Zwei Standards, zwei Fragen
Die Kartensysteme haben sich vor Jahren auf gemeinsame Sicherheitsregeln geeinigt und dafür ein eigenes Gremium gegründet, das Payment Card Industry Security Standards Council. Aus dessen Arbeit stammen die beiden Standards, denen jeder Händler früher oder später begegnet. Sie beantworten unterschiedliche Fragen.
PCI PTS beantwortet: Ist dieses Gerät sicher gebaut? Es geht um die Hardware — den Kartenleser, das PIN-Feld, den Schutz gegen Öffnen und Manipulation, die Verschlüsselung direkt beim Einlesen. Diese Frage klären Hersteller und Prüflabore unter sich, bevor ein Gerät überhaupt in den Markt darf. Für Sie als Händler ist sie in dem Moment beantwortet, in dem Sie ein zugelassenes Gerät einsetzen.
PCI DSS beantwortet: Wie gehen Sie mit Kartendaten um? Es geht um Ihre Prozesse, Ihre Netze, Ihre Systeme, Ihre Mitarbeitenden. Diese Frage kann niemand für Sie beantworten — aber Sie können Ihren Aufwand drastisch reduzieren, indem Sie dafür sorgen, dass Kartendaten Ihre Systeme gar nicht erst berühren.
Die Begriffe, die in Angeboten auftauchen
Wer diese sieben Begriffe kennt, kann jedes Sicherheitskapitel eines Angebots lesen, ohne nachzuschlagen.
- 01PCI DSS
- Der Datensicherheitsstandard. Ein Katalog von Anforderungen an alle, die Kartendaten speichern, verarbeiten oder übertragen — von der Firewall über Zugriffsrechte bis zu Protokollierung und Tests. Aktuell ist die Version 4.0.1; die zunächst zukunftsdatierten Anforderungen der Version 4 sind seit dem 31. März 2025 verbindlich.
- 02PCI PTS POI
- Die Sicherheitsanforderungen an Bezahlterminals als Gerät. POI steht für Point of Interaction. Geprüft werden Gehäuseschutz, PIN-Verarbeitung, Schlüsselverwaltung und Firmware. Für neue Gerätezulassungen gilt inzwischen die Version 7.
- 03SAQ
- Der Selbstauskunftsbogen, mit dem kleinere Händler ihre Konformität erklären. Es gibt mehrere Varianten unterschiedlicher Länge. Welche für Sie gilt, hängt davon ab, wie Sie Karten annehmen — das legen Sie mit Ihrem Acquirer fest, nicht nach Gefühl.
- 04Kartendatenumgebung
- Alles, was Kartendaten sieht, speichert oder überträgt — plus alles, was damit verbunden ist. Je kleiner diese Umgebung, desto kleiner der Prüfaufwand. Das ist der wichtigste Hebel überhaupt.
- 05Punkt-zu-Punkt-Verschlüsselung
- Die Kartendaten werden bereits im Lesekopf des Terminals verschlüsselt und erst beim Zahlungsdienstleister wieder entschlüsselt. Dazwischen liegende Systeme — auch Ihre Kasse und Ihr Netz — sehen nur Chiffrat.
- 06Tokenisierung
- Statt der Kartennummer speichert Ihr System einen Platzhalter, mit dem außerhalb des Zahlungsdienstleisters nichts anzufangen ist. So lassen sich Wiederholungszahlungen und Abos abbilden, ohne Kartennummern zu halten.
- 07Service Provider
- Dienstleister in der Zahlungskette — Netzbetreiber, Gateways, Rechenzentren — die sich selbst nach PCI DSS zertifizieren lassen. Lassen Sie sich den aktuellen Nachweis zeigen, statt sich auf ein Logo zu verlassen.
Wen PCI DSS betrifft — und wen nicht
Die Verantwortung für die Einhaltung von PCI DSS liegt bei jedem Händler, der Kartenzahlungen akzeptiert. Sie entsteht nicht aus einem Gesetz, sondern aus dem Regelwerk der Kartensysteme, das über Ihren Akzeptanzvertrag auf Sie durchschlägt. Deshalb steht in diesem Vertrag ein Abschnitt dazu — und deshalb fragt Ihr Acquirer irgendwann nach einer Selbstauskunft.
