Remote e-/m-payments im Internet

Transkript

1 Einführung in das Thema e-/m-payments Remote e-/m-payments im Internet Online Shop Internet Online Käufer Stand: 22. März PayComm e.v. - Kronberger Straße Dietzenbach 1

2 Inhalt Remote e-/m-payments im e-commerce e-commerce Übersicht 2-7 Zahlungsverfahren im Internet 8-19 Beteiligte Parteien Technische Infrastruktur Sicherheitsanforderungen Online Betrug Maßnahmen gegen Online Betrug e-/m-payment Geschäftsmodelle Rechtliche Rahmenbedingungen Marktinformationen Ausblick PayComm e.v. - Kronberger Straße Dietzenbach 2

3 Zur Entwicklung des Internets Das Internet ist ein weltweiter Verbund von Computern, die über unterschiedlichste Kommunikationsverbindungen und Rechnerplattformen auf der Basis des einheitlichen Kommunikationsprotokolls (TCP/IP) miteinander Daten austauschen können. TCP/IP = Transmission Control Protocol / Internet Protocol Zur Historie des Internets Beispiele 1969: Projekt der Defence Advanced Research Projects Agency (DARPA) Name ARPANET mit dem NCP Protokoll des US-Militärs u. der US-Verwaltung 1982: Das NCP-Protokoll mündet in die Spezifikation TCP/IP in UNIX BSD-Version 1989: CERN (Genf) Entwicklung eines Hypertext-Projekts als In-house Lösung HTML Sprache (Hyper Text Markup Language) und des HTTP-Protokolls (Hypertext Transfer Protocol) 1991: Freigabe des Internets zur öffentlichen Nutzung 1993: www-browser Netscape, Implementierung des Single Line Internet Protokoll (SLIP) SLIP wurde später abgelöst durch das Point-to-Point Protokoll (PPP) Implementierung von Multi Media (JAVA fähige Browser) und von Applets (Applikationen) Das Internet wird mobil (Browser für Smart Phones, Tablets, PDAs; QR Codes) 2009: Weltweit sind ca. 350 Millionen PCs gleichzeitig miteinander verbunden. 2012: Weltweit ca. 2,4 Mrd. Internet Nutzer Datenaufkommen >26,7 Mrd. GB/Monat Mehr Menschen nutzen das Internet über mobile Geräte als über den heimischen PC PayComm e.v. - Kronberger Straße Dietzenbach 3

4 Zum Begriff e-commerce Weltweiter Online Handel von Waren, Dienstleistungen, digitalen Produkten und Informationen im Internet in den Ausprägungen B2B, B2C, C2C. e-commerce im mobilen Internet auch m-commerce genannt ist Teil des e-commerce e-commerce ist ein Distanzgeschäft und daher kein Verkauf am Point of Sale. Verlagerung von Geschäftsprozessen des Handels in das Internet. e-commerce nutzt mehrere Online Verkaufskanäle Internet (Onlineshops, mobile Shops, mobile Apps, QR Code) Telefon / IVR (Call Center, MOTO) Mobile Internet Endgeräte (z. B. Mobiltelefone, Tablets, PDAs) Öffentliche Kiosk Systeme (z. B. Outdoor Verkauf von Tickets) e-commerce unterliegt der EU Regulierung und der nationalen Gesetzgebung. Weltweit gibt es auch Rechtsauffassungen, die EU Recht widersprechen können PayComm e.v. - Kronberger Straße Dietzenbach 4

5 Besonderheiten / Einflüsse 77% der deutschen Internet User sind Online Käufer (Stand: Ende 2011). e-commerce wächst am stärksten in den Segmenten Airlines, Bahn, Veranstalter (z. B. Tickets) Internet Communities, Malls (z. B. ebay, Amazon, i-tunes, ) Reiseveranstalter (z. B. Expedia, Opodo, ) Zuwachs ca. 30% pro Jahr (geschätzt; stark branchenabhängig) Onlineshops im mobilen Internet (Zugang über Smart Phones, Tablets, PDAs). Bei grenzüberschreitenden Online-Käufen und internationalen Transaktionen können bei Streitfällen unterschiedliche Rechtsauffassungen zu Problemen führen. Fast 45% der Online Käufer haben die Online Bestellung schon einmal wegen unklarer Zahlungsmethoden abgebrochen: Zu kompliziert Misstrauen bzw. empfundene Unsicherheit Dadurch werden Spontankäufe erschwert PayComm e.v. - Kronberger Straße Dietzenbach 5

