PCI DSS – Payment Card Industry Data Security Standard
Abkürzung: PCI DSS
Der Payment Card Industry Data Security Standard (PCI DSS) legt fest, wie Unternehmen Kartendaten schützen müssen. Er gilt für jeden, der Daten von Kredit- und Debitkarten der großen Kartenorganisationen speichert, verarbeitet oder überträgt: Händler, Zahlungsdienstleister, Banken und ihre Dienstleister, bis hin zum Rechenzentrum, in dem die Systeme stehen.
PCI DSS ist kein Gesetz. Er gilt über Verträge: Die Kartenorganisationen verpflichten die Acquirer, also die Banken, die für Händler Kartenzahlungen abwickeln, und diese verpflichten ihre Händler. Wer gegen den Standard verstößt, riskiert Vertragsstrafen, höhere Gebühren und im Ernstfall den Verlust der Möglichkeit, Kartenzahlungen anzunehmen.
Herausgeber und Versionen
Herausgeber ist das PCI Security Standards Council (PCI SSC), 2006 gegründet von American Express, Discover, JCB, Mastercard und Visa. Inzwischen gehört auch UnionPay zum Führungsgremium. Das Council schreibt die Standards und lizenziert Prüfer. Ob ein Unternehmen den Standard einhalten muss und wie es das nachweist, legen die Kartenorganisationen und Acquirer fest.
| Version | Stand |
|---|---|
| 3.2.1 | seit 31. März 2024 außer Kraft |
| 4.0 | erschienen März 2022, abgelöst durch 4.0.1 |
| 4.0.1 | erschienen Juni 2024, Klarstellungen ohne neue Anforderungen; gilt heute |
Version 4.0 brachte 64 neue Anforderungen. 51 davon waren mit Übergangsfrist versehen und sind seit dem 31. März 2025 verbindlich.
Welche Daten geschützt werden
| Datenart | Beispiele | Speichern erlaubt |
|---|---|---|
| Karteninhaberdaten | Kartennummer (PAN), Name, Ablaufdatum, Service-Code | ja, Kartennummer nur unlesbar, etwa verschlüsselt, gekürzt oder als Token |
| Sensible Authentifizierungsdaten | Prüfnummer (CVV, CVC), vollständige Magnetstreifen- oder Chipdaten, PIN | nein, nicht nach der Autorisierung, auch nicht verschlüsselt |
Die Kartennummer bestimmt den Geltungsbereich. Alle Systeme, die sie speichern, verarbeiten oder übertragen, bilden die Cardholder Data Environment (CDE). Dazu kommen Systeme, die mit der CDE verbunden sind oder ihre Sicherheit beeinflussen können, etwa Verzeichnisdienste, Protokollserver oder Sprungserver für Administratoren.
Die zwölf Anforderungen von PCI DSS
| Ziel | Nr. | Anforderung |
|---|---|---|
| Sicheres Netz und sichere Systeme | 1 | Netzsicherheitskontrollen einrichten und pflegen |
| 2 | sichere Konfiguration für alle Systemkomponenten | |
| Schutz der Kontodaten | 3 | gespeicherte Kontodaten schützen |
| 4 | Karteninhaberdaten bei Übertragung über offene Netze stark verschlüsseln | |
| Schwachstellenmanagement | 5 | Systeme und Netze vor Schadsoftware schützen |
| 6 | sichere Systeme und Software entwickeln und pflegen | |
| Zugangskontrolle | 7 | Zugriff nach Notwendigkeit beschränken |
| 8 | Benutzer identifizieren und Zugriffe authentifizieren | |
| 9 | physischen Zugang zu Karteninhaberdaten beschränken | |
| Überwachung und Tests | 10 | alle Zugriffe auf Systemkomponenten und Karteninhaberdaten protokollieren und überwachen |
| 11 | Sicherheit von Systemen und Netzen regelmäßig testen | |
| Sicherheitsrichtlinien | 12 | Informationssicherheit mit Richtlinien und Programmen unterstützen |
Einige Punkte, die seit Version 4.0 neu oder verschärft sind:
- Multi-Faktor-Authentifizierung für jeden Zugriff in die CDE, auch aus dem internen Netz (8.4.2)
- Inventar und Freigabe aller Skripte auf Bezahlseiten von Online-Shops, dazu Überwachung auf unerlaubte Änderungen (6.4.3, 11.6.1)
- Schutz vor Phishing als Teil der Schulungen (5.4.1)
- jährliche Bestätigung des Geltungsbereichs (12.5.2)
- gezielte Risikoanalysen, mit denen ein Unternehmen Prüfintervalle selbst begründen kann
Nachweis
Wie ein Unternehmen nachweist, dass es PCI DSS einhält, hängt von seiner Einstufung ab. Die Stufen legen die Kartenorganisationen fest, die Werte unterscheiden sich im Detail.
