Glossar
PCI-DSS-Standard: Bedeutung und Beispiele
Der PCI-DSS-Standard ist der Sicherheitsstandard für jedes Unternehmen, das Kartendaten speichert, verarbeitet oder übermittelt, und wie Sie konform bleiben.
Aktualisiert am · Von PayToMe Editorial
Der PCI-DSS-Standard (Payment Card Industry Data Security Standard) ist ein System von Sicherheitsregeln für jede Organisation, die Zahlungskartendaten speichert, verarbeitet oder übermittelt. Er wird vom PCI Security Standards Council gepflegt und dient dem Schutz von Karteninhaberdaten vor Diebstahl und Betrug.
Funktionsweise
Der Standard ist in zwölf Hauptanforderungen organisiert, die unter sechs Zielen zusammengefasst sind. Sie decken den Aufbau und die Pflege eines sicheren Netzwerks, den Schutz gespeicherter Karteninhaberdaten, die Aktualisierung von Systemen, den eingeschränkten Zugriff nach dem “Need-to-know”-Prinzip, die Überwachung und Prüfung von Netzwerken sowie die Pflege einer Sicherheitsrichtlinie ab. Der Rat aktualisiert den Standard im Laufe der Zeit, also prüfen Sie die aktuelle Version auf seiner Website.
Was Sie tun müssen, hängt davon ab, wie Sie Karten akzeptieren:
- Gehostete Zahlungsseite oder Weiterleitung. Der Kunde gibt Kartendaten auf der Seite Ihres Anbieters ein. Kartennummern berühren niemals Ihre Systeme, sodass Ihre Validierung gewöhnlich ein kurzes Selbstbewertungsfragebogen ist.
- Eingebettetes Formular auf Ihrer Website. Ein größerer Teil Ihrer Website fällt in den Geltungsbereich, daher ist der Fragebogen länger.
- Kartennummern selbst speichern oder eintippen. Der schwerste Geltungsbereich, mit strengeren Kontrollen, Scans und manchmal einer externen Bewertung.
Ihr Zahlungsabwickler oder Zahlungsgateway wird Ihnen gewöhnlich mitteilen, welcher Fragebogen gilt, und Sie möglicherweise bitten, die Konformität jährlich zu bestätigen. Das Ignorieren kann zu Gebühren oder im schlimmsten Fall zum Verlust der Fähigkeit führen, Karten zu akzeptieren.
Beispiel
Ein Berater verschickt Rechnungen mit einem Zahlungslink und ein Auftragnehmer nimmt Karten telefonisch an. Vergleichen Sie ihr Risiko.
| Einrichtung | Wer handelt Kartennummern | Typische Belastung |
|---|---|---|
| Zahlungslink auf gehosteter Seite | Der Anbieter | Niedrig: kurzer jährlicher Selbstbewertungsfragebogen |
| Karten in eine Tabelle eintippen | Das Unternehmen | Hoch: vermeiden Sie es völlig |
| Kartenterminal von einem Anbieter | Terminal des Anbieters | Niedrig bis moderat |
Die einfachste Regel: Schreiben Sie Kartennummern niemals in E-Mails, Notizen, Chat oder Tabellen. Wenn ein Kunde eine sendet, löschen Sie sie und bitten Sie ihn, den Zahlungslink zu verwenden. Sie können die Rechnung, die den Zahlungslink trägt, mit dem Rechnungsgenerator erstellen, und der Leitfaden zum Annehmen von Kreditkartenzahlungen zeigt sichere Setups.
Verwandte Begriffe
- Zahlungsgateway: erfasst Kartendaten sicher, sodass Sie es nicht tun müssen.
- Zahlungsabwickler: oft Ihr erster Ansprechpartner für PCI-Fragen.
- Händlerkonto: trägt gewöhnlich die PCI-Konformitätsanforderung in seinen Bedingungen.
PayToMe befindet sich in der öffentlichen Beta, und Online-Zahlungen sind live über Stripe, den Zahlungsabwickler. Sie können sich bei PayToMe anmelden.