{"id":265778,"date":"2022-05-27T13:10:51","date_gmt":"2022-05-27T11:10:51","guid":{"rendered":"https:\/\/www.borncity.com\/blog\/?p=265778"},"modified":"2023-09-11T23:11:51","modified_gmt":"2023-09-11T21:11:51","slug":"strung-der-verifone-h5000-ec-kartenlesegerte-einige-insights-zur-zertifikateproblematik","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2022\/05\/27\/strung-der-verifone-h5000-ec-kartenlesegerte-einige-insights-zur-zertifikateproblematik\/","title":{"rendered":"Störung der Verifone H5000 EC-Kartenlesegeräte, einige Insights zur Zertifikateproblematik"},"content":{"rendered":"

\"StopSeit dem 24. Mai 2022 streikten in zahlreichen Gesch\u00e4ften, Superm\u00e4rkten, Tankstellen etc. die Terminals f\u00fcr Kartenzahlungen mit Giro- und EC-Karten. Betroffen sind H\u00e4ndler, die das Kartenterminals H5000 von Verifone einsetzen, da die Ger\u00e4te eine Kommunikation mit dem Zahlungsdienstleister verweigern. Abschalten und neu starten brickt die Ger\u00e4te, angeblich wegen eines Softwarefehlers. Inzwischen ist bekannt, dass auf den Ger\u00e4ten Zertifikate fehlen. Ein IT-Experte hat mir einige Insights zur Problematik zukommen lassen.<\/p>\n

<\/p>\n

Probleme mit EC-Kartenleseger\u00e4ten<\/h2>\n

\"\"Seit dem 24. Mai 2022 geht bei manchen H\u00e4ndlern in Sachen bargeldloses Zahlen nur noch wenig. Bundesweit streiken bestimmte EC-Kartenleseger\u00e4te des Typs H5000 des US-Herstellers Verifone. Ein Softwarefehler in den Kartenterminals H5000 verhindert eine Kommunikation mit dem jeweiligen Zahlungsdienstleister.<\/p>\n

\"H5000-Zahlungsterminals<\/p>\n

Es wird davor gewarnt, das Ger\u00e4t stromlos zu machen, da es anschlie\u00dfend nicht mehr funktionsf\u00e4hig ist und sich nur noch mit dem in obigem Foto gezeigten Screen meldet. Ich hatte \u00fcber diesen Sachverhalt im Blog-Beitrag Probleme mit Kartenzahlung im Handel: Softwarefehler schuld (24.5.2022)<\/a> berichtet.<\/p>\n

Ger\u00e4te, die noch nicht in obigem Boot-Modus stehen, k\u00f6nnen ggf. die EC-Karten f\u00fcr das Lastschriftenverfahren noch nutzen. Aber Zahlungen mit PIN, die eine Verifizierung der Transaktion erfordern, sind nicht mehr m\u00f6glich.<\/p><\/blockquote>\n

Hintergrundinformationen zum Verifone H5000<\/h2>\n

IT-Experte Cedric Fischer von der Firma CeFisystems entwickelt mit seiner Firma die ZVT-Implementierung<\/a> f\u00fcr Java und C# und ist daher in dem Thema EC-Terminals und den damit zusammenh\u00e4ngenden Sorgen und Probleme voll drin. Cedric hat mir per Mail diverse Informationen zukommen lassen (danke daf\u00fcr), die ich hier ver\u00f6ffentliche. Er schreibt, dass das Verifone H5000 wohl Ende 2011 oder Anfang 2012 auf den deutschen Markt gekommen sein muss. Es sei zu dieser Zeit ein hochmodernes EC-Terminal gewesen. Im Gegensatz zum Thales\/Hypercom\/Verifone Artema Hybrid hat das Verifone H5000 es ein auf Linux basiertes Betriebssystem. Das Ger\u00e4t war, laut meiner Quelle, damit um einiges leistungsf\u00e4higer als der Vorg\u00e4nger und auch erheblich besser zu verwalten.<\/p>\n

