Was ist CPoC?

Auch bekannt als: Contactless Payments on COTS, PCI CPoC, CPoC-Standard, Contactless Payments on COTS

• CPoC wurde am 4. Dezember 2019 vom PCI Security Standards Council veröffentlicht
• Softwarebasierte PIN-Eingabe ist in einer CPoC-Lösung ausdrücklich nicht zulässig
• Eine CPoC-Lösung besteht zwingend aus COTS-Gerät mit NFC, validierter Zahlungsanwendung und einem davon getrennten Backend für Monitoring und Integritätsprüfung
• Das PCI SSC hat für CPoC eine Sunset-Phase vom 1. Mai bis 31. Oktober 2026 angekündigt und verweist auf MPoC

Woraus eine CPoC-Lösung besteht

Der Standard beschreibt drei zwingende Bausteine. Erstens ein COTS-Gerät mit eingebauter NFC-Schnittstelle, also ein ganz normales Smartphone oder Tablet ohne Zahlungshardware. Zweitens eine validierte Zahlungsanwendung, die auf diesem Gerät läuft und die Kartendaten entgegennimmt. Drittens ein vom Gerät getrenntes Backend, das Überwachung, Integritätsprüfungen und die Zahlungsverarbeitung übernimmt. Die Sicherheit entsteht laut PCI SSC ausdrücklich aus der Kombination beider Seiten: aus den Schutzmechanismen in der App und aus den laufenden Prüfungen des Backends. Validierte Lösungen wurden vom PCI SSC in einer öffentlichen Liste geführt, damit Händler und Acquirer sie nachschlagen können.

Warum das PIN-Verbot der entscheidende Punkt war

„Software-based PIN entry is not permitted in a CPoC Solution" — dieser Satz aus der Veröffentlichung des Standards bestimmte die gesamte Marktentwicklung der Jahre 2020 bis 2022. Eine reine CPoC-Lösung kann nur solche Transaktionen abwickeln, bei denen die Karte ohne PIN auskommt. Sobald das kontaktlose Limit überschritten ist oder die kartenausgebende Bank aus Risikogründen eine PIN verlangt, bricht der Vorgang ab. Für Händler mit höheren Bonwerten war Tap to Phone damit nur eingeschränkt brauchbar. Wer PIN auf dem Display wollte, musste auf SPoC ausweichen und ein zusätzliches zertifiziertes Lesegerät kaufen — was den wirtschaftlichen Vorteil der hardwarelosen Annahme wieder aufhob.

Was die Sunset-Phase bedeutet

Das PCI SSC hat für CPoC eine formale Sunset-Phase vom 1. Mai bis 31. Oktober 2026 festgelegt und verweist Interessenten auf der offiziellen Standardseite auf den neueren MPoC-Standard. Sunset heißt nicht, dass CPoC-Lösungen von einem Tag auf den anderen unsicher werden; es heißt, dass der Standard nicht weiterentwickelt wird und dass Neuvalidierungen in ihm keinen Sinn mehr ergeben. Für Händler ist die praktische Folge einfach: Wird eine SoftPOS-Lösung im Jahr 2026 noch mit einer CPoC-Listung beworben, ist das ein Hinweis auf veraltete Technik. Die relevante Frage lautet dann, ob und wann der Anbieter eine MPoC-Listung vorlegen kann.

Was von CPoC in MPoC weiterlebt

Inhaltlich ist CPoC nicht verschwunden, sondern aufgegangen. Das PCI SSC beschreibt MPoC ausdrücklich als Standard, der auf SPoC und CPoC aufbaut und deren Sicherheitsanforderungen in einem Rahmenwerk zusammenführt. Der wichtigste Beitrag von CPoC ist das Architekturprinzip: Ein Gerät ohne Manipulationsschutz wird dadurch vertrauenswürdig, dass ein unabhängiges Backend seinen Zustand laufend attestiert und überwacht. Genau dieses Prinzip trägt heute den MPoC-Service. Wer verstehen will, warum SoftPOS-Anbieter eine ständige Internetverbindung und ein aktives Monitoring benötigen, findet die Antwort in der Architektur, die mit CPoC 2019 erstmals normiert wurde.

Abgrenzung — womit CPoC verwechselt wird

CPoC wird häufig mit HCE verwechselt, weil beide NFC auf dem Smartphone nutzen. Die Richtung ist jedoch entgegengesetzt: Bei CPoC arbeitet das Gerät im Lesemodus und nimmt die Karte des Kunden entgegen, bei HCE gibt sich das Gerät selbst als Karte aus und wird gelesen. Ebenso ist CPoC nicht das Gleiche wie MPoC — die entscheidende Trennlinie ist die PIN.

Verwandte Begriffe

Häufige Fragen

Darf man eine CPoC-Lösung 2026 noch einsetzen?

Der Standard befindet sich vom 1. Mai bis 31. Oktober 2026 in der offiziellen Sunset-Phase des PCI SSC. Ob eine bestehende Lösung weiterlaufen darf, entscheiden die Kartensysteme und der Acquirer, nicht das PCI SSC allein. Für Neuverträge ist CPoC praktisch keine Option mehr — hier sollte man auf eine MPoC-Listung mit Versionsnummer bestehen.

Warum konnte CPoC keine PIN?

Weil das Sicherheitsmodell des Standards die PIN-Verarbeitung auf einem ungeschützten Consumer-Gerät bewusst ausklammerte. PIN-Eingabe war damals nur unter SPoC zulässig, und dort nur zusammen mit einem PCI-zertifizierten Kartenlesegerät. Erst MPoC führte 2022 beide Fähigkeiten auf einem einzigen unveränderten Gerät zusammen.

Quellen

• PCI SSC — Contactless Payments on COTS (CPoC)
• PCI SSC — Pressemitteilung zur Veröffentlichung des CPoC-Standards (04.12.2019)

Teil des SoftPOS24 Payment-Glossars mit 71 Fachbegriffen zu SoftPOS, Kartenzahlung und Zahlungsverkehr. Fehler entdeckt? Korrektur melden — wir prüfen jede Meldung.