Ein PCI-Compliance-Dienstleister hilft Unternehmen, die Anforderungen des Payment Card Industry Data Security Standard (PCI DSS) zu erfüllen, indem er einen Teil der Compliance-Arbeit übernimmt. Das kann bedeuten, dass Kartendaten außerhalb der Systeme eines Unternehmens verarbeitet werden, die von PCI DSS geforderten Audits und Scans durchgeführt werden oder Beratung darüber angeboten wird, welche Selbstauskunft zutreffend ist.

Die weltweiten Durchschnittskosten einer Datenschutzverletzung betrugen im Jahr 2025 $4.4 Millionen, und die Reduzierung der Menge an Karteninhaberdaten, die mit den Systemen eines Unternehmens in Berührung kommen, kann dazu beitragen, dieses Risiko zu verringern.

Im Folgenden besprechen wir, was PCI-konforme Dienstleister tun, welche PCI DSS-Pflichten für sie gelten und in welche Kategorien sie fallen.

Das Wichtigste auf einen Blick

• PCI-Compliance-Dienstleister übernehmen einen Teil der PCI DSS-Pflichten eines Unternehmens, einschließlich der Verarbeitung von Kartendaten und der Durchführung der erforderlichen Audits und Scans.

• Zu den verschiedenen PCI-Compliance-Dienstleistern gehören Zahlungsanbieter, sicherheitsorientierte Compliance-Anbieter, Anbieter gehosteter Zahlungsfelder und PCI-Berater.

• Tools wie gehostete Zahlungsfelder und Tokenisierung reduzieren die Anwendbarkeit von PCI DSS auf ein Unternehmen, indem sie Karteninhaberdaten aus dessen Systemen heraushalten.

Was ist ein PCI-Compliance-Dienstleister?

Ein PCI-Compliance-Dienstleister hilft Unternehmen, die Anforderungen des PCI DSS zu erfüllen. Diese Anbieter agieren zwischen einem Unternehmen und den Kartennetzwerken, die den Standard verfasst haben und durchsetzen.

Was sind die PCI DSS-Anforderungen für Dienstleister?

Dienstleister unterliegen strengeren PCI DSS-Compliance-Schwellenwerten als ein typisches Unternehmen, da ihre Systeme in der Regel größere Mengen an Karteninhaberdaten und über einen längeren Zeitraum speichern. Der Standard teilt Anbieter basierend auf dem Transaktionsvolumen in zwei Ebenen ein, und diese Ebene bestimmt, ob eine Selbstauskunft ausreicht oder ob ein unabhängiges Audit erforderlich ist.

Level-1-Anbieter sind in der Regel solche, die mehr als 300.000 Transaktionen pro Jahr abwickeln, obwohl der Schwellenwert je nach Kartenmarke variieren kann. Diese Anbieter müssen einen Report on Compliance (ROC) ausfüllen, der von einem Qualified Security Assessor (QSA) durchgeführt wird. Dies ist ein vollständiges Audit, bei dem der QSA die Kontrollen testet.

Level-2-Anbieter (in der Regel solche mit 300.000 oder weniger jährlichen Transaktionen) können stattdessen normalerweise einen Self-Assessment Questionnaire (SAQ) ausfüllen, obwohl Kartenmarken oft dennoch eine Überprüfung durch einen QSA verlangen, wenn der Dienst hochriskante Umgebungen betrifft. Dies bedeutet typischerweise das Ausfüllen eines SAQ D für Dienstleister, der fast alle über 300 PCI DSS-Kontrollen abdeckt. Ein Anbieter, der Kartendaten tokenisiert oder eine validierte Point-to-Point-Encryption-Lösung verwendet, kann einen großen Teil dieser Kontrollen als nicht anwendbar markieren, während ein Anbieter, der Karteninhaberdaten speichert, fast alle davon anwenden muss.

Zusätzlich zur Bewertung haben Dienstleister dauerhafte Pflichten: vierteljährliche Scans durch einen Approved Scanning Vendor (ASV), jährliche Penetrationstests und kontinuierliche Überwachung der Dateiintegrität und der Zugriffs-Logs. Sie benötigen außerdem einen formellen Plan für die Reaktion auf Vorfälle und eine Netzwerksegmentierung, die Systeme, die mit Karteninhaberdaten in Berührung kommen, von allen anderen Systemen trennt. Kartennetzwerke verlangen, dass Anbieter auf einer Liste genehmigter Anbieter aufgeführt sind, und ein Unternehmen kann diesen Status über Visa oder Mastercard bestätigen.