Laut meinen diversen Quellen sollten die Verifone H5000 EC-Kartenleseger\u00e4te im Normalfall schon lange verschwunden sein. Ich hatte im Blog-Beitrag Probleme mit Kartenzahlung im Handel: Softwarefehler schuld (24.5.2022)<\/a> eine Quelle zitiert, dass das Ger\u00e4t 2019 abgek\u00fcndigt wurde. Aktuell kann das EC-Kartenleseger\u00e4t auf 10 Jahre Marktverf\u00fcgbarkeit in Deutschland zur\u00fcckblicken – eine sehr lange Nutzungszeit.<\/p>\n

Das EC-Kartenleseger\u00e4t ist inzwischen technisch \u00fcberholt, aber nach wie vor bei H\u00e4ndlern im Einsatz. Laut meiner Quelle weist das EC-Leseger\u00e4t viel zu langsame Transaktionszeiten wegen der ganzen Krytografie mit dem Host auf. Das Konzept leidet auch an instabiler Software, die viele Abst\u00fcrze im Betrieb provoziert. Eine leere Pufferbatterien f\u00fchrt zur Ger\u00e4tesperre etc.<\/p>\n

Laut Fischer wird die aktuelle Vorschrift TA7.2<\/a> (Technischer Anhang der deutschen Kreditwirtschaft) f\u00fcr das H5000 nicht mehr unterst\u00fctzt. Es gelten aber \u00dcbergangsfristen f\u00fcr den aktuellen Anhang TA7.1. Prinzipiell k\u00f6nnten die Terminals noch bis 01.01.2025 betrieben werden. Erst dann m\u00fcssen alle Terminals TA7.2 unterst\u00fctzen. Es wird aber gemunkelt, dass beim Verifone H5000 EC-Kartenleseger\u00e4t bereits Ende 2023 g\u00e4nzlich Schluss mit einer Unterst\u00fctzung sei (siehe auch dieses PDF-Dokument<\/a> des Herstellers).<\/p>\n

Faktisch sei das Verifone H5000 EC-Kartenleseger\u00e4t laut Fischer aber immer noch sehr weit verbreitet und werde auch bei Neuer\u00f6ffnungen bestimmter L\u00e4den (Rossmann) noch immer eingesetzt. Lidl stellt seit einiger Zeit auf CCV-Terminals um, Rossmann und DM und der Renovierungs-Discounter Teppich-Dom\u00e4ne, NKD sowie Kik und der Merchandise-Shop des 1. FC K\u00f6ln setzen nach wie vor auf das Verifone H5000 EC-Kartenleseger\u00e4t, so Fischer. Einige kleine Edeka-L\u00e4den, die die EC-Vertr\u00e4ge nicht \u00fcber die Edeka selbst beziehen, ebenfalls. Esso sei vor Kurzem mit der Migrierung der Kassen auf die neuen P400 Terminals von Verifone umgestiegen. Aral, Shell, BFT haben das Verifone H5000 EC-Kartenleseger\u00e4t laut meiner Quelle nie in Betrieb gehabt.<\/p>\n

Probleme mit dem Verifone H5000 absehbar<\/h2>\n

Fischer berichtete per E-Mail, dass einer seiner Kunden bereits vor zwei Wochen berichtete, dass ein Verifone H5000 EC-Kartenleseger\u00e4t immer mal wieder ausfallen w\u00fcrde und sich keine Transkationen mehr erfolgreich abgeschlossen werden k\u00f6nnte. Insgesamt ziehen sich die Probleme mit diesem Kartenleseger\u00e4te-Typ aber schon seit mindestens zwei Jahren hin, so Fischer.<\/p>\n

