PCI-DSS-Zertifizierung: Anforderungen, Ablauf und Nachweis nach PCI DSS 4.0.1

PCI DSS (Payment Card Industry Data Security Standard) ist der Sicherheitsstandard der Kartenorganisationen für alle Unternehmen, die Kartendaten speichern, verarbeiten oder übertragen. Eine Zertifizierung im engeren Sinn gibt es nicht: Unternehmen weisen ihre Konformität jährlich nach – je nach Transaktionsvolumen per Selbstbeurteilungsfragebogen (SAQ) oder per Prüfbericht eines Qualified Security Assessors. Maßgeblich ist derzeit PCI DSS 4.0.1.

Der PCI DSS ist ein Sicherheitsstandard im Zahlungsverkehr, der vor Betrug und Missbrauch bei Kreditkartenzahlungen schützen soll. Die strengen Sicherheitsanforderungen stellen einen Schutz der sensiblen Informationen über den Kreditkarteninhaber dar, sodass dieser Vertrauen in das Zahlungsmittel haben kann. In diesem Artikel erfahren Sie, wie Sie vorgehen müssen, wenn Sie die PCI-DSS-Konformität nachweisen möchten, um die Sicherheit Ihres Zahlungssystems zu verbessern.

Grundprinzipien der PCI-DSS-Zertifizierung

Der PCI DSS (die Abkürzung steht für Payment Card Industry Data Security Standard) umfasst Sicherheitsanforderungen, die das Ziel haben, alle mit einer Zahlung verbundenen Daten zu schützen. Die Anforderungen schützen Kartendaten, beugen auf diese Weise Betrügereien vor und senken generell das Risiko von Datenlecks. Die erste Version des PCI DSS erschien im Dezember 2004. Seit 2006 verwaltet ihn das PCI Security Standards Council, das American Express, Discover, JCB, Mastercard und Visa gegründet haben. Der PCI DSS gliedert sich in sechs Ziele:

● ein sicheres Netzwerk aufbauen und pflegen,
● die Daten der Karteninhaber schützen,
● ein Programm für das Schwachstellenmanagement unterhalten,
● strenge Maßnahmen für die Zugriffskontrolle implementieren,
● Netzwerke regelmäßig testen und überwachen,
● eine Richtlinie für die Informationssicherheit pflegen.

Ziel von PCI DSS ist also der Schutz des gesamten Ökosystems rund um Kreditkarten. Der Standard gilt für Händler und alle Unternehmen oder Dienstleister, die Kartendaten speichern, verarbeiten oder übertragen.

Die 12 Anforderungen des PCI DSS 4.0.1

Die sechs Ziele des Standards werden durch zwölf Anforderungen konkretisiert. Nach der Übersicht von ComputerWeekly.de lassen sie sich so zusammenfassen:

1. Netzsicherheitskontrollen und Segmentierung
2. Sichere Konfigurationen und Abschalten von Standardwerten
3. Schutz gespeicherter Kontodaten
4. Kryptografischer Schutz bei der Übertragung
5. Schutz vor Schadsoftware
6. Sichere Systeme und Anwendungen
7. Zugriff nur nach dem Need-to-know-Prinzip
8. Identifizierung und Authentifizierung inklusive Multi-Faktor-Authentifizierung
9. Physische Sicherheit
10. Protokollierung und Überwachung
11. Regelmäßige Tests und Scans
12. Governance, Richtlinien und Risikomanagement

PCI DSS 4.0 wurde am 31. März 2022 veröffentlicht, die überarbeitete Version 4.0.1 am 11. Juni 2024. Sie führt keine neuen Anforderungen ein, präzisiert aber Formulierungen. Viele Neuerungen der Version 4 waren zunächst nur empfohlen; laut usd AG sind diese insgesamt 52 zukunftsdatierten Anforderungen seit dem 31. März 2025 verpflichtend. Dazu gehören etwa längere Passwörter und eine breitere Pflicht zur Multi-Faktor-Authentifizierung. Auch regelmäßige Sicherheitsschulungen der Mitarbeitenden sind Teil der Anforderungen – ein Bereich, in dem eine gute Schulung der Endnutzer direkt zur Compliance beiträgt.

