Wenn Kartenzahlungen vollständig an einen PCI DSS-konformen Zahlungsdienstleister ausgelagert werden, reduziert sich Ihr Aufwand für die PCI DSS Compliance deutlich und in den meisten Fällen kann der "kleine" SAQ A (Fragebogen) angewendet werden.
Zusätzliche Anforderungen gelten jedoch für Webserver von Händlern, die die Zahlungsseite (Payment Page) mit einem URL-Redirect oder per iFrame einbinden und somit die Eingabe der Kartendaten an einen PCI DSS-zertifizierten Dienstleister auslagern. Diese Händler hosten zwar nicht die Zahlungsdaten selbst, aber die Anbindung der Zahlungsseite erfordert zusätzliche Sicherheitsmaßnahmen.
Einige wichtige neue Anforderungen im SAQ (Self Assessment Questionaire):
| Anforderung | Erklärung |
|---|---|
| Anforderung 6.3.1 | Ermittelte neue/kritische Sicherheitsschwachstellen sind vom Unternehmen (Händler) einer Risikoeinstufung nach „Industry Best Practice“ zu klassifizieren und die Auswirkungen sind zu dokumentieren. |
| Anforderung 11.3.2 | Externe Schwachstellenscans müssen durch einen akkreditierten ASV (Approved Scanning Vendor = für Sicherheitsscans zugelassene Security Unternehmen) mindestens einmal alle 3 Monate durchgeführt werden. |
| Anforderung 8.4.2 | Die Multi-Faktor Authentifizierung ist für Personen mit Zugriff auf die Systeme mit Kartendaten verpflichtend (SAQ A-EP). Verpflichtend ab 01.04.2025 |
| Anforderung 8.3.6 | Passwörter müssen mindestens 12 Stellen (alphanumerisch) lang sein um die Benutzerkonten besser zu schützen. Verpflichtend ab 01.04.2025 |
Mit Version 4.0 wird die Anforderung zur Durchführung von externen Schwachstellenscans für SAQ A verpflichtend.
Grund dafür ist, dass der PCI-Prüfumfang auf die Sicherheit der Checkout-Seite (Payment Page) im Webshop erweitert wurde, auch wenn die eigentliche Zahlungsverarbeitung an einen PCI DSS-zertifizierten Dienstleister ausgelagert ist. Da diese Checkout-Seiten zunehmend Ziel von Angriffen durch Web-Skimming und unsichere Skripte werden, ist es nun erforderlich, die Sicherheit des "Absprungpunkts" zur Zahlungsabwicklung regelmäßig zu überprüfen.
Empfehlung an Unternehmen/Händler/Kunden:
Schließen Sie einen Vertrag mit einem zugelassenen Security-Dienstleistungsunternehmen für externe Schwachstellenscans (ASV = Approved Scanning Vendor) ab, wie z. B. unser Security-Partner VikingCloud.
PCI 4.0 fordert mehr Sicherheit rund um Bezahlseiten
Was versteht man unter einer Payment Page?
Der Definition nach handelt es sich um ein Webformular (Eingabemaske), in das der Karteninhaber die vollständige Kartennummer (PAN) einträgt.
Was versteht man unter Payment Page Skripten?
In PCI Version 4.0 ist die Sicherheit von Skripten auf der Bezahlseite (Payment Page) noch wichtiger. Diese Skripte sind Code-Schnipsel, die auf der Bezahlseite eingebunden sind und Funktionen wie die Generierung von iFrames, die Steuerung von Redirects oder die Prüfung der Karteneingabe übernehmen. Sie können vom Händler selbst, dem Payment Service Provider oder von Drittanbietern stammen. Beispiele hierfür wären Tracking-Skripte, oder Skripte, die Fehler auf der Seite beheben.
Das Problem: Angreifer können diese Skripte manipulieren, um bösartigen Code einzuschleusen und Kartendaten abzufangen (z. B. durch Web-Skimming).
Wie schützt man Payment Page Skripte?
Wie bereits erwähnt, stellen Payment Page Skripte ein Sicherheitsrisiko dar. Um dieses Risiko zu minimieren, müssen folgende Anforderungen erfüllt sein (PCI DSS 4.0):
| Anforderung | Erklärung |
|---|---|
| Anforderung 6.4.3 | Es wird vorgeschrieben, dass nur absolut notwendige Skripte auf der Payment Page ausgeführt werden sollen. Um eine sichere Verwaltung zu gewährleisten, ist es erforderlich, dass die Skripte inventarisiert, autorisiert und auf Integrität geprüft werden. Für jedes Skript muss zusätzlich begründet werden, warum es auf der Payment Page eingebunden wird. |
| Anforderung 11.6.1 | Es wird ein Verfahren gefordert, welches unautorisiert vollzogene Änderungen am Inhalt der Payment Page und/oder des http-Headers frühzeitig erkennt. Um das Ziel zu erreichen, muss die Prüfung periodisch erfolgen. Bei Auffälligkeiten muss zeitgleich automatisiert ein Alarm beim Händler/Service Provider eingehen. |
Empfehlung an Unternehmen/Händler/Kunden:
Minimieren Sie die Anzahl der Skripte auf Ihrer Bezahlseite
Verwenden Sie nur Skripte, die unbedingt für die Funktion Ihrer Bezahlseite erforderlich sind und deren Zweck Sie vollständig verstehen.
Stellen Sie sicher, dass keine unnötigen Skripte ohne vorherige Genehmigung durch das Management hinzugefügt werden.
Unsere Kontaktdaten finden Sie in den E-Mails, die wir Ihnen unter der Adresse notifications@worldline-pciportal.com zusenden.