Zahlungsanbieter verlangt PCI-DSS-Compliance: Welches Level betrifft uns und was kostet das?

Entscheidend ist die Architektur des Bezahlformulars. Schaut in den Quellcode beim Kreditkartenfeld: Liegt das in einem iFrame, der von der Domain des Zahlungsanbieters geladen wird, habt ihr leichtes Spiel. Erfasst ihr die Daten selbst per JavaScript über ein eigenes Formular, steigt der Prüfaufwand massiv.

Haben das letztes Jahr für unseren Shop mit 60.000 Transaktionen durchgezogen. Im Dashboard des Anbieters den SAQ A mit rund 20 Fragen ausgefüllt, dazu 350 Dollar im Jahr für den Scan-Anbieter bezahlt – war in 2 Stunden erledigt.

Schau mal im Dashboard deines Zahlungsanbieters unter Compliance nach, da gibt es meistens einen Assistenten. Sobald du angibst, dass keine Kartendaten gespeichert und Zahlungen extern abgewickelt werden schrumpft der Fragebogen automatisch auf ein Minimum zusammen.

Ihr speichert doch definitiv keine Kartennummern, Ablaufdaten oder CVVs in eurer Datenbank, oder? Wenn ihr versehentlich sogar in Log-Dateien Kartendaten schreibt, ändert sich die Art des Fragebogens und die strafrechtliche Haftung komplett.

Zahlungsanbieter schicken jedes Jahr diese automatischen Warnungen raus und machen den Leuten Angst. Wenn ihr eingebettete Formulare nutzt dauert das Ausfüllen maximal 45 Minuten, gebt bloß keinem Prüfer tausende Dollar.

Korrektur: Ich hatte die Zahl falsch im Kopf, sie war etwas niedriger.

Auf dem Markt sind massenhaft Agenturen aufgetaucht die unter dem Namen 'PCI DSS Beratung' von kleinen Unternehmen 3.000-5.000 Dollar verlangen. Ein kleiner Händler, der Kartendaten nicht auf seinem eigenen Server hält muss für solche Beratungen keinen einzigen Cent ausgeben.

Die Grundlogik der PCI DSS Regeln ist, die Kontaktfläche mit Kartendaten auf null zu reduzieren. Je weiter ihr beim Aufbau eurer Infrastruktur die Zahlungsdaten von eurem Server fernhaltet, desto geringer werden sowohl eure gesetzlichen Pflichten als auch eure jährlichen Scan- und Compliance-Kosten.

als die erste Mail kam, sind wir in Panik geraten, dachten unser Konto wird gesperrt und haben alle bis zum Buchhalter angerufen. naja dabei mussten wir nur eine Online-Checkliste bestätigen. keine Panik, wenn ihr euer System auf ein externes Framework umgestellt habt ist der Prozess total mühelos.

Mich interessiert das auch.

Da ist mir noch ein Punkt unklar. Jeder nicht schriftlich festgehaltene Punkt ist einer, an den sich beide Parteien später unterschiedlich erinnern.

Wenn du das nicht von Anfang an schriftlich festhältst, gibt es später Streit. Schreibt mir, wenn ihr Fragen habt, ich antworte so gut ich kann.

Es gab drei verschiedene Ansichten die sich alle ergänzen. Beginnt mit einem kleinen Test, bindet nicht gleich alles fest.

Wenn es jemand anders macht würde mich das auch interessieren.

Ich habe mich lange damit beschäftigt. Kein Prozess ohne Dokumentation verbessert sich, weil man nicht weiß, was man verbessern soll.

Wenn es jemand anders macht, würde mich das auch interessieren.

Nach diesem Erlebnis hat sich meine Sichtweise geändert. Wenn die Zwei-Faktor-Authentifizierung aktiv ist reicht ein gestohlenes Passwort allein nicht aus.

Wenn du das nicht von Anfang an schriftlich festhältst gibt es später Streit. Das ist meine Meinung ich behaupte nicht dass es absolut richtig ist.

Ich erkläre mal die technische Seite. In den ersten drei Monaten läuft alles gut, die Probleme tauchen im vierten Monat auf.

Das war's, entschuldige, wenn ich zu lang war.

ich stimme voll und ganz zu dann wenn du das nicht von Anfanng an schriftlich festhältst gibt es später Streit.

wenn ihr das Ergebnis hier postet, hilft es auch anderen.

Letztes Jahr haben wir fast genau dasselbe erlebt. Vergessene Testumgebungen sind häufiger das Einfallstor als das Live-System.

Kannst du das etwas genauer erklären? Wer bei PCI-DSS-Compliance-Level hetzt, stolpert alle an derselben Stelle.

Fehler auf der PCI-DSS-Compliance-Level-Seite sind meist rückgängig zu machen, aber teuer. Nur als Notiz, könnte nützlich sein.

Ich spreche mal aus der Gegenperspektive ich bin auf der Lieferantenseite. Wenn du das nicht von Anfang an schriftlich festhältst, gibt es später Streit.

Schreibt mir, wenn ihr Fragen habt ich antworte so gut ich kann.