Kreditkartengarantie im Hotel: So holt ihr sie sicher und PCI-konform ein

Kurz gesagt: Speichert Kreditkartendaten nicht selbst, weder im PMS noch in E-Mails oder auf Papier. Lasst die Karte von einem PCI-zertifizierten Zahlungsanbieter erfassen und tokenisieren. Euer Hotel arbeitet dann nur mit einem Token, über das der Anbieter bei No-Show oder Storno belasten kann. Den Prüfkartencode (CVV/CVC) dürft ihr nach der Autorisierung nie speichern.

Freitagabend, die Rezeption ist voll, und ein Gast diktiert am Telefon seine Kartennummer für die Garantie. Die Nummer landet auf einem Zettel, später im Bemerkungsfeld des PMS. So oder ähnlich läuft es in vielen Häusern. Genau diese Wege sind das Risiko: Jede Stelle, an der vollständige Kartendaten liegen, muss geschützt werden. In unseren Gesprächen mit Hoteliers hören wir deshalb oft denselben Wunsch: keine Kreditkartendaten mehr im PMS.

‍

Was verlangt PCI DSS von einem Hotel?

PCI DSS ist der Sicherheitsstandard der Kartenorganisationen. Er gilt für alle, die Kartendaten speichern, verarbeiten oder übertragen, also auch für Hotels. Herausgegeben wird er vom PCI Security Standards Council.

Zwei Punkte sind für den Hotelalltag besonders wichtig:

• Sensible Authentifizierungsdaten nie speichern. Laut PCI SSC dürfen diese Daten nach der Autorisierung nicht gespeichert werden, auch nicht verschlüsselt. Gemeint sind ausdrücklich der Prüfkartencode und die PIN (PCI SSC FAQ). Ein CVV auf dem Notizzettel oder im Reservierungsfeld ist also nicht erlaubt.
• Je weniger Systeme Kartendaten sehen, desto kleiner der Prüfumfang. Jedes System, das Kartennummern enthält, gehört zum Bereich, den ihr absichern und nachweisen müsst. Das betrifft das PMS, das E-Mail-Postfach und auch den Drucker an der Rezeption.

Welche Nachweise euer Haus konkret erbringen muss, legt euer Acquirer (die Bank, die eure Kartenzahlungen abwickelt) fest. Fragt dort nach, wenn ihr unsicher seid.

‍

Was bedeutet Tokenisierung?

Bei der Tokenisierung erfasst der Zahlungsanbieter die Kartennummer in seiner gesicherten Umgebung und gibt eurem System einen Ersatzwert zurück, den Token. Mit dem Token kann euer Hotel später über den Anbieter belasten. Die echte Kartennummer liegt aber nie bei euch.

Der PCI SSC beschreibt in seinen Tokenization Guidelines, dass Tokenisierung die Prüfung vereinfachen kann, weil weniger eigene Systeme mit Kartendaten in Berührung kommen. Wichtig: Die Pflicht, PCI DSS einzuhalten, entfällt damit nicht. Sie wird nur überschaubarer.

Für die Praxis heißt das: Der Gast gibt seine Karte in einem Formular des Zahlungsanbieters ein, zum Beispiel über einen Link in der Bestätigung oder im Online-Angebot. Bei euch kommt nur der Token an.

‍

Garantie, Vorautorisierung oder Zahlung: Was ist der Unterschied?

Diese drei Begriffe werden oft vermischt:

• Garantie: Die Karte wird als Sicherheit hinterlegt. Belastet wird nur, wenn der Gast nicht anreist oder zu spät storniert, und nur nach euren Stornobedingungen.
• Vorautorisierung: Ein Betrag wird auf der Karte reserviert. Er ist noch nicht abgebucht, steht dem Gast aber nicht mehr zur Verfügung. Ein Hotel berichtete uns, dass solche Reservierungen bei ihren Gästen bis zu 28 Tage bestehen blieben und Beschwerden auslösten. Wie lange eine Vorautorisierung gültig ist, hängt von Kartenorganisation und Acquirer ab. Klärt das mit eurem Zahlungsanbieter.
• Zahlung oder Anzahlung: Der Betrag wird tatsächlich abgebucht.

Für Ferienhotels mit langem Vorlauf ist eine frühe Vorautorisierung oft unpraktisch, weil sie den Kartenrahmen des Gastes über Wochen blockiert. Eine tokenisierte Garantie oder eine Anzahlung per Zahlungslink ist dann meist die gästefreundlichere Lösung.

‍

Wann ist ein Zahlungslink die bessere Wahl?

Einige Häuser haben uns erzählt, dass sie Garantien oder Anzahlungen lieber per Link nach der Buchungsbestätigung einholen. Das hat drei Vorteile: Die Kartendaten gibt der Gast selbst beim Zahlungsanbieter ein, eure Mitarbeitenden sehen sie nie, und der Gast bekommt sofort eine Bestätigung. Wie das in einem Hotelangebot aussehen kann, zeigt unser Beitrag über Anzahlungen per Link statt Überweisung.

Beachtet dabei: Für Online-Kartenzahlungen im EWR verlangt die Zahlungsdiensterichtlinie PSD2 in vielen Fällen eine starke Kundenauthentifizierung, etwa per Bestätigung in der Banking-App. Welche Ausnahmen bei späteren Belastungen aus einer Garantie greifen, regelt euer Zahlungsanbieter. Lasst euch das schriftlich erklären.

‍

Wie geht ihr mit Telefon- und E-Mail-Anfragen um?

Telefon und E-Mail sind die häufigsten Schwachstellen. Drei Regeln helfen:

1. Keine Kartennummern per E-Mail annehmen. Schickt dem Gast stattdessen einen Link zum Formular des Zahlungsanbieters.
2. Keine Kartendaten in Freitextfelder. Bemerkungsfelder im PMS sind dafür nicht gedacht und werden oft gedruckt oder exportiert.
3. Telefonische Angaben nicht notieren. Wenn ihr Karten am Telefon annehmen müsst, nutzt eine Eingabemaske eures Zahlungsanbieters direkt am Rechner, und erfasst den Prüfkartencode nur für die sofortige Autorisierung.

‍

Woran erkennt ihr einen passenden Zahlungsanbieter?

Stellt bei der Auswahl diese Fragen:

• Ist der Anbieter PCI-DSS-zertifiziert, und kann er den Nachweis vorlegen?
• Liefert er Tokens, die euer PMS oder euer Angebotstool speichern kann?
• Unterstützt er Garantie, Vorautorisierung und Zahlungslink, und wie lange gilt eine Vorautorisierung?
• Wie wird eine Zahlung oder Garantie in eurem PMS und in der Buchhaltung sichtbar?
• Welche Gebühren fallen an, und braucht ihr einen eigenen Vertrag mit einem Acquirer?

Wenn ihr gerade auch eure Angebotsprozesse überarbeitet, lohnt sich ein Blick auf die Frage, ob Angebote Zimmer blocken oder nach Live-Verfügbarkeit gelten. Garantie und Option hängen in der Praxis eng zusammen.

‍

Fazit

Die sicherste Kreditkartengarantie ist die, bei der euer Hotel die Kartennummer nie sieht. Ein PCI-zertifizierter Zahlungsanbieter erfasst die Karte, ihr arbeitet mit dem Token. Den Prüfkartencode speichert ihr nie. Prüft für euer Haus, ob eine Garantie, eine kurze Vorautorisierung vor Anreise oder eine Anzahlung per Link am besten passt, und klärt Haltedauer und Ausnahmen der starken Kundenauthentifizierung schriftlich mit eurem Anbieter.