Der Payment Card Industry Data Security Standard, üblicherweise abgekürzt mit PCI, ist ein Regelwerk im Zahlungsverkehr, das sich auf die Abwicklung von Kreditkartentransaktionen bezieht und von allen wichtigen Kreditkartenorganisationen unterstützt wird. Die Aufgabe des PCI Security Standards Council ist es, durch Information, Weiterbildung und Aufklärung über die PCI Security Standards die Sicherheit von Zahlungs- und Kontodaten zu erhöhen. Die Organisation wurde von American Express, Discover Financial Services, JCB International, MasterCard Worldwide, und Visa, Inc. gegründet.
Handelsunternehmen und Dienstleister, die Kreditkarten-Transaktionen speichern,
übermitteln, oder abwickeln, müssen diesen Standard erfüllen.
Hierbei handelt
es sich NICHT um eine gesetzliche Regelung. Allerdings
kann Ihre
Akzeptanzstelle von Ihnen eine PCI DSS Zertifizierung verlangen, sobald Sie
Kreditkarten als Zahlungsmittel am Terminal akzeptieren. Ohne Zertifizierung
kann Ihnen letztlich die Akzeptanz von Kreditkarten untersagt werden. Die
Einhaltung der Regeln wird üblicherweise in Abhängigkeit vom Umsatzvolumen des
Unternehmens überprüft (z.B. ab 1 Mio. Kreditkartentransaktionen pro Jahr).
Indem Sie Ihren Terminal PCI DSS zertifizieren lassen, stellen Sie sicher,
dass Sie den Standard einhalten. Softwareanwendungen alleine, wie z.B.
SiteKiosk, können leider nicht PCI DSS zertifiziert werden, sondern nur
Gesamtlösungen aus Hardware und Software (Ihr Kiosk). Die Zertifizierung kann
nur von einem approved scanning vendor (ASV) durchgeführt werden. Eine Liste
zertifizierter ASVs finden Sie
hier.
Weitere Informationen finden Sie unter
https://www.pcisecuritystandards.org/.
Wir empfehlen, die Kreditkarten Lösung zusammen mit einem Kartenleser zu betreiben. Richten
Sie die Hardware bitte entsprechend dem von Ihnen eingesetzten Gerät ein. Weitere Hilfe finden Sie im Handbuch des Gerätes und auf den Seiten des jeweiligen Herstellers.
3.1 Allgemein
Um die Kreditkarten Einstellungen zu konfigurieren, wählen Sie auf der Payment
Module Konfigurationsseite den Eintrag "
Kreditkarte: ISO/MagTek/etc." aus
der Liste der verfügbaren Geräte und klicken Sie auf den Button
Anpassen.
An einem grünen Punkt neben dem Eintrag für das Bezahlgerät können Sie
erkennen, dass dieses Gerät aktiviert wurde.
Sie benötigen einen Zugang zu
einem Payment Gateway, um die Kreditkartenzahlung verwenden zu können. Nur ein solcher Anbieter ermöglicht erst die Buchung von
Kreditkartenbuchungen per Internet. Der Ablauf ist ungefähr wie folgt:
- Der Kunde gibt Daten der Kreditkarte ein bzw. Kartenleser liest die Karten aus.
- Kreditkartendaten und Betrag werden an das Payment Gateway zusammen mit
Ihrer Händler Kennung online gesandt.
- Payment Gateway überprüft Daten und Betrag und bucht bei Erfolg den Betrag
von der Kreditkarte ab und schreibt diesen Betrag Ihrer Kennung
gut.
Vorteil: Falsche bzw. gestohlene Kreditkarten werden
automatisch abgelehnt.
- Payment Gateway gibt eine Meldung zurück, ob der Betrag abgebucht werden
konnte oder eben nicht. Dieser Vorgang dauert nur wenige
Sekunden!
- Im Erfolgsfall wird der Betrag von SiteKiosk auf dem Surfterminal
gutgeschrieben.
- Einige Tage später erhalten Sie eine Gutschrift auf Ihrem Bankkonto
(abzüglich der Gebühren der Kreditkarten-Anbieter (Eurocard, Amex, etc.) und dem
Payment Gateway.
Bei einigen Gateways kann ein Kommentar oder eine Beschreibung mitgesendet
werden. Damit mehrere Terminals die gleiche Konfiguration nutzen können und die
Werte trotzdem eindeutig einem Terminal zuzuweisen sind, kann
$(computername)
für den Computernamen,
$(computerguid)
für die Computer GUID,
$(ipaddresses)
für
die IP Adresse des Terminals und
$(fqdn)
für den Fully Qualified Domain Name des
Rechners verwendet werden.
