Was sich mit 4.0.1 geändert hat
Der Payment Card Industry Data Security Standard wird vom PCI Security Standards Council gepflegt. Version 4.0.1, veröffentlicht 2024, löste Ende desselben Jahres 4.0 ab, und die Anforderungen, die für später vorgesehen waren, wurden am 31. März 2025 verpflichtend. Dazu gehören eine stärkere Multi-Faktor-Authentifizierung, gezielte Risikoanalysen und Schutz vor Skripten, die auf Zahlungsseiten Kartendaten abgreifen. Der Standard hat weiterhin zwölf Anforderungen, von Netzwerksicherheit und sicherer Konfiguration über Verschlüsselung, Schwachstellenmanagement, Zugriffskontrolle, Protokollierung und Tests bis zu Sicherheitsrichtlinien.
Zuerst der Geltungsbereich
Ein Händler oder Zahlungsunternehmen muss eine Liste seiner externen Dienstleister führen, wissen, für welche PCI DSS-Anforderungen jeder von ihnen verantwortlich ist, und deren Compliance jedes Jahr überwachen. Die erste Frage lautet deshalb, ob Sie Karteninhaberdaten speichern, verarbeiten oder übertragen oder die Sicherheit der Umgebung, in der sie liegen, beeinflussen könnten. Daraus ergeben sich die Antworten:
- Sie haben mit Kartendaten zu tun. Rechnen Sie damit, eine AOC von einem qualifizierten Assessor oder eine Selbstbewertung vorzulegen, dazu eine Verantwortungsmatrix, die zeigt, welche Anforderungen Sie abdecken und welche beim Kunden bleiben, und Antworten auf detaillierte Fragen zu jeder Anforderung.
- Sie könnten die Kartenumgebung beeinflussen (zum Beispiel, weil Sie die Checkout-Seite des Kunden hosten oder Netzwerkzugriff darauf haben). Dann fallen Sie unter die Anforderungen, die diese Verbindung betreffen, und der Kunde wird danach fragen.
- Sie liegen außerhalb des Geltungsbereichs. Sagen Sie das mit Begründung und beantworten Sie die allgemeinen Sicherheitsfragen wie bei jedem anderen Fragebogen.
Wie die Fragen aussehen
Über den Geltungsbereich hinaus: ob Sie eine aktuelle AOC haben und von wem, die Verantwortungsmatrix, wie Sie Systeme segmentieren, die Kartendaten verarbeiten, Multi-Faktor-Authentifizierung für jeden Zugriff auf die Kartenumgebung, Schwachstellenscans durch einen Approved Scanning Vendor (ASV), Penetrationstests, Aufbewahrung von Logs und wie Sie den Kunden über einen Vorfall mit Kartendaten informieren würden.
Antworten als Lieferant
Schreiben Sie die Erklärung zum Geltungsbereich einmal, mit einem einfachen Datenfluss, und stimmen Sie sie mit der Person ab, die Ihre Verträge unterschreibt. Fallen Sie in den Geltungsbereich, ist die Verantwortungsmatrix das Dokument, das Prüfer am dringendsten sehen wollen; veröffentlichen Sie sie jedes Jahr zusammen mit der AOC. Fallen Sie nicht hinein, erspart ein klarer Absatz mit der Begründung ein Dutzend Rückfragen.
In Responsemate
Die Erklärung zum Geltungsbereich, die AOC und die Verantwortungsmatrix liegen als Nachweise mit ihrem Ablaufdatum in der Wissensdatenbank, und jede PCI-Zeile wird daraus in den Worten des Kunden entworfen. Welche Nachweise Sie anhängen sollten.
Häufige Fragen
Müssen wir PCI DSS erfüllen, wenn wir nie mit Kartendaten in Berührung kommen?
Meist nicht, aber Sie müssen es belegen. Beschreiben Sie, wie Kartendaten rund um Ihren Dienst fließen, bestätigen Sie schriftlich, dass Sie sie weder speichern noch verarbeiten noch übertragen, und sagen Sie, ob Ihr Dienst die Sicherheit der Kartenumgebung des Kunden trotzdem beeinflussen könnte.
Was ist eine AOC?
Die Attestation of Compliance (Konformitätsbescheinigung) ist das kurze Dokument, das das Ergebnis der PCI DSS-Bewertung eines Unternehmens festhält. Von einem Dienstleister im Geltungsbereich wird erwartet, dass er seinen Kunden jedes Jahr eine aktuelle AOC vorlegt.