Wenn dein Formular Zahlungsdaten erfasst, unterliegst du strengen Sicherheitsregeln, ob du es weißt oder nicht. Der Payment Card Industry Data Security Standard (PCI DSS) legt Anforderungen für alle fest, die Zahlungskartendaten annehmen, speichern oder verarbeiten. Verstöße gegen PCI DSS ziehen Strafen von Tausenden Dollar pro Tag nach sich, dazu die Haftung, falls Kartendaten gestohlen werden.
Die Grundregel von PCI DSS ist einfach. Speichere nie selbst Rohdaten von Zahlungskarten. Sensible Daten in Formularen zu vermeiden und geeignete Zahlungsdienstleister zu nutzen, schützt deine Marke und deine Kunden und hält dich konform.
Das lernst du hier: Was PCI DSS ist und wann er gilt, welche Zahlungsdaten du nie erfassen darfst, wie du Zahlungsformulare sicher aufbaust, wie du Zahlungsdienstleister richtig nutzt und was du tust, wenn du schon sensible Daten erfasst hast.
Was ist PCI DSS?
PCI DSS (Payment Card Industry Data Security Standard) ist ein Satz von Sicherheitsstandards, die die großen Kreditkartenunternehmen geschaffen haben. Er gilt für jedes Unternehmen, das Kreditkartendaten annimmt, speichert, überträgt oder verarbeitet.
PCI DSS gilt für dich, wenn:
- Du einen Onlineshop betreibst, der Kreditkarten akzeptiert
- Du ein Formular hast, das Zahlungsdaten erfasst
- Du E-Mail-Rechnungen mit Zahlungsanweisungen nutzt
- Du Zahlungsdaten von Kunden für wiederkehrende Abrechnung speicherst
- Ein Mitarbeiter Zugriff auf Zahlungskartendaten hat
Du denkst vielleicht, PCI DSS gelte nicht für dich, wenn du einen Zahlungsdienstleister nutzt. Aber du bist dafür verantwortlich, wie du die Daten erfasst, bevor sie beim Dienstleister ankommen.
PCI-DSS-Stufen und wer konform sein muss
Die Anforderungen an die PCI-DSS-Compliance richten sich nach dem Volumen der Transaktionen, die du verarbeitest:
Stufe 1: Unternehmen mit mehr als 6 Millionen Transaktionen pro Jahr. Müssen jährlich von einem externen Prüfer auditiert werden. Strengste Anforderungen.
Stufe 2: Unternehmen mit 1 bis 6 Millionen Transaktionen pro Jahr. Müssen eine detaillierte Selbstbewertung durchführen.
Stufe 3: Unternehmen mit 20.000 bis 1 Million Transaktionen pro Jahr. Müssen eine Selbstbewertung durchführen.
Stufe 4: Unternehmen mit weniger als 20.000 Transaktionen pro Jahr. Einfachste Anforderungen. Die meisten kleinen Unternehmen fallen hierunter.
Selbst Stufe 4 (kleine Unternehmen) hat strenge Anforderungen. Du kannst Zahlungskartendaten nicht einfach auf beliebige Weise annehmen.
Die Hauptregel: nie Rohdaten von Karten speichern
Die wichtigste PCI-DSS-Regel: Erfasse oder speichere keine vollständigen Kreditkartennummern, Ablaufdaten oder Sicherheitscodes (CVV) in deiner eigenen Datenbank oder auf deinen Servern.
Erfasse NIEMALS:
- Vollständige Kreditkartennummern (PAN: Primary Account Number)
- Ablaufdaten
- Sicherheitscodes (CVV/CVC)
Speichere diese NIEMALS, auch nicht verschlüsselt.
