HHonors VISA von DKB und Chip + PIN in UK

[Gustl]

ANZEIGE

1. oh... ich dachte Kreditkarten haben immer eine Zahlungsgarantie bis 400 Euro pro Zahlung... Das war doch der Sinn einer Kreditkarte? Gibt doch auch einige offline Terminals und Ritschratsch wie z.b. im Flugzeug Boardshop.. Da sind die Karten immer bis 400 Euro begrenzt... Außer AmEx, da ist es mehr.

So pauschal ist das nicht korrekt. Das sogenannte Floorlimit wird für jedes Vertragsunternehmen individuell vereinbart (für internationale Transaktionen existieren zudem Höchstbeträge seitens der Kartenorganisationen). Wenn ein VU aus bestimmten Gründen überwiegend offline bzw. mit Imprintern arbeiten muss, ist es natürlich ratsam, ein relativ hohes Floorlimit zu vereinbaren, um nicht ständig telefonische Genehmigungen einholen zu müssen.
Heutzutage ist das Floorlimit im normalen Handel oft sogar auf 0 gesetzt, da Autorisierungen regelmäßig schnell und kostengünstig eingeholt werden können. Gestern hab ich z.B. gut 30 Euro beim Dallmayr bezahlt und was verrät mir der Transaktionsbeleg (natürlich in "Geheimsprache")? Transaction exceeds floor limit...

2. Hm... Das kann ich so nicht bestätigen... Ich weiß nicht wie es heute ist aber vor 10 Jahren habe ich in Ägypten für ein Jahr gelebt... Damals war noch Regelmäßig das Telefonnetz ausgefallen und die Geldautomaten konnten keine Verbindung aufbauen.
Wenn man aber das Telefonkabel vom ATM entfernt hat (früher ging das bei einigen noch z.B. in den Hotels), dann hat der Automat bis 500 Euro Geld ausgezahlt... Allerdings ging das nicht immer (aber meistens)... Und es gab wohl auch Touristen, da ging das gar nicht.

Vor 10 Jahren. In Ägypten. Das dürfte also hundertprozentig eine Magnetstreifen-Transaktion gewesen sein.

Meine bisherigen Ausführungen bezogen sich allerdings auf EMV-Transaktionen. Und ich habe bislang noch keine EMV-Kreditkarte gesehen, die für den Transaktionstyp "unattended cash" eine andere CVM als "enciphered PIN verified online" zulässt (das heißt selbstverständlich nicht, dass es solche Karten nicht doch irgendwo geben mag - in dem Fall würden mich Details sogar sehr interessieren!). Sonst aber heißt es dann im Offlinefall gnadenlos: CVM processing failed -> Abbruch.

Bei Magnetstreifenkarten ist das natürlich alles viel weniger streng, weil die Karte ja sowieso alles mit sich machen lassen muss, was das Terminal oder der GA will... Wenn der GA also von seinem Betreiber so konfiguriert ist, dass er auch offline auszahlt, gibt es Bargeld. Wer das am Ende bezahlen muss, ist natürlich eine andere Geschichte, da an so einem GA ja jede gestohlene oder auch selbstgebastelte Karte mit rechnerisch gültiger PAN verwendet werden kann. In Deutschland undenkbar, in Ägypten vielleicht schon.

 

[Escorpio]

Verstehe... Also ist das Floorlimit nichts anderes als eine Versicherung die teuer bezahlt werden muss und die Händler deswegen gerne darauf verzichten bzw. den Betrag mindern.

Ja, da gab es glaube ich noch keine Chips... War allerdings aber eine deutsche Visa Karte. Wie es "heute" da ist, weiß ich nicht.... Ich bin zwar öfters mal dort aber die Zeit hat sich ja geändert und man kann immer mehr mit Kreditkarte zahlen und braucht daher nicht so viel Bargeld wie vor 10 Jahren. Eines ist aber sicher, ägyptische Banken geben sicherlich keine Karten mit "offline Limit" raus... zumindest nicht an den Otto Normalverbraucher.

Vor 10 Jahren war die Welt auch noch kleiner, ich glaube nicht das irgendjemand nach Ägypten geflogen ist um da irgendwelche Karten zu missbrauchen... zumal man dort sicherlich auch nicht im Knast sitzen will *g*. Dazu kam ja, dass der ATM im Hotel stand... externe Leute hatten da recht schwer Zugriff und Gäste waren ja registriert durch den Reiseveranstalter.

Alles in allem heißt das ja, dass eine Kreditkarte gar nicht mehr so viel "Kredit" ist.... Mal abgesehen von Kautionen wie Mietwagen und Hotels.

