Sicherheit von Karteninhaberdaten (PCI DSS)

PCI DSS (Payment Card Industry Data Security Standard) ist ein Sicherheitsstandard, der für Organisationen entwickelt wurde, die Karteninhaberdaten verarbeiten, übertragen oder speichern. Es handelt sich nicht um ein Gesetz, sondern um eine vertragliche Regelung, die von den Kartensystemen (Visa, Mastercard und anderen) auferlegt wird. Der Grad der Konformität hängt von den Stufen (Stufe 1–4) ab, die durch das Transaktionsvolumen festgelegt werden: Organisationen mit hohem Volumen werden einer Vor-Ort-Bewertung durch einen qualifizierten QSA und einem Report on Compliance (RoC) unterzogen, während Unternehmen mit geringerem Volumen einen Fragebogen zur Selbstbewertung (Self-Assessment Questionnaire, SAQ) verwenden. Die derzeit gültige Version ist PCI DSS v4.0.1.

• E-Commerce-Websites und Unternehmen, die Online-Zahlungen akzeptieren
• Einzelhändler nutzen POS- und Zahlungsterminals
• Zahlungsdienstleister und Zahlungsinstitute
• Rechenzentrums- und Cloud-Anbieter, die Kartendaten hosten
• Unternehmen, die Kartenzahlungen über ein Callcenter entgegennehmen

Nicht gesetzlich vorgeschrieben; Aufgrund der Verträge mit den Kartensystemen und Banken ist dies faktisch verpflichtend. Zuwiderhandlungen können ein Bußgeld, höhere Transaktionsgebühren oder den Entzug der Kartenakzeptanz zur Folge haben. Im Falle einer Datenschutzverletzung wirkt sich der Compliance-Status direkt auf die Haftungsbeurteilung aus.

• Ziel 1 — Aufbau und Wartung eines sicheren Netzwerks und sicherer Systeme: Netzwerksicherheitskontrollen, sichere Konfiguration
• Ziel 2 — Karteninhaberdaten schützen: Schutz gespeicherter Daten, Verschlüsselung bei der Übertragung über offene Netzwerke
• Ziel 3 — Pflege eines Schwachstellenmanagementprogramms: Schutz vor Malware, sichere Systeme und Softwareentwicklung
• Ziel 4 — Implementieren Sie eine starke Zugangskontrolle: Beschränkung des Zugangs nach geschäftlichen Anforderungen, Authentifizierung, physische Zugangskontrolle
• Ziel 5 — Netzwerke regelmäßig überwachen und testen: Protokollierung und Überwachung, regelmäßiges Testen der System- und Netzwerksicherheit
• Ziel 6 — Pflege einer Informationssicherheitsrichtlinie und eines Informationssicherheitsprogramms
• Scoping: die Karteninhaberdatenumgebung (CDE) und Segmentierung
• Der Validierungsweg nach Level: RoC (mit einem QSA) oder SAQ (Selbstbewertung)
• ASV-Scan- und Penetrationstestpflichten
• Ausstellung der Konformitätsbescheinigung (AoC)

1. 1Festlegung von Umfang und ProgrammEs werden die zu prüfenden Standorte und Prozesse sowie die für das System erforderliche Prüfdauer festgelegt.
2. 2VorabbewertungOptional wird eine Gap-Analyse durchgeführt; Lücken werden bereits vor der Hauptprüfung sichtbar.
3. 3Audit vor OrtDie Überprüfung der Aufzeichnungen, die Standortbeobachtung und die Befragung der Arbeitnehmer werden anhand der Checkliste des Systems durchgeführt.
4. 4Berichterstattung über die FeststellungenBefunde werden gemäß der Klassifizierung des Systems gemeldet. Das Ergebnis dieser Systeme ist ein Prüfbericht, kein Zertifikat.
5. 5Korrekturmaßnahmen und NachverfolgungFür die Feststellungen wird ein Korrekturmaßnahmenplan vorgelegt; Es wird mit einem Folgeaudit im Rahmen des Programms abgeschlossen.

Die Gültigkeitsdauer von Prüfberichten wird durch das System festgelegt und liegt meist zwischen einem und zwei Jahren. Der Bericht wird für den Zeitraum verwendet, den die kaufende Marke akzeptiert.

• Organisations- und Standortdetails
• Personalbestand und Schichtmuster
• Gesetzliche Genehmigungen und Lizenzen
• Relevante Richtlinien und Verfahren
• Lohn-, Zeit- und Personalunterlagen
• Das Karteninhaberdatenflussdiagramm und die Netzwerktopologie
• Die Definition des Umfangs (CDE) und der Nachweis der Segmentierung
• Die Systeminventar- und Konfigurationsstandards
• ASV-Scanberichte und Penetrationstestberichte
• Die Zugriffsberechtigungsmatrix und Authentifizierungsdatensätze
• Informationssicherheitsrichtlinien und der Incident-Response-Plan
• Die Liste der Drittanbieter und deren Compliance-Status

Es gibt keinen festen Listenpreis; die Kosten werden anhand der folgenden Variablen berechnet und im Angebot schriftlich mitgeteilt.

• Die Anzahl der zu prüfenden Standorte und die Mitarbeiterzahl
• Die Auditdauer, die das System vorschreibt
• Ob eine Vorabbewertung (Lückenanalyse) erforderlich ist
• Ob ein Folgeaudit erforderlich ist

Die meisten dieser Systeme erstellen Prüfberichte und keine Dokumente und unterliegen dem eigenen Genehmigungssystem des Systeminhabers (z. B. Sedex, Amfori, RBA). Eine Akkreditierung im klassischen Sinne findet sich nicht in jedem System. Die Kompetenz des Prüfers und die Gültigkeit des Berichts werden durch die Regeln des Systeminhabers bestimmt.

In welchem Geltungsbereich dieses Schema angeboten werden kann, hängt von Ihrem Produkt und Ihrer Tätigkeit ab; dies wird in der Angebotsphase schriftlich bestätigt.

• SOC 1Kontrollen der Finanzberichterstattung
• SOC 2Vertrauenskontrollen der Serviceorganisation
• TISAXBewertung der Automobil-Informationssicherheit
• ISO/IEC 27001Informationssicherheitsmanagement
• ISO/IEC 27017Cloud-Sicherheit
• ISO/IEC 27018Persönliche Daten in der Cloud
• ISO/IEC 27701Datenschutz-Informationsmanagement
• ISO/IEC 42001Künstliches Intelligenz-Managementsystem