Die Beliebtheit bargeldloser Zahlungen hat in Japan zu einer Zunahme des Kreditkartenbetrugs geführt. Für Unternehmen, die E-Commerce-Websites betreiben und Online-Zahlungen verwenden, sind Sicherheitsmaßnahmen keine freiwillige Option, sondern eine Pflicht. In diesem Artikel erläutern wir die Sicherheitsrichtlinien für Kreditkarten in Japan, einschließlich ihres Zwecks, ihres Hintergrunds und Schritte zur Compliance.

Worum geht es in diesem Artikel?

• Was sind die Sicherheitsrichtlinien für Kreditkarten?
  
• Warum sind die Sicherheitsrichtlinien für Kreditkarten erforderlich?
  
• Was sind die Unterschiede zwischen den Versionen 5.0 und 6.0 der Sicherheitsrichtlinien für Kreditkarten?
  
• Schritte zur Erfüllung der Sicherheitsrichtlinien für Kreditkarten
  
• Welche Konsequenzen hat die Nichteinhaltung der Sicherheitsrichtlinien für Kreditkarten?
  
• Warum sollten Unternehmen kontinuierliche Sicherheitsmaßnahmen ergreifen?
  

Was sind die Sicherheitsrichtlinien für Kreditkarten?

Bei den Sicherheitsrichtlinien für Kreditkarten handelt es sich um eine Reihe von Richtlinien, die Sicherheitsmaßnahmen für die Verwendung von Kreditkarten festlegen. Alle Unternehmen in Japan müssen diese Richtlinien befolgen. Sie beruhen auf einem Plan des Ministeriums für Wirtschaft, Handel und Industrie (METI), um das Risiko von Informationslecks und Betrug zu verringern und ein sicheres Umfeld für Transaktionen zu schaffen. Die Japan Consumer Credit Association (JCA) arbeitet außerdem daran, das Sicherheitsbewusstsein zu schärfen und sicherzustellen, dass Unternehmen in der gesamten Branche gründliche Maßnahmen ergreifen.

Version 6.0, die neueste Version der Richtlinien, gibt strengere Sicherheitsnormen als frühere Versionen vor. Es ist wichtig, dass Unternehmen über die neuesten Entwicklungen auf dem Laufenden bleiben und entsprechend reagieren. Zu diesen Weiterentwicklung gehören die angemessene Verwaltung von Kreditkartendaten, die frühzeitige Erkennung und Reaktion auf betrügerische oder unbefugte Nutzung, Sicherheitsschulungen für Mitarbeiter/innen und Maßnahmen zur Behebung systemischer Schwachstellen.

Die Compliance der Richtlinien kann Unternehmen dabei helfen, das Vertrauen ihrer Kundschaft zu stärken und nachhaltig ihre Existenz zu sichern. Alle Unternehmen müssen die Inhalte der neuesten Richtlinien kennen und geeignete Maßnahmen ergreifen, um sie erfüllen.

Warum sind die Sicherheitsrichtlinien für Kreditkarten erforderlich?

Laut einer JCA-Umfrage, die sich auf Unternehmen konzentrierte, die in Japan Kreditkarten internationaler Marken ausstellen, wurde vorausberechnet, dass der Verlust durch Kreditkartenbetrug im Jahr 2024 auf etwa 55,5 Mrd. ¥ ansteigen würde. Dies ist ein deutlicher Anstieg gegenüber 2014, als er bei etwas mehr als 11 Mrd. ¥ lag. Verluste durch Nummerndiebstahl machten im Jahr 2014 fast 60 % der Gesamtsumme aus. Dieser Prozentsatz überstieg im Jahr 2024 90 %. Diese Werte verdeutlichen die Anfälligkeit von Online-Transaktionen, wie sie z. B. auf E-Commerce Websites stattfinden.

Diese Zahlen zeigen, warum es für Unternehmen wichtig ist, die aktuellen Sicherheitsrichtlinien für Kreditkarten zu erfüllen. Die Richtlinien können Unternehmen dabei helfen, Kundinnen und Kunden zu schützen, Gesetze einzuhalten und die Vertrauenswürdigkeit ihrer Marken aufrechtzuerhalten. Im unwahrscheinlichen Fall eines Datenlecks oder unbefugten Zugriffs könnte dies den Verlust von Kundinnen und Kunden, Rückbuchungen, Verwaltungsstrafen oder die Schadensersatzzahlungen zur Folge haben.