Kein Dienstleister kann Ihnen diese Verantwortung abnehmen. Was er kann, ist den Aufwand senken: durch Geräte, die Kartendaten verschlüsseln, bevor sie Ihr Netz berühren, durch Bezahlseiten, die er selbst hostet, durch Tokenisierung statt Speicherung. Wer behauptet, Sie seien mit seinem Produkt "von PCI befreit", sagt etwas Falsches. Richtig ist: Ihr Prüfumfang kann sehr klein werden.
Für einen kleinen Betrieb, der ausschließlich über ein zugelassenes Terminal mit Punkt-zu-Punkt-Verschlüsselung kassiert und keine Kartendaten speichert, bleibt am Ende ein überschaubarer Selbstauskunftsbogen und eine Handvoll organisatorischer Regeln. Für einen Onlineshop mit eigenem Bezahlformular auf dem eigenen Server sieht die Rechnung völlig anders aus.
Wie das Setup den Aufwand bestimmt
Entscheidend ist eine einzige Frage: Kommen die Kartendaten irgendwann in Ihre Systeme? Je klarer die Antwort nein lautet, desto kleiner wird alles Weitere.
| Aufbau | Wo die Kartendaten hinkommen | Aufwand für Sie |
|---|---|---|
| Zugelassenes Terminal, Betrag wird eingetippt | nur ins Terminal, verschlüsselt weiter | klein: Selbstauskunft, Geräteschutz, Hausregeln |
| Kasse mit angebundenem Terminal, Punkt-zu-Punkt-Verschlüsselung | nur ins Terminal, die Kasse sieht nur den Betrag | klein bis mittel: zusätzlich Netz- und Zugriffsregeln für die Kasse |
| Onlineshop mit gehosteter Bezahlseite des Dienstleisters | gar nicht in Ihre Systeme, die Eingabe erfolgt beim Dienstleister | klein: Integritätspflege der Shopseite, keine Kartendaten bei Ihnen |
| Onlineshop mit eigenem Bezahlformular auf eigenem Server | vollständig in Ihre Systeme | groß: gesamte Serverumgebung ist Prüfgegenstand |
| Telefonische Bestellung, Kartennummer wird notiert | auf Papier und in Köpfe | sehr groß und praktisch kaum beherrschbar — besser Zahlungslink verschicken |
Welcher Selbstauskunftsbogen konkret einschlägig ist, hängt von der Konstellation ab und wird mit dem Acquirer festgelegt. Stand 1. August 2026.
Warum eine gehostete Bezahlseite den Aufwand senkt
Im Onlinegeschäft entscheidet ein technisches Detail über Ihren gesamten Prüfumfang: Wo tippt die Kundin ihre Kartennummer ein? Liegt das Eingabefeld auf Ihrem Server, laufen die Daten durch Ihre Infrastruktur — und damit wird Ihre gesamte Serverumgebung Teil der Kartendatenumgebung, samt Datenbanken, Logs, Backups und allem, was mit ihnen verbunden ist.
Liegt das Eingabefeld dagegen beim Zahlungsdienstleister — als Weiterleitung auf dessen Bezahlseite oder als eingebettetes Feld, das er ausliefert —, sieht Ihr Server die Kartennummer nie. Er erfährt nur, dass eine Zahlung erfolgreich war, und bekommt gegebenenfalls einen Token zurück. Das ist derselbe Gedanke wie die Punkt-zu-Punkt-Verschlüsselung am Ladentisch, nur für den Onlinekanal.
Der Preis dafür ist ein Stück gestalterische Freiheit: Eine gehostete Bezahlseite lässt sich anpassen, aber nicht beliebig. Für die allermeisten Betriebe ist das ein guter Tausch. Wer das eigene Formular unbedingt braucht, sollte vorher wissen, was er sich damit an dauerhaftem Aufwand einkauft — es ist kein einmaliges Projekt, sondern eine jährlich wiederkehrende Pflicht.
Ein Zwischenweg für den Telefonverkauf: Statt Kartennummern am Hörer zu notieren, verschicken Sie einen Zahlungslink. Der Kunde zahlt selbst, auf der Seite des Dienstleisters, und in Ihrem Betrieb entsteht kein einziger Zettel mit Kartendaten.
