Um Karteninhaberdaten zu schützen, befolgen PCI-konforme Unternehmen eine Reihe von Sicherheitsstandards für Kreditkartendaten, die als PCI DSS bekannt sind. Erfahren Sie, warum die PCI-Konformität für alle Unternehmen wichtig ist, die Kartenzahlungen abwickeln oder verarbeiten.
Nach Lektüre dieses Artikels können Sie Folgendes:
Ähnliche Inhalte
Abonnieren Sie theNET, Cloudflares monatliche Zusammenfassung der beliebtesten Einblicke in das Internet!
Link zum Artikel kopieren
PCI-Konformität (Payment Card Industry) bedeutet, dass eine Reihe von Sicherheitsrichtlinien für Karteninhaberdaten befolgt werden. Alle Unternehmen, die Transaktionen mit Kredit-, Debit- und/oder Prepaid-Karten verarbeiten, unterliegen den Anforderungen der PCI-Konformität.
Kreditkartendaten müssen geheim bleiben, um sicher zu sein, und die PCI-Konformität belegt, dass man einem Unternehmen die Geheimhaltung dieser Daten zutrauen kann. So wie ein Hausbesitzer seine Hausschlüssel nicht an jemanden ausleihen würde, dem er sein Eigentum nicht anvertrauen kann, so werden auch Kreditkartenunternehmen einem Händler ihre Kartendaten nicht anvertrauen, wenn dieser sie nicht sicher aufbewahrt.
Wenn ein Unternehmen Daten von Karteninhabern speichert, verarbeitet oder überträgt, sei es über das Internet, per Telefon, in einer App, auf Papier oder persönlich, muss es eine Reihe von Regeln zum Schutz dieser Zahlungsinformationen befolgen.
Obwohl die PCI-Konformität nicht gesetzlich vorgeschrieben ist, können die Kreditkartenfirmen Gebühren für die Nichteinhaltung der Vorschriften erheben, wenn Unternehmen die Karteninhaberdaten nicht ordnungsgemäß schützen. Noch entscheidender ist, dass mangelhafter Schutz der Karteninhaberdaten es Kriminellen erleichtert, diese Daten zu stehlen. Ein solcher Diebstahl ist ein erhebliches Risiko – in den nächsten zehn Jahren wird die weltweite Payment Card Industry laut Hochrechnungen des Nilson-Reports weltweit 397 Milliarden Dollar durch Betrug verlieren.
PCI DSS steht für „Payment Card Industry Data Security Standard“ (PCI DSS). Das PCI-DSS-Rahmenwerk bietet Unternehmen robuste Prozesse zur Sicherung von Karteninhaberdaten und Kartenauthentifizierungsdaten. Die Anforderungen sollen sowohl Karteninhaberdaten als auch Authentifizierungsdaten schützen und helfen, Sicherheitsvorfälle zu verhindern, zu erkennen und darauf zu reagieren.
Die PCI-Konformität gilt weltweit für alle Händler, die Kreditkarten, Debitkarten oder Prepaid-Karten akzeptieren. Das bedeutet, dass Unternehmen jeder Größe, vom Café an der Ecke bis zur multinationalen Designermarke, der PCI-Konformität unterliegen, selbst wenn sie einen Dritten mit der Transaktionsverarbeitung beauftragen.
Zu den Karteninhaberdaten, auf die sich der PCI DSS bezieht, gehören:
Zu den sensiblen Authentifizierungsdaten, die unter den PCI DSS fallen, gehören:
Das PCI-DSS-Rahmenwerk umfasst zwölf grundlegende Anforderungen (mit mehr als 300 Unteranforderungen):
Der PCI DSS und die damit verbundenen Sicherheitsstandards werden vom PCI Security Standards Council (PCI SSC) verwaltet. Es handelt sich dabei um eine Branchenorganisation, gegründet von American Express, Discover Financial Services, JCB International, MasterCard Worldwide und Visa Inc. Zu den teilnehmenden Organisationen gehören auch Händler, Banken, die Zahlungskarten ausgeben, Auftragsverarbeiter, Entwickler und andere Anbieter.
Die erste Version, PCI DSS 1.0, wurde 2004 präsentiert. Im Jahr 2006 veröffentlichte der PCI SSC die Version 1.1, in der Händler aufgefordert wurden, alle Online-Anwendungen zu überprüfen und Firewalls für zusätzliche Sicherheit einzurichten.
PCI DSS wurde im Laufe der Jahre kontinuierlich weiterentwickelt, als Reaktion auf Datenschutzverletzungen und Sicherheitslücken im gesamten Ökosystem der Kartenverarbeitung. Mit der Archivierung von Version 3.2.1 wurde die aktuelle Version 4.0 am 31. März 2024 zur einzigen aktiven Version.
