PCI DSS.
Zahlungsdaten und Abhängigkeiten abgrenzen, Verantwortung im Betrieb klären und den passenden Nachweis mit der zuständigen Stelle vereinbaren.
- PCI DSS v4.0.1 · PCI SSC
- Von Jonathan Bezdek
- Stand: 22.10.2026
- Fachlich freigegeben von Jonathan Bezdek am 22.10.2026
- Lesezeit: 7 Min.
Kurzantwort.
PCI DSS ist der Branchenstandard zum Schutz von Zahlungskartendaten. Er betrifft Händler, Dienstleister und Systeme, die solche Daten verarbeiten oder ihre Sicherheit beeinflussen. Die aktuelle Fassung ist PCI DSS v4.0.1. Zahlungsumgebung und Rolle bestimmen den Umfang; der Nachweisweg wird mit Acquirer oder Zahlungsmarke abgestimmt, etwa über SAQ oder ROC.
PCI DSS 4.0 und die aktuelle Fassung.
PCI DSS verbindet technische und betriebliche Sicherheitsanforderungen für Zahlungsdaten. Das PCI Security Standards Council, kurz PCI SSC, entwickelt den Standard und seine unterstützenden Werkzeuge. Wie die Einhaltung in einem konkreten Zahlungsprogramm nachgewiesen wird, bestimmen dagegen die zuständigen akzeptierenden Stellen, typischerweise Acquirer und Zahlungsmarken; PCI SSC FAQ 1473 erläutert diese Rollentrennung.
PCI DSS v4.0.1 ist die in der offiziellen Document Library geführte Fassung. Nach der PCI-SSC-Veröffentlichung zur Revision wurde v4.0 am 31. Dezember 2024 zurückgezogen. Der bereits für die neuen v4-Anforderungen vorgesehene 31. März 2025 blieb unverändert. Zum Stand dieser Seite liegt der Termin in der Vergangenheit; er ist keine noch bevorstehende Einführungsfrist.
Ein erfolgreich abgeschlossener Nachweis ersetzt den laufenden Schutz nicht. Für die praktische Organisation sollten Änderungen an Zahlungswegen, Anwendungen und Dienstleistern Anlass sein, den vereinbarten Umfang erneut zu betrachten. Eine neue Checkout-Integration kann andere Abhängigkeiten schaffen als die zuvor bewertete Lösung, obwohl dasselbe Unternehmen weiterhin Zahlungen annimmt.
Für wen PCI DSS gilt.
PCI DSS richtet sich laut PCI-SSC-Übersicht nicht nur an Organisationen, die Kartendaten speichern, verarbeiten oder übermitteln. Auch eine mögliche Beeinflussung der Sicherheit der Karteninhaberdaten-Umgebung, der Cardholder Data Environment oder CDE, gehört zur Betrachtung. Händler und Dienstleister sollten daher zunächst ihre konkrete Rolle und die tatsächlich erbrachten Leistungen beschreiben.
Ausgelagerte Zahlungsabwicklung ist keine automatische Befreiung. PCI SSC FAQ 1092 unterscheidet einen möglicherweise kleineren direkten Anforderungsumfang von der weiterbestehenden Verantwortung für geeignete Dienstleister, vereinbarte Zuständigkeiten und den verlangten Nachweis. Klären Sie auch bei Hosted Checkout mit Ihrer zuständigen Stelle, welche Voraussetzungen die gewählte technische Einbindung erfüllen muss.
Die Grenze wird durch wirksame Maßnahmen belegt, nicht allein durch einen Namen im Architekturdiagramm. PCI SSC FAQ 1115 erläutert, dass verbundene Systeme und die tatsächliche Wirksamkeit einer Segmentierung zu prüfen sind. Wer Administrationszugriffe, unterstützende Dienste oder Schnittstellen vorschnell ausklammert, kann einen unvollständigen Prüfungsumfang beschreiben.
Die PCI-DSS-Anforderungen im Betrieb ordnen.
Die Umsetzung verbindet den Schutz der Zahlungsumgebung mit nachvollziehbaren Betriebsabläufen. Die folgenden sechs Arbeitsbereiche sind eine redaktionelle Orientierung für die Planung, keine Wiedergabe der zwölf offiziellen Anforderungen oder einzelner Prüfpunkte; deren konkrete Anwendbarkeit wird am bestätigten Umfang geprüft.
Zahlungsflüsse und Umfang verständlich machen.
Verfolgen Sie praktisch, wo Zahlungsinformationen entstehen, welche Komponenten beteiligt sind und welche Personen oder Anbieter darauf einwirken können. Halten Sie die bestätigte Grenze zusammen mit ihren Annahmen fest. Eine verständliche Beschreibung hilft Entwicklung, Betrieb und der akzeptierenden Stelle, über denselben Zahlungsweg zu sprechen.
