Ein Leitfaden zur Einhaltung des PCI DSS

Wenn Ihr Unternehmen für die Abwicklung von Kreditkartenzahlungen verantwortlich ist, ist die Einhaltung des PCI DSS ein wesentlicher Bestandteil zum Schutz der Zahlungskartendaten Ihrer Kunden sowie zur Absicherung Ihres eigenen Unternehmens vor den schwerwiegenden Folgen eines Datenlecks.

Die bedauerliche Realität zeigt, dass Kreditkartenbetrug zunehmend ein Problem darstellt. Laut dem Consumer Sentinel Network der Federal Trade Commission stiegen die Meldungen über Kreditkartenbetrug zwischen Q1 2019 und Q1 2020 um 104 % an.

Der Schutz von Karteninhaberdaten war nie wichtiger als heute. PCI DSS legt die grundlegenden Anforderungen für die Einhaltung strenger Sicherheitsmaßnahmen fest, die zum Schutz dieser sensiblen Daten erforderlich sind. Unser Leitfaden zur PCI DSS Compliance erläutert, wie PCI DSS funktioniert, wer betroffen ist und welche Schritte Sie ergreifen müssen, um die Vorgaben zu erfüllen.

Was ist PCI DSS?

Der Payment Card Industry Data Security Standard (PCI DSS) ist eine Reihe von Sicherheitsstandards, die entwickelt wurden, um das Risiko von Kreditkartenbetrug zu reduzieren und die Sicherheit von Zahlungskartendaten zu erhöhen. Er wurde 2004 von den führenden Kreditkartenunternehmen Visa, Mastercard, Discover und American Express ins Leben gerufen und wird heute vom PCI Security Standards Council (PCI SSC) verwaltet und weiterentwickelt. Das PCI SSC definiert die Standards, während die Einhaltung durch die Kreditkartenunternehmen durchgesetzt wird.

Wer ist von PCI DSS betroffen?

PCI DSS gilt für jedes Unternehmen, das Karteninhaberdaten speichert, verarbeitet oder überträgt. Die Compliance-Anforderungen variieren je nach Größe der Transaktionen und des Risikos und sind in vier Stufen unterteilt:

• Stufe 1: Händler, die jährlich mehr als 6 Millionen Transaktionen verarbeiten oder bei denen Datenkompromittierungen aufgetreten sind.
• Stufe 2: Händler, die jährlich zwischen 1 und 6 Millionen Transaktionen verarbeiten.
• Stufe 3: Händler, die jährlich zwischen 20.000 und 1 Million Transaktionen verarbeiten.
• Stufe 4: Händler, die jährlich weniger als 20.000 Transaktionen verarbeiten.

Unabhängig von der Stufe müssen alle Händler und Dienstleistungsanbieter, unabhängig von der Branche, die gleichen Sicherheitsanforderungen erfüllen.

Diese Überarbeitung bringt die Informationen klar und präzise auf den Punkt und stellt sicher, dass die Leser die wesentlichen Aspekte von PCI DSS gut verstehen können.

Wie können die Daten der Karteninhaber gefährdet werden?

Um Zugang zu sensiblen Karteninhaberdaten zu erlangen, nutzen Cyberkriminelle oft Sicherheitslücken in Betriebssystemen und Geräten aus. Dies kann durch folgende Angriffspunkte geschehen:

• Kartenleser
• Verkaufsstellen-Systeme
• Datenbanken des Zahlungssystems
• Speicher-Netzwerke
• Online-Portale
• Drahtlose Netzwerke
• Aufzeichnungen auf Papier

Was sind die 12 Anforderungen der PCI DSS Compliance?

PCI DSS umfasst 12 Anforderungen zum Schutz von Karteninhaberdaten und zur Vermeidung von Datenschutzverletzungen. Diese Standards gelten nicht nur für Händler, sondern auch für alle anderen Unternehmen, die Karteninhaberdaten speichern, verarbeiten oder übermitteln.

