Was Sie als Händler über PCI DSS wissen müssen und wie man sich vor Missbrauch und Angriffen schützen kann.
Ob Onlineshop, Geschäft oder Hotel: Wer Kartenzahlungen akzeptiert, trägt Verantwortung für den Schutz sensibler Zahlungsdaten. PCI DSS hilft Unternehmen dabei, Sicherheitsrisiken zu minimieren, Betrug vorzubeugen und das Vertrauen ihrer Kunden zu stärken.
„Wir akzeptieren Kartenzahlungen in unserem Geschäft und Onlineshop. Welche Anforderungen gelten für den Schutz von Zahlungsdaten und was bedeutet PCI DSS für unser Unternehmen?“
Peter N., Einzelhändler aus Hannover
Kartenzahlungen gehören heute zum Alltag. Gleichzeitig nehmen Cyberangriffe, Datenmissbrauch und Betrugsversuche kontinuierlich zu. Für Unternehmen jeder Größe wird es daher immer wichtiger, Zahlungsdaten sicher zu verarbeiten und zu schützen.
Hier kommt PCI DSS ins Spiel. Der Payment Card Industry Data Security Standard (PCI DSS) ist ein international anerkannter Sicherheitsstandard für Unternehmen, die Kreditkartendaten speichern, verarbeiten oder übertragen. Ziel ist es, Karteninhaberdaten zu schützen und Sicherheitsrisiken entlang der gesamten Zahlungsabwicklung zu reduzieren.
Sicherheit spielt eine zentrale Rolle bei allen Zahlungsvorgängen, egal ob stationär und mobil, ob im E-Commerce, im Geschäft oder beim Kunden vor Ort. Natürlich muss man sich darauf verlassen können, dass Transaktionen erfolgreich übermittelt und Zahlungen zuverlässig abgewickelt werden. Wichtig dabei ist, dass Unberechtigte keinen Zugriff auf Daten des Kunden oder des Händlers erlangen – vor allem bei Kreditkarten, aber auch darüber hinaus.
Um Zahlungsausfällen, Kreditkartenmissbrauch und Diebstahl von Daten vorzubeugen und auch dagegen vorzugehen, gibt es einen weltweit gültigen Sicherheitsstandard der führenden Kreditkartenorganisationen, den sogenannten PCI DSS – Payment Card Industry Data Security Standard.
„Man könnte PCI DSS auch den ‚Sicherheits-TÜV im Datenverkehr‘ für Kartenzahlungen nennen“, sagt Daniela C., Expertin Credit Risk and Fraud Prevention Expert bei Nexi. Die Standards werden vom PCI Security Standards Council, einem Interessenforum der führenden Kartenorganisationen sowie interessierter Branchengruppen, entwickelt und verwaltet.
„Sicherheit, Verfügbarkeit und Integrität von Daten und IT-Systemen sind kritische Erfolgsfaktoren von Unternehmen, vor allem mit der fortschreitenden Entwicklung des technischen Umfelds. Der eigene ‚Daten-Schatz‘ muss vor Diebstahl, Manipulation und Missbrauch geschützt werden, um zum Beispiel Zahlungsausfälle, Haftungsrisiken und Imageschäden für das Unternehmen zu vermeiden“, so die Expertin.
Grundsätzlich ist jedes Unternehmen, das Kreditkartendaten akzeptiert, speichert, verarbeitet oder übermittelt, dazu verpflichtet, die Sicherheitsvorgaben des PCI DSS einzuhalten. Das gilt für Nexi genauso wie für Sie als Internethändler, Ladeninhaber, Hotelier oder Gastronom und für alle Ihre Dienstleister, die mit Kartendaten in Berührung kommen.
Schutz vor Cyber-Kriminalität und Reputationsschäden
Aktuelle Sicherheitsanforderungen schützen Unternehmen und Kunden
Cyberangriffe auf Unternehmen werden zunehmend professioneller. Neben externen Angriffen stellen auch Fehlkonfigurationen, unzureichende Zugriffsrechte oder unsichere Prozesse ein Risiko dar.
Durch die Umsetzung der PCI-DSS-Anforderungen schaffen Unternehmen eine wichtige Grundlage für den sicheren Umgang mit Kartendaten. Gleichzeitig lassen sich finanzielle Schäden, Betriebsunterbrechungen sowie Reputationsverluste reduzieren.
Kommt es hingegen zu einem Sicherheitsvorfall, können neben direkten Kosten auch rechtliche Konsequenzen, Schadensersatzforderungen oder Vertrauensverluste bei Kunden entstehen.
Wer die Standards einhält, schützt sich und sein Unternehmen so weit wie möglich vor Missbrauch oder Verlust von Karten- und Unternehmensdaten, genauso wie vor Hacker-Angriffen, Cyber-Kriminalität und Angriffen „von innen“.
