Wenn Ihr Geschäft Kartenzahlungen akzeptiert, ist PCI DSS keine Option, sondern der Sicherheitsstandard, den die Kreditkartenunternehmen von jedem Unternehmen verlangen, das mit Karteninhaberdaten umgeht. Die gute Nachricht ist, dass die meisten kleinen und mittelgroßen Geschäfte diese Anforderungen mit weitaus weniger Aufwand erfüllen können, als die einschüchternde Checkliste mit ihren 12 Anforderungen vermuten lässt.
Der Trick besteht darin, die Menge an Kartendaten, mit denen Ihre Website jemals in Berührung kommt, so weit wie möglich zu reduzieren, sodass der Großteil der Anforderungen für Sie gar nicht erst relevant ist. Ich werde Ihnen erläutern, was PCI DSS tatsächlich verlangt, und anschließend zeigen, wie Sie die Anforderungen in der Praxis erfüllen und dauerhaft einhalten können.
Wichtigste Erkenntnisse
- PCI DSS ist der Datensicherheitsstandard der Zahlungskartenbranche (Payment Card Industry Data Security Standard), dessen Einhaltung für jedes Unternehmen vorgeschrieben ist, das Kartendaten speichert, verarbeitet oder übermittelt.
- Der wichtigste Hebel ist die Reduzierung des Anwendungsbereichs: Wenn Ihr Checkout-Prozess die Karteneingabe an einen Anbieter wie Stripe oder PayPal übergibt, kommen Sie nie mit den Rohdaten der Karte in Berührung, und die meisten Anforderungen entfallen.
- Ihre Händlerkategorie (Transaktionsvolumen) entscheidet darüber, ob Sie eine Selbstbewertung mittels SAQ durchführen oder einen externen Prüfer hinzuziehen müssen; die meisten Geschäfte führen eine Selbstbewertung durch.
- Der Standard umfasst 12 Anforderungen unter 6 Zielen, die von Verschlüsselung und Zugriffskontrolle bis hin zu Protokollierung und Tests reichen.
- PCI DSS v4 enthält nun zusätzliche Vorschriften zum Schutz vor digitalem Skimming, weshalb die Verwaltung der Skripte auf Ihrer Zahlungsseite nun von entscheidender Bedeutung ist.
- Dies ist ein Thema zur Einhaltung von Vorschriften und stellt keine Rechtsberatung dar; Ihre akquirierende Bank oder ein QSA entscheidet letztendlich darüber, was Sie tun müssen.
Was PCI DSS eigentlich ist und wer für die Einhaltung sorgt
PCI DSS steht für den „Payment Card Industry Data Security Standard“, eine Reihe von Sicherheitsvorschriften, die von der PCI Security Standards Council, die von den großen Kreditkartenunternehmen eingerichtete Organisation. Jedes Unternehmen, das Karteninhaberdaten speichert, verarbeitet oder übermittelt, muss sich daran halten – und das betrifft fast jeden Online-Shop.
Eines sollte gleich zu Beginn klargestellt werden: PCI DSS ist kein Gesetz, sondern eine vertragliche Verpflichtung. Sie stimmen dieser Anforderung zu, wenn Sie einen Vertrag mit einem Zahlungsdienstleister oder einer akquirierenden Bank abschließen, und diese sind es, die sie durchsetzen. Wenn Sie die Anforderungen nicht erfüllen, werden die Strafen von den Kreditkartenunternehmen über Ihre Bank weitergegeben und steigen, je länger Sie die Anforderungen nicht erfüllen – daher sollten Sie diese Angelegenheit nicht aufschieben.
Abgesehen von den Geldstrafen sind die tatsächlichen Kosten eines Fehlers ein Sicherheitsverstoß: durchgesickerte Kartennummern, Rückbuchungen, forensische Prüfungen und das Vertrauen, das man nie wieder vollständig zurückgewinnen kann. Das ist der eigentliche Grund, warum man das Thema ernst nehmen sollte – nicht nur wegen des Papierkrams.
