Wer muss die PCI-DSS-Standards einhalten? Zahlungssicherheit erklärt

Wichtige Punkte

• PCI DSS ist ein globaler Cybersicherheitsstandard, der für alle Cloud-basierten Unternehmen gilt, die Karteninhaberdaten und sensible Authentifizierungsdaten speichern, übermitteln, akzeptieren oder verarbeiten. Abhängig vom jährlichen Visa-Transaktionsvolumen werden Unternehmen verschiedenen PCI-Konformitätsstufen (Stufen 1–4) zugeordnet.

• PCI DSS schützt zwei Arten von Daten: Karteninhaberdaten, zu denen der Name des Karteninhabers, die primäre Kontonummer, der Servicecode und das Ablaufdatum der Karte gehören, sowie sensible Authentifizierungsdaten, zu denen Kartenvalidierungscodes (CVV, CVC2, CAV2, CID), Tracking-Daten vom Magnetstreifen oder Kartenchip sowie PIN und PIN-Blöcke gehören.

• Der PCI DSS wurde vom PCI Security Standards Council, gegründet von fünf großen Kreditkartenunternehmen (MasterCard, Visa, American Express, Discover und JCB), eingeführt, um Cyberkriminelle daran zu hindern, auf persönliche Finanzdaten von Verbrauchern im gesamten Zahlungsverkehr zuzugreifen. Obwohl er nicht rechtsverbindlich ist, wird er von Finanzinstituten weltweit als Sicherheitsstandard zur Betrugsprävention angewendet.

Einführung 

Der Payment Card Industry Data Security Standard (PCI DSS) wurde vom PCI Security Standards Council (PCI SSC) entwickelt, um sensible Transaktionsdaten zu schützen und sie vor Cyberangriffen zu sichern. Das PCI SSC ist eine unabhängige Organisation, die 2006 von führenden Zahlungskartenunternehmen wie American Express, MasterCard, Visa, JCB International und Discover Financial Services gegründet wurde. Seine Hauptaufgabe ist die Überwachung der Entwicklung und des Ausbaus des PCI DSS. 

Der PCI DSS ist ein Satz von Sicherheitsstandards zum Schutz von Zahlungssystemen vor Finanzbetrug, Datenschutzverletzungen und dem Diebstahl von Karteninhaberdaten. Die wichtigsten Akteure der Zahlungskartenbranche benötigten eine Möglichkeit, ihre Sicherheitsanforderungen zu vereinheitlichen und zu standardisieren – daher die Entwicklung des PCI DSS.

Die neueste Version 4.0 wurde am 31. März 2022 veröffentlicht und schreibt automatisierte Mechanismen zur Phishing-Prävention vor. Die vorherige PCI-DSS-Version 3.2.1 verliert am 31. März 2024 ihre Gültigkeit – Sie haben also zwei Jahre Zeit, die neuen Anforderungen zu erfüllen. 

Für wen gilt PCI DSS? In diesem Artikel gehen wir detailliert auf den Sicherheitsstandard ein.

Für wen gilt PCI DSS?

Der PCI DSS gilt für eine Vielzahl von Unternehmen, die an der Zahlungskartenverarbeitung beteiligt sind; insbesondere müssen alle Organisationen, die Karteninhaberdaten speichern, verarbeiten und/oder übermitteln, den PCI DSS einhalten. Dies umfasst:

• Händler: Unternehmen, die Zahlungskarten für Waren oder Dienstleistungen akzeptieren.
• Emittenten: Finanzinstitute, die Zahlungskarten an Verbraucher ausgeben
• Acquirer: Banken, die Zahlungskartentransaktionen für Händler abwickeln.
• Zahlungsabwickler: Unternehmen, die Zahlungskartentransaktionen im Auftrag von Händlern oder Banken abwickeln.
• Der Standard umfasst sowohl technische als auch operative Systemkomponenten, die in Karteninhaberdatenumgebungen enthalten sind oder mit diesen verbunden sind.

