HHonors VISA von DKB und Chip + PIN in UK

Warum hast du den Händler nicht gefragt?

Das ist bei mir ganz unterschiedlich bei der Karte.
In DE wird meistens nach der PIN gefragt, im Ausland hingegen fast nie.

mfkne meinte:

Weil das der einfache Kassierer bei Marks & Spencer Simply Food wohl nicht wissen wird.

Zum Vergrößern anklicken....

Wieso? Für ihn ist das doch das Tagesgeschäft und da muss er schon wissen, wann er nur eine Unterschrift braucht und wann eine PIN benötigt wird.

Krematorium meinte:

Wieso? Für ihn ist das doch das Tagesgeschäft und da muss er schon wissen, wann er nur eine Unterschrift braucht und wann eine PIN benötigt wird.

Zum Vergrößern anklicken....

Äh, nein. Muss er nicht, weil ein Händler gar keinen Einblick in die Abläufe hat - das schreibt das Terminal vor. Ob PIN oder Unterschrift verlangt wird, kommt darauf an, welche Konstellation von Karte (bzw. deren Herausgeber) & Terminal jeweils zusammenkommen.

Übrigens auch überall in Irland (sowie 'im Norden') die gleiche Erfahrung, deswegen sind z.B. auch die günstigen Tankstellen in der Nähe vom Dublin Airport nicht nutzbar. Beim self-scan im Tesco muss sogar ein Aufseher dran damit man zahlen kann. Das macht man natürlich nur ein Mal, dann nimmt man einfach die AMEX.

VK und Irland waren wohl die ersten Länder die auf Chip+PIN umgestellt haben, noch vor dies in Deutschland normal war. Ich nehme an, aus Kundenfreundlichkeit wurden die Karten mit der Hand auf Chip+Unterschrift eingestellt, dies sollte jetzt so langsam mal geändert werden. So bald ich mal wieder länger Autofahren muss werde ich mal anrufen und fragen ob dies (z.B. mittels einer neuen Karte) umgestellt werden kann.

Mir geht es ähnlich. Bei meinen privaten Kreditkarten (Visa und MasterCard Gold) meiner Haussparkasse brauche ich die PIN nur am Geldautomaten. Überall sonst muss ich unterschreiben. Manche Terminals - gerade in UK - hängen sich sogar auf und reagieren nicht mehr, wenn ich die Karte ins Lesegerät gesteckt habe. Früher war jeder Starbucks (in UK) betroffen, inzwischen scheinen aber deren Terminals umgestellt worden zu sein, sodass nach Unterschrift gefragt wird. Manche Tesco machen immer noch Probleme. Auch scheinen manche Kassierer das Unterschriftensystem nicht zu kennen und wissen entweder nicht, was zu tun ist oder drücken den "Nein" Button, obwohl die Unterschriften identisch sind, sodass nichts abgebucht wird.

Ein Anruf ergab, dass sie sich keiner Probleme bewusst seien und dass die Karten einwandfrei funktionieren würden.

Bei meiner Firmenkreditkarte (MasterCard von AirPlus) wird hingegen meistens die PIN verlangt, sowohl in D, als auch im Ausland. Einzig in USA meine ich dass nur der Magnetstreifen durchgezogen wurde. Allerdings ist die KK auch nicht für Privatausgaben gedacht.

Das alte Problem: Offline-PIN und Online-PIN.
In Deutschland wird auch an Kartenterminals und nicht nur an Geldautomaten auf Online-PIN gesetzt, fast alle anderen Länder setzen auf Offline-PIN.

Welche Authentifizierungsmethode verwendet wird (Offline-PIN, Online-PIN, Unterschrift, keine), entscheidet sich in einem Zusammenspiel aus Karte und Terminal. Die Präferenzen seitens der Karte (CVM-Liste) kann man mit dem Tool Cardpeek und einem geeigneten Kartenleser für den Computer ermitteln.

Die DKB-VISA zum normalen Girokonto hat nun mal leider 1,75% Fremdwährungsentgelt, soll aber sowohl Online- als auch Offline-PIN (sowie Unterschrift) können, die Visa Debit der Consorsbank hingegen kann ebenso wie die Visa der comdirect nur Online-PIN und Unterschrift. Da hilft nur, die Banken mit Anfragen zu bombardieren, dass ihr diese Funktion gern haben wollt.
Es wird aber langsam besser. Neulich konnte ich in Polen an mehreren Terminals mit der Consors-Karte und PIN zahlen, wo bisher noch meine "Podpis" (Unterschrift) verlangt wurde – vermutlich wird dort nach und nach die Online-PIN-Unterstützung eingeführt.

