PCI DSS ist der Sicherheitsstandard der Kartenindustrie für den Umgang mit Karteninhaberdaten. Er klingt nach einem Projekt und ist für die meisten Betriebe vor allem eine Frage der richtigen Technik.

Worum es geht

Der Standard soll verhindern, dass Kartendaten in falsche Hände geraten. Dafür stellt er Anforderungen an Netzwerke, Systeme, Zugriffe, Verschlüsselung und Abläufe.

Der entscheidende Gedanke für die Praxis: Je weniger Kartendaten überhaupt in deinem Betrieb ankommen, desto weniger musst du selbst absichern.

Was moderne Terminals abnehmen

Bei einem zertifizierten Terminal werden die Kartendaten im Gerät verschlüsselt und laufen verschlüsselt weiter. Sie liegen nicht lesbar in deinem Netzwerk und nicht in deinem Kassensystem. Auf Belegen erscheint die Kartennummer nur verkürzt.

Damit ist der technisch aufwendigste Teil abgedeckt, ohne dass du dich darum kümmern musst. Das ist ein starkes Argument gegen Bastellösungen.

Was bei dir bleibt

Ein paar Punkte lassen sich nicht wegtechnisieren, und sie sind erstaunlich banal:

Kartendaten niemals notieren, auch nicht „nur kurz“ auf einem Zettel oder in einer Mail.
Geräte nicht unbeaufsichtigt für Fremde zugänglich lassen.
Auffällige Veränderungen am Gerät ernst nehmen: lose Aufsätze, zusätzliche Kabel, ein Gerät, das plötzlich anders aussieht.
Zugänge zu Kassensystemen personengebunden vergeben statt mit einem Sammelpasswort für alle.
Belege ordentlich verwahren und nicht offen herumliegen lassen.

Diese fünf Punkte gehören in die Einweisung. Sie kosten nichts und decken den größten Teil des Alltagsrisikos ab.

Wo es aufwendiger wird

Sobald Kartendaten selbst verarbeitet oder gespeichert werden, etwa in eigenen Systemen im Fernabsatz, steigen die Anforderungen deutlich. Deshalb ist es fast immer die bessere Entscheidung, die Zahlung an einen zertifizierten Anbieter auszulagern, statt sie selbst abzuwickeln.

Welche konkreten Nachweispflichten für deinen Betrieb bestehen, hängt von der Konstellation ab und ist Teil dessen, was wir vor Vertragsabschluss besprechen.