6 Physical Goods Products Digital Services Codes & Tickets Content only Digital Goods Schulungsunterlage e-commerce e-commerce Wo kann man was kaufen und bezahlen? Mobile Internet Internet Web Web Kiosks, POIs B2B Services Contactless Tags e-/m-payments (cards, prepaid products, wallets, SMS payments, online bank transfers) e-/m-payments (cards, prepaid products, wallets, SMS payments, online bank transfers) e-/m-payments (cards, prepaid products, wallets, SMS payments, online bank transfers) e-/m-payments (cards, prepaid products, wallets, SMS payments, online bank transfers) Mobile NFC Payments (cards, prepaid products, wallets, SMS payments, online bank transfers) music, tones, movies, magazines, etc. music, tones, movies, magazines, etc. music, tones, movies, magazines, etc. SW downloads, services, licences music, tones, movies, downloads, etc. e-/m-payments (cards, prepaid products, wallets, SMS payments, online bank transfers) e-/m-payments (cards, prepaid products, wallets, SMS payments, online bank transfers) e-/m-payments (cards, prepaid products, wallets, SMS payments, online bank transfers) e-/m-payments (cards, prepaid products, wallets, SMS payments, online bank transfers) Mobile NFC Payments (cards, prepaid products, wallets, SMS payments, online bank transfers) Prepaid Recharging, gifting, events, tickets, games Prepaid Recharging, gifting, events, tickets, games Prepaid Recharging, gifting, events, tickets, games Prepaid Recharging, gifting, events, tickets, vouchers Prepaid Recharging, gifting, events, tickets, vouchers e-/m-payments (cards, prepaid products, wallets, SMS payments, online bank transfers) e-/m-payments (cards, prepaid products, wallets, SMS payments, online bank transfers) e-/m-payments (cards, prepaid products, wallets, SMS payments, online bank transfers) e-/m-payments (cards, prepaid products, wallets, SMS payments, online bank transfers) Mobile NFC Payments (cards, prepaid products, wallets, SMS payments, online bank transfers) books, any goods, initiate delivery books, any goods, initiate delivery books, any goods, initiate delivery any kind of products, ordering in B2B world books, any goods, initiate delivery PayComm e.v. - Kronberger Straße Dietzenbach 6

7 e-commerce ohne Bezahlen geht es nicht Online Geschäftsprozesse und Kriterien Websites Informationssammlung Auswahl Bezahlung WERBUNG ANGEBOT NACHFRAGE LIEFERUNG & LEISTUNG CUSTOMER CARE Portale Angebotsvergleich Bestellung Logistik bis zum Konsumenten DEMAND Generation TRUST Generation Sicheres Online Bezahlen ist unverzichtbarer Baustein bei Online Käufen im Internet PayComm e.v. - Kronberger Straße Dietzenbach 7

9 Bezahlen im Internet Grundsätzlich identisch mit dem Geschäftsmodell am realem POS 4 Parteienmodell bzw. 3 Parteienmodell Adaptiert für alle offenen bzw. geschlossenen Internet Zahlungsverfahren Anforderungen an Zahlungssysteme Sicher für alle Beteiligte Zahlungssicherheit, Datenschutz, Betrugsabwehr, Nachvollziehbarkeit,... Einfache Bedienbarkeit Zugang, Abwicklung, ohne Voranmeldung, Implementierung Schnell Zahlungsprozess, Durchführung Günstig für Händler und Kunde Wichtige Akzeptanzkriterien sind Sicherheit, Datenschutz und Vertrauen PayComm e.v. - Kronberger Straße Dietzenbach 9

10 Einordnung Remote e-/m-payments im Internet (1) Im Internet stehen vielfältige und unterschiedliche Zahlungsverfahren im Wettbewerb. Der in Online Shops angebotene e-/m-payment Mix setzt sich individuell zusammen aus: Karten, Online Überweisungen, Wallets, Prepaid Produkten, verzögerte Zahlungen (z. B. Nachnahme, nach Rechnungseingang, Ratenkauf). Anbieter von e-/m-payment Diensten sind Banken und E-Geldinstitute (EMI) Acquirer von e-/m-payment Diensten sind Zahlungsinstitute (PI), Banken und E-Geldinstitute. Einordnung Mobiles Bezahlen im Kontext der Payment Industrie Remote e-/m-payments im Internet und im mobilen Internet auch: Proximity Payments mit NFC-fähigen mobilen Endgeräten an kontaktlosen POS Terminals auch: Tablet PCs und Smart Phones als mini-pos Terminal (MPOS Endgeräte) PayComm e.v. - Kronberger Straße Dietzenbach 10

