PCI-DSS-Stufen: Gewährleistung einer sicheren Zahlungsabwicklung

Kreditkartentransaktionen sind aus dem Geschäftsleben nicht mehr wegzudenken. Mit diesem Komfort geht jedoch eine wichtige Verantwortung einher: der Schutz sensibler Karteninhaberdaten. Angesichts der sich ständig weiterentwickelnden Cyberbedrohungen und der Schlagzeilen um Datenpannen müssen Unternehmen jeder Größe der Sicherheit ihrer Zahlungsinformationen höchste Priorität einräumen. 

Hier kommt der Payment Card Industry Data Security Standard (PCI DSS) ins Spiel. Es handelt sich um einen Regelsatz für Sicherheit, der für alle Unternehmen gilt, die Kreditkartenzahlungen abwickeln. Allerdings sind nicht alle Unternehmen gleich groß oder denselben Risiken ausgesetzt.

Als Händler hängen Ihre spezifischen Compliance-Anforderungen von Ihrer PCI-DSS-Händlerstufe ab. Unabhängig davon, ob Sie Millionen oder nur einige Tausend Transaktionen abwickeln: Die Kenntnis Ihrer PCI-DSS-Händlerstufe ist der erste Schritt zu einem effektiven Schutz von Karteninhaberdaten.

In diesem Artikel erläutern wir die vier PCI-DSS-Händlerstufen (auch PCI-Konformitätsstufen genannt), deren Notwendigkeit und wie Sie die jeweilige Stufe für Ihr Unternehmen ermitteln können. Außerdem geben wir Ihnen Einblicke in den Selbstbewertungsfragebogen (SAQ).

Was sind die PCI-Konformitätsstufen?

Die PCI-Konformitätsstufen kategorisieren Händler anhand ihres Geschäftsvolumens, d. h. der Anzahl der jährlich abgewickelten Transaktionen. Grundsätzlich werden Unternehmen in vier PCI-Händlerstufen eingeteilt, wobei die Anforderungen mit zunehmender Größe und Komplexität der Geschäftstätigkeit steigen. Unternehmen der Stufe 1 müssen die umfangreichsten Maßnahmen zur Sicherstellung der Konformität umsetzen, während der Prozess für Unternehmen der Stufe 4 zur PCI-DSS-Konformität vergleichsweise einfacher ist. Die aktuelle Version, PCI DSS 4.0 , definiert diese Anforderungen. Die schrittweise Einführung hat die Anforderungen an Verschlüsselung, Authentifizierung und Geltungsbereich für alle vom Standard abgedeckten Händlerstufen deutlich erhöht.

Die vier PCI-Konformitätsstufen sind wie folgt:

• Niveau 1: Über 6 Millionen jährliche Kartentransaktionen
• Niveau 2: 1 zu 6 Millionen Transaktionen jährlich
• Niveau 3: 20,000 bis 1 Million E-Commerce Transaktionen jährlich
• Niveau 4: Weniger als 20,000 E-Commerce-Unternehmen Transaktionen oder bis zu 1 Million reguläre Transaktionen jährlich

Lesen Sie weiter, um mehr über die PCI-DSS-Konformitätsstufen und die Anforderungen im weiteren Verlauf des Artikels zu erfahren.

Warum müssen Organisationen die PCI-DSS-Konformitätsstufen einhalten?

Die PCI-Stufen für Händler beschreiben die Anforderungen, die ein Unternehmen erfüllen muss, um PCI-DSS-konform zu werden bzw. zu bleiben. Leider verfügt der PCI Council, die Aufsichtsbehörde für PCI DSS, nicht über die Ressourcen, um jedes Unternehmen zu prüfen, das Kartenzahlungsdaten verarbeitet, speichert oder übermittelt.

Im Falle einer Datenschutzverletzung prüft der PCI-Rat die betroffene Organisation und verifiziert, ob alle aufgeführten Anforderungen zur Gewährleistung von Datenintegrität und -sicherheit erfüllt wurden. Werden Verstöße festgestellt, werden hohe Verwaltungsstrafen verhängt. In manchen Fällen wird der Zugriff auf die Verarbeitung kartenbasierter Transaktionen entzogen.

