Prüfpunkt software.kasse.kartendatenSitzung, Cookies und Zahlungsdaten
Muss ein kleiner Onlineshop PCI DSS erfüllen?
Nimmt Ihr Shop Kartenzahlung an, richtet sich PCI DSS auch an Sie: Der PCI Security Standards Council schreibt, das Regelwerk sei für alle gedacht, die an der Kartenzahlung beteiligt sind, ausdrücklich auch für Händler. Der Aufwand hängt davon ab, wer die Kartennummer entgegennimmt. Ob und wie Sie das nachweisen, erfahren Sie bei Ihrem Acquirer, der Bank oder dem Dienstleister, der die Kartenzahlungen für Sie abrechnet.
Den Nachweis legt die Kartenorganisation fest, er geht meist an den Acquirer
Ob ein kleiner Händler seine Einhaltung nachweisen muss, legt laut Council jede Kartenorganisation selbst fest. Wer den Nachweis annimmt, ist typischerweise Ihr Acquirer oder eine Kartenorganisation; dort klären Sie auch, ob Sie einen Fragebogen abgeben dürfen oder müssen. Stripe schreibt für seine Kunden: Wer Zahlungen annimmt, bescheinigt die Konformität jährlich. Stripe stuft nach Menge ein: Unter 20.000 Online-Transaktionen im Jahr gilt Level 4, von 20.000 bis 1 Million Level 3. Beide füllen laut Stripe wahrscheinlich einen Fragebogen zur Selbstbewertung aus.
Welcher Fragebogen passt, hängt vom Zahlungsweg ab
Der Fragebogen heißt Self-Assessment Questionnaire, kurz SAQ. Der Council hat mehrere Fassungen für verschiedene Abläufe herausgegeben. Stripe ordnet seine eigenen Produkte so zu: Bezahlseite oder eingebettetes Formular des Anbieters führen zu SAQ A, selbst gehostete Formulare zu SAQ A-EP, die direkte Übergabe der Kartennummer über die Schnittstelle zu SAQ D. Bei einem anderen Anbieter gilt dessen Angabe. Schreiben Sie sich deshalb auf, wie die Karte bei Ihnen heute ihren Weg nimmt, bevor Sie fragen.
Seit 2025 kommt es bei eingebetteten Formularen auf den Schutz vor Skripten an
Im Januar 2025 hat der Council Änderungen an SAQ A bekannt gegeben. Die Anforderungen 6.4.3 und 11.6.1 zum Schutz der Zahlungsseite fielen dort weg. Dafür bestätigt der Händler nun, dass seine Website nicht anfällig für Angriffe durch Skripte ist, die sein E-Commerce-System beeinträchtigen können. Das betrifft Seiten, die das Formular des Anbieters einbetten. Für eine Weiterleitung und für einen Zahlungslink per Mail gilt es nicht. Bestätigen lässt es sich über eigene Schutzmaßnahmen gegen fremde Skripte oder über die Bestätigung Ihres Dienstleisters, wenn Sie seine Anleitung befolgen.
Ein Teil der Sorgfalt bleibt bei Ihnen
Auch bei einer ausgelagerten Zahlung sieht der Council die Kartendaten gefährdet, wenn die Website des Händlers Schwächen hat. Für diesen Fall nennt er Grundregeln: starke Passwörter, nur aufbewahren, was Sie brauchen, Dienstleister um Hilfe bitten und den Zugriff im eigenen Haus begrenzen. Stripe nennt die Konformität eine gemeinsame Verantwortung von Anbieter und Händler. Ein zertifizierter Anbieter nimmt Ihnen also viel ab, und die Website bleibt Ihre Aufgabe.
So gehen Sie es an
- Fragen Sie Ihren Zahlungsanbieter oder Acquirer schriftlich, ob Sie einen Nachweis abgeben müssen und welchen Fragebogen er erwartet.
- Lassen Sie Ihre Agentur aufschreiben, wie die Kartennummer heute zum Anbieter kommt: Weiterleitung, eingebettetes Formular oder eigene Felder.
- Haben Sie ein eingebettetes Formular, fragen Sie den Anbieter, ob er die Bedingung zu Skripten bestätigt und welche Anleitung dafür gilt.
- Legen Sie den Nachweis mit Datum ab und notieren Sie die Erneuerung im Kalender, wenn Ihr Anbieter sie jährlich verlangt.
Mehr zu diesem Thema
Weiter in der Cybersicherheit
- Was kann ein Angriff auf meiner Website anrichten?Kartendaten aus dem Bestellformular, Besucher auf Betrugsseiten, 20 Millionen Pfund Bußgeld: echte Fälle mit Quelle und dem Merkmal, das den Weg zeigt.
- Verändert KI die Angriffe auf meine Website?Was Behörden und Lageberichte 2025 und 2026 über KI bei Angriffen messen, was Umfragen nur vermuten, und was sich an der Abwehr einer kleinen Website ändert.
- Wie groß darf ein Cookie sein?Browser sollen ein Cookie bis 4096 Byte annehmen. Ein größeres verwerfen sie, oder der Server lehnt die Anfrage ab. Die Prüfung misst jedes gesetzte Cookie.
- Welche Adresse erfahren fremde Dienste, wenn Ihre Formularseite sie lädt?Mit der Referrer-Policy legt Ihre Website fest, welchen Teil ihrer Adresse andere Server erfahren. Auf Formularseiten gehört die volle Adresse nicht zu Dritten.
Dieser Prüfpunkt gehört zur Cybersicherheit, Unterthema Sitzung, Cookies und Zahlungsdaten. Gemessen wird er im Prüfbereich Aktualität. Was die Prüfung insgesamt leistet, zeigt die Leistungsseite; wie ein Ergebnis zustande kommt, erklärt das Prüfverfahren.
