Der Payment Card Industry Data Security Standard (PCI DSS) verlangt von Unternehmen, Karteninhaberdaten zu schützen, wenn sie gespeichert werden und wenn sie über ein Netzwerk übertragen werden. Das bedeutet, dass starke Kryptografie erforderlich ist, sowie eine Reihe unterstützender Regeln, die alles von der Zertifikatsstärke bis hin zur Generierung, Speicherung und Ausmusterung kryptografischer Schlüssel abdecken.

Die Erfüllung dieser Anforderungen an die PCI-Verschlüsselung wirkt sich auf mehr als nur Ihre Compliance-Checkliste aus. Sie kann dazu beitragen, Ihre Angriffsfläche zu verkleinern und zu bestimmen, wie anfällig Ihr Unternehmen im Falle einer Sicherheitsverletzung ist. Die durchschnittlichen Kosten einer Datenschutzverletzung erreichten im Jahr 2025 weltweit 4,44 Millionen US-Dollar, was die Bedeutung des Schutzes sensibler Daten unterstreicht. Im Folgenden behandeln wir, was PCI DSS tatsächlich für die Verschlüsselung vorschreibt, welche Algorithmen und Protokolle diese Anforderungen heute erfüllen und wie die Verschlüsselung mit verwandten Strategien wie der Tokenisierung und der Netzwerksegmentierung zusammenwirkt.

Das Wichtigste auf einen Blick

• PCI DSS erfordert starke Kryptografie für Karteninhaberdaten sowohl im Ruhezustand als auch bei der Übertragung, wobei der Advanced Encryption Standard (AES) mit einem 256-Bit-Schlüssel und Transport Layer Security (TLS) 1.2 oder höher als anerkannte Grundlagen gelten.

• Da Verschlüsselung und Tokenisierung unterschiedliche Probleme lösen, können Sie Ihren PCI-Compliance-Umfang reduzieren, indem Sie die Punkt-zu-Punkt-Verschlüsselung (P2PE) mit der Tokenisierung kombinieren.

• Ein schwaches Schlüsselmanagement ist einer der häufigsten Gründe dafür, dass Unternehmen bei einer PCI DSS-Bewertung durchfallen, trotz fundierter zugrunde liegender kryptografischer Algorithmen.

Was sind Anforderungen an die PCI-Verschlüsselung?

Die PCI DSS-Verschlüsselungsregeln sind in Anforderung 3 der Compliance-Checkliste definiert, die gespeicherte Karteninhaberdaten abdeckt, und in Anforderung 4, die Daten abdeckt, die über Netzwerke übertragen werden. PCI-Prüferinnen und -Prüfer überprüfen beide Bereiche bei der Bewertung der Handhabung von Karteninformationen.

Gemäß Anforderung 3 müssen Sie die primäre Kontonummer (PAN), falls Sie diese speichern, überall dort unleserlich machen, wo sie erscheint, sei es in einer Datenbank, einer Protokolldatei oder einem Backup. Obwohl starke Kryptografie die wichtigste Schutzmethode ist, sind auch Kürzung und Hashing Optionen, insbesondere zur Maskierung von PANs auf Belegen oder kundenorientierten Bildschirmen. Anforderung 4 besagt, dass alle Kartendaten, die offene, öffentliche Netzwerke durchqueren, durchgängig verschlüsselt sein müssen. Es gibt keine Ausnahmen für interne Bequemlichkeit oder Legacy-Umgebungen, die vor dem Standard existierten.

Für sensible Authentifizierungsdaten (SAD) gilt ein anderer Ansatz, der die vollständigen Magnetstreifen- oder Chipdaten, den Kartenprüfwert (CVV) und den PIN-Block umfasst. Gemäß PCI DSS dürfen Sie nichts davon speichern, nachdem die Autorisierung abgeschlossen ist, unabhängig von deren Verschlüsselungsstatus.

Welche kryptografischen Standards und Protokolle sind gemäß PCI DSS für die Verschlüsselung zugelassen?

PCI DSS erfordert „starke Kryptografie“, die vom PCI Security Standards Council als jede Methode definiert wird, die mindestens 112 Bit effektive Schlüsselstärke bietet. In der Praxis verweist diese Definition auf eine kurze Liste akzeptierter Optionen:

• Ruhende Daten: AES-256 ist der gängige Standard. Er übertrifft den Stärkeschwellenwert und wird von Cloud-Anbietern und Zahlungsinfrastrukturen weitgehend unterstützt. Triple DES (3DES) ist in einigen Konfigurationen technisch noch zulässig, das PCI Security Standards Council hat ihn jedoch zur Veraltung vorgesehen, und die meisten neuen Systeme verzichten ganz darauf.

• Asymmetrische Verschlüsselung: Wird für den Austausch symmetrischer Schlüssel oder das Signieren von Zertifikaten verwendet, was im Allgemeinen Rivest-Shamir-Adleman (RSA) mit 2048 Bit oder höher oder Elliptic Curve Cryptography (ECC) mit 224 Bit oder höher bedeutet.