Systeme und Änderungen sicher betreiben.
Ordnen Sie den beteiligten Anwendungen und Infrastrukturkomponenten klare Verantwortliche zu. Verbinden Sie Änderungen mit der Frage, ob neue Verbindungen, Funktionen oder Abhängigkeiten den bestätigten Umfang verändern. Für den Alltag ist ein nachvollziehbarer Änderungsverlauf hilfreicher als eine ausschließlich zum Prüftermin zusammengestellte Momentaufnahme.
Datenverwendung und Übertragung begrenzen.
Prüfen Sie als praktische Ausgangsfrage, welche Zahlungsdaten für den gewählten Ablauf tatsächlich benötigt werden und wo Kopien entstehen können. Berücksichtigen Sie dabei Exporte, Protokolle und unterstützende Prozesse. Die vertiefte Sicherheitsplanung muss zu Datenarten und Verwendungszweck passen; eine allgemeine Vertraulichkeitskennzeichnung erklärt diese Entscheidungen noch nicht.
Zugriffe nachvollziehbar organisieren.
Verbinden Sie fachliche Zuständigkeiten mit den tatsächlich eingeräumten technischen Möglichkeiten. Betrachten Sie neben Mitarbeitenden auch Dienstkonten, administrative Zugänge und Lieferanten. Für die Arbeitsorganisation empfiehlt sich eine klare Antwort darauf, wer einen Zugang freigibt, wer Änderungen bearbeitet und woran ein rechtzeitig entzogener Zugriff erkennbar ist.
Betrieb prüfen und Erkenntnisse bearbeiten.
Planen Sie geeignete Aufzeichnungen und Prüfungen gemeinsam mit den Verantwortlichen der Zahlungsumgebung. Ein einzelner Scan oder Penetrationstest beschreibt nur seinen jeweiligen Gegenstand. Halten Sie bei Feststellungen fest, welche Änderung daraus folgt und wie deren Wirkung überprüft wird, statt ein Testergebnis mit dem gesamten PCI-DSS-Nachweis gleichzusetzen.
Dienstleister und Vorfälle einbeziehen.
Legen Sie betriebliche Ansprechpartner und das Vorgehen bei Auffälligkeiten fest. Für ausgelagerte Leistungen sollten die eigenen Aufgaben neben den Zusagen des Anbieters verständlich bleiben. PCI SSC FAQ 1576 erklärt, dass ein Dienstleisternachweis die genutzten Leistungen abdecken muss; ein beliebiges Unternehmensdokument genügt dafür nicht automatisch.
PCI DSS als laufende Aufgabe umsetzen.
Rolle und Nachweisweg abstimmen.
Klären Sie als praktischen Einstieg mit Acquirer oder Zahlungsmarke Ihre Rolle, den erwarteten Nachweis und die zuständige Ansprechperson, bevor Sie ein Formular auswählen.
Einen Zahlungsweg erfassen.
Beschreiben Sie die beteiligten Daten, Anwendungen, Systeme und Dienstleister vom Beginn der Zahlung bis zu den verbleibenden betrieblichen Aufzeichnungen.
Den Umfang bestätigen.
Prüfen Sie die relevanten Verbindungen und sicherheitsbeeinflussenden Komponenten und lassen Sie die Abgrenzung einschließlich möglicher Segmentierung fachlich beurteilen.
Aufgaben im Betrieb verankern.
Ordnen Sie Schutzmaßnahmen und gemeinsame Verantwortlichkeiten konkreten Personen zu und verbinden Sie deren Umsetzung mit geeigneten Aufzeichnungen.
Nachweise konsistent vorbereiten.
Prüfen Sie, ob die geforderten Unterlagen denselben Dienst, dieselbe Rolle und denselben Umfang beschreiben und ob offene Entscheidungen nachvollziehbar behandelt wurden.
Änderungen und Folgeprüfungen verfolgen.
Vereinbaren Sie die erforderlichen Nachweisintervalle und prüfen Sie bei Veränderungen, ob Umfang, Dienstleisternachweise und betriebliche Zuständigkeiten weiterhin passen.
PCI-Zertifizierung und die tatsächliche Nachweisform.
Der anerkannte PCI-DSS-Nachweis verwendet die dafür vorgesehenen offiziellen Unterlagen. Ein SAQ dokumentiert eine zulässige Selbstbeurteilung, ein ROC die Ergebnisse des entsprechenden Prüfungswegs und eine AOC die zugehörige Bestätigung. Nach PCI SSC FAQ 1220 sind beliebige als Compliance-Zertifikat bezeichnete Dokumente kein Ersatz für die offiziellen Vorlagen.
