Regulierung

Payment Card Industry Data Security Standard

Abkürzung: PCI-DSS

Branchen-Sicherheitsstandard für alle Organisationen, die Kreditkartendaten verarbeiten, speichern oder übertragen.

🧒

Einfach erklärt

Für jeden verständlich — ohne Vorkenntnisse

“Wenn du Kreditkartenzahlungen akzeptierst, musst du PCI-DSS einhalten. Es ist wie ein Sicherheitsstandard speziell fürs Bezahlen: Du musst Kartendaten verschlüsseln, dein Netzwerk sichern, regelmäßig testen. Sonst können Visa und Mastercard dir das Recht entziehen, Kreditkarten anzunehmen.”

Ausführliche Erklärung

PCI-DSS wird vom PCI Security Standards Council (gegründet von Visa, Mastercard, Amex, Discover, JCB) verwaltet. Version 4.0 (aktuell) umfasst 12 Anforderungen in 6 Bereichen: Sichere Netzwerke, Schutz von Karteninhaberdaten, Schwachstellenmanagement, Zugangskontrolle, Monitoring und Richtlinien. Je nach Transaktionsvolumen gilt Level 1-4 mit unterschiedlichen Prüfpflichten (QSA-Audit, SAQ oder ASV-Scan). Nicht-Compliance kann zu Strafen, erhöhten Transaktionsgebühren oder dem Entzug der Zahlungsabwicklung führen.

>Wie funktioniert das?

Scope bestimmen: Alle Systeme die mit Karteninhaberdaten in Kontakt kommen (Cardholder Data Environment, CDE)

Compliance-Level bestimmen: Transaktionsvolumen bestimmt Level 1-4

Maßnahmen implementieren: 12 PCI-DSS Anforderungen umsetzen

Prüfung: Level-1-Händler brauchen jährlichen QSA-Audit, kleinere nutzen Self-Assessment Questionnaire

Report on Compliance (RoC) oder SAQ einreichen.

?Häufig gestellte Fragen

Antwort

Alle Händler, Zahlungsdienstleister und Service-Provider die Kreditkartendaten verarbeiten, speichern oder übertragen — von kleinen Online-Shops bis zu großen Zahlungsabwicklern.

Antwort

Scope-Reduzierung durch Tokenisierung — wenn keine echten Kartendaten gespeichert werden (nur Tokens), reduziert sich der PCI-Scope drastisch und damit auch der Compliance-Aufwand.

Antwort

QSAs sind von PCI SSC zertifizierte Auditoren die für Level-1-Händler verpflichtend den jährlichen Compliance-Audit durchführen und den Report on Compliance (RoC) erstellen.

Antwort

Weil PCI-DSS einen Mindeststandard definiert — und komplexe Angriffstechniken (die zwischen Audit-Zyklen entstehen) dadurch nicht automatisch abgedeckt sind. Compliance ≠ Sicherheit.

Antwort

Durch Nutzung zertifizierter Zahlungsdienstleister (Stripe, PayPal) die den PCI-Scope übernehmen, Tokenisierung statt Kartendaten-Speicherung und Nutzung von P2PE (Point-to-Point Encryption).

Alle Begriffe im Glossar

APT Brute-Force-Angriff Botnet CVE Credential Stuffing DDoS EDR Firewall Honeypot IDS KI-Angriff (Adversarial AI)Lateral Movement LLM-Sicherheit Malware MFA Netzwerksegmentierung OSINT Passkeys Patch Management Phishing Prompt Injection Ransomware SIEM Social Engineering SQL-Injection Threat Intelligence TTP WAF XDR Zero-Day Zero Trust XSS CSRF MitM Supply-Chain-Angriff Spear-Phishing Vishing Smishing Watering-Hole-Angriff Drive-by-Download Insider-Bedrohung Typosquatting Clickjacking DNS-Spoofing Session-Hijacking BEC Cryptojacking SIM-Swapping SOC Pentest Threat Hunting Red Team Blue Team DevSecOps Security Awareness Training Vulnerability Management SAST DAST 3-2-1 Backup-Strategie Cyber-Versicherung NIS2 DSGVO ISO/IEC 27001 BSI IT-Grundschutz NIST CSF KRITIS — Kritische Infrastrukturen PCI-DSS CRA TISAX — Automotive Informationssicherheit BCM Meldepflicht bei Datenpannen Adversarial Machine Learning Model Poisoning Deepfake KI-Halluzination LLM-Jailbreak Federated Learning Shadow AI Trojaner Computerwurm Spyware Rootkit Keylogger Fileless Malware Backdoor Infostealer Wiperware Adware OAuth 2.0 SAML SSO PAM IAM RBAC Passwort-Manager Biometrische Authentifizierung Hardware-Sicherheitsschlüssel VPN DMZ VLAN Port-Scanning BGP-Hijacking IPS NAC TLS SSH HTTPS — HyperText Transfer Protocol Secure SPF, DKIM & DMARC — E-Mail-Authentifizierung IPsec — Internet Protocol Security API-Sicherheit DNSSEC