Kurzfassung
PCI DSS (Payment Card Industry Data Security Standard) ist ein verpflichtendes Sicherheits-Framework, das regelt, wie Unternehmen mit Kreditkartendaten umgehen. Der vom Payment Card Industry Council – gegründet 2006 von American Express, Discover, JCB International, Mastercard und Visa – verwaltete Standard gilt für jede Organisation, die Karteninhaberinformationen akzeptiert, speichert oder überträgt, unabhängig von ihrer Größe. Die Nichteinhaltung kann zu Bußgeldern von bis zu 500.000 $ pro Verstoß, rechtlicher Haftung und Reputationsschäden führen. Compliance gliedert sich in sechs Kernziele und elf technische Anforderungen, die von der Firewall-Konfiguration und Passwort-Hygiene bis hin zu physischen Zugriffskontrollen und Schulungen für Mitarbeiter:innen reichen. Unternehmen werden je nach jährlichem Transaktionsvolumen ebenfalls in vier Compliance-Stufen eingeteilt, wobei für größere Organisationen strengere Dokumentationsanforderungen gelten. Die Aufrechterhaltung der Compliance ist eine fortlaufende, sich weiterentwickelnde Verantwortung – keine einmalige Checkliste.
PCI DSS und die Sicherheit von Kreditkartendaten verstehen
Der Payment Card Industry Data Security Standard (PCI DSS) ist ein Framework, das regelt, wie Unternehmen mit Kreditkartendaten umgehen. Wenn Ihr Unternehmen Kreditkarteninformationen verarbeitet, speichert oder überträgt, ist die PCI-DSS-Compliance für Sie von entscheidender Bedeutung.
Der PCI DSS stellt sicher, dass Karteninhaberdaten sicher verwendet, gespeichert und übertragen werden. Die Einhaltung der Regeln ist eine branchenübliche Best Practice. Sie beweisen Ihren Kunden, dass Ihr Unternehmen vertrauenswürdig ist.
Aber wenn Sie nicht PCI-konform sind, könnten Ihnen auch hohe Geldstrafen drohen, die Ihr Unternehmen ruinieren könnten.
Was ist PCI-Compliance?
PCI-Compliance ist der Prozess zur Erfüllung der Sicherheitsstandards, die vom Payment Card Industry Council zum Schutz von Karteninhaberdaten festgelegt wurden. Richtlinien starten den PCI-Compliance-Prozess. Sie müssen wissen, was von Ihrem Unternehmen erwartet wird, und Sie müssen entsprechende Prozesse aufbauen. Dann beginnt die Dokumentation. Sie müssen nachweisen, dass Sie alles in Ihrer Macht stehende tun, um Karteninhaberdaten sicher zu schützen.
Wer hat das PCI Council gegründet?
Die PCI-Compliance beginnt beim PCI selbst. Der Payment Card Industry Council wurde 2006 von Vertreter:innen gegründet:
- American Express
- Erkennung
- JCB International
- MasterCard
- Visa
Jedes Unternehmen teilt sich die Verantwortlichkeiten im Rat zu gleichen Teilen und verlangt von seinen Geschäftspartnern PCI D.S.S.-Konformität.
PCI hat den Data Security Standard (DSS) sowie unterstützende Materialien entwickelt, wie etwa:
- Spezifikations-Frameworks
- Toolkits
- Messleitfäden
- Begleitmaterialien
Jedes Unternehmen, das Karteninhaberdaten annimmt, speichert oder überträgt, muss PCI-DSS-konform sein. Selbst sehr kleine Unternehmen und solche, die mit externen Zahlungsabwicklern zusammenarbeiten, müssen regelkonform sein.
Was passiert, wenn man nicht regelkonform ist?
Bei Nichteinhaltung droht Ihnen eine Geldstrafe von bis zu 500.000 $ pro Sicherheitsverletzung. Darüber hinaus müssen jede Person benachrichtigt werden, die bei einem Angriff möglicherweise gefährdet wurde, und diese Benachrichtigungen können kostspielig sein.
Verbraucher:innen können sich auch eigenständig dazu entscheiden, Sie zu verklagen. Und Ihnen könnten auch behördliche Bußgelder drohen.
Arbeiten Sie PCI-Compliance-konform?
Treffen Sie keine Annahmen über die Sicherheit der von Ihnen erfassten Karteninhaberdaten. Erfahren Sie mehr darüber, was die Richtlinien besagen, und überprüfen Sie Ihre Prozesse, um die Compliance sicherzustellen.
PCI DSS-Standards beginnen mit sechs Zielen. Jedes Unternehmen sollte:
- Aufbau und Wartung eines sicheren Netzwerks.
- Schützen Sie Karteninhaberdaten.
- Pflegen Sie ein Schwachstellen-Management-Programm.
- Implementieren Sie starke Maßnahmen zur Zugriffskontrolle.