Die Etappen für die PCI-DSS-Zertifizierung

Um die PCI-DSS-Compliance zu gewährleisten, müssen bestimmte Anforderungen erfüllt sein. Mit einem PCI-DSS-Tool können sich Organisationen selbst einschätzen, Probleme identifizieren und die notwendigen Sicherheitsmaßnahmen umsetzen. Für den Konformitätsnachweis sind in der Regel sieben Schritte nötig:

● die Datenflüsse der Kreditkartendaten visualisieren,
● den Umfang der Umgebung festlegen,
● die derzeitige Konformität mit dem PCI DSS beurteilen,
● gegebenenfalls Änderungen durchführen, um Schwachstellen zu beheben,
● je nach Level den passenden Selbstbeurteilungsfragebogen (SAQ) ausfüllen oder einen Prüfbericht (ROC) erstellen lassen,
● die Konformitätsbescheinigung (AOC) an die Acquiring-Bank oder den Zahlungsdienstleister übermitteln,
● die Compliance laufend überwachen und jährlich erneut nachweisen.

PCI DSS 4.0 wurde im März 2022 veröffentlicht; seit dem 31. Dezember 2024 ist die überarbeitete Version 4.0.1 maßgeblich, die weiterhin auf 12 grundlegenden Anforderungen basiert. Im Laufe der Zeit wurden die Anforderungen immer wieder im Hinblick auf bestimmte wichtige Aspekte ausgeweitet, die die Sicherheit der Informationssysteme sowie die Onlinezahlungstechnologien betreffen.

Händler-Level, SAQ und ROC: Wie wird PCI-DSS-Konformität nachgewiesen?

Ein offizielles „PCI-DSS-Zertifikat“ für Händler gibt es nicht. Unternehmen weisen jährlich nach, dass die geforderten Kontrollen wirksam sind. Wie dieser Nachweis aussieht, hängt vom Händler-Level ab, das sich nach der Zahl der Kartentransaktionen pro Jahr richtet. Am Beispiel von Visa und Mastercard beschreibt Stripe die Einstufung so:

Am Ende steht jeweils eine Konformitätsbescheinigung (Attestation of Compliance, AOC), die das Unternehmen an seine Acquiring-Bank oder seinen Zahlungsdienstleister übermittelt. ASV-Scans sind externe Schwachstellenscans durch einen zugelassenen Anbieter (Approved Scanning Vendor). Je weniger Systeme mit Kartendaten in Berührung kommen, desto kleiner ist der Prüfumfang – deshalb lagern viele Händler die Zahlungsabwicklung an PCI-DSS-konforme Dienstleister aus.

Die richtige Vorbereitung auf das PCI-DSS-Audit

Der letzte Schritt für Unternehmen, die einen Prüfbericht benötigen, ist das Audit. Dabei prüft eine unabhängige Stelle, ob die Anforderungen der Norm im Unternehmen erfüllt sind. Vor dem Audit gilt es zunächst, den Besuch des Auditors vorzubereiten. Die meisten Prüfer verlangen vom zu prüfenden Unternehmen im Vorfeld bestimmte Informationen (z. B. eine Beschreibung der bestehenden Kontrollen oder eine Bestandsaufnahme der Systeme). Selbstverständlich sollten Sie in der Lage sein, die gewünschten Informationen zu liefern.

Erstellen Sie dann selbst eine genaue Analyse, um Schwachstellen zu erkennen. Identifizieren Sie kritische Punkte in den Zahlungsprozessen und -systemen und konzentrieren Sie die Anstrengungen auf diese sensiblen Risikobereiche.

Vor dem Audit ist es wichtig, Kontrollmechanismen einzuführen. Auf diese Weise können Sie die Compliance kontinuierlich überprüfen und kleine Abweichungen vor dem offiziellen Audit beheben. Die Einhaltung des PCI DSS wird mit einer Konformitätsbescheinigung (Attestation of Compliance, AOC) bestätigt. Dazu muss das Unternehmen je nach Level einen Selbstbeurteilungsfragebogen ausfüllen oder ein Audit durch einen oder mehrere QSA (Qualified Security Assessor) durchführen lassen.

Bedeutung der PCI-DSS-Zertifizierung

Der PCI DSS ist eine der Grundlagen für die Sicherheit von Kreditkartendaten. Die Einhaltung des Standards senkt nicht nur Betrugsrisiken, sondern stärkt auch das Vertrauen der Kunden. Der PCI DSS verlangt unter anderem ein konsequentes Schwachstellenmanagement für alle Systeme, die Kartendaten verarbeiten. Für alle Organisationen, die Kartenzahlungen abwickeln, ist der Standard verbindlich.