Warum der Geltungsbereich vom Weg der Kartendaten abhängt
PCI DSS (der Payment Card Industry Data Security Standard) existiert, um Karteninhaberdaten zu schützen, wo immer sie gespeichert, verarbeitet oder übertragen werden. Für einen Händler ist das praktische Gewicht dieses Standards nicht für jedes Unternehmen gleich. Es hängt davon ab, welche Ihrer Systeme während einer Transaktion tatsächlich mit einer Kartennummer, einem Ablaufdatum oder einem CVV in Kontakt kommen. Je mehr Ihrer eigenen Infrastruktur auf diesem Weg liegt, desto mehr davon fällt in den Geltungsbereich von PCI DSS.
Wenn Sie die Kartennummer nie sehen
Manche Händler bekommen die rohe Kartennummer nie über ihre eigenen Server. Der Kunde gibt die Kartendaten auf einer Seite ein, die von einem Zahlungsanbieter bereitgestellt und abgesichert wird, und die Systeme des Händlers erhalten lediglich ein Ergebnis (genehmigt, abgelehnt) und einen Verweis auf die Transaktion. In diesem Modell liegt die eigene Umgebung des Händlers größtenteils außerhalb des Teils von PCI DSS, der sich mit der Speicherung oder Übertragung von Kartendaten befasst, weil diese Daten tatsächlich nie dort ankommen.
Weiterleitungen und gehostete Checkout-Seiten
Ein gängiger Weg, dies zu erreichen, ist die Weiterleitung des Kunden auf eine gehostete Checkout-Seite, wie sie beispielsweise über omwio angeboten wird, anstatt selbst ein Formular zur Kartenerfassung zu bauen. Der Kunde wird auf die gehostete Seite weitergeleitet, schließt die Zahlung dort ab und wird nach Abschluss der Transaktion zur Website des Händlers zurückgeschickt. Da die eigene Website des Händlers die Kartenfelder nie erfasst oder berührt, hält dieses Muster einen großen Teil der PCI-DSS-Anforderungen außerhalb der eigenen Systeme des Händlers.
Wenn Ihre Systeme Kartendaten direkt verarbeiten oder speichern
Andere Händler bauen eigene Formulare zur Kartenerfassung, leiten Kartendaten über ihre eigenen Server, bevor sie einen Processor erreichen, oder speichern Kartendaten zur späteren Verwendung. Jede dieser Entscheidungen bringt die eigenen Systeme des Händlers in den Teil der Kartendaten, der für PCI DSS am unmittelbarsten relevant ist: Speicherung, Verarbeitung und Übertragung. In diesem Fall müssen die Personen, Prozesse und Systeme, die während einer Transaktion mit Kartendaten in Kontakt kommen, sowie jeder Ort, an dem diese Daten gespeichert werden, als Teil des Compliance-Bilds des Händlers berücksichtigt werden.
Den Compliance-Umfang klein halten
Unabhängig von der Unternehmensgröße gilt das allgemeine Muster: Je weniger der eigenen Systeme rohe Kartendaten sehen und je kürzer die Zeit, in der ein System sie vorhält, desto kleiner ist der Teil Ihres Unternehmens, für den die PCI-DSS-Anforderungen in vollem Umfang gelten. Tokenisierung, gehostete Zahlungsseiten oder der eigene Checkout-Flow eines Anbieters sind allesamt Wege, über die Händler verringern, wie stark ihre eigene Umgebung direkt mit Kartennummern befasst ist, statt diese Handhabung selbst aufzubauen und zu pflegen.
Sprechen Sie mit Ihrem Acquirer und Zahlungspartner
PCI-DSS-Pflichten, Prüfanforderungen und wie sie für ein konkretes Unternehmen gelten, werden letztlich zwischen einem Händler, seinem Acquirer und, wo relevant, einem qualifizierten Assessor festgelegt. Dieser Artikel ist eine allgemeine Orientierung dazu, wie der Weg der Kartendaten die Form der Frage verändert, kein Ersatz für dieses Gespräch. Bevor Sie entscheiden, wie Ihr Checkout mit Kartendaten umgeht, lohnt es sich, Ihren Acquirer oder Zahlungsanbieter direkt zu fragen, was diese Entscheidung für Ihre konkreten Compliance-Pflichten bedeutet.
- Kartendaten erreichen Ihre Server nie: Ihr eigener PCI-DSS-Umfang ist kleiner.
- Kunden werden auf eine gehostete Checkout-Seite weitergeleitet: Ihre Website bleibt außerhalb des Kartendaten-Pfads.
- Ihre eigenen Systeme erfassen, leiten oder speichern Kartennummern: Diese Systeme gehören zu Ihrem Compliance-Umfang.
- Klären Sie konkrete Pflichten immer mit Ihrem Acquirer oder einem qualifizierten Assessor.
