Was ist PCI-Compliance?

Der Payment Card Industry Data Security Standard (PCI DSS) ist eine Reihe von Standards, die geschaffen wurden, um Karteninhaberdaten zu schützen, Kreditkartentransaktionen sicher abzuwickeln und das Risiko von Betrug oder Datenpannen im Zahlungsökosystem zu verringern. Es wird vom Payment Card Industry Security Standards Council (PCI SSC) reguliert. 

PCI-Compliance beinhaltet die Einhaltung dieser vom PCI SSC festgelegten Standards. 

Wer muss sich um PCI-Compliance kümmern? 

Jede Organisation, die Kreditkartenzahlungen oder Zahlungsinformationen jeglicher Art abwickelt, egal wie klein das Unternehmen oder die Anzahl der Transaktionen ist, muss PCI DSS-Compliance-Anforderungen erfüllen. Die Einhaltung dieser Richtlinien ist Voraussetzung dafür, dass die großen Banken und Kreditkartenunternehmen einer Zusammenarbeit mit der Organisation zustimmen. 

Kurze Antwort: Wenn eine Organisation Kreditkarten akzeptiert oder in irgendeiner Weise verwendet, ist PCI-Konformität ein Muss. 

Was passiert, wenn Sie die PCI DSS-Standards nicht einhalten?

Obwohl PCI DSS kein staatlich regulierter Standard ist, kann das PCI SSC Maßnahmen ergreifen, wenn eine Organisation die PCI DSS-Standards nicht einhält. Die übliche Folge der Nichteinhaltung ist eine Geldstrafe – dies können Bankbußgelder (für jede gestohlene Karte), Anwaltskosten, Kosten im Zusammenhang mit Prüfungen durch Bundesbehörden usw. sein. 

Die finanziellen Folgen von Verstößen (bis zu satten 500.000 US-Dollar pro Störung) stellen für Unternehmen oft eine so große Bedrohung dar, dass sie die Einhaltung der Vorschriften ernst nehmen. Das zusätzliche Risiko, dass andere Banken, Partner und Kunden das Vertrauen in eine gegen die Vorschriften verstoßende Organisation verlieren, ist oft ein noch stärkerer Anreiz, die Vorschriften einzuhalten. 

Was sind die 12 PCI DSS-Anforderungen und wie können Sie nachweisen, dass Sie diese erfüllen?

1. Einrichtung und Pflege eines sicheren Netzwerks

PCI-Standards verlangen, dass Sie eine Firewall-Konfiguration installieren und pflegen, um die Daten der Karteninhaber zu schützen. Ohne eine ordnungsgemäß funktionierende Firewall und korrekt konfigurierte Routen können die ersten kritischen Layer der Netzwerkverteidigung einer Organisation kompromittiert werden. 

Compliance: Um diese Anforderung zu erfüllen, muss eine Organisation nachweisen, dass sie tatsächlich alle oben genannten Voraussetzungen korrekt installiert und funktionsfähig hat. Sie müssen auch nachweisen, dass sie die richtigen Test- und Validierungsmaßnahmen eingeführt haben, um sicherzustellen, dass geeignete Maßnahmen vorhanden sind und wie vorgesehen funktionieren. 

2. Anwendung sicherer Konfigurationen

Eine Organisation muss sicherstellen, dass sie sichere Konfigurationen auf alle Systemkomponenten anwendet. Organisationen sollten niemals von Anbietern bereitgestellte Standardeinstellungen für Systempasswörter oder andere Sicherheitsmaßnahmen verwenden – stattdessen sollten sie eigene, robustere Parameter implementieren. 

Compliance: Organisationen müssen nachweisen, dass sie keine vom Anbieter bereitgestellten Passwörter oder Sicherheitsmaßnahmen verwenden. Mit Scan-Tools lassen sich eventuell übersehene „Werkseinstellungen“-Passwörter identifizieren. 

3. Schutz gespeicherter Daten

Unternehmen, die Daten von Karteninhabern erfassen und speichern, müssen sicherstellen, dass diese angemessen geschützt sind. Dies bedeutet, dass alle in bestehenden Systemen gespeicherten Karteninhaberdaten verschlüsselt werden müssen. 

Compliance: Viele Organisationen können diese Anforderung automatisch erfüllen, indem sie sich entscheiden, Karteninhaberdaten überhaupt nicht zu speichern. Sollte sich eine Organisation dafür entscheiden, diese Daten zu speichern, muss sie nachweisen, dass sie über Verfahren und Richtlinien zur Datenverschlüsselung verfügt. 

4. Verwendund von Kryptografie

Organisationen müssen starke Verschlüsselung verwenden, wenn sie Karteninhaberdaten über offene oder öffentliche Netzwerke übertragen. Alle Kreditkarteninformationen, die über ein öffentliches Netzwerk übertragen werden (z. B. Webzahlungen über das Internet), müssen verschlüsselt werden. Verschlüsselungsmethoden wie TLS sind oft die erste Wahl. 

