Betrifft uns PCI DSS Level 1 – welches Level gilt bei unserem Transaktionsvolumen?

Entscheidend ist, ob auf der Website ein echtes iFrame läuft oder JavaScript direkt im Shop eingebunden ist. Bei einem Redirect oder Standard-iFrame füllt man einfach den SAQ A aus, das sind nur etwa 22–25 Ja/Nein-Fragen. Wird das Formular jedoch über eure eigene Domain gerendert, greift SAQ A-EP – und da werden dann quartalsweise externe ASV-Scans fällig.

Das Beratungsunternehmen betreibt hier typische Panikmache. Ich betreue seit 15 Jahren E-Commerce-Infrastrukturen und habe noch nie ein KMU unter der 6-Millionen-Grenze gesehen, das in Level 1 eingestuft wurde. Das Formular von der Bank ist höchstwahrscheinlich nur eine Standardvorlage für die jährlichen Routineprüfungen. Fragen Sie Ihren Bankberater nach Ihrem SAQ-Typ und sparen Sie sich die unnötigen Audit-Kosten.

Solche Benachrichtigungen der Banken hängen meist mit den BDDK-Vorschriften und den jährlichen Bestandsabfragen der internationalen Kreditkartenorganisationen zusammen. Ein offizielles Antwortschreiben an Ihre Bank reicht völlig aus: Geben Sie darin einfach Ihr Transaktionsvolumen an und bestätigen Sie, dass Sie keinerlei Kartendaten speichern und die Daten der Karteninhaber direkt über die Infrastruktur des lizenzierten Zahlungsdienstleisters laufen.

Gab es bei Ihnen in der Vergangenheit mal den Verdacht auf ein Datenleck bei Kartendaten oder eine ungewöhnliche Chargeback-Welle seitens der Banken? Denn selbst bei geringem Transaktionsvolumen können die Kartengesellschaften ein Unternehmen nach einem Sicherheitsvorfall per Ermessensentscheidung auf Level 1 hochstufen. Falls so etwas nicht vorliegt ist das Angebot völlig unbegründet.

wir nutzen auch ein virtuelles POS-Terminal, aber wo lädt man diesen SAQ-Bogen eigentlich herunter und wo reicht man ihn ein? naja muss das zwingend ein externer Experte unterschreiben oder reicht die Unterschrift des Geschäftsführers?

Bevor Sie auch nur einen Cent ausgeben, schauen Sie mal ins Dashboard Ihres Payment-Providers. Die meisten Zahlungsanbieter stellen im Compliance-Bereich ihr eigenes PCI-DSS-Zertifikat sowie eine vorausgefüllte SAQ-Erklärung kostenlos zur Verfügung. Das einfach runterladen, an die Bank weiterleiten – damit ist das Problem meistens direkt erledigt.

Wir hatten letztes Jahr bei ähnlichem Volumen genau dasselbe. Wir haben der Bank einfach den ausgefüllten und abgestempelten SAQ A zukommen lassen, damit war das Thema durch. Wir mussten lediglich zweimal im Jahr einen externen Schwachstellenscan für unsere Website machen lassen, das hat insgesamt um die 6.000 TL gekostet. 180.000 TL ist reine Abzocke.

Der billige Weg stellt sich oft im Nachhinein als teuer heraus. Dass das Backup im gleichen Netzwerk und mit derselben Identität erreichbar ist, macht es zum Teil des Ziels.

Das war's, entschuldige, wenn ich zu lang war.

Richtig. Wenn man Fehlalarme anschreit, meldet sich danach niemand mehr.

Korrigiert mich, falls ich falsch liege.

Der billige Weg stellt sich oft im Nachhinein als teuer heraus. Die meisten Vorfälle beginnen nicht mit einer Schwachstelle, sondern mit einem geleakten Passwort.

Ich hoffe, das hilft dir weiter.

Dieses Thema ist archiviert.

Ich sehe das anders. Wenn der Benachrichtigungsweg lang ist, kommen keine Benachrichtigungen; keine Benachrichtigung bedeutet spät erkannte Vorfälle.

Ich hoffe, das hilft dir weiter.

nichts vergessen: Wenn du das nicht von Anfang an schriftlich festhältst, gibt es später Streit.

es gibt auch noch die Mess-Seite aber wenn man Fehlalarme anschreit, meldet sich danach niemand mehr.

maßnahmen ohne vorherige Bestandsaufnahme lassen die Türen offen die man nicht sieht.

Das hier Beschriebene ist genau das, was wir erlebt haben. Sicherheit ist nicht absolut; es bedeutet, den Angriff so aufwendig zu machen, dass er sich nicht lohnt.

Wenn es jemand anders macht würde mich das auch interessieren.

Ich stimme zu. Schreibe bei Entscheidungen auch das Worst-Case-Szenario auf, nicht nur das Beste.

Änderungen an Zahlungsdaten werden niemals über den Kanal bestätigt über den sie eingehen. Korrigiert mich, falls ich falsch liege.

Dieser Ansatz hat seinen Preis der aber nicht thematisiert wird. Kein Prozess ohne Dokumentation verbessert sich, weil man nicht weiß, was man verbessern soll.

Schreibt mir, wenn ihr Fragen habt, ich antworte so gut ich kann.

kurzfassung für Neueinsteiger: In den ersten drei Monaten läuft alles gut, die Probleme tauchen im vierten Monat auf.

aus Erfahrung weiß ich das.