Die technischen Hintergründe der hier geschilderten Phänomene sind leider recht komplex. Ich kann daher jetzt nur versuchen, so allgemeinverständlich wie möglich dazu auszuführen.

Das Grundproblem ist die sogenannte CVM-Konfiguration Eurer Kreditkarten (CVM steht hierbei für "cardholder verification method"). Bei der Ausstellung einer Kreditkarte legt der Herausgeber fest, welche CVM für die Karte zugelassen sind und in welcher Reihenfolge diese zur Anwendung gelangen sollen. Diese Festlegung wird in Form einer priorisierten Liste auf der Karte hinterlegt.

Nun gibt es im EMV-Standard nicht nur eine, sondern insgesamt drei PIN-basierte CVM. Diese sind:
- enciphered PIN verified online
- plaintext PIN verified by ICC
- enciphered PIN verified by ICC

Bei Variante 1 wird die PIN durch das Terminal verschlüsselt und das Kryptogramm zur Validierung per Onlineabfrage an den Kartenherausgeber geschickt. Dies ist die klassische Geldautomaten-CVM, sie funktioniert auch mit (altertümlichen/US-amerikanischen) reinen Magnetstreifenkarten, da bei der PIN-Validierung keine aktive Mitwirkung der Karte erforderlich ist.
Bei Variante 2 wird die PIN im Klartext an den Chip übermittelt und mit einem dort hinterlegten sogenannten "witness image" abgeglichen. Dieses Verfahren wird mitunter auch Offline-PIN genannt, da die PIN-Validierung eben lokal und nicht online erfolgt. (Obacht: das heißt selbstverständlich nicht, dass die gesamte Transaktion offline abgewickelt wird - nach erfolgreicher lokaler PIN-Validierung kann eine ganz normale Authorisierungsanfrage an den Herausgeber geschickt werden, was i.d.R. auch geschieht!)
Variante 3 ist eine sehr aufwendige CVM. Das PINpad muss die eingegebene PIN verschlüsseln und an den Chip auf der Karte übermitteln, der wiederum in der Lage sein muss, das Kryptogramm zu entschlüsseln, um es mit dem hinterlegten PIN witness image abzugleichen. Diese CVM gelangt praktisch nur relativ selten zum Einsatz.

Nun ist es leider auch so, dass nicht jeder POS jede CVM unterstützt. Vereinfacht ausgedrückt: Karte und Terminal müssen sich bei einer Transaktion darauf einigen, welche CVM zur Anwendung gelangen soll. Das läuft so ab, dass die Karte dem Terminal zunächst die CVM vorschlägt, die mit der höchsten Priorität konfiguriert ist. Wenn das Terminal damit nicht einverstanden ist, weil es diese CVM z.B. technisch nicht unterstützt, schlägt die Karte die CVM mit der zweiten Priorität vor usw. -> entweder einigt man sich irgendwann oder im schlimmsten Fall eben auch nicht, dann kann keine (zumindest keine EMV-) Transaktion stattfinden.

Es tut mir leid, aber diese sehr technischen Vorbemerkungen waren erforderlich, um die geschilderten Phänomene verstehen zu können.

In bestimmten Ländern, namentlich in Großbritannien und Frankreich, gelangt am POS mit überwältigender Mehrheit die CVM "plaintext PIN verified by ICC" zum Einsatz. In anderen Ländern, beispielsweise Deutschland und Skandinavien (sowie offensichtlich - nach den Berichten in diesem Thread - die Niederlande) neigt man eher zu "enciphered PIN verified online", zumindest aber wird diese CVM dort von den meisten Terminals unterstützt.

Wenn nun eine bestimmte Karte z.B. in Deutschland praktisch immer per PIN authentifiziert, heißt das zunächst einmal lediglich, dass irgendeine der drei PIN-basierten CVM mit höchster Priorität versehen ist. Bei der hier diskutierten Karte scheint das (leider) "enciphered PIN verified online" zu sein. Problem: POS in Großbritannien beherrschen diese CVM i.d.R. nicht, da dort "plaintext PIN verified by ICC" üblich ist.
Die von der Karte vorgeschlagene CVM wird also vom Terminal abgelehnt, die Karte muss die nächste CVM anbieten und das scheint bei dieser Karte leider "signature" zu sein.
"plaintext PIN verified by ICC" ist für diese Karte entweder überhaupt nicht zugelassen oder mit einer niedrigeren Priorität als "signature" hinterlegt, so dass sich Karte und Terminal bereits auf "signature" einigen, bevor die Karte "plaintext PIN verified by ICC" überhaupt anbieten konnte.