Drittanbieter, die die Sicherheit von Zahlungskartendaten beeinträchtigen könnten, müssen ebenfalls die entsprechenden PCI-DSS-Anforderungen erfüllen.

PCI DSS gilt unabhängig von der Größe oder dem Transaktionsvolumen eines Unternehmens. Auch kleine Unternehmen mit geringem Transaktionsvolumen müssen die Vorgaben erfüllen.

Der Standard gilt für alle Zahlungskanäle, einschließlich:

• Persönliche Transaktionen
• Online-Zahlungen
• Telefonische Bestellungen
• Versandhandel

Wichtig ist, dass PCI DSS auch dann gilt, wenn ein Unternehmen keine Karteninhaberdaten speichert. Allein die Verarbeitung oder Übermittlung dieser Daten erfordert die Einhaltung der Vorschriften.

Um festzustellen, wie weit Sie hinsichtlich der PCI-DSS-Konformität fortgeschritten sind, prüfen Sie zunächst Ihre Eignung. Laden Sie den Fragebogen unten herunter:

Welche Art von Daten schützt PCI DSS?

Der PCI-Datensicherheitsstandard (PCI DSS) zielt darauf ab, sensible Authentifizierungsdaten und Karteninhaberdaten überall dort zu schützen, wo sie verarbeitet, gespeichert oder übertragen werden. Er umfasst CVV, Kartennummer, PAN und andere Informationen, die einen Angreifer mit den Bankdaten eines Nutzers in Verbindung bringen können. PCI-DSS-Kontrollen Diese Schutzmaßnahmen werden in 12 übergeordnete Anforderungen unterteilt, die Netzwerksegmentierung, Zugriffsmanagement, Verschlüsselung und Überwachung aller Systeme umfassen, die mit Karteninhaberdaten in Berührung kommen.

PCI DSS schützt zwei Arten von Daten:

Karteninhaberdaten

Enthält die vollständige primäre Kontonummer (PAN) zusammen mit dem Ablaufdatum, dem Namen des Karteninhabers und dem Servicecode.

PCI DSS Version 3.2 erlaubt die Speicherung von Karteninhaberdaten und schreibt nicht vor, dass diese unlesbar gemacht werden müssen. Es fordert jedoch, den Speicherbedarf zu minimieren und klare Richtlinien für die Datenlöschung und -aufbewahrung zu implementieren. 

Sensible Authentifizierungsdaten

Beinhaltet PIN und PIN-Blöcke, Kartenvalidierungscodes (CVC2, CVV, CAV2, CID) und Tracking-Daten von einem Kartenchip oder Magnetstreifen.

PCI DSS Version 3.2 schreibt vor, dass sensible Authentifizierungsdaten nicht gespeichert werden dürfen, selbst wenn sie verschlüsselt sind. Nach erfolgter Autorisierung dürfen diese Daten nicht wiederhergestellt werden.

PAN-Daten dürfen zwar gespeichert werden, müssen aber an jedem Speicherort, wie z. B. Protokollen, Sicherungsdateien und portablen digitalen Datenträgern, unlesbar sein. Gemäß PCI SS können Sie Einweg-Hashes, Kürzungen, Indextoken und -auffüllungen sowie schlüsselbasierte Verschlüsselung verwenden, um sensible Authentifizierungsdaten unlesbar zu machen.

Da eine gehashte und gekürzte Version derselben PAN zur Rekonstruktion der Daten verwendet werden kann, müssen Sie, wenn Ihr Cloud-Hosting-Unternehmen beides verwendet, zusätzliche Sicherheitsmaßnahmen implementieren, um zu verhindern, dass Hacker die PAN-Daten zurückverfolgen können.

Welchen Zweck hat PCI-DSS?

Händler oder Unternehmen, die Zahlungskarten mit dem Logo der fünf Mitglieder des PCI SSC (MasterCard, Visa, American Express, JCB und Discover) akzeptieren, sind ein leichtes Ziel für Täter von Finanzbetrug. 

