Die Payment Card Industry Data Security Standards (PCI DSS) im Blickpunkt

Sicherstellung von PCI DSS-Compliance

Möglicherweise fragen Sie sich, ob Sie die Anforderungen von PCI DSS v3.2.1 oder PCI DSS v4.0 erfüllen müssen.

Wenn Ihr Unternehmen noch nicht PCI DSS-konform ist, sollten Sie sich auf Ihrem Weg zu PCI DSS-Compliance auf die Anforderungen der Version 4.0 fokussieren. PCI DSS v4.0 tritt zum 31. März 2025 in Kraft.

Wenn Ihr Unternehmen Konformität nach Version 3.2.1 erreicht hat, ist es jetzt an der Zeit, sich auf die Erfüllung der in Version 4 festgelegten Standards zu konzentrieren.

Der erste Schritt auf dem Weg zu PCI-Compliance sollte damit beginnen, Ihre Händlerstufe zu ermitteln. Wie bereits erwähnt beruht die Händlerstufe auf der Anzahl der Zahlungskartentransaktionen während eines Zeitraums von 12 Monaten – und jede Kreditkartenmarke kann eigene Kriterien für die jeweiligen Stufen und die entsprechenden Anforderungen festlegen.

Was die Validierung Ihrer PCI DSS-Compliance angeht, so könnte Ihr Unternehmen je nach Transaktionsvolumen einen Selbstbewertungsfragebogen (Self-Assessment Questionnaire, SAQ) ausfüllen, einen Bericht der Konformität (Report on Compliance, ROC) erstellen oder zur Zusammenarbeit mit einem unabhängigen qualifizierten Sicherheitsgutachter (QSA) verpflichtet sein. Um eine PCI-Zertifizierung zu erhalten, muss Ihr Unternehmen mit einem QSA zusammenarbeiten. Ein QSA ist vom PCI SSC zugelassen. Er darf zertifizieren, dass Ihr Unternehmen die PCI DSS-Standards erfüllt, und kann Ihnen eine Konformitätsbescheinigung (Attestation of Compliance, AOC) ausstellen, wenn Sie sämtliche Anforderungen im Zuge Ihrer Bewertung erfüllen.

Erkundigen Sie sich bei Ihrer Kreditkartenmarke oder Ihrem Acquirer, ob Sie für eine Selbstbewertung infrage kommen oder mit einem QSA zusammenarbeiten müssen.

Wenn Sie eine Selbstbewertung durchführen können, muss beachtet werden, dass je nach Art der Umgebung unterschiedliche Arten von Selbstbewertungsfragebögen anzuwenden sind. Laut PCI SSC weist jeder Fragebogen einen einleitenden Abschnitt auf („Before You Begin“), in dem die Umgebung behandelt wird, auf den sich der jeweilige Fragebogen bezieht – einschließlich der entsprechenden Qualifikationskriterien.

Nach Auswahl des zutreffenden Fragebogens und Bestätigung Ihrer Umgebungskriterien sollten Sie alle Abschnitte des SAQ vollständig bearbeiten, darunter auch die in jedem SAQ enthaltene AOC. AOCs sind auch als eigenständige Dokumente verfügbar.

Wenn Ihr Unternehmen externe Schwachstellen-Scans durchführen muss, können Sie Ihre Schwachstellen-Management-Verfahren in Zusammenarbeit mit einem ASV bewerten und sicherstellen, dass Ihre Scanning-Prozesse den PCI DSS-Standards entsprechen. Der zugelassene Anbieter kann Ihnen Scan-Berichte zur Verfügung stellen.

Sobald Selbstbewertungsfragebogen (Self-Assessment Questionnaire, SAQ), Konformitätsbescheinigung (Attestation of Compliance, AOC) und Scans fertiggestellt bzw. abgeschlossen sind, ist die gesamte erforderliche Dokumentation Ihrem Zahlungsdienstleister bzw. Acquirer vorzulegen.

Nochmals: Die einzelnen Zahlungsdienstleister bestimmen letztlich, wie ein Unternehmen eingestuft wird bzw. welches Risiko es aufweist. Doch im Allgemeinen gibt es laut PCI SSC sechs wichtige Schritte auf dem Weg zu PCI-Compliance. Im Wesentlichen kann eine PCI DSS-Bewertung Folgendes umfassen: