PCI DSS Compliance-Leitfaden
Der Payment Card Industry Data Security Standard (PCI DSS) schuetzt Karteninhaberdaten bei Haendlern, Dienstleistern und Zahlungsabwicklern. Ob Stufe 1 oder Stufe 4 – wir helfen Ihnen, alle 12 Anforderungen mit klaren Nachweisen und Audit-Bereitschaft umzusetzen.
Was ist PCI DSS?
Der Payment Card Industry Data Security Standard (PCI DSS) ist ein Satz von Sicherheitsstandards, der sicherstellen soll, dass alle Unternehmen, die Kreditkarteninformationen akzeptieren, verarbeiten, speichern oder uebertragen, eine sichere Umgebung aufrechterhalten. Er wird vom PCI Security Standards Council verwaltet, das von den grossen Kartenmarken (Visa, Mastercard, American Express, Discover, JCB) gegruendet wurde.
Warum das jetzt wichtig ist: PCI DSS v4.0 wurde am 31. Maerz 2024 verpflichtend. Der aktualisierte Standard fuehrt angepasste Implementierungsansaetze, erweiterte MFA-Anforderungen und E-Commerce-Schutzmassnahmen gegen Skimming-Angriffe auf Zahlungsseiten ein.
Vertragliche Anforderung
Durchgesetzt von Zahlungsmarken und Acquiring-Banken
Kontinuierliche Compliance
Jaehrliche Bewertungen, vierteljaehrliche Scans, laufende Kontrollen
Wer muss konform sein?
Haendler
Jede Organisation, die Zahlungskarten akzeptiert (alle Volumina)
Dienstleister
Unternehmen, die CHD im Auftrag anderer verarbeiten, speichern oder uebertragen
Zahlungsabwickler
Drittanbieter, die Kartentransaktionen verarbeiten
Zahlungsgateways
E-Commerce-Plattformen, die Kartendaten verarbeiten
Hosting-Anbieter
Infrastruktur, die CDE-Systeme hostet
Zahlungsanwendungen
Softwareanbieter mit PA-DSS/PCI-SSF-validierten Anwendungen
Wie VerifyWise die PCI-DSS-Compliance unterstuetzt
Konkrete Funktionen, die die Kontrollen jeder Anforderung adressieren
Inventarisierung und Klassifizierung von Karteninhaberdaten
Verfolgen Sie, wo Karteninhaberdaten (CHD) durch Systeme fliessen. Ordnen Sie primaere Kontonummern (PAN), sensible Authentifizierungsdaten und Servicecodes zu, um Speicherorte, Uebertragungspfade und Aufbewahrungsfristen zu identifizieren.
Adressiert: Anforderung 3: Gespeicherte Karteninhaberdaten schuetzen, Anforderung 4: Uebertragung verschluesseln
Dokumentation der Netzwerksegmentierung
Dokumentieren Sie die Netzwerkarchitektur mit den Grenzen der Karteninhaberdatenumgebung (CDE). Die Plattform pflegt Netzwerkdiagramme, Firewall-Regeln und Segmentierungskontrollen fuer die Anforderungen 1 und 2.
Adressiert: Anforderung 1: Netzwerksicherheitskontrollen installieren und pflegen, Anforderung 2: Sichere Konfigurationen anwenden
Zugriffskontrolle und Authentifizierungsverfolgung
Verwalten Sie den Benutzerzugriff auf CDE-Systeme mit rollenbasierten Kontrollen. Verfolgen Sie Authentifizierungsmechanismen, Multi-Faktor-Authentifizierungsbereitstellung und eindeutige ID-Zuweisung fuer die Compliance mit Anforderung 8.
Adressiert: Anforderung 7: Zugriff einschraenken, Anforderung 8: Benutzer identifizieren und Zugriff authentifizieren
Schwachstellenmanagement-Lebenszyklus
Verfolgen Sie Patch-Management, Antivirus-Bereitstellungen und sichere Entwicklungspraktiken. Die Plattform pflegt Schwachstellen-Scan-Ergebnisse, Behebungszeitplaene und Nachweise fuer sichere Programmierung.
Adressiert: Anforderung 5: Systeme vor Malware schuetzen, Anforderung 6: Sichere Systeme entwickeln und pflegen
Protokollierung und Ueberwachungsnachweise
Zentralisieren Sie Audit-Log-Aufbewahrung, Ueberpruefungsplaene und Intrusion-Detection-System-(IDS)-Konfigurationen. Generieren Sie Nachweise fuer Log-Analyse, Dateiintegritaetsueberwachung und Sicherheitsereigniskorrelation.
