Wenn Sie die Validierung nach dem Payment Card Industry Data Security Standard (PCI DSS) Ihrer Händlervereinbarung noch nicht abgeschlossen haben, kann eine Gebühr für PCI-Nicht-Compliance anfallen. Dabei handelt es sich um eine zusätzliche monatliche Abbuchung, die Ihre Acquirer-Bank oder Ihr Zahlungsanbieter zu Ihren Verarbeitungskosten hinzufügt. Sie fällt in jedem Abrechnungszyklus an und bleibt auf Ihrem Kontoauszug, bis Sie den Nachweis erbringen, dass Sie den Standard für PCI DSS-Compliance erfüllen. Gebühren für PCI-Nicht-Compliance können zwischen 25 $ und 100.000 $ pro Monat liegen, je nachdem, wie lange Ihr Unternehmen bereits nicht konform ist.
Im Folgenden gehen wir darauf ein, wer diese Gebühren letztendlich zahlt und warum, wie ihre typischen Kosten im Vergleich zu den Strafen stehen, die sie verhindern sollen, und was eine Abbuchung auslösen kann.
Das Wichtigste auf einen Blick
Gebühren für PCI-Nicht-Compliance werden von Acquirer-Banken erhoben, nicht von Kartennetzwerken. Sie sind eine Möglichkeit, die Haftung auszugleichen, die sie für nicht validierte Unternehmen tragen.
Die Gebühr selbst ist gering im Vergleich zu den Strafen der Kartennetzwerke und den Kosten bei Sicherheitsverletzungen, vor denen sie schützen soll.
Das Ausfüllen des richtigen Selbstbewertungs-Fragebogens (Self-Assessment Questionnaire, SAQ) und die Reduzierung der Karteninhaberdaten, die mit Ihren eigenen Systemen in Berührung kommen, sind die schnellsten Möglichkeiten, die Abbuchung zu beseitigen.
Was ist eine PCI-Gebühr für fehlende Konformität?
Eine PCI-Gebühr für fehlende Konformität ist eine monatliche Gebühr, die die Acquirer-Bank oder der Zahlungsanbieter eines Unternehmens erhebt, wenn dieses Unternehmen die in seiner Händlervereinbarung vorgeschriebene PCI-DSS-Validierung nicht abgeschlossen hat.
Für verschiedene Unternehmen gelten unterschiedliche Validierungsanforderungen. Kartennetzwerke teilen Unternehmen basierend auf dem jährlichen Transaktionsvolumen in vier Level ein: Ein Unternehmen, das Millionen von Transaktionen pro Jahr abwickelt, muss strengere Dokumentationsanforderungen erfüllen als ein Unternehmen, das nur wenige Tausend abwickelt. Unternehmen, die Kartendaten direkt auf ihren eigenen Servern verarbeiten, tragen eine größere Verantwortung in Bezug auf die Konformität als solche, die Zahlungsfelder über eine gehostete oder tokenisierte Lösung weiterleiten, da sich der Umfang der zu prüfenden Elemente bei jedem Setup verschiebt.
Wer zahlt PCI-Gebühren für fehlende Konformität und warum?
Das Unternehmen zahlt PCI-Gebühren für fehlende Konformität. Auch wenn die Kartennetzwerke den Standard festlegen, tragen die Acquirer-Banken die Haftung, wenn es bei einem nicht konformen Unternehmen zu einem Sicherheitsverstoß kommt. Daher geben sie dieses Risiko über die Händlervereinbarung nach unten weiter.
Einige Zahlungsabwickler nehmen die Konformitätsüberwachung in die Standardvereinbarung auf und beginnen nach einer Schonfrist automatisch mit der Abrechnung, während andere ein Opt-in-Programm erfordern und nur Unternehmen belasten, die wiederholte Benachrichtigungen ignorieren.
Wie hoch sind die PCI-Gebühren für fehlende Konformität?
Acquirer-Banken berechnen in den ersten Monaten oder bis zur Validierung der Konformität durch das Unternehmen in der Regel zwischen 25 USD und 50 USD pro Monat. Wenn das Problem nach sechs Monaten nicht behoben ist, können die Strafen auf 5.000 bis 100.000 USD pro Monat ansteigen.
