Zertifiziertes Terminal: EMV, PCI PTS und Zulassungen

Ein Kartenterminal prüft Chip und Karte, nimmt die PIN entgegen und schickt Zahlungsdaten weiter. Dafür gibt es nicht eine einzige Zertifizierung, sondern mehrere, die unterschiedliche Teile abdecken und von verschiedenen Stellen kommen. Wer ein Terminal kauft oder mietet, sollte wissen, welche das sind.

Welche Zertifizierungen gibt es?

Zulassung	Was sie abdeckt	Wer prüft	Wer verlangt sie
EMVCo Level 1	Kommunikation zwischen Zahlungsmittel und Gerät: physische, elektrische und Funk-Schnittstellen (Chip, Kontaktlos)	Unabhängige, von EMVCo anerkannte Labore	Visa-Regeln: Chip-Gerät von EMVCo zugelassen; kontaktlos Level 1 EMVCo
EMVCo Level 2	Software des Geräts für die Zahlungsabwicklung (Kernel, Zahlungsanwendung)	Wie oben	Visa-Regeln: kontaktlos Level 2 EMVCo oder Visa
EMV Level 3	Zusammenspiel von Gerät, Zahlungsanwendung und Acquirer- beziehungsweise Händlersystemen	Nach den Regeln des jeweiligen Zahlungssystems; EMVCo qualifiziert die Testwerkzeuge	Zahlungssystem oder Acquirer, je nach Regeln
PCI PTS POI	Sicherheit des PIN-Geräts (physischer und logischer Schutz des Geräts, Geräteverwaltung bis zum ersten Laden der Schlüssel)	Von der PCI SSC anerkanntes Labor; die PCI SSC prüft die Berichte	Zahlungsmarken und Acquirer; die PCI SSC selbst erlässt keine Einsatzvorgaben
Zulassung der Deutschen Kreditwirtschaft	Eignung des Terminals für das girocard-System (Technischer Anhang)	Deutsche Kreditwirtschaft	Händlerbedingungen und Netzbetreiber-Vertrag für Deutschland

Diese Zeilen fassen die unten genannten Quellen zusammen. Die Spalte „Wer verlangt sie“ nennt nur, was die Quelle sagt; wenn etwas fehlt, steht es im Vertrag mit Ihrem Acquirer oder Netzbetreiber.

Was ist EMV und was EMVCo?

EMVCo beschreibt die Zulassungsverfahren für EMV-Geräte und Karten. Level 1 betrifft die Schnittstellen, Level 2 die Software. EMVCo führt nach eigener Aussage keine Tests selbst durch; unabhängige Labore testen mit qualifizierten Werkzeugen. Level 3 kommt danach: Es prüft das Zusammenspiel mit der Infrastruktur und wird von den Regeln des jeweiligen Zahlungssystems bestimmt.

Ob die Zulassung vorgeschrieben ist, steht in diesen EMVCo-Seiten nicht; die Visa-Regeln (Abschnitt 5.6.1.1, Tabelle 5-8, Ausgabe 18. April 2026) verlangen sie für Visa-Akzeptanz: Ein Chip-Gerät muss von EMVCo zugelassen sein, ein kontaktloses Gerät auf Level 1 von EMVCo und auf Level 2 von EMVCo oder von Visa. Für andere Kartensysteme haben wir die Regeln nicht geöffnet.

Was prüft PCI PTS?

PCI PTS POI betrifft die Sicherheit des Geräts, an dem der Kunde die PIN eingibt. Die PCI SSC erklärt, dass die Prüfung durch ein anerkanntes Labor erfolgt und dass der EMV-Prozess davon vollständig getrennt ist. Zusammen mit den Visa-Regeln, die ein PIN Entry Device nach den Sicherheitsanforderungen der PCI definieren, ergibt sich: Eine EMV-Zulassung ersetzt PTS nicht, und PTS ersetzt keine EMV-Zulassung.

Die PCI SSC erlässt keine Einsatzvorgaben; sie verweist für Mandate und für die Folgen eines abgelaufenen Datums auf die Zahlungsmarken (PCI POI FAQ, Stand Mai 2013, also älter als die übrigen Quellen). Laut Mitteilung vom 11. September 2025 verlängerte die PCI SSC das Ablaufdatum für bereits zugelassene PTS-POI-Geräte der Version 5 vom 30. April 2026 auf den 30. April 2027; neue Zulassungen nach Version 5 sind damit nicht erlaubt. Prüfen Sie bei einem Kauf Modell, Hardware-, Firmware- und Anwendungsversion in der Liste der PCI SSC.

PCI PTS ist nicht dasselbe wie PCI DSS, der Standard für den Umgang mit Kartendaten; dazu siehe PCI DSS für Händler.

Deutschland: Zulassung der Deutschen Kreditwirtschaft

In Deutschland gilt für die girocard eine eigene Zulassung. Die Händlerbedingungen (Stand 1. Oktober 2025) nennen in Nr. 5 als Voraussetzung für die Begleichung eines girocard-Umsatzes, dass das Terminal gegenüber dem Netzbetreiber zugelassen ist, und in Nr. 7, dass nur Terminals mit einer Zulassung der Deutschen Kreditwirtschaft eingesetzt werden dürfen. Der Netzbetreiber-Vertrag (Stand 27. Januar 2025, Nr. 3) erlaubt den Anschluss nur von Terminals, die den Anforderungen im Technischen Anhang entsprechen. Nr. 10 des Vertrags nennt für bediente Terminals, die nach dem 31. Dezember 2024, und für unbediente Terminals, die nach dem 31. Dezember 2025 im Netz betrieben werden, eine Zulassung nach dem Technischen Anhang in der Version 7.2. Notwendige Anpassungen sind nach Vorgabe der Deutschen Kreditwirtschaft termingerecht umzusetzen (Händlerbedingungen Nr. 7).

Den Technischen Anhang selbst haben wir nicht geöffnet. Die Händlerbedingungen sind ein Vertragswerk für teilnehmende Unternehmen, kein Gesetz.

Österreich und Schweiz

Zu Österreich und zur Schweiz haben wir keine öffentliche Zulassungsstelle für Terminals geöffnet. Wenn Sie dort ein Terminal beschaffen, lassen Sie sich vom Acquirer schriftlich nennen, welche Zulassungen er verlangt. Für Schweizer und österreichische Kartensysteme stützt sich dieser Artikel nur auf die Visa-Regeln und die PCI-Dokumente oben.

Checkliste vor dem Kauf oder der Miete

1. Fragen Sie den Acquirer oder Netzbetreiber, welche Zulassungen er für das Terminal verlangt, und lassen Sie sich diese Liste geben.
2. Prüfen Sie für das konkrete Modell: EMVCo-Zulassung (Level 1 und 2, jeweils Kontakt und Kontaktlos), PCI-PTS-Eintrag mit Hardware-, Firmware- und Anwendungsversion.
3. In Deutschland: Zulassung der Deutschen Kreditwirtschaft für die girocard erfragen und die Version des Technischen Anhangs notieren.
4. Notieren Sie das Ablaufdatum der PTS-Freigabe und fragen Sie, was der Acquirer bei Ablauf verlangt.
5. Lassen Sie sich bestätigen, dass die Zulassungen für die Firmware gelten, die auf dem Gerät läuft.

Weitere Auswahlkriterien finden Sie in Kartenterminal kaufen oder mieten.