1. Installation und Pflege einer Firewall-Konfiguration zum Schutz von Karteninhaberdaten

Eine Firewall ist ein Netzwerksicherheitsgerät, das den ein- und ausgehenden Netzwerkverkehr überwacht und auf der Grundlage festgelegter Sicherheitsregeln entscheidet, ob bestimmter Verkehr blockiert werden soll. Sie ist Ihre erste Verteidigungslinie gegen Sicherheitsbedrohungen und sollte regelmäßig getestet, verwaltet und aktualisiert werden.

2. Verwenden Sie keine vom Hersteller vorgegebenen Standardwerte für Systemkennwörter und andere Sicherheitsparameter

Cyberkriminelle verwenden häufig Standardkennwörter und -einstellungen, um Systeme zu kompromittieren. Es ist wichtig, dass Sie alle Standard-Anmeldedaten sofort ändern, bevor Sie neue Systeme in Ihr Netzwerk einführen.

3. Schutz der gespeicherten Karteninhaberdaten

Der Schutz von Karteninhaberdaten, ob in physischem oder digitalem Format, ist entscheidend für die Einhaltung des PCI DSS. Cyberkriminelle haben es häufig auf gespeicherte Karteninhaberdaten abgesehen und nutzen sie dann für betrügerische Transaktionen. Wenn Daten von Karteninhabern gespeichert werden müssen, sollten Sie sicherstellen, dass die richtigen Sicherheitsmaßnahmen getroffen werden, um die verschiedenen rechtlichen und regulatorischen Anforderungen sowie die Compliance-Anforderungen zu erfüllen.

4. Verschlüsselte Übertragung von Karteninhaberdaten über offene, öffentliche Netze

Wenn Karteninhaberdaten über leicht zugängliche Netzwerke übertragen werden, können Cyberkriminelle versuchen, die Daten abzufangen. Um zu gewährleisten, dass die Daten sicher sind, müssen sie mit starker Kryptografie und Sicherheitsprotokollen wie Secure Shell (SHH), IPSec und Transport Layer Security (TLS) verschlüsselt werden.

5. Anti-Viren-Software verwenden und regelmäßig aktualisieren

Auf allen geschäftskritischen Systemen sollte eine Antivirensoftware installiert werden, um zu verhindern, dass Malware in Ihr Netzwerk eingeschleust wird. Dies trägt zum Schutz der Daten von Karteninhabern bei und bietet einen verbesserten Schutz vor neu geschaffenen Viren.

6. Entwicklung und Pflege sicherer Systeme und Anwendungen

Cyberkriminelle nutzen häufig Schwachstellen in Ihrem System aus, um sich Zugang zu sensiblen Karteninhaberdaten zu verschaffen. Netzwerkanbieter veröffentlichen regelmäßig Patches, um Sicherheitslücken zu schließen. Es ist daher wichtig, dass Sie diese Patches anwenden, sobald sie veröffentlicht werden. Patches sind unerlässlich, um Systeme auf dem neuesten Stand, stabil und sicher vor Malware und anderen Bedrohungen zu halten.

7. Beschränkung des Zugriffs auf Karteninhaberdaten nach dem Kriterium der geschäftlichen Notwendigkeit

Der Zugang zu den Daten der Karteninhaber sollte nur auf einer Need-to-know-Basis gewährt werden. Mitarbeiterfehler sind nach wie vor die Hauptursache für alle Datenschutzverletzungen. Daher sollten strenge Zugangskontrollen eingerichtet werden, um sicherzustellen, dass nur denjenigen Mitarbeitern Zugang gewährt wird, die Transaktionen durchführen müssen.

8. Identifizierung und Authentifizierung des Zugangs zu Systemkomponenten

Jedem Mitarbeiter, der Zugang zu sensiblen Informationen hat, sollte eine eindeutige ID zugewiesen werden. So können Sie verfolgen, wer wann auf bestimmte Systeme zugreift.

9. Beschränkung des physischen Zugangs zu Karteninhaberdaten

Der physische Zugang zu Computersystemen mit Karteninhaberdaten sollte auf befugte Mitarbeiter beschränkt werden. Dadurch wird verhindert, dass Unbefugte physisch auf die Systeme zugreifen oder Kopien von sensiblen Daten anfertigen.