Adressiert: Anforderung 10: Zugriff protokollieren und ueberwachen, Anforderung 11: Sicherheit regelmaessig testen
Richtlinienmanagement und Incident Response
Pflegen Sie die vollstaendige PCI-DSS-Richtliniensuite mit Versionskontrolle und Genehmigungsworkflows. Dokumentieren Sie Incident-Response-Plaene, Sicherheitsbewusstseinstraining und jaehrliche Risikobewertungen.
Adressiert: Anforderung 12: Informationssicherheit mit Richtlinien unterstuetzen, Anforderung 9: Physischen Zugriff einschraenken
Alle Compliance-Aktivitaeten werden mit Zeitstempeln, zugewiesenen Verantwortlichen und Genehmigungsworkflows verfolgt. Dieser Audit-Trail demonstriert kontinuierliche Compliance statt punktueller Dokumentation.
Vollstaendige PCI-DSS-Anforderungsabdeckung
VerifyWise bietet dedizierte Tools fuer alle 12 Anforderungen ueber 6 Sicherheitsziele hinweg
PCI-DSS-Anforderungen
Anforderungen mit dedizierten Tools
Abdeckung ueber alle Sicherheitsziele
Firewalls, Verschluesselung, sichere Konfigurationen
Speicherung, Uebertragung, Entsorgung
Patching, Antivirus, sichere Entwicklung
Authentifizierung, Autorisierung, physisch
Protokollierung, Tests, Incident Response
Sicherheitsrichtlinie, Bewertungen
Entwickelt fuer Zahlungssicherheits-Compliance
Karteninhaberdaten-Mapping
CHD-Fluesse und CDE-Grenzen mit automatisierter Erkennung verfolgen
ASV-Scan-Integration
Vierteljaehrliche externe Schwachstellen-Scan-Verfolgung und -Behebung
ROC- und SAQ-Generierung
Nachweispakete fuer QSA-Audits oder Selbstbewertungen
Multi-Framework-Zuordnung
Zuordnung zu SOC 2, ISO 27001 und NIST CSF-Anforderungen
12 PCI-DSS-Anforderungen
Organisiert unter 6 Sicherheitszielen fuer umfassenden Karteninhaberdatenschutz
Ein sicheres Netzwerk und sichere Systeme aufbauen und pflegen
Netzwerksicherheitskontrollen installieren und pflegen
Firewalls und Router schuetzen die Karteninhaberdatenumgebung
Sichere Konfigurationen auf alle Systemkomponenten anwenden
Herstellerstandards werden geaendert, unnoetige Dienste deaktiviert
Karteninhaberdaten schuetzen
Gespeicherte Karteninhaberdaten schuetzen
CHD-Speicherung minimiert, PAN maskiert, Verschluesselung angewendet
Karteninhaberdaten mit starker Kryptografie bei der Uebertragung schuetzen
Verschluesselung ueber offene, oeffentliche Netzwerke
Ein Schwachstellenmanagement-Programm pflegen
Alle Systeme und Netzwerke vor Schadsoftware schuetzen
Antivirus, Anti-Malware bereitgestellt und gepflegt
Sichere Systeme und Software entwickeln und pflegen
Sicherheitspatches, sichere Entwicklungspraktiken
Starke Zugriffskontrollmassnahmen implementieren
Zugriff auf Systemkomponenten und Karteninhaberdaten einschraenken
Need-to-know-Zugriff, rollenbasierte Kontrollen
Benutzer identifizieren und Zugriff auf Systemkomponenten authentifizieren
Eindeutige IDs, Multi-Faktor-Authentifizierung
Physischen Zugriff auf Karteninhaberdaten einschraenken
Physische Sicherheitskontrollen fuer Systeme und Medien
Netzwerke regelmaessig ueberwachen und testen
Zugriff auf alle Systemkomponenten und Karteninhaberdaten protokollieren und ueberwachen
Audit-Trails, Log-Ueberpruefungsprozesse
Sicherheit von Systemen und Netzwerken regelmaessig testen
Schwachstellen-Scans, Penetrationstests
Eine Informationssicherheitsrichtlinie pflegen
Informationssicherheit mit organisatorischen Richtlinien und Programmen unterstuetzen
Sicherheitsrichtlinie, Risikobewertung, Incident Response
PCI DSS v4.0 – Wesentliche Aenderungen
Wichtige Aktualisierungen von v3.2.1 auf v4.0, gueltig ab 31. Maerz 2024
Angepasste Implementierung
- Gezielte Risikoanalyse ersetzt Einheitskontrollen
- Organisationen definieren Kontrollhaeufigkeit basierend auf Risikoprofil
