegennehmen. Datatrans AG Stadelhoferstrasse Zürich Tel Fax Schweizer Jugendherbergen ( Seit 90 Jahren sind die Schweizer Jugendherbergen erste Adresse für budgetbewusste Reisende. Kein Wunder, denn sie befinden sich oft in traumhaften historischen Gebäuden wie Schlössern, ehemaligen Fabrikgebäuden und historischen Villen. In den vergangenen Jahren wurde die Palette um spektakuläre Neubauten ergänzt. Insgesamt 53 Häuser bieten eine massgeschneiderte zeitgemässe Infrastruktur für Junge, Junggebliebene und Familien; eine Altersbeschränkung kennt man nicht. Die meisten Jugendherbergen bieten heute Sechser-, Vierer- und Doppelzimmer an; die kleineren Einheiten wahlweise mit eigenem Bad. Aktuell entsteht in Saas-Fee die erste Jugendherberge mit eigener Wellnessanlage mehr dazu unter Adressänderungen und Mitteilungen an: Tel marketing@datatrans.ch Bestellung Newsletter: marketing@datatrans.ch Elektronische Newsletter: (unter Über uns ) 8 datatrans-news