Der auf einer Kreditkarte gedruckte oder geprägte MM/JJ-Code bezeichnet das Ablaufdatum im Format Monat/Jahr. Zwei Ziffern für den Monat, zwei für das Jahr, getrennt durch einen Schrägstrich oder ein Leerzeichen, je nach Herausgeber. Die Karte bleibt bis zum letzten Tag des angegebenen Monats verwendbar. Danach lehnt das Interbankennetzwerk systematisch jede Anforderung zur Genehmigung ab.
Regulatorischer Status des MM/JJ im PCI DSS 4.0 Standard
Das Ablaufdatum ist nicht nur ein praktischer Anhaltspunkt für den Karteninhaber. Für Händler und Zahlungsdienstleister stellt es ein Element von Cardholder Data (CHD) dar, sobald es zusammen mit der Kartennummer (PAN) gespeichert wird, im Sinne des nun vollständig in Kraft tretenden PCI DSS 4.0 Standards.
Konkret muss jeder Akteur, der das Ablaufdatum in Verbindung mit der PAN speichert, diese Speicherung rechtfertigen, den Zugang einschränken und die durch den Standard auferlegten Schutzkontrollen anwenden. Eine E-Commerce-Website, die das Paar PAN + MM/JJ ohne konforme Verschlüsselung speichert, setzt sich einem PCI-Nichtkonformitätsrisiko aus, mit finanziellen Strafen und dem möglichen Verlust des Rechts, Kartenzahlungen zu akzeptieren.
Wir beobachten, dass die meisten Artikel für die breite Öffentlichkeit das MM/JJ ausschließlich aus der Perspektive des Zahlungsformulars behandeln. Sie ignorieren diese regulatorische Dimension, obwohl sie direkt jeden Entwickler betrifft, der ein Zahlungsmodul integriert, und jeden technischen Verantwortlichen einer Handelswebsite. Für eine Erklärung des MM JJ auf einer Kreditkarte, die auf den täglichen Gebrauch ausgerichtet ist, bleibt das Thema zugänglich, aber die technische Schicht verdient es, bekannt zu sein.
MM/JJ und starke Authentifizierung: Was die DSP2 ändert
Bei einer Online-Zahlung ist das Feld MM/JJ Teil des Dreiklangs, der an den Dienstleister übermittelt wird: Kartennummer, Ablaufdatum und visuelles Sicherheitsmerkmal (CVV). Dieses Trio reicht seit Inkrafttreten der europäischen Richtlinie über Zahlungsdienste (DSP2) nicht mehr aus, um eine Transaktion zu validieren.
Die starke Authentifizierung (SCA) erfordert mindestens zwei unterschiedliche Faktoren aus drei Kategorien: Wissen (Code, Passwort), Besitz (Telefon, physische Karte) und Inhärenz (Biometrie). Das MM/JJ gehört zum Besitz, ebenso wie das CVV. Für sich allein genommen decken sie nur einen Faktor ab.
Das Protokoll 3D Secure, in seiner aktuellen Version, wird genau eingesetzt, um diesen zweiten Faktor hinzuzufügen. Der Server der ausstellenden Bank löst eine zusätzliche Überprüfung aus (Push-Benachrichtigung, SMS-Code, Fingerabdruck), bevor die Genehmigung validiert wird. Das MM/JJ bleibt notwendig, um den Fluss zu initiieren, hat aber keine autonome Authentifizierungsbefugnis mehr.
Ausnahmen von der starken Authentifizierung
Einige Transaktionen entkommen der SCA, insbesondere wiederkehrende Zahlungen eines festen Betrags nach einer ersten starken Authentifizierung oder Transaktionen mit geringem Betrag. In diesen Fällen behält das MM/JJ eine direktere Validierungsrolle, da das System sich auf die statischen Daten der Karte verlässt, ohne einen zweiten Faktor erneut abzufragen.