Compliance: Richtlinienbasierte Testlösungen können helfen, zu überprüfen, dass eine Organisation 1) Verschlüsselungsmethoden verwendet und 2) dass diese korrekt funktionieren. 

5. Schutz von Systemen und Netzwerken vor Schadsoftware

Unternehmen müssen auf allen internen Systemen Antivirenprogramme einsetzen, um Malware und Viren abzuwehren. Antivirensoftware sollte stets auf die aktuellste verfügbare Version aktualisiert werden. 

Compliance: Ein Nachweis über die Nutzung von Antivirensoftware sowie eine Überprüfung, dass die neueste Version verwendet wird, erfüllen diese Anforderung. 

6. Entwicklung und Wartung sicherer Systeme und Software

Die Implementierung eines robusten AppSec-Programms, von Tools bis hin zu Verfahren und Ressourcen, kann hilfreich sein, um den besten und genauesten Einblick in die Sicherheitslage einer Organisation zu erhalten. Die Verwendung einer vollständigen Suite von AppSec-Tools (z. B. SAST, DAST, Pentesting) kann helfen, Schwachstellen oder Sicherheitslücken in Software zu identifizieren und sichere Programmierpraktiken während des gesamten Lebenszyklus der Softwareentwicklung sicherzustellen. 

Compliance: Der Einsatz von Software-Composition-Tools (SCA) kann dabei helfen, eine Software-Stückliste (SBOM) zu erstellen, die eine vollständige Auflistung der von einem Unternehmen genutzten Software sowie der bekannten Schwachstellen enthält. Eine SBOM kann diese Vorschrift erfüllen. 

7. Beschränkung des Zugriffs auf Systemkomponenten und Karteninhaberdaten

Der Zugriff auf sensible Karteninhaberdaten sollte auf das erforderliche Maß beschränkt werden. Der Zugang sollte stark eingeschränkt und protokolliert werden (d. h. eine Organisation weiß, wer diese Daten sieht und wann). Die Dokumentation dieses Zugriffs sollte aufgezeichnet und regelmäßig überprüft werden, um sicherzustellen, dass nur die berechtigten Personen Zugriff auf die Daten der Karteninhaber haben.

Compliance: Lösungen können den Zugriff auf Apps und Dateien tracken und überwachen, unnötigen oder verdächtigen Zugriff identifizieren und gleichzeitig eine angemessene Einschränkung auf notwendige Datenzugriffe nachweisen. 

8. Identifikation und Authentifizierung der Nutzer

Organisationen sollten Nutzer identifizieren und deren Zugriff auf Systemkomponenten authentifizieren. Den Mitarbeitern sollte eine eindeutige ID zugewiesen werden, um Zugriffe und Aktivitäten zu überwachen und zu tracken.

Compliance: Reporting oder Lösungen, die Aufzeichnungen des Nutzerzugriffs im gesamten Ökosystem der Organisation bereitstellen. Die Möglichkeit, die Frage „Wer hat auf dieses Asset zugegriffen und wann?“ zu beantworten, erfüllt diese Anforderung. 

9. Beschränkung des physischen Zugriffs auf Daten

Organisationen sollten den physischen Zugriff auf Karteninhaberdaten beschränken. Dies bedeutet, dass Geräte, Gebäude oder andere konkrete Standortdaten gespeichert werden.

Compliance: Beweise für physische Sicherheitsmaßnahmen (Kameras, gesicherte Räume, IP-Kameras) erfüllen diese Anforderung. 

10. Logging und Überwachung des Zugriffs

Organisationen sollten alle Zugriffe auf Systemkomponenten und Karteninhaberdaten protokollieren und überwachen. Dieses Logging sollte einen klaren Einblick in den normalen (akzeptablen) Zugriff ermöglichen und jeden abnormalen Zugriff kennzeichnen, um gegebenenfalls eine schnelle Untersuchung und Behebung zu gewährleisten. Diese Logs werden im Falle einer Sicherheitsverletzung benötigt. 

Compliance: Nachweise über ein angemessenes Logging und Überwachung sind erforderlich. Dies kann mit einer Sicherheitsinformations- und Ereignismanagementlösung (SIEM) erreicht werden. 

11. Regelmäßige Sicherheitstests von Netzwerken und Systemen

Regelmäßige Schwachstellen-Scans zur Ermittlung etwaiger Schwachstellen in den Umgebungen eines Unternehmens sollten als bewährte Vorgehensweise gelten. Scans sollten regelmäßig stattfinden, sind aber besonders wichtig im Falle organisatorischer Veränderungen im Netzwerk, den Systemen oder den Anwendungen. 