EINSTELLUNGEN Anpassbares Skript
Das anpassbare Skript erlaubt die individualisierte Nutzung der
Kreditkartenzahlung, z.B. um die Daten an ein bestehendes Shop-/Bezahlsystem zu
übermitteln, oder die Implementierung eines beliebigen Kreditkarten-Gateways.
Die Anbindung erfolgt anhand des vom Gateway-Anbieters zur Verfügung gestellten
SDKs, die Buchung des Betrags in SiteKiosk wird über das
SiteKiosk Object Model abgewickelt.
Wird mit der manuellen Eingabe der Kreditkartendaten gearbeitet, muss mit Hilfe
des Gateway-SDKs die Transaktion abgewickelt werden. Nach erfolgreicher Buchung
kann der Betrag über die Funktion SiteKiosk.Plugins("SiteCash").Credit(amount)
aus dem SiteKiosk Object Model in SiteKiosk gebucht werden.
Bei Verwendung
eines Kreditkartenlesers kann auf das
SiteKiosk.Plugins("SiteCash").Devices("CreditCard").OnCardSwiped = handler Event
reagiert werden. Dabei stellt SiteKiosk alle für eine Buchung relevanten Daten
der Kreditkarte zur Verfügung. Der weitere Ablauf entspricht dann dem für die
manuelle Eingabe.
Beispiel:
Das nachfolgende Beispiel schreibt die Kreditkartennummer nach dem Einlesen der
Kreditkarte in die SiteKiosk Logdatei.
|
creditcard = SiteKiosk.Plugins("SiteCash").
|
|
Devices("CreditCard");
|
|
creditcard.OnCardSwiped = OnCardSwiped;
|
|
function OnCardSwiped(ccardinfo)
|
|
{
|
|
SiteKiosk.Logfile.Notification
|
|
SiteKiosk("Credit Card Number: " + ccardinfo.Number);
|
|
}
|
EINSTELLUNGEN SecureTrading
Wenn Sie einen Merchant-Account bei Securetrading beantragen, erhalten Sie
einen Benutzernamen und ein Passwort und Ihre Site-Referenz ID. Bitte beachten Sie, dass SiteKiosk ab Version 8.5 nur noch die STPP Methode von Securetrading unterstützt und nicht mehr die alte ST2K-Variante. Bitte kontaktieren Sie Securetrading, um zu erfahren, wie Sie Ihr Konto ggf. umstellen können.
Als zusätzliche Sicherheitsoption steht die Card Security Code Validation
(CVC) zur Verfügung.
Optional können Sie den automatischen Versand einer Bestätigungsemail
aktivieren. In diesem Fall erhalten Sie nach jeder KK-Transaktion eine Email mit
den entsprechenden Transaktionsdaten.
Zudem kann die die eigentliche Abbuchung verzögert werden.
Falls gewünscht, kann auch eine Beschreibung zur besseren Identifizierung der Transaktion mitgeschickt werden, z.B.
der Computername.
Als zusätzliche Sicherheitsoption steht die Card Security Code Validation
(CVC) zur Verfügung.
EINSTELLUNGEN DIBS Payment Services
Bei der Verwendung von DIBS benötigen Sie Angaben zu Merchant, Login ID und das
Passwort.
Optional kann zur Erhöhung der Sicherheit mit einer MD5 Signatur
gearbeitet werden.
Als zusätzliche Sicherheitsoption steht die Card Security
Code Validation (CVC) zur Verfügung.
Falls gewünscht und in dem von Ihnen
verwendeten Gateway-Konto freigeschaltet, kann hier das
3-D Secure
Verfahren aktiviert werden. Das Timeout gibt die Wartezeit für die Eingabe
des 3-D Secure Benutzerpasswortes an.
EINSTELLUNGEN Authorize.Net
Füllen Sie die Felder anhand der Informationen aus, die Sie von Authorize.net
nach Ihrer Anmeldung erhalten. Wählen Sie zudem bitte die zulässigen
Kreditkarten aus.
Authorize.net bietet günstigere Konditionen,
wenn die Kreditkarte nachweislich vorhanden ist (CardPresent). In diesem Fall
kann nur mit Magnetkartenlesern und OHNE manuelle Eingabe der Kartendaten
gearbeitet werden. Sollten Sie diese Variante wünschen, so müssen Sie dies bei
der Anmeldung bei Authorize.net angeben.
Wichtig: Im übergeordneten Dialog
(Credit Card Payment) muss "Enable manual input of credit card information"
ausgeschaltet werden, wenn CardPresent aktiv ist.