- Flexibilitaet bei der Erfuellung von Anforderungen
Authentifizierungsverbesserungen
- Multi-Faktor-Authentifizierung (MFA) auf alle CDE-Zugriffe ausgeweitet
- MFA fuer administrativen und Fernzugriff erforderlich
- Phishing-resistente MFA empfohlen
E-Commerce und Phishing
- Neue Anforderung zur Erkennung und Reaktion auf unautorisierten Code auf Zahlungsseiten
- Skriptueberwachung und Aenderungserkennung fuer Web-Zahlungsformulare
- Schutz vor Skimming-Angriffen
Rollen und Verantwortlichkeiten
- Explizite Dokumentation der PCI-DSS-Rollen erforderlich
- Verantwortlichkeit fuer jede Anforderung zugewiesen
- Executive-Sponsorship dokumentiert
Uebergangszeitplan: v3.2.1 wurde am 31. Maerz 2024 ausser Kraft gesetzt. Alle Unternehmen muessen die Compliance mit v4.0 validieren. Einige Anforderungen haben zukuenftige Wirksamkeitsdaten bis zum 31. Maerz 2025 (als "Best Practice bis dahin" gekennzeichnet).
Haendler-Compliance-Stufen
Die Anforderungen variieren je nach jaehrlichem Transaktionsvolumen
Stufe 1
Validierungsanforderungen
- Jaehrliche Vor-Ort-Bewertung durch QSA oder internen Auditor (wenn von leitendem Angestellten unterzeichnet)
- Vierteljaehrliche Netzwerk-Scans durch ASV
- Report on Compliance (ROC) Einreichung
- Attestation of Compliance (AOC)
Strafrisiko
Hoechstes Risiko: 5.000-100.000 USD/Monat Bussgelder, Kartenmarken-Strafen
Stufe 2
Validierungsanforderungen
- Jaehrlicher Selbstbewertungsfragebogen (SAQ)
- Vierteljaehrliche Netzwerk-Scans durch ASV
- Attestation of Compliance (AOC)
- Je nach Kartenmarke kann eine Vor-Ort-Pruefung erforderlich sein
Strafrisiko
Erhebliche Bussgelder, erhoehte Transaktionsgebuehren
Stufe 3
Validierungsanforderungen
- Jaehrlicher Selbstbewertungsfragebogen (SAQ)
- Vierteljaehrliche Netzwerk-Scans durch ASV
- Attestation of Compliance (AOC)
Strafrisiko
Bussgelder bis zu 50.000 USD/Monat, Reputationsschaden
Stufe 4
Validierungsanforderungen
- Jaehrlicher Selbstbewertungsfragebogen (SAQ)
- Vierteljaehrliche Netzwerk-Scans durch ASV (falls zutreffend)
- Compliance-Validierung kann je nach Acquirer variieren
Strafrisiko
Niedrigere Bussgelder, aber dennoch Risiko der Aussetzung der Kartenverarbeitung
24-Wochen-Implementierungsfahrplan
Ein praktischer Weg zur PCI-DSS-Compliance mit klaren Meilensteinen
Scoping und Bestandsaufnahme
- Alle Orte identifizieren, an denen CHD gespeichert, verarbeitet oder uebertragen wird
- Netzwerktopologie abbilden und CDE-Grenzen definieren
- Systeme, Anwendungen und Drittanbieterverbindungen inventarisieren
- Compliance-Stufe und Bewertungsart bestimmen
Lueckenanalyse
- Aktuellen Stand gegen alle 12 PCI-DSS-Anforderungen bewerten
- Nicht konforme Kontrollen und fehlende Nachweise identifizieren
- Behebung nach Risiko und Bewertungszeitplan priorisieren
- Behebungsfahrplan mit Verantwortlichkeiten erstellen
Behebung und Tests
- Fehlende technische Kontrollen implementieren (MFA, Verschluesselung, Protokollierung)
- Netzwerksegmentierung und Zugriffskontrollen bereitstellen
- Richtliniendokumentation und Bewusstseinstraining abschliessen
- Interne Schwachstellen-Scans und Penetrationstests durchfuehren
Validierung und Zertifizierung
- QSA beauftragen oder SAQ je nach Stufe ausfuellen
- Vierteljaehrliche ASV-Netzwerk-Scans durchfuehren
- Report on Compliance (ROC) oder SAQ-Einreichung generieren
- Attestation of Compliance bei der Acquiring-Bank einreichen
Nichteinhaltung hat schwerwiegende finanzielle Folgen
Kartenmarken und Acquiring-Banken setzen PCI DSS durch vertragliche Strafen durch. Bussgelder steigen mit der Haendlerstufe und der Dauer der Nichteinhaltung. Datenlecks verursachen zusaetzliche Untersuchungs-, Benachrichtigungs- und Rechtskosten.