10. Verfolgung und Überwachung aller Zugriffe auf Netzwerkressourcen und Karteninhaberdaten

Der Zugriff auf Netzressourcen und Karteninhaberdaten sollte genau überwacht und alle Aktivitäten protokolliert werden. Dieser Prüfpfad kann helfen, böswilliges Verhalten zu erkennen und einen Verstoß zu identifizieren.

11. Regelmäßige Prüfung der Sicherheitssysteme und -verfahren

Da ständig neue Schwachstellen auftauchen, ist es wichtig, dass Sie Ihre Systeme und Prozesse regelmäßig testen, um die Sicherheit zu gewährleisten. PCI DSS empfiehlt außerdem regelmäßige Penetrationstests und den Einsatz von Systemen zur Erkennung und Verhinderung von Eindringlingen, um die Sicherheit der Karteninhaberdaten zu gewährleisten.

12. Beibehaltung einer Politik, die die Informationssicherheit für das gesamte Personal behandelt

Im gesamten Unternehmen sollte eine strenge, PCI DSS-konforme Sicherheitsrichtlinie eingeführt werden. Dies wird dazu beitragen, einen Standard dafür zu setzen, was von Ihren Mitarbeitern erwartet wird, und die Notwendigkeit der Datensicherheit innerhalb Ihrer Organisation hervorheben.

Warum ist die Einhaltung des PCI DSS so wichtig?

Die Einhaltung der PCI DSS-Anforderungen ist von entscheidender Bedeutung, wenn Sie Kartentransaktionen verarbeiten, Karteninhaberdaten schützen und das Risiko eines kostspieligen Verstoßes verringern wollen. Obwohl PCI DSS keine gesetzliche Vorschrift ist, gelten Kreditkartendaten nach der DSGVO als personenbezogene Daten. Das bedeutet, dass Sie gesetzlich verpflichtet sind, diese Daten sicher aufzubewahren

Was passiert, wenn Sie den PCI DSS nicht einhalten?

Die Nichteinhaltung von PCI DSS kann zu schwerwiegenden Sicherheitsvorfällen wie der Verletzung oder dem Diebstahl von Karteninhaberdaten führen. Eine Datenschutzverletzung kann Ihrem Unternehmen irreparablen Schaden zufügen. Zusätzlich zu den lähmenden Geldstrafen könnte Ihr Unternehmen weitere Konsequenzen tragen, wenn es nicht in der Lage ist, sensible Karteninhaberdaten zu schützen. Dazu gehören:

• Erhöhtes Risiko der Kompromittierung von Zahlungskartendaten
• Bußgelder und Strafen
• Ausgleichskosten
• Verlust des Verbrauchervertrauens
• Schädigung des Markenrufs
• Gerichtsverfahren – Kosten, Vergleiche und Urteile
• Arbeitsplatzverluste
• Beendigung der Fähigkeit, Zahlungskarten zu verarbeiten
• Geschäftsaufgabe

Schlussfolgerung

Cyberkriminelle nutzen die Zunahme digitaler Transaktionen aus und nutzen Schwachstellen in Systemen, um an sensible Karteninhaberdaten zu gelangen. Um diese betrügerischen Aktivitäten zu bekämpfen, ist es wichtig, dass Ihr Unternehmen PCI DSS-konform ist und alle notwendigen Schritte unternimmt, um Zahlungstransaktionen zu sichern und Kundendaten zu schützen.

Um das Bewusstsein für Cybersicherheit in Ihrem Unternehmen zu verbessern und das Risiko einer kostspieligen Datenverletzung zu verringern, haben wir eine unverzichtbare Ressource entwickelt, die Ihnen bei der Umsetzung von Verhaltensänderungen und der Schaffung einer Cyber-Awareness-Kultur unterstützt.

In diesem Leitfaden Cyber Security Awareness für Dummies erfahren Sie:

• Wie Sie eine Kampagne zur Sensibilisierung für Cyberrisiken umsetzen
• Wie Sie die Dynamik, das Engagement und die Aufmerksamkeit Ihrer Mitarbeiter für Cybersicherheitsbedrohungen aufrechterhalten
• 10 Best Practices für das Bewusstsein für Cybersicherheit.

Klicken Sie hier, um Ihren Leitfaden Cyber Security Awareness für Dummies aufzurufen.