PCI-Konformität PCI DSS

PCI-Konformität ist das Regelwerk, an das sich Ihr Betrieb halten muss, sobald er Kartenzahlungen annimmt. Die Kartenfirmen haben es gemeinsam geschrieben und PCI DSS genannt, und ein Beamter wird deswegen nie bei Ihnen klingeln. Geprüft wird stattdessen von Ihrer Bank oder Ihrem Zahlungsdienstleister, und deren Strafe ist die einfachste überhaupt, weil sie Ihnen die Kartenzahlung ganz abdrehen können.

Die Regeln sind leichter als diese Drohung, denn die meisten sind gewöhnliche Gewohnheiten und keine technische Arbeit. Niemand sollte eine Kartennummer in ein Heft neben der Kasse schreiben, und fünf Leute sollten sich nie ein Konto teilen. Die Software des Zahlungsgeräts muss aktuell bleiben, das mitgelieferte Passwort gehört geändert, und der Raum mit dem Server sollte abgeschlossen sein. Nichts davon braucht einen Fachmann, und am häufigsten findet Linkysoft das geteilte Konto hinter dem Tresen als offene Stelle.

Die nützlichste Regel ist die, die alle anderen leicht macht, denn ein gutes System speichert die Kartennummer gar nicht erst. Die Nummer geht direkt vom Kunden zum Zahlungsdienst, der einen kurzen Ersatzcode zurückschickt, ein sogenanntes Token. Ihr System speichert dieses Token und kann denselben Kunden im nächsten Monat belasten, ohne die echte Nummer je zu sehen. Für einen Dieb ist das Token wertlos, weil es nur aus Ihrem Konto heraus funktioniert, und genau so behandelt Storek wiederkehrende Kartenzahlungen.

Womit niemand rechnet, ist die Frage, wer zahlt, wenn Kartendaten bei einem Händler gestohlen werden. Die Rechnung ist nie nur das entwendete Geld, denn dazu kommen Strafen der Kartenorganisationen und eine Untersuchung auf Ihre Kosten. Danach müssen Sie jeden betroffenen Kunden anschreiben, und Ihre Gebühren bleiben über Jahre höher. Kleine Geschäfte haben wegen ein paar hundert Karten geschlossen, lesen Sie also Ihren Händlervertrag. Er legt das fast immer auf Sie und nicht auf die Bank.

Die meisten kleinen Betriebe füllen nur einmal im Jahr einen kurzen Fragebogen über sich selbst aus, und er wird viel kürzer, sobald die Kartennummer Ihren Server nie erreicht. Stellen Sie deshalb jedem Anbieter eine klare Frage, nämlich ob sein System die vollständige Kartennummer an irgendeiner Stelle sieht. Lautet die Antwort ja, fragen Sie nach dem Grund, denn ein guter bleibt selten übrig. Wenn Linkysoft eine Webanwendung baut, die Geld einnimmt, wird der Zahlschritt bewusst dem Zahlungsdienst überlassen, damit der Laden den Verkauf behält und nie die Karte.