NEWSLETTER 05/ Oktober 2014

Transkript

1 NEWSLETTER 05/ Oktober 2014 Bargeldlose Bezahlung von Parkgebühren bei Parkingsystemen mit Schranken in der Schweiz Standortbestimmung und Ausblick, Arbeitsgruppe Zahlungsverkehr ParkingSwiss September 2014 / HS Durch Verschärfung der Sicherheitsanforderungen bei der Verarbeitung von Debit- und Kreditkarten verändern sich im Laufe der Zeit die bargeldlosen Bezahlungsmöglichkeiten. Dieser Newsletter informiert über die heute verfügbaren Lösungen für die bargeldlose Bezahlung von Parkgebühren bei Parkingsystemen mit Schranken in der Schweiz und zeigt Lösungsansätze für die Zukunft auf. 1 Kassenautomaten 1.1 Heute verfügbare bargeldlose Zahlungsmöglichkeiten Für die Bezahlung der Parkgebühr an Kassenautomaten mit Debit- (Maestro, V PAY, Postfinance Card) und Kreditkarten (MasterCard, VISA etc.) kann ein EMV- 1 und PCI-DSS-zertifiziertes 2 Zahlmodul im Automaten eingebaut werden (z.b. Davinci VENDING). Zahlungsmodule, welche alle von inländischen und ausländischen Bankinstitutionen herausgegebene Karten verarbeiten können, müssen über folgende Module verfügen: - PIN-Pad (Tastatur) - EMV-Kontaktchip- und Magnetstreifen-Kombilesemodul (motorisierter Einzugs- oder Steckleser) - Kontaktlos-Lesemodul für EMV-RFID 3 -CHIP und -NFC4 4 (Mobiltelefon) Sofern die nötigen Software-Updates erfolgt sind, kann mit dem EMV- RFID/NFC-Lesemodul die Bezahlung auch mit der von Aduno und Swisscom kürzlich lancierten Lösung mittels Mobiltelefon (Tapit mit virtueller Kreditkarte auf der SIM-Karte) erfolgen. Zurzeit ist es noch möglich, nur ein EMV-Kontaktchip- und Magnetstreifen- Kombilesemodul mit PIN-Pad (ohne Kontaktlos-Lesemodul) einzusetzen. Es ist jedoch zu erwarten, dass dies die Kreditkartenherausgeber in Zukunft für die Schweiz nicht mehr zulassen werden und ein zusätzliches Kontaktlos-Lesemodul zwingend vorgeschrieben wird. Diese Vorgabe ist in einzelnen EU-Ländern bereits erfolgt. 1 Die Buchstaben EMV stehen für die drei Gesellschaften, die den Standard des Kontaktchips entwickelten: Europay International (heute MasterCard Europe), MasterCard und VISA 2 PCI-DSS (Payment Card Industry Data Security Standard) ist ein Regelwerk im Zahlungsverkehr, das sich auf die Abwicklung von Zahlkartentransaktionen bezieht und von allen wichtigen Kartenorganisationen unterstützt wird. 3 RFID: Radio-Frequency-Identification 4 NFC: Near Field Communication Seite 1 von 5

