Ob Onlineshop oder Ladenkasse: Kartenzahlung gehört in den meisten Unternehmen zum Tagesgeschäft. Überall, wo Kartendaten fließen, entsteht damit ein lohnendes Angriffsziel – und es greift ein klar umrissenes Regelwerk: der Payment Card Industry Data Security Standard, kurz PCI DSS.
Die Einhaltung ist keine freiwillige Übung. Wer den Standard missachtet, riskiert Vertragsstrafen der Zahlungsdienstleister und kann nach einem Datenabfluss für die Folgen des Kartenmissbrauchs in Anspruch genommen werden.
Was ist PCI DSS?
PCI DSS ist ein weltweit einheitlicher Sicherheitsstandard für den Umgang mit Karteninhaberdaten. Herausgeber ist das PCI Security Standards Council, ein Gremium der großen Kartenorganisationen; derzeit wird der Standard in der Versionslinie 4 fortgeschrieben. Rechtlich handelt es sich nicht um ein Gesetz: Die Pflicht entsteht über Verträge, in denen Händler und Dienstleister ihrer Bank beziehungsweise ihrem Acquirer die Einhaltung zusagen.
Dreh- und Angelpunkt ist die Karteninhaberdaten-Umgebung, englisch Cardholder Data Environment (CDE). Sie umfasst alle Systeme, die Kartendaten speichern, verarbeiten oder übertragen, und zusätzlich jedes System mit direkter Verbindung dorthin. Der Zuschnitt dieser Umgebung bestimmt den Prüfumfang: Je enger die CDE mit dem restlichen Netz verflochten ist, desto mehr Systeme müssen sämtliche Anforderungen erfüllen und im Audit belegt werden.
Der Weg zur Konformität
Konformität entsteht in einem wiederkehrenden Ablauf:
- Geltungsbereich klären: Am Anfang steht die Dokumentation aller Kartendatenflüsse. Daraus ergibt sich, welche Systeme zur CDE gehören und wo welche Anforderungen greifen.
- Zwölf Kernanforderungen umsetzen: Der Standard bündelt zwölf Anforderungen in sechs Zielbereichen. Verlangt werden im Kern abgesicherte Netze mit kontrollierten Übergängen, Schutz gespeicherter Kartendaten samt Verschlüsselung bei der Übertragung, gehärtete Systeme mit geregeltem Schwachstellenmanagement, Zugriffskontrolle nach dem Need-to-know-Prinzip, lückenlose Protokollierung mit regelmäßigen Tests sowie verbindliche Sicherheitsrichtlinien für die Organisation.
- Prüfumfang verkleinern: Segmentierung koppelt die CDE vom übrigen Netz ab, sodass große Teile der IT aus dem Audit herausfallen. Besonders präzise gelingt das per Mikrosegmentierung, die Verbindungen bis auf einzelne Workloads begrenzt und die Wirksamkeit der Trennung belegbar macht. Auch Tokenisierung und ausgelagerte Zahlungsseiten reduzieren den Geltungsbereich deutlich.
- Nachweise erbringen: Abhängig vom Transaktionsvolumen genügt ein Selbstauskunftsfragebogen (SAQ), oder ein Qualified Security Assessor (QSA) führt ein formelles Audit durch. Für extern erreichbare Systeme kommen vierteljährliche Scans durch einen zugelassenen Scan-Dienstleister (ASV) hinzu.
- Status halten: PCI DSS ist ein Dauerzustand, kein abgeschlossenes Projekt. Die Nachweise sind jährlich zu erneuern, und Version 4 verlangt an vielen Stellen den Beleg gelebter Prozesse statt einer Momentaufnahme.
In der Praxis übernehmen spezialisierte Managed-Service-Provider häufig den technischen Teil dieser Arbeit – vom Zuschnitt des Geltungsbereichs über die Isolation der Kartendatenumgebung bis zur Vorbereitung auf das Audit; entsprechende Professional Services bündeln Segmentierung, Nachweisführung und Netzwerkhärtung.
Warum PCI DSS wichtig ist
- Vertragliche Bindung: Mit der Akzeptanzvereinbarung ist die Einhaltung gegenüber Acquirer und Kartenorganisationen zugesagt. Verstöße können höhere Gebühren oder den Verlust der Kartenakzeptanz nach sich ziehen.
- Haftung im Schadensfall: Nach einem Datenabfluss prüfen die Kartenorganisationen den Konformitätsstatus. Fehlen Nachweise, verlagern sich Kosten für Kartenmissbrauch und Neuausstellung zum betroffenen Händler.
- Wirksamer Grundschutz: Die Vorgaben adressieren die häufigsten Angriffswege auf Zahlungsdaten, von schwachen Passwörtern bis zu ungepatchten Systemen im Kassennetz.
- Prüfumfang als Kostenhebel: Ein eng geschnittener, sauber segmentierter Geltungsbereich senkt Audit-Aufwand und laufende Betriebskosten spürbar, oft um Größenordnungen.
