Zahlungsanbieter verlangt PCI-DSS-Zertifizierung — wirklich nötig, und was kostet das?

Da gibt's nichts zu befürchten. Wenn ihr die Kartennummer nicht auf eurem Server seht, betreffen euch teure Prüfungen nicht. Öffnet das SAQ-A-Formular, beantwortet Fragen wie ob ihr Kartendaten verarbeitet mit Antworten in der Art von an den Anbieter delegiert und bestätigt. Wir erneuern das jedes Jahr in 15 Minuten.

Die technische Unterscheidung ist sehr kritisch: Auch wenn das Formular auf eurer Seite erscheint, wenn die Daten im Hintergrund direkt an die API-Adresse des Zahlungsanbieters gehen, ist SAQ A-EP erforderlich und es wird ein vierteljährlicher Schwachstellen-Scan verlangt. Aber wenn ihr eine vollständige Weiterleitung oder ein iFrame nutzt, wird nur das einfache SAQ A verlangt, keine externe Scan-Pflicht.

Wir haben letztes Jahr dieselbe Warnung bekommen, Prüfungsfirmen haben 4.000 € angeboten. Dann haben wir dem Support unseres Zahlungsanbieters geschrieben, sie haben uns auf ihr eigenes Partnerportal verwiesen. Wir haben 60 € Portalgebühr pro Jahr gezahlt, den SAQ-A-Fragebogen mit 20 Fragen ausgefüllt und die Bestätigung bekommen.

Ruft sofort den Kundenservice eures Zahlungsanbieters an. Fragt, wir nutzen Weiterleitung, wie kann ich das SAQ-A-Dokument über das Panel übermitteln. Sie verweisen euch auf ihre eigene Online-Verifizierungsseite, das ist in einer halben Stunde erledigt.

Lasst mich den Prozess Schritt für Schritt zusammenfassen: 1) Bestätigt euren Integrationstyp (Weiterleitung oder API?). 2) Ermittelt das passende Formular (höchstwahrscheinlich SAQ A). 3) Füllt den Assistenten im Portal des Anbieters aus. 4) Speichert das erstellte Konformitätsdokument im System.

bei uns kam die gleiche mail auch wir haben uns erschrocken und sofort mit dem support gesprochen. dabei muusste man nur ein paar fragen im system beantworten dann ehrlich gesagt ihr müsst überhaupt kein geld zahlen macht das über euer eigenes panel.

Zahlungsanbieter schreiben diese E-Mails in einer sehr angsteinflößenden Sprache, als ob morgen ein Prüfer vor eurer Tür steht. Ihr eigentliches Ziel ist, über ihre Partnerportale Monats- oder Jahresabos zu verkaufen. Geratet nicht in Panik und holt euch keinen externen Berater.

Auch wenn keine Kreditkartendaten gespeichert werden, ist die Sicherheit des Servers, auf dem Ihre Website gehostet wird, bei der Weiterleitung des Karteninhabers von entscheidender Bedeutung. Dementsprechend wird diese Verpflichtung, selbst wenn es sich nur um das Niveau SAQ A handelt, von den internationalen Kartensystemen verbindlich vorgeschrieben. Ich empfehle Ihnen, die Meldung fristgerecht abzuschließen.

Ich möchte kurz warnen. In den ersten drei Monaten läuft alles gut die Probleme tauchen im vierten Monat auf.

Wenn ihr das Ergebnis hier postet, hilft es auch anderen.

Richtig.

Bei uns ist es genauso. Menschen verteidigen nicht den Prozess sondern die Gewohnheit. Der Widerstand kommt daher.

Lösungen, die im kleinen Maßstab funktionieren, brechen bei Wachstum zusammen, das habe ich spät gelernt. Wenn ihr das Ergebnis hier postet hilft es auch anderen.

An diesem Punkt widerspreche ich dir. Jeder nicht schriftlich festgehaltene Punkt ist einer, an den sich beide Parteien später unterschiedlich erinnern.

Änderungen an Zahlungsdaten werden niemals über den Kanal bestätigt über den sie eingehen. Korrigiert mich, falls ich falsch liege.

Das wusste ich nicht. Ein automatisierter Scan-Report ist kein Penetrationstest.

Wenn der Benachrichtigungsweg lang ist, kommen keine Benachrichtigungen; keine Benachrichtigung bedeutet spät erkannte Vorfälle.

Letztes Jahr haben wir fast genau dasselbe erlebt. Wenn der Benachrichtigungsweg lang ist, kommen keine Benachrichtigungen; keine Benachrichtigung bedeutet spät erkannte Vorfälle.

Wenn ihr es zum ersten Mal macht, fangt klein an die Skalierung kommt später. Wenn deine Situation anders ist, ändert sich das natürlich.

Ja die Situation bei pci dss zertifizierung ist genau so. Die Zeit, die ihr braucht, um ein Problem zu erkennen, bestimmt direkt dessen Kosten.

Nur als Notiz, könnte nützlich sein.

Ich erzähle mal was mir passiert ist vielleicht hilft es euch. Wer bei pci dss zertifizierung hetzt, stolpert alle an derselben Stelle.

Wenn es jemand anders macht, würde mich das auch interessieren.

Du hast recht.

Ich fasse kurz zusammen, was bisher gesagt wurde. Änderungen an Zahlungsdaten werden niemals über den Kanal bestätigt, über den sie eingehen.

Wenn ihr das Ergebnis hier postet, hilft es auch anderen.