11 Einordnung Remote e-/m-payments im Internet (2) Es gibt weit mehr als 100 verschiedene remote e-/m-payment Brands im Internet PayComm e.v. - Kronberger Straße Dietzenbach 11

12 e-/m-payment Zahlungsverfahren in D Beispiele Nicht-Kartenverfahren Vorkasse Rechnung Nachnahme Ratenkauf Inkasso Systeme Lastschrift (z. B. ELV online) Bankeinzug Online Überweisung giropay (D) eps (A) ideal (NL) Bankeinzug über Telefonrechnung Kartenverfahren Kreditkarten Alle Kartenbrands Gesichert: 3D-Secure (MasterCard SecureCode, Verified by VISA, JCB J/Secure) auch gesichert: SSL mit Kartenprüfnummer (KPN) Debit Karten MasterCard Debit, Maestro, VISA Debit, V PAY, Electron Gesichert: 3D-Secure, SSL mit KPN keine girocard Karten Prepaid Karten MasterCard, VISA, Maestro, V PAY, Electron, e-purse (z.b. GeldKarte) sicherer Kartenleser erforderlich Verfahren Dritter Prepaid Produkte z. B. PaysafeCard Handelskarten Kundenkarten GiftCards Wallet Dienste PayPal, Paybox GlobalCollect Skrill, Webmoney Clickandbuy mpass andere Verfahren Money Transfer P2P (Person-2-Person) Mobile Money Transfer (MMT) e-vouchers PayComm e.v. - Kronberger Straße Dietzenbach 12

13 Multi-Payments im e-commerce Beispiele Quellen: Webseiten von ACQs und PSPs PSP Services und ACQ Services werden zugeschnitten auf auf lokale + grenzüberschreitende e-/m-payment Anforderungen IT Plattformen führender Payment Service Provider (PSP) verarbeiten >80 e-/m-payment Verfahren und verbinden Onlineshops mit >200 Acquirern der EEA Region (auf Wunsch). Source: ogone PayComm e.v. - Kronberger Straße Dietzenbach 13

14 Bezahlseite im Online Handel Typisches Beispiel Als Sicherheitsmerkmal wird die Kartenprüfnummer (KPN) abgefragt. Die Seite nutzt SSL-Verschlüsselung PayComm e.v. - Kronberger Straße Dietzenbach 14

15 Bezahlseite im Online Handel Beispiel Lufthansa Als Sicherheitsmerkmal wird die Kartenprüfnummer (KPN) abgefragt. Die Seite nutzt SSL-Verschlüsselung PayComm e.v. - Kronberger Straße Dietzenbach 15

16 Online Banküberweisung Beispiel giropay 80% Marktabdeckung Source: giropay giropay Online Banküberweisung im Internet Ziel: keine Zahlungsinformation über den Händler PayComm e.v. - Kronberger Straße Dietzenbach 16

17 Digitale Wallet Services (1) Beispiel PayPal e-wallet ID 34,40 8 Tagesticket Wiener Linien PayPal ermöglicht es Privatpersonen und Unternehmen, Online-Zahlungen sowie Zahlungen über mobile Geräte sicher, schnell und einfach auszuführen und zu empfangen. Die Eingabe von Konto- oder Kreditkartendaten ist dabei nicht notwendig, denn diese Daten sind bereits sicher bei PayPal hinterlegt. Die globale Zahlungs-Lösung zählt bereits 123 Millionen aktive Kundenkonten und steht Nutzern in 190 Märkten und 25 Währungen zur Verfügung. PayPal wurde 1998 gegründet und ist seit 2002 ein Tochterunternehmen von ebay mit Hauptsitz in San Jose, Kalifornien. Seit 2007 besitzt PayPal in Europa eine Banklizenz und unterliegt damit dem Europäischen Recht. In Europa; Regulierung durch die luxemburgische Bankaufsicht CSSF. Source: PayPal PayPal (E-Geldinstitut mit eigener Banklizenz) nutzt weltweit die Bankeninfrastruktur PayComm e.v. - Kronberger Straße Dietzenbach 17

18 Digitale Wallet Services (2) Beispiel Skrill Source: Skrill Skrill (E-Geldinstitut, vormals Moneybookers) nutzt weltweit die Bankeninfrastruktur PayComm e.v. - Kronberger Straße Dietzenbach 18

19 Digitale Wallets Wallet Wars im Internet? Digitale Wallet Dienste drängen vom Onlineshop zum POS die Kartenorganisationen halten dagegen PayComm e.v. - Kronberger Straße Dietzenbach 19