Compliance: Nachweise über kontinuierliche Überwachung, Pentesting, Schwachstellenscans oder regelmäßige Audits können helfen, diese Anforderung zu erfüllen. 

12. Organisatorische Unterstützung der IT

Organisationen müssen die IT-Bemühungen mit prozeduralen und richtlinienbasierten Maßnahmen rund um die Sicherheit unterstützen. Alle Mitarbeiter sollten ein Sicherheitstraining absolvieren und Security Champions oder dedizierte Sicherheitsteams sollten dazu beitragen, das Sicherheitsbewusstsein aufrechtzuerhalten. Klare Richtlinien zu Sicherheit, Risiken und Unternehmensdaten sollten regelmäßig kommuniziert werden. 

Compliance: Nachweise einer klar definierten Sicherheitsrichtlinie, Verfahren und speziellen Sicherheitsteam können helfen, diese Anforderung zu erfüllen. 

Was ist PCI DSS v4.0?

Die neueste Aktualisierung der bestehenden PCI DSS-Anforderungen ist PCI DSS v4.0 (mit sehr geringfügigen Überarbeitungen, die in v4.0.1 veröffentlicht wurden), die von Organisationen bis zum 31. März 2025 eingehalten werden müssen. 

Ziel dieser Aktualisierung der vorherigen PCI-DSS-Versionen ist es: 

1. Weiterhin den Sicherheitsbedürfnissen der Zahlungsbranche gerecht zu werden (sich an verändernde Sicherheitsbedrohungen anzupassen). 

2. Sicherheit als kontinuierlichen Prozess zu fördern.

3. die Flexibilität für Organisationen zu erhöhen, die verschiedene Methoden anwenden, um ihre Sicherheitsziele zu erreichen.

4. die Validierungsmethoden und -verfahren zu verbessern.

Lesen Sie mehr darüber, was Sie über PCI DSS v4.0 wissen müssen.

Wie Fastly bei der PCI-Compliance helfen kann

Die Fastly Next-Gen WAF kann Unternehmen dabei helfen, die neuesten PCI-Datensicherheitsstandards einzuhalten und so die Einhaltung der Vorschriften zu vereinfachen, ohne Ihre Sicherheit zu gefährden. Unsere Next-Gen WAF kann Ihnen helfen, diese Anforderungen zu erfüllen, und bietet fortschrittlichen Web-App- und API-Schutz (WAAP) für Ihre Anwendungen, APIs und Microservices. Aber es gibt viele weitere Gründe, die Fastly Next-Gen WAF zu schätzen.

Unsere firmeneigene SmartParse-Technologie ersetzt das mühsame, auf Regex basierende Tuning und ermöglicht hochpräzise Entscheidungen, was zu weniger False Positives führt als bei anderen WAF-Lösungen. Deshalb betreiben über 90 % unserer Kunden die WAF komplett im Blocking Mode und können darauf vertrauen, dass sie vor böswilligen Akteuren geschützt sind, ohne Gefahr zu laufen, legitimen Traffic zu stören.

Auch die Entwickler lieben unsere Lösung. Die Fastly Next-Gen WAF lässt sich flexibel in jeder Umgebung bereitstellen und kann Apps und APIs schützen, wo auch immer sie sich befinden – in Containern, auf den eigenen Servern, in der Cloud oder auf der Edge. Während andere WAFs Innovationen behindern können, sorgt die Flexibilität und Genauigkeit der Fastly Next-Gen WAF dafür, dass sie sich nahtlos in jeden DevSecOps-Stack integrieren lässt und die Sicherheit für alle vereinfacht.

Das Beste daran ist, dass sie in nur zehn Minuten bereitgestellt werden kann und die durchschnittliche Zeit bis zur vollständigen Blockierung 60 Minuten beträgt. Angesichts der nahenden PCI DSS-Frist zählt jede Minute.

PCI-konformes Cachen und Bereitstellen

Das CDN von Fastly kann Ihnen ebenfalls helfen, die Vorschriften einzuhalten. Wir haben den Kern-CDN-Service von Fastly mit Blick auf die PCI DSS-Compliance (Payment Card Industry Data Security Standard) konzipiert. Mit der richtigen Autorisierung auf Ihrem Account können Sie die VCL-Variable von Fastly beresp.pci nutzen, um Inhalte automatisch so zu cachen, dass sie die PCI DSS-Anforderungen erfüllen.

Das Hinzufügen der Variable beresp.pci zu einem Objekt verhindert, dass dieses Objekt auf nichtflüchtigem Festplattenspeicher auf der Edge geschrieben wird. In Kombination mit Frontend und Backend-TLS ermöglicht es diese Funktion, markierte Inhalte entsprechend unserer PCI-Zertifizierung über das Fastly-Netzwerk zu cachen und zu übertragen.