Welche Arten von PCI-Compliance-Dienstleistern gibt es?

Die Landschaft der PCI-Compliance-Dienstleister gliedert sich in einige wenige verschiedene Kategorien.

Die Hauptoptionen sind:

• Zahlungsanbieter: Diese wickeln Transaktionen direkt ab und verkleinern oft den PCI-Geltungsbereich eines Unternehmens, indem sie Kartendaten außerhalb der Systeme des Unternehmens verarbeiten. Wenn ein Unternehmen eine Zahlung akzeptiert, gelangen die Kartendaten vom Browser der Kundin/des Kunden auf die Server des Anbieters und berühren niemals den Webserver des Unternehmens.

• Sicherheitsorientierte Compliance-Anbieter: Diese führen Audits und Scans durch und beraten, wickeln aber keine Zahlungen ab.

• Anbieter gehosteter Zahlungsfelder: Diese bieten ein Zahlungsformular an, das Kartendaten auf einer vom Anbieter kontrollierten Domain anstelle der Website des Unternehmens erfasst.

• PCI-Berater: Diese beraten eher bei der Strategie als bei der Infrastruktur. Sie helfen einem Unternehmen herauszufinden, welcher SAQ zutreffend ist, bereiten die Dokumentation vor und interpretieren die Anforderungen.

Welche Dienste bieten PCI-Compliance-Dienstleister an?

Viele auf Compliance fokussierte Anbieter bieten eine Kombination von Diensten an.

Hier ist das Leistungsspektrum der Branche:

• Tokenisierung: Ersetzen sensibler Kartendaten durch einen Token, der außerhalb des Systems des Anbieters keinen nutzbaren Wert hat. Dadurch werden Karteninhaberdaten aus der Umgebung eines Unternehmens entfernt.

• Gehostete Zahlungsfelder: Bereitstellung des Zahlungsformulars direkt von der Domain des Anbieters statt von der Website des Unternehmens. Das bedeutet, dass keine unverschlüsselten Kartennummern die Server des Unternehmens passieren.

• Beratung zur Reduzierung des Geltungsbereichs: Kartierung des Flusses von Karteninhaberdaten durch die Systeme eines Unternehmens und Bestimmung der Komponenten, die aus diesem Fluss entfernt werden können.

• Sicherheitsbewertungen: Durchführung formeller Überprüfungen, die häufig von einem QSA durchgeführt werden und bei denen getestet wird, ob die Kontrollen eines Unternehmens alle PCI DSS-Anforderungen erfüllen.

• Schwachstellen-Scanning: Durchführung vierteljährlicher externer Scans, die von einem ASV durchgeführt werden. Dies ist für jedes Unternehmen oder jeden Anbieter erforderlich, dessen Systeme über das Internet mit Karteninhaberdaten in Berührung kommen.

• Penetrationstests: Durchführung jährlicher, feindseligerer Tests, die einen Angriff auf die Netzwerksegmentierung und die Abwehrmechanismen auf Anwendungsebene simulieren.

• Laufende Compliance-Überwachung: Verfolgung der Dateiintegrität, der Zugriffsprotokolle und der Konfigurationsabweichungen. PCI DSS 4.0.1 drängt Anbieter zu einer kontinuierlichen Validierung anstelle eines jährlichen Kontrollkästchens.

Wie bewerten Sie einen PCI-Compliance-Dienstleister?

Effektive Tools zur Reduzierung des Geltungsbereichs teilen einen gemeinsamen Mechanismus: Sie halten Karteninhaberdaten von Ihren Servern fern, anstatt zu versuchen, sie zu sichern, sobald sie dort ankommen. Fragen Sie, wie die Integration des Anbieters Ihren PCI-Fußabdruck verändert. Verschieben Sie gehostete Felder oder Tokenisierung in eine einfachere SAQ-Kategorie, oder berühren Kartendaten auf dem Weg dorthin immer noch Ihre Systeme? Wenn Kartendaten zu irgendeinem Zeitpunkt, auch nur kurz, durch Ihre Infrastruktur fließen, bleibt Ihr Geltungsbereich größer, als wenn die Daten gar nicht erst dorthin gelangen.

Die Dokumentation des Anbieters sollte die genauen Compliance-Verantwortlichkeiten darlegen, die er übernimmt, im Vergleich zu dem, was beim Unternehmen verbleibt. Lesen Sie diese Informationen durch, anstatt sich auf ein Verkaufsgespräch zu verlassen, um sie zu beschreiben. Untersuchen Sie diese Kategorien, bevor Sie sich für einen Anbieter entscheiden:

Zertifizierungsstatus

Vergewissern Sie sich, dass der Anbieter im Visa Global Registry of Service Providers oder der entsprechenden Mastercard-Liste aufgeführt ist. Überprüfen Sie das Datum der neuesten Attestation of Compliance des Anbieters. Die Zertifizierung läuft jährlich ab und muss daher aktiv gepflegt werden.

