PCI DSS für Händler: Pflichten und Aufwand
Kurz gesagt
PCI DSS ist ein Sicherheitsstandard der Kartenbranche und kein Gesetz; Kartenverfahren und Acquirer setzen ihn über den Händlervertrag durch. Die Händlerstufe legt Ihr Acquirer fest (bei Visa nach der Zahl der Transaktionen), die Anbindung bestimmt den Fragebogen, etwa SAQ B-IP für ein eigenständiges, zugelassenes Terminal mit IP-Anbindung.
Das Wichtigste
- PCI SSC: Durchsetzung der PCI-Standards und Festlegung von Strafen liegen bei den Zahlungsmarken, nicht beim PCI SSC; Nachweise gehen an Acquirer oder Marke.
- Visa (Core Rules vom 18. April 2026, Abschnitt 1.9.4.1): Händler dürfen nach der Autorisierung den vollständigen Magnetstreifeninhalt, den CVV2 sowie die PIN oder den PIN-Block nicht speichern.
- Visa Deutschland nennt drei Händlerstufen nach Visa-Transaktionen pro Jahr: Stufe 1 über 6 Millionen (alle Kanäle), Stufe 2 von 1 bis 6 Millionen (alle Kanäle), Stufe 3 unter 1 Million E-Commerce-Transaktionen; die Stufe teilt der Acquirer mit.
- SAQ B-IP (PCI DSS v4.0): nur eigenständige, PCI-gelistete PTS-Terminals mit IP-Verbindung, keine Verbindung zu anderen Systemen, keine elektronische Speicherung von Kontodaten.
- SAQ A gilt nur für Fernverkauf mit vollständig ausgelagerter Zahlungsabwicklung, nicht für Zahlungen vor Ort.
PCI DSS (Payment Card Industry Data Security Standard) ist ein Regelwerk zum Schutz von Kartendaten, das der PCI Security Standards Council (PCI SSC) herausgibt. Der PCI SSC setzt den Standard nicht selbst durch; das tun die Zahlungsmarken und deren Acquirer (PCI SSC, At-a-Glance). Für Sie als Händler entsteht die Pflicht deshalb aus dem Vertrag mit Ihrem Acquirer und den Regeln des Kartenverfahrens.
Wer verlangt PCI DSS von Ihnen?
Die Visa Core Rules (Stand 18. April 2026, Abschnitt 1.9.4.1) verpflichten die Banken im Visa-System, dafür zu sorgen, dass ihre Händler PCI DSS einhalten und die Händlerverträge die Verantwortung und die Haftung bei Verstößen regeln. Der Acquirer muss den PCI-Status seiner Händler mindestens alle sechs Monate melden und prüfen (Abschnitt 12.5.1.2). Das gilt für Visa; andere Kartenverfahren haben eigene Programme.
Eine Regel gilt für jeden Händler im Visa-System: Nach der Autorisierung dürfen Sie den vollständigen Inhalt des Magnetstreifens, den Kartenprüfwert CVV2 sowie die PIN oder den PIN-Block nicht speichern (Abschnitt 1.9.4.1).
Welche Händlerstufe haben Sie?
Visa unterteilt Händler nach der Zahl der Visa-Transaktionen in zwölf Monaten, einschließlich Kredit, Debit und Prepaid, gemessen für ein Unternehmen in einem Land oder bei einem Acquirer. Die Tabelle gibt die Stufen von Visa Deutschland wieder; die für Sie geltende Stufe teilt Ihr Acquirer mit.
| Stufe | Kriterium (Visa-Transaktionen pro Jahr) | Nachweis bei Visa, jährlich |
|---|---|---|
| 1 | über 6 Millionen (alle Kanäle) oder von einer Visa-Region als Stufe 1 eingestuft | Report on Compliance (ROC) durch einen Qualified Security Assessor (QSA) oder durch eine interne Stelle, wenn ein Unternehmensverantwortlicher ihn unterzeichnet; dazu die Attestation of Compliance (AOC) |
| 2 | 1 bis 6 Millionen (alle Kanäle) | Fragebogen zur Selbstbeurteilung (Self-Assessment Questionnaire, SAQ) |
| 3 | unter 1 Million E-Commerce-Transaktionen | SAQ |
Händler unterhalb dieser Kriterien, etwa mit wenigen Visa-Transaktionen und ohne E-Commerce, stehen nicht in der Tabelle der Visa-Seite; welchen Nachweis Ihr Acquirer von Ihnen verlangt, steht im Vertrag.