Wenn alle Beteiligten, namentlich das Kassenpersonal, wissen, was sie tun, sollten keine Akzeptanzprobleme auftreten. Aber ich kenne das selber sehr gut: in GB oder F unterschreiben zu müssen, führt nicht selten zu Irritationen oder handfestem Misstrauen. Fazit: eine zeitgemäße Kreditkarte muss alle drei PIN-basierten CVM mit höherer Priorität als die CVM "signature" anbieten.

Wer von Euch einen Chipkartenleser besitzt, kann mit der Freeware Cardpeek die CVM-Konfiguration seiner Kreditkarten auslesen. Ist nicht uninteressant.

Jetzt bitte ich nochmal um Verzeihung für diesen langen und sehr technischen Beitrag. Aber viel kompakter kann man die Problematik leider nicht darstellen.

Gustl meinte:

Jetzt bitte ich nochmal um Verzeihung für diesen langen und sehr technischen Beitrag. Aber viel kompakter kann man die Problematik leider nicht darstellen.

Zum Vergrößern anklicken....

Nee nee, wirklicht interessant zu erfahren. Das Karte und Terminal sich unterhalten war mir bewusst, dachte aber vorher immer, es gibt nur Pin, Unterschrift oder gar nichts (z.B. Maut Station).

Wieso hier allerdings nach Pin gerufen wird wundert mich... Mich nervt das mit den Pin tierisch. Klar, natürlich ist es schneller und einfacher aber wer soll sich den die ganzen Pin-Nummern merken? Amex, Visa, Master, EC... evtl. noch mehr?
Also ich habe Gott sei dank, nur Karten mit Unterschrift.. Als Amex vor paar Jahren mit dem Quatsch angefangen hat, konnte ich mir noch eine Signatur Karte erbetteln... Damit ist im Oktober dann wohl auch Schluss :/

Klasse Ausführung Gustl, Danke!

Was ich mich frage: Ob online-/offline-PIN, ist da irgendeine am sichersten? Klar, Unterschrift würde ich jetzt als fälschungsunsicher ansehen. Aber können diese PIN-Abfragen manipuliert werden? Oder völlig egal ob online oder offline - beide gleich gut?

Bonbonpapier meinte:

Klasse Ausführung Gustl, Danke!

Zum Vergrößern anklicken....

Gern geschehen.

Was ich mich frage: Ob online-/offline-PIN, ist da irgendeine am sichersten? Klar, Unterschrift würde ich jetzt als fälschungsunsicher ansehen. Aber können diese PIN-Abfragen manipuliert werden? Oder völlig egal ob online oder offline - beide gleich gut?

Zum Vergrößern anklicken....

Am besten gegen Manipulationen geschützt ist die Online-Validierung, da hier immer der Kartenherausgeber bestätigen muss, dass die korrekte PIN eingegeben wurde. Bei der Validierung durch den Chip besteht grundsätzlich ein Risiko: britischen Informatikern ist es gelungen, ein Terminal derart zu manipulieren, dass bei Eingabe jeder beliebigen PIN immer eine positive Rückmeldung der Karte simuliert wird (bei vertieftem Interesse: http://www.cl.cam.ac.uk/research/security/banking/nopin/oakland10chipbroken.pdf).

Technisch war die ganze Aktion allerdings derart aufwendig, dass man keinen Handlungsbedarf sah. Man muss dabei auch bedenken, dass in Großbritannien eine andere Beweislastregelung gilt als hierzulande: es muss immer die Bank beweisen, dass der Karteninhaber grob fahrlässig mit seiner PIN umgegangen ist. In der Praxis kann diese Beweisführung praktisch niemals gelingen -> die Bank haftet. Bei uns hingegen gibt es immer noch den uralten Anscheinsbeweis: PIN verwendet -> entweder war es der Karteninhaber selbst oder er ist grob fahrlässig mit der PIN umgegangen. Wird m.E. höchste Zeit, dass der BGH da mal aufwacht...

mfkne meinte:

Demnach erzählt die DKB also Mist, wenn sie sagt, sie habe darauf keinen Einfluss.

Zum Vergrößern anklicken....

Ja, sie erzählt Mist.

