E-COMMERCE- LEITFADEN - SKW Schwarz

Verpflichtungen beim Angebot von Kreditkartenzahlungen (PCI-Standard)
Um Kreditkartendaten vor Missbrauch zu schützen, haben die Kreditkartenorganisationen MasterCard
und Visa einen gemeinsamen Standard, den Payment Card Industry Data Security Standard (PCI DSS oder
PCI­Standard) geschaffen. Inwiefern dieser Standard für Sie relevant ist und was er konkret bedeutet, kann
mithilfe der nachfolgenden Fragen beantwortet werden.
Für wen gilt der Payment Card Industry Standard (PCI-Standard)?
Er gilt für alle Unternehmen, die Kreditkarten akzeptieren und / oder Kreditkartendaten verarbeiten,
speichern oder weiterleiten, z. B. für Händler, Acquirer oder sonstige Dienstleister. Um Kreditkartendaten
ver arbeiten, speichern oder weiterleiten zu dürfen, müssen Sie sich zertifizieren lassen.
Wann werden Kreditkartendaten verarbeitet, gespeichert oder weitergeleitet?
Sobald Sie Kreditkartendaten auf eigenen Systemen speichern, be­ oder verarbeiten oder auch nur über
diese weiterleiten, sind Sie zur Einhaltung des PCI­Standards verpflichtet.
Kreditkartendaten werden nur dann nicht verarbeitet, wenn Sie zu keinem Zeitpunkt Kreditkartendaten
auf Ihren eigenen Systemen speichern, be­ oder verarbeiten bzw. entgegennehmen und / oder weiterleiten.
Dies ist beispielsweise dann der Fall, wenn ein Shop­System eines Dritten eingesetzt wird und für Sie
keine Zugriffsmöglichkeit auf die Kreditkartendaten Ihrer Kunden besteht oder das Web­Formular, in das
die Kreditkartendaten eingegeben werden, von einem Dienstleister (z. B. Acquirer oder Payment Service
Provider) bereitgestellt wird und die Kreditkartendaten damit auf dessen System eingegeben werden.
Welche Verpflichtungen müssen im Rahmen des PCI Data Security Standards eingehalten werden?
Das PCI­Datenschutz­Regelwerk besteht aus folgenden verbindlichen Bestimmungen, die von allen
Kreditkartendaten verarbeitenden Unternehmen einzuhalten sind:
1. Installation und regelmäßige Aktualisierung einer Firewall zum Schutz der Daten
2. Keine Verwendung vorgegebener Werte für System­Passwörter oder andere
Sicherheitsparameter
3. Schutz gespeicherter Kreditkartendaten, d. h., es dürfen Karten­ und Transaktionsdaten (wie etwa
die vollständige Kartennummer oder Kartenprüfnummer) nicht unnötig gespeichert werden
4. Verschlüsselte Übertragung von Karteninhaberdaten und anderer sensibler Daten in offenen
Netzwerken
5. Einsatz und regelmäßige Aktualisierung einer Anti­Viren­Software
6. Entwicklung und Einsatz sicherer Systeme und Anwendungen
7. Beschränkung des Zugriffs auf Karteninhaberdaten ausschließlich für geschäftliche Zwecke
8. Vergabe einer eindeutigen Kennung für jede Person mit Zugang zum Computersystem
9. Beschränkung des physischen Zugriffs auf Karteninhaberdaten
10. Nachvollziehbare Überwachung aller Zugriffe auf Netzwerk­Ressourcen und Karteninhaberdaten
11. Durchführung regelmäßiger Tests der Sicherheitssysteme und Prozessabläufe
12. Bereitstellung und Einhaltung einer Unternehmensrichtlinie zum Thema
„Informationssicherheit“ für und durch Mitarbeiter und Vertragspartner
www.ecommerce-leitfaden.de
BEZAHLEN BITTE – EINFACH, SCHNELL UND SICHER!
| 4-41