Was der Standard verlangt
PCI DSS bündelt technische und organisatorische Anforderungen rund um den Schutz von Kartendaten. Die Themenblöcke lassen sich so zusammenfassen:
- sichere Netzwerkkonfiguration und Firewall
- keine Verwendung von Werkseinstellungen bei Passwörtern
- Schutz gespeicherter Karteninhaberdaten und Verschlüsselung bei der Übertragung
- Schutz vor Schadsoftware und aktuelle Software
- Zugriffsbeschränkung nach dem Prinzip der geringsten Rechte
- Protokollierung, Überwachung und regelmäßige Tests
- eine dokumentierte Sicherheitsrichtlinie
Die aktuellen Fassungen des Standards und die zugehörigen Nachweisdokumente veröffentlicht der Council in seiner Dokumentbibliothek.
Warum der Aufwand für die meisten Händler klein ist
Der Umfang der Nachweispflicht hängt davon ab, wie viele Kartendaten ein Betrieb überhaupt berührt. Entscheidend ist ein einfacher Zusammenhang: Je weniger Kartendaten im eigenen System liegen, desto kürzer die Prüfung.
Ein stationärer Händler mit einem gemieteten, zertifizierten POS-Terminal ohne elektronische Speicherung von Kartendaten fällt in die einfachste Kategorie. Der Nachweis erfolgt dann über einen Selbstauskunftsbogen (Self-Assessment Questionnaire, SAQ) – in der Regel ein überschaubarer Fragenkatalog, keine externe Prüfung. Größere Aufwände entstehen erst, wenn Kartendaten im eigenen Kassensystem, in einer Datenbank oder in einem Online-Shop verarbeitet werden.
Wichtig für die Praxis: Das Terminal selbst bringt seine Zertifizierung mit, und Sicherheitsupdates spielt der Netzbetreiber ein. Der Händler muss die Gerätesicherheit also nicht selbst herstellen – wohl aber im Alltag aufrechterhalten. Die ausführliche Einordnung steht im Ratgeber PCI DSS Compliance für Händler.
Praxisbezug: Was im Laden konkret zählt
Die vier Punkte, an denen es im Alltag tatsächlich hängt, sind unspektakulär:
- Keine Kartendaten notieren. Keine Kartennummer auf einem Zettel, nicht per E-Mail, nicht im Reservierungssystem.
- Terminal im Blick behalten. Sichtprüfung auf fremde Aufsätze oder Kabel, besonders bei frei zugänglichen Geräten.
- Gerät nicht weitergeben. Kein Austausch durch angebliche Techniker ohne Ankündigung des Netzbetreibers.
- Belege korrekt aufbewahren. Auf dem Händlerbeleg steht die Kartennummer ohnehin nur verkürzt.
Bei SoftPOS-Lösungen gilt derselbe Grundsatz in angepasster Form: Hier greift zusätzlich der Standard MPoC für Zahlungen auf Seriengeräten. Auch dort liegt die Verantwortung des Händlers vor allem darin, die zertifizierte Lösung unverändert und auf einem aktuellen Gerät zu betreiben.
Weiterführende Artikel
Quellen
- PCI Security Standards Council: PCI DSS, abgerufen am 14. September 2026.
- PCI Security Standards Council: Document Library, abgerufen am 14. September 2026.
- PCI Security Standards Council: Mobile Payments on COTS (MPoC), abgerufen am 14. September 2026.
