PCI DSS Beratung & Umsetzung

Ihr Zahlungsanbieter fordert einen PCI-DSS-Nachweis? Sie entwickeln einen Checkout oder betreiben eine Plattform mit Kartenzahlungen? Wir klären, welche Systeme, Prozesse und Dienstleister betroffen sind und welche Maßnahmen für Ihr Unternehmen anstehen. Unsere IT-Beratung verbindet die Anforderungen mit Ihrer vorhandenen Architektur.

PCI DSS schützt Zahlungskartendaten. Der Standard betrifft Unternehmen, die solche Daten speichern, verarbeiten oder übertragen, sowie Systeme und Dienstleister, die deren Sicherheit beeinflussen können. Die zwölf Anforderungsbereiche reichen von Netzwerksicherheit und Zugriffsschutz über sichere Softwareentwicklung bis zu Überwachung, Tests und Sicherheitsprozessen.

• Zahlungswege, Geschäftsmodell und vorhandene Nachweisanforderungen einordnen.
• Verantwortlichkeiten zwischen Ihrem Team, Hosting und Zahlungsdienstleistern klären.
• Nächste Schritte mit Prioritäten, Zuständigkeiten und prüfbaren Ergebnissen festlegen.

Am Anfang steht der tatsächliche Weg der Kartendaten: vom Browser über Schnittstellen und Server bis zu Protokollen, Backups und externen Dienstleistern. Wir erfassen die Cardholder Data Environment (CDE) und prüfen, welche verbundenen Systeme die Sicherheit dieser Umgebung beeinflussen.

Darauf folgt die Gap-Analyse gegen die anwendbaren Anforderungen von PCI DSS v4.0.1. Sie erhalten eine Übersicht vorhandener Kontrollen, offener Punkte und fehlender Nachweise. Wo sich Kartendaten durch geänderte Zahlungswege oder Tokenisierung aus eigenen Systemen heraushalten lassen, bewerten wir die technische Umsetzung und die Auswirkungen auf den Scope.

• Datenflüsse, Systemgrenzen, Zugriffe und Dienstleister dokumentieren.
• Technische und organisatorische Lücken mit Ihrem Team bewerten.
• Einen Maßnahmenplan erstellen, der Aufwand, Abhängigkeiten und Verantwortliche benennt.

Ob Online-Shop, Buchungsplattform oder individuelle Anwendung: Die Art der Payment-Integration beeinflusst den PCI-DSS-Aufwand. Wir prüfen Redirects, eingebettete Zahlungsformulare, Hosted Payment Pages und direkte Anbindungen an Zahlungsdienstleister.

Wir setzen die vereinbarte Integration um und prüfen, wo sensible Daten unbeabsichtigt in eigenen Systemen landen könnten. Dazu gehören Fehlerprotokolle, Analysewerkzeuge und Supportprozesse. Auch APIs, Webhooks und administrative Zugänge betrachten wir im Zusammenhang mit dem Zahlungsweg. Bei Shopify oder WooCommerce prüfen wir außerdem, welchen Einfluss Theme, Plugins und Tracking auf die Zahlungsseite haben.

• Zahlungsarchitektur und Anbieterintegration auf unnötige Berührungspunkte mit Kartendaten prüfen.
• Checkout, Schnittstellen und Fehlerbehandlung technisch umsetzen und testen.
• Aufgaben des Zahlungsanbieters und verbleibende Händlerpflichten nachvollziehbar abgrenzen.

Externe Skripte, Tag Manager und nachgeladene Inhalte können die Sicherheit eines Checkouts beeinflussen. Wir prüfen, welche Skripte auf relevanten Seiten ausgeführt werden, wofür sie benötigt werden und wie Änderungen erkannt werden. Im Fokus stehen die Anforderungen 6.4.3 und 11.6.1, soweit sie auf Ihre Umgebung anwendbar sind.

Beim überarbeiteten SAQ A wurden diese beiden Anforderungen 2025 aus dem Fragebogen entfernt. Für Händler mit eingebetteten Zahlungsformularen gilt jedoch ein Eignungskriterium zum Schutz vor Skriptangriffen. Dieses konkrete Kriterium gilt nicht für reine Weiterleitungen zum Zahlungsanbieter. Wir bewerten deshalb die tatsächliche Einbindung und stimmen den passenden Nachweisweg mit den zuständigen Stellen ab.