Kommt es zu einem Sicherheitsverstoß, während das Unternehmen nicht konform ist, können die Folgen weitaus schwerwiegender sein. Kartennetzwerke können Strafen in Höhe von 5.000 bis 100.000 USD verhängen, abhängig vom Netzwerk, der Schwere des Verstoßes und davon, wie lange das Unternehmen seine Konformität nicht validiert hat. Ein Unternehmen, das nach einem Sicherheitsverstoß als nicht konform eingestuft wird, kann außerdem die Möglichkeit verlieren, bestimmte Kartentypen zu akzeptieren, mit forensischen Untersuchungskosten im zehntausendstelligen Bereich konfrontiert werden und die Kosten für die Neuausstellung von Karten für alle betroffenen Kundinnen und Kunden tragen müssen.
Wodurch wird eine PCI-Gebühr für fehlende Konformität ausgelöst?
PCI-Gebühren für fehlende Konformität sind an Dokumentation und Prozesse gebunden, nicht daran, ob ein Sicherheitsverstoß stattgefunden hat.
Die folgenden Szenarien können eine Gebühr auslösen:
Verpasste SAQ-Frist: Acquirer-Banken oder ihre Konformitätsanbieter legen in der Regel eine Frist für die Einreichung eines ausgefüllten Self-Assessment Questionnaire (SAQ) fest. Wenn dieses Datum ohne Einreichung verstreicht, wird die Gebühr im nächsten Abrechnungszyklus aktiviert.
Abgelaufene Konformitätserklärung: Die PCI-Konformität wird jährlich revalidiert. Wenn eine Konformitätserklärung abläuft, wird dieselbe Gebühr fällig, wie wenn nie eine ausgefüllt wurde.
Fehlgeschlagener Schwachstellenscan: Unternehmen auf höheren Konformitätsleveln benötigen vierteljährliche Netzwerkscans von einem Approved Scanning Vendor. Ein fehlgeschlagener oder übersprungener Scan kann die Gebühr unabhängig vom SAQ-Status allein auslösen.
Änderung des Abwicklungsvolumens oder der Abwicklungsmethode: Der Wechsel in ein höheres Konformitäts-Tier oder der Wechsel von einem gehosteten Bezahlvorgang zu einem Setup, bei dem das Unternehmen mehr Kartendaten direkt verarbeitet, kann die Konformitätsanforderungen zurücksetzen und die Frist für die Validierung neu starten.
Welche Schritte sind erforderlich, um die Zahlung von PCI-Gebühren für fehlende Konformität zu beenden?
Um die Gebühr zu vermeiden, müssen Sie den für das Unternehmen geltenden Validierungspfad abschließen und ihn anschließend aktuell halten.
Wie genau, zeigen wir Ihnen im Folgenden:
Bestätigen Sie das Händler-Level und den anwendbaren SAQ: Das Konformitätslevel wird durch das jährliche Transaktionsvolumen und die Frage bestimmt, wie direkt das Unternehmen Kartendaten verarbeitet. Das Konformitätslevel legt fest, welcher der acht SAQ-Typen zutrifft. Ein Unternehmen, das einen vollständig gehosteten Bezahlvorgang nutzt, bei dem Kartenfelder niemals die eigenen Server berühren, qualifiziert sich in der Regel für SAQ A, das kürzeste Formular. Ein Unternehmen, das Kartendaten direkter verarbeitet, muss einen längeren Fragebogen ausfüllen, der Netzwerksegmentierung, Verschlüsselung und Zugriffskontrollen umfasst.
Reduzieren Sie den Geltungsbereich, bevor Sie etwas ausfüllen: Je weniger das Unternehmen direkt mit der Karteninhaberdatenumgebung (Cardholder Data Environment, CDE) in Berührung kommt, desto einfacher ist der anwendbare SAQ. Durch die Weiterleitung von Zahlungsfeldern über einen gehosteten Iframe oder einen Tokenisierungsdienst wird die Last der Sicherung roher Kartennummern auf den Anbieter verlagert, der diese Daten verarbeitet, was ein Unternehmen oft auf SAQ A herabstuft.
Füllen Sie den SAQ und alle erforderlichen Scans aus: Beantworten Sie den Fragebogen ehrlich, führen Sie einen Schwachstellenscan durch einen Approved Scanning Vendor durch, falls das Level des Unternehmens dies erfordert, und unterzeichnen Sie die Konformitätserklärung (Attestation of Compliance).
Reichen Sie ihn beim Abwickler oder bei der Acquirer-Bank ein, nicht nur bei den Kartennetzwerken: Die Gebühr wird von der Bank erhoben, daher benötigt die Bank die Dokumentation direkt, in der Regel über das von ihr zur Verfolgung des Händlerstatus verwendete Konformitätsportal.
Richten Sie eine wiederkehrende Erinnerung für die Revalidierung ein: Die Konformität läuft jährlich ab. Der schnellste Weg zurück in die fehlende Konformität besteht darin, dies als einmalige Aufgabe anstatt als jährliche Aufgabe zu betrachten.
