POS und Online-Zahlung im Einsatz – was verlangt die PCI-DSS-Zertifizierung eigentlich genau von uns?

Kein Grund zur Panik! Das typische Bankendeutsch in diesen Standardmails wirkt oft bedrohlicher, als es ist. Solange Sie Kartennummern, Gültigkeitsdaten und CVV-Codes niemals in Ihrer eigenen Datenbank speichern, müssen Sie am Ende nur das passende Dokument ausfüllen und unterschreiben.

Drei Punkte sollten Sie direkt prüfen: 1) Werden Kartendaten im Shop tatsächlich im geschützten Fenster des Zahlungsanbieters eingegeben? 2) Werden Kartennummern auf den physischen POS-Belegen ordnungsgemäß maskiert? 3) Fragen Sie Ihren Bankberater direkt nach der für Sie vorgesehenen SAQ-Vorlage.

Manche Beratungsagenturen nutzen die Unsicherheit von KMU gezielt aus und verlangen 5.000 bis 10.000 Dollar für angebliche Level-1-Audits. Fallen Sie darauf bloß nicht rein. In Ihrer Größenordnung ist ein externer Auditor absolut überflüssig.

Wir hatten bei rund 80.000 Transaktionen denselben Fall. Da wir Zahlungen per Weiterleitung abwickeln, reichten das Ausfüllen von SAQ A sowie der Nachweis über SSL und den Sicherheits-Scan. Die Bank hat das innerhalb von zwei Tagen freigegeben – Kostenpunkt: 0 Euro.

solange keine kartendaten auf eurem server liegen gibts da null stress. wichtig ist nur dass das admin-passwort vom shop sicher ist und das ssl-zertifikat passt. bogen ausfüllen an die bank schicken, fertig.

als ich die Mail damals bekam, dachte ich erst, wir müssten den Laden dichtmachen – so fies wie das formuliert war aber wenn man genauer hinschaut will die Bank letztlich nur eine Unterschrift als Bestätigung: „Ihr speichert doch hoffentlich keine Kartendaten bei euch ab?“

Prüfen Sie im Händlervertrag mit Ihrem Zahlungsdienstleister genau, welcher technische Integrationstyp vereinbart wurde. Sollten Kartendaten direkt über eine API angebunden sein, greift eventuell SAQ A-EP – dort sind die Anforderungen und Sicherheitsprüfungen etwas strenger.

Sprechen Sie mit Ihrer Webagentur und lassen Sie sich schriftlich bestätigen: „Verarbeitet oder speichert unsere Website zu irgendeinem Zeitpunkt Kartendaten?“ Lautet die Antwort Nein, teilen Sie der Bank mit, dass Sie SAQ A einreichen. Das Ding ist in einer halben Stunde erledigt.

Gut, dass du diesen Thread eröffnet hast.

Ich bin derselben Meinung. Beginnt mit einem kleinen Test bindet nicht gleich alles fest.

Ich stimme voll und ganz zu. ehrlich gesagt lösungen, die im kleinen Maßstab funktionieren, brechen bei Wachstum zusammen das habe ich spät gelernt.

An deiner Stelle würde ich so vorgehen.

Hier lauert eine Falle die ich nicht unerwähnt lassen möchte. Überstürzte Entscheidungen sind oft solche, die man sechs Monate später korrigieren muss.

Das ist meine Meinung, ich behaupte nicht dass es absolut richtig ist.

Gut gemacht. Beginnt mit einem kleinen Test, bindet nicht gleich alles fest.

In den ersten drei Monaten läuft alles gut, die Probleme tauchen im vierten Monat auf. Schreibt mir wenn ihr Fragen habt, ich antworte so gut ich kann.

ich habe diesen Weg schon hinter mir, ich erzähl mal und der meiste Zeitverlust entsteht durch Arbeiten, die auf Freigaben warten.

Bei uns ist es genauso.

Ich bin derselben Meinung. Überstürzte Entscheidungen sind oft solche die man sechs Monate später korrigieren muss.

Nur als Notiz könnte nützlich sein.

Gespeichert.

Man sollte der Reihe nach vorgehen. Der meiste Zeitverlust entsteht durch Arbeiten, die auf Freigaben warten.

Korrigiert mich, falls ich falsch liege.