• Inventar, Freigaben und Begründungen für relevante Zahlungsskripte aufbauen.
• Integrität und Erkennung unautorisierter Änderungen mit passenden technischen Kontrollen unterstützen.
• Alarmierung, Zuständigkeiten und Nachweise für den laufenden Betrieb festlegen.

Ein Maßnahmenplan hilft erst, wenn die Kontrollen im Alltag funktionieren. Wir übernehmen die vereinbarten Anpassungen in Ihrer Webentwicklung und arbeiten mit Ihrem IT-Team an Konfigurationen, Zugriffswegen und Betriebsprozessen.

Je nach Scope gehören dazu Systemhärtung, Patch-Management, Rollen und Berechtigungen, Multi-Faktor-Authentifizierung, Protokollierung und sichere Entwicklungsabläufe. Verschlüsselte Übertragung über TLS/HTTPS ist dabei ein Baustein. Ergänzend betrachten wir den Umgang mit Schwachstellen, Änderungen und Sicherheitsvorfällen.

• Technische Kontrollen passend zur Systemlandschaft umsetzen und dokumentieren.
• Sicherheitsaufgaben in Entwicklung, Freigabe und Betrieb verankern.
• Erforderliche Tests und externe Prüfleistungen mit den zuständigen Anbietern koordinieren.

Wir helfen Ihnen, technische Antworten und Belege für den Self-Assessment Questionnaire (SAQ) zusammenzustellen oder ein Assessment vorzubereiten. Welcher Fragebogen und welche Nachweise akzeptiert werden, klären Sie mit Ihrem Acquirer beziehungsweise der zuständigen Kartenorganisation. Wir unterstützen bei der technischen Abstimmung.

Je nach Einstufung kommen ein SAQ mit Attestation of Compliance (AOC), ein Report on Compliance (ROC) oder weitere Nachweise infrage. Wir bereiten Systembeschreibungen, Konfigurationsbelege und Maßnahmenstände auf. Ein erforderliches QSA-Assessment erfolgt durch einen Qualified Security Assessor; erforderliche ASV-Scans durch einen Approved Scanning Vendor.

• Anforderungen in konkrete Fragen an Entwicklung und Betrieb übersetzen.
• Nachweise strukturiert sammeln und offene Punkte vor der Einreichung bearbeiten.
• Rückfragen von Acquirer, Kartenorganisation oder externen Prüfern technisch begleiten.

IVIS MEDIA hat PCI-DSS-Projekte bereits für American Express (AMEX) umgesetzt. Diese Erfahrung bringen wir in die Beratung und technische Umsetzung für Ihr Unternehmen ein: Anforderungen verstehen, in konkrete Aufgaben übersetzen und mit den beteiligten Teams bearbeiten.

Im Erstgespräch besprechen wir Ihre Zahlungsprozesse, vorhandene Systeme und die Unterlagen, die Ihr Zahlungsanbieter bereits angefordert hat. Daraus grenzen wir den Auftrag ab. Sie wissen anschließend, ob zuerst eine Bestandsaufnahme, die Anpassung Ihrer Integration oder die Vorbereitung von Nachweisen sinnvoll ist.

• Beratung und Umsetzung durch eine Web- und Softwareagentur aus Berlin.
• Zusammenarbeit mit internen Teams und bestehenden Zahlungsdienstleistern.
• Klar vereinbarter Leistungsumfang für Analyse, Entwicklung und Begleitung.

Ein neuer Zahlungsanbieter, ein Plugin-Update oder zusätzliche Skripte können Ihre bisherige Bewertung verändern. Wir unterstützen Sie dabei, relevante Änderungen früh zu erkennen und Kontrollen, Nachweise und Verantwortlichkeiten aktuell zu halten.

Als fachliche Grundlage nutzen wir die Informationen des PCI Security Standards Council, die offiziellen Hinweise zur SAQ-A-Eignung und die Leitlinie zur Sicherheit von Zahlungsseiten. Den Umfang der laufenden Begleitung vereinbaren wir passend zu Ihren Systemen und internen Ressourcen.

• Änderungen an Checkout, Infrastruktur und Dienstleistern auf Scope-Auswirkungen prüfen.
• Wiederkehrende Aufgaben und Prüfungen mit den jeweiligen Verantwortlichen planen.
• Dokumentation für erneute Nachweise und technische Rückfragen pflegen.