PCI DSS v4.0 wurde 2022 veröffentlicht, um „neuen Bedrohungen und Technologien zu begegnen und innovative Methoden zur Bekämpfung neuer Bedrohungen zu ermöglichen“. Unternehmen haben bis zum 31. März 2025 Zeit, alle Anforderungen von PCI DSS v4.0 zu erfüllen.
Obwohl sich die Kernanforderungen des PCI DSS nicht grundlegend geändert haben, konzentriert sich die neue Version 4.0 stärker auf die Implementierung von Sicherheitskontrollen. Beispiele für Änderungen sind:
Hier finden Sie eine Zusammenfassung der wichtigsten Änderungen von Version 3.2.1 zu Version 4.0.
Die PCI-Konformität wird von den für die Zahlungsabwicklung zuständigen Kreditkartenfirmen durchgesetzt. Wenn ein Händler (z. B. jemand, der Zahlungskarten als Zahlungsmittel für Waren und Dienstleistungen akzeptiert) eine bestimmte Anzahl von Zahlungskartentransaktionen pro Jahr durchführt, ist er verpflichtet, einen vollständigen PCI-DSS-Bericht zur Compliance zu erstellen. Wenn der Händler keinen Bericht erstellt, muss er mit Geldbußen rechnen.
PCI-DSS-Strafen basieren auf einer Reihe von Faktoren, wie z. B. der Schwere des Verstoßes, der Dauer der Mängelbeseitigung und der Frage, ob ein Verstoß vorliegt. Wenn ein Unternehmen weiterhin nicht PCI-konform ist, besteht außerdem die Möglichkeit, dass es keine Kreditkarten für Zahlungen innerhalb seines Systems verwenden darf.
PCI DSS teilt Unternehmen (oder „Händler“, wie die Standards sie nennen) in vier Stufen ein, basierend auf der Anzahl der Kartentransaktionen, die sie innerhalb eines Jahres verarbeiten.
Die vier Stufen* lauten:
Die Art und Weise, wie ein Händler als PCI-konform zertifiziert werden kann, hängt von seiner Stufe ab. Im Allgemeinen gilt: Je mehr Transaktionen abgewickelt werden, desto strenger sind die Anforderungen an die Compliance-Prüfung.
Händler der Stufen 24 füllen zum Beispiel einen jährlichen Fragebogen zur Selbsteinschätzung (Self-Assessment Questionnaire oder kurz SAQ) aus und reichen ihn ein. Es gibt verschiedene SAQ-Typen, je nach Verarbeitung von Zahlungskartendaten durch den Händler. In den SAQ-Anweisungen und -Richtlinien können Unternehmen nachlesen, welcher SAQ (wenn überhaupt) auf sie zutrifft. Eine Zusammenfassung der Unterschiede bei den SAQ-Anforderungen in Version 4.0 finden Sie hier.
Händler der Stufe 1 (wie Cloudflare), die mehr als sechs Millionen Transaktionen pro Jahr abwickeln, werden jährlich geprüft. Händler der Stufe 1 müssen von einem PCI SSC Qualified Security Assessor (QSA) oder PCI SSC Internal Security Assessor (ISA) einen Bericht über die Konformität erhalten. Dieser Prozess für Händler der Stufe 1 findet je nach Karteninstitut entweder einmal im Jahr oder einmal im Quartal statt. Händler der Stufe 1 können auch vor Ort eine Bewertung der Datensicherheit vornehmen lassen.
Schließlich müssen alle Händler ein AOC-Formular (Attestation of Compliance) ausfüllen und einreichen. Darin erklärt der Händler gegenüber dem Kreditkarteninstitut, dass er PCI-konform ist.
*Diese Definitionen sind größtenteils zutreffend, aber jede Kreditkartenfirma definiert und bewertet die Konformität etwas anders. Es ist wichtig, dass Sie sich bei jedem Kreditkartenunternehmen nach den spezifischen Kriterien des jeweiligen Programms erkundigen.
Cloudflare befindet sich auf der Stufe 1 der PCI-DSS-Konformität und ist seit 2014 PCI-konform. Viele unserer Kunden verlangen außerdem, dass wir eine Kopie unseres AOC vorlegen, das dem Kreditkartenunternehmen im Wesentlichen mitteilt, dass wir PCI-konform sind. Ohne diese Zertifizierung könnten wir mit bestimmten Kunden nicht zusammenarbeiten, und unsere Acquiring Bank würde uns nicht erlauben, Zahlungskarten als Zahlungsmittel für unsere Dienstleistungen zu verwenden.
Außerdem helfen wir unseren Kunden, die Sicherheit ihrer eigenen Websites und Anwendungen zu gewährleisten. Hier sind einige Beispiele dafür, wie Cloudflare Unternehmen helfen kann, bestimmte PCI-DSS-Anforderungen zu erfüllen:
Erfahren Sie mehr über die Website- und App-Sicherheitsdienste von Cloudflare und über die integrierten Sicherheits-, Datenschutz- und Compliance-Funktionen einer Connectivity Cloud.