21 Beteiligte Parteien oft 3-/4-Parteien Modell + PSPs Händler als Anbieter mit Onlineshop oder Mobile App Payment Service Provider (PSP) als spezialisierter Verarbeiter (Processor) z. B. Technische Anbindung von Online Shops bzw. Mobile Apps an mehrere Acquirer Acquirer als Akzeptanzpartner des Handels Technische Processoren als Dienstleister der Acquirer und der Issuer Internationale Gateways als Routing Netz der Kartenorganisationen TSM Processoren als Dienstleister (Setup von Secure Elementen auf mobilen Endgeräten) Issuer als Anbieter von e-/m-payment Diensten z. B. kartenausgebende Banken z. B. E-Geld Institute z. B. Internet Player Konsumenten als Käufer mit PC, Notebook, Tablet oder Smart Phone PayComm e.v. - Kronberger Straße Dietzenbach 21

22 Die Rolle der Payment Service Provider (PSP) Charakteristika der Payment Service Provider (PSP) Spezialisierte technische Processing Dienstleister Bündeln unterschiedliche e-/m-payment Zahlungsverfahren in einer Schnittstelle Technisches Processing von Internetzahlungsdiensten aller Art Technische Anbindung von Online Shops und Mobile Apps an mehrere Acquirer Bereitstellung von Software Modules für Integration von speziellen Internetzahlungsdiensten z. B. Merchant Plug-In, API Interfaces, Elektronische Kassen für Online Shops, mobile App, Malls, etc. Hosting Services (Hosting von Online Shops, Mobile Shops, zusätzliche SaaS Dienste) Akzeptanz von geschlossenen Internetzahlungsdiensten Arbeiten als Vermittler für mehrere Acquirer Bieten Bezahldienste im Internet grenzüberschreitend an (in Europa, auch: weltweit) Einige PSP bieten komplette White-Label Virtual PSP Plattform Services (VPSP) an. Viele Acquirer bieten auch PSP Services an (ggf. White Label mit PSP Partnern) PSPs bieten kein Trusted Service Manager (TSM) Processing an (Stand: E2012) PayComm e.v. - Kronberger Straße Dietzenbach 22

23 Internationale PSP Dienstleister Beispiele (2012) PayComm e.v. - Kronberger Straße Dietzenbach 23

24 PSP Dienstleister in DACH Beispiele (2012) PayComm e.v. - Kronberger Straße Dietzenbach 24

26 Technische Entwicklung von e-/m-payments Rechnung und Nachnahme SSL Absicherung für Kreditkartenzahlungen Prepaid Karten und Debitkarten CVx2, 3D-Secure QR Code NFC?, Mitte 90ziger Aktuell Zukunft Ungesicherte Kreditkartenzahlung (analog MOTO, ab: 2004 SSL + KPN) Einführung SET mobile Zahlungen im Internet (z.b. SMS, paybox) two-factor authentication (CAP, VAP)? Unterschiedliche e-/m-payment Zahlungsverfahren sind gleichzeitig im Einsatz Entscheidungen über Nutzung (enrolment) und Akzeptanz der Verfahren liegt bei Kartenherausgebern bzw. e-geld Instituten Karteninhabern Acquirern Händlern Je nach Zahlungsverfahren gibt es unterschiedliche Haftungsregelungen PayComm e.v. - Kronberger Straße Dietzenbach 26

27 Zur Technischen Infrastruktur im e-commerce Kommunikation Internet Technologie Ebene z. B. Internetzugang, Router, Web Server, Firewall, Anti-Virus Programm Onlineshop Protokolle, Gateway Protokolle meist in XML- oder anderer Web-Technologie Onlineshop Interface Ebene z. B. Merchant Plug-ins, Direktanbindung über API Interface, Mobile Apps Sicherheit Erfüllung der Anforderungen an Datensicherheit z. B. PCI Compliance, SSL+KPN, 3D-Secure Payment Gateway sicheres Routing zu den Acquirer Systemen, ggf. mit eigener HSM Security Box Online Fraud Control Server Erkennung und Bekämpfung von Online Betrug (bei Issuern und Acquirern) Access Control Server ermöglicht online 3D-Secure Authentifizierung bei der kartenausgebenden Bank Merchant Services Merchant Server für das e-/m-payment Transaktionsmanagement der einzelnen Online Händler Merchant Information Server für das Reporting und eigene Abrechnungsdienste des Online Händlers Merchant Fraud Control Service Tool für den Merchant zur Erkennung und Bekämpfung von Online Betrug Andere Anforderungen Erfüllung der Anforderungen der Kartenorganisationen und der anderer Zahlungsdienste Erfüllung gesetzlicher Anforderungen z. B. Payment Service Payment Direktive, Anti-Geldwäsche PayComm e.v. - Kronberger Straße Dietzenbach 27

