PCI DSS (Datensicherheitsstandard der Zahlungskartenbranche)

PCI DSS umfasst 12 Hauptanforderungen mit jeweils detaillierten Kontrollen und Prüfverfahren. Sie dienen dem Schutz von Zahlungskontodaten und sollen weltweit einheitliche Sicherheitsmaßnahmen fördern 1. Der Standard richtet sich an alle Stellen, die Karteninhaberdaten oder sensible Authentifizierungsdaten speichern, verarbeiten oder übermitteln oder die die Sicherheit dieser Daten beeinflussen können 3. Ein Reisebüro, das Kartendaten entgegennimmt, sei es auf Papier, telefonisch, per E-Mail oder über ein Webformular, gehört zu dieser Gruppe. Sobald ein Unternehmen die Primary Account Number (PAN) speichert, verarbeitet oder übermittelt, besteht nach dem Standard eine Karteninhaberdatenumgebung, für die die Anforderungen gelten 5.

Ob ein Reisebüro die Einhaltung formal nachweisen muss, legt der Standard selbst nicht fest. Das entscheiden die Organisationen, die Compliance-Programme betreiben, etwa Zahlungsmarken und Acquirer. Das Reisebüro sollte daher bei seinem Acquirer erfragen, was erwartet wird 3. Die Auslagerung von Zahlungen entbindet nicht von der Verantwortung: Das Reisebüro muss weiterhin sicherstellen, dass der Dritte die Daten schützt, und die Anforderungen an die Steuerung von Dienstleistern finden Anwendung 35.

In der Praxis sollte ein Reisebüro Folgendes beachten:

• Gespeicherte Kontodaten auf ein Minimum beschränken und sensible Authentifizierungsdaten wie den Kartenprüfcode nach der Autorisierung niemals aufbewahren, auch nicht verschlüsselt 6.
• Eine gespeicherte PAN unlesbar machen 6.
• Ungeschützte PANs nicht per E-Mail oder Instant Messaging versenden 8.
• Papierunterlagen mit Kartendaten sichern oder ordnungsgemäß vernichten 5.
• Einen Plan zur Reaktion auf Sicherheitsvorfälle bereithalten, der für alle Stellen gilt 5.
• Gehen Kartendaten über einen nicht vorgesehenen Kanal ein, entweder diesen Kanal in den Geltungsbereich aufnehmen und absichern oder die Daten sicher löschen und verhindern, dass der Kanal erneut genutzt wird 4.

Widerspricht das lokale Recht dem Standard, hat das Gesetz Vorrang 2.