Was das Terminal selbst beisteuert
Ein nach PCI PTS zugelassenes Terminal ist kein normales Stück Elektronik. Es ist so gebaut, dass ein Öffnungsversuch erkannt wird und das Gerät sich unbrauchbar macht: Die kryptografischen Schlüssel werden gelöscht, das Terminal verweigert den Dienst. Das PIN-Feld ist gegen Auslesen geschützt, und die Kartendaten werden bereits im Lesekopf verschlüsselt.
Für neue Gerätezulassungen gilt inzwischen die siebte Fassung dieser Anforderungen. Für die vorherige Fassung hat das Gremium Übergangsregelungen veröffentlicht; die genauen Stichtage werden regelmäßig angepasst. Praktisch relevant ist für Sie vor allem eines: Geräte haben ein Zulassungsende, und ein Terminal, das im Regal seines Herstellers ausläuft, wird Sie irgendwann zu einem Tausch zwingen. Fragen Sie beim Angebot nach dem Zulassungsstatus des angebotenen Modells — bei jedem Anbieter.
In Deutschland kommt ein zweiter Standard dazu: Die Deutsche Kreditwirtschaft gibt mit dem Technischen Anhang und dem gemeinsamen Zulassungsverfahren für Bezahlterminals eigene Regeln vor. Darin stecken unter anderem der girocard-spezifische Kontaktlos-Kernel, Verschlüsselungsvorgaben und das Verifikationslimit von 50 Euro für kontaktlose Zahlungen ohne PIN. Wer girocard-Terminals betreibt, braucht dafür eine Zulassung nach dem jeweils geltenden Stand dieses Regelwerks — auch das eine Frage, die Sie jedem Anbieter stellen dürfen.
PCI DSS und PCI PTS im direkten Vergleich
Wenn Sie nur eine Tabelle mitnehmen: diese. Sie beantwortet die meisten Rückfragen aus dem Betrieb.
| Frage | PCI DSS | PCI PTS POI |
|---|---|---|
| Was wird geprüft? | Prozesse, Netze, Systeme, Personen | das Gerät selbst: Gehäuse, PIN-Feld, Schlüssel, Firmware |
| Wen betrifft es? | jeden Händler und jeden Dienstleister in der Kette | Hersteller und Anbieter des Terminals |
| Was müssen Sie tun? | Selbstauskunft und laufende Einhaltung | ein zugelassenes Gerät einsetzen und den Zulassungsstatus im Blick behalten |
| Wie oft? | wiederkehrend, in der Regel jährlich | einmal je Gerätemodell durch den Hersteller, mit Ablaufdatum |
| Was senkt den Aufwand? | Kartendaten aus den eigenen Systemen heraushalten | Geräte mit aktueller Zulassung und laufender Firmwarepflege |
Was Sie im Alltag selbst in der Hand haben
Der größte Teil der Sicherheit an der Kasse ist keine Technik, sondern Routine. Diese Punkte kosten nichts und fallen bei jeder Prüfung positiv auf.
- 01Gerät nicht unbeaufsichtigt lassen
- Ein Terminal, das nachts frei zugänglich auf dem Tresen liegt, ist eine Einladung. Mobile Geräte gehören in eine abschließbare Lade oder eine Ladestation im gesicherten Bereich.
- 02Geräte regelmäßig ansehen
- Prüfen Sie Siegel, Kabel und Gehäuse auf Auffälligkeiten. Aufgesetzte Leseköpfe und zusätzliche Kabel fallen nur auf, wenn jemand hinsieht. Eine wöchentliche Sichtprüfung reicht.
- 03Keinen unangekündigten Gerätetausch zulassen
- Ein klassischer Angriff besteht darin, unter dem Vorwand eines Servicetermins ein präpariertes Gerät zu tauschen. Vereinbaren Sie mit Ihrem Anbieter, dass Servicebesuche angekündigt und Seriennummern abgeglichen werden.
- 04Kartennummern nirgends notieren
- Kein Zettel, keine Tabelle, keine Notiz-App, kein Foto. Für wiederkehrende Zahlungen gibt es Tokenisierung, für Telefonverkäufe den Zahlungslink.
- 05Standardpasswörter ändern
- Terminals, Kassen, Router und Portale werden mit Werkseinstellungen ausgeliefert. Das erste Passwort ist immer das schlechteste. Persönliche Zugänge statt eines geteilten Kennworts für alle.