Seit dem 24. Mai 2022 ist nun aber wohl bei allen Verifone H5000 EC-Kartenleseger\u00e4ten Schicht im Schacht – die Kommunikation mit dem Zahlungsdienstleister klappt nicht mehr. Die EC-Leseger\u00e4te booten nur noch (wenn der Strom ausgeschaltet wurde) in ein Not-Men\u00fc, welches aber erstaunlicher Weise mit Admin-Rechten l\u00e4uft. Normalerweise sind die Funktion nur im geladenen Zustand nur nach Eingabe eines Techniker-Passwortes sichtbar und benutzbar, gibt Fischer in seiner Mail an.<\/p>\n

Erstaunlich sei auch, dass das Terminal (jedenfalls das Entwicklerger\u00e4t von Fischer) auch sehr lange braucht, bis es im Not-Men\u00fc landet. Fischer konnte sich dann die Log-Dateien des Terminals auf einen USB-Stick ziehen (den USB-Stick kann man unten im Terminal einstecken). Nachfolgender Screenshot des Logs, den mit Cedric Fischer zur Verf\u00fcgung gestellt hat, zeigt, dass es einen Fehler im Zertifikatsmanagement gibt.<\/p>\n

\"Zertifikatsfehler
\nZertifikatsfehler H5000-Terminals, Quelle: Cedric Fischer<\/p>\n

Anhand der Log-Dateien konnte Fischer dann relativ schnell sehen, dass das Terminal die \"Bezahl-App\" nicht pr\u00fcfen kann, weil das entsprechende Zertifikat abgelaufen ist. Das Problem mit dem Zertifikat scheint aber gravierender zu sein, als es auf den ersten Blick ausschaut.<\/p>\n

\"Zertifikatsfehler<\/a>
\nZertifikatsfehler H5000-Terminals, Quelle: Cedric Fischer<\/p>\n

Das als Testger\u00e4t von Fischer genutzte EC-Terminal findet n\u00e4mlich gar keine Zertifikate mehr auf dem Ger\u00e4t (Screenshot). Weiter kann man mit dem Terminal auch keine Verbindung mehr zum Wartungsserver herstellen. Zu der IP-Adresse baut das Terminal keinerlei Verbindung auf.<\/p>\n

\"Zertifikate
\nZertifikate fehlen auf H5000-Terminals, Quelle: Cedric Fischer<\/p>\n

Das l\u00e4sst darauf schlie\u00dfen, dass das Terminal seine Zertifikate verloren hat oder diese im Zuge der Sicherheitsfunktionen diese noch nicht aus dem Speicher geladen wurden. Eine Pr\u00fcfung, das Datum des Terminals manuell auf einen Datum einige Wochen vor dem Problem zu setzen, war nicht von Erfolg gekr\u00f6nt. Es l\u00e4uft wohl noch eine interne Hardware-Uhr, die f\u00fcr die sicherheitsrelevanten Funktionen eine extra Zeit bereitstellt. Zyklisch findet wohl eine interne Pr\u00fcfung der Zertifikate auf dem Terminal statt. In nachfolgendem Foto sieht man weiterhin, dass der TMS (Terminal-Management-System) keine Antwort gibt. Das Terminal baut auch keine Verbindung dahin auf.<\/p>\n

<\/p>\n

Deswegen wird es gro\u00dfenteils auch schwierig, den Fehler zu beheben, wenn der Update Server nicht erreicht werden kann. Es besteht aber die M\u00f6glichkeit, die Terminalsoftware \u00fcber einen USB-Stick neu zu flashen. Im Zweifelsfall m\u00fcssen alle Terminals manuell per USB neu bespielt werden. Auf heise hei\u00dft es heute in diesem Artikel<\/a>, dass ein manueller Eingriff erforderlich sei.\u00a0 Das deckt sich mit den obigen Hinweisen von Cedric Fischer. Auch die Tatsache, dass die Probleme bis jetzt nicht gel\u00f6st werden konnten, spricht daf\u00fcr, dass die Zertifikatsgeschichte gr\u00f6\u00dfere Auswirkungen auf die Ger\u00e4te hat, als bisher angenommen.<\/p>\n

