IT Glossary
PCI DSS schützt Zahlungskartendaten bei allen, die sie verarbeiten. Erfahren Sie, was Version 4.0 beim Zugriff konkret verlangt und seit wann sie gilt.
August 7, 2026
PCI DSS (Payment Card Industry Data Security Standard) ist der Sicherheitsstandard, der für jede Organisation gilt, die Zahlungskartendaten speichert, verarbeitet oder übermittelt. Er wird vom PCI Security Standards Council gepflegt und von den Kartennetzwerken sowie den Acquiring-Banken vertraglich durchgesetzt, nicht durch Gesetz. Die geltende Fassung ist 4.0, die am 31. März 2024 die Version 3.2.1 abgelöst hat.
Frühere Fassungen überliessen die Überprüfungsfrequenz der Auslegung. Version 4.0 nennt sie: Benutzerkonten und zugehörige Zugriffsrechte werden mindestens alle sechs Monate überprüft, und die Überprüfung muss bestätigen, dass der Zugriff zur ausgeübten Funktion weiterhin passt. Diese Anforderung wurde im März 2025 verbindlich. Für Unternehmen, die bereits quartalsweise überprüfen, ändert sich nichts. Für solche, die einmal jährlich überprüfen, ist es eine Lücke, die bei der nächsten Bewertung auftaucht.
Ein europäisches Handelsunternehmen hat seine Karteninhaberdaten-Umgebung auf sechs Systeme eingegrenzt und überprüft deren Zugriffe einmal jährlich. Die Bewertung nach Version 4.0 verlangt zwei Überprüfungen in den letzten zwölf Monaten, Konto für Konto, mit dem Beleg, dass unangemessene Zugriffe entfernt wurden. Den zweiten Zyklus zu ergänzen ist einfach. Den Nachweis Konto für Konto zu erzeugen, über sechs Systeme und deren Administrationsrollen, ist der Punkt, an dem das manuelle Vorgehen nicht mehr trägt. Corma führt diese Kampagnen aus und bewahrt den Entzugsnachweis an jeder Zeile auf.
Jeder Händler, Dienstleister oder Verarbeiter, der Karteninhaberdaten speichert, verarbeitet oder übermittelt, auf einer Prüfstufe, die sich nach dem jährlichen Transaktionsvolumen richtet.
Nein. Es ist ein vertraglicher Standard, den die Kartennetzwerke über die Acquiring-Banken durchsetzen. Verstösse führen zu Vertragsstrafen, höheren Gebühren oder zum Verlust der Kartenakzeptanz.
Mindestens alle sechs Monate, für alle Benutzerkonten und zugehörigen Zugriffsrechte, nach Anforderung 7.2.4.
Ja, über Netzwerksegmentierung und dadurch, gar keine Karteninhaberdaten zu speichern. Den Umfang zu verkleinern ist meist die günstigste Compliance-Entscheidung, die ein Unternehmen treffen kann.