Datenverarbeitung und Tokenisierungsansatz

Finden Sie heraus, ob der Anbieter am Punkt der Erfassung oder erst nach Eintreffen der Daten auf seinen Servern tokenisiert. Fragen Sie, wie Tokens festgelegt werden, ob sie über verschiedene Transaktionstypen hinweg wiederverwendbar sind und was mit den zugrunde liegenden Daten geschieht, sobald ein Token existiert.

Komplexität der Integration

Ein Anbieter mit klarer Dokumentation und Drop-in-Komponenten wie vorgefertigten Zahlungsformularen bedeutet in der Regel, dass Ihr Team nicht so viel benutzerdefinierten Code sichern und verwalten muss. Das verkleinert Ihren PCI-Fußabdruck.

Geografische Abdeckung und laufender Support

PCI DSS gilt überall dort, wo diese Kartennetzwerke genutzt werden, und jedes Unternehmen, das Daten für diese Karten speichert, verarbeitet oder überträgt, muss die Vorgaben einhalten, unabhängig vom Land. Allerdings variieren die lokalen Gesetze zur Datenlokalisierung und zum Datenschutz, die regionalen Regeln der Kartensysteme und die Anbieterabdeckung je nach Region. Fragen Sie einen potenziellen Anbieter, ob er Infrastruktur in jedem Land betreibt, in dem Sie geschäftlich tätig sind, und wie er mit länderspezifischen Unterschieden umgeht.

SAQ-Qualifikation

Ein Anbieter sollte Ihnen mitteilen, für welchen SAQ Sie sich durch seine Implementierung qualifizieren. Eine konforme Integration sollte den Geltungsbereich Ihrer Compliance einschränken und Sie für einen weniger strengen SAQ qualifizieren.

Stripe ist ein PCI Service Provider Level 1 und bietet Nutzerinnen und Nutzern Funktionen zur Automatisierung einiger Aspekte der PCI-Compliance. Wenn ein Unternehmen Stripe Elements, Checkout, Terminal SDKs oder unsere mobilen Bibliotheken integriert, hilft Stripe beim Ausfüllen des SAQ im Dashboard.

So kann Stripe Payments Sie unterstützen

Stripe Payments bietet eine einheitliche, globale Zahlungslösung, mit der jedes Unternehmen – von Start-ups bis hin zu globalen Konzernen – Zahlungen online, vor Ort und weltweit akzeptieren kann.

Mit Stripe Payments können Sie Folgendes umsetzen:

• Optimieren Sie Ihren Bezahlvorgang: Schaffen Sie ein reibungsloses Kundenerlebnis und sparen Sie Tausende von Entwicklungsstunden mit vorgefertigten Benutzeroberflächen (UIs) für Zahlungen, Zugang zu mehr als 125 Zahlungsmethoden und Link, einem von Stripe entwickelten Digital Wallet.

• Neue Märkte schneller erschließen: Erreichen Sie Kundinnen und Kunden weltweit und reduzieren Sie die Komplexität und Kosten der Verwaltung mehrerer Währungen mit grenzüberschreitenden Zahlungsoptionen, die in 195 Ländern und über 135 Währungen verfügbar sind.

• Online- und Vor-Ort-Zahlungen vereinheitlichen: Schaffen Sie Unified Commerce übergreifend über Online- und Vor-Ort-Kanäle, um Interaktionen zu personalisieren, Treue zu belohnen und Ihren Umsatz zu steigern.

• Zahlungs-Performance verbessern: Steigern Sie Ihren Umsatz mit einer Reihe anpassbarer, einfach zu konfigurierender Zahlungstools, darunter No-Code-Betrugsvorbeugung und erweiterte Funktionen zur Verbesserung der Autorisierungsquoten.

• Schnelleres Wachstum dank einer flexiblen, zuverlässigen Plattform: Bauen Sie auf einer Plattform auf, die mit Ihnen mitwächst, mit einer sensationellen Erreichbarkeit von 99,999 % und branchenführender Zuverlässigkeit.

Erfahren Sie mehr darüber, wie Stripe Payments Sie bei Online- und Vor-Ort-Zahlungen unterstützen kann oder starten Sie noch heute.