• Daten in Übertragung: TLS 1.2 ist die Untergrenze, wobei TLS 1.3 zunehmend als praktischer Standard angesehen wird. SSL in jeder Version und frühe TLS-Versionen (1.0 und 1.1) sind explizit unzulässig.

• Cipher-Suites: Qualifizierte Suites dürfen keine bekannten Schwachstellen aufweisen, was RC4 (Rivest Cipher 4) und alle Ciphers in Exportqualität aus älteren Konfigurationen ausschließt.

• Zertifikatsstärke: Öffentlich zugängliche Zertifikate erfordern 2048-Bit-RSA oder stärker, aktuelle Ablaufdaten und die Ausstellung durch eine vertrauenswürdige Zertifizierungsstelle.

• Protokollaushandlung: Server müssen Verbindungsversuche ablehnen, die auf unzulässige Protokollversionen zurückgreifen, anstatt sie stillschweigend zuzulassen.

Wie reduziert die Verschlüsselung Ihren PCI-Compliance-Umfang?

Der Compliance-Umfang im Sinne von PCI DSS umfasst jedes System, das Karteninhaberdaten speichert, verarbeitet oder überträgt, sowie alles, was mit diesen Ressourcen verbunden ist und deren Sicherheit beeinträchtigen könnte. Dies wird kollektiv als die Karteninhaberdatenumgebung (Cardholder Data Environment, CDE) bezeichnet.

Wenn ein System verschlüsselte Karteninhaberdaten verarbeitet, ohne Zugriff auf die Mittel zur Entschlüsselung zu haben, betrachtet das PCI Security Standards Council es als außerhalb des Geltungsbereichs oder zumindest in einer Kategorie mit reduziertem Geltungsbereich. Hier kommt P2PE ins Spiel. Eine PCI-gelistete P2PE-Lösung verschlüsselt Kartendaten am Interaktionspunkt innerhalb validierter Hardware. Die Entschlüsselung ist auf die sichere Umgebung des Anbieters der P2PE-Lösung beschränkt und erfolgt nicht in der eigenen Infrastruktur des Unternehmens.

Eine validierte P2PE-Lösung qualifiziert sich in der Regel für einen P2PE-Selbstbewertungsfragebogen (SAQ), einen der kürzeren PCI-SAQs, da P2PE den Bewertungsumfang erheblich einschränkt. Die Segmentierung engt ihn weiter ein. Wenn Kartendatensysteme in ihrem eigenen Netzwerksegment isoliert sind, getrennt von allgemeinen Geschäftssystemen, können Systeme, die niemals Karteninhaberdaten sehen, vollständig aus der Bewertung herausgehalten werden.

Verschlüsselung oder Tokenisierung: Welche Strategie erfüllt Ihre Anforderungen an die PCI-Verschlüsselung am besten?

Verschlüsselung wandelt die PAN in unlesbaren Chiffretext um, aber die ursprüngliche Nummer existiert noch irgendwo. Jede Person mit dem richtigen Schlüssel kann den Prozess umkehren. Die Tokenisierung entfernt die PAN vollständig aus der Umgebung des Unternehmens und ersetzt sie durch einen Token, der keine mathematische Beziehung zur ursprünglichen Nummer hat und im Falle eines Diebstahls wertlos ist.

Wenn nach der ersten Transaktion auf die Zahlungsmethode von Kundinnen und Kunden Bezug genommen werden muss, wie z. B. bei Abonnements, gespeicherten Zahlungsmethoden oder dem One-Click-Bezahlvorgang, macht die Tokenisierung einen Unterschied. Wenn eine verschlüsselte PAN intern gespeichert wird, verfügen Sie weiterhin über eine vollständige Kartennummer und alles, was damit einhergeht, einschließlich Schlüsselverwaltungsaufgaben, erweitertem Prüfumfang und Offenlegung, falls der zugehörige Schlüssel kompromittiert wird. Wenn Sie stattdessen jedoch einen Token speichern, der von einem Zahlungsanbieter wie Stripe generiert und aufbewahrt wird, berührt der sensible Wert Ihre Systeme erst gar nicht. Viele Setups kombinieren beides, wobei die Tokenisierung für alles verwendet wird, was langfristig gespeichert wird, und die Verschlüsselung für alles, was über ein Netzwerk übertragen wird.

Warum ist die Schlüsselverwaltung ein oft übersehener Teil der PCI-Verschlüsselung?

Die Verschlüsselung hängt davon ab, wie gut ihre Schlüssel geschützt sind, und diese Praktiken werden oft übersehen. Beachten Sie Folgendes:

• Geteiltes Wissen und doppelte Kontrolle: Ein vollständiger kryptografischer Schlüssel muss nicht für eine einzelne Person zugänglich sein. Die Aufteilung von Schlüsselkomponenten auf mehrere Personen und die Anforderung, dass mehr als eine Person einen Schlüssel rekonstruieren muss, verhindert, dass eine einzelne Person die Umgebung im Alleingang kompromittiert.