Die PCI-DSS-Konformitätsstufen unterstützen Unternehmen bei der Klassifizierung und listen die Sicherheitsanforderungen und -richtlinien auf, die für die Erfüllung bzw. Aufrechterhaltung der Konformität erforderlich sind. Die zugrunde liegenden PCI-DSS-Kontrollen umfassen zwölf Anforderungsbereiche: Netzwerksicherheit, Schutz von Karteninhaberdaten, Schwachstellenmanagement, Zugriffskontrolle, Überwachung und Sicherheitsrichtlinien. Jede Konformitätsstufe legt fest, wie streng die einzelnen Kontrollen im Rahmen der Bewertung nachgewiesen werden müssen.

Wie lässt sich feststellen, ob man ein PCI-DSS-Händler oder ein Dienstleister ist? 

Um Ihre PCI-DSS-Konformitätsanforderungen und -verantwortlichkeiten zu ermitteln, ist es entscheidend zu wissen, ob Ihr Unternehmen ein Händler oder ein Dienstleister ist. Jede Kategorie hat ihre eigenen Konformitätsstufen und spezifischen Verpflichtungen im Rahmen des PCI-DSS-Systems.

1. Kaufleute:

Sie gelten als Händler, wenn Ihr Unternehmen direkt Kartenzahlungen von Kunden mit einer der fünf großen Kartenmarken (American Express, Discover, JCB, MasterCard oder Visa) akzeptiert.

2. Dienstleister:

Sie gelten als Dienstleister, wenn Ihr Unternehmen keine Zahlungskartenmarke ist, aber im Auftrag von Händlern Karteninhaberdaten verarbeitet, speichert oder übermittelt. Zu dieser Kategorie gehören auch Unternehmen, deren Dienstleistungen die Sicherheit von Karteninhaberdaten beeinträchtigen könnten, wie beispielsweise Anbieter von Managed Firewalls oder Hosting-Diensten.

Hier sind einige wesentliche Unterschiede zwischen den beiden:

Kundenbeziehung : Händler interagieren direkt mit Karteninhabern, während Dienstleister typischerweise mit Händlern oder anderen Unternehmen interagieren.

Zahlungsabwicklung : Händler nehmen Zahlungen entgegen, während Dienstleister den Zahlungsprozess erleichtern oder absichern.

Schwerpunkt Compliance : Händler konzentrieren sich auf die Sicherung ihrer eigenen Zahlungsumgebungen, während Dienstleister sicherstellen müssen, dass ihre Dienste die Sicherheit der Daten mehrerer Kunden nicht gefährden.

Verantwortungsbereich : Der Verantwortungsbereich eines Händlers gemäß PCI DSS beschränkt sich in der Regel auf seine eigenen Geschäftstätigkeiten, während sich der Verantwortungsbereich eines Dienstleisters auf mehrere Kunden und komplexe Datenflüsse erstrecken kann.

Was sind die 4 PCI-DSS-Level?

Der Dachverband der großen Kreditkartenunternehmen wie American Express, Discover Financial Services, MasterCard und Visa hat die 12 Anforderungen für Händler, die Zahlungskarten verarbeiten, entwickelt. 

Kaufleute

Diese PCI-Kategorien für Händler lassen sich in vier PCI-Händlerstufen unterteilen:

• PCI Level 1 – Organisationen, die jährlich über 6 Millionen Transaktionen verarbeiten.
  • Jährliche Vor-Ort-Prüfung durch einen qualifizierten Sicherheitsgutachter (QSA)
• PCI Level 2 – Organisationen, die jährlich zwischen 1 und 6 Millionen Transaktionen verarbeiten
  • Jährlicher Selbstbeurteilungsfragebogen (SAQ)
• PCI Level 3 – Organisationen, die jährlich zwischen 20,000 und 1 Million Transaktionen verarbeiten, und alle E-Commerce-Händler
  • Jährlicher Selbstbeurteilungsfragebogen (SAQ)
• PCI Level 4 – Organisationen, die weniger als 20,000 Transaktionen pro Jahr verarbeiten
  • Jährlicher SAQ (empfohlen, kann von einigen Erwerbern verlangt werden)

Lassen Sie uns die PCI-Händlerstufen besser verstehen:

PCI-Level 1

Verarbeitet ein Unternehmen mehr als sechs Millionen Transaktionen pro Jahr, gilt es als Unternehmen der Stufe 1. Diese Definition ist jedoch nur eine grobe Orientierung, da weitere Kriterien für die Einstufung als Stufe 1 relevant sind. Sie sind ein Unternehmen der Stufe 1, wenn mindestens eines oder alle der folgenden Kriterien erfüllt sind.

