Alle Unternehmen, die Kartendaten von Kunden/Kundinnen verarbeiten, müssen wissen, wie sie den Payment Card Industry Data Security Standard (PCI DSS) erfüllen. PCI Qualified Security Assessors (QSAs) sind ein wichtiger Teil dieses Prozesses. QSAs sind zertifizierte Fachkräfte, die bewerten, ob Ihr Unternehmen die PCI DSS-Anforderungen erfüllt und Ihnen helfen, eventuelle Sicherheitslücken zu schließen. QSAs können Sie durch diesen manchmal etwas undurchsichtigen Prozess führen. Sie unterstützen Sie bei Bewertungen, Berichten und Sanierungen, damit Sie sicher sein können, dass die Daten von Karteninhaberinnen und -inhabern geschätzt sind und Sie rechtliche Vorgaben einhalten.

Im Jahr 2024 gab es in den USA mehr als 3.100 Vorfälle von Datenkompromittierung. QSAs helfen Unternehmen, die mit solchen Vorfällen verbundenen Risiken zu mindern und Kartendaten ordnungsgemäß zu schützen. Im Folgenden erklären wir, was PCI-QSAs leisten, warum Ihr Unternehmen sie möglicherweise benötigt und wie eine QSA-gestützte Bewertung funktioniert.

Worum geht es in diesem Artikel?

• Was sind PCI Qualified Security Assessors?
  
• Warum benötigt Ihr Unternehmen eine/n QSA für die PCI DSS-Compliance?
  
• Wie funktioniert eine PCI-Bewertung durch QSAs?
  
• Welche Qualifikationen sind erforderlich, um PCI-QSA zu werden?
  
• Welche Leistungen sollten Sie von QSAs erwarten?
  
• Wie können QSAs bei der PCI-Konformität helfen?
  
• So kann Stripe Payments Sie unterstützen
  

Was sind PCI Qualified Security Assessors?

Ein/e PCI Qualified Security Assessor ist eine Person oder Organisation, die vom PCI Security Standards Council autorisiert wurde, zu bewerten, ob Unternehmen den PCI DSS einhalten. QSAs prüfen, ob bei Ihren Systeme, Netzwerken und Praktiken die Daten von Karteninhaber/innen geschützt sind.

QSAs kennen sich mit allen relevanten Themen aus – von Verschlüsselung und Zugriffskontrolle bis hin zur Speicherung, Verarbeitung und Sendung von Zahlungen. Ihre Funktion besteht darin, Ihre Compliance zu überprüfen und Sicherheitslücken aufzuzeigen. Sie helfen Ihnen zu verstehen, wie Sie eventuelle Mängel effektiv beheben können.

Zertifizierte QSA-Unternehmen wurden vom PCI Council auf Unabhängigkeit, technische Kompetenz und berufliche Integrität überprüft. Diese Unternehmen müssen über jede Version des PCI DSS auf dem Laufenden bleiben und werden jährlich neu zertifiziert. Wenn durch Aktualisierungen neue Anforderungen entstehen, werden QSAs entsprechend geschult.

Warum benötigt Ihr Unternehmen eine/n QSA für die PCI DSS-Compliance?

Wenn Ihr Unternehmen jährlich mehr als 6 Millionen Visa- oder Mastercard-Transaktionen abwickelt, ist jedes Jahr eine PCI-DSS-Prüfung durch eine/n QSA erforderlich. Viele Unternehmen arbeiten mit QSAs zusammen, weil sie die PCI-Konformität so einfacher und zuverlässiger sicherstellen können, und entscheiden sich dafür auch dann, wenn dies nicht erforderlich ist.

Im Folgenden erfahren Sie, warum:

• Klärung eines komplexen Standards: Das PCI DSS ist detailliert und umfasst Hunderte von Kontrollen, die jeden Aspekt des Umgangs mit Kartendaten abdecken. Ein/e QSA filtert die im Kontext Ihres Unternehmens und Technologie-Stacks relevanten Anforderungen heraus und hilft Ihnen, sich auf das zu konzentrieren, was wirklich wichtig ist.

• Glaubwürdigkeit und Sicherheit: Die unabhängige Validierung durch eine/n QSA kann das Vertrauen von Banken, Partnern sowie Kundinnen und Kunden erhöhen. Selbst wenn Sie eine Selbstbewertung durchführen, verleiht eine QSA-Überprüfung Ihren Ergebnissen Gewicht und Glaubwürdigkeit.

• Zeitersparnis und Vermeidung von Nacharbeit: QSAs helfen Ihnen, Lücken frühzeitig aufzudecken, bevor Sie in ineffektive Korrekturen investieren. Sie führen Ihr Team durch die Sammlung von Nachweisen und Kontrolltests, damit Sie schon vor Ablauf der Auditfrist optimal vorbereitet sind.

Wie funktioniert eine PCI-Bewertung durch QSAs?

Eine gute QSA-Interaktion ist im Grunde eine geführte Sicherheitsoptimierung.