Sie haben bei Authorize.net auch die Möglichkeit einen
Testmodus zu aktivieren. Wenn diese Option gewählt ist, können Sie zwar
Buchungen durchführen, es wird aber keine Karte wirklich belastet.
Als zusätzliche Sicherheitsoptionen tragen Sie bitte
die MD5 Signatur und die Referer URL ein. Beides können Sie mit dem Anbieter
vereinbaren.
Achtung:
Der MD5-Wert sichert nicht die Kreditkartentransaktion ab, es kann damit nur sichergestellt werden, dass die Antwort vom richtigen Server kommt. Wenn SiteKiosk also erfährt, dass die MD5 Werte nicht stimmig sind, ist die Transkation zu diesem Zeitpunkt schon durchgeführt worden und die Kreditkarte bereits belastet, da dies serverseitig geschieht. Darauf kann SiteKiosk keinen Einfluss nehmen. SiteKiosk schreibt dann jedoch die Buchung nicht gut, da hier der Verdacht auf eine Manipulation besteht. Falls Sie also die MD5-Prüfung nutzen, sollten Sie unbedingt einen Testlauf machen.
Falls gewünscht, kann auch eine Beschreibung zur besseren Identifizierung der Transaktion mitgeschickt werden, z.B.
der Computername.
EINSTELLUNGEN iPayment
Bei der Verwendung von I-Payment erhalten Sie Zugriff auf Ihr personalisiertes
online Admin-Menü. Dort können Sie zu Testzwecken auch den Testmode aktivieren,
bei dem Beträge nur gebucht, aber nicht wirklich gutgeschrieben werden.
Sie
können neben den zu akzeptierenden Kreditkarten auch noch den Text festlegen,
der auf der Kreditkarten Abrechnung des Kunden erscheinen soll (NICHT in Ihrem
Transaktionsbericht). Die Information "Transaktionskommentar" erscheint in Ihrem
Transaktionsbericht von I-Payment. Optional auch IP-Adresse des Rechners,
Uhrzeit und Datum der Transaktion.
Als zusätzliche Sicherheitsoption steht
die Card Security Code Validation (CVC) zur Verfügung.
I-Payment ignoriert schnell hintereinander eintreffende
Kreditkarten-Transaktionen, wenn diese die gleichen IP-Adresse haben. Bei der
Verwendung von Routern ist es allerdings manchmal notwendig, diese Funktion zu
deaktivieren. Dies ist nur direkt im .skcfg Konfigurationsfile möglich. Suchen
Sie nach dem
Eintrag:
<disable-fraud-detection>false</disable-fraud-detection>
und setzen Sie diesen Wert auf "true.
EINSTELLUNGEN PayPal Payflow Pro
Unter Ihrem Payflow Pro Konto
können Sie Ihren eigenen Händlerzugang beantragen. Nach der Registrierung
erhalten Sie die Partner ID zu Ihrem Merchant Konto.
Sie haben bei Payflow Pro auch die Möglichkeit, einen Testmodus zu aktivieren.
Wenn diese Option gewählt ist, können Sie zwar Buchungen durchführen, es wird
aber keine Karte wirklich belastet.
Der Transaktions-Kommentar erlaubt es
Ihnen nachzuvollziehen, von welchem Terminal eine Buchung erfolgt ist. In den
Kommentarfeldern sollten keine Sonderzeichen verwendet werden.
Als
zusätzliche Sicherheitsoption steht die Card Security Code Validation (CVC) zur
Verfügung.
EINSTELLUNGEN Moneris Solutions
Füllen Sie die Felder anhand der Informationen aus, die Sie von Moneris nach
Ihrer Anmeldung erhalten,
wie z.B. Store ID und Api Token. Wählen Sie zudem bitte die zulässigen
Kreditkarten aus.
Sie haben bei Moneris auch die Möglichkeit, einen Testmodus
zu aktivieren. Wenn diese Option gewählt ist, können Sie zwar Buchungen
durchführen, es wird aber keine Karte wirklich belastet.
EINSTELLUNGEN SecurePay
Füllen Sie die Felder anhand der Informationen aus, die Sie von SecurePay nach
Ihrer Anmeldung erhalten, wie z.B. Merchant und Passwort.
Wählen Sie zudem bitte
die zulässigen Kreditkarten aus.
Sie haben bei SecurePay auch die
Möglichkeit, einen Testmodus zu aktivieren. Wenn diese Option gewählt ist, können
Sie zwar Buchungen durchführen, es wird aber keine Karte wirklich belastet.
