Was ist COTS?

Auch bekannt als: Commercial off-the-shelf, handelsübliches Gerät, Standardgerät, COTS-Gerät, Consumer-Gerät

• Die PCI-Standards CPoC, SPoC und MPoC tragen COTS im Namen und regeln ausschließlich die Kartenannahme auf handelsüblichen Geräten
• Geräte, die als PCI-PTS-zertifizierte Zahlungsgeräte gelten, sind von Tap to Pay on Android ausdrücklich ausgeschlossen
• Ein COTS-Gerät muss laut Stripe das unveränderte Herstellersystem ausführen; Rooting, entsperrter Bootloader und aktive Entwickleroptionen schließen es aus
• Android-Emulatoren werden von Tap to Pay auch in Testumgebungen nicht unterstützt

Woher der Begriff kommt

Commercial off-the-shelf stammt ursprünglich aus der Beschaffung und beschreibt ein Serienprodukt, das man ohne Sonderanfertigung kaufen kann. Im Zahlungsverkehr hat der Begriff eine präzise Bedeutung bekommen: Ein COTS-Gerät ist ein Gerät, das nicht für Zahlungszwecke gebaut wurde und deshalb keinen physischen Manipulationsschutz für Kartendaten und PIN mitbringt. Genau diese Eigenschaft macht es billig und überall verfügbar — und zugleich zur sicherheitstechnischen Herausforderung. Alle drei PCI-Standards, die die Kartenannahme auf solchen Geräten regeln, tragen die Abkürzung im Namen: Contactless Payments on COTS, Software-based PIN Entry on COTS und Mobile Payments on COTS.

Was ein Gerät zum COTS-Gerät macht

Entscheidend ist nicht die Bauform, sondern die Zertifizierung. Auch ein stationär aussehendes Android-Kassenterminal gilt als COTS-Gerät, solange es kein nach PCI PTS POI geprüftes Zahlungsgerät ist. Stripe formuliert diese Abgrenzung für Tap to Pay on Android ausdrücklich als Ausschlusskriterium: Ein zertifiziertes Zahlungsgerät lässt sich nicht als SoftPOS-Leser verbinden. Umgekehrt gelten Smartphones, Tablets, Handhelds und Kioske als COTS, wenn sie das unveränderte Herstellersystem ausführen. Wird dieser Zustand verlassen — durch Rooting, entsperrten Bootloader, Custom-ROM oder aktivierte Entwickleroptionen —, verliert das Gerät seine Zulassung für Zahlungsanwendungen.

Welche Anforderungen an COTS-Geräte gestellt werden

Weil der Hardwareschutz fehlt, gelten strenge Anforderungen an den Softwarezustand. Für Tap to Pay on Android verlangt Stripe unter anderem eine funktionierende NFC-Antenne, einen ARM-Prozessor, mindestens Android 13, ein Sicherheitsupdate aus den vergangenen zwölf Monaten, Google Mobile Services samt Play Store, einen Hardware-Keystore mit ECDH-Unterstützung sowie deaktivierte Entwickleroptionen. Auf Apple-Seite fällt die Prüfung schlanker aus, weil das Ökosystem geschlossener ist: Dort genügt laut Stripe ein iPhone XS oder neuer mit aktueller, nicht als Beta installierter iOS-Version. Emulatoren sind in beiden Welten ausgeschlossen, auch für Testzwecke.

Abgrenzung — womit COTS verwechselt wird

COTS wird gelegentlich mit „billiger Consumer-Hardware" gleichgesetzt. Der Begriff sagt jedoch nichts über Preis oder Qualität aus, sondern nur über die Zertifizierung: Ein 1.500 Euro teures Profi-Smartphone ist COTS, ein 80 Euro günstiges PCI-PTS-geprüftes Lesegerät ist es nicht. Maßgeblich ist allein, ob das Gerät als Zahlungsgerät zertifiziert wurde oder als Universalgerät gebaut ist.

Verwandte Begriffe

Häufige Fragen

Ist mein privates Smartphone ein COTS-Gerät?

Ja, jedes im Handel gekaufte Smartphone ist ein COTS-Gerät, solange es das unveränderte Betriebssystem des Herstellers ausführt. Für die Kartenannahme reicht das allein aber nicht: Es muss zusätzlich die Anforderungen des jeweiligen Anbieters erfüllen, etwa Mindestversion des Betriebssystems, aktuelles Sicherheitsupdate, aktive NFC-Antenne und deaktivierte Entwickleroptionen.

Warum wird mein gerootetes Gerät abgelehnt?

Weil SoftPOS den fehlenden Hardwareschutz durch die Integrität des Betriebssystems ersetzt. Auf einem gerooteten Gerät oder mit entsperrtem Bootloader lassen sich Systemschutzmechanismen aushebeln, Eingaben abgreifen und Prüfungen umgehen. Die Attestierung schlägt deshalb fehl, und die Lösung verweigert die Verbindung — unabhängig davon, wie neu das Gerät ist.

Quellen

• PCI SSC — Mobile Payments on COTS (MPoC)
• Stripe Docs — Tap to Pay, Geräteanforderungen Android und iOS

Teil des SoftPOS24 Payment-Glossars mit 71 Fachbegriffen zu SoftPOS, Kartenzahlung und Zahlungsverkehr. Fehler entdeckt? Korrektur melden — wir prüfen jede Meldung.