Der Payment Card Industry Data Security Standard (PCI-DSS) ist ein von den großen Kreditkartenorganisationen gemeinsam getragenes Regelwerk, das Unternehmen dazu verpflichtet, Karteninhaberdaten sicher zu verarbeiten, zu speichern und zu übertragen. Jedes Unternehmen, das Kreditkartenzahlungen akzeptiert – unabhängig von seiner Größe – muss die Einhaltung dieses Standards nachweisen.
Wer PCI-DSS einhalten muss
Der Standard gilt grundsätzlich für jedes Unternehmen, das Kreditkartendaten verarbeitet, speichert oder überträgt – vom kleinen Online-Shop bis zum internationalen Großkonzern. Die konkreten Anforderungen unterscheiden sich jedoch erheblich je nach jährlichem Transaktionsvolumen und der Art, wie Kartendaten verarbeitet werden. Auch reine Subscription-Anbieter, die selbst keine physischen Karten entgegennehmen, sondern ausschließlich Online-Zahlungen verarbeiten, unterliegen dem Standard, sobald irgendein Berührungspunkt mit Karteninhaberdaten besteht.
Die vier Compliance-Level
| Level | Jährliches Transaktionsvolumen | Typische Anforderung |
|---|---|---|
| Level 1 | Über 6 Millionen Transaktionen | Jährliches externes Audit durch zertifizierten Prüfer |
| Level 2 | 1–6 Millionen Transaktionen | Jährlicher Selbstauskunftsbogen (SAQ) |
| Level 3 | 20.000–1 Million Transaktionen | Jährlicher Selbstauskunftsbogen (SAQ) |
| Level 4 | Unter 20.000 Transaktionen | Vom jeweiligen Payment-Provider festgelegte Anforderungen |
Die meisten kleineren und mittleren Subscription-Anbieter fallen in Level 3 oder 4 und müssen keine aufwendigen externen Audits durchlaufen, sondern lediglich einen strukturierten Selbstauskunftsbogen ausfüllen.
Selbstauskunftsbögen (SAQ): Nicht alle sind gleich umfangreich
Der Umfang des erforderlichen Selbstauskunftsbogens hängt maßgeblich davon ab, wie ein Unternehmen Kartendaten verarbeitet. Wer konsequent auf Tokenisierung setzt und Kartendaten niemals selbst im eigenen System entgegennimmt, sondern die Zahlungsabwicklung vollständig an einen zertifizierten Payment-Provider auslagert, kann in der Regel den deutlich einfacheren SAQ-A-Fragebogen nutzen – gegenüber dem umfangreicheren SAQ-D für Unternehmen, die Kartendaten selbst verarbeiten.
Zentrale inhaltliche Anforderungen des Standards
- Netzwerksicherheit: Firewalls und sichere Netzwerkkonfiguration zum Schutz von Karteninhaberdaten.
- Zugriffskontrolle: Strikte Beschränkung des Zugriffs auf Kartendaten nach dem Prinzip der minimalen Berechtigung.
- Verschlüsselung: Schutz übertragener und gespeicherter Kartendaten durch anerkannte Verschlüsselungsverfahren.
- Regelmäßige Sicherheitstests: Kontinuierliche Überwachung und Prüfung der eingesetzten Systeme auf Schwachstellen, einschließlich regelmäßiger Penetrationstests bei höheren Compliance-Leveln.
- Dokumentierte Sicherheitsrichtlinien: Nachvollziehbare interne Richtlinien zum Umgang mit Karteninhaberdaten, die allen relevanten Mitarbeitern bekannt sein müssen.
Regelmäßige Rezertifizierung
PCI-DSS-Konformität ist keine einmalige Angelegenheit, sondern muss je nach Compliance-Level jährlich erneut nachgewiesen werden. Auch technische und organisatorische Veränderungen im Unternehmen – etwa die Einführung neuer Systeme oder ein Wechsel des Payment-Providers – können eine erneute Überprüfung der eigenen Konformität erforderlich machen. Unternehmen sollten PCI-DSS deshalb als fortlaufenden Prozess statt als einmalig abgehakte Aufgabe betrachten.
PCI-DSS im Subscription-Geschäft
Gerade bei wiederkehrenden Zahlungen mit dauerhaft gespeicherten Zahlungsinformationen ist die korrekte PCI-DSS-Behandlung besonders relevant, da Kartendaten über die gesamte Kundenbeziehung hinweg – potenziell über Jahre – sicher verwaltet werden müssen. Eine einmalig fehlerhafte Implementierung wirkt sich dadurch nicht nur auf eine einzelne Transaktion aus, sondern auf sämtliche zukünftigen Abbuchungen des betroffenen Kunden.
Wie Tokenisierung den Compliance-Aufwand reduziert
Der wirksamste Weg, den eigenen PCI-DSS-Aufwand gering zu halten, besteht darin, echte Kartendaten gar nicht erst in das eigene System gelangen zu lassen. Durch konsequente Tokenisierung über einen zertifizierten Payment-Provider verlagert sich der Großteil der eigentlichen Compliance-Verantwortung auf diesen Provider, der bereits selbst nach den strengeren PCI-DSS-Level-1-Anforderungen zertifiziert ist. Das eigene Unternehmen muss dann lediglich die vergleichsweise überschaubaren Anforderungen für Unternehmen ohne direkten Kartendatenzugriff erfüllen.
Konsequenzen bei Nichteinhaltung
Verstöße gegen PCI-DSS können empfindliche Konsequenzen nach sich ziehen: Kreditkartenorganisationen können Bußgelder verhängen, Payment-Provider können die Zusammenarbeit einschränken oder beenden, und im Fall eines tatsächlichen Datenlecks drohen zusätzlich erhebliche Reputationsschäden sowie mögliche Schadensersatzforderungen betroffener Kunden. Die konsequente Nutzung von Tokenisierung und zertifizierten Payment-Providern minimiert dieses Risiko von vornherein erheblich, da im Ernstfall keine verwertbaren Kartendaten im eigenen System vorhanden wären, die überhaupt entwendet werden könnten.
Fazit
PCI-DSS ist für jedes Unternehmen verpflichtend, das Kreditkartenzahlungen akzeptiert – der tatsächliche Aufwand hängt jedoch maßgeblich davon ab, wie die Kartendatenverarbeitung technisch gestaltet ist. Wer konsequent auf Tokenisierung und zertifizierte Payment-Provider setzt, kann den eigenen Compliance-Aufwand auf ein überschaubares Maß reduzieren, statt die volle regulatorische Last der Kartendatenverarbeitung selbst zu tragen und dauerhaft aufwendige Audits durchlaufen zu müssen.