Wer sagt dir, dass die Leitung des Ladens weg ist und du nicht mehr kassieren kannst?
Kurz gesagt
Fällt die Leitung aus, nimmt ein Zahlterminal weiter an: Es speichert die Zahlung und leitet sie später weiter, sodass der Fehler an der Kasse unsichtbar bleibt und erst Tage danach auffällt, beim Abgleich. Die Leitung, das Terminal, das Zertifikat und die Uhrzeit lassen sich alle beobachten. Was die Zahlung bei der Bank gemacht hat, nicht.
Die Geschichte, die in der Branche erzählt wird, hat immer dieselbe Form. Es ist das Ende des Abendessens oder das Ende der Schlange, und jemand muss den Kunden fragen, ob er seine Kartennummer bitte auf einen Zettel schreiben würde. Was auch immer technisch passiert ist: Das ist der Moment, in dem der Ausfall zu einem Geschäftsproblem wird — und fast immer ist es der erste Moment, in dem überhaupt jemand davon wusste.
Warum merkt es an der Kasse niemand?
Weil die Geräte darauf ausgelegt sind, keine Szene zu machen. Ein Zahlterminal, das den Acquirer nicht erreicht, ist in der Regel so gebaut, dass es weiter Zahlungen annimmt: Es speichert sie und leitet sie weiter, sobald die Leitung zurück ist. Das ist eine sinnvolle Bauweise — sie hält den Laden durch einen Ausfall von fünf Minuten hindurch am Verkaufen — und genau deshalb bleibt ein Ausfall von einer Stunde unsichtbar, bis er teuer wird.
Dann passieren zwei Dinge ausserhalb deines Blickfelds. Die gespeicherten Transaktionen sind keine Autorisierungen: Ein Teil davon kann Tage später abgelehnt zurückkommen, wenn der Kunde längst weg ist. Und der Speicher hat eine Obergrenze; ist sie erreicht, bleibt das Terminal wirklich stehen, meistens im denkbar schlechtesten Moment.
Derweil druckt die Kasse weiter, der Bildschirm leuchtet weiter, und nirgends sagt etwas das Wort «offline» laut genug, dass man es an einer Kasse im Gedränge hören würde.
Was lohnt sich zu beobachten, und was beweist jede Prüfung?
Fünf Dinge: die Leitung, das Zahlungs-Gateway und die Kasse, die Zertifikate, die Uhr und die Adresse, mit der der Laden ins Internet geht — und jede dieser Prüfungen beweist genau eine Sache, nicht mehr.
- Die Leitung selbst, von aussen und von innen. Von aussen erfährst du, dass der Laden nicht erreichbar ist; von innen sagt dir eine kleine Sonde im Netzwerk des Ladens, ob die ganze Leitung weg ist oder nur ein Gerät. Das sind zwei verschiedene Probleme mit zwei verschiedenen Telefonaten.
- Das Zahlungs-Gateway und die Kasse, als Dinge, die antworten müssen: erreichbar, auf dem erwarteten Port, innerhalb der erwarteten Zeit.
- Die Zertifikate, mit heruntergezählten Tagen. Das ist der Ausfall, der sich vollständig vermeiden lässt und trotzdem jedes Jahr passiert: Ein Gerät, das die ganze Woche lief, verweigert am Samstag den Start, weil über Nacht ein Zertifikat abgelaufen ist. Die Warnungen sollten Wochen vorher beginnen und lauter werden — eine Nachricht, dann ein Anruf — und sie sollten jeden Tag wiederkommen, sobald das Datum vorbei ist.
- Die Uhr. Ein Terminal oder eine Kasse mit abgedrifteter Zeit druckt auf jeden Beleg die falsche Uhrzeit. Das ist für niemanden ein Notfall — bis zu dem Tag, an dem jemand eine Transaktion einer Kameraaufnahme oder einer Reklamation zuordnen muss.
- Die Adresse, mit der der Laden ins Internet geht. Wenn sie sich ändert, hat sich etwas geändert: Meistens ist die Hauptleitung ausgefallen und die Ersatzverbindung hat übernommen. Der Verkauf läuft weiter, leise, über eine Verbindung, die langsamer und nach Volumen abgerechnet sein kann — und das willst du am selben Tag wissen, nicht auf der Rechnung.
Wenn die Leitung stirbt, wer sagt es dir dann noch?
Das ist der ehrliche Haken an der Beobachtung von innen. Eine Sonde, die im Netzwerk des Ladens sitzt, kann nicht melden, dass das Netzwerk des Ladens weg ist — sie kommt nicht hinaus. Zwei Dinge müssen das auffangen.
