PCI-DSS-Konformität für Websites kleiner Unternehmen (einfach erklärt)

Die großen Kartennetzwerke verlangen von jedem Unternehmen, das Karten mit ihren Marken annimmt, verarbeitet, speichert oder überträgt, die Einhaltung eines grundlegenden Sicherheitsstandards. Deshalb gibt es den Payment Card Industry Data Security Standard (PCI DSS).

Ein Großteil der Unsicherheit rund um PCI DSS dreht sich um die Frage, welches Formular für Sie relevant ist.

Wenn Sie sicherstellen möchten, dass das kleine Unternehmen, mit dem Sie Geschäfte machen, seriös ist, prüfen Sie unbedingt seine Bewertungen auf WebVouch!

Was bedeutet PCI-DSS-Konformität?

Die PCI-DSS-Konformität ist eine Anforderung aller großen Kreditkartenanbieter an jede Organisation, die deren Kreditkarten verarbeitet, speichert oder überträgt. Sie gilt auch dann, wenn Sie über Ihre Website nur eine einzige Transaktion pro Jahr abwickeln. Es handelt sich nicht um ein Gesetz, sondern um eine vertragliche Verpflichtung, die Ihr Kreditkartenabwickler auferlegt. Bei Nichteinhaltung drohen Geldbußen von 5.000 bis 100.000 US-Dollar pro Monat.

Zusammengefasst gilt für PCI DSS:

• Gilt für jede Organisation, die mit Kartendaten umgeht (Annahme, Verarbeitung, Speicherung oder Übertragung)

• Umfasst auch eine einzige Kartentransaktion pro Jahr über eine Website

• Vertragliche Verpflichtung, keine gesetzliche Vorschrift

• Bei Nichteinhaltung können Geldbußen von 5.000 bis 100.000 US-Dollar pro Monat anfallen

Welcher Händlerstufe gehören Sie an?

Es gibt vier PCI-DSS-Konformitätsstufen, die sich nach dem jährlichen Transaktionsvolumen richten. Ein höheres Volumen bedeutet strengere Anforderungen und höhere Kosten.

Die meisten kleinen E-Commerce-Unternehmen fallen in Stufe 4: bis zu 20.000 E-Commerce-Transaktionen oder insgesamt 1 Million Transaktionen pro Jahr. Sie müssen lediglich jährlich einen Self-Assessment-Fragebogen ausfüllen und vierteljährliche Netzwerkscans durchführen lassen. Ein zusätzliches Audit ist nicht erforderlich. Die Kosten liegen in der Regel zwischen 800 und 5.000 US-Dollar, je nachdem, wie stark Sie in den Prozess eingebunden sind.

Für Unternehmen mit 20.000 bis 1 Million E-Commerce-Transaktionen pro Jahr liegen die Kosten zwischen 5.000 und 15.000 US-Dollar jährlich. Unternehmen der Stufen 1 und 2 wickeln Millionen von Transaktionen ab. Sie benötigen ein vollständiges Audit und einen Penetrationstest; danach steigen die Kosten weiter.

Wenn Sie einen kleinen Online-Shop betreiben, fallen Sie wahrscheinlich in Stufe 4. Die Anforderungen sind tatsächlich weniger anspruchsvoll, als der 300-seitige Leitfaden vermuten lässt.

Wovon hängen die Kosten für die PCI-Konformität ab?

Die Unternehmensgröße ist nicht der wichtigste Faktor. Entscheidend ist vielmehr, ob Zahlungskartendaten Ihrer Kunden jemals Ihren eigenen Server erreichen.

Bei einem gehosteten Checkout oder einer gehosteten Zahlungsseite werden die Kreditkarteninformationen direkt vom Browser Ihrer Kundinnen und Kunden an das Zahlungsgateway gesendet. Sie erhalten lediglich das Token. Dadurch qualifizieren Sie sich normalerweise für SAQ A, den kürzesten verfügbaren Fragebogen. Bei einem selbst gehosteten Checkout oder einer direkten API-Integration müssen Sie einen deutlich längeren und detaillierteren Fragebogen ausfüllen.

Beachten Sie bei der groben Berechnung Ihrer PCI-Konformitätskosten Folgendes:

• Gehosteter Checkout bedeutet SAQ A (19–27 Fragen)

• Selbst gehosteter Checkout und/oder direkte API bedeuten einen deutlich längeren Fragebogen (mehr als 100 Fragen)

• Der Umfang der Anforderungen unterscheidet sich etwa um das Sechsfache

• Meistens entscheidet die Wahl zwischen einem gehosteten und einem selbst gehosteten Checkout über Ihre tatsächlichen Kosten für die PCI-Konformität

Wie hoch sind die üblichen Kosten für die Konformität?