Wer die Standards nicht einhält, muss mit Schadensersatzforderungen und dem Risiko von Klagen rechnen, genauso wie hohen Geldstrafen wegen Verstoßes gegen die Sicherheits- und/oder Datenschutzvorgaben oder wegen Verstoß gegen die Regeln der Kartenorganisationen. Auch Reputationsschäden und der damit verbundene Vertrauensverlust Ihrer Kunden können schwerwiegende Konsequenzen für Ihr Geschäft haben.
„Wichtig zu wissen ist, dass Sie Ihr Unternehmen mit einem erbrachten Nachweis nach dem PCI-DSS-Standard weitgehend vor den Risiken und Schäden eines Sicherheitsvorfalls schützen können und zudem gesetzliche Datenschutzrichtlinien zu einem Großteil erfüllen.
Die zu erfüllenden Anforderungen für den Nachweis bestehen aus technischen und operativen Komponenten bei der Abwicklung von Kartenzahlungen. Anforderungen sind zum Beispiel das Einrichten und die Wartung der eigenen Systeme, die Verwaltung von Zugriffsrechten, aber auch die Prüfung der PCI-Konformität Ihrer involvierten Dienstleister (PCI DSS: 12 Sicherheitsanforderungen zum herunterladen). Sie bilden die Sicherheitsgrundlage für Ihr Unternehmen“, so Daniela C., Expertin Credit Risk and Fraud Prevention und erklärt weiter:
„Haftungsrechtlich und regulatorisch ist es für Unternehmen wichtig, für Datensicherheit zu sorgen und auch das Datenschutzgesetz einzuhalten.Doch letztendlich sollte es für Sie als Händler noch wichtiger sein, dass Ihre Geschäftsgeheimnisse und Daten sicher sind. Deshalb raten wir Ihnen die geforderten Standards zu erfüllen und den Nachweis zum Beispiel über die PCI-DSS-Selbst-Auskunft (‚SAQ‘) regelmäßig zu erbringen. Hierbei können wir Sie unterstützen.“
Selbst-Nachweis für Ihr Unternehmen
PCI-DSS-Nachweis einfach durchführen
Je nach Art und Umfang der Kartenzahlungen müssen Unternehmen ihre PCI-DSS-Konformität regelmäßig nachweisen.
Nexi unterstützt Händler dabei gemeinsam mit spezialisierten Partnern durch Informationsangebote und digitale Self-Assessment-Prozesse. So können Unternehmen prüfen, welche Anforderungen für sie gelten und die notwendigen Nachweise effizient erbringen.
Benötigen Sie Unterstützung bei Ihrem PCI-DSS-Nachweis, hilft Ihnen unser Support gerne weiter.
Anforderungen auf einen Blick
Die Anforderungen der PCI DSS lassen sich grundsätzlich in drei Kategorien unterteilen.
1. Zugriffskontrolle und -beschränkung: Händler müssen den Zugang zu Karteninhaberdaten einschränken. Dies tun Sie beispielsweise dadurch, dass nur Personen im Unternehmen auf für Sie relevante Daten zugreifen können – ganz nach dem „Need-to-know“-Prinzip. Außerdem muss die Möglichkeit bestehen, Zugriffe auf Netzwerkressourcen sowie Karteninhaberdaten zu verfolgen und zu überwachen – beispielsweise durch die Zuweisung eindeutiger Kennungen an alle Personen mit Computerzugriff.
2. Softwaresicherheit: Händler müssen für die Einrichtung und Instandhaltung der Firewall-Konfiguration zum Schutz der Daten sorgen. Außerdem sind Sie für die verschlüsselte Übertragung sensibler Informationen, wie der Karteninhaberdaten, über öffentliche Netze verantwortlich. Der Gebrauch und die regelmäßige Aktualisierung von Antivirenprogrammen sind ebenfalls bindend.
3. Sicherheit im Umgang: Die PCI DSS verlangen ein allgemein sicheres Vorgehen im Umgang mit Kartendaten. Händler müssen stets die Nutzung sicherer Systeme und Anwendungen sowie deren regelmäßige Prüfung garantieren. Außerdem dürfen grundsätzlich keine voreingestellten System-Passwörter oder Sicherheitsparameter genutzt werden.
Erfahren Sie mehr über PCI mit einem speziellen Fokus der Kartensicherheit für Hotels (Broschüre).
Neben der PCI-DSS-Verifizierung können Sie und Ihre Mitarbeiter dazu beitragen, Datenhacking, Kartenmissbrauch und Betrug vorzubeugen.
Für weitere Fragen zu diesem Thema oder auch bei anderen Anliegen stehen wir Ihnen gerne auch telefonisch zur Verfügung. Nehmen Sie zu uns Kontakt auf. Wir freuen uns auf Sie!