Werfe ich die Informationen zusammen, ist die Restlaufzeit der Ger\u00e4te eigentlich absehbar – einige Nutzer vermuten, dass diese schlicht ausgetauscht oder manuell geflasht werden m\u00fcssen. Problem d\u00fcrfte sein, dass es nicht gen\u00fcgend Ersatzger\u00e4te neueren Typs (P400\/P200 Terminals) am Markt gibt.<\/p>\n

Erg\u00e4nzung:<\/strong> Auch Spiegel Online fasst in diesem Beitrag<\/a> einige Informationen zusammen. Neu war f\u00fcr mich, dass das Kartenterminal H5000 von Verifone zur Markteinf\u00fchrung auch vom Bundesamt f\u00fcr Sicherheit in der Informationstechnik (BSI) \u00fcberpr\u00fcft und f\u00fcr den Einsatz im Handel zertifiziert<\/a> wurde. Auf RND wird ein Statement von Payone zitiert<\/a>: \"Aufgrund eines Zertifikatsfehlers wird es nach aktuellem Stand n\u00f6tig sein, auf allen H5000-Terminals neue Softwareupdates einzuspielen, die der Hersteller so schnell wie m\u00f6glich bereitstellen wird.\" Klingt f\u00fcr mich nach Einsatz eines Technikers vor Ort, wenn ich mir die obigen Erl\u00e4uterungen so ansehe. Finanzdienstleister Concardi hat noch keine Informationen zur Problembehebung ver\u00f6ffentlicht – die warten auf Nachricht von Verifone.<\/p>\n

Betroffen sind wohl u.a. Aldi Nord (einige Filialen), die Drogerie-Kette Rossmann sowie Edeka. Aldi S\u00fcd, Lidl und die Rewe-Gruppe (Rewe, Penny, Toom) sind laut eigener Aussage nicht betroffen. Es bleibt also schwierig – Bargeld am Mann oder in der Handtasche der Frau ist also weiterhin nicht verkehrt. Old School-Verhalten ist im Hinblick auf das allseits propagierte \"bargeldlose Bezahlen\" also nicht so verkehrt.<\/p>\n

Erg\u00e4nzung 2<\/strong>: Verifone blendet aktuell auf seiner Webseite Erkl\u00e4rung<\/a> ein, die ein abgelaufenes Zertifikat oder eine Sicherheitsl\u00fccke negiert. Halte ich f\u00fcr eine \"Nebelkerze\", transparente Information geht anders. Dazu habe ich in einem separaten Beitrag St\u00f6rung der Verifone H5000 EC-Kartenleseger\u00e4te, neue Infos (29.5.2022)<\/a> was geschrieben.<\/p>\n

\u00c4hnliche Artikel:<\/strong>
\nDatenleck bei Arztpraxis und Schwachstelle bei der Telekom Digitalisierungsbox<\/a>
\nProbleme mit Kartenzahlung im Handel: Softwarefehler schuld (24.5.2022)<\/a>
\nSt\u00f6rung der Verifone H5000 EC-Kartenleseger\u00e4te, neue Infos (29.5.2022)<\/a>
\nVerifone-Stellungnahme zum H5000-Kartenleser-Ausfall (14.6.2022)<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"

Seit dem 24. Mai 2022 streikten in zahlreichen Gesch\u00e4ften, Superm\u00e4rkten, Tankstellen etc. die Terminals f\u00fcr Kartenzahlungen mit Giro- und EC-Karten. Betroffen sind H\u00e4ndler, die das Kartenterminals H5000 von Verifone einsetzen, da die Ger\u00e4te eine Kommunikation mit dem Zahlungsdienstleister verweigern. Abschalten … Weiterlesen →<\/span><\/a><\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[731,7862],"tags":[3081,987],"class_list":["post-265778","post","type-post","status-publish","format-standard","hentry","category-gerate","category-stoerung","tag-geraete","tag-storung"],"_links":{"self":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/265778","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/comments?post=265778"}],"version-history":[{"count":0,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/265778\/revisions"}],"wp:attachment":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/media?parent=265778"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/categories?post=265778"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/tags?post=265778"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}