Wer Kartendaten verarbeitet, speichert oder überträgt, ist an den Standard gebunden — nicht durch ein Gesetz, sondern durch den Vertrag mit Acquirer und Kartenmarken. Seit März 2025 gelten alle erweiterten Anforderungen der Version 4.x vollständig.
30 Minuten · kostenlos · kein Verkaufsdruck · Sie bekommen danach eine schriftliche Einschätzung
Der Aufwand hängt fast vollständig davon ab, wie viele Ihrer Systeme mit Kartendaten in Berührung kommen. Diese Zahl lässt sich meist deutlich senken.
Der wirksamste Hebel kommt vor der ersten Maßnahme: Scope-Reduktion. Je weniger Systeme Kartendaten sehen, desto weniger muss abgesichert und geprüft werden. Häufig lässt sich der Geltungsbereich durch Segmentierung, ausgelagerte Bezahlseiten oder Tokenisierung erheblich verkleinern — mit unmittelbarer Wirkung auf Aufwand und Prüfkosten. Wer sofort mit der Umsetzung beginnt, ohne diese Frage zu klären, sichert oft Systeme ab, die gar nicht dazugehören müssten.
Der Standard ist technischer als die meisten Regelwerke — und dadurch konkreter. Was zu tun ist, steht meist ziemlich genau drin.
Absicherung der Netzwerkübergänge, Segmentierung der Kartendatenumgebung und dokumentierte Regelwerke. Die Segmentierung entscheidet zugleich über den Prüfumfang.
Keine Standardpasswörter, gehärtete Systeme, dokumentierte Konfigurationsstandards. Einfach in der Theorie, in gewachsenen Umgebungen aufwendig.
Kartendaten nur speichern, wenn es unvermeidbar ist — verschlüsselt, mit definierten Löschfristen. Sensible Authentifizierungsdaten dürfen nach der Autorisierung nicht gespeichert werden.
Starke Kryptografie bei jeder Übertragung über offene Netze, mit aktuellen Verfahren und gepflegtem Schlüsselmanagement.
Zugriff nach dem Prinzip der geringsten Rechte, eindeutige Benutzerkennungen und Mehr-Faktor-Authentifizierung für Zugänge zur Kartendatenumgebung.
Nachvollziehbare Protokolle, regelmäßige Auswertung, Schwachstellenscans und Penetrationstests — plus eine dokumentierte Sicherheitsrichtlinie mit klaren Zuständigkeiten.
Bei fehlendem Nachweis können Acquirer Gebühren erheben, Auflagen verhängen oder im Extremfall die Kartenakzeptanz beenden. Das trifft unmittelbar den Umsatz.
Kommt es zu einem Vorfall und war der Standard nicht eingehalten, verschiebt sich die Haftungslage deutlich zu Ihren Ungunsten — zusätzlich zu den datenschutzrechtlichen Folgen.
Nach einem Vorfall ordnen Kartenmarken eine forensische Prüfung durch einen zugelassenen Untersucher an. Kosten und Aufwand liegen bei Ihnen, der Ablauf nicht in Ihrer Hand.
Jede Stunde, die in die Verkleinerung des Geltungsbereichs fließt, spart ein Vielfaches bei Umsetzung und Prüfung.
Wo entstehen Kartendaten, wohin fließen sie, welche Systeme berühren sie? Ergebnis sind Netzwerk- und Datenflussdiagramme — die Grundlage jeder Prüfung.
Lässt sich der Geltungsbereich durch Segmentierung, ausgelagerte Bezahlseiten oder Tokenisierung verkleinern? Der wirtschaftlich wichtigste Schritt im gesamten Projekt.
Abgleich gegen alle zwölf Anforderungen im reduzierten Scope, priorisiert nach Risiko und Prüfrelevanz.
Segmentierung, Härtung, Rechtekonzepte, Protokollierung, Verschlüsselung und die zugehörigen Richtlinien — mit Nachweisen statt bloßer Beschreibung.
Schwachstellenscans und Penetrationstests durchführen, Ergebnisse abarbeiten, anschließend Selbstauskunft erstellen oder den Prüfbericht begleiten.
Der Standard verlangt wiederkehrende Tätigkeiten: Scans, Auswertungen, Prüfungen, jährliche Bestätigung. Ohne feste Zuständigkeit bleibt das liegen.
PCI DSS verlangt sehr konkrete Nachweise. Diese Unterlagen liegen am Ende vor.
Platzhalter: Die drei Kennzahlen oben sind noch nicht belegt. Vor dem Livegang durch echte Werte ersetzen — oder den Zahlenblock entfernen und nur die Liste stehen lassen. Markierung entfernen: class="todo" im Quelltext löschen.
In 30 Minuten wissen Sie, ob und wie PCI DSS Sie trifft, was zuerst dran ist — und was Sie sich sparen können. Ohne Fachchinesisch, ohne Verkaufsdruck.