Was ist SPoC?

Auch bekannt als: Software-based PIN Entry on COTS, PCI SPoC, SPoC-Standard, Software-based PIN Entry on COTS

• SPoC wurde am 24. Januar 2018 vom PCI Security Standards Council veröffentlicht
• SPoC verlangt zwingend einen PCI-zugelassenen Secure Card Reader for PIN (SCRP); das COTS-Gerät liefert nur das PIN-Eingabefeld
• Zu den Kernanforderungen zählen die Isolation der PIN von anderen Kontodaten und aktives Monitoring des Dienstes
• Das PCI SSC hat für SPoC eine Sunset-Phase vom 1. Mai bis 31. Oktober 2026 angekündigt und verweist auf MPoC
• MPoC v1.1 vom 26. November 2024 hat externe PIN-Eingabegeräte als Option wieder aufgenommen

Wie eine SPoC-Lösung aufgebaut ist

Das Prinzip von SPoC ist eine Arbeitsteilung zwischen Hardware und Software. Die sicherheitskritischen Aufgaben — Auslesen der Karte, Verschlüsselung der PIN — übernimmt ein zugelassener Secure Card Reader for PIN. Das Smartphone liefert nur das Eingabefeld auf dem Display und die Verbindung nach außen. Das PCI SSC nennt in der Veröffentlichung vier tragende Anforderungen: Einsatz eines zugelassenen SCRP, Isolation der PIN von allen übrigen Kontodaten, Sicherstellung von Integrität und Sicherheit der Eingabeanwendung sowie aktives Monitoring des Dienstes, um Bedrohungen innerhalb des Telefons oder Tablets zu erkennen. Unabhängige Prüflabore bestätigen, dass eine Lösung diese Ziele erfüllt.

Warum SPoC kein echtes SoftPOS ist

Der entscheidende Punkt ist der Kartenleser. Weil SPoC ein zusätzliches zertifiziertes Gerät voraussetzt, fällt eine SPoC-Lösung wirtschaftlich und architektonisch in die Kategorie mPOS und nicht in die Kategorie SoftPOS. Der Händler muss weiterhin Hardware anschaffen oder mieten, sie laden, verteilen und ersetzen. Was SPoC gegenüber klassischem mPOS gewann, war allein der Verzicht auf ein physisches Tastenfeld am Leser: Die PIN durfte erstmals auf einem Consumer-Display eingegeben werden. Das war 2018 ein regulatorischer Durchbruch, hat den Grundkonflikt aber nicht gelöst — nämlich die Frage, ob ein Gerät ohne jede Zahlungshardware für sich allein sicher genug sein kann.

Wie MPoC SPoC überholt hat

MPoC beantwortete diese Frage 2022 mit Ja. Das PCI SSC beschreibt MPoC als Standard, der auf SPoC und CPoC aufbaut und deren Anforderungen in einem modularen Rahmen zusammenführt: kontaktloses Lesen und PIN-Eingabe auf demselben handelsüblichen Gerät, ohne SCRP. Damit verlor SPoC seinen Zweck. Für SPoC und CPoC hat das PCI SSC eine formale Sunset-Phase vom 1. Mai bis 31. Oktober 2026 angekündigt und verweist auf der offiziellen Standardseite auf MPoC. Interessant ist, dass MPoC in Version 1.1 vom 26. November 2024 externe PIN-Eingabegeräte wieder ausdrücklich als Option aufgenommen hat — das SPoC-Modell lebt damit als Sonderfall innerhalb von MPoC weiter.

Woran Händler SPoC-Technik heute noch erkennen

In Angeboten taucht SPoC selten unter diesem Namen auf. Erkennbar ist die Architektur an der Produktbeschreibung: Ein separates Lesegerät wird per Bluetooth mit dem Smartphone gekoppelt, die Karte wird an dieses Gerät gehalten, die PIN aber auf dem Handy eingegeben. Wer ein solches Bundle als SoftPOS beworben bekommt, sollte nachfragen — der Begriff ist dann falsch verwendet. Praktisch relevant wird der Unterschied bei der Skalierung: Fünf Servicekräfte brauchen bei SPoC fünf Lesegeräte, bei einer MPoC-Lösung genügen fünf ohnehin vorhandene Diensthandys. Auch Wartung, Ersatzbeschaffung und Ladeinfrastruktur entfallen dort vollständig.

Abgrenzung — womit SPoC verwechselt wird

SPoC wird oft mit PIN on Glass gleichgesetzt. PIN on Glass ist jedoch die Funktion — die PIN-Eingabe auf einem Touchscreen —, während SPoC und MPoC die Standards sind, die diese Funktion überhaupt zulassen. Ebenso ist SPoC nicht SoftPOS: Solange ein zertifizierter Kartenleser zwingend dazugehört, handelt es sich um mPOS mit ausgelagertem Eingabefeld.

Verwandte Begriffe

Häufige Fragen

Brauche ich bei SPoC ein zusätzliches Gerät?

Ja, zwingend. SPoC setzt einen PCI-zugelassenen Secure Card Reader for PIN voraus, der die Karte liest und die PIN verschlüsselt. Das Smartphone stellt nur das Eingabefeld bereit. Genau darin liegt der Unterschied zu MPoC, das seit 2022 kontaktloses Lesen und PIN-Eingabe auf einem einzigen handelsüblichen Gerät ohne Zusatzhardware erlaubt.

Ist eine bestehende SPoC-Lösung damit wertlos?

Nein. Der Standard ist nicht widerrufen, sondern befindet sich vom 1. Mai bis 31. Oktober 2026 in der Sunset-Phase des PCI SSC. Bestehende Installationen laufen nach den Regeln des jeweiligen Acquirers und der Kartensysteme weiter. Für Neuanschaffungen ergibt SPoC aber kaum noch Sinn, weil MPoC dieselbe Funktion ohne Zusatzhardware abdeckt.

Quellen

• PCI SSC — Software-based PIN Entry on COTS (SPoC)
• PCI SSC — Pressemitteilung zur Veröffentlichung des SPoC-Standards (24.01.2018)

Teil des SoftPOS24 Payment-Glossars mit 71 Fachbegriffen zu SoftPOS, Kartenzahlung und Zahlungsverkehr. Fehler entdeckt? Korrektur melden — wir prüfen jede Meldung.