PCI DSS

PCI DSS (Payment Card Industry Data Security Standard) ist der Sicherheitsstandard der Kartensysteme für den Umgang mit Kartendaten. Er ist kein Gesetz, sondern wird über den Akzeptanzvertrag mit dem Acquirer verbindlich. Aktuell gilt Version 4.0.1, deren zusätzliche Anforderungen seit dem 31. März 2025 verpflichtend sind.

Was der Standard verlangt

Verschlüsselung, abgesicherte Netze, Zugriffskontrolle, Protokollierung und regelmäßige Tests. Die Grundidee: Kartendaten sollen gar nicht erst in Systeme gelangen, die nicht dafür gebaut sind. Bei einer integrierten Terminalanbindung bekommt die Kasse deshalb nie eine Kartennummer zu sehen, sondern nur das Ergebnis der Zahlung.

Häufige Fragen

Welcher Selbstauskunftsbogen gilt für meinen Betrieb?

Kleinere Händler füllen statt eines Audits einen Self-Assessment Questionnaire (SAQ) aus, welcher, hängt vom Aufbau ab. SAQ B-IP gilt für eigenständige Terminals am Netz ohne elektronische Speicherung von Kartendaten, SAQ C für Zahlungsanwendungen, die mit dem Internet verbunden sind. Am kleinsten ist SAQ P2PE, wenn ausschließlich eine validierte P2PE-Lösung eingesetzt wird, bei der die Daten schon im Kartenleser verschlüsselt werden. Welcher Bogen gilt, legt der Acquirer fest.

Was holt einen Betrieb ungewollt in den vollen Geltungsbereich?

Jede Kartennummer, die außerhalb des Terminals landet: eine notierte Kartennummer für eine Reservierung, ein Foto der Karte, eine Nummer im Freitextfeld der Kasse oder in einer E-Mail. Damit wird das jeweilige System Teil der Kartendatenumgebung, und die Anforderungen steigen sprunghaft.

Was hat PSD2 damit zu tun?

PSD2 ist die europäische Zahlungsdiensterichtlinie mit der starken Kundenauthentifizierung. PCI DSS regelt die Datensicherheit, PSD2 den rechtlichen Rahmen. Bis Nachfolgeregeln der EU gelten, bleibt PSD2 maßgeblich.

Stand: 5. November 2026

Verwandte Begriffe: NFC · Kartenterminal · KYC

Mehr bei OktoPOS: Kartenzahlung OktoFIN