Der ultimative Leitfaden zur POS-Compliance (+ PCI DSS-Standards)
POS-Compliance-Richtlinien gewährleisten eine sichere Zahlungsabwicklung für Händler und schützen letztlich die Daten der Endkunden. Wenn Sie Zahlungen über ein POS-System annehmen, ist ein grundlegendes Verständnis der POS-Compliance (auch bekannt als der PCI DSS Standard) Ihr Schlüssel, um verlorenes Kundenvertrauen und Bußgelder wegen Nicht-Compliance zu vermeiden.
In diesem Leitfaden werde ich zentrale Themen beleuchten, darunter die Grundlagen der POS-Compliance, die Anforderungen von PCI DSS, wie Sie PCI DSS-konform werden und weitere Strategien zur Einhaltung der Compliance. Am Ende werden Sie ein klares Verständnis davon haben, wie Sie POS-Compliance effektiv umsetzen und gewährleisten.
Was ist PCI DSS?
Der Payment Card Industry Data Security Standard (PCI DSS) ist ein Satz von Richtlinien, die Sie befolgen müssen, wenn Sie Kredit- oder Debitkartendaten erfassen, verarbeiten, übertragen oder speichern.
Sie möchten mehr vom The CFO Club?
Erstellen Sie ein kostenloses Konto, um diesen Beitrag zu Ende zu lesen und einer Community moderner CFOs und Finanzverantwortlicher beizutreten, die auf erprobte Methoden, Tools und Erkenntnisse zugreifen, um sich in der KI-gesteuerten Finanzwelt zurechtzufinden.
Have an account? Log In
Nehmen wir an, Sie betreiben einen Onlineshop. Wenn ein Kunde bei Ihnen mit seiner Debit- oder Kreditkarte bezahlt, sammelt und verarbeitet Ihr System diese sensiblen Informationen, um die Zahlung zu empfangen — und genau dort liegt das Problem.
Es besteht immer das Risiko, dass jemand — etwa ein Mitarbeiter mit entsprechenden Zugriffsrechten — die Kreditkarteninformationen von Kunden missbraucht, um Geld zu stehlen oder die Daten an Cyberkriminelle zu verkaufen. Die PCI-Compliance stellt sicher, dass Karteninhaberdaten geschützt sind, indem Ihr Unternehmen vor Sicherheitsverletzungen geschützt wird.
Wird ein Karteninhaber Opfer eines Betrugs, verliert er das Vertrauen in Ihr Unternehmen und in das Finanzinstitut, das die Karte ausgegeben hat. Aus diesem Grund haben AMEX, MasterCard, Visa, JCB und Discover den PCI Security Standards Council (PCI SSC) gegründet, die Institution, die PCI und verwandte Sicherheitsstandards verwaltet.
Muss mein Unternehmen PCI-konform sein?
Ja. Jedes Unternehmen, das Debit- oder Kreditkartenzahlungen akzeptiert oder Kartendaten verarbeitet, überträgt oder speichert, muss PCI-konform sein, unabhängig von anderen Faktoren.
Die PCI-Compliance ist auch erforderlich, wenn Sie nur eine einzige Debit- oder Kreditkartentransaktion haben. Sie müssen jährlich einen Self-Assessment Questionnaire (SAQ) ausfüllen und sich vierteljährlich prüfen lassen, um PCI-konform zu bleiben.
Welchen SAQ Sie ausfüllen müssen, hängt davon ab, welcher Compliance-Stufe Sie zugeordnet sind (dazu mehr im nächsten Abschnitt).
Wie werde ich PCI-konform?
Um sicherzustellen, dass Sie die korrekten PCI-Richtlinien einhalten, wenn Sie Kartenzahlungen über POS-Terminals oder eine E-Commerce-Website akzeptieren, müssen Sie verschiedene Schritte befolgen:
1. Bestimmen Sie Ihre PCI-Stufe
Die PCI-Richtlinien unterteilen Unternehmen in vier Stufen, die hauptsächlich auf der Anzahl der Transaktionen basieren:
- Stufe 1: Händler, die jährlich mehr als sechs Millionen Visa- oder MasterCard-Transaktionen abwickeln, oder Unternehmen, die bereits von einem Datenleck betroffen waren.
- Stufe 2: Händler, die jährlich mehr als eine Million und weniger als sechs Millionen Visa- oder MasterCard-Transaktionen abwickeln.
- Stufe 3: Händler, die jährlich mehr als 20.000 und weniger als eine Million Visa- oder MasterCard-E-Commerce-Transaktionen abwickeln.
- Stufe 4: Alle anderen.
2. Lernen Sie die Anforderungen von PCI DSS kennen
Einige PCI-DSS-Anforderungen gelten für alle, andere sind von Ihrer PCI-Stufe abhängig. Hier sind einige der häufigsten:
- Jährlicher SAQ: Unternehmen auf Stufe 2, 3 und 4 müssen jährlich einen SAQ einreichen. Welcher SAQ einzureichen ist, hängt von Ihrer jeweiligen Stufe und Ihrem Geschäftsmodell ab.