EINSTELLUNGEN CreditCall
Tragen Sie die Terminal ID und Ihren CreditCall Schlüssel in die dafür
vorgesehenen Felder ein. Ändern Sie das Feld Server URL auf die Ihnen
zugewiesene URL. In diesem Feld steht als Defaultwert eine Test URL von
CreditCall, die gemeinsam mit dem Testmodus verwendet werden kann. Beachten Sie
bitte, dass CreditCall die Test URL ändern kann, Sie können hier die jeweils
aktuelle URL eintragen.
Als zusätzliche Sicherheitsoption steht die Card
Security Code Validation (CVC) zur Verfügung.
Bei Verwendung von Chip und PIN wählen Sie im Hauptdialog der
Kreditkartenoptionen z.B. den Dione Secura Kartenleser und aktivieren Sie die
Option ICC verwenden.
EINSTELLUNGEN DPS PaymentExpress
Tragen Sie den Benutzernamen und das Passwort in die dafür vorgesehenen Felder
ein.
Der Transaktions-Kommentar erlaubt es Ihnen nachzuvollziehen, von
welchem Terminal eine Buchung erfolgt ist. In den Kommentarfeldern sollten keine
Sonderzeichen verwendet werden.
Als zusätzliche Sicherheitsoption steht die
Card Security Code Validation (CVC) zur Verfügung.
EINSTELLUNGEN Magensa.net Payment Protection Gateway (MPPG)
Tragen Sie bitte Host ID und Host Passwort sowie Merchant ID und Merchant Passwort in die entsprechenden Felder ein. Selektieren Sie als nächstes die gewünschten Kreditkartentypen.
Das Beschreibungsfeld erlaubt es Ihnen nachzuvollziehen, von
welchem Terminal z.B. eine Buchung erfolgt ist. In den Kommentarfeldern sollten keine
Sonderzeichen verwendet werden.
Als zusätzliche Sicherheitsoption steht die
Card Security Code Validation (CVC) zur Verfügung.
Beachten Sie bitte, dass der CVC-Dialog nur angezeigt wird, wenn die Kreditkartendaten manuell eingegeben wurden.
EINSTELLUNGEN PayPrin AxisGwy
Füllen Sie die Felder anhand der Informationen aus, die Sie von PayPrin
nach Ihrer Anmeldung erhalten. Wählen Sie zudem bitte die zulässigen
Kreditkarten aus.
Sie haben bei PayPrin auch die Möglichkeit einen
Testmodus zu aktivieren. Wenn diese Option gewählt ist, können Sie zwar
Buchungen durchführen, es wird aber keine Karte wirklich belastet.
Falls gewünscht, kann auch eine Beschreibung zur besseren Identifizierung der Transaktion mitgeschickt werden, z.B.
der Computername.
3.5 E-Mail Quittungs-Einstellungen
Optional können Sie dem Kunden ermöglichen, sich nach erfolgter Zahlung eine
E-Mail als Quittung zusenden zu lassen.
- E-Mail Quittung aktivieren
Wenn die Checkbox akiviert wird, kann sich der Kunde (optional) eine Quittung
über die Kartenzahlung per Email zusenden lassen. Beachten Sie, dass für den
Versand der E-Mail die allgemeinen E-Mail
Einstellungen verwendet werden, die dann also in jedem Fall von Ihnen auch
konfiguriert werden müssen.
- E-Mail Vorlage editieren
Die Vorlage für den Quittungstext können Sie beliebig abändern. Der Text ist
standardmäßig in Englisch verfasst, wobei die Werte in den geschweiften Klammern
automatisch vom System eingetragen werden:
|
Thank you for using our service!
|
|
This is an automatic receipt for payment
|
|
of Internet terminal usage. Please keep it
|
|
for your records.
|
|
|
|
Merchant: {0}
|
|
E-Mail Contact: {1}
|
|
Transaction Date/Time: {2}
|
|
|
|
Description: Usage of Internet Terminal
|
|
Credit Card Used: {3}
|
|
|
|
Total Amount: {4}
|
- {0} = String, den Sie im Feld BETREIBER angegeben haben.
Dies ist in der Regel Ihr
Firmenname.
- {1} = String, den Sie im Feld E-Mail-Adresse angegeben haben.
Dies gibt Ihren
Kunden die Möglichkeit, Sie zu kontaktieren, um z.B. Rückfragen zu stellen.
- {2} = Autowert: Datum und Uhrzeit der Transaktion.
- {3} = Autowert: Verwendete Kreditkartennummer, wobei aus Sicherheitsgründen Teile der
Kreditkartennummer mit XXX dargestellt werden.
- {4} = Autowert: Der von der Kreditkarte abgebuchte Betrag.
In vielen Fällen ist es sinnvoll, z.B. auch Ihre komplette Firmenadresse im Text
anzugeben.