Jedes Mal, wenn ein Händler Zahlungsdaten verarbeitet, annimmt oder übermittelt, setzt er sich dem Risiko eines Datenlecks aus. Häufig verfügen solche Händler über mangelhafte Sicherheitssysteme, die es Cyberkriminellen ermöglichen, sensible Finanzdaten von Verbrauchern leicht zu stehlen. 

Im Ökosystem der Kartenverarbeitung können Schwachstellen in verschiedenen Bereichen bestehen:

• Point-of-Sale (POS)-Geräte
• Drahtlose Hotspots
• Persönliche Computer
• Unsichere Übermittlung von Kartendaten an Dienstanbieter
• Papierbasierte Speicherung

PCI DSS gewährleistet maximale Sicherheit bei Zahlungskartentransaktionen. Da Kreditkartenherausgeber und Banken Kunden im Falle betrügerischer Käufe in der Regel den Kaufpreis erstatten, haben sie ein großes Interesse an der Unterstützung dieses Cybersicherheitsstandards. 

Obwohl PCI DSS also weder rechtsverbindlich ist noch nationale oder lokale Gesetze außer Kraft setzt, wird es von den betroffenen Organisationen weltweit einheitlich angewendet.

Seit wann ist PCI DSS verpflichtend?

PCI DSS wurde nach der Veröffentlichung der Version 1.0 am 15. Dezember 2004 verpflichtend. Wir haben jedoch bereits darauf hingewiesen, dass es sich nicht um eine gesetzliche Vorschrift, sondern um einen Sicherheitsstandard handelt. 

„Obligatorisch“ bedeutet hier also, dass die PCI-DSS-Konformität eine Voraussetzung ist, wenn Cloud-basierte Unternehmen oder Händler Verträge mit Zahlungskartenunternehmen und Banken abschließen, die die Zahlungsabwicklung übernehmen.

Für Cloud-basierte Unternehmen wie Ihres werden die PCI-DSS-Konformität und die Sicherheit von Karteninhaberdaten über ein Selbstbeurteilungsfragebogen (SAQ), das auch eine Konformitätsbescheinigung (AOC) umfasst. Die AOC bestätigt die Einhaltung der PCI-DSS-Standards durch Ihr Unternehmen. 

Wenn es in Ihren Transaktionssystemen zu einer Datenschutzverletzung kommt, die nachweislich auf eine fehlerhafte Implementierung des PCI DSS zurückzuführen ist, kann Ihr Kartenunternehmen oder Zahlungsdienstleister Sanktionen verhängen. Sie könnten verpflichtet werden, eine hohe Geldstrafe zu zahlen oder eine Sicherheitsüberprüfung durchzuführen, um die Verbesserung Ihrer Sicherheitssysteme nachzuweisen.

PCI DSS – Für wen gilt es?

PCI DSS gilt für jedes Cloud-basierte Unternehmen, das Kartenzahlungen akzeptiert. Es gibt keine Zertifizierung für PCI-DSS-Konformität; stattdessen weisen Sie Ihre Konformität durch eine Selbstbewertung nach, d. h. durch Ausfüllen des SAQ und des AOC. 

Es gibt vier PCI-Konformitätsstufen, die anhand Ihres Visa-Transaktionsvolumens über einen Zeitraum von 12 Monaten bestimmt werden:

• Unternehmen der Stufe 1 müssen jährlich einen Bericht über die Einhaltung der Vorschriften (Report on Compliance, RoC) vorlegen, der eine Prüfung durch einen qualifizierten Sicherheitsbewerter (Qualified Security Assessor, QSA) oder einen internen Sicherheitsbewerter (Internal Security Assessor, ISA) beinhaltet. 

• Unternehmen der Stufen 2-4 können den SAQ ausfüllen, der in verschiedenen Versionen vorliegt, um den unterschiedlichen Geschäftsfeldern und Zahlungsabwicklungsmethoden gerecht zu werden.

Beachten Sie, dass die Anforderungen an die Einhaltung der Vorschriften je nach Kartensystem leicht variieren können. MasterCard verlangt beispielsweise von Unternehmen der Stufe 2, den SAQ mithilfe eines QSA oder ISA auszufüllen. 