 

[Gustl]

Verstehe... Also ist das Floorlimit nichts anderes als eine Versicherung die teuer bezahlt werden muss und die Händler deswegen gerne darauf verzichten bzw. den Betrag mindern.

Ja, so kann man es ausdrücken. Es war halt früher eine sehr wichtige Sache, als Autorisierungen noch umständlich und v.a. teuer waren. Aber das war einmal. Heute wird ein Acquirer seinen Vertragsunternehmen im Normalfall kein signifikantes Floorlimit mehr einräumen, wenn nicht wichtige Gründe dafür sprechen.

Alles in allem heißt das ja, dass eine Kreditkarte gar nicht mehr so viel "Kredit" ist.... Mal abgesehen von Kautionen wie Mietwagen und Hotels.

Die Bezeichnung ist im Grunde schon sehr unglücklich, das stimmt. Ich spreche daher beruflich viel lieber einfach von Zahlungskarten.
Klassische Kreditkarten amerikanischen Stils (mit Teilzahlungsmöglichkeit) heißen ja ursprünglich so, weil Du mit der Karte auf einen Dir eingeräumten Rahmenkredit zugreifst. Bei den in Deutschland eher üblichen sog. Charge-Karten hast Du zumindest ein etwas verlängertes Zahlungsziel bis zum Ende des Rechnungszyklus bzw. Abbuchungsdatum.

 

[Escorpio]

Die Bezeichnung ist im Grunde schon sehr unglücklich, das stimmt. Ich spreche daher beruflich viel lieber einfach von Zahlungskarten.
Klassische Kreditkarten amerikanischen Stils (mit Teilzahlungsmöglichkeit) heißen ja ursprünglich so, weil Du mit der Karte auf einen Dir eingeräumten Rahmenkredit zugreifst. Bei den in Deutschland eher üblichen sog. Charge-Karten hast Du zumindest ein etwas verlängertes Zahlungsziel bis zum Ende des Rechnungszyklus bzw. Abbuchungsdatum.

Ja, eigentlich ist das verlängere Zahlungsziel das einzigste... Wenn ich Donnerstag Abend mit EC Karte zahle, wird das in der Regel auch erst am Montag oder Dienstag abgebucht... Und viele EC Karten prüfen auch keine Salden-Deckung der Girokonten.... Da ist das Vertrauen effektiv noch größer als bei einem Standard KK Limit.

 

[OdinTheConfused]

Die von der Karte vorgeschlagene CVM wird also vom Terminal abgelehnt, die Karte muss die nächste CVM anbieten und das scheint bei dieser Karte leider "signature" zu sein.
"plaintext PIN verified by ICC" ist für diese Karte entweder überhaupt nicht zugelassen oder mit einer niedrigeren Priorität als "signature" hinterlegt, so dass sich Karte und Terminal bereits auf "signature" einigen, bevor die Karte "plaintext PIN verified by ICC" überhaupt anbieten konnte..

Die Hilton Visa hat laut cardpeek die folgenden Einstellungen:

Enciphered Pin verified online
Signature (Paper)
No CMV

Die Standard DKB Visa hingegen ist da mehr flexible:

Encipered Pin verification performend by ICC
plaintext PIN verified by ICC
Enciphered Pin verified online
Signature
No CVM

Das duerfte dann erklaeren warum mein Hilton immer Unterschrift haben will when ich in UK/Ireland bin, waehrend the DKB Visa einfach immer meine PIN haven will.

 

[hch]

Wer benutzt den Pin Schund eigentlich freiwillig? Ich habe auch die DKB HHonors Visa und bin extrem froh drueber in UK und Kanada grad nur unterschreiben zu muessen.

 

[mfkne]

Dieses Problem scheint mit der neuen Version der Karte behoben zu sein. Jedenfalls konnte ich erstmals bei einem McDonald's in den Niederlanden mit Karte und PIN zahlen, während das vorher immer fehlgeschlagen ist. Der tatsächliche Test in UK steht noch aus.

 

[FlyC]

Wer benutzt den Pin Schund eigentlich freiwillig? Ich habe auch die DKB HHonors Visa und bin extrem froh drueber in UK und Kanada grad nur unterschreiben zu muessen.

Hier!

Funktionier in der Regel schneller, oder zumindest genau so schnell wie die Unterschrift und ist um einiges sicherer!

 

[MaxBerlin]

Einige Länder in Europa haben Anfang dieses Jahres nun auch Online-PIN-Unterstützung eingeführt, u.a. Polen.
Echte Sicherheit gibt es nur, wenn jemand die Karte mit Cardpeek ausliest und die CVM-Liste damit bestimmt.