EUDI-Wallet und Zukunft des MM/JJ-Codes auf Kreditkarten
Die Verordnung eIDAS 2.0, die auf europäischer Ebene angenommen wurde, sieht die Einführung des europäischen digitalen Identitätsportfolios (EUDI Wallet) vor. Dieses System wird es letztendlich ermöglichen, den Karteninhaber zu authentifizieren, ohne die auf dem physischen Träger gedruckten Daten zu übermitteln.
In diesem Szenario würde das MM/JJ einen Teil seiner aktuellen Funktion verlieren. Die Identität des Zahlers würde durch das digitale Wallet überprüft, nicht mehr durch die manuelle Eingabe des Ablaufdatums und des Sicherheitscodes. Die Rolle des MM/JJ würde sich dann auf das Management des Lebenszyklus der Karte beschränken (Erneuerung, Deaktivierung), ohne weiterhin als sicherheitsrelevante Information für Transaktionen zu fungieren.
Wir empfehlen den technischen Teams, den Fortschritt des EUDI-Rahmens zu verfolgen, da dieser die Art und Weise verändern wird, wie Zahlungsmodule Kartendaten sammeln und verarbeiten.
Ablaufende Karte und Sicherheit: Ein unterschätztes Risiko
Eine Karte, deren MM/JJ abgelaufen ist, kann nicht mehr für eine klassische Zahlung verwendet werden. Das Interbankennetzwerk lehnt sie ab. Allerdings bleiben bestimmte Daten der abgelaufenen Karte für Betrüger nutzbar, wenn die PAN und das CVV vor dem Ablauf kompromittiert wurden.
Die Gründe sind technischer Natur:
- Die Kartennummer (PAN) ändert sich bei einer Erneuerung nicht immer. Bei mehreren Herausgebern behält die neue Karte die gleiche PAN mit einem aktualisierten MM/JJ und CVV.
- Ein Angreifer, der über die PAN verfügt, kann versuchen, das neue Ablaufdatum durch Brute-Force zu erraten, da die Kombinationen begrenzt sind (einige Dutzend plausibler Monate multipliziert mit einigen Jahren).
- Auf nicht konformen Websites zur SCA oder solchen, die Ausnahmen genießen, kann diese Kombination ausreichen, um eine betrügerische Transaktion einzuleiten.
Die zuverlässigste Abhilfe besteht darin, bei der Erneuerung eine Änderung der PAN zu verlangen, wenn Sie eine frühere Kompromittierung vermuten. Die automatische Erneuerung garantiert keine neue Kartennummer.
Anzeigeformate des MM/JJ je nach Netzwerken
Das Format des Ablaufdatums variiert leicht je nach Herausgeber und Netzwerk:
- Visa und Mastercard zeigen in der Regel MM/JJ auf zwei Zeilen oder auf einer einzigen Zeile an, vorangestellt mit dem Hinweis “VALID THRU” oder “EXPIRES END”.
- American Express verwendet manchmal das Format MM/JJJJ (vier Ziffern für das Jahr) auf bestimmten Märkten, was bei der Eingabe in ein Formular, das zwei Ziffern erwartet, zu Verwirrung führen kann.
- Virtuelle Karten, die immer häufiger vorkommen, verwenden dasselbe Format, zeigen es jedoch nur in der Banking-App an, ohne physischen Träger.
Online-Zahlungsformulare akzeptieren manchmal MM/JJ, manchmal MM/JJJJ, manchmal zwei getrennte Felder. Ein Formatfehler (vier Ziffern für das Jahr in ein Feld eingeben, das zwei erwartet) führt zu einer sofortigen Ablehnung der Transaktion, die oft fälschlicherweise als Problem mit dem Limit oder einer gesperrten Karte interpretiert wird.
Der MM/JJ-Code bleibt trotz seiner scheinbaren Einfachheit ein technisches Glied, dessen Bedeutung über das einfache Zahlungsformular hinausgeht. Zwischen seinem Status als regulierte Information unter PCI DSS 4.0, seiner Rolle im Fluss der starken Authentifizierung und den Entwicklungen im Zusammenhang mit dem EUDI-Wallet wird seine Funktion voraussichtlich auf das Management des Lebenszyklus der Karte fokussiert, anstatt die Transaktionen zu sichern.