2 1.2 Künftige Lösungen Da mittelfristig die meisten in der Schweiz herausgegeben Kreditkarten und z.t. auch Debitkarten mit einem RFID-Chip ausgerüstet sein werden, ist künftig denkbar, auf den Einbau des Kombilesers für Kontaktchip und Magnetstreifen zu verzichten und nur ein EMV-RFID/NFC-Lesemodul mit PIN-Pad einzusetzen, um die Investitionskosten zu senken. Allerdings kann ohne EMV- Kontaktchip-Lesemodul mit Schweizer Debitkarten und vielen ausländische Kreditkarten, welche noch nicht mit einem RFID-Chip ausgerüstet sind, nicht bezahlt werden. Am Kassenautomaten auf ein PIN-Pad zu verzichten, macht wenig Sinn. Die Eingabe eines PINs am Kassenautomaten ist für den Benutzer unproblematisch und die Kosteneinsparungsmöglichkeit ist gering. Jedoch würde die Verwendbarkeit von Zahlkarten stark eingeschränkt. Die Postfinance Card würde ausgeschlossen, da bei dieser Karte der PIN immer zwingend verlangt wird. Mit Ausnahme der MasterCard-Kreditkarte, welche online unbeschränkte ohne PIN mit einem EMV-Kontaktchip-Lesemodul verarbeitet werden darf, werden zudem sämtliche übrigen Zahlkarten nur bis zu bestimmten Zahlbeträgen ohne PIN akzeptiert (Debitkarte Maestro und Kreditkarte VISA: max. EUR 50.--). 2 Ein- und Ausfahrten 2.1 Heute verfügbare bargeldlose Zahlungsmöglichkeiten Bei entsprechend signalisierten Parkings ist das Ein- und Ausfahren mit einer Kreditkarte (MasterCard, VISA etc.) ohne Benutzung eines Kassenautomaten möglich. Dabei wird in der Schweiz immer der Magnetstreifen der Kreditkarte gelesen. Dieses Verfahren gilt nicht als sicher, da die Karte offline ohne PIN Abfrage geprüft wird und daher eine gestohlene Karte missbräuchlich verwendet werden kann (bei offline Prüfungen geht keine Autorisierung an den Acquirer/Issuer, daher kann nicht geprüft werden, ob die Karte gesperrt ist). Die heutige Systemlösung für das Ein- und Ausfahren mit Kreditkarte mittels Magnetstreifen ist deshalb in der Schweiz nur noch befristet zulässig und muss in absehbarer Zeit eingestellt werden. Von den Kreditkartenorganisationen wurde als Deadline der kommuniziert. Neuaufschaltungen werden schon heute nicht mehr vorgenommen. Seit einigen Jahren ist in der Schweiz das bargeldlose Ein- und Ausfahren ohne Gang zu einem Kassenautomaten mit dem ParkingCard-Badge mit ISO-normiertem RFID-Chip möglich. Dabei wird das in der Regel an der Einund Ausfahrtstation schon für die Mieterabwicklung vorhandene RFID- Lesemodul verwendet. Die Parkgebühr wird bei der Ausfahrt dem Benutzer seinem ParkingCard-Benutzerkonto belastet. Die Abrechnung erfolgt entweder mit Vorauszahlung oder am Monatsende mittels Lastschriftverfahren (LSV) / Debit Direct bzw. auf Rechnung (nur Firmen). Zu erwähnen sind auch Parkingsystem spezifische Lösungen mit Wertkarten. Diese können in der Regel nur beim Parkingbetreiber, bei welchem die Karte bezogen wurde, eingesetzt werden. Seite 2 von 5

3 2.2 Lösungsansatz für das künftige Ein- und Ausfahren mit Kontaktlos-Kreditkarten Da in Zukunft in der Schweiz herausgegebene Kreditkarten in der Regel mit einem EMV- RFID-CHIP versehen sein werden und die berührungslose RFID-Technologie für Parking- Badges an Ein- und Ausfahrten von Parkings mit Schranken mittlerweile Standard ist, drängt sich auf, das Ein- und Ausfahren mit Kreditkarten ebenfalls basierend auf dieser Technologie zu ermöglichen. Voraussetzung ist allerdings, dass dabei weiterhin kein PIN-Code eingegeben werden muss. Für eine entsprechende Lösung müssen die Ein- und Ausfahrten je mit einem EMV- RFID/NFC-Lesemodul ausgerüstet werden. Da berührungslose Kreditkarten nur bei Beträgen < CHF ohne Eingabe eines PINs abgewickelt werden dürfen, muss an der Ausfahrt ein zusätzlicher EMV-Kontaktchip-Leser installiert werden. Bei Beträgen grösser als CHF wird der Benutzer aufgefordert die Kreditkarte in diesen Leser zu stecken. Einfahrstation Ausfahrstation Mit dem EMV-RFID/NFC-Lesemodul sollen auch die im Parkingbereich üblichen ISOnormierten RFID-Badges für Mieter und ParkingCard-Benutzer gelesen werden können, damit an den Ein- und Ausfahrten nur ein RFID-Leser notwendig ist. Im Hinblick auf die absehbare Einstellung der heutigen Lösung für das Ein- und Ausfahren mit Kreditkarten wird ParkingSwiss in Zusammenarbeit mit den Kreditkartenorganisationen ein Pflichtenheft für diesen Lösungsansatz mit folgenden Rahmenbedingungen erarbeiten: - Die Lösung ist so konzipiert, dass keine PCI-DSS-Zertifizierung des Parkingsystems notwendig ist (Verwendung von Token, um Kreditkartendaten zu anonymisieren) - EMV-zertifizierte Kontaktlos-Leser für Zahlkarten an Ein- und Ausfahrten, mit welchen auch ISO-normierte, nicht EMV RFID-Chips gelesen und verarbeitet werden können (über separate Schnittstelle) - Wahlfreiheit des Acquirers durch Betreiber Seite 3 von 5

