Zahlungsanbieter verlangt PCI-DSS-Konformität — reicht SAQ-A oder müssen wir ins Audit?

Ihr könnt den Prozess Schritt für Schritt abarbeiten: 1) Ladet das aktuelle PCI-DSS-AOC-Dokument aus dem Kontrollpanel eures Zahlungsanbieters herunter. 2) Holt euch das aktuelle SAQ-A-Dokument von der Website des offiziellen PCI Security Standards Council. 3) Beantwortet die Fragen, lasst sie von eurem Geschäftsführer unterschreiben und ladet das Formular dann ins Portal eures Zahlungsanbieters hoch.

Wir haben ein Jahresvolumen von 1,5 Mio. EUR und hatten genau dieselbe Benachrichtigung im Postfach. Anfangs wollten uns Berater auch Audits für rund 5.000 EUR andrehen. Haben dann mit dem technischen Support unseres Zahlungsanbieters gesprochen, bestätigt, dass wir ein iFrame nutzen, das SAQ-A-Formular selbst ausgefüllt und es wurde anstandslos akzeptiert. Kostenpunkt: null Euro.

Falls ihr auf der Seite ein iFrame nutzt, passt gut auf die neuen Anforderungen mit PCI DSS v4.0 auf. Man muss jetzt die Integrität und Autorisierung aller Third-Party-JavaScript-Codes auf der Bezahlseite überprüfen. Selbst bei SAQ-A sind diese Kontrollen inzwischen Pflicht, um das Risiko von Schadskripten zu minimieren, die von der Hauptseite auf das Zahlungs-iFrame übergreifen könnten.

Welche Integrationsmethode nutzt euer Zahlungsanbieter denn ganz genau? Also direkte Weiterleitung, Inline-iFrame oder werden die Kartendaten über eine JavaScript-Bibliothek tokenisiert? Wenn ihr Tokenization per JS macht, stufen Banken das mitunter als SAQ A-EP ein.

Um Gewissheit zu haben, prüft am besten Folgendes: 1) Wird der Quellcode der Karteneingabefelder wirklich direkt von der Domain des Zahlungsanbieters geladen? 2) Tauchen in euren Server-Logs irgendwelche Request-Parameter mit Kartennummern oder CVV auf? 3) Seid ihr im Händler-Dashboard eures Zahlungsanbieters als Level 4 geführt? Wenn diese drei Punkte passen, braucht ihr definitiv kein externes Audit.

Die Risikoabteilungen der Zahlungsdienstleister verschicken manchmal automatisierte Standard-Mails und verlangen ein QSA-Audit als wäre man ein Level-1-Händler. Bloß nicht panisch externen Firmen Geld hinterherwerfen, ohne das vorher zu hinterfragen. Wir hatten letztes Jahr genau das Gleiche: Haben kurz mitgeteilt, dass wir keinerlei Kartendaten speichern und SAQ-A einreichen – damit war das Thema erledigt.

SAQ-A reicht für euer Setup vollkommen aus. Bei einem Jahresumsatz von 350.000 Euro gibt es absolut keine rechtliche Grundlage, die ein unabhängiges Audit vorschreiben würde. Lasst euch von den überteuerten Angeboten der QSA-Buden nicht verrückt machen, füllt das Formular einfach selbst aus und reicht es ein.

genau den Schreck hatten wir vor zwei Jaahren auch der Ton in der Mail war so scharf dass ich dachte uns droht gleich eine saftige Strafe. als ich mich dann mal in Ruhe rangesetzt und das Formular durchgelesen habe war das Thema in einem halben Tag durch.. und in den Support-Docs des Zahlungsanbieters war sogar haarklein erklärt welche Fragen man wie ankreuzen muss.

Danke fürs Schreiben.

Der am häufigsten übersehene Punkt bei pci dss konformität ist dieser: Ein nicht getestetes Backup ist kein Backup.

Teilweise stimme ich zu, teilweise nicht. Nur weil alle es tun, heißt es nicht, dass es richtig ist.

An deiner Stelle würde ich so vorgehen.

Das hört man oft aber bei uns war es nie so... Die meisten Vorfälle beginnen nicht mit einer Schwachstelle, sondern mit einem geleakten Passwort.

Schreibt mir, wenn ihr Fragen habt ich antworte so gut ich kann.

bei uns war es so dann nur weil alle es tun, heißt es nicht, dass es richtg ist.

das ist meine Meeinung ich behaupte nicht dass es absolut richtig ist.

Notiert, danke. Sicherheit ist nicht absolut; es bedeutet, den Angriff so aufwendig zu machen, dass er sich nicht lohnt.

Wenn es jemand anders macht, würde mich das auch interessieren.

Gut gemacht. Das allein zu versuchen, ist der teuerste Weg.

Wenn es jemand anders macht, würde mich das auch interessieren.

In der Theorie stimmt das, in der Praxis läuft es nicht so. Beginnt mit einem kleinen Test bindet nicht gleich alles fest.

Schreibt mir, wenn ihr Fragen habt, ich antworte so gut ich kann.

Es gab drei verschiedene Ansichten die sich alle ergänzen. Menschen verteidigen nicht den Prozess sondern die Gewohnheit. Der Widerstand kommt daher.

Wenn deine Situation anders ist, ändert sich das natürlich.

Die Diskussion ist abgeschweift, ich fasse mal zusammen. Wenn du zu einem Thema drei verschiedene Antworten bekommst war die Frage falsch gestellt.

Wenn ihr das Ergebnis hier postet, hilft es auch anderen.