28 Technologie bei Payment Service Providern (PSP) Front-End Der Internet Payment Gateway verbindet Online Shops und Händler Systeme mit dem PSP Sicheres Online Processing und Management aller Payment TX mit den Online Shops der einzelnen Händler (z. B. Merchant Plug-in, Mobile App, web-basierte virtuelle Mail Order/Telefon Order Anwendungen, Direktanbindungen über API oder Batch Interface) Back-End Das Processing Gateway routet e-/m-payment Transaktionen zu den Acquirern Routing und Switching aller e-/m-payment TX zu den Acquirern z. B. Autorisierungsanfrage und antwort, TX Einreichung MIS Tool als Merchant Information & Management System für mehrsprachiges TX Monitoring und TX Management Der Online Händler ist für das Management und die Kontrolle seiner Online Payment TX selbst verantwortlich (nicht der PSP) Der PSP stellt dem Online Shop Software Tools gemäß den Wünschen und Marktanforderungen zur Verfügung (z. B. Charge-Back Tool) Online Händler Acquirer, z. B. In Europa Front-End Back-End Acquirers TCP/IP Merchant Fraud MIS Sichere Skalierbare IT Plattform IP, GPRS, UMTS, GSM Acquirer Fraud Online Merchant Domains E-/M-Payment Service Provider (PSP) Acquirer Domains PayComm e.v. - Kronberger Straße Dietzenbach 28

30 e-commerce Sicherheit Grundstruktur Online Shops / Merchants Zertifizierungsinstanz Mall / Community Internet Payment Service Provider, Acquirer, Finanzdienstleister 128 Bit+ SSL Kanal 128 Bit+ Online Käufer Anwendungsunabhängige Transportkanal-Verschlüsselung Geheimhaltung und Integrität der Daten Nutzung der de-facto Standards für sichere Kommunikation im Internet Sicherer Zahlungsverkehr getrennt vom Shop des Merchants Teilnehmer Authentifizierung unabhängig vom Online Shop des Händlers PCI DSS Standard mehr Datenschutz für Karteninhaberdaten und Kontodaten PayComm e.v. - Kronberger Straße Dietzenbach 30

31 Sicherheitstechnologien im e-commerce Aktuelle Sicherheitsanforderungen an Zahlungsdienste im Internet Ziel: Betrugsversuche verhindern bzw. zumindest nachhaltig erschweren Aktuelle Sicherheitstechniken im Internet (z. B. SSL, digitale Zertifikate, Firewall, Virenscanner) Kartenprüfnummern (KPN) z. B. CVV2, CVC2, CID, CID2 Verschlüsselung und Zertifizierung nach PCI DSS 3D-Secure (MasterCard SecureCode, Verified -by-visa, AmExp SafeKey, J/Secure) einmal gültige TAN bei Online Überweisungen papierbasiert, mittels TAN-Generator bzw. mtan PAN Truncation Verkürzte Darstellung von Kartendaten auf Transaktionsbelegen (nur letzte vier Ziffern der Kartennummer, z.b. 42XX XXXX XXXX 1234) Option: Audit zum Gütesiegel Zertifizierter Onlineshop z. B. EHI, TÜV, ISO Zertifikat PayComm e.v. - Kronberger Straße Dietzenbach 31

32 Das 3D-Secure Verfahren Entwickelt von VISA und MasterCard Bekannt als MasterCard SecureCode VbV (Verified by VISA) Automatische Registrierung: Frage nach der Mobilfunknummer des Karteninhabers Issuer können eine beliebige Methode zur Authentifizierung des Karteninhabers anwenden z. B. Passwort, einmalige TAN per SMS, Fingerabdruck, ) Absicherung z. B. mittels einmalig gültigen 3D-Secure Codes zugesandt auf das Mobiltelefon Wegen 3D-Secure Betrug: Viele Issuer haben statische 3D-Secure Passworte abgeschaltet. Adaptiert von anderen Kartenorganisationen z. B. SafeKey von American Express, J/Secure von JCB Mit Liability Shift (Haftungsumkehr) vom Händler zum Kartenausgeber wird die Einführung von 3D-Secure Verfahren forciert PayComm e.v. - Kronberger Straße Dietzenbach 32

33 3D-Secure Sicherheit Übersicht Haftungsumkehr (Liability Shift) Käufer Händler Acquirer Kartennetzwerk Karten- Issuer MPI VISA MC. MPI in Händler s Online Shop Directory Server (1 Directory Server je Kartenorganisation) Access Control Server (Einmaliger 3D-Code) PayComm e.v. - Kronberger Straße Dietzenbach 33

