Update im Dezember 2021 versäumt

Das End-of-Service-Datum wurde auf April 2023 festgelegt, in ganz wenigen Sonderfällen ist im Rahmen eines Extended Support der Einsatz bis Anfang 2025 zulässig. Unter dem Strich heißt dies, dass der Typ dieses Zahlungsterminals längst ausgemustert sein sollte, was aber manche Ketten nicht davon abhielt, die Kartenlesegeräte weiter in neuen Läden einzusetzen.

Aufgrund des am 30. April 2021 ausgelaufenen PCI 3-Standards stellte der Gerätehersteller ein Update bereit, welches die weiter in Benutzung befindlichen Geräte für die genannten Übergangsfristen ertüchtigen sollte. Nach Informationen von Golem.de sollte dieses Firmware-Update für das Verifone H5000 Kartenterminal zum 25. Dezember 2021 auf alle Geräte ausgerollt werden. Viele Geräte erhielten genau dieses Update jedoch nicht, so dass es am 24. Mai 2022 zum großflächigen Ausfall kam.

Ungeklärt ist, ob die fehlende Update-Installation ein Versäumnis des Herstellers, der Dienstleister, die die Terminals bei Kunden bereitstellen, oder der Kunden selbst ist. Auffällig ist allerdings, dass die IT großer Handelsketten wie DM, Kik, Aldi-Nord etc. dieses Thema "nicht auf dem Radar hatten" und die Update-Installation versäumten.

Zertifikate fehlen, keine Updates möglich

Dem Autor dieses Beitrags wurden von dem IT-Experten Cedric Fischer einige technische Details zur Störung der Verifone H5000 Kartenterminal bereitgestellt. Fischer entwickelt mit seiner Firma CeFisystems eine ZVT-Implementierung zur Ansteuerung von EC-Cash-Terminals über TCP/IP auf Basis des ZVT-Protokolls und verfügt auch über entsprechende Geräte. Betroffene Kartenterminals liefern seit dem 24. Mai 2022 die Meldung, dass keine Zertifikate mehr gefunden werden und sie auch nicht mehr mit den Update-Servern des Herstellers oder den Zahlungsdienstleistern kommunizieren können.

Gerätebesitzer, die die Geräte stromlos machen, um einen Reset auszuführen, stellen beim erneuten Einschalten fest, dass die Geräte gestört und nicht mehr funktionsfähig sind. Die technischen Details zur Störung sind im Blog des Autors in einem Artikel dokumentiert.

Ob nun ein abgelaufenes Zertifikat, was vom Gerätehersteller negiert wird, oder ein Softwarefehler ursächlich für die Fehlfunktion ist, bleibt offen und ist für Betroffene letztendlich auch nicht relevant. Fest steht inzwischen, dass mit dem Update vom Dezember 2021 versehene Verifone H5000 Kartenterminal nach dem 24. Mai 2022 funktionieren. Nicht mit dem Update versehene Kartenterminals diesen Typs können unter Umständen noch Girokarten für SEPA-Lastschriften lesen, da dann keine PIN-Eingabe samt Abgleich mit dem Zahlungsdienstleister erforderlich ist.

Ausgeschaltete Kartenterminals scheinen in den meisten Fällen den Dienst zu versagen und müssen manuell durch Einspielen der Software mit dem Korrektur-Update wiederbelebt werden. In der Praxis scheint es aber darauf hinauszulaufen, dass die Dienstleister versuchen, die alten Geräte durch Ersatzgeräte auszutauschen.