Auf einen Blick
PCI-DSS (Payment Card Industry Data Security Standard) ist ein verbindliches Regelwerk, das alle Unternehmen einhalten müssen, die Kreditkartendaten verarbeiten. Es definiert 12 Hauptanforderungen in sechs Kategorien – von Firewalls über Verschlüsselung bis hin zu regelmäßigen Sicherheitsaudits. Je nach Transaktionsvolumen werden Unternehmen in vier Compliance-Stufen eingeteilt, die unterschiedlich strenge Prüfpflichten mit sich bringen. Verstöße können Bußgelder von bis zu 100.000 Euro pro Monat und den Entzug der Kartenzahlungslizenz bedeuten.
Was ist PCI-DSS – und warum sollte dich das interessieren?
PCI-DSS steht für Payment Card Industry Data Security Standard und ist der zentrale Kreditkartendatenstandard, auf den sich Visa, Mastercard und weitere Kartennetzwerke geeinigt haben. Gegründet wurde das zuständige Gremium, das PCI Security Standards Council (PCI SSC), im Jahr 2006 – als Reaktion auf eine Welle spektakulärer Datenpannen, bei denen Millionen von Kartendaten gestohlen wurden.
Kurz gesagt: Jedes Unternehmen, das Kreditkartenzahlungen akzeptiert, muss PCI-DSS-konform sein. Egal ob kleiner Online-Shop oder internationaler Konzern.
Für dich als Verbraucher ist das relevant, weil PCI-DSS Compliance direkt darüber entscheidet, wie sicher deine Kartendaten beim nächsten Online-Einkauf sind. Ein Händler ohne ausreichende Compliance ist ein Sicherheitsrisiko – für sein Unternehmen und für dich.
Die 12 Anforderungen von PCI-DSS im Überblick
Der Standard ist in sechs Schutzziele unterteilt, denen insgesamt 12 konkrete Anforderungen zugeordnet sind. Die aktuelle Version PCI-DSS 4.0 (seit März 2022 gültig, seit März 2024 verpflichtend) hat diese Anforderungen nochmals verschärft und modernisiert.
Schutzziel 1: Sicheres Netzwerk aufbauen und pflegen
- Anforderung 1: Firewalls installieren und konfigurieren, um Karteninhaberdaten zu schützen
- Anforderung 2: Keine vom Hersteller vorgegebenen Standardpasswörter verwenden
Schutzziel 2: Karteninhaberdaten schützen
- Anforderung 3: Gespeicherte Karteninhaberdaten schützen (z. B. durch Tokenisierung)
- Anforderung 4: Karteninhaberdaten bei der Übertragung über offene Netze verschlüsseln (TLS 1.2 oder höher)
Schutzziel 3: Schwachstellenmanagement
- Anforderung 5: Alle Systeme vor Schadsoftware schützen
- Anforderung 6: Sichere Systeme und Anwendungen entwickeln und pflegen
Schutzziel 4: Starke Zugangskontrolle
- Anforderung 7: Zugriff auf Karteninhaberdaten auf das Notwendige beschränken (Need-to-know)
- Anforderung 8: Zugriff auf Systemkomponenten identifizieren und authentifizieren
- Anforderung 9: Physischen Zugriff auf Karteninhaberdaten einschränken
Schutzziel 5: Netzwerke überwachen und testen
- Anforderung 10: Alle Zugriffe auf Netzwerkressourcen und Karteninhaberdaten protokollieren
- Anforderung 11: Sicherheitssysteme und -prozesse regelmäßig testen
Schutzziel 6: Informationssicherheitsrichtlinie
- Anforderung 12: Eine Richtlinie zur Informationssicherheit für alle Mitarbeiter pflegen
Die vier PCI-DSS Compliance-Stufen erklärt
Nicht jeder Händler wird gleich streng geprüft. Das wäre auch unpraktisch: Ein kleines Café mit einem Kartenlesegerät hat ein anderes Risikoprofil als ein großer E-Commerce-Anbieter mit Millionen Transaktionen täglich. Deshalb gibt es vier Stufen – sogenannte Merchant Levels.
| Stufe | Transaktionsvolumen pro Jahr | Prüfpflicht | Aufwand |
|---|---|---|---|
| Level 1 | Über 6 Millionen Transaktionen | Jährliches Audit durch externen QSA (Qualified Security Assessor) | Sehr hoch – mehrere Monate, hohe Kosten |
| Level 2 | 1 – 6 Millionen Transaktionen | Jährlicher SAQ (Self-Assessment Questionnaire) + vierteljährlicher Netzwerkscan | Hoch |
| Level 3 | 20.000 – 1 Million E-Commerce-Transaktionen | Jährlicher SAQ + vierteljährlicher Netzwerkscan | Mittel |
| Level 4 | Unter 20.000 E-Commerce- oder bis 1 Million sonstige Transaktionen | Jährlicher SAQ empfohlen, vierteljährlicher Scan empfohlen | Gering bis mittel |
PCI-DSS 4.0: Was hat sich geändert?
