PCI-DSS im Überblick

Der Payment Card Industry Data Security Standard (PCI-DSS) ist ein verbindlicher Sicherheitsstandard für alle Unternehmen, die Kreditkartendaten verarbeiten, speichern oder übertragen. Er wird vom PCI Security Standards Council (gegründet von Visa, Mastercard, American Express, Discover und JCB) verwaltet und regelmässig aktualisiert.

Seit März 2024 ist PCI-DSS v4.0 der geltende Standard (v3.2.1 wurde abgelöst). Version 4.0 bringt erhebliche Änderungen mit sich.

Wichtig: Der Acquirer bestimmt das Level. Auch bei Level 4 kann der Acquirer einen PCI-Nachweis verlangen – und tut dies zunehmend.

Der Self-Assessment Questionnaire (SAQ) bestimmt den Prüfungsumfang. Der Typ hängt davon ab, wie der Händler Kartendaten verarbeitet:

Entscheidungshilfe: Welcher SAQ-Typ bin ich?

• Kartendaten berühren nie meinen Server → SAQ A
• Meine Website hat ein Zahlungsformular (JS/iFrame), aber Daten gehen direkt an den PSP → SAQ A-EP
• Ich speichere oder verarbeite Kartendaten selbst → SAQ D
• Nur physische Terminals → SAQ B oder B-IP

Praxis-Tipp: Wählen Sie immer die Architektur mit dem geringstmöglichen SAQ-Scope. Der Sprung von SAQ A zu SAQ D bedeutet eine Verzehnfachung des Compliance-Aufwands.

Schritt 1: Scope bestimmen

Identifizieren Sie alle Systeme, die mit Kartendaten in Berührung kommen:

• Webserver, die den Checkout hosten
• Datenbanken mit Kundendaten
• Netzwerke, über die Kartendaten fliessen
• Mitarbeitende mit Zugriff auf Kartendaten

Schritt 2: Scope minimieren

• Hosted Payment Page oder iFrame des PSPs verwenden → reduziert auf SAQ A
• Tokenisierung aktivieren → keine Kartendaten im eigenen System
• Netzwerksegmentierung: Zahlungssysteme vom restlichen Netzwerk isolieren

Schritt 3: SAQ ausfüllen

• Den passenden SAQ-Typ beim Acquirer erfragen
• Fragebogen ehrlich und vollständig ausfüllen
• Bei Unsicherheiten einen PCI QSA (Qualified Security Assessor) konsultieren

Schritt 4: Laufend einhalten

• Quartalsweise ASV-Scans durchführen (ab SAQ A-EP)
• Jährlich den SAQ erneuern
• Mitarbeiterschulungen zu Payment Security durchführen
• Incident-Response-Plan erstellen und testen

Version 4.0 (seit März 2024 verbindlich) bringt folgende Neuerungen:

Deadline für «Future-Dated Requirements»: Bis 31. März 2025 müssen alle v4.0-Anforderungen vollständig umgesetzt sein. Prüfen Sie mit Ihrem QSA, ob Sie compliant sind.

• "Wir akzeptieren nur via PSP, also sind wir automatisch compliant" – Falsch. Auch bei SAQ A müssen Sie den Fragebogen ausfüllen und beim Acquirer einreichen.
• "PCI betrifft nur den Online-Shop" – Auch Telefon-Bestellungen (MOTO), bei denen Kartendaten mündlich aufgenommen werden, fallen unter PCI-DSS.
• "Unser Hosting-Provider ist PCI-zertifiziert, also sind wir es auch" – Die Verantwortung lässt sich nicht komplett delegieren. Der Händler muss seinen eigenen SAQ-Scope nachweisen.
• "Einmal compliant, immer compliant" – PCI-DSS ist ein fortlaufender Prozess. Jede Systemänderung kann den Scope verändern.
• "Kleine Shops werden nicht geprüft" – Acquirer prüfen zunehmend auch Level-4-Händler und verlangen SAQ-Nachweise.

• Kein Schweizer PCI-Gesetz: PCI-DSS ist ein Branchenstandard, keine staatliche Regulierung. Die Einhaltung wird aber über den Acquiring-Vertrag erzwungen.
• FINMA-Relevanz: Für regulierte Finanzinstitute kann PCI-DSS Teil der FINMA-Anforderungen an operationelle Risiken sein.
• Datenschutz (DSG): Das Schweizer Datenschutzgesetz ergänzt PCI-DSS – Kartendaten sind auch personenbezogene Daten im Sinne des DSG.
• WEKO und Kartennetzwerke: Die Schweizer Wettbewerbskommission beobachtet die PCI-Compliance-Anforderungen als potenzielles Wettbewerbsthema.

Für 90% der Schweizer KMU ist der effizienteste Compliance-Pfad:

1. Hosted Payment Page oder iFrame des PSPs nutzen → SAQ A
2. Tokenisierung für wiederkehrende Zahlungen aktivieren
3. SAQ A jährlich ausfüllen und beim Acquirer einreichen
4. Mitarbeitende schulen zu Phishing und Payment Security
5. PCI-DSS v4.0 Anforderungen prüfen und umsetzen

Dieser Ansatz minimiert Kosten, Aufwand und Risiko gleichzeitig.