- Attestation of Compliance (AOC): Die AOC ist eine formale Erklärung, die bestätigt, dass Sie alle PCI-Compliance-Anforderungen erfolgreich erfüllt haben. Unternehmen auf allen Stufen müssen die AOC jährlich einreichen, um konform zu bleiben.
- Vierteljährlicher Netzwerkscan: Vierteljährliche Scans durch einen Approved Scanning Vendor (ASV) sind für Unternehmen der Stufen 1, 2 und 3 erforderlich. Falls ein Händler der Stufe 4 über extern erreichbare IP-Adressen verfügt (weil seine Systeme mit dem Internet verbunden sind und Karteninhaberdaten speichern, verarbeiten oder übertragen), sind auch dort vierteljährliche Scans erforderlich.
Hier sind einige Beispiele für stufenspezifische Anforderungen:
- Anforderungen an die Bewertung: Level-1-Bewertungen sind intensiver und beinhalten eine Vor-Ort-Prüfung durch einen Qualified Security Assessor (QSA). Während der Prüfung kann der QSA die implementierten Kontrollen, Richtlinien und Verfahren überprüfen, um die Sicherheit zu gewährleisten. Level 2, 3 und 4 haben die Möglichkeit, Selbstbewertungen mithilfe der jeweiligen SAQs durchzuführen.
- Anforderungen an Penetrationstests: Level-1-Händler sind verpflichtet, jährlich interne und externe Penetrationstests durchzuführen. Andere Level sind dazu nicht verpflichtet, es wird jedoch dringend empfohlen, Penetrationstests durchzuführen, um die Sicherheit zu erhöhen.
- Dokumentation und Nachweiserbringung: Level-1-Unternehmen benötigen eine umfassende Dokumentation, Nachweiserhebung und Validierung durch einen QSA. Andere Level erfordern ebenfalls Dokumentation und Nachweise, der Prozess ist jedoch weitaus weniger streng und wird in der Regel intern durchgeführt.
3. Erfüllen Sie die PCI-DSS-Anforderungen
Je nach Ihrer aktuellen Infrastruktur und Ihrem PCI-Level müssen Sie verschiedene Schritte unternehmen, um den PCI-Richtlinien zu entsprechen. Hier ein kurzer Überblick:
- Vervollständigen Sie einen Self-Assessment Questionnaire (SAQ): Der erste Schritt ist das Ausfüllen eines PCI DSS SAQ, abhängig von Ihrem Level und den in der SAQ genannten Zulassungskriterien. Die PCI SSC empfiehlt, beim Zahlungsabwickler nachzufragen, ob Sie das richtige SAQ gewählt haben. Durch das Ausfüllen dieses Fragebogens können Sie die Einhaltung der PCI-Standards validieren. Wenn Sie ein großes Transaktionsvolumen abwickeln, benötigen Sie möglicherweise statt des SAQ ein Audit durch eine dritte Partei.
- Führen Sie Ihre ersten Schwachstellen-Scans durch: Händler sind verpflichtet, vierteljährlich (intern und extern) mit einem ASV Schwachstellen-Scans durchzuführen. Findet der ASV Schwachstellen, müssen Sie diese beheben.
- Führen Sie Ihren ersten jährlichen Penetrationstest durch: Jedes Jahr müssen Sie einen manuellen Penetrationstest durchführen, um Wege zu ermitteln, wie ein Angreifer in Ihre Systeme eindringen und auf Informationen zugreifen könnte. Der Test bestätigt außerdem, dass von PCI DSS geforderte Kontrollen wie Scope, Schwachstellenmanagement, Methodik und Segmentierung vorhanden sind.
- Beheben Sie Schwachstellen: Bei Tests gefundene Schwachstellen müssen umgehend behoben werden. Wenn Sie bereits vor der Annahme von Kartenzahlungen PCI-konform waren und es dennoch zu einem Datenleck kommt, könnten Ihnen Strafen drohen. Die Unterstützung durch einen Experten und PCI DSS bei der Behebung von Schwachstellen ist unter Umständen ratsam.
- Lassen Sie sich auditieren: Große Händler müssen sich durch einen Dritten auditieren lassen, statt einen SAQ einzureichen. Beginnen Sie die Prüfung erst, wenn Sie intern geprüft und sicher sind, konform zu sein.
Merken Sie: Sie müssen verschiedene Maßnahmen ergreifen, um diese Anforderungen zu erfüllen. Um beispielsweise den Schwachstellen-Scan und die Penetrationstests zu bestehen, müssen Sie Firewalls und Antivirensoftware installieren, um ein sicheres Netzwerk zu schaffen, Karteninhaberdaten verschlüsseln und Maßnahmen zur Zugriffskontrolle umsetzen.
Informieren Sie sich im PCI DSS Referenzleitfaden darüber, wie Sie die PCI-DSS-Anforderungen erfüllen können.