| Stufe | Händler, Kartentransaktionen pro Jahr | Nachweis |
|---|---|---|
| 1 | über 6 Mio. | Prüfung vor Ort durch einen Qualified Security Assessor (QSA), Report on Compliance |
| 2 | 1 bis 6 Mio. | Selbstbewertung, teils mit Bestätigung durch QSA |
| 3 | 20.000 bis 1 Mio. | Selbstbewertung |
| 4 | unter 20.000 | Selbstbewertung |
Dienstleister mit mehr als 300.000 Transaktionen im Jahr brauchen grundsätzlich eine Prüfung durch einen QSA. Zur Selbstbewertung gibt es Fragebögen (Self-Assessment Questionnaire, SAQ) in mehreren Varianten, vom kurzen SAQ A für Händler, die die Zahlung komplett an einen Dienstleister auslagern, bis zum SAQ D mit allen Anforderungen. Wer aus dem Internet erreichbare Systeme im Geltungsbereich hat, lässt sie vierteljährlich von einem zugelassenen Scan-Dienstleister (Approved Scanning Vendor, ASV) prüfen.
Den Geltungsbereich klein halten
Der wirksamste Hebel ist, Kartendaten gar nicht erst in die eigenen Systeme zu lassen:
| Maßnahme | Wirkung |
|---|---|
| Bezahlseite des Zahlungsdienstleisters einbinden | Kartennummer berührt die eigenen Server nicht |
| Tokenisierung | eigene Systeme speichern nur einen Ersatzwert, die Kartennummer liegt beim Dienstleister |
| Point-to-Point Encryption (P2PE) | Terminal verschlüsselt, der Händler sieht die Daten nie im Klartext |
| Netzsegmentierung | CDE vom übrigen Netz trennen, damit nicht das ganze Netz zum Geltungsbereich wird |
Segmentierung ist keine Pflicht, aber ohne sie fällt jedes System ins Prüfungsumfeld, das die CDE erreichen kann. Ob die Trennung wirkt, ist mit Penetrationstests zu belegen.
Im Rechenzentrum
Ein Rechenzentrum, das Systeme eines Händlers oder Zahlungsdienstleisters beherbergt, ist selbst Dienstleister im Sinne von PCI DSS. Typischerweise übernimmt ein Colocation-Anbieter die physische Sicherheit nach Anforderung 9: Zutrittskontrolle, Besucherverwaltung, Videoüberwachung, Schutz der Racks und Aufbewahrung der Zutrittsprotokolle.
PCI DSS verlangt, dass Kunde und Dienstleister schriftlich festhalten, wer welche Anforderung erfüllt (12.8, 12.9). In der Praxis ist das eine Verantwortungsmatrix. Der Dienstleister belegt seinen Teil mit einer Attestation of Compliance (AOC), die der Kunde seinem eigenen Nachweis beilegt. Fehlt sie, muss der Prüfer des Kunden das Rechenzentrum selbst begehen.
Bei Managed Hosting, Cloud oder Out-of-Band-Management durch den Anbieter wächst sein Anteil: Wer Zugang zu Systemen in der CDE hat, fällt mit diesen Zugängen in den Geltungsbereich, einschließlich Multi-Faktor-Authentifizierung und Protokollierung.
Normen
- PCI DSS v4.0.1, PCI Security Standards Council, Juni 2024