Ich will überall so zahlen wie ein Einheimischer und nicht unnötig Aufruhr erzeugen und ggf. auch noch von Personal dumm angemacht werden. So wie vor einiger Zeit im Sainsbury's an der Selbstbedienungskasse: "this is a chip card, why did you swipe" – "It's a chip and signature card" – "Ohhh, there are chip and signature cards?".

Es ist von der Bank aus gegenüber dem Kunden auch unehrlich, wenn man ihn nur im Inland mit PIN (dies vielleicht noch mit erhöhter Sicherheit begründend) und im Ausland mit der unsicheren Unterschrift zahlen lässt.

 

[tmmd]

Wer benutzt den Pin Schund eigentlich freiwillig? Ich habe auch die DKB HHonors Visa und bin extrem froh drueber in UK und Kanada grad nur unterschreiben zu muessen.

Ich. Bei meiner MLP Gold. Da konnte ich die PIN sogar selbst am Automaten ändern.

 

[gowest]

Mich hat das auch immer total gewundert in UK.

 

[Rambuster]

Chip + Pin ging vorgestern bei mir in UK. Kontaktlos zahlen ebenfalls.

 

[janetm]

Chip + Pin ging vorgestern bei mir in UK. Kontaktlos zahlen ebenfalls.

Ja, damit war ich beim ersten mal vor 2-3 Wochen noch etwas verwirrt.

Verkäufer: "Nuschel, nuschel contact lense?"
Ich: "häh?"
Verkäufer: "Nuschel, nuschel contact lense?"
Ich: ?

Dann hat der Verkäufer die Karte einfach vor das Gerät gehalten und ich wußte, das ich nichts mit den Augen, sondern mit den Ohren hatte und der Verkäufer "contactless" meinte. War auch die Hilton Karte der DKB.

 

[gowest]

Das würde dir in Deutschland nie passieren, weil nicht mal 1 % der Kassierer wissen, dass es sowas ueberhaupt gibt. Ist mir in London aber auch schon oft passiert, dass sie extra gefragt haben "contactless?"....In spanien auch "ooh tiene esto" und rangehalten.

Ja, damit war ich beim ersten mal vor 2-3 Wochen noch etwas verwirrt.

Verkäufer: "Nuschel, nuschel contact lense?"
Ich: "häh?"
Verkäufer: "Nuschel, nuschel contact lense?"
Ich: ?

Dann hat der Verkäufer die Karte einfach vor das Gerät gehalten und ich wußte, das ich nichts mit den Augen, sondern mit den Ohren hatte und der Verkäufer "contactless" meinte. War auch die Hilton Karte der DKB.

 

[tmmd]

Andere Frage: Wenn ich ein DKB Konto habe und dann die Hilton KK beantrage, wird dann die DKB-KK gesperrt oder laufen dann beide KK parallel über das DKB-Konto?

 

[pumpuixxl]

Andere Frage: Wenn ich ein DKB Konto habe und dann die Hilton KK beantrage, wird dann die DKB-KK gesperrt oder laufen dann beide KK parallel über das DKB-Konto?

laufen beide parallell und sind beide in der "Finanzübersicht" des DKB Accounts aufgelistet.

 

[chillhumter]

Andere Frage: Wenn ich ein DKB Konto habe und dann die Hilton KK beantrage, wird dann die DKB-KK gesperrt oder laufen dann beide KK parallel über das DKB-Konto?

Welchen Grund sollte es geben diese zu sperren ?
Die LH M&M Karte läuft auch parallel

 

[mfkne]

Du behältst beide.

 

[dombo]

Gerade 2 Karten ausgelesen (mit dem javaemvreader - keine Installation notwendig)
Zwar keine HHonors, daher etwas off topic, aber wen es interessiert:

AirPlus Corporate Mastercard:

Cardholder Verification Method (CVM) List:

Rule: Enciphered PIN verified online
Condition Code: If unattended cash
Apply succeeding CV Rule if this CVM is unsuccessful

Rule: Plaintext PIN verification performed by ICC
Condition Code: If terminal supports the CVM
Apply succeeding CV Rule if this CVM is unsuccessful

Rule: Enciphered PIN verified online
Condition Code: If terminal supports the CVM
Apply succeeding CV Rule if this CVM is unsuccessful

Rule: Signature (paper)
Condition Code: If terminal supports the CVM
Fail cardholder verification if this CVM is unsuccessful

Rule: No CVM required
Condition Code: If terminal supports the CVM
Fail cardholder verification if this CVM is unsuccessful