4. Reichen Sie die erforderlichen Dokumente ein
Der gesamte Prozess sowie die bis zu diesem Punkt getroffenen Maßnahmen müssen sorgfältig dokumentiert werden. Folgende Dokumente sind einzureichen:
- Relevantes SAQ
- AOC
- Report on Compliance (ROC)
- Netzwerk-Scan-Berichte
- Penetrationstest-Berichte
- Nachweise zu Sicherheitskontrollen
- Ein Notfallplan/Bericht zu Vorfällen
Der smarte Weg zur PCI-Konformität
Es ist wichtig, zu wissen, was hinter den Kulissen passiert – aber es gibt eine effizientere Möglichkeit, die Konformität zu erreichen, als alles manuell umzusetzen. Das Zauberwort? Delegation.
Es gibt verschiedene Plattformen, die POS-Hardware, POS-Apps, Payment-Gateways und andere Zahlungssysteme anbieten, um Zahlungen sicher entgegenzunehmen und konform zu bleiben.
Plattformen wie Revel Systems, ACID POS, Lightspeed und Square stellen gebrauchsfertige Infrastrukturen bereit, welche den Aufwand des manuellen Konformitätsverfahrens sparen. Diese Plug-and-Play-Lösungen sind ein hervorragender Weg, um die Kosten für Compliance zu minimieren und Ihnen den direkten Einstieg in die Nutzung eines POS-Systems zu ermöglichen.
Unser Team analysiert ständig POS-Software – und dies sind die besten Systeme, die sie gefunden haben. Wenn Sie den einfachen (Compliance-)Weg gehen möchten, ist dies ein guter Ausgangspunkt:
Klicks auf die untenstehenden Links können eine Provision einbringen, die unsere unabhängige Prüfung und Bewertung von Software und Dienstleistungen unterstützt. Erfahren Sie mehr darüber, wie wir transparent bleiben.
Kosten der PCI-Compliance
Die genauen Kosten der PCI-Compliance hängen von Faktoren wie der Größe und dem Standort Ihres Unternehmens, dem jährlichen Transaktionsvolumen und davon ab, ob Sie Karten-basierte Zahlungen persönlich oder online erfassen und verarbeiten.
Es können jedoch auch unternehmensspezifische Kosten entstehen. Beispielsweise könnten Sie Geld für die Schulung Ihrer Mitarbeitenden ausgeben oder auf ein EMV-fähiges POS-System aufrüsten.
Obwohl es keine einheitliche Kostenschätzung für PCI-Compliance gibt, können wir einige allgemeine Kosten abschätzen. Nehmen wir ein weiteres Beispiel: In der Regel liegen die Kosten für die Aufrechterhaltung der PCI-Compliance bei kleinen Unternehmen zwischen 300 und 600 $.
Die Kosten für Schulungen, die Entwicklung von Richtlinien sowie die Aktualisierung Ihrer Soft- und Hardware sind hierbei jedoch nicht eingeschlossen und können je nach Ihrem aktuellen Stand mehrere tausend Dollar betragen. Bei großen Unternehmen können die Kosten für die Aufrechterhaltung des guten Compliance-Status deutlich höher ausfallen und sich auf 60.000 bis 100.000 $ pro Jahr belaufen.
Kosten der PCI-Nichtkonformität
Die Kosten der PCI-Nichtkonformität sollten Ihnen mehr Sorgen machen als die Kosten für die Einhaltung. Bußgelder für Nichtkonformität werden zwar nicht veröffentlicht oder gemeldet, aber es wird angegeben, dass sie zwischen 5.000 und 10.000 $ pro Monat liegen, bis Sie das Problem behoben haben.
Hinzu kommt der finanzielle Aufwand, der im Falle eines Betrugs oder einer Datenpanne entsteht. Bei Betrug oder Datenpannen können finanzielle Verluste, die Kosten teurer Gerichtsverfahren und zusätzlich ein Reputationsverlust auf Sie zukommen. Denken Sie zum Beispiel an Target – das Unternehmen gab an, mehr als 200 Millionen $ aufgrund eines Kreditkarten-Datenvorfalls bezahlt zu haben, darunter 18,5 Millionen $ an Vergleichskosten.
POS-Compliance ist entscheidend für das Reputationsmanagement
Betrachten Sie die Einhaltung der POS-Compliance nicht als Last, sondern als Investition in den Schutz von Kundendaten vor Hackerangriffen und Datenpannen, die Ihrem Ruf schaden können.
PCI-Compliance kann zwar komplex wirken, aber die Zusammenarbeit mit einem passenden Partner vereinfacht den Prozess erheblich. Der einfachste Weg zur Einhaltung besteht natürlich darin, gebrauchsfertige Lösungen zu nutzen, die konforme POS-Software und Hardware bereitstellen.
Möchten Sie mehr darüber erfahren, wie Sie Ihre Finanzfunktion technisch smart gestalten? Abonnieren Sie unseren kostenlosen Newsletter.
