Was ist MPoC?

Auch bekannt als: Mobile Payments on COTS, PCI MPoC, MPoC-Standard, PCI Mobile Payments on COTS, MPoC-Zertifizierung

• MPoC wurde am 16. November 2022 vom PCI Security Standards Council veröffentlicht; Version 1.1 folgte am 26. November 2024
• MPoC führt die Vorgängerstandards SPoC (24. Januar 2018) und CPoC (4. Dezember 2019) zusammen
• Für SPoC und CPoC hat das PCI SSC eine Sunset-Phase vom 1. Mai bis 31. Oktober 2026 angekündigt
• Nur 5 der 121 in der SoftPOS24-Anbieterdatenbank erfassten Anbieter weisen eine eigenständige MPoC-Listung aus, 7 weitere nutzen eine Partnertechnologie, 92 machen keine Angabe (Stand 15.08.2026)
• Die Bewertung erfolgt durch vom PCI SSC anerkannte Prüflabore; das Labor Fime nennt 192 einzelne Sicherheitsanforderungen und jährliche Nachprüfungen

Wie MPoC aufgebaut ist

MPoC ist modular und zielbasiert aufgebaut: Statt eine einzige Prüfung über die gesamte Lösung zu legen, trennt der Standard die Bausteine und lässt sie einzeln bewerten. Geprüft werden können die Zahlungsanwendung auf dem Händlergerät, ein isoliertes SDK, der MPoC-Service als Attestierungs- und Monitoring-Backend sowie die dahinterliegenden Verarbeitungssysteme. Das Zahlungs-Backend muss zusätzlich PCI DSS erfüllen, das PIN-Backend den Standard PCI PIN. Die Bewertung nehmen ausschließlich vom PCI SSC anerkannte Prüflabore vor. Das Prüflabor Fime beziffert den Katalog auf 192 einzelne Sicherheitsanforderungen und weist darauf hin, dass gelistete Lösungen jährlich nachgeprüft werden, weil sich die Bedrohungslage auf Consumer-Geräten laufend ändert.

Warum MPoC SPoC und CPoC abgelöst hat

Die beiden Vorgängerstandards waren jeweils nur eine halbe Lösung. SPoC, veröffentlicht am 24. Januar 2018, erlaubte die PIN-Eingabe auf dem Touchscreen, verlangte dafür aber zwingend ein zusätzliches zertifiziertes Kartenlesegerät. CPoC, veröffentlicht am 4. Dezember 2019, kam ohne Zusatzhardware aus, untersagte dafür jede softwarebasierte PIN-Eingabe. Erst MPoC kombiniert beides auf einem einzigen unveränderten Gerät und öffnet damit die Tür für SoftPOS im heutigen Sinn. Das PCI SSC hat für SPoC und CPoC inzwischen eine formale Sunset-Phase vom 1. Mai bis 31. Oktober 2026 angekündigt und verweist Interessenten ausdrücklich auf MPoC als aktuellen Standard.

Was MPoC in der Praxis absichert

Weil ein Consumer-Smartphone keinen physischen Manipulationsschutz hat, verlagert MPoC die Sicherheit in Software und in ein laufendes Backend-Monitoring. Vor und während jeder Transaktion wird der Gerätezustand attestiert; erkannte Rooting-Zustände, entsperrte Bootloader, Debugger oder manipulierte Laufzeitumgebungen führen zum Abbruch. Version 1.1 vom 26. November 2024 hat den Standard in mehreren Punkten praxistauglicher gemacht: Die Anforderungen an Secure Software und Kernel-Funktionsvalidierung entfielen, ein MPoC-SDK darf ein anderes einbinden, die Vorgaben zu Offline-Speicherung wurden geändert, die Erkennung kompromittierter Plattformen präzisiert. Neu hinzu kamen Optionen für barrierefreie PIN-Eingabe und für externe PIN-Geräte sowie die Zulassung von FIPS-140-2-Level-2-HSMs in kontrollierten Umgebungen.

Wie Händler eine MPoC-Listung prüfen

Das PCI SSC führt ein öffentlich einsehbares Verzeichnis validierter MPoC-Lösungen und -Komponenten. Entscheidend ist dabei die Feinheit, dass immer nur die konkret genannte Version einer Lösung geprüft wurde — eine Listung ist also kein dauerhaftes Prädikat für einen Anbieternamen. In der Praxis ist die Nachweislage im Markt dünn: Von 121 in der SoftPOS24-Anbieterdatenbank erfassten Anbietern weisen nur 5 eine eigenständige PCI-MPoC-Listung aus, 7 weitere stützen sich auf die Listung einer Partnertechnologie, und 92 machen zur MPoC-Konformität überhaupt keine Angabe. Wer vergleicht, sollte deshalb nach Lösungsname, Versionsnummer und Eintragsdatum fragen und den Eintrag im PCI-Verzeichnis selbst nachschlagen.

Abgrenzung — womit MPoC verwechselt wird

Ein verbreiteter Fehler ist, verneinende Formulierungen als Zertifizierung zu lesen. Sätze wie „MPoC-Status nicht ausgewiesen", „keine MPoC-Angabe verfügbar" oder „MPoC nicht erforderlich" bedeuten das Gegenteil einer Listung: Es liegt kein Nachweis vor. Ebenso wenig ersetzt PCI DSS den MPoC-Nachweis — PCI DSS betrifft die Verarbeitung im Backend, MPoC die Kartenannahme auf dem Händlergerät.

Verwandte Begriffe

Häufige Fragen

Ist MPoC für SoftPOS gesetzlich vorgeschrieben?

Nein. MPoC ist kein Gesetz, sondern ein Standard des PCI Security Standards Council. Verbindlich wird er über die Regelwerke der Kartensysteme und über die Verträge zwischen Acquirer, Lösungsanbieter und Händler. Praktisch läuft das auf dasselbe hinaus: Ohne belastbaren MPoC-Nachweis lässt sich eine SoftPOS-Lösung bei den großen Kartensystemen kaum dauerhaft betreiben.

Was bedeutet es, wenn ein Anbieter auf die MPoC-Listung eines Partners verweist?

Dass die geprüfte Technologie von einem Dritten stammt und der Anbieter sie unter eigenem Namen ausliefert. Das ist zulässig und im White-Label-Markt üblich. Wichtig ist, dass der Partner samt Lösungsversion konkret benannt wird und die eingesetzte Version mit dem Eintrag im PCI-Verzeichnis übereinstimmt. In der SoftPOS24-Anbieterdatenbank trifft dieser Fall auf 7 Anbieter zu.

Wie unterscheidet sich MPoC von SPoC und CPoC?

MPoC erlaubt kontaktloses Kartenlesen und PIN-Eingabe auf einem einzigen handelsüblichen Gerät. SPoC erlaubte zwar PIN auf dem Display, verlangte aber ein zusätzliches zertifiziertes Lesegerät. CPoC kam ohne Zusatzhardware aus, verbot dafür jede softwarebasierte PIN-Eingabe. Beide Vorgängerstandards befinden sich vom 1. Mai bis 31. Oktober 2026 in der Sunset-Phase.

Quellen

• PCI SSC — Mobile Payments on COTS (MPoC)
• PCI SSC — Pressemitteilung zur Veröffentlichung des MPoC-Standards (16.11.2022)
• PCI Perspectives — MPoC Standard Version 1.1 Now Available (26.11.2024)

Teil des SoftPOS24 Payment-Glossars mit 71 Fachbegriffen zu SoftPOS, Kartenzahlung und Zahlungsverkehr. Fehler entdeckt? Korrektur melden — wir prüfen jede Meldung.