Karten-Terminal Verifone H5000 Ein folgenschwerer Softwarefehler
Noch immer kann vielerorts in Deutschland nicht mit Karte gezahlt werden, denn die Behebung des Problems mit den Zahlungsterminals ist langwierig. Woran liegt das? Antworten auf die wichtigsten Fragen.
Was ist passiert?
Seit dem 24. Mai gibt es an vielen Orten, die bargeldlose Bezahlung anbieten, technische Probleme mit einem bestimmten Terminal des US-Herstellers Verifone: Die Kartenzahlung ist nur noch eingeschränkt oder gar nicht mehr möglich. Das führte anfangs dazu, dass viele Kunden unvorhergesehen bar zahlen mussten. Betroffen von den Ausfällen waren unter anderem die Einzelhandelsketten Edeka, Aldi Nord oder Rossmann. Teilweise haben die Märkte die betroffenen Terminals inzwischen durch andere Geräte ausgetauscht.
Welche Hardware ist betroffen - und wo?
Probleme bereitet ausschließlich das Zahlungsgerät H5000 von Verifone. Es ist nach Aussage des Herstellers das am weitesten verbreitete Kartenleseterminal in Deutschland. Wie Verifone tagesschau.de mitteilte, wurde es bis Ende 2019 vertrieben. Alle anderen Geräte der Firma seien nicht betroffen.
Deutschlandweit waren Recherchen des Finanz-Blogs "Finanz-Szene" zufolge im Jahr 2018 rund 350.000 der Geräte in Betrieb. Das entspräche rund einem Drittel aller Girokarten-Zahlungsstellen. Nicht nur der Einzelhandel nutzt das Gerät H5000 von Verifone, auch anderweitig ist es im Einsatz: etwa in Restaurants oder Freizeiteinrichtungen wie zum Beispiel Schwimmbädern.
Worin besteht die Störung?
Nach Aussage von Verifone ist der Auslöser der Störung eine "Fehlfunktion" der Software. Zu Spekulationen, es könnte ein Hackerangriff dahinter stecken, heißt es von dem Hersteller gegenüber tagesschau.de: "Wir möchten betonen, dass das Problem weder mit einem abgelaufenen Sicherheitszertifikat noch mit einer Sicherheitslücke im System zusammenhängt." Es stelle darüber hinaus keine Bedrohung für die Sicherheit bei der Abwicklung von Zahlungen dar. Experten hatten die Vermutung geäußert, ein abgelaufenes Sicherheitszertifikat könnte die Probleme verursacht haben.
Fest steht, dass das Gerät nur noch bis Ende 2023 mit Software-Updates versorgt wird. Spätestens dann sollte es im Handel ohnehin gegen neue Terminals ausgetauscht werden, damit keine Sicherheitslücken entstehen und Störungen vermieden werden. Viele Betroffene haben die jetzigen Probleme zum Anlass genommen, das H5000 schon jetzt gegen ein neues Kartenlesegerät auszutauschen. Dies geschah unter anderem bei Aldi Nord und beim zur Edeka-Gruppe gehörenden Discounter Netto.
Wie wird das Problem gelöst?
Es wird ein Software-Update benötigt, das von den Finanzdienstleistern, die die Zahlungen für ihre Kunden abwickeln, auf die Geräte gespielt wird. Das ist sehr aufwändig, weil Spezialisten dafür jedes einzelne Terminal in die Hand nehmen müssen.
Wie einer dieser Finanzdienstleister, Payone, tagesschau.de mitteilte, hat "Verifone nun das erforderliche Problemlösungspaket zur Verfügung gestellt, mit dessen Hilfe die Funktionalität der betroffenen H5000-Terminals wiederhergestellt werden soll, um das modifizierte Softwareupdate aufzuspielen".
Payone habe umgehend damit begonnen, diese Lösung bei ausgewählten Kunden einzusetzen: "Wir [...] konnten damit bereits erste positive Ergebnisse erzielen." Nun würden sukzessive mit den vorbereiteten Logistikketten die Technikereinsätze vor Ort koordiniert und dort durchgeführt, wo die Störung durch ein Update zu beheben ist.