Eine PCI-Bewertung durch QSAs umfasst in der Regel Folgendes:

• Umfang und Vorbereitung: Der/die QSA bestimmt mit Ihnen gemeinsam, welche Systeme, Netzwerke und Prozesse zu Ihrer Karteninhaberdatenumgebung (Cardholder Data Environment, CDE)gehören. Die CDE umfasst alles, was Kartendaten speichert, verarbeitet oder überträgt. In dieser Phase kann der/die QSA Netzwerkdiagramme, Datenflusskarten, Bestandsaufnahmen verwandter Systeme und relevante Richtlinien anfordern. Viele Unternehmen entscheiden sich auch dafür, zuerst eine Lückenanalyse durchzuführen, um Schwachstellen zu identifizieren, bevor die formelle Prüfung beginnt.

• Remote- oder Vor-Ort-Bewertung: QSAs sehen sich Konfigurationen, Richtlinien und Logs an, befragen Mitarbeiter/innen und beobachten laufende Prozesse. Sie sammeln Nachweise wie Screenshots, Konfigurationen und Berichte, um zu überprüfen, ob die Kontrollen wie vorgesehen funktionieren. Während dieser Phase geben QSAs oft Feedback in Echtzeit, sodass Sie sofort mit dem Beheben von Problemen beginnen können, anstatt auf den endgültigen Bericht zu warten.

• Sanierung und Validierung: Wenn der/die QSA Bereiche erkennt, in denen die Vorschriften nicht eingehalten werden, beheben Sie diese und reichen aktualisierte Nachweise ein. Dazu können das Hinzufügen einer Multi-Faktor-Authentifizierung, das Aktualisieren von Firewall-Regeln oder die Verbesserung der Verschlüsselungseinstellungen gehören. Der/die QSA überprüft, ob die Korrekturen implementiert wurden und wirksam sind.

• Berichte und Leistungen: Sobald die Bewertung abgeschlossen ist, stellt der/die QSA zwei Hauptdokumente zusammen: den Bericht zur PCI-Konformität (Report on Compliance, ROC) – eine detaillierte Aufzeichnung der Kontrollen für PCI-DSS-Anforderungen – und die Bescheinigung der Konformität (Attestation of Compliance, AOC) – eine formelle Erklärung Ihres Konformitätsstatus. Der/die QSA geht diese Dokumente noch einmal mit Ihnen durch, um die Ergebnisse und deren Bedeutung für Ihr Unternehmen zu erläutern, und berät Sie zum weiteren Vorgehen.

• Kontinuierliche Partnerschaft: Die besten QSAs fungieren als langfristige Partner, die Ihnen dabei helfen, die Compliance zwischen jährlichen Bewertungen aufrechtzuerhalten, neue PCI-Versionen zu verstehen und Ihre Kontrollen auch dann effektiv zu halten, wenn Ihr Unternehmen wächst.

Welche Qualifikationen sind erforderlich, um PCI-QSA zu werden?

QSAs sind sorgfältig geprüfte Fachleute, deren Erfahrung und Ausbildung es ihnen ermöglichen, die Sicherheitsprogramme anderer zu bewerten. Der PCI Security Standards Council legt strenge Anforderungen für alle fest, die eine QSA-Zertifizierung anstreben. Um PCI-QSA zu werden, sind Investitionen in technische Fähigkeiten, ethische Standards und kontinuierliche Weiterbildung notwendig.

Zu den Anforderungen gehören:

• Berufserfahrung: Mitarbeiter/innen von QSA-Unternehmen müssen mindestens ein Jahr Erfahrung in der Sicherheit von Anwendungen, Netzwerken und Informationssystemen haben. Sie müssen verstehen, wie echte Systeme funktionieren, und sich nicht nur mit der Theorie auskennen.

• Branchen-anerkannte Zertifizierungen: Sie müssen mindestens eine akkreditierte, professionelle Zertifizierung besitzen, z. B. ISACA Certified Information Security Manager (CISM) oder Certified ISO 27001 Lead Implementer. Diese Zertifizierungen weisen validiertes Fachwissen in den Bereichen Sicherheit und Auditing nach.

• Hintergrundprüfungen: QSAs müssen Hintergrundprüfungen bestehen. Personen, die gegen das Gesetz verstoßen haben, kommen automatisch nicht infrage.

• PCI-spezifische Schulungen und Prüfungen: Nachdem sie die Basisqualifikationen erfüllt haben, müssen Kandidatinnen und Kandidaten die Schulung des PCI Council absolvieren und mehrere Prüfungen bestehen, die alle Aspekte von PCI-DSS-Überprüfungen, Berichten und Ethik abdecken.

Welche Leistungen sollten Sie von QSAs erwarten?

Wenn ein/e QSA Ihre PCI-DSS-Bewertung abgeschlossen hat, erhalten Sie eine formelle Dokumentation, die Ihren Compliance Status beschreibt.

