PCI DSS: Was der Kartensicherheitsstandard von Händlern verlangt
Kurz gesagt
PCI DSS ist der Sicherheitsstandard der Kartennetzwerke für alle Betriebe, die Kartendaten speichern, verarbeiten oder übertragen oder deren Sicherheit beeinflussen können, unabhängig von Größe und Umsatz. Er ist kein Gesetz, sondern wirkt über die Kartenakzeptanzverträge. Welchen Nachweis Sie jährlich erbringen, bestimmen Kartenmarke und Acquirer nach Ihrem Händlerlevel; im Visa-Beispiel gilt der reguläre Fall ohne Befreiung – ab Level 2 ein SAQ, ab Level 1 ein ROC. Befreiungsprogramme wie Visas Technology Innovation Program können qualifizierten Händlern den Nachweis erlassen; die Pflicht zur Einhaltung bleibt bestehen.
Das Wichtigste
- Gilt für alle Entitäten, die Kartendaten speichern, verarbeiten oder übertragen oder deren Sicherheit beeinflussen können; kleine Händler nimmt der Standard selbst nicht aus.
- Kein Gesetz: Der Standard wirkt über Kartenakzeptanzverträge; die Nachweisprogramme führen Kartenmarken und Acquirer, in Deutschland, Österreich und der Schweiz gleichermaßen.
- Aktuelle Fassung ist PCI DSS v4.0.1 vom 11. Juni 2024; die Version 4.0 wurde am 31. Dezember 2024, die Version 3.2.1 am 31. März 2024 zurückgezogen.
- 51 neue Anforderungen der Version 4.x gelten seit 31. März 2025 verbindlich.
- Level und Nachweise setzt jede Kartenmarke selbst fest; im Visa-Programm beginnt Level 1 über 6 Millionen Visa-Zahlungen im Jahr.
- Der PCI SSC setzt selbst nicht durch; Sanktionen bestimmen Kartenmarken und Acquirer in ihren Programmen.
Definition
PCI DSS (Payment Card Industry Data Security Standard) ist ein Branchenstandard, der technische und organisatorische Anforderungen zum Schutz von Kartendaten stellt und für jeden Betrieb gilt, der diese Daten speichert, verarbeitet oder überträgt oder deren Sicherheit beeinflussen kann – in Deutschland, Österreich und der Schweiz gleichermaßen. Herausgegeben wird er vom PCI Security Standards Council (PCI SSC), dem Gremium der großen Kartennetzwerke. Der Anwendungsbereich endet nicht bei Händlern: Der PCI SSC nennt ausdrücklich auch Entitäten, die die Sicherheit der Kartendatenumgebung beeinflussen können, etwa Prozessoren, Emittenten und andere Dienstanbieter.
Was der Standard von Händlern verlangt
Der Standard richtet sich ausdrücklich an alle Größen: Nach dem PCI SSC gilt er unabhängig von Umsatz und Zahlungsvolumen, eine Kleinhändler-Ausnahme sieht er nicht vor. Erfasst sind die Kartennummer (PAN) und die Kartenprüfdaten, ob sie im Kassensystem, im Webshop oder auf einem Beleg liegen.
PCI DSS ist kein Gesetz, sondern ein Industriestandard: Er wirkt über die Kartenakzeptanzverträge. Welchen Nachweis ein Betrieb erbringen muss, entscheidet nach dem PCI SSC die jeweilige Kartenmarke oder der Acquirer, nicht das Gremium selbst. Die 51 zukunftsorientierten Anforderungen der Version 4.x sind seit 31. März 2025 verbindlich; die Fassung 4.0.1 löste am 31. Dezember 2024 die Version 4.0 ab, und die Version 3.2.1 wurde bereits am 31. März 2024 zurückgezogen.
Verschlüsselung allein hebt die Anwendbarkeit des Standards nicht auf: Nach der PCI-SSC-FAQ kann eine PCI-gelistete P2PE-Lösung am Kartenterminal die Zahl der anwendbaren Anforderungen erheblich senken, ohne PCI DSS im Händlerumfeld ganz abzuschaffen.
Checkliste: Nachweise nach Händlerlevel
Level und Pflichten setzt jede Kartenmarke in ihrem eigenen Programm fest; maßgeblich ist Ihr Acquirer. Das Beispiel zeigt das Programm von Visa im regulären Fall ohne Befreiung, gelesen am 13. Oktober 2026:
| Level (Beispiel Visa) | Kriterium: Visa-Zahlungen je Jahr | Jährlicher Nachweis |
|---|---|---|
| Level 1 | über 6 Millionen | Report on Compliance (ROC) durch einen QSA oder eine interne Ressource mit Firmenunterschrift, dazu Attestation of Compliance (AOC) |
| Level 2 | 1 bis 6 Millionen | Self-Assessment Questionnaire (SAQ) |
| Level 3 | unter 1 Million (E-Commerce-Zahlungen) | Self-Assessment Questionnaire (SAQ) |
Der reguläre Fall ist nicht der einzige: Über das Technology Innovation Program (TIP) erlässt Visa qualifizierten Händlern die Nachweispflicht, wenn nach dem Programm mindestens 75 Prozent ihrer jährlichen Transaktionen über EMV-Chip-Terminals, eine validierte P2PE-Lösung oder eine Tokenisierung nach der EMVCo-Spezifikation laufen. Die Pflicht, PCI DSS einzuhalten, bleibt auch dann bestehen; ob und wie Ihr Acquirer TIP anwendet, klären Sie mit ihm.
Unabhängig vom Level prüfen Sie im regulären Fall jährlich:
- Ermitteln Sie Ihren Level je Kartenmarke aus dem Zahlungsvolumen der letzten zwölf Monate; der Acquirer teilt ihn verbindlich mit und gibt den nötigen Nachweis (ROC oder SAQ) vor, den Sie mit der AOC erbringen.
- Behalten Sie Dienstanbieter wie PSP und Webshop-Dienstleister im Blick; ihre Systeme können Ihre Konformität berühren.
- Prüfen Sie, ob eine PCI-gelistete P2PE-Lösung für Sie in Frage kommt; nach der PCI-SSC-FAQ kann sie die Zahl der anwendbaren Anforderungen erheblich senken, hebt die Anwendbarkeit aber nicht auf.
- Klären Sie im Angebot des Zahlungsanbieters, wer ASV-Scans und Nachweise für den Webshop erbringt; für E-Commerce-Händler im SAQ A erwartet der PCI SSC vierteljährliche Scans durch einen Approved Scanning Vendor (PCI-SSC-Blog, August 2024).
Nicht zu verwechseln mit
Der PCI SSC ist das Gremium, PCI DSS sein Datensicherheitsstandard; andere Standards desselben Gremiums wie P2PE oder PTS gelten für Lösungen und Geräte, nicht für den Händlernachweis. Mit der TSE-Pflicht nach deutschem Steuerrecht hat PCI DSS nichts zu tun. Und anders als die DSGVO ist PCI DSS kein Gesetz.