Was Sie über PCI-Compliance wissen sollten

Heutzutage ist das Bezahlen mit Kreditkarte Gang und Gebe. Besonders in der Gastronomie sind kontaktlose Zahlungen mittlerweile unverzichtbar. Das bedeutet allerdings auch, dass Sie die Kreditkartendaten und persönlichen Informationen sicher aufbewahren müssen. Die Einhaltung der PCI-Standards ist für alle Unternehmen der beste Weg, um Kundendaten zu schützen und so Gebühren zu vermeiden, die bei Verstößen gegen die PCI-Compliance anfallen.

Sicherheit, Konformität, Kreditkartenbetrug – das ist der Teil , dm Beachtung zu schenken ist. Doch wenn Sie Kreditkarten als Zahlungsmittel anbieten möchten, müssen Sie die PCI-Standarts erfüllen. 

Also was genau ist PCI-Compliance? Warum ist es wichtig? Und wie stellen Sie sicher, dass Sie Transaktionen auf eine sichere Weise abwickeln? Dieser Blogbeitrag führt Sie durch die Grundlagen der PCI-Compliance, damit Sie ein besseres Verständnis dafür bekommen, was es bedeutet und welche Konsequenzen bei Nichteinhaltung des PCI-Standards drohen können.

Was ist PCI-Compliance?

PCI (kurz für PCI DSS) steht für Payment Card Industry Data Security Standard. Es handelt sich dabei um eine Reihe von Sicherheitsstandards, die sicherstellen, dass alle Unternehmen die Kreditkartenzahlungen anbieten, diese auch dementsprechend sicher speichern, verarbeiten und übertragen. Somit ist der Schutz des Verbrauers als auch des Händlers sichergestellt. 

Wenn ein Kunde mit Kreditkarte bei Ihnen bezahlt, erhalten Sie eine ganze Reihe an sensiblen Daten. Es gelten folgende Standarts:

1. Richtlinien und Verfahren
2. Sicherheitsmanagement
3. Netzwerkarchitektur
4. Software-Geräte
5. Andere kritische Schutzmaßnahmen

Muss mein Unternehmen PCI-konform sein?

Ja. Jeder Händler oder Gastronom, unabhängig von der Größe des Unternehmens, der Kreditkarten als Zahlungsmittel anbietet muss allen Anforderungen des PCI-Standards gerecht werden.

Wenn Sie Kredit- oder Debitkarten akzeptieren, ist die PCI-Compliance ein Muss, unabhängig von der Größe Ihres Unternehmens. Sie müssen alle geltenden Standards erfüllen, auch wenn Sie nur wenige Kreditkartentransaktion pro Jahr verzeichnen.

Wenn Ihr Unternehmen mehrere Standorte mit separaten Steuernummern hat, müssen Sie die PCI-Compliance an jedem einzelnen Standort kontrollieren. Wenn alle Ihre Standorte unter einer Steuernummer laufen, müssen Sie die PCI-Compliance in der Regel nur einmal jährlich für alle Standorte checken. Empfohlen wird jedoch die Durchführung eines vierteljährlichen Netzwerk-Scans für jeden Standort.

Welcher PCI-Stufe unterliegt mein Unternehmen?

Für Händler kann das Ermitteln der erforderlichen PCI-Stufe knifflig sein und hängt oft davon ab, um welchen Kreditkartenanbieter es sich handelt und wie viele Transaktionen Sie pro Jahr abwickeln. 

Stufe 1

• Händler, die pro Jahr mehr als sechs Millionen MasterCard- oder Visa-Transaktionen abwickeln
• Händler, die Opfer eines Hacker-Angriffs wurden
• Händler, die von der Kreditkartenfirma in der 1. Stufe eingeordnet werden

Level 2

• Händler, die eine bis sechs Millionen MasterCard- oder Visa-Transaktionen pro Jahr verzeichnen

Level 3

• Händler, die zwanzig Tausend bis eine Million Transaktionen mit MasterCard oder Visa verzeichnen

Level 4

• Händler, die jährlich insgesamt bis zu einer Million Transaktionen verzeichnen

Wenn Ihr Unternehmen unter eine dieser vier Stufen fällt, empfehlen wir Ihnen sich mit dem PCI-Rat in Verbindung zu setzen um Ihre Konformität zu überprüfen.

Was sind PCI-Anforderungen?

Zu den Anforderungen, die Sie für die PCI-Compliance von Kleinunternehmen erfüllen müssen, gehören die folgenden.

• Ihr Kassensystem muss auf dem neuesten Stand sein

Sie müssen Kreditkartenterminals und PIN-Pads verwenden, die dem PCI Data Security Standard (DSS) entsprechen.

• Ihr Kassensystem (POS) und Ihre Payment-Software muss PCI-konform sein.
• Ihr WLAN-Router muss verschlüsselt und passwortgeschützt sein.
• Sie müssen Ihre PIN-Pads und alle anderen Geräte zur PIN-Eingabe überprüfen, um sicherzustellen, dass keine Skimmer installiert wurden.

Als Skimmer werden Geräte bezeichnet, die Kriminelle an PIN-Pads anbringen, um Kreditkarteninformationen abzufangen.

• Sie dürfen keine Karteninhaberdaten speichern – egal auf welche Art und Weise

Dazu gehört alles, von der Speicherung auf einem Computer bis zum Notieren einer Kreditkartennummer auf einem Stück Papier. Wenn Ihr Kreditkartenterminal und Ihr PIN-Pad PCI-konform sind, sind sie so programmiert, dass Sie diese Anforderung automatisch erfüllen.

• Sie müssen Ihre Mitarbeiter über die PCI-Compliance schulen. Es gibt Online-Kurse und Videos, die Sie dabei unterstützen.

Warum ist PCI-Compliance und Sicherheit so wichtig?

Die PCI-Standards sollen Kreditkartenbetrug vorbeugen. Wenn es zu einem Diebstahl oder einem Missbrauch von Kartendaten kommt, verlieren Karteninhaber das Vertrauen in ihre Finanzinstitute. Zudem besteht die Gefahr von großen, finanziellen Auswirkungen betroffen zu sein – das gilt für Sie und Ihre Kunden. 

Was passiert, wenn mein Unternehmen nicht PCI-konform ist?

Die Nichteinhaltung der PCI DSS-Vorschriften kann zu hohen Strafen und Gebühren führen. Des Weiteren können Sie das Recht verlieren, Kreditkarten-Zahlungen zu anzubieten.

Im Falle eines Verstoßes oder eines Hacks kann dem Händler Folgendes drohen:

• Bussgelder von den Kartenverbänden
• Forensische Untersuchung
• Ausstellende Banken können die Kosten für die Neuausstellung vom Händler zurückfordern (einschließlich möglicher Betrugsverluste und Kosten für die Betrugsüberwachung)
• Rechtsstreitigkeiten
• Staatliche Bussgelder
• Schaden für Ihre Marke und Ihren Ruf

Die Erstellung eines Plans zur PCI-Compliance und dessen regelmässige Aktualisierung kann dazu beitragen, Datenschutzverletzungen zu verhindern, Ihre Kosten niedrig zu halten und das Vertrauen Ihrer Kunden nicht zu verlieren.