PCI DSS ist der Sicherheitsstandard der Kreditkartenbranche für alle, die mit Kartendaten umgehen. Die Abkürzung steht für Payment Card Industry Data Security Standard.
- PCI DSS
Der Sicherheitsstandard der Kreditkartenbranche für alle, die mit Kartendaten umgehen.
Beispiel: „Der Zahlungsdienstleister verlangt für den Anschluss einen Nachweis nach PCI DSS.“Auch: Payment Card Industry Data Security Standard. Herausgeber ist ein Gremium der großen Kartenanbieter, nicht ein Gesetzgeber.
Abgrenzung zum Gesetz: PCI DSS ist eine vertragliche Anforderung. Wer sie nicht erfüllt, verliert die Möglichkeit, Karten zu akzeptieren, und haftet im Schadensfall weitergehend.
Wen PCI DSS betrifft
Jeden, durch dessen Systeme Kartendaten laufen, unabhängig von der Größe. Das reicht vom Konzern bis zum Handwerksbetrieb mit einem Kartenlesegerät. Wie der Nachweis aussieht, hängt dagegen sehr von der Menge ab: Für kleine Händler genügt ein Fragebogen zur Selbstauskunft, für große ist eine Prüfung durch einen zugelassenen Prüfer vorgeschrieben.
Was die zwölf Anforderungen verlangen
Im Kern das, was ohnehin gute Praxis ist: Netzwerke trennen, Voreinstellungen ändern, Kartendaten verschlüsselt speichern und übertragen, Schutzprogramme einsetzen, Systeme aktuell halten, Zugriffe auf das Nötige beschränken, jeden Zugang einzeln vergeben, physischen Zugriff regeln, alles protokollieren, regelmäßig prüfen und das Ganze aufschreiben. Die Besonderheit liegt im Nachweis: Jeder dieser Punkte muss belegt werden können.
Wie sich der Aufwand verkleinern lässt
Indem die Kartendaten gar nicht erst ins eigene System kommen. Wer die Zahlung vollständig an einen Dienstleister abgibt, etwa über ein eingebettetes Feld, das direkt bei diesem liegt, verkleinert den Bereich, für den der Standard gilt, erheblich; aus einer Prüfung mit hunderten Punkten wird dann ein kurzer Fragebogen. Diese Entscheidung fällt beim Entwurf und ist später teuer nachzuholen.