Wer Kreditkartenzahlungen annimmt, verpflichtet sich über den Vertrag mit dem Acquirer, PCI DSS einzuhalten. Der Standard ist kein Gesetz, wird aber vertraglich durchgesetzt; bei Verstössen drohen Gebühren und im Schadenfall Haftung.
Zwölf Anforderungen
PCI DSS gliedert sich in zwölf Anforderungen, von Netzwerksicherheit und Schutz gespeicherter Kartendaten über Zugriffskontrolle und Protokollierung bis zu regelmässigen Tests und einer Sicherheitsrichtlinie. Mit Version 4.0 kamen unter anderem strengere Anforderungen an die Authentifizierung und an Skripte auf Zahlungsseiten hinzu.
Prüfumfang klein halten
Der wichtigste Hebel für Shops und Apps ist, Kartendaten gar nicht selbst zu berühren. Wer die Eingabe vollständig einem zertifizierten Zahlungsanbieter überlässt, etwa über ein eingebettetes Zahlungsformular oder eine Weiterleitung, reduziert den Prüfumfang erheblich und kann oft eine verkürzte Selbstbeurteilung nutzen.
Bezug zu anderen Regeln
PCI DSS ergänzt Datenschutz und Informationssicherheit, ersetzt sie aber nicht. Für Händler mit eigenem Shop ist die Zahlungsstrecke zugleich ein Thema der Barrierefreiheit. In unseren eigenen Produkten wickeln wir Zahlungen über zertifizierte Anbieter ab, ohne Kartendaten zu speichern.