Was sind die Unterschiede zwischen den Versionen 5.0 und 6.0 der Sicherheitsrichtlinien für Kreditkarten („Credit Card Security Guidelines“)?

Die Sicherheitsrichtlinien für Kreditkarten wurden seit der Erstveröffentlichung im Jahr 2020 mehrmals überarbeitet. Die Maßnahmen werden in zwei Kategorien unterteilt: nicht persönliche Transaktionen (d. h. E-Commerce-Transaktionen) und persönliche Transaktionen. Für Unternehmen ist es wichtig, die Richtlinien zu befolgen, die ihren Unternehmenstyp regeln. So enthält beispielsweise Version 6.0 neue Maßnahmen für E-Commerce-Unternehmen. Daher ist es wichtig, dass Unternehmen dieser Kategorie diese neuen Richtlinien erfüllen.

Die Sicherheitsrichtlinien für Kreditkarten sind sehr detailliert. Die Kenntnis der wichtigsten Punkte kann für Unternehmen eine wichtige Hilfe sein, um die ersten Schritte einzuleiten und sich jeder Maßnahme zu widmen. In der folgenden Tabelle vergleichen wir die Versionen 5.0 und 6.0, um Maßnahmen hervorzuheben, die zu jeder der Richtlinien hinzugefügt wurden.

Maßnahmen zur Verhinderung des Diebstahls von Kreditkartendaten

In Version 5.0 hat die JCA Maßnahmen zum Schutz von Kartendaten eingeführt, wie z. B. die Nichtspeicherung und die PCI DSS-Compliance. Diese Maßnahmen haben sich als einigermaßen effektiv erwiesen, um Vorfälle zu verhindern, bei denen große Mengen an Kartendaten innerhalb kurzer Zeit gestohlen werden.

Es ist jedoch zu Vorfällen gekommen, bei denen Kartendaten durch unbefugten externen Zugriff, Viren oder Manipulationen des Systems entzogen wurden. Dies war auf unzureichende Gegenmaßnahmen gegen Schwachstellen zurückzuführen, wie z. B. Antivirenmaßnahmen auf Systemen und Websites von E-Commerce Unternehmen, die Verwaltung von Administratorrechten und die Geräteverwaltung. Daher müssen E-Commerce Unternehmen laut Version 6.0 die folgenden Maßnahmen gegen System- und Website-Schwachstellen ergreifen, um Lecks von Kartendaten zu verhindern:

• Einschränkungen des Zugriffs auf Systemverwaltungsbildschirme und ID-/Passwortverwaltung für Administratoren
  
• Maßnahmen zur Behebung von Konfigurationsfehlern und Unzulänglichkeiten im Zusammenhang mit der Offenlegung von Datenverzeichnissen
  
• Maßnahmen gegen Schwachstellen für Web-Apps
  
• Einführung und Betrieb von Antivirensoftware als Maßnahme gegen Malware
  
• Maßnahmen gegen böswillige Gültigkeitsprüfungen und Credit-Master
  

Bei der Auslagerung der Erstellung, Konfiguration und des Betriebs von E-Commerce Systemen oder Websites muss der/die auslagernde Auftragnehmer/in die Maßnahmen gegen Schwachstellen durchführen, die E-Commerce Unternehmen implementieren müssen.

Betrugsvorbeugung zur Verhinderung der Verwendung von Kartendaten

2023 betrug der Wert der betrügerischen Kartennutzung in Japan über 54 Mrd. ¥. Davon entfielen 93 % auf Identitätsdiebstahl bei E-Commerce Unternehmen. Daher wurden Maßnahmen hinzugefügt, um Betrug vor und während Kartenzahlungen vorzubeugen.

So können Betrüger vor, während und nach der Verwendung einer Karte zuschlagen:

• Vor einer Kartenzahlung: Betrüger/innen können ein betrügerisches Konto registrieren oder betrügerische Anmeldungen nutzen, indem sie sich als Kundin/Kunde ausgeben.
  
• Während einer Kartenzahlung: Es gab Fälle von unbefugter Verwendung von Kartennummern und Kartendaten, die vom Credit Master generiert wurden. Darüber hinaus wurden Phishing-Scams verwendet, um Kartendaten, Konten, Passwörter und Attributinformationen zu stehlen.
  