34 Ablauf 3D-Secure Zahlung Beispiel VISA Issuer Domain Cardholder Interoperability Domain 1 3 Acquirer Domain Merchant 5 Plug-in Access 2 VISA Directory 6 3D-Secure Authentication Adapter Control 3D-Secure Payment Adapter 5 Authentication History Internet Payment System 6 Issuer VisaNet Acquirer Source: VISA international PayComm e.v. - Kronberger Straße Dietzenbach 34

35 e-commerce Sicherheit Der PCI DSS Standard Der PCI Security Standards Council ist ein offenes globales Forum für die ständige Pflege, Weiterentwicklung, Dokumentation und Implementierung von Sicherheitsstandards für den Datenschutz von Karteninhaberdaten und Kontodaten im elektronischen Zahlungsverkehr. Die Organisation wurde von American Express, Discover Financial Services, JCB, MasterCard Worldwide und VISA International gegründet ( Mission des PCI Security Standards Councils ist die nachhaltige Verbesserung der Datensicherheit im elektronischen Zahlungsverkehr durch Anwendung von PCI Security Standards. PCI Data Security Standard (PCI DSS) PCI DSS ist ein umfassender Sicherheitsstandard, der Mindestanforderungen an Datensicherheit, das Management der Sicherheitsregeln und Sicherheitsprozesse, an Netzwerkarchitekturen, an das Software Design und an andere sicherheitsrelevante Maßnahmen stellt, z. B. (im Originalton) Build and Maintain a Secure Network; Protect Cardholder Data; Maintain a Vulnerability Management Program; Implement Strong Access Control Measures; Regularly Monitor and Test Networks; Maintain an Information Security Policy. Durch Anwendung der PCI Standards sollten alle Merchants, Payment Service Provider, Acquirer und Issuer zu höherer Datensicherheit im e-commerce beitragen PayComm e.v. - Kronberger Straße Dietzenbach 35

37 Online Betrugsarten im Überblick Online Betrug ist als Verbrechen strafbar Verurteilungen bis hin zu Haftstrafen. Online Betrug basiert auf der illegalen Beschaffung von Kartendaten/Kundendaten: Kartenfälschung (Counterfeit Fraud) Card Not Present Fraud Diebstahl von Karten (Lost and Stolen), Mail Non Receipt Fraud Identitätsdiebstahl (Identity Fraud) Cold Calls, Diebstahl von Ausweisen, Elektronischer Identitätsbetrug (Application Fraud) Diebstahl von Zahlungsbelegen aus Müllcontainern (z. B. in Tankstellen) Betrug bei Warenrückgabe (Return Fraud, Refund Fraud) Manipulierte Geldautomaten (z. B. Beschaffung von Kartendaten für Online Betrug) Computerbetrug Phishing; Pharming Hacking; 3D-Secure Fraud Manipulierte POS Terminals, Manipulierte Webseiten Dateneinbruch (Data Breach) Manipulierte QR Codes (Atagging) PayComm e.v. - Kronberger Straße Dietzenbach 37

39 Maßnahmen gegen Online Betrug (1) Präventionsmaßnahmen Einsatz von Tools zur Erkennung und Reduzierung von Missbrauch beim Entstehen von Online e-/m-payment TXs Monitoring der IP-Adresse und von Gerätekennungen (MAC-ID, Device Fingerprint ) Zurückweisen von eindeutig betrügerischen TX, ggf. manuelle Prüfung durch den Risk Manager Analyse von Schadensfällen (offline) daraus dann Ableitung von neuen Regeln zur frühzeitigen Entdeckung von Tätervorgehensweisen Implementierung dieser Online-Überwachungsregeln in den Front-Office Systemen mit Alarmierung Manuelle Nachbearbeitung von Alarmen und verdächtigen TXs (Zurückweisen oder OK?) Selektiver Anschluss von neuen Vertragspartnern bzw. von (anonymen) Online Käufern Definition von unerwünschten Hot-Spots oder auch sogenannten Ausschlussbranchen Zusammenarbeit auf nationaler und internationaler Ebene mit Kartenorganisationen Zusammenarbeit mit Behörden, die Sicherheitsaufgaben nachgehen (z. B. Bundeskriminalamt) PayComm e.v. - Kronberger Straße Dietzenbach 39