4 3 Glossar: Zahlkarten-Arten für die bargeldlose Bezahlung Die Akzeptanz-Bedingungen werden von den Zahlkartenorganisationen länderspezifisch festgelegt. Die nachfolgenden Angaben beziehen sich jeweils auf die Schweiz. 3.1 Debitkarten Debitkarten verfügen neben dem Magnetstreifenleser grundsätzlich über einen EMV- Kontaktchip (roter Kreis). Der Magnetstreifen wird nur als Fallback verwendet, wenn der Kontaktchip aus technischen Gründen nicht ausgelesen werden kann. - Maestro (früher ec-direkt), Debitkarte von MasterCard V PAY, Debitkarte von Visa (Abwicklung online ohne PIN bis max. EUR für Parkgebühren zulässig sofern kein PIN-Pad am Automaten vorhanden ist) - Postfinance Card (früher Postcard) (Abwicklung ausschliesslich mit Eingabe des PINs zugelassen) Postfinance hat angekündigt, dass die Postfinance Card im Jahre 2015 mit einem EMV- RFID-Chip ausgerüstet werden soll. Inwiefern eine PIN-Eingabe notwendig ist, ist noch nicht bekannt. In diversen Ländern sind zudem bereits Maestro Karten mit EMV-RFID-Chip im Umlauf. Es kann davon ausgegangen werden, dass auch die Schweizer Issuer mittelfristig Maestro Karten im EMV-RFID-Chip ausrüsten werden. Die PIN-Limiten sind hierbei in der Regel gleich hoch wie bei den Kreditkarten (CHF 40.--). 3.2 Kreditkarten In der Schweiz herausgegebene Kreditkarten (MasterCard, Visa, AMEXCO etc.) verfügen neben dem Magnetstreifen in der Regel über einen EMV-Kontaktchip (roter Kreis). An Automaten mit EMV-Zahlungsmodulen ohne Eingabemöglichkeit eines PINs gelten folgende Betragslimiten: - VISA max. EUR MasterCard keine Betragslimite Die meisten Schweizer Kreditkarten-Herausgeber (Issuer) haben inzwischen entschieden, ihre Kreditkarten in Ergänzung zum EMV- Kontaktchip und dem Magnetstreifen, welcher international und insbesondere in der USA nach wie vor für die Verarbeitung verwendet wird, spätestens beim nächsten Kartenersatz mit einem EMV-RFID-Chip zu versehen. Dadurch ist eine Lesung der Karte mit einer maximalen Distanz von 4 cm zum Lesergerät berührungslos möglich. Auf Karten mit dem entsprechenden Signet ist diese Funktion automatisch aktiviert und kann bei entsprechend ausgerüsteten Zahlungsmodulen jederzeit eingesetzt werden. Bis zu einem Betrag von CHF ist in der Regel keine PIN-Eingabe erforderlich. In unregelmässigen Abständen kann der PIN aber aus Sicherheitsgründen auch bei Kleinbeträgen abgefragt werden (Issuer abhängig). Seite 4 von 5

5 3.3 Branchenspezifische bargeldlose Zahlungssysteme ParkingCard Für das Ein- und Ausfahren mit Abrechnung der Parkgebühr über das ParkingCard-System wird ein ISO-normierter RFID-Badge benötigt. Es können auch Badges, welche für andere Zwecke herausgegeben wurden (u.a. Mieterbadges), verwendet werden, sofern sie der definierten ISO-Norm entsprechen Parkingsystem spezifische Wertkarten Bei Parkingsystem spezifischen Wertkarten werden Kartentypen mit unterschiedlichen Identifikationstechnologien (ISO-normierter und proprietärer RFID-Chip, Magnetstreifen, Lochkarten etc.) verwendet. Seite 5 von 5