Folgendes wird in dieser Dokumentation enthalten sein:

• ROC: Dies ist der vollständige technische Bericht, der Ihre Umgebung, Ihren Umfang und Ihre Ergebnisse für jede PCI DSS-Anforderung beschreibt. Darin wird erläutert, wie jede Steuerung getestet wurde, ob sie vorhanden ist und welche Nachweise geprüft wurden. Wenn etwas nicht konform ist, steht im ROC, was fehlgeschlagen ist und warum.

• AOC: Die AOC ist eine kurze, standardisierte Zusammenfassung Ihres Konformitätsstatus. Sie wird an Banken, Kartennetzwerke oder Partner weitergegeben, um nachzuweisen, dass Ihr Unternehmen PCI-konform ist.

• Unterstützende Materialien: Viele QSAs bieten auch eine Zusammenfassung oder eine Ergebnispräsentation. Damit können Sie Ergebnisse besser intern kommunizieren und etwaige Sanierungsschritte erfassen.

Zusammen sind diese Leistungen der Beleg dafür, dass Ihre Kontrollen unabhängig getestet, verifiziert und auf die Sicherheitsstandards der Branche abgestimmt wurden.

Wie können QSAs bei der PCI-Konformität helfen?

Die Zusammenarbeit mit QSAs kann die Feststellung der PCI-Konformität schneller, einfacher und nachhaltiger machen.

Das können QSAs für Sie tun:

• Umfang festlegen: Der/die QSA hilft Ihnen zu ermitteln, welche Systeme in Ihre CDE fallen. Wenn Sie sich auf das absolut Notwendige, also auf Methoden wie Netzwerksegmentierung, Tokenisierung und Verschlüsselung, beschränken, minimieren Sie den Umfang von Infrastruktur, für die PCI-Vorgaben eingehalten werden müssen. Das bedeutet, dass weniger Systeme gesichert, getestet und dokumentiert werden müssen.

• Fokus beibehalten: QSAs wissen, wo Unternehmen in der Regel zu kämpfen haben, und helfen Ihnen, das Wichtigste zu priorisieren. Sie kennen praktische Korrekturen und bewährte Tools, sodass Sie keine Zeit für Anforderungen verschwenden, die für Ihr Unternehmen nicht gelten.

• Nacharbeit und unnötigen Aufwand vermeiden: Durch frühzeitiges Feedback der QSAs können Sie Lösungen entwickeln, mit denen Sie die PCI-Anforderungen von Anfang an erfüllen. So sparen Sie Geld und vermeiden Überraschungen, wenn die Zeit für die Sammlung und Prüfung von Nachweisen gekommen ist.

• Durchgängige Konformität: Die besten QSAs helfen Ihnen dabei, PCI-Aufgaben wie wiederkehrende Zugriffsprüfungen, Log-Überwachung und Richtlinienaktualisierungen in Ihren normalen Geschäftsbetrieb zu integrieren. So wird die Konformität zu einem kontinuierlichen Prozess und nicht zu einem jährlich wiederkehrenden Kampf.

QSA-Unternehmen sind sowohl technische Berater als auch ein Partner. Sie können Ihrem Team dabei helfen, weniger Zeit mit PCI-Bürokratie zu verbringen und Ihre allgemeine Sicherheitslage zu stärken.

So kann Stripe Payments Sie unterstützen

Stripe Payments bietet eine einheitliche, globale Zahlungslösung, mit der jedes Unternehmen – von Start-ups bis hin zu globalen Konzernen – Zahlungen online, vor Ort und weltweit akzeptieren kann.

Mit Payments können Sie Folgendes umsetzen:

• Bezahlvorgang optimieren: Schaffen Sie ein reibungsloses Kundenerlebnis und sparen Sie Tausende von Entwicklungsstunden mit vorgefertigten Zahlungs-Nutzeroberflächen, Zugang zu über 125 Zahlungsmethoden und Link, einer von Stripe entwickelten Wallet.

• Neue Märkte schneller erschließen: Erreichen Sie Kundinnen und Kunden weltweit und reduzieren Sie die Komplexität und Kosten der Verwaltung mehrerer Währungen mit grenzüberschreitenden Zahlungsoptionen, die in 195 Ländern und über 135 Währungen verfügbar sind.

• Online- und Vor-Ort-Zahlungen vereinheitlichen: Schaffen Sie Unified Commerce über Online- und Vor-Ort-Kanäle hinweg, um Interaktionen zu personalisieren, Treue zu belohnen und Ihren Umsatz zu steigern.

• Zahlungs-Performance verbessern: Steigern Sie Ihren Umsatz mit einer Reihe anpassbarer, einfach zu konfigurierender Zahlungstools, darunter eine No-Code-Betrugsvorbeugung und erweiterte Funktionen zur Verbesserung der Autorisierungsquoten.

• Mit einer flexiblen, zuverlässigen Plattform schneller wachsen: Setzen Sie auf eine Plattform, die mit Ihnen mitwächst, mit einer Erreichbarkeit von 99,999 % und branchenführender Zuverlässigkeit.

Erfahren Sie mehr darüber, wie Stripe Payments Sie bei Online- und Vor-Ort-Zahlungen unterstützen kann oder starten Sie noch heute.