PCI DSS:
Kryptografie und Schlüsselverwaltung für Karteninhaberdaten
| Region | International |
| Anwendbarkeit | Händler: Jede Organisation, die Karteninhaberdaten speichert, verarbeitet oder übermittelt, wobei der Geltungsbereich durch die Händlerstufe und die Art des Selbstbewertungsfragebogens (SAQ) bestimmt wird . Dienstleister: Zahlungsabwickler , Gateways und Hosting-Anbieter, die im Auftrag eines Händlers Karteninhaberdaten verarbeiten. QSAs und ASVs: Qualifizierte Sicherheitsprüfer ( Qualified Security Assessors) und zugelassene Scanning-Anbieter (Approved Scanning Vendors), die Konformitätsberichte erstellen und Schwachstellen-Scans durchführen. |
| Relevante Abschnitte | Anforderung 3: Schutz gespeicherter Kontodaten Anforderung 4: Schutz von Karteninhaberdaten durch starke Kryptografie während der Übertragung Anforderung 8: Identifizierung von Benutzern und Authentifizierung des Zugriffs auf Systemkomponenten Anforderung 12.3.3: Bestandsaufnahme der kryptografischen Verschlüsselungssuiten und Protokolle |
Übersicht
PCI DSS v4.0.1, das im Juni 2024 als Wartungsversion von v4.0 (März 2022) veröffentlicht wurde, ist der verbindliche Sicherheitsstandard der Zahlungskartenbranche. Im Vergleich zur Vorgängerversion wurden 64 neue oder aktualisierte Anforderungen eingeführt, von denen 51 „zukunftsgerichtet“ waren: Sie galten als bewährte Vorgehensweise, bis sie am 31. März 2025 vollständig verbindlich wurden.
Dieses Übergangsfenster ist nun geschlossen. Bei jeder seit dem 31. März 2025 durchgeführten PCI-DSS-Prüfung wird die Einhaltung des gesamten Anforderungskatalogs bewertet, einschließlich der obligatorischen MFA für jeden Zugriff auf die Karteninhaberdatenumgebung (CDE), vierteljährlicher externer Schwachstellenscans selbst für vollständig ausgelagerte SAQ-A-Händler sowie einer dokumentierten Bestandsaufnahme der verwendeten kryptografischen Verschlüsselungssuiten und Protokolle.
Warum das wichtig ist
PCI DSS ist eher vertraglicher als gesetzlicher Natur, doch die Nichteinhaltung hat unmittelbare wirtschaftliche Folgen: Geldbußen durch die akquirierenden Banken, erhöhte Gebühren pro Transaktion und in den schwerwiegendsten Fällen der Verlust des Rechts, Kartenzahlungen anzunehmen. Da der Standard überall dort gilt, wo Karteninhaberdaten in eine Umgebung gelangen, ist die Festlegung des Geltungsbereichs oft der erste Verstoß gegen die Compliance-Vorschriften – und nicht der letzte. Unternehmen, die ihre Compliance gemäß Version 3.2.1 nachgewiesen haben oder die für das Jahr 2024 vorgesehene Anforderungen als optional behandelt haben, werden nun anhand eines wesentlich umfangreicheren Kontrollkatalogs bewertet. Die erweiterte MFA-Vorgabe gemäß Anforderung 8 und das kryptografische Inventar gemäß Anforderung 12.3.3 gehören zu den Bereichen, die bei den Bewertungen im Jahr 2026 am häufigsten als Lücken genannt werden.