Hier finden Sie eine vollständige Liste, um festzustellen, ob Ihr Unternehmen ein Unternehmen der Stufe 1 ist:

• Sie verarbeiten jährlich über 6 Millionen VISA-, MasterCard- und Discover-Transaktionen.
• Sie verarbeiten jährlich über 2.5 Millionen Transaktionen von American Express.
• Sie verarbeiten jährlich über 1 Million JCB-Transaktionen.
• Sie wurden von keinem anderen Kartenanbieter als Unternehmen der Stufe 1 eingestuft.
• Sie sind in der jüngsten Vergangenheit Opfer eines Cybersicherheitsvorfalls geworden, der zum Verlust von Kundendaten geführt hat.

Ein weit verbreiteter Irrtum ist, dass Unternehmen der Stufe 1 Transaktionen aktiv verarbeiten müssen. Das stimmt so nicht. Auch Unternehmen, die Transaktionsinformationen lediglich speichern, müssen die Anforderungen der Stufe 1 erfüllen.

Firewall-Dienstleister, Cloud-Speicher-Dienstleister und andere, die passiv daran teilnehmen, fallen unter diesen Geltungsbereich.

PCI-Level 2

Unternehmen, die jährlich 1 bis 6 Millionen Transaktionen abwickeln, werden aus Gründen der Einfachheit und Bequemlichkeit als Unternehmen der Stufe 2 eingestuft.

Wie Level 1 hat auch Level 2 weitere Qualifikationskriterien. Hier ist die Liste:

• Sie verarbeiten jährlich 1 bis 6 Millionen kartenbasierte Transaktionen mit VISA, MasterCard und Discover.
• Sie verarbeiten jährlich zwischen 50,000 und 2.5 Millionen Transaktionen von American Express.
• Sie verarbeiten weniger als 1 Million JCB-Transaktionen pro Jahr.

Sprinto hilft Ihnen, alle Ihre PCI-Kontrollen zentral abzubilden und Ihren Compliance-Status kontinuierlich zu überwachen. Bestehen Sie vierteljährliche Scans und Audits problemlos. Mit Sprinto erhalten Sie:

Netzwerk qualifizierter QSA- und ROC-Auditoren

PCI-DSS-Programm auf Auditor-Niveau

Geprüfte Anbieter für PCI-Schwachstellenscans

PCI-Level 3

Im allgemeinen Sprachgebrauch verarbeitet ein Unternehmen der Stufe 3 weniger als 1 Million Transaktionen pro Jahr. Wie bei den anderen beiden Stufen gibt es jedoch zusätzliche Kriterien für ein Unternehmen der Stufe 3, die Sie kennen sollten.

Beispielsweise sind Sie ein Unternehmen der Stufe 3, wenn:

• Sie verarbeiten bis zu 1 Million VISA-basierte E-Commerce-Transaktionen pro Jahr.
• Sie verarbeiten weniger als 20,000 MasterCard-basierte E-Commerce-Transaktionen pro Jahr und insgesamt weniger als 1 Million MasterCard-Transaktionen pro Jahr.
• Sie verarbeiten jährlich 20,000 bis 1 Million Discover-basierte E-Commerce-Transaktionen. 
• Sie verarbeiten jährlich weniger als 50,000 American Express-Transaktionen.

Wussten Sie, dass JCB den Level-3-Status nicht ausweist? Organisationen, die weniger als 1 Million JCB-Transaktionen pro Jahr verarbeiten, müssen die PCI-DSS-Level-2-Anforderungen erfüllen.

PCI-Level 4

Unternehmen, die weniger als 20,000 E-Commerce-Transaktionen mit VISA oder Mastercard pro Jahr oder insgesamt weniger als 1 Million Transaktionen mit VISA oder Mastercard pro Jahr abwickeln, werden als Unternehmen der Stufe 4 eingestuft. 

