Was ist Attestierung?

Auch bekannt als: Attestation, Device Attestation, Attestation of Compliance, Geräteattestierung

• Das Prinzip der laufenden Attestierung durch ein vom Gerät getrenntes Backend wurde vom PCI SSC erstmals mit dem CPoC-Standard (04.12.2019) normiert
• In MPoC ist die Attestierung ein eigenständig bewertbares Modul (MPoC-Service als Attestierungs- und Monitoring-Backend)
• MPoC v1.1 vom 26. November 2024 hat die Anforderungen an die Erkennung kompromittierter Plattformen präzisiert
• Die formale Attestation of Compliance stützt sich entweder auf einen Self-Assessment Questionnaire oder auf einen Report on Compliance eines Qualified Security Assessor
• 92 der 121 von SoftPOS24 erfassten Anbieter machen zur MPoC-Konformität keinerlei Angabe (Stand 15.08.2026)

Wie technische Attestierung bei SoftPOS abläuft

Ein zertifiziertes Kartenterminal schützt sich physisch: Wer es öffnet, löscht die Schlüssel. Ein handelsübliches Smartphone kann das nicht, also muss der Nachweis der Unversehrtheit fortlaufend erbracht werden. Genau das leistet die Attestierung. Vor und während einer Transaktion sammelt die Zahlungsanwendung Merkmale des Gerätezustands und schickt sie an ein davon getrenntes Backend, das sie bewertet und die Transaktion freigibt oder blockiert. Geprüft werden typischerweise Rooting oder Jailbreak, ein entsperrter Bootloader, modifizierte Systemabbilder, angehängte Debugger, aktive Bildschirmaufzeichnung, Emulatoren und der Stand der Sicherheitsupdates. Das PCI SSC hat dieses Architekturprinzip erstmals mit CPoC normiert: Sicherheit entsteht aus der Kombination von App-Schutz und laufender Backend-Prüfung.

Was die formale Attestierung ist

Der zweite Wortsinn stammt aus der Audit-Welt. Eine Attestation of Compliance ist ein unterzeichnetes Dokument, mit dem ein Unternehmen das Ergebnis einer PCI-DSS-Bewertung erklärt. Ihm vorausgegangen ist entweder ein Self-Assessment Questionnaire in der für die jeweilige Umgebung zulässigen Variante oder ein Report on Compliance, den ein Qualified Security Assessor erstellt hat. Ergänzend führen Approved Scanning Vendors Schwachstellenscans durch. Wichtig ist die Rollenverteilung: Das PCI SSC stellt Standard und Formulare bereit, aber welcher Nachweis von wem verlangt wird, bestimmen die Kartenmarken über ihre eigenen Compliance-Programme — bei American Express, Discover, JCB, Mastercard und Visa jeweils unterschiedlich.

Warum Attestierung bei MPoC ein eigenes Modul ist

MPoC ist modular aufgebaut, und die Attestierung bildet darin einen eigenständigen Baustein: den MPoC-Service als Attestierungs- und Monitoring-Backend, wahlweise mit oder ohne Zahlungsabwicklung. Er kann getrennt von der Zahlungsanwendung und vom SDK bewertet und gelistet werden. Version 1.1 des Standards vom 26. November 2024 hat die Anforderungen an die Erkennung kompromittierter Plattformen ausdrücklich präzisiert. Praktisch bedeutet das: Die Attestierung ist kein Beiwerk, sondern der Kern des Sicherheitsversprechens von SoftPOS. Fällt sie aus oder ist das Gerät offline, verweigern seriöse Lösungen die Transaktion, statt eine ungeprüfte Umgebung durchzuwinken.

Woran eine belastbare Attestierung erkennbar ist

Für Händler ist die entscheidende Frage nicht, ob das Wort Attestierung im Angebot vorkommt, sondern wer attestiert hat und worüber. Bei der formalen Attestierung sind Aussteller, Standardversion, Geltungsbereich und Datum zu prüfen; ein Self-Assessment ist eine Selbsterklärung, ein Report on Compliance eine externe Prüfung. Bei der technischen Attestierung geht es um die Lösung selbst: Ist sie im PCI-Verzeichnis mit Name und Versionsnummer eingetragen, und stimmt diese Version mit der ausgelieferten App überein? Die Marktlage macht die Prüfung nötig — 92 der 121 von SoftPOS24 erfassten Anbieter machen zur MPoC-Konformität überhaupt keine Angabe.

Abgrenzung — womit Attestierung verwechselt wird

Attestierung und Zertifizierung werden gern gleichgesetzt. Eine Zertifizierung ist ein einmaliger Prüfvorgang für eine bestimmte Version einer Lösung. Die technische Attestierung ist dagegen ein laufender Vorgang, der bei jeder Transaktion neu stattfindet, und die formale Attestierung ist lediglich die unterzeichnete Erklärung über ein Prüfergebnis — nicht der Prüfbericht selbst und schon gar kein Gütesiegel für Preis oder Servicequalität.

Verwandte Begriffe

Häufige Fragen

Warum verweigert meine SoftPOS-App auf einem neuen Handy den Dienst?

Weil die Attestierung nicht am Alter des Geräts hängt, sondern an seinem Zustand. Ein entsperrter Bootloader, ein modifiziertes Systemabbild, aktivierte Entwickleroptionen, ein angehängter Debugger oder ein veraltetes Sicherheitsupdate führen zum Abbruch — auch bei fabrikneuen Geräten aus dem Graumarkt. Die Lösung ist ein Gerät mit unverändertem Herstellersystem und aktuellem Sicherheitsstand.

Ist eine Attestation of Compliance dasselbe wie eine Zertifizierung?

Nein. Die Attestation of Compliance ist die unterzeichnete Erklärung über das Ergebnis einer PCI-DSS-Bewertung. Ihr liegt entweder ein Self-Assessment Questionnaire — also eine Selbsteinschätzung — oder ein extern erstellter Report on Compliance zugrunde. Wer ein Dokument bewertet, sollte deshalb immer prüfen, welcher der beiden Wege dahintersteht und auf welche Standardversion er sich bezieht.

Quellen

• PCI SSC — Mobile Payments on COTS (MPoC)
• PCI SSC — Pressemitteilung CPoC: Sicherheit aus App-Schutz und Backend-Monitoring (04.12.2019)
• PCI SSC — Informationen für Händler zu SAQ, QSA und ASV

Teil des SoftPOS24 Payment-Glossars mit 71 Fachbegriffen zu SoftPOS, Kartenzahlung und Zahlungsverkehr. Fehler entdeckt? Korrektur melden — wir prüfen jede Meldung.