Händler der Stufe 4 mit gehostetem Checkout zahlen sehr wenig. Der Konformitätsfragebogen ist im Compliance-Portal des Zahlungsabwicklers kostenlos und lässt sich in weniger als einer Stunde ausfüllen. Falls vierteljährliche Scans erforderlich sind, kosten diese 100 bis 400 US-Dollar pro Jahr. Für ein typisches kleines Unternehmen mit gehostetem Checkout liegen die jährlichen Kosten für die Konformität somit zwischen 0 und 600 US-Dollar.

Achten Sie auf die Gebühr bei Nichteinhaltung der PCI-Vorgaben. Sie beträgt 19 bis 99 US-Dollar pro Monat und wird fällig, sobald der Händler den Konformitätsfragebogen für das laufende Jahr nicht ausgefüllt hat. Im Grunde ist das eine Strafe dafür, einen kostenlosen Fragebogen nicht ausgefüllt zu haben, der nur eine Stunde in Anspruch nimmt. Die Gebühr verlängert sich automatisch und kann daher über viele Jahre hinweg in Ihren Abrechnungen des Zahlungsabwicklers unbemerkt bleiben.

Was passiert nach einer Datenschutzverletzung?

Ein Datenleck mit Kartendaten bei einem kleinen Unternehmen zieht typischerweise mehrere Kosten nach sich, die sich oft zu sehr hohen Summen addieren. Eine forensische Untersuchung kostet üblicherweise zwischen 10.000 und 35.000 US-Dollar. Je nach Umfang und Schwere können die Geldbußen der Kartenanbieter zwischen 5.000 und 100.000 US-Dollar liegen. Sobald die staatlichen Vorschriften greifen, kostet die Benachrichtigung betroffener Kundinnen und Kunden 3 bis 10 US-Dollar pro Person. Dauert die Behebung zu lange, kann der Acquirer monatliche Strafen von 5.000 bis 15.000 US-Dollar verhängen.

Branchenangaben zufolge belaufen sich die durchschnittlichen Kosten einer Datenschutzverletzung auf fast 2,98 Millionen US-Dollar. Dieser Betrag gilt jedoch für Unternehmen jeder Größe. Wie gefährdet ein kleiner Händler tatsächlich ist, hängt von der Menge der betroffenen Kartendaten und davon ab, wie schnell das Problem behoben wird.

Auch Aufsichtsbehörden sind auf Grundlage grundlegender Verbraucherschutzgesetze gegen kleine Unternehmen vorgegangen, die Sicherheitsversprechen gemacht haben. Gegen kleine Händler wurden Maßnahmen nach allgemeinen Verbraucherschutzgesetzen ergriffen, weil sie ihre Sicherheitslage falsch dargestellt und eine Konformität oder Sicherheitsmaßnahmen behauptet hatten, die tatsächlich nicht vorhanden waren.

Drei Schritte zur Absicherung Ihrer Website

Die folgenden Maßnahmen sollten Sie unabhängig davon ergreifen, welchen SAQ-Fragebogen Sie ausfüllen. Sie verhindern viele der häufigsten Einfallstore, über die Cyberangreifer in kleine Unternehmen eindringen:

• Setzen Sie SSL auf der gesamten Website ein, nicht nur auf der Zahlungsseite, und stellen Sie sicher, dass das Zertifikat automatisch verlängert wird, damit es nicht unbemerkt abläuft.

• Sichern Sie den administrativen Zugriff auf Ihre Website und Ihre E-Commerce-Plattform mit starken Passwörtern und Zwei-Faktor-Authentifizierung. Ein ungesichertes Administratorkonto ist eines der häufigsten Einfallstore für Angriffe auf Websites kleiner Unternehmen.

• Stellen Sie sicher, dass alle Softwarekomponenten auf der Website auf dem neuesten Stand sind. Hacker suchen gezielt nach Sicherheitslücken in veralteter Software.

Wie fügt sich das in das größere Bild des Betrugs ein?

Ein weiterer erheblicher Kostenfaktor für dieselben kleinen Unternehmen, die ihre PCI-Konformität verwalten, ist Kartenbetrug bei Transaktionen ohne Vorlage der Karte und die daraus entstehenden Rückbuchungen. Viele Verbraucherinnen und Verbraucher suchen nach Alternativen, um online ohne Kreditkarte einzukaufen. Für Händler ist es wichtig, den Unterschied zwischen einer Rückbuchung und einer gewöhnlichen Erstattungsanfrage zu verstehen. Wenn Verbraucherinnen und Verbraucher einer Transaktion widersprechen, unterscheiden sich die Verfahren und Erfolgsaussichten. Die PCI-Konformität ist lediglich ein weiteres betriebliches Risiko neben den üblichen Problemen im E-Commerce und Einzelhandel.