Der klügste Schachzug: Reduzieren Sie Ihren PCI-Anwendungsbereich
Hier ist der Punkt, den die meisten Leitfäden unter der Checkliste verstecken. PCI DSS gilt für Systeme, die mit Kartendaten in Berührung kommen. Wenn Sie es also so einrichten, dass Ihre Website niemals mit unverschlüsselten Kartennummern in Berührung kommt, gilt der Großteil der Norm für Sie nicht mehr. Dies wird als „Reduzierung des Anwendungsbereichs“ bezeichnet und ist bei weitem die Entscheidung mit der größten Wirkung, die Sie treffen können.
In der Praxis bedeutet das, dass die eigentliche Karteneingabe von einem konformen Anbieter übernommen wird. Wenn Ihre Kasse auf eine Zahlungsseite weiterleitet oder die Kartenfelder innerhalb eines Iframes von einem Anbieter wie Stripe oder PayPal lädt, gelangen die sensiblen Daten direkt an diese Anbieter und landen niemals auf Ihrem Server. Stripe erläutert diesen „Scope“-Effekt in seiner eigenen Leitfaden zur PCI-Konformität.
Ich will damit nicht sagen, dass das Selbsthosting eines vollständigen Kartenformulars niemals sinnvoll ist; große Unternehmen tun dies aus ihren eigenen Gründen. Aber für die überwiegende Mehrheit der Shops führt die Auslagerung der Kartenerfassung zu einer kürzeren Selbstbewertung und beseitigt ganze Risikokategorien. Wenn Sie WooCommerce nutzen, ist dies auch der Grund, warum ein gut konfigurierter Shop so wichtig ist – dieselbe Sorgfalt im Betrieb, die dafür sorgt, dass Dinge wie WooCommerce-E-Mails und Verlängerungen laufen zuverlässig sorgt außerdem dafür, dass Ihre Zahlungseinstellungen übersichtlich bleiben.
Welche Validierungsstufe gilt für Sie?
Wie Sie die Einhaltung der Vorschriften nachweisen, hängt von Ihrem Transaktionsvolumen ab, das in vier Händlerstufen unterteilt ist. Die „Giganten“ (Stufe 1, grob geschätzt sechs Millionen oder mehr Kartentransaktionen pro Jahr) benötigen ein jährliches Audit vor Ort durch einen qualifizierten Sicherheitsprüfer. Die meisten kleinen und mittelgroßen Geschäfte fallen in die Stufen 2 bis 4 und weisen die Einhaltung der Vorschriften anhand eines Selbstbewertungsfragebogens (Self-Assessment Questionnaire, SAQ) nach.
Welchen SAQ Sie ausfüllen, hängt von der oben genannten Entscheidung zum Anwendungsbereich ab. Wenn die Kartenerfassung vollständig an einen Dienstleister ausgelagert ist, haben Sie in der Regel Anspruch auf SAQ A, die kürzeste Variante. Wenn Ihre Website zwar weiterhin die Zahlungsseite anzeigt, aber keine Kartendaten speichert, nutzen Sie wahrscheinlich SAQ A-EP, und wenn Sie Kartendaten direkt verarbeiten, haben Sie einen langen Weg vor sich SAQ D. Ihre akquirierende Bank bestätigt die genaue Nummer; erkundigen Sie sich daher lieber bei ihr, anstatt zu raten.
Man sieht, warum sich eine Reduzierung des Umfangs lohnt: Der Unterschied zwischen SAQ A und SAQ D besteht darin, dass es bei SAQ A um ein paar Dutzend Kontrollmaßnahmen geht, bei SAQ D hingegen um einige Hundert.