Wichtig ist, dass ein Unternehmen, um den Status der Stufe 4 aufrechtzuerhalten, in der jüngsten Vergangenheit weder Opfer eines Datenlecks noch eines Datendiebstahls geworden sein darf.

Schau dir dieses Video an, um die Level besser zu verstehen.

Sprinto definiert für jede Stufe Schutzmechanismen, um sicherzustellen, dass Sie die korrekten Maßnahmen ergreifen und unzulässige vermeiden. Durch ein robustes, kontinuierlich überwachtes PCI-DSS-Compliance-Programm können Sie Kartendatenumgebungen sicher verwalten und die PCI-Standards mühelos einhalten. Sprechen Sie noch heute mit unseren Experten.

Dienstleister 

Der Payment Card Industry Data Security Standard (PCI DSS) teilt Zahlungsdienstleister in zwei Kategorien ein, hauptsächlich basierend auf dem jährlichen Transaktionsvolumen. Diese Kategorisierung legt die spezifischen Compliance-Anforderungen fest, die jeder Anbieter erfüllen muss, um die Sicherheit von Karteninhaberdaten zu gewährleisten. 

PCI-Level 1 

Stufe 1 ist Dienstleistern vorbehalten, die jährlich mehr als 300,000 Kartentransaktionen speichern, verarbeiten oder übermitteln. Diese Organisationen unterliegen aufgrund des erheblichen Volumens an sensiblen Daten, die sie verarbeiten, den strengsten Compliance-Anforderungen.

Die Einhaltung der Vorschriften für Anbieter der Stufe 1 beinhaltet eine umfassende jährliche Bewertung durch einen qualifizierten Sicherheitsgutachter (QSA), die in einem Konformitätsbericht (ROC) resultiert. 

Dies wird durch vierteljährliche Netzwerk-Scans ergänzt, die von einem zugelassenen Scan-Anbieter (ASV) durchgeführt werden. Darüber hinaus müssen diese Anbieter regelmäßig Penetrationstests und interne Schwachstellenanalysen durchführen, um die Wirksamkeit robuster Sicherheitsmaßnahmen zu gewährleisten.

PCI-Level 2 

Dienstleister, die jährlich weniger als 300,000 Kartentransaktionen abwickeln, fallen in die Kategorie Stufe 2. Obwohl ihre Compliance-Anforderungen etwas weniger streng sind als die der Stufe 1, unterliegen sie dennoch erheblichen Verpflichtungen zum Schutz von Karteninhaberdaten.

Anbieter der Stufe 2 sind verpflichtet, jährlich einen Selbstbewertungsfragebogen D (SAQ D-Dienstleister) auszufüllen. Dabei handelt es sich um ein umfassendes Dokument, das speziell für Dienstleister entwickelt wurde. 

Wie ihre Pendants der Stufe 1 müssen auch sie vierteljährliche Netzwerk-Scans durch einen ASV durchführen lassen und regelmäßig Penetrationstests und interne Schwachstellenscans durchführen.

Wie können Händler ihren PCI-DSS-Level bestimmen?

Wenn Sie sich über den Umfang der Transaktionen in Ihren Geschäftsprozessen noch nicht sicher sind, können Sie eine interne Prüfung der letzten 52 Wochen durchführen und diese Daten untersuchen, um zu einem Schluss zu gelangen. 

Sie können für diese Aufgabe auch einen externen Auditor beauftragen , um sicherzustellen, dass keine Daten übersehen werden und die Schlussfolgerung zu Ihrem PCI DSS Level korrekt ist.

Das Letzte, was Sie wollen, ist, durch die Umsetzung falscher PCI-DSS-Konformitätsanforderungen die Konformität zu verlieren.

Was ist ein Selbstbewertungsfragebogen für Händler?

Das Ausfüllen eines Selbstbewertungsfragebogens (SAQ) ist ein obligatorischer Schritt im PCI-Compliance-Prozess. Wie ein Unternehmen den SAQ ausfüllt, hängt jedoch von der Art der verarbeiteten Transaktionen ab. Beispielsweise muss ein Unternehmen, das E-Commerce-Transaktionen verarbeitet und keine Karteninformationen in seiner Geschäftsumgebung speichert, verarbeitet oder übermittelt, den SAQ-A ausfüllen. Der SAQ-B hingegen ist für Händler vorgesehen, die keine elektronischen Datenspeicher führen und für ihre Transaktionen ein kabelgebundenes Terminal verwenden.