40 Maßnahmen gegen Online Betrug (2) Einsatz von Sicherheitstechnologien gemäß aktuellem Sicherheitsniveau Aktuelle IT Sicherheitstechniken (z. B. SSL, digitale Zertifikate, Firewall, Virenscanner) Verschlüsselung der Daten (z. B. PCI DSS Standard) Verschlüsselung nach aktuellen Data Encryption Standards (z. B. 3DES) PAN Truncation verkürzte Darstellung der Kartennummer (z. B. nur 4-letzte Ziffern auf Belegen) Kartenprüfnummern bei Online Kartenzahlungen (z. B. CVC2, CVV2, CID, CID2) 3D-Secure Verified-by-VISA bzw. MasterCard SecureCode (SPA-/UCAF) EMV Chip Einführung von SDA zum DDA/CDA Chip Abschalten des Magnetstreifen Repressionsmaßnahmen Konsequente Erstattung und Verfolgung von Strafanzeigen Zusammenarbeit mit Behörden und Organisationen mit Sicherheitsaufgaben Im Inland und Ausland Beitreibung von offenen Salden durch eigene Kräfte oder Inkassodienste Kündigung von negativ auffälligen Vertragsunternehmen und Karteninhabern PayComm e.v. - Kronberger Straße Dietzenbach 40

41 Maßnahmen gegen Online Betrug (3) Einsatz von eigenen Sicherheitssystemen Bestellen eines internen unabhängigen Risk Managers Implementierung von immer höheren Sicherheitsstandards Pflege einer eigenen Chargeback Datenbank und eigener Sperrlisten sowie Merchant Limits Aufbau einer eigenen Fraud Statistik Datenbank zur Erkennung von Betrugsmustern Nutzung von Online Tools zur Betrugserkennung (Fraud Detection) Nutzung von regelbasierten Online Tools zur Betrugsbekämpfung (Fraud Prevention) Ständige Erweiterung der Online Überwachungsregeln in den Autorisierungssystemen Mit Umsetzung der PCI Standards abgelöst Account Information Security (AIS) von VISA Site Data Protection (SDP) von MasterCard Sicherheitssysteme werden z. B. von Issuern, Acquirern und Payment Service Providern eingesetzt PayComm e.v. - Kronberger Straße Dietzenbach 41

43 e-/m-payment Geschäftsmodelle Die Grundtypen Die bekannten Geschäftsmodelle des bargeldlosen Zahlungsverkehrs wurden für die vielfältigen e-/m-payment Zahlungssysteme im Internet erweitert: Issuer Modell Remote e-/m-zahlungsdienste für Konsumenten Acquirer Modell Remote e-/m-zahlungsdienste Akzeptanz Payment Service Provider (PSP) u. a. als spezialisierter PSP Processor Processor Modell ISS/ACQ Processing von e-/m-payment Diensten TSM Processor Modell Setup von Secure Elements auf Mobiltelefonen Das Treuhandmodell (Escrow Trust Lösung, z. B. iclear) Treuhänder stellt sicher, dass der Käufer die Ware erhält und der Händler das Geld. Alternative für den Online-Kauf von höherwertigen Waren. Der Online-Händler ( Erlöse.vs. Einkauf + eigene Kosten + Akzeptanzkosten ) Der Online Einkäufer ( Eigenerlöse aus Onlineauktionen oder P2P/M2M-Verkäufen ) Die Geschäftsmodelle des Kartengeschäfts wurden für e-/m-payment Dienste adaptiert PayComm e.v. - Kronberger Straße Dietzenbach 43

45 Rechtliche Rahmenbedingungen e-commerce und remote e-/m-payments unterliegen der EU Regulierung Richtlinie 2007/64/EG Zahlungsdienste-Richtlinie (PSD) Richtlinie 2009/110/EG E-Geld Richtlinie (EMD) Richtlinie 2005/60/EG Anti-Geldwäsche Richtlinie (AML) Richtlinie 1995/46/EG Datenschutz Richtlinie Richtlinie 2000/31/EG e-commerce Richtlinie Verordnung 2009/924/EG für grenzüberschreitenden Zahlungsverkehr Verordnung 2011/83/EG Customer Rights Direktive (CRD), u. a.: Surcharging Verordnung 2012/260/EG SEPA End-Date Regulierung e-commerce und e-/m-payments unterliegen auch nationaler Gesetzgebung Zahlungsdiensteumsetzungsgesetz (ZaDiUG vom , BGBL 2009 Teil I Nr. 35) Zivilrecht bzgl. Zahlungsverkehr in 675c ff. BGB z. B. das Fernabsatzgesetz FernAbsG (D) ist heute Teil des BGB Einführungsgesetz zum BGB (EG BGB) in Artikel ff. (Informationspflichten) Zahlungsdiensteaufsichtsgesetz (ZAG) Aufsichtsgesetz für Zahlungsinstitute Geldwäschegesetz (GWG) PayComm e.v. - Kronberger Straße Dietzenbach 45