- Erwartung im Zahlungsökosystem: Banken, Zahlungsdienstleister und Geschäftskunden setzen den Nachweis als Selbstverständlichkeit voraus.
Typische Szenarien
Ein Onlinehändler leitet Käufer zur Bezahlung auf die gehostete Seite eines Zahlungsdienstleisters um. Kartendaten berühren die eigenen Systeme nicht, deshalb reicht ein kurzer Selbstauskunftsfragebogen – solange die Weiterleitung sauber implementiert ist.
Ein Filialhändler betreibt eigene Kassensysteme mit Kartenterminals. Das Kassennetz zählt zur CDE und wird per Segmentierung strikt vom Büronetz getrennt. Arbeitsplätze und Warenwirtschaft bleiben außerhalb des Prüfumfangs; ein kompromittierter Büro-PC führt Angreifer in eine Sackgasse.
Ein IT-Dienstleister hostet Anwendungen, über die Kartendaten laufen. Er muss gegenüber seinen Kunden eigene PCI-DSS-Nachweise vorlegen und wird damit Teil von deren Auditkette, mit klar abgegrenzten Verantwortlichkeiten.
PCI DSS und DSGVO
Beide Regelwerke werden oft verwechselt, verfolgen aber unterschiedliche Ziele. PCI DSS ist ein vertraglicher Branchenstandard für genau eine Datenkategorie, die Karteninhaberdaten, und macht dafür sehr konkrete technische Vorgaben bis hin zu Passwortregeln und Scan-Intervallen. Die DSGVO ist ein Gesetz, erfasst sämtliche personenbezogenen Daten und arbeitet mit risikobasierten Grundsätzen statt detaillierter Technikvorgaben.
Überschneidungen gibt es dennoch: Der Name auf einer Kreditkarte ist zugleich ein personenbezogenes Datum. Ein Kartendatenleck kann deshalb parallel Meldepflichten nach DSGVO und Verfahren der Kartenorganisationen auslösen. Wer die PCI-DSS-Kontrollen sauber umsetzt, erfüllt damit einen relevanten Teil der technischen Anforderungen aus Artikel 32 DSGVO – ersetzt sie aber nicht.
Häufige Fragen
Wer muss PCI DSS einhalten?
Jede Organisation, die Karteninhaberdaten speichert, verarbeitet oder überträgt – unabhängig von Größe und Branche, vom kleinen Onlineshop bis zum internationalen Zahlungsdienstleister. Die Pflicht entsteht vertraglich über die Akzeptanzvereinbarung mit Bank oder Acquirer. Art und Umfang des Nachweises richten sich nach Transaktionsvolumen und Integrationsmodell der Zahlung.
Welche Systeme gehören zur Karteninhaberdaten-Umgebung?
Alle Systeme, die Kartendaten speichern, verarbeiten oder übertragen, etwa Kassensysteme, Zahlungsanwendungen und Datenbanken. Dazu kommen Systeme mit direkter Verbindung zu diesen oder mit Einfluss auf deren Sicherheit, zum Beispiel Verzeichnisdienste oder Update-Server. Ohne wirksame Segmentierung dehnt sich die CDE schnell auf weite Teile des Unternehmensnetzes aus.
Wie verringert Segmentierung den Prüfaufwand?
Auditpflichtig ist der Bereich, der Kartendaten berührt oder erreichen kann. Trennt Segmentierung die Karteninhaberdaten-Umgebung nachweisbar vom Rest des Netzes, fallen alle übrigen Systeme aus dem Prüfumfang. Das reduziert Auditkosten und Umsetzungsaufwand erheblich. Mikrosegmentierung arbeitet dabei feiner als klassische Netzzonen und liefert zugleich die Verbindungsnachweise für den Prüfer.
Welche Folgen haben Verstöße gegen PCI DSS?
Behördliche Bußgelder drohen nicht, da der Standard vertraglich wirkt – wohl aber Konsequenzen von Kartenorganisationen und Acquirern: höhere Transaktionsgebühren, Vertragsstrafen oder der Entzug der Kartenakzeptanz. Nach einem Sicherheitsvorfall kommen forensische Untersuchungen und Kostenumlagen für Kartenmissbrauch hinzu. Am schwersten wiegt häufig der Reputationsschaden gegenüber Kunden und Banken.
Deckt PCI-DSS-Konformität die DSGVO ab?
Nein. PCI DSS betrifft ausschließlich Karteninhaberdaten; die DSGVO regelt als Gesetz den Umgang mit allen personenbezogenen Daten und gilt unabhängig von Verträgen. Sobald Kartendaten natürlicher Personen verarbeitet werden, greifen beide parallel. Die technischen Kontrollen aus PCI DSS liefern allerdings brauchbare Bausteine für die Sicherheitspflichten aus Artikel 32 DSGVO.