Wenn dein Formular diese Daten erfasst und du sie selbst speicherst, verstößt du gegen PCI DSS. Die Strafen sind hart:
- Bußgelder von 5.000 bis 100.000 Dollar pro Monat der Nichtkonformität
- Haftung, wenn Kartendaten gestohlen und betrügerisch verwendet werden
- Haftung für Betrugsschäden und die Kosten der Kundenbenachrichtigung
- Kreditkartenabwickler können dir die Möglichkeit entziehen, Zahlungen anzunehmen
Was du erfassen und speichern DARFST
Manche zahlungsbezogenen Daten sind unbedenklich:
- Name und Adresse für die Rechnung: Zur Verifizierung und für den Versand
- E-Mail-Adresse: Für Beleg und Kommunikation
- Die letzten 4 Ziffern der Kartennummer: Als Referenz (z. B. "Zahlungsmethode mit Endung 4242"), aber nur, wenn du nicht die vollständige Nummer erfasst
- Zahlungsbetrag und Datum: Für die Dokumentation
- Transaktions-ID des Zahlungsdienstleisters: Zum Abgleich und zur Abstimmung
Der Kern: Du darfst Kundeninformationen, Bestellinformationen und Referenznummern speichern. Du darfst die eigentlichen Zahlungskartendaten nicht speichern.
So gehst du sicher mit Zahlungsdaten um
Erstelle nie ein eigenes Zahlungsformular
Baue kein Formular, das Kreditkartendaten direkt erfasst. In dem Moment, in dem ein Zahlungsformular Kartendaten an deinen Server sendet, bist du für die PCI-DSS-Compliance verantwortlich.
Nutze einen Zahlungsdienstleister mit gehosteten Zahlungsseiten
Zahlungsdienstleister bieten gehostete Zahlungsseiten an. Das sind Formulare, die auf den sicheren Servern des Dienstleisters liegen, nicht auf deinen. Wenn ein Kunde das Zahlungsformular ausfüllt, gehen die Kartendaten direkt an den Dienstleister. Dein Server sieht die vollständige Kartennummer nie.
Beispielablauf:
- Der Kunde füllt dein Bestellformular aus (Name, E-Mail, Lieferadresse)
- Der Kunde klickt auf "Bezahlen"
- Der Browser leitet zum sicheren Formular des Zahlungsdienstleisters weiter
- Der Kunde gibt die Kartendaten im Formular des Dienstleisters ein
- Der Dienstleister verarbeitet die Zahlung und sendet dir eine Benachrichtigung
- Dein Formular erhält nur eine Transaktions-ID, nicht die Kartendaten
Du hast nie mit den Kartendaten zu tun, daher liegt die PCI-DSS-Compliance beim Dienstleister.
Nutze ein Iframe für die Zahlung
Manche Dienstleister bieten ein Iframe, das du in dein Formular einbetten kannst. Das Iframe liegt tatsächlich auf den sicheren Servern des Dienstleisters, erscheint aber als Teil deiner Seite. Der Kunde sieht ein einheitliches Formular, aber der Zahlungsbereich liegt tatsächlich auf den Servern des Dienstleisters.
Nutze eine Zahlungs-API mit Tokenisierung
Fortgeschrittene Zahlungsdienstleister erlauben es dir, Zahlungsdaten in deinem Formular mit ihrer JavaScript-Bibliothek zu erfassen. Die Bibliothek verschlüsselt die Daten im Browser des Kunden, bevor sie deinen Server erreichen. Sie sendet dir ein Token (eine sichere Referenz) statt der eigentlichen Kartendaten. Du speicherst das Token, nicht die Karte.
Das erfordert eine sorgfältige Umsetzung, damit du keine unverschlüsselten Kartendaten verarbeitest. Nutze es nur, wenn du den Ablauf vollständig verstehst.
Was du NICHT tun solltest
Sende Zahlungsdaten nicht per E-Mail. Bitte Kunden nicht, dir Kreditkartennummern per E-Mail zu schicken. E-Mail ist nicht verschlüsselt und nicht sicher.
Frage nicht nach dem CVV, wenn du die Karte speicherst. Wenn du eine Karte für wiederkehrende Zahlungen speicherst, solltest du den CVV weder abfragen noch speichern. Der CVV wird nur im Moment der Zahlung gebraucht.
Erfasse keine Kartendaten in einem normalen Formular und schicke sie dir per E-Mail. Das sendet Zahlungsdaten über unverschlüsselte E-Mail, was ein PCI-DSS-Verstoß ist.