Die Version 4.0 ist die größte Überarbeitung des Standards seit Jahren. Wer sich noch mit PCI-DSS 3.2.1 beschäftigt hat, wird einige Neuerungen bemerken – manche davon sind echte Gamechanger.
Die wichtigsten Änderungen auf einen Blick:
- Customized Approach: Unternehmen können erstmals eigene Sicherheitsmaßnahmen definieren, solange sie das Schutzziel nachweislich erreichen. Das gibt mehr Flexibilität, erfordert aber auch mehr Dokumentation.
- Multi-Faktor-Authentifizierung (MFA): MFA ist jetzt für alle Zugänge zur Karteninhaberdaten-Umgebung verpflichtend – nicht nur für Remote-Zugriffe.
- Phishing-Schutz: Neu ist eine explizite Anforderung zum Schutz vor Phishing-Angriffen, inklusive Schulungen für Mitarbeiter.
- Skimming-Schutz für E-Commerce: Anforderung 6.4.3 und 11.6.1 adressieren gezielt das Problem von JavaScript-Skimming (Magecart-Angriffe), bei dem Schadcode in Checkout-Seiten eingeschleust wird.
- Passwortlänge: Mindestlänge für Passwörter steigt von 7 auf 12 Zeichen.
PCI-DSS Compliance umsetzen: Schritt für Schritt
Wie geht man das als Unternehmen konkret an? Hier ist ein praxisnaher Fahrplan, der sich in der Realität bewährt hat:
- Scope definieren: Lege fest, welche Systeme, Netzwerke und Prozesse tatsächlich Kreditkartendaten berühren. Je kleiner der Scope, desto geringer der Aufwand. Viele Unternehmen reduzieren ihren Scope durch Tokenisierung oder die Auslagerung der Zahlungsabwicklung.
- Gap-Analyse durchführen: Vergleiche deinen aktuellen Sicherheitsstatus mit den PCI-DSS-Anforderungen. Wo gibt es Lücken? Ein internes Audit oder ein externer Berater hilft dabei.
- Maßnahmen priorisieren und umsetzen: Beginne mit den kritischsten Lücken – typischerweise Zugangskontrolle, Verschlüsselung und Patch-Management. Erstelle einen realistischen Zeitplan.
- Dokumentation aufbauen: PCI-DSS ist ein Papierstandard. Ohne Dokumentation keine Compliance. Halte alle Richtlinien, Prozesse und Konfigurationen schriftlich fest.
- Self-Assessment Questionnaire (SAQ) ausfüllen: Wähle den richtigen SAQ-Typ für dein Geschäftsmodell (SAQ-A, SAQ-A-EP, SAQ-D etc.) und beantworte alle Fragen ehrlich.
- Vierteljährliche Netzwerkscans durchführen: Beauftrage einen zugelassenen Scanning Vendor (ASV) für externe Schwachstellenscans – ab Level 3 verpflichtend, für Level 4 dringend empfohlen.
- Compliance aufrechterhalten: PCI-DSS ist kein einmaliges Projekt, sondern ein kontinuierlicher Prozess. Plane regelmäßige Reviews, Schulungen und Tests ein.
Was passiert bei einem PCI-DSS Verstoß?
Hier wird es ernst. Ein Datenleck bei einem nicht-compliant-Händler kann eine Kettenreaktion auslösen, die weit über eine Geldstrafe hinausgeht.
Die direkten Konsequenzen:
- Bußgelder: Die Kartenorganisationen können Bußgelder zwischen 5.000 und 100.000 US-Dollar pro Monat verhängen, solange die Nicht-Compliance andauert.
- Erhöhte Transaktionsgebühren: Nicht-compliant-Händler zahlen oft höhere Interchange-Gebühren.
- Forensische Untersuchung: Nach einem Datenleck wird ein PFI (PCI Forensic Investigator) mandatiert – auf Kosten des Händlers. Das kann schnell sechsstellige Beträge kosten.