- 06Kassennetz vom Gäste-WLAN trennen
- Das WLAN, in dem Gäste surfen, hat im selben Netz wie Kasse und Terminal nichts verloren. Ein getrenntes Gastnetz ist an jedem handelsüblichen Router in fünf Minuten eingerichtet.
- 07Updates zulassen
- Firmware- und Softwarestände werden aus gutem Grund nachgezogen. Wer Updates dauerhaft verschiebt, weil gerade Saison ist, sammelt Lücken an.
Häufige Fragen zu PCI
Muss ich mich als kleiner Betrieb wirklich mit PCI DSS befassen?
Ja, aber der Aufwand steht in keinem Verhältnis zu dem, was der Name vermuten lässt. Wenn Sie ausschließlich über ein zugelassenes Terminal kassieren und keine Kartendaten speichern, bleibt eine überschaubare Selbstauskunft und ein paar Hausregeln. Ihr Acquirer sagt Ihnen, welcher Bogen für Sie gilt.
Mein Dienstleister ist zertifiziert. Bin ich damit auch konform?
Nein. Die Zertifizierung des Dienstleisters deckt dessen Systeme ab, nicht Ihren Betrieb. Sie reduziert Ihren Prüfumfang erheblich, ersetzt aber Ihre eigene Erklärung nicht. Lassen Sie sich den aktuellen Nachweis geben und legen Sie ihn zu Ihren Unterlagen.
Was ist der Unterschied zwischen PCI PTS und der Zulassung in Deutschland?
PCI PTS ist ein internationaler Hardwarestandard der Kartensysteme. In Deutschland kommt das Regelwerk der Deutschen Kreditwirtschaft hinzu, das für den Betrieb von girocard-Terminals maßgeblich ist. Ein Gerät kann PCI-PTS-zugelassen sein und trotzdem nicht für das deutsche girocard-Verfahren freigegeben — fragen Sie nach beidem.
Wir speichern Kartendaten für Stammkunden. Ist das ein Problem?
Ja, ein erhebliches. Sobald Sie Kartendaten speichern, wird Ihre gesamte Umgebung zum Prüfgegenstand, und im Schadensfall haften Sie in einer ganz anderen Größenordnung. Für wiederkehrende Zahlungen gibt es Tokenisierung: Der Dienstleister hält die Daten, Sie halten nur einen Platzhalter.
Wie oft muss ich das machen?
PCI DSS ist kein Projekt, sondern ein Dauerzustand mit wiederkehrender Bestätigung, üblicherweise jährlich. Je kleiner Ihre Kartendatenumgebung, desto kürzer das jährliche Ritual. Auch das ist ein Argument dafür, Kartendaten konsequent aus dem eigenen Haus herauszuhalten.
Woran erkenne ich ein manipuliertes Terminal?
An Kleinigkeiten: ein zusätzliches Kabel, ein zu locker sitzender Kartenschlitz, ein verändertes Siegel, ein Gerät, das plötzlich anders aussieht als gestern. Notieren Sie die Seriennummern Ihrer Geräte und gleichen Sie sie nach jedem Servicebesuch ab. Bei Verdacht: Gerät außer Betrieb nehmen und den Anbieter anrufen, nicht weiterkassieren.
Was Ihnen niemand versprechen kann
Ein Anbieter kann Ihren Prüfumfang klein halten und Ihnen Technik geben, die Kartendaten von Ihren Systemen fernhält. Ihre eigene Erklärung und Ihre Hausregeln bleiben Ihre Aufgabe — jede gegenteilige Zusage sollte Sie misstrauisch machen.
Rechtsstand und Vorbehalt
Die Angaben auf dieser Seite geben den Stand vom 1. August 2026 wieder. Die genannten Standards werden fortlaufend weiterentwickelt; Versionsstände, Übergangsfristen und Stichtage für Gerätezulassungen ändern sich regelmäßig und werden vom zuständigen Gremium veröffentlicht.
PCI DSS und PCI PTS sind privatrechtliche Regelwerke der Kartensysteme, kein Gesetz — sie wirken über Ihren Akzeptanzvertrag. Diese Darstellung ist eine allgemeine Orientierung und ersetzt keine Rechts- oder Sicherheitsberatung. Welche Anforderungen für Ihren Betrieb konkret gelten, klären Sie mit Ihrem Acquirer und gegebenenfalls mit einer fachkundigen Beratung.