- Überwachen und testen Sie Netzwerke regelmäßig.
- Pflegen Sie eine Informationssicherheitsrichtlinie.
Was sind die PCI DSS-Anforderungen?
Wie können Sie diese Ziele erreichen? PCI DSS-Anforderungen legen die Schritte fest.
- Beginnen Sie mit Firewalls. Installieren und warten Sie eine Firewall und konfigurieren Sie diese bestmöglich, um Eindringlinge fernzuhalten.
- Passwörter stärken. Verwenden Sie keine Passwörter, die mit Ihren Geräten geliefert werden, und suchen Sie nach Möglichkeiten, um sicherzustellen, dass die Passwort-Best-Practices eingehalten werden.
- Schützen Sie bei der Speicherung. Wenn Sie Karteninhaberdaten speichern, stellen Sie sicher, dass diese umfassend abgesichert sind.
- Schutz während der Übertragung. Wenn Sie Daten über Netzwerke übertragen, stellen Sie sicher, dass diese verschlüsselt sind.
- Stoppen Sie Angriffe. Installieren Sie Antivirenprogramme und halten Sie diese auf dem neuesten Stand.
- Absichern. Erstellen Sie sichere Systeme und pflegen Sie diese.
- Elektronischen Zugriff beschränken. Erlauben Sie nicht jedem den Zugriff auf Karteninhaberdaten. Stellen Sie sicher, dass nur diejenigen, die davon wissen müssen, es sehen können.
- Nachverfolgen. Weisen Sie jeder Person mit Zugriff auf Ihren Firmencomputer eine eindeutige ID zu.
- Physischen Zugriff einschränken. Erlauben Sie nicht jedem den physischen Zugriff auf Ausdrucke von Karteninhaberdaten.
- Test. Legen Sie einen regelmäßigen Testplan fest und halten Sie diesen ein.
- Codieren. Erstellen Sie ein Dokument, das Ihre Richtlinie zur Sicherheit von Mitarbeiter:innen und Auftragnehmer:innen darlegt.
Was sind die PCI-Compliance-Stufen?
Jedes Unternehmen, das Karteninhaberdaten erfasst, unabhängig von seiner Größe, ist verpflichtet, PCI-DSS-Konformität zu erreichen. Aber größere Unternehmen müssen weitere Maßnahmen ergreifen, um nachzuweisen, dass sie die Regeln sowohl kennen als auch verstehen.
Visa in Betracht ziehen. Dieses Unternehmen (das weltweit größte Zahlungsnetzwerk) definiert vier Compliance-Stufen.
Diese vier Stufen sind:
| Stufe | Jährliches Visa-Transaktionsvolumen | Dokumentationsanforderung |
|---|---|---|
| Stufe 1 | Mehr als 6 Millionen Visa-Transaktionen jährlich | Zwei Buchhaltungsformulare |
| Stufe 2 | 1 bis 6 Millionen Visa-Transaktionen jährlich | Mehr Dokumentation als Level 3/4 |
| Stufe 3 | 20.000 bis 1 Million Visa-Transaktionen jährlich | Mehr Dokumentation als Level 4 |
| Level 4 | Weniger als 20.000 Visa-E-Commerce-Transaktionen jährlich und bis zu 1 Mio. Visa-Transaktionen | Nur Fragebogen |
Die Regeln ändern sich nicht von Gruppe zu Gruppe. Die Risiken, denen Sie bei höheren Transaktionszahlen ausgesetzt sind, hingegen schon. Infolgedessen verlangt Visa von größeren Unternehmen mehr Dokumentation zum Nachweis der Compliance.
Wenn Sie ein kleines Level-4-Unternehmen sind, müssen Sie möglicherweise nur einen Fragebogen ausfüllen. Aber wenn Sie ein Level-1-Unternehmen sind, müssen Sie zwei Buchhaltungsformulare ausfüllen.
Was sind die Dos und Don’ts bei PCI DSS?
Die Regeln können einfach erscheinen. Aber Unternehmen verlieren leicht den Überblick darüber, was sie mit den von ihnen erfassten Daten tun sollten und was nicht. Die Kenntnis einiger Best Practices kann hilfreich sein.