Welcher Fragebogen passt zu Ihrer Anbindung?
Der SAQ richtet sich nach der Art, wie Sie Karten annehmen. Wer die Eignungskriterien eines SAQ nicht vollständig erfüllt, nimmt einen anderen. Die Tabelle ist ein Auszug; die vollständige Auswahl steht in den „SAQ Instructions and Guidelines“ des PCI SSC. Die Zuordnung folgt den „SAQ Instructions and Guidelines“ für PCI DSS v4.0.1 (Revision 1, April 2025); die älteren Formulare für PCI DSS v4.0, das am 31. Dezember 2024 abgelöst wurde, enthalten für B, B-IP und P2PE dieselben Kriterien. Prüfen Sie vor dem Ausfüllen die Eignungskriterien im Formular selbst.
| Anbindung | SAQ | Voraussetzung nach PCI SSC |
|---|---|---|
| Kartenabdruckgerät (Imprinter) oder eigenständiges Terminal mit Telefonleitung (Wählleitung) | B | Terminals nicht mit anderen Systemen und nicht mit dem Internet verbunden; keine elektronische Speicherung von Kontodaten |
| Eigenständiges, PCI-gelistetes PTS-Terminal mit IP-Anbindung an den Zahlungsabwickler | B-IP | keine Secure Card Reader; Terminal nicht mit anderen Systemen im Betrieb verbunden; Terminal braucht kein weiteres Gerät für die Verbindung; keine elektronische Speicherung von Kontodaten |
| Terminal einer validierten, PCI-gelisteten Point-to-Point-Encryption-Lösung (P2PE) | P2PE | alle Zahlungen über die P2PE-Lösung; Händler setzt die Vorgaben des P2PE-Handbuchs um |
| Smartphone oder Tablet mit PTS-geprüftem Kartenleser (SCRP) als Teil einer gelisteten SPoC-Lösung (Software-based PIN Entry on COTS) | SPoC | Zahlungen vor Ort ohne Zugriff auf Klartext-Kontodaten; nicht für unbeaufsichtigte Zahlungen, MOTO und E-Commerce |
| Fernverkauf (E-Commerce, Mail- oder Telefonbestellung), Zahlungsabwicklung vollständig an einen PCI-konformen Dienstleister ausgelagert | A | nicht für Zahlungen vor Ort; Händler hat die Attestation of Compliance des Dienstleisters geprüft |
| alle übrigen Fälle | D (Händler) | gilt für Händler, die einen SAQ ausfüllen dürfen, aber keinem anderen SAQ insgesamt entsprechen |
Für SAQ A veröffentlichte der PCI SSC im Januar 2025 eine Fassung, die ab 31. März 2025 gilt: Sie nimmt die Anforderungen 6.4.3, 11.6.1 und 12.3.1 aus dem SAQ A heraus und fügt ein Eignungskriterium hinzu, mit dem Händler bestätigen, dass ihre Website nicht anfällig für Skriptangriffe auf das E-Commerce-System ist. Dieses Kriterium gilt nur für Händler, deren Webseite eine eingebettete Zahlungsseite oder ein eingebettetes Formular des Dienstleisters enthält (etwa ein iframe), nicht bei Weiterleitung oder einem Zahlungslink (PCI SSC, FAQ 1588).
So gehen Sie vor
- Fragen Sie Ihren Acquirer nach Ihrer Stufe, nach dem geforderten Nachweis (SAQ, Scan, Attestation of Compliance) und nach dem Abgabetermin.
- Halten Sie fest, wie Sie Karten annehmen: eigenständiges Terminal, Terminal an der Kasse, Terminal über Dienstleister, Smartphone, Fernverkauf.
- Wählen Sie den SAQ nach den Eignungskriterien; passt kein SAQ insgesamt, ist SAQ D vorgesehen. Stimmen Sie die Wahl mit Ihrem Acquirer ab.
- Prüfen Sie für ausgelagerte Funktionen die Attestation of Compliance Ihres Dienstleisters.
- Prüfen Sie, dass Ihre Systeme keine Kartendaten speichern, die Visa nach der Autorisierung verbietet.
- Legen Sie die Unterlagen so ab, dass Sie sie auf Anfrage vorlegen können.
Terminals mit Zulassungen behandelt Zertifiziertes Terminal; die Auswahl eines Anbieters Zahlungsdienstleister auswählen; Warnzeichen am Terminal Kartenbetrug erkennen.