Die 12 Anforderungen, in einfacher Sprache
Unabhängig von Ihrem Kenntnisstand besteht der Standard aus 12 Anforderungen, die unter 6 Zielen zusammengefasst sind. Sie müssen sich diese nicht auswendig lernen, aber es ist hilfreich zu verstehen, was sie tatsächlich schützen sollen. Daher finden Sie hier eine Übersicht über alle Anforderungen auf einen Blick.
| Ziel | Anforderungen in einfacher Sprache |
|---|---|
| Ein sicheres Netzwerk aufbauen | 1. Setzen Sie Firewalls und Netzwerkschutzmaßnahmen ein. 2. Ändern Sie die vom Hersteller voreingestellten Passwörter und Einstellungen. |
| Kontodaten schützen | 3. Schützen Sie alle gespeicherten Kartendaten. 4. Verschlüsseln Sie Kartendaten bei der Übertragung über offene Netzwerke. |
| Schwachstellen verwalten | 5. Führen Sie einen Malware-Schutz durch. 6. Halten Sie Systeme und Software auf dem neuesten Stand und sorgen Sie für eine sichere Konfiguration. |
| Zugriffskontrolle | 7. Beschränken Sie den Zugriff auf das erforderliche Maß. 8. Vergeben Sie eindeutige IDs und setzen Sie Multi-Faktor-Authentifizierung (MFA) ein. 9. Beschränken Sie den physischen Zugriff auf Daten. |
| Überwachen und testen | 10. Alle Zugriffe protokollieren und überwachen. 11. Die Sicherheit regelmäßig testen (einschließlich Scans). |
| Sicherheitsrichtlinie | 12. Eine schriftliche Richtlinie zur Informationssicherheit erstellen und die Mitarbeiter schulen. |
Wenn Sie die Kartendaten-Erfassung auslagern, wird ein Großteil davon entweder von Ihrem Anbieter übernommen oder lässt sich auf Ihre allgemeinen Sicherheitsmaßnahmen vor Ort zurückführen: sichere Passwörter, Multi-Faktor-Authentifizierung (MFA) für Administratorkonten, auf dem neuesten Stand gehaltene Software und durchgängiges HTTPS. Ein solides, sicherheitsbewusstes Hosting übernimmt einen erheblichen Teil dieser Last, was ein weiterer Grund dafür ist, dass die Das richtige Hosting für ein kleines Unternehmen Das sollte man richtig machen.
Was hat sich in PCI DSS v4 geändert?
Die aktuelle Version ist PCI DSS v4 (v4.0.1), die die ältere Version v3.2.1 vollständig abgelöst hat; die darin enthaltenen neueren, auf die Zukunft ausgerichteten Vorschriften werden ab 2025 verbindlich. Der Großteil davon stellt eine Weiterentwicklung derselben Grundsätze dar, wobei nun mehr Flexibilität bei der Umsetzung dieser Grundsätze besteht.
Die für Online-Shops wichtigste Änderung zielt auf das sogenannte „Digital Skimming“ ab, also Angriffe im Stil von Magecart, bei denen ein bösartiges Skript in den Bezahlvorgang eingeschleust wird, um Kreditkartendaten während der Eingabe zu stehlen. Die neuen Regeln (6.4.3 und 11.6.1) verlangen von Ihnen, genau zu wissen, welche Skripte auf Ihrer Zahlungsseite ausgeführt werden, und jede unbefugte Änderung daran zu erkennen. Wie genau diese Vorschriften anzuwenden sind, hängt von Ihrer Konfiguration und Ihrem SAQ ab. Überprüfen Sie daher, welche der aktuellen Vorschriften auf Sie zutrifft, doch die Richtung ist klar: Behalten Sie im Auge, was auf Ihrer Checkout-Seite geladen wird.
Das ist eine wirklich gute Änderung, nicht nur eine Maßnahme, um eine Vorschrift abzuhaken. Das Abgreifen von Zahlungen auf Zahlungsseiten war bisher eine der häufigsten Angriffsmethoden auf Online-Shops, und oft bleibt dies monatelang unbemerkt – daher ist eine Regelung, die einen dazu verpflichtet, den eigenen Bezahlvorgang selbst zu überwachen, längst überfällig.
