Was ist PCI DSS?

Auch bekannt als: Payment Card Industry Data Security Standard, PCI-Standard, PCI DSS 4.0.1, Kartendaten-Sicherheitsstandard

• PCI DSS v4.0 wurde am 31. März 2022 veröffentlicht; v3.2.1 wurde am 31. März 2024 zurückgezogen
• Die aktuelle Fassung v4.0.1 erschien am 11. Juni 2024 als begrenzte Revision ohne neue oder gestrichene Anforderungen; v4.0 wurde zum 31. Dezember 2024 zurückgezogen
• Die zunächst als Best Practice geführten Neuanforderungen der Version 4.x sind seit dem 31. März 2025 verbindlich
• Über Umfang und Art des Nachweises entscheiden die Kartenmarken (American Express, Discover, JCB, Mastercard, Visa) mit eigenen Compliance-Programmen, nicht das PCI SSC
• 14 der von SoftPOS24 erfassten Anbieter weisen lediglich ein allgemeines PCI DSS aus, aber keine MPoC-Listung (Stand 15.08.2026)

Was PCI DSS regelt

Der Anwendungsbereich ist bewusst weit gefasst: Betroffen sind laut PCI SSC alle Stellen, die Karteninhaberdaten oder sensible Authentifizierungsdaten speichern, verarbeiten oder übertragen — also Händler, Acquirer, Issuer, Prozessoren und Dienstleister gleichermaßen. Die Anforderungen sind in zwölf Bereiche gegliedert, die von Netzwerksicherheitskontrollen über Verschlüsselung gespeicherter und übertragener Daten, Schutz vor Schadsoftware, Zugriffsbeschränkung nach dem Prinzip der geringsten Rechte und Authentifizierung bis zu Protokollierung, regelmäßigen Tests und einer dokumentierten Sicherheitsleitlinie reichen. Version 4.0 hat den Charakter des Standards spürbar verändert: Statt starrer Vorgaben erlaubt sie in vielen Punkten einen risikobasierten Ansatz und einen individuellen Weg zur Zielerreichung.

Welche Version wann galt

Die Zeitachse ist für Verträge und Ausschreibungen wichtig. Version 4.0 wurde am 31. März 2022 veröffentlicht, die Vorgängerversion 3.2.1 blieb bis zum 31. März 2024 aktiv. Am 11. Juni 2024 folgte die begrenzte Revision 4.0.1 mit Korrekturen und Klarstellungen, ausdrücklich ohne neue oder gestrichene Anforderungen. Version 4.0 wurde daraufhin zum 31. Dezember 2024 zurückgezogen, sodass 4.0.1 seither die einzige aktive Fassung ist. Der wichtigste Stichtag betrifft die zunächst als Best Practice geführten Neuanforderungen: Sie sind seit dem 31. März 2025 verbindlich. Ein Zertifikat, das sich auf 3.2.1 oder auf eine Bewertung vor diesem Datum stützt, ist deshalb nur eingeschränkt aussagekräftig.

Wie der Nachweis geführt wird

Wie ein Unternehmen die Einhaltung belegt, hängt vom Volumen und vom Umfeld ab. Kleinere Händler nutzen einen Self-Assessment Questionnaire, den das PCI SSC in mehreren auf verschiedene Umgebungen zugeschnittenen Varianten mit eigenen Zulässigkeitskriterien bereitstellt. Größere Umgebungen werden von einem Qualified Security Assessor geprüft, der einen Report on Compliance erstellt; Schwachstellenscans übernimmt ein Approved Scanning Vendor. Ergebnis ist in beiden Fällen eine unterzeichnete Attestation of Compliance. Entscheidend ist die Zuständigkeitsfrage: Nicht das PCI SSC legt fest, wer welchen Nachweis führen muss, sondern die Kartenmarken American Express, Discover, JCB, Mastercard und Visa mit ihren eigenen Compliance-Programmen.

Warum PCI DSS für SoftPOS nicht ausreicht

PCI DSS beschreibt, wie Kartendaten in Systemen und Netzwerken geschützt werden. Es beschreibt nicht, wie eine Zahlungsanwendung auf einem ungeschützten Consumer-Smartphone kontaktlos liest und eine PIN entgegennimmt. Genau dafür gibt es MPoC. Beide Standards greifen ineinander: Bei einer MPoC-Lösung muss das Zahlungs-Backend zusätzlich PCI DSS erfüllen. Für Händler ist das ein Prüfkriterium mit klarem Ergebnis. In der SoftPOS24-Anbieterdatenbank weisen 14 Anbieter lediglich ein allgemeines PCI DSS aus, während nur 5 eine eigenständige MPoC-Listung vorlegen können — die Formulierung „PCI-konform" in einem Angebot ist also für sich genommen wenig wert.

Abgrenzung — womit PCI DSS verwechselt wird

PCI DSS ist kein Gesetz, sondern ein privatrechtlicher Branchenstandard, den die Kartensysteme über Verträge durchsetzen. Er wird häufig mit der DSGVO verwechselt: Die DSGVO schützt personenbezogene Daten allgemein und wird von Behörden durchgesetzt, PCI DSS schützt speziell Karteninhaberdaten und wird von Kartenmarken und Acquirern durchgesetzt. Und ein „PCI DSS Level 1"-Hinweis sagt nichts über die Sicherheit der App auf dem Händlergerät.

Verwandte Begriffe

Häufige Fragen

Muss ich als kleiner Händler PCI DSS erfüllen?

Grundsätzlich ja, sobald Sie Kartenzahlungen annehmen — der Umfang des Nachweises hängt aber stark davon ab, ob und wie Sie Kartendaten berühren. Wer ausschließlich über einen Dienstleister kassiert und selbst keine Kartendaten speichert, kommt in der Regel mit einem einfachen Self-Assessment Questionnaire aus. Welche Variante gilt, legt Ihr Acquirer beziehungsweise die jeweilige Kartenmarke fest.

Reicht die PCI-DSS-Zertifizierung meines SoftPOS-Anbieters?

Für die Backend-Verarbeitung ja, für die Kartenannahme auf Ihrem Smartphone nein. Dafür ist der Standard MPoC zuständig. Lassen Sie sich daher beides nennen: das PCI-DSS-Zertifikat des Anbieters und die MPoC-Listung der eingesetzten Lösung samt Versionsnummer. In der SoftPOS24-Anbieterdatenbank weisen 14 Anbieter nur den ersten Teil aus.

Welche Version von PCI DSS gilt aktuell?

Version 4.0.1, veröffentlicht am 11. Juni 2024. Sie ersetzte v4.0, die zum 31. Dezember 2024 zurückgezogen wurde. Die früher als Best Practice geführten Neuanforderungen der Version 4.x sind seit dem 31. März 2025 verbindlich. Nachweise, die sich auf v3.2.1 stützen, sind seit dem 31. März 2024 nicht mehr aktuell.

Quellen

• PCI SSC — PCI DSS Standardseite
• PCI Perspectives — Just Published: PCI DSS v4.0.1 (11.06.2024)
• PCI SSC — Pressemitteilung zur Veröffentlichung von PCI DSS v4.0 (31.03.2022)

Teil des SoftPOS24 Payment-Glossars mit 71 Fachbegriffen zu SoftPOS, Kartenzahlung und Zahlungsverkehr. Fehler entdeckt? Korrektur melden — wir prüfen jede Meldung.