47 e-commerce Online Käufer in % der Internet Nutzer Source: HDE ,3% der Internet Nutzer sind gleichzeitig Online-Käufer (Deutschland) PayComm e.v. - Kronberger Straße Dietzenbach 47

48 e-commerce Anforderungen der Online Käufer Fast 45% haben bereits aufgrund undurchsichtiger Zahlungsmethoden die Bestellung abgebrochen. 56% der Online Käuferhaben bereits negative Erfahrungen gemacht. Sicherheit, Datenschutz und Vertrauen sind den Online Käufern besonders wichtig PayComm e.v. - Kronberger Straße Dietzenbach 48

49 e-commerce Unverändert starkes Online Wachstum Source: Bundesverband des deutschen Versandhandels (bvh) PayComm e.v. - Kronberger Straße Dietzenbach 49

50 e-commerce Umsätze nach Warengruppen Source: Bundesverband des deutschen Versandhandels (bvh) PayComm e.v. - Kronberger Straße Dietzenbach 50

51 e-commerce Umsatz mit Digitale Gütern *2012 Source: Bundesverband des deutschen Versandhandels (bvh) PayComm e.v. - Kronberger Straße Dietzenbach 51

52 Online Umsätze nach e-/m-payments in D (in%) Jahr 2011 Source: ECC Händlerumfrage IZH6, Februar 2012 Deutsche Online Käufer vertrauen auch online auf bewährte Zahlungsverfahren und PayPal PayComm e.v. - Kronberger Straße Dietzenbach 52

53 e-/m-payments Strategien der Händler Source: ecommerce-leitfaden 2012 Der Online Handel orientiert sich bzgl. Online Zahlungsverfahren an der Nachfrage seiner Online Käufer PayComm e.v. - Kronberger Straße Dietzenbach 53

54 Anforderungen des Handels an e-/m-payments Die Priorität der Anforderungen des Online Handels an Online Zahlungen sind keine Überraschung PayComm e.v. - Kronberger Straße Dietzenbach 54

56 Ausblick e-commerce Verlagerung von Geschäftsprozessen ins Internet Steigende e-commerce Transaktionszahlen, insbesondere im mobilen Internet Stark Wachsend Mobiler Einkauf über Tablets und mobile Smart Phones Online Verkäufe im E-Commerce erreichen in einzelnen Ländern bereits bis zu 15% des gesamten stationären Verkaufsvolumens vom Point of Sale. Das Wachstum der Betrugsfälle (Online Fraud) im e-commerce bleibt anhaltend hoch Wachsende Schadenssummen reduzieren die Gewinne der Unternehmen Hohe Internationalisierung der Bandenkriminalität (Cross-Border, Virtuelle Kartenfälschung) Organisierte Betrüger greifen gezielt Schwachstellen in der Processing Infrastruktur an Ständige Maßnahmen gegen Online Betrug zur Erhöhung des Sicherheitsniveaus Kartenprüfnummern, 3D-Secure Passwort, auch regional begrenzte Kartenprofile Monitoring von IP Adressen und Gerätekennungen (z. B. MAC-ID) Höhere Datensicherheit dank PCI DSS Implementierung Einsatz regelbasierter Online Fraud Prevention Systeme Mehr Sicherheit durch den Einsatz von two-factor Authentifizierungsmechanismen Einmalig gültige 3D-Secure Codes, SMS Bestätigung und einmalige mobile TANs PayComm e.v. - Kronberger Straße Dietzenbach 56

57 Trends im e-commerce (1) Seit 2010 Trend: Optimaler e-/m-payment Mix für maximalen Umsatz Nur mit dem passenden e-/m-payment Mix kann der Händler in seinen Online Shops den optimalen Umsatz erzielen. Trend: QR Code Shopping, Mobile App Shopping Einleitung des Online Einkaufs durch Scannen von QR Codes Zugang zum Onlineshop über eine Mobile App auf dem mobilen Endgerät Trend: Multi Channel Shopping Online Käufer kaufen zunehmend auch per Tablet und per Mobiltelefon online ein. Trend: Der digitale e-/m-payment Mix wächst Kartenzahlungen, Wallets, Prepaid Produkte und Online Banküberweisungen wachsen zu Lasten von Lastschrift, Rechnung, MOTO und Nachnahme Trend: Höheres Sicherheitsniveau durch mehr End-to-End Security Trend: Betrug mit Kartenfälschungen geht dank EMV Implementierung zurück PayComm e.v. - Kronberger Straße Dietzenbach 57