ING-DiBa VISA:

Cardholder Verification Method (CVM) List:

Rule: Enciphered PIN verified online
Condition Code: If purchase with cashback
Fail cardholder verification if this CVM is unsuccessful

Rule: Enciphered PIN verified online
Condition Code: If terminal supports the CVM
Fail cardholder verification if this CVM is unsuccessful

Rule: Signature (paper)
Condition Code: If terminal supports the CVM
Fail cardholder verification if this CVM is unsuccessful

Rule: No CVM required
Condition Code: Always
Fail cardholder verification if this CVM is unsuccessful

-----

In GB und Portugal bin ich mit der VISA an Selbstbedienungskassen bisher immer gut mit PIN durchgekommen.
In NL hingegen wurde ich letztes Jahr von einem Verkäufer angepampt, weil ich überraschenderweise unterschreiben musste. Vorher hatte er mich nämlich noch gefragt, ob es eine Chip+PIN-Karte ist, was ich erfahrungsgemäß bejahte.

Also kann man scheinbar nicht unbedingt pauschalisieren, in welchen Ländern welche CVM-Präferenzen eingestellt sind.
Ich hoffe, meine nächste VISA kann wieder Offline-PIN. Die vorherige konnte es, glaube ich.

 

[lebkuchen]

Die technischen Hintergründe der hier geschilderten Phänomene sind leider recht komplex. Ich kann daher jetzt nur versuchen, so allgemeinverständlich wie möglich dazu auszuführen.

Das Grundproblem ist die sogenannte CVM-Konfiguration Eurer Kreditkarten (CVM steht hierbei für "cardholder verification method"). Bei der Ausstellung einer Kreditkarte legt der Herausgeber fest, welche CVM für die Karte zugelassen sind und in welcher Reihenfolge diese zur Anwendung gelangen sollen. Diese Festlegung wird in Form einer priorisierten Liste auf der Karte hinterlegt.

Nun gibt es im EMV-Standard nicht nur eine, sondern insgesamt drei PIN-basierte CVM. Diese sind:
- enciphered PIN verified online
- plaintext PIN verified by ICC
- enciphered PIN verified by ICC

Bei Variante 1 wird die PIN durch das Terminal verschlüsselt und das Kryptogramm zur Validierung per Onlineabfrage an den Kartenherausgeber geschickt. Dies ist die klassische Geldautomaten-CVM, sie funktioniert auch mit (altertümlichen/US-amerikanischen) reinen Magnetstreifenkarten, da bei der PIN-Validierung keine aktive Mitwirkung der Karte erforderlich ist.
Bei Variante 2 wird die PIN im Klartext an den Chip übermittelt und mit einem dort hinterlegten sogenannten "witness image" abgeglichen. Dieses Verfahren wird mitunter auch Offline-PIN genannt, da die PIN-Validierung eben lokal und nicht online erfolgt. (Obacht: das heißt selbstverständlich nicht, dass die gesamte Transaktion offline abgewickelt wird - nach erfolgreicher lokaler PIN-Validierung kann eine ganz normale Authorisierungsanfrage an den Herausgeber geschickt werden, was i.d.R. auch geschieht!)
Variante 3 ist eine sehr aufwendige CVM. Das PINpad muss die eingegebene PIN verschlüsseln und an den Chip auf der Karte übermitteln, der wiederum in der Lage sein muss, das Kryptogramm zu entschlüsseln, um es mit dem hinterlegten PIN witness image abzugleichen. Diese CVM gelangt praktisch nur relativ selten zum Einsatz.

Nun ist es leider auch so, dass nicht jeder POS jede CVM unterstützt. Vereinfacht ausgedrückt: Karte und Terminal müssen sich bei einer Transaktion darauf einigen, welche CVM zur Anwendung gelangen soll. Das läuft so ab, dass die Karte dem Terminal zunächst die CVM vorschlägt, die mit der höchsten Priorität konfiguriert ist. Wenn das Terminal damit nicht einverstanden ist, weil es diese CVM z.B. technisch nicht unterstützt, schlägt die Karte die CVM mit der zweiten Priorität vor usw. -> entweder einigt man sich irgendwann oder im schlimmsten Fall eben auch nicht, dann kann keine (zumindest keine EMV-) Transaktion stattfinden.

Es tut mir leid, aber diese sehr technischen Vorbemerkungen waren erforderlich, um die geschilderten Phänomene verstehen zu können.