• Nach einer Kartenzahlung: Waren können betrügerisch geliefert oder weiterverkauft werden, daher müssen Sie die Bestell und Lieferadresse überprüfen.
  

Aufgrund der Möglichkeit betrügerischer Aktivitäten ist es notwendig, Maßnahmen einzuführen, die den Ablauf von Kartentransaktionen regeln. Beispiele hierfür sind die Verhinderung unbefugter Anmeldungen vor Kartenzahlungen und die Einführung von EMV 3D Secure während der Durchführung der Kartenzahlung.

Maßnahmen zur Verhinderung unbefugter Anmeldungen

In Version 6.0 werden die folgenden Maßnahmen empfohlen, um unbefugte Anmeldungen zu verhindern:

• Zugriffsbeschränkungen von verdächtigen Internetprotokoll (IP)-Adressen
  
• Identifizierung mittels Zwei-Faktor-Verifizierung oder Multi-Faktor-Authentifizierung
  
• Bestätigung der persönlichen Daten bei der Registrierung des Mitglieds
  
• Strengere Einschränkungen bei der Anzahl der Anmeldeversuche
  
• Benachrichtigungen per E-Mail und Kurznachrichtendienst (SMS), wenn sich Mitglieder anmelden oder ihre Attribute ändern
  
• Merkmals- und Verhaltensanalyse
  
• Fingerabdruck-Identifizierung auf Geräten
  

Einführung von EMV 3D Secure

Version 6.0 enthält Maßnahmen im Zusammenhang mit der Einführung von EMV 3D Secure. E-Commerce Unternehmen müssen Folgendes tun:

• Integrieren von EMV 3D Secure und Durchführen der Authentifizierung, um sicherzustellen, dass die Identität des/der Karteninhaber/in ordnungsgemäß verifiziert werden kann
  
• Verbesserung der Genauigkeit der risikobasierten Authentifizierung (RBA)
  

Häufiges Auftreten betrügerischer Aktivitäten und Unternehmen mit hohem Risiko

Es wird davon ausgegangen, dass es bei Unternehmen häufig zu betrügerischen Aktivitäten kommt, wenn immer wieder betrügerische Zahlungen auftreten. Im Sinne dieser Richtlinien wird davon ausgegangen, dass ein Unternehmen häufig betrügerischen Aktivitäten ausgesetzt ist, wenn seine betrügerischen Zahlungen in drei aufeinanderfolgenden Monaten 500.000 ¥ überschreiten.

Unternehmen mit hohem Risiko sind alle Unternehmen, die hauptsächlich digitale Produkte anbieten, wie Online-Spiele, Haushaltsgeräte, elektronisches Geld, Tickets und Buchungsdienste für Unterkünfte. Unternehmen mit hohem Risiko und Unternehmen mit hohem Auftreten betrügerischer Aktivitäten müssen zusätzliche Maßnahmen ergreifen.

Bis zu Version 5.0 mussten Unternehmen, die in der Vergangenheit betrügerischen Aktivitäten ausgesetzt waren, mindestens zwei der vier in den Sicherheitsrichtlinien für Kreditkarten beschriebenen Maßnahmen umsetzen. Unternehmen mit hohem Risiko mussten mindestens eine ergreifen. Zu diesen Maßnahmen gehören die Authentifizierung des/der Karteninhabers/in, die Verifizierung der Karten, die Attribut- und Verhaltensanalyse sowie die Verifizierung der Lieferadresse.

Ab Version 6.0 sind Unternehmen jedoch nun verpflichtet, zusätzliche und geeignete Maßnahmen oder erweiterte, auf einem mehrschichtigen Ansatz basierende Maßnahmen umzusetzen. Dieser Ansatz sollte auf den tatsächlichen durch den Betrug verursachten Schaden und die verwendeten spezifischen Methoden zugeschnitten sein. Diese Änderung der Richtlinien ist auf die verschiedenen Produkte und Dienstleistungen zurückzuführen, die Unternehmen anbieten können, sowie auf die verschiedenen Methoden, mit denen Betrüger Konten erstellen oder übernehmen können.

Unternehmen, die Transaktionen per Post/Telefon Bestellung (MO/TO) abwickeln

„MO/TO“ ist ein Begriff, der in Japan häufig für Bestellungen per Post (Mail Orders, MO) und telefonischen Bestellungen (Telephone Orders, TO) verwendet wird. D. h. MO/TO-Unternehmen wickeln Kartenzahlungen per Telefon oder Post ab.

