Zahlungsanbieter verlangt PCI-DSS-Konformität: Gibt es eine Checkliste, wo fangen wir an?

Die kritische technische Falle hier ist der Unterschied zwischen iFrame und Weiterleitung. Wenn es auf eurer Seite einen Drittanbieter-JavaScript-Code gibt, der in den Browser des Kunden eindringen kann, könnten sie ein gefälschtes Feld über das iFrame-Formular legen. Stellt deshalb bei euren Sicherheitskontrollen sicher, dass ihr die Integrität aller externen Scripts prüft, die auf euren Zahlungsseiten laufen.

Geht ins Kontrollpanel eures Zahlungsanbieters dort gibt es meist einen integrierten Konformitätsassistenten. Wenn ihr die Fragen durchgeht leitet er euch automatisch zum SAQ-A-Formular. Die meisten Fragen sind Punkte mit offensichtlicher Antwort wie 'schreibt ihr Kartendaten auf Papier, speichert ihr sie auf dem Server'. Ihr könnt es in zwei Stunden erledigen.

Wir haben letztes Jahr dieselbe Warnung bekommen, wir hatten jährlich 25.000 Transaktionen. Weil wir es vernachlässigt haben, hat der Anbieter angefangen, uns jeden Monat 49 Dollar 'PCI-Nichtkonformitätsstrafe' abzuziehen. Als wir es gemerkt haben, haben wir das SAQ-A-Formular über das Portal in 40 Minuten ausgefüllt und abgeschickt, im nächsten Monat hat der Strafabzug sofort aufgehört.

Alle sagen 'SAQ A ist total einfach, ist gleich erledigt' aber mit der neuen Standardversion wurden auch in den SAQ-A-Umfang technische Pflichten wie Script-Sicherheit und Integrität der E-Commerce-Seite aufgenommen. Man kann also nicht mehr einfach nur Häkchen setzen und durch; ihr müsst eventuell die Hash-Verifizierung der Scripts auf eurer Seite durchführen.

Speichert niemals CVV oder die vollständige 16-stellige Kartennummer auf eurem Server. Solange ihr das nicht tut und die Zahlung an eine externe Seite weitergebt, bleiben eure Prüfkosten nahe null, ihr müsst nur das Formular einreichen.

Um den Prozess vor euch zu vereinfachen, geht in dieser Reihenfolge vor: 1) Lasst euch von eurem Anbieter schriftlich bestätigen, welchen SAQ-Typ genau sie verlangen. 2) Füllt den Fragebogen über das offizielle Portal aus und unterschreibt die Konformitätserklärung. 3) Richtet, falls vorhanden, den vom Anbieter verlangten vierteljährlichen externen Sicherheitsscan für eure Seite ein.

Bei uns erscheint im Panel auch der Tab 'PCI Self-Assessment'. halt wenn wir beim Ausfüllen des Formulars bei einer technischen Frage das falsche Kästchen ankreuzen, entsteht daraus eine rechtliche Haftung oder direkt eine Geldstrafe oder macht das System nur eine allgemeine Erklärungskontrolle?

Ergänzung: Wurde unten schon gefragt, die Antwort habe ich im zweiten Beitrag geschrieben.

keine Angst, das passiert jedem wachsenden Shop. die Zahlungsunternehmen schicken bis zur Frist Erinnerungen, um keine Strafe verhängen zu müssen aber übrigens wenn ihr beim Ausfüllen bei einem Punkt hängt fragt den Live-Support eures Anbieters, sie sagen euch direkt, welche Option ihr ankreuzen sollt.

Kurzfassung für Neueinsteiger: Wenn die Zwei-Faktor-Authentifizierung aktiv ist, reicht ein gestohlenes Passwort allein nicht aus.

Aus Erfahrung weiß ich das.

das wusste ich nicht. halt entscheidend ist nicht die Zahl sondern woauf sie sich bezieht.

wenn es jemand anders macht, würde mich das auch interessieren.

Im Großen und Ganzen richtig, aber ein Punkt fehlt. Entscheidend ist nicht die Zahl, sondern worauf sie sich bezieht.

Schreibt mir, wenn ihr Fragen habt, ich antworte so gut ich kann.

Ich schreibe kurz, wie das in der Praxis gemacht wird. Wenn man versucht alles gleichzeitig zu ändern, etabliert sich nichts richtig.

Viel Erfolg.

Ich schreibe mal meine Erfahrung auf. Entscheidend ist nicht die Zahl, sondern worauf sie sich bezieht.

Ich hoffe, das hilft dir weiter.

das habe ich auch erlebt.

Gut, dass du diesen Thread eröffnet hast.

Danke fürs Schreiben, das ist genau richtig. Das allein zu versuchen, ist der teuerste Weg.

Korrigiert mich, falls ich falsch liege.

Die obige Antwort bringt es auf den Punkt. Vergessene Testumgebungen sind häufiger das Einfallstor als das Live-System.

Wenn man Fehlalarme anschreit, meldet sich danach niemand mehr. Korrigiert mich, falls ich falsch liege.

Richtig.