Speichere Kartendaten nicht ohne Verschlüsselung in einer Tabelle, Textdatei oder Datenbank. Wenn du bereits Kartendaten erfasst hast (was du nicht solltest), musst du sie sofort verschlüsseln oder löschen.
Wenn du bereits sensible Zahlungsdaten erfasst hast
Wenn ein Formular von dir vollständige Kreditkartennummern oder CVVs erfasst hat, höre sofort auf damit:
- Beende die Erfassung der Daten. Entferne die Kartenfelder sofort aus dem Formular.
- Sichere, was du hast. Wenn du Kartendaten gespeichert hast, verschlüssele oder lösche sie.
- Wechsle zu einem Zahlungsdienstleister. Richte eine konforme Zahlungsmethode mit einem Drittanbieter ein.
- Benachrichtige betroffene Kunden. Wenn es ein Datenleck gab oder die Kartendaten von Kunden noch gespeichert sind, informiere sie.
- Hole rechtlichen Rat ein. Wenn du Kartendaten unsicher erfasst hast, drohen dir womöglich regulatorische Folgen. Lass dich rechtlich beraten.
Tokenisierung: der sichere Weg, Zahlungsmethoden zu speichern
Tokenisierung ersetzt sensible Zahlungsdaten durch eine unkritische Referenznummer.
Ohne Tokenisierung: Du speicherst "4532-1234-5678-9010" in deiner Datenbank.
Mit Tokenisierung: Der Zahlungsdienstleister speichert "4532-1234-5678-9010" und gibt dir ein Token wie "tok_abc123def456". Du speicherst das Token.
Wenn du die Karte erneut belasten musst (bei wiederkehrender Abrechnung), sendest du das Token an den Dienstleister. Der Dienstleister nutzt das Token, um die ursprünglichen Kartendaten abzurufen und die Belastung zu verarbeiten. Du hast nie mit der Karte selbst zu tun.
Tokens lassen sich sicher speichern. Man kann mit ihnen keine Zahlungen ohne Wissen des Dienstleisters verarbeiten, und sie verraten die Kartennummer nicht.
PCI-DSS-Anforderungen jenseits von Zahlungsformularen
Selbst wenn du einen Zahlungsdienstleister richtig nutzt, hat PCI DSS weitere Anforderungen:
- Sichere deine Server. Aktualisiere Software, nutze Firewalls, beschränke den Zugriff.
- Nutze starke Passwörter. Für dein Konto beim Zahlungsdienstleister und alle Admin-Konten.
- Verschlüssele Daten bei der Übertragung und im Ruhezustand. Nutze HTTPS, verschlüssele Datenbanken.
- Überwache und prüfe. Protokolliere Zugriffe auf zahlungsrelevante Systeme, werte die Protokolle regelmäßig aus.
- Schule Mitarbeiter. Jeder mit Zugriff auf Zahlungsdaten braucht eine Sicherheitsschulung.
- Halte Standards zur Netzwerksicherheit ein. PCI DSS umfasst 12 Hauptanforderungen zu Zugriffskontrolle, Überwachung und Reaktion auf Vorfälle.
Wenn du Zahlungen abwickelst, mach dich mit allen 12 PCI-DSS-Anforderungen vertraut. Viele gehen über die reine Formularsicherheit hinaus.
Was WEMASY für die Zahlungssicherheit tut
Die Onlineshop-Formulare von WEMASY erfassen und speichern keine Rohdaten von Zahlungen. Wenn du in WEMASY ein Zahlungsformular einrichtest, bindet es PCI-konforme Zahlungsdienstleister ein. Das Zahlungsformular leitet zum sicheren System des Dienstleisters weiter oder bettet ein sicheres Iframe ein, das der Dienstleister bereitstellt. Du hast nie mit Kartendaten zu tun, und WEMASY speichert sie nie. Dein Unternehmen bleibt automatisch PCI-DSS-konform.
Mehr dazu, wie WEMASY Zahlungen sicher abwickelt, findest du in den Einstellungen deines Kontos oder auf der Preisseite.