Monatliche Bussgelder
5.000 - 100.000 USD/Monat
Von Kartenmarken fuer Nichteinhaltung oder nach einem Datenleck verhaengt. Bussgelder steigen mit der Haendlerstufe und der Dauer der Nichteinhaltung.
Eskalationspfad
Stufe-1-Haendler haben die hoechsten Bussgelder; koennen unbegrenzt 100.000 USD/Monat erreichen, bis Compliance wiederhergestellt ist
Erhoehte Transaktionsgebuehren
0,01 - 0,10 USD pro Transaktion
Acquirer koennen Gebuehrerhoehungen fuer nicht konforme Haendler verhaengen. Bei Tausenden monatlicher Transaktionen entstehen erhebliche Betriebskosten.
Eskalationspfad
Permanente Gebuehrerhoehung bis zur Validierung der Compliance; wirkt sich direkt auf Gewinnmargen aus
Aussetzung der Kartenverarbeitung
Sofortige Kuendigung
Acquiring-Banken koennen den Haendlervertrag kuendigen und die Kartenakzeptanz vollstaendig untersagen. Dies stellt eine existenzielle Bedrohung fuer viele Unternehmen dar.
Eskalationspfad
Wiederaufnahme erfordert vollstaendige Compliance-Validierung und die Suche nach einem neuen Acquirer (schwierig mit Vorgeschichte)
Kosten bei Datenlecks
200 - 500 USD pro kompromittiertem Datensatz
Kosten bei Datenlecks umfassen Forensik, Benachrichtigung, Rechtskosten, Kartenneuausstellung und Betrugsschaeden. Durchschnittliche Gesamtkosten: ueber 4 Mio. USD pro Datenleck.
Eskalationspfad
Sammelklagen, regulatorische Strafen (DSGVO, Landesgesetze), Reputationsschaden, Kundenabwanderung
Vollstaendiges PCI-DSS-Richtlinien-Repository
Zugriff auf sofort einsetzbare Zahlungssicherheits-Richtlinienvorlagen, abgestimmt auf PCI DSS v4.0, SOC 2 und ISO 27001-Anforderungen
Netzwerksicherheit
- • Firewall-Konfigurationsrichtlinie
- • Netzwerksegmentierungsrichtlinie
- • WLAN-Sicherheitsrichtlinie
- • Systemhaertungsstandards
- • Konfigurationsmanagement
- • Aenderungskontrollrichtlinie
- + 3 weitere Richtlinien
Datenschutz
- • Karteninhaberdaten-Richtlinie
- • Verschluesselungsstandards
- • Schluesselmanagement-Richtlinie
- • Datenaufbewahrungsrichtlinie
- • Sichere Entsorgungsverfahren
- • Tokenisierungsrichtlinien
- + 4 weitere Richtlinien
Zugriff und Ueberwachung
- • Zugriffskontrollrichtlinie
- • Multi-Faktor-Authentifizierung
- • Passwortrichtlinie
- • Protokollierungs- und Ueberwachungsrichtlinie
- • Incident-Response-Plan
- • Schwachstellenmanagement
- + 5 weitere Richtlinien
Haeufig gestellte Fragen
Haeufige Fragen zur PCI-DSS-Compliance
Bereit fuer PCI-DSS-Compliance?
Starten Sie Ihre Compliance-Reise mit unseren gefuehrten Bewertungs- und Implementierungstools.