Was mich allerdings doch wundert: ich habe selber zwei Kreditkarten von der DKB (die normale Visa zum Konto und die LH-Mastercard). Beide verwenden alle drei PIN-basierten CVM vorrangig vor der Unterschrift - genau wie ich es auch haben will. Warum man da bei der Hiltonkarte einen anderen Weg geht ist mir ein Rätsel.

Gustl meinte:

Am besten gegen Manipulationen geschützt ist die Online-Validierung, da hier immer der Kartenherausgeber bestätigen muss, dass die korrekte PIN eingegeben wurde.

Zum Vergrößern anklicken....

Was passiert in dem Fall, wenn ein Terminal oder ATM keine Verbindung aufbauen kann? Bricht die Zahlung ab oder springt es dann auf offline pin / Unterschrift?

Gustl meinte:

Was mich allerdings doch wundert: ich habe selber zwei Kreditkarten von der DKB (die normale Visa zum Konto und die LH-Mastercard). Beide verwenden alle drei PIN-basierten CVM vorrangig vor der Unterschrift - genau wie ich es auch haben will. Warum man da bei der Hiltonkarte einen anderen Weg geht ist mir ein Rätsel.

Zum Vergrößern anklicken....

Ich bin jetzt nicht so der Hilton Freund aber wenn ich mich richtig erinnere, arbeiten die bei Kreditkarte mit Unterschrift (Din A4 Rechnung)... Vielleicht wollten die das nicht?

Escorpio meinte:

Was passiert in dem Fall, wenn ein Terminal oder ATM keine Verbindung aufbauen kann? Bricht die Zahlung ab oder springt es dann auf offline pin / Unterschrift?

Zum Vergrößern anklicken....

Am POS teilt in so einem Fall das Terminal der Karte mit, dass diese CVM (zur Zeit) nicht möglich ist. Daraufhin bietet die Karte die CVM mit der nächstniedrigeren Priorität an, also je nach Karte eine Chip-validierte PIN oder halt die Unterschrift.
Ob letztlich eine Transaktion zustande kommt hängt dann freilich noch von etwas anderem ab: der Betrag muss sowohl das Offlinelimit der Karte als auch das Floorlimit des Terminals unterschreiten. Nur dann gibts eine Autorisierung (d.h. Zahlungsgarantie). Andernfalls steht es der Akzeptanzstelle natürlich frei, die Karte auf eigenes Risiko zu akzeptieren.

Am Geldautomaten wird in jedem Fall ein Transaktionsabbruch wegen endgültigen Scheiterns des CVM-Processing erfolgen. (Abgesehen davon: wenn ein Geldautomat vollständig offline ist, hast Du mit einer Kreditkarte ohnehin keine Chance, an Bargeld zu gelangen. Eine Verfügung ist dann allenfalls noch mit einer girocard des automatenbetreibenden Institutes möglich, wenn dem Inhaber - bei ausreichender Bonität - eine solche Möglichkeit eingeräumt wurde.)

Ich habe die Amex Platinum Business mit privater Zusatzkarte und dazu noch die Partnerkarte für die Frau. Wenn ich in unserem neuen Rewemarkt mit meiner privaten Amex bezahle, muss ich unterschreiben, wenn die Frau bezahlt wird immer die Pin verlangt. Beide Karten wurden zusammen beantragt und sind jetzt ca. 4 Wochen alt.
Wobei ich an der Tanke auch schon mit Pin bezahlt habe.

American Express Karten bevorzugen generell die PIN (in all ihren Varianten) vor der Unterschrift. Das ist schon seit etwa fünf Jahren so, Amex war diesbezüglich einer der Vorreiter in Deutschland. Insofern sollten alle drei Karten grundsätzlich gleich funktionieren.
Sofern es sich bei Dir wirklich nur um diesen Einzelfall bei Rewe handelt, würde ich davon ausgehen, dass hier z.B. der Chip nicht ausgelesen werden konnte (das kann immer mal passieren, ohne dass Karte oder Terminal deswegen gleich defekt wären) und die Transaktion via Magnetstreifen lief. Hatte ich vor gar nicht allzu langer Zeit auch mal wieder.