Alternativ steht es den Nutzern des Geräts frei, es vorzeitig gegen ein neues, moderneres Terminal auszutauschen. Dazu heißt es vom Zahlungsdienstleister Payone: "Erste Terminals wurden bereits ausgetauscht und weitere Ersatzgeräte beschafft."
Der Zahlungsdienstleister Concardis rät seinen Kunden sogar dazu, diesen Schritt zu gehen: "Nach eingehender Testung betrachten wir die Lösung aufgrund der Komplexität und eines verbleibenden Fehlerrisikos jedoch nur als vorübergehende Lösung", schreibt Concardis tagesschau.de. "[Wir] raten unseren Händlerkunden in erster Linie weiterhin zum Austausch der Terminals." Es seien genügend Terminals auf Lager, so dass sukzessive ein Gerätetausch für alle betroffenen Händlerkunden durchgeführt werden könne.
Wichtig sei, dass die Betroffenen das Terminal nicht einfach ausschalten. "Wir bitten unsere Kunden [...], die Geräte vorerst nicht eigenständig neu zu starten und unverändert sowohl an der Stromversorgung sowie am Netzwerk angeschlossen zu lassen, um eine Fehlerbehebung zu ermöglichen", heißt es von Concardis.
Wie lange dauert es noch?
Da jedes einzelne Terminal vor Ort von einem Techniker mit der neuen Betriebssoftware ausgestattet werden muss, kann es noch einige Zeit in Anspruch nehmen, bis deutschlandweit sämtliche Geräte wieder funktionieren.
Laut Payone soll "ein Online-Formular für die Bedarfsermittlung" nun dabei helfen, "die entsprechenden Ressourcen für die nächsten Tage und Wochen zu planen". Will sagen: Bis in jedem einzelnen betroffenen Geschäft ein Techniker war, um das H5000 wieder zum Laufen zu bringen, könnte es noch eine ganze Weile dauern.
Welche Alternativen gibt es?
Natürlich können Kunden überall mit Bargeld bezahlen. Außerdem können Händler auf das lastschriftbasierte Bezahlverfahren mit Karte zurückgreifen. Anstelle der PIN-Eingabe müssen Kunden dann eine Unterschrift leisten - bis vor gar nicht allzu langer Zeit ein gängiges Vorgehen, das teilweise noch immer genutzt wird.
Problematisch ist allerdings, dass viele Menschen an der Supermarktkasse nicht nur bargeldlos zahlen, sondern dort zunehmend auch Bargeld abheben. Verbraucherschützer weisen in diesem Zusammenhang auf das Problem hin, dass die Banken ihr Filialnetz immer weiter ausdünnen und die Dichte an Geldautomaten abnimmt. Immer mehr Kunden sind also auch auf diese Funktion der Kartenterminals angewiesen, wenn sie nicht weite Wege zur nächsten Bankfiliale in Kauf nehmen wollen.
Warum hat sich die Finanzaufsicht eingeschaltet?
Auch die Finanzaufsichts-Behörde BaFin befasst sich mit dem in Deutschland bislang beispiellosen Ausfall und steht nach eigener Aussage in engem Kontakt mit verschiedenen Zahlungsdienstleistern, dem Bundesamt für Sicherheit in der Informationstechnik (BSI) und der Bundesbank. Wie die Behörde tagesschau.de mitteilte, wurde "zur besseren Einschätzung der Lage eine Abfrage unter den möglicherweise betroffenen Zahlungsdienstleistern durchgeführt". Ziel sei dabei, "ein besseres Bild über das Ausmaß der Störung zu erhalten".
Im Fokus der Behörde sind dabei also nicht Verifone, sondern die Zahlungsdienstleister Concardis und Payone. Als Finanzdienstleister fallen sie unter die Aufsicht der BaFin. Dies gilt nicht für Verifone als Gerätehersteller.
