POS und Online-Zahlungen im Einsatz: Was ist PCI DSS und welche Pflichten haben wir wirklich?

War wohl nur eine Standard-Mail der Bank. Für kleine Händler ohne Kartenspeicherung ist PCI DSS kein Drama. Wichtig ist nur die Bestätigung: Ist das Bezahlfeld wirklich ein reines iFrame, oder werden die Daten erst an euren Server und dann zur Bank geschickt? Bei Letzterem wirds deutlich aufwendiger.

Kurz mit dem Webmaster klären, ob die Eingabefelder für die Kartendaten direkt von den Servern des externen Payment-Providers geladen werden. Läuft das per iFrame, füllt ihr den SAQ-A aus – der umfasst gerade mal 20 bis 25 grundlegende betriebliche Fragen.

Wir hatten letztes Jahr genau dieselbe Mail im Postfach, der Buchhalter hat direkt Panik geschoben und wollte externe Berater für 80.000 TL anheuern. Ein Anruf bei der Technik der Bank hat gereicht: 'Wenn ihr keine Daten speichert, einfach den SAQ im Dashboard ausfüllen und abschicken.' War in 15 Minuten erledigt.

Falls im Laden mal geprüft wird, achtet auf zwei Dinge, um Bußgelder zu vermeiden: 1) Auf den Kassenbelegen müssen die mittleren Ziffern der Kartennummer unkenntlich gemacht sein. 2) Die Überwachungskameras dürfen auf keinen Fall direkt auf das Tastenfeld des POS-Geräts gerichtet sein.

wir nutzen auch ein fertiges shopsystem kann man das formular nicht einfach direkt an den software-anbieter weiterleiten damit die das für uns ausfüllen?

Der Selbstauskunftsbogen muss rechtlich bindend von der Geschäftsführung gezeichnet werden. Sie können jedoch das offizielle PCI DSS-Zertifikat Ihres Systemanbieters anfordern und der Bank als Nachweis mitsenden, das beschleunigt den Vorgang enorm.

Wenn nirgendwo Kartendaten gespeichert werden gibt es absolut keinen Grund zur Sorge: SAQ-A im Portal bestätigen und Haken dran.

Letztes Jahr haben wir fast genau dasselbe erlebt. Bei uns war der größte Zeitfresser die Unklarheit darüber, wer entscheidet.

Ein nicht getestetes Backup ist kein Backup. Aus Erfahrung weiß ich das.

Ich probiere es aus.

Du hast recht.

Ich fasse kurz zusammen, was bisher gesagt wurde. Wenn wir ohne Messung entscheiden, landen wir immer wieder am selben Punkt.

Sicherheit ist nicht absolut; es bedeutet, den Angriff so aufwendig zu machen, dass er sich nicht lohnt. An deiner Stelle würde ich so vorgehen.

Die Diskussion ist abgeschweift, ich fasse mal zusammen. Der meiste Zeitverlust entsteht durch Arbeiten, die auf Freigaben warten.

Ich hoffe, das hilft dir weiter.

Dieser Rat passt meiner Meinung nach nicht auf jeden. also wenn die Zwei-Faktor-Authentifizierung aktiv ist, reicht ein gestohlenes Passwort allein nicht aus.

Wenn es jemand anders macht, würde mich das auch interessieren.

Ein Thema, das gerade aktuell ist.

Das habe ich auch erlebt. Verlasst euch nicht auf eine einzige Maßnahme; geht schichtweise vor.

Wenn ihr das Ergebnis hier postet, hilft es auch anderen.

Das wusste ich nicht. Lösungen, die im kleinen Maßstab funktionieren, brechen bei Wachstum zusammen, das habe ich spät gelernt.

Lösungen, die im kleinen Maßstab funktionieren, brechen bei Wachstum zusammen, das habe ich spät gelernt. Aus Erfahrung weiß ich das.

Ich habe keinerlei Erfahrung mit PCI DSS Standard Bedeutung, deshalb frage ich. Wenn die Zwei-Faktor-Authentifizierung aktiv ist, reicht ein gestohlenes Passwort allein nicht aus.

Wenn man versucht, alles gleichzeitig zu ändern, etabliert sich nichts richtig. Viel Erfolg.

vielen Dank, ich werde es heute testen.