So führen Sie Validierungen durch und gewährleisten die Einhaltung der Vorschriften
Die Einhaltung der Vorschriften ist ein fortlaufender Prozess und keine einmalige Angelegenheit. Bestätigen Sie zunächst Ihre Händlerkategorie und Ihren SAQ bei Ihrem Acquirer und füllen Sie den Fragebogen anschließend wahrheitsgemäß aus. Falls Systeme mit Internetanbindung betroffen sind, benötigen Sie außerdem einen vierteljährlichen externen Schwachstellenscan durch einen zugelassenen Scan-Anbieter, und Sie müssen die Validierung jedes Jahr erneuern.
Zwischen den Validierungen handelt es sich um die üblichen Sicherheitsmaßnahmen: Halten Sie alle Patches auf dem neuesten Stand, beschränken Sie den Administratorzugriff durch MFA, überprüfen Sie die Protokolle und löschen Sie alle Kartendaten, die Sie nicht tatsächlich aufbewahren müssen (die sichersten Kartendaten sind diejenigen, die Sie gar nicht erst speichern). Wenn Sie dies als kontinuierlichen Prozess betrachten und nicht als jährliche Hektik, sind Sie wirklich sicher und erfüllen nicht nur die formalen Anforderungen.
Wie viel davon musst du denn nun tatsächlich erledigen?
Wäre dies mein Shop, würde ich zunächst die Entscheidung bezüglich des Anwendungsbereichs treffen und diesen die Hauptarbeit übernehmen lassen: Ich würde eine gehostete oder Iframe-basierte Zahlungsintegration nutzen, sodass ich niemals mit Rohdaten von Kreditkarten in Berührung komme. Dadurch würde ich den kurzen SAQ-A-Pfad einschlagen und mir die meisten der 12 Anforderungen abnehmen. Alles andere wäre dann eher eine Frage der üblichen guten Sicherheitspraxis als ein spezielles Projekt.
Die eigene Verarbeitung von Kartendaten ist für einige wenige Unternehmen eine sinnvolle Option, doch für fast alle anderen bedeutet dies mehr Risiko und mehr Verwaltungsaufwand, als es wert ist. Vertrauen Sie die sensiblen Daten einem Anbieter an, dessen Aufgabe ausschließlich darin besteht, diese zu schützen, behalten Sie Ihre Checkout-Skripte im Auge und sorgen Sie dafür, dass Ihre Systeme stets auf dem neuesten Stand sind. Das ist Compliance, die Sie tatsächlich einhalten können.
Benötigen Sie Hilfe bei der Absicherung des Bezahlvorgangs in Ihrem Shop?
Wenn Sie möchten, dass jemand anderes einen Blick auf Ihre Zahlungsabwicklung und die Sicherheit Ihrer Website wirft, Arbeit mit WpConsults oder E-Mail. Wenn Sie die Entscheidung über den Umfang frühzeitig richtig treffen, sparen Sie sich den größten Arbeitsaufwand und vermeiden die größten Risiken.
Änderungsprotokolle
01. Juli 2026
- Der Text wurde mit Schwerpunkt auf der Reduzierung des Anwendungsbereichs überarbeitet, an PCI DSS v4 angepasst – einschließlich der neuen Vorschriften für Skripte auf Zahlungsseiten zum Schutz vor digitalem Skimming –, um eine übersichtliche Tabelle der 12 Anforderungen in leicht verständlicher Sprache ergänzt sowie die SAQ- und Händlerstufen präzisiert.
Möchtest du, dass unsere Beiträge öfter bei Google erscheinen?
Ein Schritt – und Google zeigt diese Seite in Ihren „Top Stories“ an.
So optimieren Sie Ihre Inhalte für Google-KI-Übersichten: Die beiden Kriterien, die darüber entscheiden, wer zitiert wird
ChatGPT-Einkaufsstudie: Was entscheidet tatsächlich darüber, ob Ihre Produkte genannt werden?
Die 95-5-Regel im B2B-Bereich: So berechnen Sie Ihren eigenen Marktanteil
Long-Tail-Keywords und KI-Übersichten: Was unsere Studie zu E-Commerce-Verweisen ergeben hat
