PCI DSS: welche Stufe für dich gilt und was sie verlangt

PCI DSS ist kein Gesetz und keine Behördenauflage, sondern ein Regelwerk der Kartensysteme. Es wirkt über deinen Vertrag: Wer Karten akzeptiert, verpflichtet sich, diese Regeln einzuhalten. Wie viel Aufwand daraus entsteht, hängt nicht von deiner Größe ab, sondern davon, wie du kassierst.

Betroffen ist jeder, der Kartendaten berührt

Die Regeln gelten für jeden Betrieb, der Kartendaten speichert, verarbeitet oder überträgt. Das schließt die Bäckerei mit einem Terminal ein und den Onlineshop mit eigener Zahlungsseite. Der Unterschied liegt nicht in der Frage, ob du betroffen bist, sondern im Umfang des Nachweises. Ein verbreiteter Irrtum ist, dass kleine Betriebe außen vor sind. Sie sind es nicht, sie kommen nur mit sehr wenig davon.

Wie die Stufe zustande kommt

Die Kartensysteme teilen Händler nach der Zahl der jährlichen Kartenzahlungen in Stufen ein, getrennt nach System. In der obersten Stufe verlangt das Regelwerk eine Prüfung durch einen zugelassenen externen Prüfer und regelmäßige Schwachstellenscans von außen. Weiter unten genügt eine Selbstauskunft. Die Schwellen legen die Kartensysteme fest und passen sie gelegentlich an; welche Stufe für dich gilt, sagt dir dein Acquirer, und er meldet sich, wenn du eine Grenze überschreitest.

Für kleine Betriebe ist das im Regelfall eine kurze Angelegenheit. Wichtig ist nur, dass die unterste Stufe keine Befreiung ist, sondern die Erlaubnis, den Nachweis selbst zu erbringen.

Selbstauskunft ist nicht gleich Selbstauskunft

Den Fragebogen zur Selbstauskunft, im Fachjargon SAQ, gibt es in mehreren Zuschnitten. Welcher für dich gilt, hängt allein an deinem Verfahren.

• Nur ein zugelassenes Terminal mit geprüfter Verschlüsselung, keine elektronische Speicherung: der kürzeste Bogen.
• Terminal ohne geprüftes Verschlüsselungsverfahren: ein längerer Bogen, weil dein Netz mit hineinfällt.
• Onlineshop, der die Zahlungsseite vollständig an den Dienstleister abgibt: ebenfalls ein kurzer Bogen.
• Onlineshop mit eigenem Kartenformular auf der eigenen Seite: der umfangreichste Bogen, mit Abstand.

Der Sprung zwischen den letzten beiden Zeilen ist der teuerste Unterschied im ganzen Regelwerk. Wer das Kartenformular selbst baut, weil es besser zum Design passt, verschiebt sich in einen Prüfumfang, den kein kleiner Betrieb ernsthaft stemmen will. Diese Entscheidung fällt still, meist beim Bau des Shops, und niemand weist darauf hin.

Warum ein Terminal den Aufwand senkt

Ein zugelassenes Terminal mit geprüfter Verschlüsselung nimmt dir die Verantwortung nicht ab, aber es verkleinert den Bereich, für den du geradestehst. Die Kartendaten sind unlesbar, sobald sie das Lesefeld verlassen; Kasse, Netz und Rechner sehen sie nie. Damit schrumpft die Selbstauskunft auf wenige Punkte, die im Kern lauten: zugelassene Geräte benutzen, nichts speichern, niemanden unbeaufsichtigt ans Gerät lassen.

Zu Letzterem gehört ein Punkt, den viele übersehen: Terminals sollen regelmäßig auf Austausch oder Aufsätze geprüft werden. Ein kurzer Blick beim Öffnen des Ladens, ob das Gerät noch dasselbe ist, ist Teil des Regelwerks und keine Übertreibung.

Papier zählt mit

Das Regelwerk kennt keinen Unterschied zwischen Bildschirm und Papier. Händlerbelege in einem offenen Ordner, Durchschläge aus der Zeit der Abdruckgeräte, ausgedruckte Bestellformulare mit einer notierten Kartennummer: alles Kartendaten in deinem Verantwortungsbereich, mit allen Pflichten. Der einfachste Weg ist, dass solche Papiere gar nicht erst entstehen.

Wenn du den Fragebogen liegen lässt

Viele Acquirer fordern die Selbstauskunft regelmäßig an, oft über ein Portal. Bleibt sie aus, kann der Vertrag ein zusätzliches Entgelt vorsehen, in hartnäckigen Fällen auch Folgen für die Akzeptanz. Ob und was in deinem Fall vorgesehen ist, steht in deinen Vertragsunterlagen. In der Praxis dauert das Ausfüllen kürzer als die Suche nach der Mail, die es angefordert hat.

Wo wir aufhören

Welche Fassung des Regelwerks und welche Fristen dein Vertrag in Bezug nimmt, beantwortet dein Acquirer verbindlich. Datenschutzrechtliche Fragen, etwa zur Aufbewahrung von Kundendaten, liegen daneben und gehören zu deiner Rechtsberatung. Wir ordnen ein und sagen dir, welche Fragen du stellen musst; prüfen und bescheinigen dürfen andere.