• Sichere Schlüsselspeicherung: Schlüssel müssen getrennt von den Daten gespeichert werden, die sie schützen, typischerweise in einem Hardware-Sicherheitsmodul (HSM) oder einem gleichwertigen Schlüsselverwaltungssystem; sie dürfen nicht in derselben Datenbank oder demselben Dateisystem wie die verschlüsselten Werte aufbewahrt werden.

• Definierte Kryptoperioden: Jeder Schlüssel benötigt eine dokumentierte Lebensdauer, nach der er ausgemustert und ersetzt wird, basierend auf Faktoren wie der Menge der von ihm geschützten Daten und der Häufigkeit seiner Verwendung.

• Dokumentierte Verantwortlichkeiten der Schlüsselverwalterinnen und Schlüsselverwalter: Schriftliche Verfahren müssen festlegen, wer für Schlüsselverwaltungsaufgaben verantwortlich ist; diese Verwalterinnen und Verwalter müssen diese Verantwortung formell anerkennen.

Gemäß PCI DSS 4.0 müssen Unternehmen ihre kryptografische Architektur mindestens einmal alle 12 Monate überprüfen, um sicherzustellen, dass die verwendeten Algorithmen, Protokolle und Schlüssellängen weiterhin aktuellen Standards entsprechen und nicht veraltet sind.

Was passiert, wenn Ihr Unternehmen die Anforderungen an die PCI-Verschlüsselung nicht erfüllt?

Die Nichterfüllung der PCI DSS-Verschlüsselungsanforderungen ändert die Abläufe vor und nach einer Sicherheitsverletzung. Vor einem Vorfall wird die Nicht-Compliance im Rahmen des jährlichen Überprüfungsprozesses festgestellt. Acquirer und Kartennetzwerke könnten ein Unternehmen als nicht konform markieren, was seine Fähigkeit beeinträchtigt, weiterhin Kartenzahlungen abzuwickeln, und eine genauere Überwachung oder zusätzliche Überprüfungsanforderungen in der Zukunft nach sich ziehen könnte.

Die Konsequenzen verstärken sich, wenn es zu einer Sicherheitsverletzung kommt und bei einer Untersuchung festgestellt wird, dass diese Kontrollen zu diesem Zeitpunkt nicht erfüllt waren. Nach einer bestätigten Sicherheitsverletzung im Zusammenhang mit Karteninhaberdaten ist in der Regel eine forensische Untersuchung erforderlich. Dabei wird speziell untersucht, ob die PAN während der Speicherung und Übertragung ordnungsgemäß verschlüsselt war. Ist dies nicht der Fall, wird die Haftung nicht mit dem Zahlungsanbieter oder dem Acquirer geteilt, sondern verlagert sich stattdessen stärker auf das Unternehmen.

Es kann schwierig sein, das Vertrauen einer Acquiring-Bank oder eines Zahlungsanbieters nach einer solchen Feststellung wiederaufzubauen. Da kryptografische Fehler tendenziell auch andere Schwachstellen in der internen Datenverarbeitung aufdecken, wird sich eine Bank wahrscheinlich nicht mit der Korrektur einer einzelnen Kontrolle isoliert zufriedengeben, wenn sie Lücken in anderen gefunden hat.

So kann Stripe Payments Sie unterstützen

Stripe Payments bietet eine einheitliche, globale Zahlungslösung, mit der jedes Unternehmen – von Start-ups bis hin zu globalen Konzernen – Zahlungen online, vor Ort und weltweit akzeptieren kann.

Mit Stripe Payments können Sie Folgendes umsetzen:

• Optimieren Sie Ihren Bezahlvorgang: Schaffen Sie ein reibungsloses Kundenerlebnis und sparen Sie Entwicklungszeit mit vorgefertigten Zahlungs-UIs, Zugang zu über 125 Zahlungsmethoden und Link, einem von Stripe entwickelten Wallet.

• Neue Märkte schneller erschließen: Erreichen Sie Kundinnen und Kunden weltweit und reduzieren Sie die Komplexität und Kosten der Verwaltung mehrerer Währungen mit grenzüberschreitenden Zahlungsoptionen, die in 195 Ländern und über 135 Währungen verfügbar sind.

• Online- und Vor-Ort-Zahlungen vereinheitlichen: Schaffen Sie Unified Commerce übergreifend über Online- und Vor-Ort-Kanäle, um Interaktionen zu personalisieren, Treue zu belohnen und Ihren Umsatz zu steigern.

• Zahlungs-Performance verbessern: Steigern Sie Ihren Umsatz mit einer Reihe anpassbarer, einfach zu konfigurierender Zahlungstools, darunter No-Code-Betrugsvorbeugung und erweiterte Funktionen zur Verbesserung der Autorisierungsquoten.

• Schnelleres Wachstum dank einer flexiblen, zuverlässigen Plattform: Bauen Sie auf einer Plattform auf, die mit Ihnen mitwächst, mit einer sensationellen Erreichbarkeit von 99,999 % und branchenführender Zuverlässigkeit.

Erfahren Sie mehr darüber, wie Stripe Payments Sie bei Online- und Vor-Ort-Zahlungen unterstützen kann oder starten Sie noch heute.