PCI DSS

Definition

PCI DSS ist ein internationaler Sicherheitsstandard, der Unternehmen, die Zahlungskartendaten verarbeiten, speichern oder übertragen, verbindliche technische und organisatorische Anforderungen zum Schutz dieser sensiblen Daten vorschreibt, insbesondere im betrieblichen Alltag und im laufenden Betrieb.

Erklärung / Hintergrund

PCI DSS legt konkrete Anforderungen an die Absicherung von Zahlungskartendaten fest, etwa hinsichtlich Verschlüsselung, Netzwerksicherheit, Zugriffskontrollen und regelmäßiger Sicherheitsüberprüfungen, um das Risiko von Datenlecks bei der Verarbeitung von Kreditkarteninformationen zu minimieren.

Für Unternehmen ist PCI DSS relevant, sobald sie Zahlungskartendaten von Kunden verarbeiten, unabhängig von der Unternehmensgröße, wobei der konkrete Umfang der Anforderungen vom Transaktionsvolumen und der Art der Zahlungsabwicklung abhängt.

Für Architektur- und Ingenieurbüros ist PCI DSS meist nur relevant, wenn eigene Zahlungsabwicklungssysteme für Kartenzahlungen genutzt werden, etwa bei Onlinezahlungen für kleinere Dienstleistungen, während die meisten größeren Projektzahlungen üblicherweise per klassischer Rechnung und Überweisung erfolgen.

Abzugrenzen ist PCI DSS von der allgemeineren ISO 27001, die ein breiteres Spektrum an Informationssicherheit abdeckt, während PCI DSS speziell auf den Schutz von Zahlungskartendaten fokussiert ist. Beide Standards können sich in der Praxis sinnvoll ergänzen. Dies zeigt, wie eng die einzelnen Konzepte der Cybersicherheit miteinander verzahnt sind.

Praxisrelevanz

Für Sie als Geschäftsführerin oder Geschäftsführer eines Planungsbüros ist PCI DSS meist nur relevant, wenn Ihr Unternehmen eigene Systeme zur Verarbeitung von Kartenzahlungen nutzt, was bei den meisten größeren Projektzahlungen im Planungssektor eher selten der Fall ist, da diese üblicherweise per Rechnung und Überweisung erfolgen. Sollte Ihr Büro dennoch Kartenzahlungen für kleinere Dienstleistungen anbieten, sind die entsprechenden Anforderungen jedoch verbindlich einzuhalten. Für die Cyberversicherung ist relevant, dass die Einhaltung von PCI DSS bei tatsächlicher Verarbeitung von Zahlungskartendaten häufig eine wichtige Voraussetzung für den Versicherungsschutz in diesem spezifischen Bereich darstellt. Ein realistisches Verständnis dieses Zusammenhangs hilft Ihnen zudem, Prioritäten bei der eigenen IT-Sicherheit sinnvoll zu setzen und im Beratungsgespräch zur Cyberversicherung fundierte Fragen zu stellen.

Praxisbeispiel

Ein Architekturbüro bietet seinen Kunden neben klassischen Rechnungsstellungen auch die Möglichkeit, kleinere Beratungsleistungen direkt online per Kreditkarte zu bezahlen. Da das Büro dadurch Zahlungskartendaten verarbeitet, konsultiert die Geschäftsführung einen spezialisierten Berater, um die einschlägigen PCI-DSS-Anforderungen zu verstehen und korrekt umzusetzen. Gemeinsam mit dem genutzten Zahlungsdienstleister werden geeignete technische Maßnahmen implementiert, sodass die Kartendaten der Kunden den vorgeschriebenen Sicherheitsstandards entsprechend geschützt verarbeitet werden. Der Vorfall wird intern dokumentiert und dient als Grundlage für weitere, gezielte Verbesserungen der eigenen IT-Sicherheit.

FAQ

Was ist PCI DSS?

PCI DSS ist ein internationaler Sicherheitsstandard, der Unternehmen, die Zahlungskartendaten verarbeiten, verbindliche Schutzanforderungen vorschreibt.

Wann ist PCI DSS für ein Unternehmen relevant?

Sobald Zahlungskartendaten von Kunden verarbeitet, gespeichert oder übertragen werden, unabhängig von der Unternehmensgröße.

Warum ist PCI DSS für die meisten Ingenieurbüros wenig relevant?

Größere Projektzahlungen erfolgen im Planungssektor üblicherweise per klassischer Rechnung und Überweisung statt per Kartenzahlung.

Wie unterscheidet sich PCI DSS von ISO 27001?

PCI DSS fokussiert speziell auf den Schutz von Zahlungskartendaten, während ISO 27001 ein breiteres Spektrum an Informationssicherheit abdeckt.

Welche Rolle spielt PCI DSS für die Cyberversicherung?

Bei tatsächlicher Verarbeitung von Zahlungskartendaten ist die Einhaltung häufig eine wichtige Voraussetzung für entsprechenden Versicherungsschutz.

Verwandte Begriffe

• ISO 27001 – deckt ein breiteres Spektrum an Informationssicherheit ab als das spezifischere PCI DSS.

• Business Continuity Management (BCM) – kann ergänzend zu PCI-DSS-Anforderungen für Zahlungssysteme relevant sein.

• Critical National Infrastructure (CNI) – stellt andere, teils strengere Anforderungen als das zahlungsspezifische PCI DSS.

• ISMS (Informationssicherheitsmanagementsystem) – kann PCI-DSS-Anforderungen als spezifischen Baustein in ein umfassenderes System integrieren.