Gustl meinte:

American Express Karten bevorzugen generell die PIN (in all ihren Varianten) vor der Unterschrift. Das ist schon seit etwa fünf Jahren so, Amex war diesbezüglich einer der Vorreiter in Deutschland. Insofern sollten alle drei Karten grundsätzlich gleich funktionieren.
Sofern es sich bei Dir wirklich nur um diesen Einzelfall bei Rewe handelt, würde ich davon ausgehen, dass hier z.B. der Chip nicht ausgelesen werden konnte (das kann immer mal passieren, ohne dass Karte oder Terminal deswegen gleich defekt wären) und die Transaktion via Magnetstreifen lief. Hatte ich vor gar nicht allzu langer Zeit auch mal wieder.

Zum Vergrößern anklicken....

Wobei, auch bei meiner neue Mastercard Platinum wird im Rewe die Unterschrift verlangt.
Interessant war die Aussage beim Kreditkartenservice bei meiner Bank, auf meine Frage, ob ich die Karte schon nutzen kann, weil mir die Pin erst 2 Wochen später zugestellt wird? Meinte der Herr nur, die können Sie auf jeden Fall nehmen, den Pin brauchen sie in Deutschland so gut wie überhauptnicht.

Da hat die Hotline auch Recht. Sparda setzt (warum auch immer) fast ausschliesslich auf Unterschrift. Die PIN musste ich bisher nur ein oder zweimal angeben.

iphone08 meinte:

Sparda setzt (warum auch immer) fast ausschliesslich auf Unterschrift.

Zum Vergrößern anklicken....

Dann ist dieser Fall klar: die kartenausgebende Bank wünscht die CVM "signature" mit höchster Priorität. Warum? Nun, vermutlich weil es in D letztlich immer noch der Normalfall und von vielen Karteninhabern scheinbar auch so gewünscht wird.

Bei American Express ist das aber gerade nicht so. Wenn eine American Express Karte per Unterschrift authentifizieren möchte, ist das für Eingeweihte zumindest ein Grund, sich die Transaktion etwas genauer anzuschauen und zu fragen, wo genau der "Fehler" lag...

Gustl meinte:

1. Am POS teilt in so einem Fall das Terminal der Karte mit, dass diese CVM (zur Zeit) nicht möglich ist. Daraufhin bietet die Karte die CVM mit der nächstniedrigeren Priorität an, also je nach Karte eine Chip-validierte PIN oder halt die Unterschrift.
Ob letztlich eine Transaktion zustande kommt hängt dann freilich noch von etwas anderem ab: der Betrag muss sowohl das Offlinelimit der Karte als auch das Floorlimit des Terminals unterschreiten. Nur dann gibts eine Autorisierung (d.h. Zahlungsgarantie). Andernfalls steht es der Akzeptanzstelle natürlich frei, die Karte auf eigenes Risiko zu akzeptieren.

2. Am Geldautomaten wird in jedem Fall ein Transaktionsabbruch wegen endgültigen Scheiterns des CVM-Processing erfolgen. (Abgesehen davon: wenn ein Geldautomat vollständig offline ist, hast Du mit einer Kreditkarte ohnehin keine Chance, an Bargeld zu gelangen. Eine Verfügung ist dann allenfalls noch mit einer girocard des automatenbetreibenden Institutes möglich, wenn dem Inhaber - bei ausreichender Bonität - eine solche Möglichkeit eingeräumt wurde.)

Zum Vergrößern anklicken....

1. oh... ich dachte Kreditkarten haben immer eine Zahlungsgarantie bis 400 Euro pro Zahlung... Das war doch der Sinn einer Kreditkarte? Gibt doch auch einige offline Terminals und Ritschratsch wie z.b. im Flugzeug Boardshop.. Da sind die Karten immer bis 400 Euro begrenzt... Außer AmEx, da ist es mehr.

2. Hm... Das kann ich so nicht bestätigen... Ich weiß nicht wie es heute ist aber vor 10 Jahren habe ich in Ägypten für ein Jahr gelebt... Damals war noch Regelmäßig das Telefonnetz ausgefallen und die Geldautomaten konnten keine Verbindung aufbauen.
Wenn man aber das Telefonkabel vom ATM entfernt hat (früher ging das bei einigen noch z.B. in den Hotels), dann hat der Automat bis 500 Euro Geld ausgezahlt... Allerdings ging das nicht immer (aber meistens)... Und es gab wohl auch Touristen, da ging das gar nicht.

Wir haben ausschließlich Geld so abgehoben weil wir bei der Telefonleitung immer damit rechnen mussten, dass der ATM sich aufhängt, abstürzt und die Karte weg ist.
Gegen ein Strom Ausfall oder Schwankung, hat das leider nicht gewirkt und somit konnte es trotzdem manchmal passieren, dass die Karte weg war.. *grinst*