POS-Systeme, ZVT-Protokoll // nötige Zertifizierungen

[Daniel]

Moin,

es geht um das Ansteuern von Bezahl-Terminals über die ZVT-Schnittstelle aus einer POS-Software heraus. Technisch ist die Sache - im Wesentlichen - im Griff. Nur stolpere ich ab und an über Aussagen, dass in diesem Zusammenhang Zertifizierungen nötig seien. Einfache Dinge wie die Betragsübergabe von der POS-Software an das Terminal seien unproblematisch, für komplexere Vorgänge gebe es angeblich Zertifizierungen.

Ich finde dazu allerdings keine brauchbaren bzw. belastbaren Quellen. Das Bezahl-Terminal selbst muss zertifiziert sein, klar. Aber was gibt es - außer einer sauberen Implementierung - zu beachten, wenn man das ZVT-Protokoll einsetzt?

(Mir geht es ausdrücklich nicht um etwaige GoBD-Fragen, da diese ja erstmal nicht direkt etwas mit Bezahl-Terminals zutun haben.)

[mkinzler]

Die Zertifizierungspflicht ergibt sich durch das Gesetz "Gesetz zum Schutz vor Manipulationen an digitalen Grundaufzeichnungen", welches am 15./16. Dezember 2016 verabschiedet worden ist. Es gilt zu, 01.01.207, es besteht aber eine Übergangsfrist bis zum 31.12.2019.
Programme müssen vom BSI zertifiziert werden.

[Daniel]

Ja, das kenne ich. Das Gesetz zielt auf die Kasse als Gesamtsystem.
Ob diese nun mit Bezahl-Terminals arbeitet oder nicht, spielt da erstmal keine Rolle.
Dennoch danke

[jaenicke]

Wir haben Zertifizierungen mit den Zahlungsanbietern soweit ich weiß. Wenn du da einen hast, für den du keine Zertifizierung brauchst, sollte abgesehen von dem neuen Gesetz alles ok sein.

Ich kann gerne morgen mal die Kollegen fragen, die sich damit auskennen.

[BeBored]

Ich glaube gerade in diesem Bereich brauchst du keine Meinung oder Ahnung sondern handfeste Informationen. Geht ja schließlich um das Finanzamt und mit denen möchte man ja keinen Ärger.

Vielleicht ist das Finanzamt ein Ansprechpartner oder kann wenigstens einen Ansprechpartner nennen.

[Daniel]

Moin,

mein Kontakt vom Hersteller der Bezahl-Terminals ist Mitte kommender Woche wieder aus dem Urlaub zurück, dann frage ich dort nach. Bei denen weiß ich, dass ich einen verbindlichen Ansprechpartner bekommen kann. Ich hatte nur gehofft, hier schon vorab eine konkretere Vorstellung erhalten zu können, was einen in etwa erwarten wird.

Danke euch erstmal.

[jaenicke]

Zitat von BeBored:

Vielleicht ist das Finanzamt ein Ansprechpartner oder kann wenigstens einen Ansprechpartner nennen.

Nein, in dem Fall geht es ausnahmsweise mal nicht um das Finanzamt und Steuern, sondern um die Transaktionssicherheit bei den Kartenzahlungen. Da gibt es ja dann auch noch wichtige Punkte wie PCI Compliance usw.

Und da die Banken ggf. haften für Missbrauch, gab es da meines Wissens die Zertifizierungen mit den Zahlungsanbietern. Also nicht die Herstellers der Terminals.

Aber genaues kann ich wie gesagt erst morgen sagen.

[ensaron]

Hallo Daniel,
tatsächlich mal ein Thema, wo ich jemandem (hoffentlich) weiterhelfen kann XD Da brauche ich dann auch nicht den Hinweis von Sebastian.

Bei den Kartenzahlungs-Schnittstellen die ich umgesetzt habe, war in den meisten Fällen eine Prüfung zusammen mit dem jeweiligen Zahlungsdienstleister notwendig. In dem Zusammenhang wurde eher von einer Abnahme als von einer Zertifizierung geredet und es ging immer um eine Demonstration der Funktionsfähigkeit der Schnittstelle. Was und wie genau getestet wird, war dabei von dem jeweiligen Zahlungsdienstleister abhängig.

Ich nehme als Beispiel mal eine Schnittstelle zu einem der größeren deutschen Anbieter:
Bei diesem Anbieter war die Abnahme vorgeschrieben, sobald die Kassensoftware den Kartenbeleg des Terminals abfragt und ausdruckt. Solange das Kartenterminal den Beleg selbst ausdruckt, war auch keine Abnahme vorgeschrieben.
Für die Abnahme gab es eine Liste von Testfällen, für die ich nach Abschluss der Tests die erzeugten Kartenbelege einreichen musste. Es wurde dann einfach geprüft, ob die ausgedruckten Kartenbelege zu den Testfällen passen. Einige der Testfälle zielten dabei darauf ab, die Fehlerbehandlung der Schnittstelle zu prüfen (z.B. Netzwerkkabel des Terminals ziehen, Abbruch am Terminal, Testkarte mit kaputtem Chip verwenden usw).

Bei einem anderen Anbieter stand das Kartenterminal für die Abnahme bei denen im Büro und die Abnahme war vorgeschrieben, unabhängig vom Funktionsumfang der Schnittstelle. Und bei noch einem anderen Anbieter war gar keine Abnahmeprozedur vorgesehen.

Es hängt also ziemlich stark davon ab, mit welchem Zahlungsdienstleister du es zu tun hast und wie dessen Vorgaben sind.

Ich hoffe das hilft dir ein bisschen weiter.
Viele Grüße
Thomas

[Daniel]

Zitat von ensaron:

Es hängt also ziemlich stark davon ab, mit welchem Zahlungsdienstleister du es zu tun hast und wie dessen Vorgaben sind.

Top! Danke.