Das Payment Card Industry Security Standards Council hat für den e-Commerce einen Sicherheits- und Compliancestandard definiert, der weltweit für alle am Bezahlprozess beteiligten Parteien gilt. Er trägt zu mehr Sicherheit bei Zahlungen mit Kreditkarten bei und stärkt zugleich das Kundenvertrauen.
PCI Standard V3.0
Der Payment Card Industry Data Security Standard, abgekürzt mit PCI bzw. PCI-DSS, ist ein Regelwerk im Zahlungsverkehr, das sich auf die Abwicklung von Kreditkartentransaktionen bezieht und von allen wichtigen Kreditkartenorganisationen unterstützt wird. Die Regelungen bestehen aus einer Liste von zwölf Anforderungen an die Rechnernetze der Unternehmen:
- Installation und Pflege einer Firewall zum Schutz der Daten
- Ändern von Kennwörtern und anderen Sicherheitseinstellungen nach der Werksauslieferung
- Schutz der gespeicherten Daten von Kreditkarteninhabern
- Verschlüsselte Übertragung sensibler Daten von Kreditkarteninhabern in öffentlichen Rechnernetzen
- Einsatz und regelmäßiges Update von Virenschutzprogrammen
- Entwicklung und Pflege sicherer Systeme und Anwendungen
- Einschränken von Datenzugriffen auf das Notwendige
- Zuteilen einer eindeutigen Benutzerkennung für jede Person mit Rechnerzugang
- Beschränkung des physikalischen Zugriffs auf Daten von Kreditkarteninhabern
- Protokollieren und Prüfen aller Zugriffe auf Daten von Kreditkarteninhabern
- Regelmäßige Prüfungen aller Sicherheitssysteme und -prozesse
- Einführen und Einhalten von Richtlinien in Bezug auf Informationssicherheit
Handelsunternehmen und Dienstleister, die Kreditkarten-Transaktionen speichern, übermitteln, oder abwickeln, müssen diese Regelungen erfüllen. Halten sie sich nicht daran, können Strafgebühren verhängt, Einschränkungen ausgesprochen, oder ihnen letztlich die Akzeptanz von Kreditkarten untersagt werden.
Der Payment Card Industry Data Security Standard (PCI) basiert auf den nachfolgenden Programmen:
- Visa-Account-Information-Security-Programm (AIS und CISP)
- MasterCard-Site-Data-Protection-Programm (SDP)
- American Express Security Operating Policy (DSOP)
- Discover Information Security and Compliance (DISC) (Kreditkarte, die fast ausschließlich in den USA ausgegeben wird)
- JCB (Japan Credit Bureau) Sicherheitsregeln (Kreditkarte, die fast ausschließlich in Japan ausgegeben wird)
Die aktuell gültige Version V3.0 des PCI-DSS ist vom Januar 2015 und steht bei der PCI Security Standards Council, LLC (Wakefield, MA USA) u.a. auch in Deutscher Sprache unter www.pcisecuritystandards.org kostenlos zum download bereit.
PCI – Studie 2015
Die Verizon Communications Inc. (Verizon) ist ein amerikanischer Telekommunikationskonzern, welcher im Zeitraum von 2012 bis 2014 als erstes Unternehmen weltweit bei den Fortune-500-Unternehmen (die 500 umsatzstärksten Unternehmen der Welt) sowie bei großen multinationalen Konzernen in mehr als 30 Ländern eine Studie zum Thema PCI und Compliance durchgeführt hat.
Nachfolgend werden nun einige Keynotes der Studie vorgestellt, um das durch globale Cyberangriffe immer wichtiger werdende Thema IT-Sicherheit und Compliance zu betrachten.
Compliance und PCI – Umsetzung im Unternehmen
Fast 80 Prozent der Unternehmen fallen durch die Interimsbewertung ihrer PCI-Compliance und sind damit anfällig für Cyberangriffe.
Mittlerweile werden über zwei Drittel der Einkäufe per Zahlungskarte beglichen. Der Umsatz mit Kreditkarten wird 2015 schätzungsweise 20 Billionen US-Dollar überschreiten. Sicherheit ist für Organisationen, die Transaktionen mit Kreditkarten vornehmen, daher so wichtig wie nie zuvor.
Basis: 9.700 Unternehmen weltweit aus allen Branchen
Quelle: Verizon 2015 PCI Compliance Report
Grafik: WIRTSCHAFTScampus
Betrachtet man hier den Anstieg von Vorfällen im Bereich der Datenkriminalität und Cyberangriffen in Bezug auf die letzten Jahre, so zeigt sich deutlich der Anstieg von 66 % dieser Delikte zwischen 2010 und 2014.
Compliance und PCI – Warum?