Die Nichteinhaltung des PCI DSS zieht Bußgelder nach sich, jedoch nicht im üblichen Sinne. Statt separate Bußgelder für Verstöße zu erheben, sind Strafen in Verträgen zwischen Cloud-Anbietern und Zahlungsdienstleistern bzw. Kartenzahlungsunternehmen festgelegt. Eine detaillierte Aufschlüsselung PCI-DSS-Strafen zeigt, wie sich die monatlichen Kosten schnell summieren, sobald ein Verstoß ein langjähriges Problem der Nichteinhaltung aufdeckt, und dabei oft die Kosten für die ursprüngliche Wiederherstellung der Konformität des Programms in den Schatten stellen.

Bei Nichteinhaltung werden monatliche Strafen erhoben, die sich mit zunehmender Dauer der Nichteinhaltung erhöhen können. Die Beträge können bis zu 100,00 US-Dollar pro Monat betragen, und Zahlungsdienstleister können ihre Verträge mit Ihnen kündigen. Im Falle eines Datenlecks kann Ihr Compliance-Level erhöht werden.

Noch schlimmer ist, dass Sie auf die Merchant Alert to Control High-Risk (MATCH) Liste gesetzt werden könnten, was Ihnen die Abwicklung von Kartenzahlungen untersagt. 

Wie erfahre ich, ob ich PCI-konform bin?

Sie können die PCI-Konformität bestätigen, indem Sie den erforderlichen Selbstbewertungsfragebogen (SAQ) ausfüllen oder sich – abhängig von Ihrem PCI-Level – einem Audit durch einen qualifizierten Sicherheitsgutachter (QSA) unterziehen. Nach Abschluss des Selbstbewertungsfragebogens müssen Sie eine Konformitätsbescheinigung (AOC) bei Ihrer Acquirer-Bank oder Ihrem Zahlungsdienstleister einreichen. Wenn Sie diese Schritte erfolgreich durchlaufen haben, gilt Ihr Unternehmen als PCI-konform. Kosten der PCI-Zertifizierung Die Aufteilung ist bei den Verfahren SAQ und QSA unterschiedlich, wobei beim QSA-Verfahren zusätzliche Prüfergebühren anfallen, die beim Selbstveranlagungsverfahren vollständig vermieden werden.

Schritte zur Überprüfung der PCI-Konformität:

• Ermitteln Sie Ihr PCI-Händlerlevel (basierend auf dem jährlichen Transaktionsvolumen).
• Füllen Sie den korrekten Selbstbeurteilungsfragebogen (SAQ) aus.
• Führen Sie gegebenenfalls vierteljährliche Netzwerk-Scans durch.
• Reichen Sie eine Konformitätsbescheinigung (Attestation of Compliance, AOC) bei Ihrer Bank oder Ihrem Zahlungsdienstleister ein.
• Für Händler der Stufe 1: Erstellen Sie jährlich einen Compliance-Bericht (Report on Compliance, RoC) über einen qualifizierten Sicherheitsgutachter (Qualified Security Assessor, QSA).

Fazit

Nachdem Sie nun wissen, für wen PCI DSS gilt, muss Ihr Cloud-Hosting-Unternehmen die Sicherheitsstandards für Karteninhaber erfüllen, um die Sicherheit Ihrer Transaktionen zu gewährleisten.

Die PCI-DSS-Compliance-Anforderungen mögen auf den ersten Blick komplex erscheinen, lassen sich aber auf drei regelmäßig durchzuführende Schritte reduzieren: Bewertung, Behebung und Berichterstattung. Durch einen proaktiven Ansatz zur Minderung potenzieller Netzwerksicherheitsrisiken wie Datenlecks können Sie das Wachstum Ihres Unternehmens deutlich beschleunigen. 

Lassen Sprint Wir unterstützen Sie bei den PCI DSS-Vorbereitungen, einschließlich automatisierter Nachweiserfassung, einer übersichtlichen Checkliste der Anforderungen, Sicherheitsüberwachung, verwalteter Implementierung und Zero-Touch-Audits.

Häufig gestellte Fragen