- Entzug der Akzeptanzlizenz: Im schlimmsten Fall darf der Händler keine Kartenzahlungen mehr annehmen.
- Reputationsschaden: Datenpannen werden öffentlich. Der Vertrauensverlust bei Kunden ist oft schwerer zu beziffern als die direkten Kosten.
Ein bekanntes Beispiel: Der Datenleck bei Target (USA, 2013) betraf 40 Millionen Kreditkartendatensätze. Die Gesamtkosten für Target beliefen sich auf über 200 Millionen US-Dollar – inklusive Bußgelder, Entschädigungen und Prozesskosten.
Was bedeutet PCI-DSS für dich als Verbraucher?
Du zahlst online mit deiner Kreditkarte und vertraust darauf, dass deine Daten sicher sind. Aber wie kannst du das überprüfen?
Ehrliche Antwort: Vollständig kannst du es nicht. Du siehst nicht, ob ein Shop PCI-DSS-konform ist. Aber es gibt Hinweise, auf die du achten kannst:
- HTTPS und TLS: Das Schloss-Symbol im Browser zeigt, dass die Verbindung verschlüsselt ist. Ohne HTTPS solltest du niemals Kartendaten eingeben.
- Bekannte Zahlungsdienstleister: Wenn ein Shop Zahlungen über Stripe, PayPal, Klarna oder ähnliche Anbieter abwickelt, liegen deine Kartendaten beim Dienstleister – nicht beim Händler selbst. Das ist ein gutes Zeichen.
- 3D-Secure: Die zusätzliche Authentifizierung beim Bezahlen (z. B. per SMS-TAN oder Banking-App) ist ein Indikator für einen sicherheitsbewussten Händler.
- Datenschutzerklärung: Seriöse Händler erklären transparent, wie sie mit Zahlungsdaten umgehen.
Häufige Fragen zu PCI-DSS Compliance
- Was ist PCI-DSS Compliance und wer muss sie einhalten?
- PCI-DSS Compliance bedeutet, den Payment Card Industry Data Security Standard einzuhalten. Jedes Unternehmen, das Kreditkartendaten verarbeitet, speichert oder überträgt – vom Einzelhändler bis zum Zahlungsdienstleister – ist dazu verpflichtet.
- Was passiert, wenn ein Unternehmen nicht PCI-DSS-konform ist?
- Bei Nicht-Compliance drohen monatliche Bußgelder von bis zu 100.000 US-Dollar, erhöhte Transaktionsgebühren und im schlimmsten Fall der Entzug der Lizenz zur Kartenakzeptanz durch Visa oder Mastercard.
- Wie viele Anforderungen hat PCI-DSS?
- PCI-DSS umfasst 12 Hauptanforderungen, die in sechs Schutzziele gegliedert sind. Diese decken Bereiche wie Netzwerksicherheit, Datenverschlüsselung, Zugangskontrolle und regelmäßige Sicherheitstests ab.
- Was ist der Unterschied zwischen PCI-DSS Level 1 und Level 4?
- Level 1 gilt für Unternehmen mit über 6 Millionen Transaktionen jährlich und erfordert ein externes Audit durch einen zertifizierten Prüfer. Level 4 betrifft Kleinhändler und erlaubt eine vereinfachte Selbstauskunft per Fragebogen.
- Was ist neu in PCI-DSS Version 4.0?
- PCI-DSS 4.0 bringt verpflichtende Multi-Faktor-Authentifizierung für alle Systemzugänge, Schutz gegen JavaScript-Skimming, stärkere Passwortanforderungen und einen neuen flexiblen Ansatz zur Zielerreichung.
- Muss ich als kleiner Online-Shop PCI-DSS einhalten?
- Ja, grundsätzlich schon. Wer jedoch Zahlungen vollständig über zertifizierte Dienstleister wie Stripe oder PayPal abwickelt, kann seinen Compliance-Aufwand auf ein Minimum reduzieren und fällt meist unter den einfachen SAQ-A.
- Wie erkenne ich als Verbraucher, ob ein Online-Shop PCI-DSS-konform ist?
- Direkt einsehbar ist das nicht. Gute Zeichen sind HTTPS-Verschlüsselung, bekannte Zahlungsdienstleister, 3D-Secure-Authentifizierung und eine transparente Datenschutzerklärung zum Umgang mit Zahlungsdaten.