Wie sich dies auf die Kryptografie auswirkt
Der PCI DSS behandelt das Thema Kryptografie anhand mehrerer miteinander verknüpfter Kontrollbereiche. Die wichtigsten Bereiche mit direkten Auswirkungen auf die Kryptografie sind:
| Abschnitt | Funktion | Was dort steht | Zugehörige Produkte |
| Anforderungen 3.5–3.6 | Schutz gespeicherter Kontodaten | Starke Kryptografie, Tokenisierung oder Trunkierung für gespeicherte Karteninhaberdaten, wobei die Verschlüsselung auf Datei-, Spalten- oder Feldebene mit unabhängiger Schlüsselverwaltung zusätzlich zur vollständigen Festplattenverschlüsselung zum Einsatz kommt. | EJBCA |
| Anforderungen 3.6–3.7 | Kryptografische Schlüsselverwaltung | Dokumentierte Verfahren zur Schlüsselverwaltung, die die Erstellung, Verteilung, Speicherung, Rotation und Außerbetriebnahme von Schlüsseln abdecken, mit doppelter Kontrolle und geteilter Kenntnis bei manuellen Vorgängen der Schlüsselverwaltung. | Keyfactor Command |
| Anforderungen 4.1–4.2 | Verschlüsselung der Datenübertragung | Starke Kryptografie (TLS , Version 1.2 oder höher) für Karteninhaberdaten, die über offene, öffentliche Netzwerke übertragen werden, wobei die PAN niemals ungeschützt über Messaging-Technologien für Endnutzer gesendet wird. | EJBCA |
| Anforderungen 8.4–8.5 | Mehrfaktor-Authentifizierung und zertifikatsbasierte Authentifizierung | Zertifikatsbasierte, gegen Phishing geschützte Multi-Faktor-Authentifizierung für alle Zugriffe auf das CDE, einschließlich Fernzugriff und Zugriff durch Drittanbieter. | EJBCA |
| Anforderung 12.3.3 | Verzeichnis der kryptografischen Suiten und Algorithmen | Eine Bestandsaufnahme der verwendeten kryptografischen Verschlüsselungssuiten und Protokolle, die in festgelegten Abständen überprüft wird, um veraltete oder Sicherheitslücken aufweisende Algorithmen zu identifizieren. | AgileSec |
| Anforderungen 6.4.3, 11.6.1 | Integrität der Zahlungsseite und des Skripts | Signierte und autorisierte Skripte auf Zahlungsseiten mit Manipulationserkennung, wodurch die Kontrollen zur Codesignierung auf Abläufe ausgeweitet werden, die mit Karteninhaberdaten in Zusammenhang stehen. | SignServer |
Fragen zur Einsatzbereitschaft
Bewertungen und Prüfungen – unabhängig davon, ob sie intern durchgeführt, von einer Aufsichtsbehörde vorgenommen oder von einem unabhängigen Gutachter überprüft werden – konzentrieren sich auf nachgewiesene Fakten und nicht allein auf Grundsatzerklärungen. Zu den wichtigsten Bereichen, die Prüfer und Gutachter üblicherweise untersuchen, gehören:
- Abschluss von Anforderungen mit zukünftigem Datum: Kann die Organisation nachweisen, dass alle 51 zuvor mit einem zukünftigem Datum versehenen Anforderungen seit dem 31. März 2025 umgesetzt und dokumentiert wurden?
- Dokumentation zur Schlüsselverwaltung: Sind die Verfahren zur Schlüsselverwaltung dokumentiert, einschließlich der Vier-Augen-Prinzip und der Aufteilung des Wissens bei manuellen Vorgängen im Zusammenhang mit Schlüsseln?
- Nachweis der MFA-Abdeckung: Wird für jeden Zugriff auf das CDE – einschließlich Anbieter und Remote-Sitzungen – eine zertifikatsbasierte oder anderweitig starke MFA durchgesetzt?
- Bestandsaufnahme der kryptografischen Verfahren: Führt die Organisation gemäß Anforderung 12.3.3 eine Bestandsaufnahme der kryptografischen Verschlüsselungssuiten und Protokolle und überprüft diese regelmäßig?
- Bescheinigungskette der Dienstleister: Liegen für jeden Dienstleister, der mit Karteninhaberdaten in Berührung kommt, aktuelle Konformitätsbescheinigungen vor, die den jeweiligen Anforderungen, auf die sie sich beziehen, zugeordnet sind?
- Segmentierung und Überprüfung des Geltungsbereichs: Wurde die Netzwerksegmentierung getestet, um die Grenzen der Karteninhaberdatenumgebung zu bestätigen?
LEITEN SIE DIES AN DIE GESCHÄFTSFÜHRUNG WEITER
Die Übergangsfrist für PCI DSS v4.0 endete am 31. März 2025. Jede Bewertung, der wir uns nun unterziehen, erfolgt anhand des vollständigen Anforderungskatalogs, einschließlich zertifikatsbasierter MFA in der gesamten Karteninhaberdatenumgebung und eines dokumentierten Verzeichnisses der verwendeten kryptografischen Verschlüsselungsalgorithmen. Hier zu versagen, ist kein zukünftiges Risiko, sondern genau das, was unser nächster Compliance-Bericht prüfen wird.
Der Verlust der Kartenakzeptanzrechte – nicht nur eine Geldstrafe – ist das eigentliche Risiko. Wenn wir keine Nachweise für Schlüsselverwaltungskontrollen, die doppelte Kontrolle bei manuellen Schlüsselvorgängen und ein aktuelles kryptografisches Bestandsverzeichnis vorlegen können, sind wir nicht in der Lage, die nächste Prüfung ohne Beanstandungen zu bestehen, und jeder Dienstleister in unserer Zahlungskette ist eine Abhängigkeit, die wir überprüfen müssen – und nicht einfach als gegeben annehmen dürfen.
Zugehörige Compliance-Vorgaben
Post-Quanten-Bereitschaft für den Finanzdienstleistungssektor
SWIFT-Rahmenwerk für Kundensicherheitsmaßnahmen