Die akzeptierende Stelle bestimmt den verlangten Weg; bei einer entsprechenden Prüfung kann ein Qualified Security Assessor, kurz QSA, beteiligt sein. Nach PCI SSC FAQ 1473 müssen Umfang und Anwendbarkeit zutreffend beurteilt werden. Die Wahl eines SAQ-Namens ist deshalb noch keine Bestätigung, dass seine Eignungskriterien erfüllt sind oder alle relevanten Anforderungen umgesetzt wurden.
Auch die passende Vorlage muss in ihrer aktuellen Fassung verwendet werden. Das PCI SSC hat die SAQ-A-Regeln zum 31. März 2025 geändert und ausdrücklich klargestellt, dass entfallene Einzelprüfpunkte im Fragebogen die zugrunde liegenden PCI-DSS-Anforderungen nicht aufheben. Vereinbaren Sie Nachweiszeitpunkte und Folgepflichten für Ihren Fall, statt von einer pauschalen Zertifikatslaufzeit auszugehen.
Andere Frameworks einordnen.
ISO 27001 behandelt das Informationssicherheitsmanagement im festgelegten Geltungsbereich; der PCI-DSS-Nachweis ist eine gesonderte Entscheidung für die Zahlungsumgebung. CIS Controls unterstützen die allgemeine Priorisierung von Sicherheitsarbeit, legen aber keinen PCI-Validierungsweg fest. Die DSGVO betrifft personenbezogene Verarbeitung und bleibt unabhängig vom Zahlungsdatennachweis zu prüfen.
In Secani.
Secani führt einen eigenen redaktionellen Unternehmenskatalog zu PCI DSS v4.0.1. Das Profil erfasst unter anderem CDE-Umfang, Händler- oder Dienstleisterrolle und den vereinbarten SAQ-/ROC-Weg. Diese Arbeitsangaben unterstützen die strukturierte Bearbeitung; sie ersetzen weder die offiziellen Prüfunterlagen noch die Bestätigung der Berechtigung oder das Urteil der zuständigen Stelle.
Mit einem konkreten Zahlungsweg beginnen.
Wählen Sie einen tatsächlich genutzten Zahlungsweg und benennen Sie seine fachliche und technische Verantwortung. Halten Sie fest, welche Leistungen Sie selbst erbringen und welche ein Dienstleister übernimmt. Stimmen Sie danach den erwarteten Nachweis mit der zuständigen Stelle ab, bevor Sie den Aufwand anhand eines vermeintlich passenden Fragebogens planen.
Quellen.
- PCI SSC – PCI-DSS-Übersicht und Zielgruppe
- PCI SSC – offizielle Document Library
- PCI SSC – Veröffentlichung von PCI DSS v4.0.1
- PCI SSC FAQ 1473 – zuständige Stellen und Nachweisweg
- PCI SSC FAQ 1092 – ausgelagerte Zahlungsabwicklung
- PCI SSC FAQ 1576 – Nachweise von Dienstleistern
- PCI SSC FAQ 1220 – offizielle Unterlagen statt Compliance-Zertifikate
- PCI SSC FAQ 1115 – verbundene Systeme und Segmentierung
- PCI SSC – Änderungen an SAQ A zum 31. März 2025
- PCI SSC – SAQ-Bulletin vom 15. Oktober 2024
Häufige Fragen.
Nein, nicht automatisch. Auslagerung kann den direkten Umfang verändern; Verantwortung für geeignete Dienstleister, klare Zuständigkeiten und den verlangten Nachweis bleibt gesondert zu betrachten.
Nicht allein nach dem gewünschten Aufwand. Die Eignungskriterien müssen erfüllt sein, und der verlangte Nachweisweg ist mit der akzeptierenden Stelle abzustimmen.
Beliebige Compliance-Zertifikate sind kein anerkannter Ersatz für die offiziellen Unterlagen. Maßgeblich sind der vereinbarte Prüfungsweg und die zugehörigen offiziellen Berichte beziehungsweise Bestätigungen.
Nein. Ein ISMS-Zertifikat betrifft seinen ausgewiesenen Managementsystemumfang; die Anforderungen und der Nachweisweg für die Zahlungsumgebung sind gesondert zu klären.
Den Zahlungsweg abgrenzen.
Besprechen Sie, wie Sie Umfang, Aufgaben und Nachweise in Secani bearbeiten können.
Diese Seite ordnet PCI DSS in eigenen Worten ein und ersetzt die offiziellen PCI-SSC-Dokumente oder eine fachliche Prüfung nicht. Anforderungen des jeweiligen Zahlungsprogramms und Entscheidungen der zuständigen Stelle bleiben gesondert zu beachten.