In bestimmten Ländern, namentlich in Großbritannien und Frankreich, gelangt am POS mit überwältigender Mehrheit die CVM "plaintext PIN verified by ICC" zum Einsatz. In anderen Ländern, beispielsweise Deutschland und Skandinavien (sowie offensichtlich - nach den Berichten in diesem Thread - die Niederlande) neigt man eher zu "enciphered PIN verified online", zumindest aber wird diese CVM dort von den meisten Terminals unterstützt.

Wenn nun eine bestimmte Karte z.B. in Deutschland praktisch immer per PIN authentifiziert, heißt das zunächst einmal lediglich, dass irgendeine der drei PIN-basierten CVM mit höchster Priorität versehen ist. Bei der hier diskutierten Karte scheint das (leider) "enciphered PIN verified online" zu sein. Problem: POS in Großbritannien beherrschen diese CVM i.d.R. nicht, da dort "plaintext PIN verified by ICC" üblich ist.
Die von der Karte vorgeschlagene CVM wird also vom Terminal abgelehnt, die Karte muss die nächste CVM anbieten und das scheint bei dieser Karte leider "signature" zu sein.
"plaintext PIN verified by ICC" ist für diese Karte entweder überhaupt nicht zugelassen oder mit einer niedrigeren Priorität als "signature" hinterlegt, so dass sich Karte und Terminal bereits auf "signature" einigen, bevor die Karte "plaintext PIN verified by ICC" überhaupt anbieten konnte.

Wenn alle Beteiligten, namentlich das Kassenpersonal, wissen, was sie tun, sollten keine Akzeptanzprobleme auftreten. Aber ich kenne das selber sehr gut: in GB oder F unterschreiben zu müssen, führt nicht selten zu Irritationen oder handfestem Misstrauen. Fazit: eine zeitgemäße Kreditkarte muss alle drei PIN-basierten CVM mit höherer Priorität als die CVM "signature" anbieten.

Wer von Euch einen Chipkartenleser besitzt, kann mit der Freeware Cardpeek die CVM-Konfiguration seiner Kreditkarten auslesen. Ist nicht uninteressant.

Jetzt bitte ich nochmal um Verzeihung für diesen langen und sehr technischen Beitrag. Aber viel kompakter kann man die Problematik leider nicht darstellen.

Danke für die super Erklärung! Ich frage mich jedoch gerade, welche Relevanz siehst Du in folgendem CVM Verfahren

"Enciphered PIN verification performed by ICC"

Gibt es Konstellationen, bei dem dieses Verfahren zwingend in der CVM Liste stehen sollte? ICh frage mich gerade wieso meine LH-Credit Card das nicht hat.

An sich eine gute CVM Liste

1.Geldautomat: Online Pin
2. Offline PIN Terminal
3. Online PIN
4. Unterschrift
5. Keine CVM

Mich würde Deine geschätze Meinung sehr interessieren

 

[MaxBerlin]

ANZEIGE

Zwar bin ich nicht der Adressat, aber einige Anmerkungen:

Geldautomaten nehmen ohnehin grds. immer Online PIN, auch wenn Offline PIN (if terminal supports the CVM) an erster Stelle stehen sollte.

Enciphered PIN verification performed by ICC ist geringfügig sicherer als die Plaintext-Variante. Früher hat man ersteres eher gemieden, weil der Chip der Karte bei Enciphered PIN verification performed by ICC kryptografische Operationen beherrschen muss und man Aufwand und Kosten wohl gescheut hat. Aber im Zeitalter von DDA und CDA fällt dieser Gedanke wirklich nicht mehr ins Gewicht.

Eine Karte, die z.B. Enciphered PIN verification performed by ICC beherrscht, aber nicht die Plaintext-Variante, ist die Fidor SmartCard.

Auch diese kann in traditionellen Offline-PIN-Ländern wie UK und FI mit PIN-Eingabe genutzt werden – auch dort, wo reine Online-PIN-Karten abgewiesen wurden. Terminals, die zwar Plaintext Offline PIN beherrschen, aber nicht die Enciphered-Variante, sollte es heutzutage eigentlich nicht mehr geben. Das war eher in den Frühzeiten von Chip & PIN, d.h. den frühen Nullern noch ein Thema. Dass in GB die Karten immer noch meistens Plaintext Offline PIN bevorzugen, hat eher historische Gründe, da die Terminals Enciphered und Plaintext Offline PIN beherrschen (Online PIN jedoch nur sehr lückenhaft).

DK ist zwar Online-PIN-Land, FI und nach meinen Erinnerungen auch SE sind Offline-PIN-Länder. Auf meiner Seite gibt's dazu auch eine kleine Aufstellung.