Der Payment Card Industry (PCI) Data Security Standard (DSS) ist ein weltweit gültiger Sicherheitsstandard im Zahlungsverkehr. Er sorgt für eine verstärkte Kontrolle des Umgangs mit Kreditkartendaten, um eine betrügerische Verwendung der Daten zu verhindern. Unternehmen müssen den Standard einhalten, wenn sie Karten der fünf wichtigsten Anbieter – Visa, MasterCard, American Express, Discover und Japan Credit Bureau (JCB) – akzeptieren. Die Einhaltung des PCI DSS wird von jedem Unternehmen gefordert, das Kartenzahlungen durchführt und die Daten von Karteninhabern speichert, verarbeitet oder übermittelt. 

In diesem Artikel erfährst du:

• Kartendatenspeicherung
• Regelkonformität zum PCI DSS bei Mews
• Informationen zur Verletzung des PCI-Standards

Kartendatenspeicherung

Alle Kartendaten, wie etwa Kartennummer und Ablaufsdatumsangaben, sollten getrennt von anderen Daten des Unternehmens gespeichert werden, auf einem separaten Server. Das bedeutet, dass ein Unternehmen mit mehr als einem Server arbeiten muss, um vollständig PCI-konform zu sein. Die vollständige Liste der Anforderungen können Sie auf der Webseite des PCI Councils finden.

Mews ermöglicht nicht länger die Eingabe von Karteninhaberdaten in ungesicherte Felder. Das System löscht auf diese Weise automatisch jegliche gespeicherten Daten vor dem 11. April. Dies schließt Kartennummern, Ablaufdatumsangaben und Kartenprüfnummern ein. Ab diesem Datum müssen Sie alle Karten sicher speichern und PCI-konform bleiben.

Hier können Sie mehr über das sichere Hinzufügen einer neuen Zahlungskarte erfahren.

Hinweis: Mews speichert die vollständige Kartennummer nicht oder hat keinen Zugriff darauf. Aus Sicherheitsgründen speichern wir nur die ersten sechs und letzten vier Ziffern der Karte.

 

Regelkonformität zum PCI DSS bei Mews

Der PCI DSS unterscheidet vier Ebenen des Standards, abhängig vom Volumen der Datenübertragung. Mews Operations verwendet die Infrastruktur Microsoft Azure, die als konform mit PCI DSS Version 4.0, Anbieter für Services der Ebene 1 mit dem höchsten Volumen an Transaktionen – mehr als 6 Millionen pro Jahr – zertifiziert ist. Gleichermaßen ist für Mews Payments eine Zertifizierung der PCI-Konformität nicht notwendig, da der Anbieter unseres Zahlungsportals, Stripe, von einem PCI-zertifizierten Auditor geprüft und als PCI Anbieter für Services der Ebene 1 zugelassen ist. Erfahren Sie mehr über die PCI-Konformität von Stripe.
Die Karteninhaberdaten werden über einen sicheren Datenübertragungsblock in die Softwareanwendung von Mews überführt. Alle sonstigen zugehörigen Informationen können Sie in den Bereichen Security (Sicherheit) und Certifications (Zertifizierungen) hier finden.  

 

Informationen zur Verletzung des PCI-Standards

Einzelne Kunden werden üblicherweise nicht für Verletzungen des PCI-Standards mit Strafen belegt, da die Services für die Prozessierung von Zahlungen, wie etwa Adyen, Stripe, SIX Payments, usw. und die Speicherung von Kartendaten, wie z.B. Cloud-basierte Datenbanken oder Datenbanken vor Ort, oft ausgelagert werden. Sollte es allerdings zu einem Datenschutzverstoß bei einem Anbieter für Kartenzahlungen oder die Speicherung von Kartendaten kommen, können die dadurch entstehenden Kosten in Form von höheren Gebühren an die Kunden des Anbieters weitergegeben werden. Weiterhin werden unter der Datenschutz-Grundverordnung (DSGVO), bestimmte Lösungen vor Ort, wie die Speicherung aller Daten auf einem Server, als Datenschutzverletzung betrachtet. Jeder Kunde, der Lösungen vor Ort verwendet, kann also sowohl für eine Datenschutzverletzung als auch für Nichteinhaltung des PCI-Standards mit einer Geldstrafe belegt werden.

Hier können Sie mehr über PSD2-Konformität erfahren.