Payment Card Industry Data Security Standard

aus Wikipedia, der freien Enzyklopädie

Du hast neue Nachrichten auf deiner Diskussionsseite.

Voraussetzung für das Vertrauen in die Sicherheit von bargeldlosen Zahlungssystemen ist der Schutz von Kreditkartendaten gegen Missbrauch. Im Zeitalter des elektronischen Handels haben Nachrichten über den Diebstahl und Missbrauch von Kreditkartendaten durch Hacker das Vertrauen von Karteninhabern und Handelsunternehmen erschüttert.

Der Payment Card Industry Data Security Standard, üblicherweise abgekürzt mit PCI, ist ein Regelwerk im Zahlungsverkehr, das sich auf die Abwicklung von Kreditkartentransaktionen bezieht und von allen wichtigen Kreditkartenorganisationen unterstützt wird.

Handelsunternehmen und Dienstleister, die Kreditkarten-Transaktionen speichern, übermitteln, oder abwickeln, müssen die Regelungen erfüllen. Halten sie sich nicht daran, können Strafgebühren verhängt, Einschränkungen ausgesprochen, oder ihnen letztlich die Akzeptanz von Kreditkarten untersagt werden.

Die Regelungen bestehen aus einer Liste von zwölf Anforderungen an die Rechnernetze der Unternehmen:

Installation und Pflege einer Firewall zum Schutz der Daten
Ändern von Kennwörtern und anderen Sicherheitseinstellungen nach der Werksauslieferung
Schutz der gespeicherten Daten von Kreditkarteninhabern
Verschlüsselte Übertragung sensibler Daten von Kreditkarteninhabern in öffentlichen Rechnernetzen
Einsatz und regelmäßiger Update von Virenschutzprogrammen
Entwicklung und Pflege sicherer Systeme und Anwendungen
Einschränken von Datenzugriffen auf das Notwendige
Zuteilen einer einmaligen Benutzerkennung für jede Person mit Rechnerzugang
Beschränkung des physikalischen Zugriffs auf Daten von Kreditkarteninhabern
Protokollieren und Prüfen aller Zugriffe auf Daten von Kreditkarteninhabern
Regelmäßige Prüfungen aller Sicherheitssysteme und -prozesse
Einführen und Einhalten von Richtlinien in Bezug auf Informationssicherheit

PCI basiert auf dem Visa Account Information Security Programm (AIS und dessen Schwesterprogramm CISP), dem MasterCard Site Data Protection Programm (SDP), der American Express Security Operating Policy (DSOP), der Discover Information Security and Compliance (DISC) und den JCB Sicherheitsregeln.

Die Einhaltung der Regeln wird in der Regel in Abhängigkeit vom Umsatzvolumen des Unternehmens überprüft:

Händler oder Dienstleister, die mehr als 6.000.000 Kreditkartentransaktionen pro Jahr abwickeln, oder bereits einem Angriff erlagen, von einem anderen Kartenunternehmen als "Level 1" eingestuft wurden, bei dem Kartendaten kompromittiert wurden, müssen Ihr Rechnernetz vierteljährlich mittels eines externen Sicherheitsscans durch einen von Mastercard zugelassenen Scanvendor (ASV) prüfen lassen und zusätzlich einmal im Jahr eine Begehung vor Ort (Audit) durch ein unabhängiges, von VISA zugelassenes Unternehmen (QSA) oder eigens dazu ernannten Sicherheitsbeauftragten durchführen lassen.
Händler oder Dienstleister, die zwischen 20.000 und 6.000.000 Kreditkartentransaktionen pro Jahr abwickeln, müssen Ihr Rechnernetz ebenfalls mittels eines externen Sicherheitsscans durch einen von Mastercard zugelassenen Scanvendor (ASV) vierteljährlich prüfen lassen und zusätzlich einmal im Jahr einen PCI-Fragebogen ausfüllen.
Händler oder Dienstleister, die weniger als 20.000 Kreditkartentransaktionen im Jahr abwickeln, müssen zwar die Regelungen erfüllen, eine Prüfung wird empfohlen, ist jedoch nicht obligatorisch.