Erstens muss die Plattform die Stille bemerken: Eine Sonde, die aufhört zu melden, ist selbst ein Alarm, und das macht aus «wir hören nichts» ein «der Laden ist offline». Zweitens darf die Sonde die Minuten nicht verlieren, die sie allein verbracht hat: Ihre Ergebnisse sollten lokal gespeichert bleiben, solange die Verbindung fehlt, und nachgeliefert werden, sobald sie zurück ist — damit der Verlauf des Ausfalls erhalten bleibt und du genau siehst, wann er begonnen hat, statt zu raten.
Was du diese Woche tun kannst
- Leg fest, wer den Anruf bekommt. Ein Name, die Person, die den Laden aufschliesst, und ein echter Telefonanruf statt einer E-Mail.
- Beobachte die Leitung von beiden Seiten — von ausserhalb des Ladens und von einer Sonde darin —, damit du einen Ausfall von einem defekten Gerät unterscheiden kannst.
- Setz die Zertifikate der Zahlgeräte und der Kasse auf einen Countdown. Das ist geschenktes Geld.
- Vergleiche die Uhrzeit von Kasse und Terminal mit einer verlässlichen Uhr. Schreib auf, was du gefunden hast.
- Wenn es eine Ersatzverbindung gibt, sorg dafür, dass dir der Wechsel darauf mitgeteilt wird und du ihn nicht selbst entdeckst.
An den Ausfall, den du in zwölf Minuten behoben hast, erinnert sich niemand. Daran, die eigene Kartennummer auf einen Zettel schreiben zu müssen, erinnern sich alle.
Was wir dir nicht sagen können
- Wir können dir nicht sagen, dass eine Zahlung verbucht wurde: Was zwischen dem Terminal und der Bank passiert, liegt ausserhalb von allem, was wir erreichen können, und wir tun nicht so, als wäre es anders.
- Wir können nicht sehen, wie viele gespeicherte Transaktionen in einem Terminal warten oder was der Tagesabschluss mit ihnen gemacht hat: Kein Standard gibt das preis.
- Wir können das Kartenlesegerät selbst nicht sehen, sondern nur, ob das antwortet, wovon es abhängt — die Leitung, das Gateway, die Kasse, das Zertifikat.
- Wir können eine tote Leitung nicht reparieren: Wir sagen dir, dass sie tot ist, in welcher Minute sie ausgefallen ist und ob es die Leitung ist oder nur ein Gerät daran.
Fragen, die wirklich gestellt werden
Wenn die Leitung ausfällt, hört das Terminal dann auf zu arbeiten?
Meistens nicht, und genau das ist die Schwierigkeit. Zahlterminals sind darauf gebaut, einen Leitungsausfall zu überstehen: Sie speichern die Transaktion und leiten sie weiter, sobald die Verbindung zurück ist. An der Kasse sieht alles normal aus. Das Problem taucht später auf, wenn ein Teil dieser gespeicherten Zahlungen abgelehnt zurückkommt und die Karte längst weg ist.
Wie soll der Laden es dann merken?
Nicht über die Kasse, die sich genau so verhält, wie sie es soll. Von ausserhalb: etwas, das die Leitung und das Zahlungs-Gateway jede Minute prüft und sich in dem Moment meldet, in dem sich die Antwort ändert. In einem Laden ist der nützliche Alarm keine E-Mail — es ist eine Nachricht auf einem Telefon, das ohnehin schon jemand in der Hand hat.
Was fällt an einem Samstag tatsächlich aus?
Drei Dinge, in dieser Reihenfolge: der Internetanschluss, das ist der laute Fall; ein abgelaufenes Zertifikat, das ein Gerät beim nächsten Neustart stehen lässt und das sich Wochen vorher ankündigt für alle, die die Tage mitzählen; und die Uhr, die leise die falsche Zeit auf die Belege schreibt und den Abgleich des Tages schwierig macht.
Wir haben eine Ersatzverbindung. Reicht das nicht?
Es reicht, um weiter zu verkaufen, nicht, um Bescheid zu wissen. Ein Laden, der leise auf das Mobilfunknetz zurückgefallen ist, arbeitet langsamer, kostet manchmal mehr, und niemand merkt es, bis die Rechnung kommt. Wenn sich die öffentliche Adresse ändert, mit der ein Laden ins Internet geht, ist das sichtbar — und meistens ist es das erste Anzeichen dafür, dass die Hauptleitung weg ist.
Wer soll geweckt werden, und wie?
Für einen Laden ist die ehrliche Liste kurz: die Person, die aufschliesst. Ein Telefonanruf ist der einzige Kanal, der nicht davon abhängt, dass jemand auf einen Bildschirm schaut, und er sollte die Zeiten respektieren, in denen der Laden geschlossen ist. Alles andere — Chatnachricht, E-Mail — ist fürs Protokoll und für den Morgen.