Da Stripe Karteninhaberdaten im Namen der Unternehmen, die es nutzen, speichert und verarbeitet und über eine PCI-DSS-Level-1-zertifizierte Infrastruktur verfügt, können Unternehmen, die Kartendaten vollständig über Stripe weiterleiten, ihren PCI-Geltungsbereich reduzieren. Dadurch entfällt jedoch nicht die eigene Verantwortung des Unternehmens, einen SAQ einzureichen. Es ändert sich lediglich, welcher Fragebogen zutrifft und wie viel der Karteninhaberdatenumgebung in den eigenen Prüfungsbereich des Unternehmens fällt.
Lohnt es sich, für PCI-Konformität zu bezahlen, um Gebühren für fehlende Konformität zu vermeiden?
Die Mathematik spricht fast immer für Konformität. Das Ausfüllen eines SAQ A dauert für ein Unternehmen, das bereits ein gehostetes Zahlungs-Setup verwendet, oft weniger als eine Stunde. Stellt man dem die Bandbreite an Strafen der Kartennetzwerke nach einem PCI-Sicherheitsverstoß sowie die forensischen Kosten und den Schaden für die Kundenbeziehungen gegenüber, wenn Kartenangaben offengelegt werden, ist die Entscheidung für Konformität eindeutig.
Die Unternehmen, die am längsten nicht konform bleiben, wägen diesen Kompromiss in der Regel nicht bewusst ab. Sie vergessen lediglich ein Formular. Das ist das eigentliche Risiko: nicht, dass PCI-Konformität teuer ist, sondern dass man sie leicht vergisst, bis eine Gebühr oder ein Sicherheitsverstoß das Thema erzwingt. Die Überprüfung des Händler-Levels, die Bestätigung des zutreffenden SAQ und die Einrichtung einer jährlichen Erinnerung kosten weitaus weniger als beide Folgen, wenn man es schleifen lässt.
So kann Stripe Payments Sie unterstützen
Stripe Payments bietet eine einheitliche, globale Zahlungslösung, mit der jedes Unternehmen – von Start-ups bis hin zu globalen Konzernen – Zahlungen online, vor Ort und weltweit akzeptieren kann.
Mit Stripe Payments können Sie Folgendes umsetzen:
Bezahlvorgang optimieren: Schaffen Sie ein reibungsloses Kundenerlebnis und sparen Sie Tausende von Entwicklungsstunden mit vorgefertigten Zahlungs-Nutzeroberflächen, Zugang zu über 125 Zahlungsmethoden und Link, einer von Stripe entwickelten Wallet.
Neue Märkte schneller erschließen: Erreichen Sie Kundinnen und Kunden weltweit und reduzieren Sie die Komplexität und Kosten der Verwaltung mehrerer Währungen mit grenzüberschreitenden Zahlungsoptionen, die in 195 Ländern und über 135 Währungen verfügbar sind.
Online- und Vor-Ort-Zahlungen vereinheitlichen: Schaffen Sie Unified Commerce übergreifend über Online- und Vor-Ort-Kanäle, um Interaktionen zu personalisieren, Treue zu belohnen und Ihren Umsatz zu steigern.
Zahlungs-Performance verbessern: Steigern Sie Ihren Umsatz mit einer Reihe anpassbarer, einfach zu konfigurierender Zahlungstools, darunter No-Code-Betrugsvorbeugung und erweiterte Funktionen zur Verbesserung der Autorisierungsquoten.
Schnelleres Wachstum dank einer flexiblen, zuverlässigen Plattform: Bauen Sie auf einer Plattform auf, die mit Ihnen mitwächst, mit einer sensationellen Erreichbarkeit von 99,999 % und branchenführender Zuverlässigkeit.
Erfahren Sie mehr darüber, wie Stripe Payments Sie bei Online- und Vor-Ort-Zahlungen unterstützen kann oder starten Sie noch heute.
Der Inhalt dieses Artikels dient nur zu allgemeinen Informations- und Bildungszwecken und sollte nicht als Rechts- oder Steuerberatung interpretiert werden. Stripe übernimmt keine Gewähr oder Garantie für die Richtigkeit, Vollständigkeit, Angemessenheit oder Aktualität der Informationen in diesem Artikel. Sie sollten den Rat eines in Ihrem steuerlichen Zuständigkeitsbereich zugelassenen kompetenten Rechtsbeistands oder von einer Steuerberatungsstelle einholen und sich hinsichtlich Ihrer speziellen Situation beraten lassen.