Verbraucher erwarten heute von einem Unternehmen eine sowohl nach innen ins Unternehmen als auch nach außen zur Transparenz und Imagegestaltung gegenüber Kunden kommunizierte Compliance. Scheitert diese Kundenbindung, so wird es jetzt und in der Zukunft immer wichtiger und zugleich schwieriger, den Kunden an das Unternehmen zu binden, um erfolgreich weiter auf dem Markt zu bestehen.
Mit der enormen Zunahme der Schnelligkeit von weltweiten Nachrichten und dem Transfer von globalen Informationen im Hinblick auf Kartenmissbrauch und Cyberattacken beschäftigt sich der Verbraucher heute viel schneller mit der Thematik Datendiebstahl und Datenmissbrauch als noch vor einigen Jahren.
Quelle: „The global cost of payment fraud“, BI Intelligence, 2014
Grafik: WIRTSCHAFTScampus
Durch die Reduzierung der Wahrscheinlichkeit eines Datendiebstahls, können Unternehmen ihre Marke besser kommunizieren, das Vertrauen der Verbraucher absichern und mögliche hohe Gebühren durch aufgedeckten Datenmissbrauch vermeiden. Tatsächlich neigen 69 % aller Verbraucher dazu, mit Unternehmen, bei denen eine Verletzung der Datensicherheit vorliegt, weniger häufig Handel zu treiben.
Compliance und Mobile Payment
Mobile Payment ist weltweit auf dem Vormarsch. Nur die deutschen Bundesbürger bleiben ihrem liebsten Zahlungsmittel treu: dem Bargeld. Wie die Berechnungen der Deutschen Bundesbank im Jahr 2011 ergaben, nutzten die Bundesbürger bei mehr als 80 % aller Zahlungstransaktionen Bargeld. Dies war vor allem dann der Fall, wenn nur kleine Beträge bezahlt werden sollen. Wertmäßig hingegen lag das genutzte Bargeld nur auf 53 % und damit um einiges niedriger.
In anderen Ländern, wie Schweden und Finnland, verliert das Bargeld im Zahlungsverkehr zunehmend an Bedeutung. Das mobile Bezahlen ist dort längst im Alltag angekommen. In einigen schwedischen Bankfilialen gibt es zum Beispiel mittlerweile nicht einmal mehr Bargeld.
Aktuelle Zahlen liegen leider momentan nur aus den USA vor, da die deutsche Bundesbank erst Mitte 2015 aktuelle Zahlen veröffentlichen wird, doch setzt man diese als Trend an, so zeigt sich auch hier eine deutliche Verschiebung des Verbraucherverhaltens, da 2011 in der Bundesbankstudie Zahlungsinstrumentarien, wie PayPal, ApplePay oder auch die verstärkte Verbreitung des Onlinebankverkehrs, durch die aggressive Werbung der Kreditinstitute kaum oder gar nicht berücksichtigt wurden.
Auch in diesem Bereich und in dem ausgerufenen „War of Cash“ ist es für jedes Unternehmen wichtig, seine Sicherungsstandards im Hinblick auf das Segment Compliance und Kundensicherheit deutlich in den Vordergrund zu stellen. Für die heranwachsende Zielgruppe und die gleichzeitige Selbstverständlichkeit der Internetnutzung, ob nun mit Tablets oder Smartphones, kündigt sich hier eine, vor allem schnelle Veränderung der Zahlungsmethoden durch den Verbraucher an (2011 – Nutzung Smartphone in Deutschland 18 % gegenüber 2014 = 54 % lt. Studie Bundesverband Digitaler Wirtschaft in 2014).
* elektronische Zahlungsmethoden, z.B. PayPal
Quelle: The Nilson Report, Mai 2014
Grafik: WIRTSCHAFTScampus
Compliance und PCI – Perspektiven
Der Bericht lässt einen weiteren, besorgniserregenden Trend erkennen: Der Umfang und das Ausmaß der Datenverletzungen der vergangenen zwölf Monate ist der Beweis, dass aktuelle Sicherheits-Techniken die Angreifer nicht stoppen und in vielen Fällen nicht einmal behindern. PCI-DSS-Compliance muss als Bestandteil einer umfassenden Informationssicherheits- und Risikomanagement-Strategie gesehen werden. Eine PCI-DSS-Prüfung kann eklatante Sicherheitslücken aufdecken, die es zu schließen gilt.
Weitere Thematiken und ausführliche Informationen sowie die komplette Studie finden Sie auf der Webseite von Verizon unter www.verizonenterprise.com.
Quellenangaben:
Veröffentlichung: PCI Compliance Report 2015 von Verizon, März 2015
Veröffentlichung: „Faszination Mobile Verbreitung, Nutzungsmuster und Trends“, Bundesverband Digitale Wirtschaft, 2014
Veröffentlichung: All about Security, März 2015
Veröffentlichung: The Nilson Report, Mai 2014
Veröffentlichung: „The global cost of payment fraud“, BI Intelligence, 2014