Viele Unternehmen, die MO/TO-Transaktionen abwickeln, sind auch im E-Commerce tätig. Daher wurden die vier Maßnahmen für MO/TO-Unternehmen, die in den Richtlinien bis Version 5.0 enthalten waren, überarbeitet. Die folgenden Maßnahmen sind für MO/TO-Unternehmen in Version 6.0 weiterhin erforderlich:

• Aufbau eines Systems zur Autorisierung
  
• Sorgfaltspflicht als qualifizierte Führungskraft, wie im Geschäftsvertrag festgelegt
  
• Integration von Maßnahmen bei nicht persönlichen Transaktionen gegen betrügerische Nutzung, je nach Risiko und entstandenem Schaden
  

Unternehmensunterstützung

Kreditkartenanbieter und Zahlungsdienstleister müssen Informationen und Support zu den Maßnahmen gegen Schwachstellen bereitstellen, die E-Commerce-Unternehmen implementieren sollten.

Darüber hinaus müssen Systemanbieter und andere Unternehmen bei der Erstellung und Konfiguration von E-Commerce-Websites die vorgegebenen Maßnahmen gegen Schwachstellen durchführen. Beim Betrieb und der Pflege der Websites sind sie auch zur Beratung und zum Support der E-Commerce Unternehmen verpflichtet.

PIN-Eingabe für Kartenzahlungen

Seit April 2025 müssen Unternehmen, die persönliche Transaktionen durchführen, die Kundschaft bei Kartenzahlungen nicht mehr mit Unterschriften verifizieren. Stattdessen müssen sie die Kundinnen und Kunden zur Eingabe ihrer PINs auffordern.

Schritte zur Erfüllung der Sicherheitsrichtlinien für Kreditkarten

Um zu verhindern, dass Kartendaten gestohlen und verwendet werden, sind verschiedene Maßnahmen erforderlich. Im Folgenden stellen wir die Abfolge der Ereignisse vor, die zum Diebstahl und zur betrügerischen Verwendung von Kartendaten führen. Anschließend erläutern wir die Maßnahmen, die in jeder Phase ergriffen werden sollten.

Um die Konformität mit Version 6.0 zu gewährleisten, müssen Unternehmen vielfältige Maßnahmen implementieren, die auf ihre Branche und Transaktionen zugeschnitten sind, und eine angemessene interne Organisationsstruktur einrichten.

Im Folgenden finden Sie einige konkrete Beispiele dafür, wie Unternehmen die Richtlinien einhalten können:

Aktuellen Status und Compliance Lücken bewerten

Der erste Schritt besteht darin, dass das Unternehmen sein Sicherheitsniveau und seine Position im Vergleich zu den Richtlinien in Version 6.0 bewertet. Diese Bewertung kann Unternehmen dabei helfen, Lücken zwischen ihren tatsächlichen Praktiken und den Vorschriften zu erkennen. Im Folgenden finden Sie einige Fragen, mit denen Unternehmen den aktuellen Status ihrer Kartendaten und ihren Maßnahmen zur Betrugsvorbeugung ermitteln können:

Maßnahmen zur Verhinderung von Diebstahl von Kartendaten

• Gibt es Einschränkungen für den Zugriff auf Verwaltungsbildschirme?
  
• Werden Administrator-IDs und Passwörter ordnungsgemäß verwaltet?
  
• Werden wichtige Dateien aus öffentlichen Verzeichnissen herausgehalten?
  
• Gibt es Schwachstellen in Web-Apps?
  
• Sind Anti-Malware-Maßnahmen vorhanden?
  
• Wurde Antivirensoftware bereitgestellt?
  
• Gibt es Maßnahmen zum Credit-Master-Schutz?
  

Maßnahmen zur Verhinderung der Verwendung von Kartendaten

• Wurde EMV 3D Secure implementiert?
  
• Bestehen Einschränkungen für den Zugriff von verdächtigen IP-Adressen?
  
• Wurde eine Zwei-Faktor- oder Multi-Faktor-Authentifizierung implementiert, um die/den Kundin/Kunden zu verifizieren?
  
• Wurde eine Begrenzung der Anzahl der Anmeldeversuche implementiert? Werden Kundenkonten nach einer bestimmten Anzahl fehlgeschlagener Anmeldeversuche gesperrt?
  
