SoftPOS (Tap to Pay auf dem Smartphone)

Rechtsstand: 13.10.2026 · Aktualisiert: 13.10.2026

Kurz gesagt

SoftPOS ist eine App, mit der ein gewöhnliches Smartphone kontaktlose Kartenzahlungen annimmt; zertifiziert werden solche Lösungen nach den PCI-Standards des PCI Security Standards Council. Der PCI SSC empfiehlt Händlern, eine gelistete Lösung zu wählen; ob eine gelistete Lösung verpflichtend ist, bestimmen die Kartenmarken über Ihren Acquirer oder Zahlungsdienstleister. PIN-Eingabe auf dem Bildschirm setzt MPoC oder SPoC voraus; ohne zusätzliches Lesegerät bleibt MPoC, denn SPoC verlangt einen separaten zugelassenen Kartenleser. MPoC ist der aktuelle Standard; für SPoC und CPoC endet die Annahme neuer Einreichungen am 31. Oktober 2026, bestehende Listings bleiben bis zu ihrem regulären Ablauf gültig.

Das Wichtigste

Kein Gesetz, sondern Industriestandards: Der PCI Security Standards Council (PCI SSC) zertifiziert SoftPOS-Lösungen und empfiehlt Händlern, eine gelistete Lösung zu wählen; ob eine gelistete Lösung verpflichtend ist, bestimmen die Kartenmarken, nicht der PCI SSC.
Aktueller Standard ist MPoC (veröffentlicht am 16. November 2022, Version 1.1 seit 26. November 2024): PIN und kontaktlose Kartendaten auf demselben Gerät.
SPoC und CPoC: Sunset-Zeitraum vom 1. Mai bis 31. Oktober 2026; danach keine neuen Einreichungen, bestehende Listings bleiben bis zum normalen Ablauf gültig.
Nach CPoC nimmt die App keine PIN an; PIN-Eingabe auf dem Bildschirm setzt SPoC oder MPoC voraus, unter SPoC mit separatem Kartenleser (Secure Card Reader – PIN), unter MPoC auf demselben Gerät.
girocard: Für die Teilnahme am girocard-System dürfen nur Terminals mit Zulassung der Deutschen Kreditwirtschaft eingesetzt werden (Ziff. 7, Stand 1. Oktober 2025).

Definition

SoftPOS ist eine Software, die ein handelsübliches Gerät wie Smartphone oder Tablet (bei PCI SSC: COTS, commercial off-the-shelf) zum Empfang kontaktloser Kartenzahlungen macht, ohne zusätzliches Lesegerät. Die App nutzt das im Gerät eingebaute NFC und leitet die Zahlung an den Zahlungsdienstleister des Händlers weiter. SoftPOS ist eine Branchenbezeichnung; gemeint sind Lösungen, die nach den PCI-Standards für COTS-Geräte zertifiziert sind. Wann sich der Einsatz lohnt, steht in Tap to Pay: Smartphone als Kartenterminal.

Welche Sicherheitsvorgaben gelten

Die Vorgaben stammen nicht von einem Gesetzgeber, sondern vom PCI Security Standards Council (PCI SSC), dem Standards-Gremium der Kartenzahlbranche. Die Compliance-Programme zu diesen Standards betreuen die Kartenmarken; ob und welche zertifizierte Lösung Sie einsetzen müssen, entscheidet sich deshalb über Ihren Acquirer oder Zahlungsdienstleister. Der PCI SSC selbst zertifiziert Lösungen nach drei Standards und empfiehlt Händlern und Acquirern nur, bei der Auswahl die Listings zu nutzen.