SAQs und Händlerebenen

Je nach Art der Transaktionen in Ihrem Geschäftsprozess müssen Sie einen SAQ ausfüllen. Die folgende Infografik veranschaulicht die verschiedenen Arten von SAQs und hilft Ihnen, den für Ihr Unternehmen relevanten Fragebogen zu identifizieren. 

Um PCI-DSS-konform zu werden, muss jede Organisation, die Kartentransaktionen verarbeitet, einen SAQ ausfüllen, vierteljährliche Scans ihrer Geschäftsumgebungen durchführen und eine Konformitätsbescheinigung (AOC) erstellen.

Ein Unternehmen der Stufe 1 muss seine Bewertungen entweder von einem externen QSA (Qualified Security Assessor) oder einem ISA (Internal Security Assessor) durchführen lassen. Der Prüfer beurteilt den Umfang der Einhaltung der Vorschriften und bewertet, ob die Anforderungen erfüllt und die notwendigen Kontrollen und Richtlinien implementiert sind.

Nach dem Audit erstellen sie einen Konformitätsbericht (Report Of Compliance, ROC), der dann dem PCI Council zur Genehmigung vorgelegt wird.

Für Unternehmen der Stufen 2 bis 4 ist der Prozess weniger aufwendig als für Unternehmen der Stufe 1. Unternehmen der Stufen 2 bis 4 können ihre Bewertung selbst durchführen. Organisationen der Stufe 2 müssen jedoch weiterhin einen ROC (Return on Contributions) vorlegen.

Sprinto unterstützt Sie beim Ausfüllen eines von neun Sicherheitsbewertungsfragebögen (SAQ), je nachdem, wie Sie Karteninhaberdaten verarbeiten. Arbeiten Sie mit den Experten von Sprinto zusammen, um Ihre SAQ-Pflichten zu erfüllen. Jetzt eine Demo anfordern.

Erfahren Sie, wie Sprinto Ihnen dabei helfen kann, PCI DSS-konform zu werden.

Der PCI-DSS-Konformitätsprozess ist umfassend und zeitaufwändig. Hunderte von Kontrollen müssen basierend auf Ihren Geschäftsanforderungen und -prozessen implementiert werden. Dies selbst durchzuführen, kann zu Nichteinhaltung der Vorschriften, Produktivitätsverlusten und hohen Kosten führen.

 Haben wir schon erwähnt, dass die Möglichkeit besteht, dass Sie trotz all der Mühe, des Zeitaufwands und der finanziellen Ressourcen, die Sie für die PCI-Konformität Ihres Unternehmens aufgewendet haben, am Ende nicht konform sind?

Gibt es einen einfacheren Weg, das anzugehen? Ja, den gibt es – den Sprinto-Weg.

Sprinto wurde speziell entwickelt, um alle monotonen und zeitaufwändigen Aufgaben im Rahmen der PCI-DSS-Konformität zu automatisieren. Sprinto integriert sich nahtlos in Ihre Geschäftsumgebung und bietet Ihnen so einen umfassenden Überblick, um bestehende Schwachstellen zu identifizieren und zukünftige Risiken vorherzusagen. Dank des Automatisierungsprozesses von Sprinto übernehmen wir die komplexe Arbeit in Ihrem Compliance-Prozess, sodass Sie sich auf das Wesentliche konzentrieren können – Ihre Geschäftsentwicklung.

Das ist noch nicht alles. Nachdem Sie alle PCI-DSS-Anforderungen implementiert haben, unterstützt Sie Sprinto bei der kontinuierlichen Überwachung Ihrer Systeme, um Ihren Compliance-Status zu verfolgen und sicherzustellen, dass jeder neue kritische Fehler sofort behoben wird.

Sprechen Sie noch heute mit unseren Experten , um zu erfahren, wie Sprinto Ihnen den Weg zur Einhaltung der Vorschriften erleichtern kann.

Häufig gestellte Fragen