• Werden Änderungen an den Mitgliederinformationen (z. B. E-Mail-Adressen, Privatadressen, Telefonnummer) überprüft?
  
• Werden betrügerische Transaktionen auf der Grundlage von Risikobewertungen und unter Verwendung früherer Transaktionsdaten identifiziert (d. h. gibt es ein System zur Betrugserkennung)? eines Betrug)?
  
• Ist es möglich, Geräte mit Fingerabdruck zu identifizieren?
  

Prioritäten festlegen

Sicherheitsmaßnahmen sollten mehr sein als eine Kombination mehrerer Maßnahmen. Stattdessen sollten sie je nach Unternehmen und dessen Situation festgelegt werden. Unternehmen können ihren Risikograd analysieren, um anhand der obigen Liste zu bestimmen, welche individuellen Maßnahmen umgesetzt werden müssen. Dies kann Unternehmen dabei helfen, einen mehrschichtigen Ansatz zur Einhaltung der Maßnahmen zu verfolgen.

Regelmäßige Prüfungen und Mitarbeiterschulungen

Betrugsversuche werden immer ausgefeilter. Wenn Unternehmen neue Sicherheitsmaßnahmen einführen, entwickeln auch die Betrüger ihre Methoden weiter, um diese auszutricksen. Deshalb sind technische Maßnahmen, Unternehmensinitiativen und Mitarbeiterschulungen erforderlich. Darüber hinaus sollten die laufenden Prüfungen zur Unterstützung der anfänglichen Ermittlung des Risikos für betrügerische Aktivitäten herangezogen werden.

Welche Konsequenzen hat die Nichteinhaltung der Sicherheitsrichtlinien für Kreditkarten?

Werden die Richtlinien nicht umgesetzt, kann dies schwerwiegende Auswirkungen auf den Betrieb eines Unternehmen haben. Die folgenden Risiken sind die Hauptrisiken der Nichteinhaltung:

Datenlecks und Vertrauensverlust

Die Offenlegungen persönlicher Daten kann die Vertrauenswürdigkeit eines Unternehmens untergraben, was durch die Berichterstattung in den Medien zum Verlust von Kundinnen und Kunden und zur Schädigung der Marke führen kann.

Finanzielle Verluste und Rückbuchungen

Rückbuchungen (oder Rücklastschriften) und Entschädigungszahlungen aufgrund von Betrug können insbesondere für kleine und mittlere Unternehmen eine erhebliche Belastung darstellen.

Verwaltungssanktionen oder Aussetzung der Geschäftstätigkeit

Stellt die Verwaltungsbehörde einen Verstoß gegen die Richtlinien fest, kann sie das Unternehmen dazu auffordern, Verbesserungsmaßnahmen einzuleiten oder dem Unternehmen vorübergehend die Genehmigung zur Geschäftstätigkeit entziehen.

Warum sollten Unternehmen kontinuierliche Sicherheitsmaßnahmen ergreifen?

Die Sicherheitsrichtlinien für Kreditkarten sind praktisch umsetzbare Richtlinien zur Vorbereitung auf sich ständig weiterentwickelnde Betrugsrisiken. Die Version 6.0 der Richtlinien erfordert die Compliance mit der Nicht-Aufbewahrung und mit PCI DSS (Payment Card Industry Data Security Standard, ein Sicherheitsstandard, der von dem Payment Card Industry Security Standards Council (PCI SSC entwickelt wurde). Außerdem erfordert Version 6.0 der Richtlinien die Einführung Maßnahmen gegen Schwachstellen, mit denen das jeweilige Unternehmen konfrontiert ist. Diese Gegenmaßnahmen basieren also auf einem Ansatz, der auf das Kerngeschäft zugeschnitten ist.

Unternehmen, die die Umsetzung dieser Maßnahmen verzögern oder vermeiden, könnten das Vertrauen ihrer Kundinnen und Kunden riskieren. Sie sind auch mit einer Bedrohung für die Zukunft des Unternehmens konfrontiert. Es empfiehlt sich, eine umfassende Zahlungsplattform zu verwenden, die PCI DSS erfüllt, wie z. B. Stripe Payments. Auf diese Weise kann Ihr Unternehmen schrittweise eine Umgebung aufbauen, die der neuesten Version der Richtlinien entspricht.