Standard	Was er abdeckt	Stand laut PCI SSC
CPoC	Kontaktlose Annahme über das NFC des Geräts, ohne zusätzliche Hardware, ohne PIN-Eingabe	Beitrag vom 23. Oktober 2019; Sunset-Zeitraum vom 1. Mai bis 31. Oktober 2026
SPoC	PIN-Eingabe auf dem Gerät, softwareseitig erfasst und verschlüsselt; die Karte wird an einem separaten zugelassenen Kartenleser gelesen	Sunset-Zeitraum vom 1. Mai bis 31. Oktober 2026
MPoC	PIN und kontaktlose Kartendaten auf demselben Gerät; baut auf SPoC und CPoC auf	Veröffentlicht am 16. November 2022, Version 1.1 seit 26. November 2024

Während des Sunset-Zeitraums nimmt der PCI SSC weiterhin neue SPoC- und CPoC-Einreichungen an. Danach keine mehr; bestehende Listings laufen nach ihrem normalen Zyklus ab (Bulletin vom 1. Mai 2026).

Checkliste für den Einsatz

Fragen Sie Ihren Zahlungsdienstleister, nach welchem PCI-Standard seine Lösung gelistet ist, und suchen Sie das Listing auf listings.pcisecuritystandards.org.
Verlangen Sie PIN-Eingabe auf dem Bildschirm nur mit einer MPoC- oder SPoC-Lösung; eine CPoC-Lösung nimmt keine PIN an. Ohne zusätzliches Lesegerät bleibt MPoC, denn SPoC setzt einen separaten zugelassenen Kartenleser (Secure Card Reader – PIN) voraus.
Die Lösung überwacht das Gerät aus der Ferne (Remote Attestation und Monitoring); lassen Sie sich erklären, was bei einer manipulierten (gerooteten) Umgebung passiert.
Spielen Sie Updates für App und Gerät aus, sobald der Anbieter sie freigibt (redaktionelle Empfehlung).
Für girocard-Zahlungen gilt: Nur Terminals mit Zulassung der Deutschen Kreditwirtschaft dürfen im girocard-System eingesetzt werden (Ziff. 7 der Teilnahmebedingungen, Stand 1. Oktober 2025); fragen Sie, wie Ihre Lösung das abdeckt.

Worin sich die App vom Terminal unterscheidet

Merkmal	Zertifiziertes Terminal	SoftPOS-App
Gerät	eigenes Gerät für Zahlungen	COTS-Gerät, nutzt dessen NFC
PIN-Eingabe	am Hardware-PIN-Pad	auf dem Bildschirm der App; ohne zusätzliches Lesegerät nur nach MPoC (SPoC: separater Kartenleser)
Sicherheitsmodell	zertifizierte Terminal-Hardware	Gerätehardware, App-Software und ferne Überwachung (Attestation und Monitoring)
Bindung	Zulassungsregeln der Kartennetze	PCI-Standards über den Vertrag mit Acquirer oder Zahlungsdienstleister

Nicht zu verwechseln mit

Beim mPOS liest ein separates Lesegerät die Karte; SoftPOS kommt ohne dieses Lesegerät aus und nutzt dieselbe NFC-Technik. Beim Wallet wie Apple Pay zahlt der Kunde mit seinem Telefon; bei SoftPOS nimmt der Händler Zahlungen mit seinem Telefon an.

Häufige Fragen

Brauche ich als Händler eine eigene PCI-Zertifizierung für SoftPOS?

Nein. Zertifiziert und gelistet wird die Lösung des Anbieters, nicht Ihr Betrieb. Der PCI SSC empfiehlt Händlern, eine gelistete Lösung zu wählen. Welche Nachweise und Vertragspunkte Ihr Acquirer oder Ihr Zahlungsdienstleister zusätzlich verlangt, steht in Ihrem Vertrag mit ihm.

Kann eine SoftPOS-App die PIN auf dem Bildschirm abfragen?

Nur wenn die Lösung nach MPoC oder SPoC zertifiziert ist; unter SPoC liest ein separater zugelassener Kartenleser die Karte, ohne zusätzliches Lesegerät bleibt MPoC. Nach CPoC ist das ausgeschlossen; der PCI SSC nennt als Grund, dass PIN und Kartennummer nicht im Speicher des Geräts zusammenlaufen dürfen. Die PIN wird softwareseitig erfasst und verschlüsselt.