| Sie sollten | Sie sollten nicht |
|---|---|
| Bleiben Sie auf dem Laufenden. Verfolgen Sie den PCI genau und informieren Sie sich über neue Versionen. Da sich die Branche verändert und neue Risiken entstehen, können sich auch die Regeln ändern, die Sie befolgen müssen. | Gehen Sie Partnerschaften nicht leichtfertig an. Suchen Sie nicht nach den besten Angeboten für Point-of-Sale-Hardware und -Software (POS). Stellen Sie sicher, dass jedes Unternehmen, mit dem Sie zusammenarbeiten, ebenfalls PCI-DSS-konform ist und die Risiken ernst nimmt. |
| Führen Sie Risikobewertungen durch. Bewerten Sie Ihre Umgebung regelmäßig. Wenn Sie einen Problembereich entdecken, mindern Sie die Risiken so schnell wie möglich. | Netzwerke zusammenführen. Karteninhaberdaten sollten für Hacker:innen, die in die offenen Server Ihres Unternehmens eindringen, nicht zugänglich sein. Segmentieren Sie so weit wie möglich, um Daten zu schützen. |
| Führen Sie regelmäßige Schulungen durch. Unbeaufsichtigte Mitarbeiter:innen können Workarounds schaffen (wie etwa das Speichern von Karteninhaberdaten in Tabellenkalkulationen auf dem Server), die die Compliance gefährden. Stellen Sie sich darauf ein, Ihre Mitarbeiter:innen neu zu schulen. | Vergessen Sie es. Compliance ist ein sich ständig wandelndes Ziel. Behalten Sie Ihre Sicherheit jederzeit im Fokus. |
Wenn Sie nach einem Partner suchen, der Sie bei der Sicherstellung der PCI-DSS-Compliance unterstützt, sollten Sie Okta in Betracht ziehen. Laden Sie unser Whitepaper herunter, um zu erfahren, wie wir Sie auf Ihrem Weg zur Einhaltung der Compliance unterstützen können.
Häufig gestellte Fragen
Wofür steht PCI DSS?
PCI DSS steht für den Payment Card Industry Data Security Standard. Es ist ein verpflichtendes Sicherheitsframework, das regelt, wie Unternehmen mit Kreditkartendaten umgehen, und sicherstellt, dass Informationen von Karteninhabern sicher verwendet, gespeichert und übertragen werden.
Wer muss PCI-DSS-konform sein?
Die PCI-DSS-Compliance ist allgemeingültig – sie gilt für jedes Unternehmen, das in irgendeiner Weise mit Karteninhaberdaten in Berührung kommt, von Großunternehmen bis hin zu kleinen Händlern und sogar für solche, die auf externe Zahlungsabwickler angewiesen sind.
Welche Geldstrafen drohen einem Unternehmen bei Nichteinhaltung von PCI DSS?
Nichteinhaltung zieht schwerwiegende finanzielle Konsequenzen nach sich. Eine einzige Sicherheitsverletzung kann Geldstrafen von bis zu 500.000 $ , obligatorische Meldungen von Sicherheitsverletzungen an alle betroffenen Personen, unabhängige Verbraucherklagen und zusätzliche staatlich verhängte Strafen nach sich ziehen.
Wie werden PCI-Compliance-Level festgelegt?
Die PCI-Compliance-Stufen basieren auf dem jährlichen Transaktionsvolumen. Visa definiert beispielsweise vier Stufen: Level 1 für mehr als 6 Millionen Transaktionen, Level 2 für 1 bis 6 Millionen, Level 3 für 20.000 bis 1 Million und Level 4 für weniger als 20.000 E-Commerce-Transaktionen und bis zu 1 Million Transaktionen insgesamt. Größere Unternehmen müssen strengere Dokumentationsanforderungen erfüllen, um Compliance nachzuweisen.
Was sind die häufigsten Fehler bei der PCI-DSS-Compliance, die vermieden werden sollten?
Zu den häufigen Fehlern gehört es, Partnerschaften auf die leichte Schulter zu nehmen – also nicht zu überprüfen, ob Anbieter und Partner:innen ebenfalls PCI-DSS-konform sind. Unternehmen sollten zudem die Zusammenlegung von Netzwerken vermeiden, da Karteninhaberdaten nicht für Hacker zugänglich sein sollten, die in offene Server eindringen. Schließlich stellt es ein erhebliches Risiko dar, Compliance als einmalige Aufgabe und nicht als fortlaufende Verantwortung zu betrachten.
Ist die PCI-DSS-Compliance eine einmalige Anforderung oder ein fortlaufender Prozess?
PCI DSS ist keine einmalige Zertifizierung. Die Bedrohungslandschaft entwickelt sich kontinuierlich weiter, was bedeutet, dass die Standards selbst im Laufe der Zeit aktualisiert werden. Unternehmen müssen Compliance als ein lebendiges Programm betrachten – regelmäßige Risikobewertungen durchführen, Mitarbeiter regelmäßig weiterbilden und sich über Aktualisierungen des PCI Council auf dem Laufenden halten.
Referenzen
Über uns. PCI Security Standards Council.
PCI-DSS: Strafen für Sicherheitsverstöße. UC Santa Cruz.
Aufrechterhaltung der Zahlungssicherheit. PCI Security Standards Council.
Kreditkartenunternehmen: Die 15 größten Herausgeber des Jahres 2021. CardRates.com.
PCI-Compliance hilft dabei, Ihre Daten und die Ihrer Kund:innen zu schützen. Visa.
