Quelltext der Seite Payment Card Industry Data Security Standard

Der '''Payment Card Industry Data Security Standard''', üblicherweise abgekürzt mit ''PCI'' bzw. ''PCI-DSS'', ist ein Regelwerk im [[Zahlungsverkehr]], das sich auf die Abwicklung von [[Kreditkarte]]ntransaktionen bezieht und von allen wichtigen Kreditkartenorganisationen unterstützt wird.

==Hintergrund==
Handelsunternehmen und Dienstleister, die Kreditkarten-Transaktionen speichern, übermitteln, oder abwickeln, müssen die Regelungen erfüllen. Halten sie sich nicht daran, können Strafgebühren verhängt, Einschränkungen ausgesprochen, oder ihnen letztlich die Akzeptanz von Kreditkarten untersagt werden.

Die Regelungen bestehen aus einer Liste von zwölf Anforderungen an die [[Rechnernetz]]e der Unternehmen:

# Installation und Pflege einer [[Firewall]] zum Schutz der Daten
# Ändern von Kennwörtern und anderen Sicherheitseinstellungen nach der Werksauslieferung
# Schutz der gespeicherten Daten von Kreditkarteninhabern
# [[Verschlüsselung|Verschlüsselte]] Übertragung sensibler Daten von Kreditkarteninhabern in öffentlichen Rechnernetzen
# Einsatz und regelmäßiges Update von [[Virenschutzprogramm]]en
# Entwicklung und Pflege sicherer Systeme und Anwendungen
# Einschränken von Datenzugriffen auf das Notwendige
# Zuteilen einer eindeutigen [[Benutzerkennung]] für jede Person mit Rechnerzugang
# Beschränkung des physischen Zugriffs auf Daten von Kreditkarteninhabern
# Protokollieren und Prüfen aller Zugriffe auf Daten von Kreditkarteninhabern
# Regelmäßige Prüfungen aller Sicherheitssysteme und -prozesse
# Einführen und Einhalten von Richtlinien in Bezug auf Informationssicherheit

PCI basiert auf dem ''[[VISA International Service Association|Visa]]-Account-Information-Security''-Programm (''AIS'' und dessen Schwesterprogramm ''CISP''), dem ''[[Mastercard]]-Site-Data-Protection''-Programm (''SDP''), der ''[[American Express]] Security Operating Policy'' (''DSOP''), der ''[[Discover_Card|Discover]] Information Security and Compliance'' (''DISC'') und den [[Japan Credit Bureau|JCB]]-Sicherheitsregeln.

Die Einhaltung der Regeln wird üblicherweise in Abhängigkeit vom Transaktionsvolumen des Unternehmens überprüft:

* Händler oder Dienstleister, die mehr als 6 Mio. Kreditkartentransaktionen pro Jahr abwickeln, bereits einem Angriff erlagen, von einem anderen Kartenunternehmen als "Level 1" eingestuft wurden oder bei denen Kartendaten kompromittiert wurden, müssen ihr Rechnernetz vierteljährlich mittels eines externen Sicherheitsscans durch einen von Mastercard zugelassenen Scanvendor (ASV) prüfen lassen und zusätzlich einmal im Jahr eine Begehung vor Ort ([[Audit]]) durch ein unabhängiges, von VISA zugelassenes Unternehmen (QSA) oder eines eigens dazu ernannten [[Sicherheitsbeauftragter|Sicherheitsbeauftragten]] durchführen lassen.
* Händler, die zwischen 20.000 und 6 Mio. Kreditkartentransaktionen pro Jahr abwickeln, müssen ihr Rechnernetz ebenfalls mittels eines externen Sicherheitsscans durch einen von Mastercard zugelassenen Approved Scanning Vendor (ASV) vierteljährlich prüfen lassen und zusätzlich einmal im Jahr einen PCI-Fragebogen (Self-Assessment Questionnaire, SAQ) ausfüllen.
* [[Elektronischer Handel|E-Commerce]] Händler, die weniger als 1 Mio. Kreditkartentransaktionen pro Jahr abwickeln (Level 3 und 4), müssen seit dem 1. Oktober 2009 einen PCI DSS-zertifizierten Service Provider mit der Abwicklung der kompletten Kreditkartentransaktionen beauftragen oder ihrem Acquirer die eigene PCI DSS-Zertifizierung durch Ausfüllen des PCI Self-Assessment Questionnaire (SAQ) und ggf. Durchführung eines vierteljährlichen Sicherheitsscan durch einen vom PCI Security Standards Council zugelassenen Approved Scanning Vendor (ASV) nachweisen. (Visa Member Letter VE 33/08 vom 24. September 2008)

== Version ==
Die aktuelle Version des PCI-DSS ist: V4.0.1 vom Juni 2024.<ref>{{Internetquelle|url = https://www.pcisecuritystandards.org/documents/PCI-DSS-v4_0.pdf|titel = Official PCI Security Standards Council Site - Verify PCI Compliance, Download Data Security and Credit Card Security Standards|werk = www.pcisecuritystandards.org|zugriff = 2022-04-02}}</ref>

== Weblinks ==

*[https://www.pcisecuritystandards.org/ PCI Security Standards Council]
*[https://www.security-insider.de/themenbereiche/sicherheits%2Dmanagement/compliance/articles/117332/ PCI Security Standards Council kündigt neue PCI-DSS-Version an]
*[http://www.visaeurope.com/ais/ Visa Europe AIS site]
*[http://usa.visa.com/merchants/risk_management/cisp_overview.html Visa USA CISP site]
*[https://www.atug.de/23c3lecture/1163-23c3Security.in.the.cardholder.data.processing.Paperv1.2.pdf Experiences and lessons learned with the Payment Card Industry Data Security Standard (PCI DSS)] (englisch, PDF, 173 kB)
*[http://www.ecommerce-leitfaden.de/pci-special Deutschsprachige Erläuterung von der Universität Regensburg zum PCI-Standard und dem Zertifizierungsverfahren]

== Einzelnachweise ==
<references />

[[Kategorie:IT-Sicherheit]]
[[Kategorie:Unbarer Zahlungsverkehr]]
[[Kategorie:Chipkarten]]