Fast jeder Restaurantbesitzer erlebt die PCI-Compliance auf dieselbe Weise: Ein Posten auf dem Händlerauszug mit der Bezeichnung „Gebühr wegen Nichteinhaltung“, 30 Dollar pro Monat, der ohne Erklärung auftaucht. Jemand ruft den Zahlungsabwickler an, wird aufgefordert, einen Fragebogen auszufüllen, öffnet ein für Banken verfasstes PDF mit 300 Fragen und schließt es wieder. Die Gebühr wird weiterhin erhoben. So sieht es mit PCI im Gastgewerbe aus: eine jährliche Verpflichtung, die die meisten Betreiber entweder ignorieren oder vortäuschen, bis ein Kartenmissbrauch dazu führt, dass plötzlich niemand mehr über etwas anderes reden will. So aufwendig muss es nicht sein. Für die meisten Restaurants besteht die ehrliche Antwort aus einem Fragebogen mit etwa 30 Fragen, einer Handvoll Netzwerkeinstellungen und einer Zahlungsabwicklung, die Kartendaten von vornherein aus Ihrem Haus fernhält. Wenn die Zahlungsabwicklung in Ihrem Restaurant direkt im Terminal verschlüsselt wird, haben Sie den schwierigsten Teil bereits erledigt, ohne es zu wissen.
Dieser Leitfaden erklärt, was der Standard tatsächlich verlangt, welcher Fragebogen für Ihre Konfiguration gilt, wie Sie Ihren Verantwortungsbereich eingrenzen können, was Sie Ihre Anbieter fragen sollten und was die Nichteinhaltung wirklich kostet, wenn etwas schiefgeht. Der mit Abstand wichtigste Faktor ist eher architektonischer als verfahrenstechnischer Natur: Wie Ihr Restaurant-Kassensystem und Ihre Terminals mit Kartendaten umgehen, entscheidet darüber, ob die Einhaltung der Vorschriften nur ein kurzes jährliches Formular oder ein echtes Projekt ist.
Was ist PCI DSS und wer setzt es tatsächlich durch?
PCI DSS steht für „Payment Card Industry Data Security Standard“. Es handelt sich um eine Reihe technischer und betrieblicher Anforderungen für alle, die Zahlungskartendaten annehmen, verarbeiten, speichern oder übertragen. Die aktuelle Version ist 4.0.1, und die Anforderungen, die im Rahmen der Version 4 schrittweise eingeführt wurden, sind am 31. März 2025 verbindlich geworden, es gibt also keine Übergangsfrist mehr, auf die man verweisen könnte.
Hier liegt der Punkt, der für Verwirrung sorgt: PCI ist kein Gesetz, und keine staatliche Behörde setzt es durch. Es handelt sich um einen vertraglichen Standard, der von den Kartenmarken Visa, Mastercard, American Express, Discover und JCB geschaffen wurde und der für Sie durch den Händlervertrag gilt, den Sie mit Ihrer akquirierenden Bank oder Ihrem Zahlungsabwickler unterzeichnet haben. Dieser Vertrag ist der Grund, warum die Einhaltung der Vorschriften nicht optional ist, auch wenn niemals ein Prüfer an Ihre Tür klopfen wird. Ihr Acquirer kann Ihnen eine Geldstrafe auferlegen, Ihre Gebühren erhöhen oder Ihnen die Möglichkeit entziehen, Kartenzahlungen anzunehmen.
In mehreren Ländern wurden darüber hinaus gesetzliche Vorschriften erlassen. In der EU und im Vereinigten Königreich gilt ein Kartenmissbrauch gemäß DSGVO auch als Verletzung des Schutzes personenbezogener Daten, verbunden mit einer 72-Stunden-Meldepflicht und Strafen in einer ganz anderen Größenordnung. In den USA haben die meisten Bundesstaaten Gesetze zur Meldung von Datenschutzverletzungen, und einige haben PCI direkt in ihre Gesetzgebung aufgenommen. Praktisch gesehen ist PCI also vertraglicher Natur, doch seine Konsequenzen sind häufig rechtlicher Art.
Ihre Händlerstufe bestimmt, wie Sie die Einhaltung der Vorschriften nachweisen. Stufe 4, mit weniger als etwa 20.000 E-Commerce-Transaktionen oder weniger als 1 Million Kartentransaktionen insgesamt pro Jahr, deckt die überwiegende Mehrheit der unabhängigen Restaurants und kleiner Ketten ab und erfordert einen von Ihnen unterzeichneten jährlichen Fragebogen zur Selbstbewertung. Stufe 1, bei mehr als 6 Millionen Transaktionen pro Jahr, bedeutet ein Audit vor Ort durch einen qualifizierten Sicherheitsprüfer. Wenn Sie weniger als ein Dutzend Standorte betreiben, fallen Sie mit ziemlicher Sicherheit unter Stufe 4, und dies ist eher eine Formalität in Bezug auf Unterlagen und Konfiguration als ein Audit.
Warum Restaurants stärker betroffen sind als die meisten anderen Branchen
Das Gastgewerbe steht seit zwei Jahrzehnten ganz oben in den Statistiken zum Kartenbetrug, und die Gründe dafür sind eher struktureller Natur als auf Nachlässigkeit zurückzuführen.
Sie wickeln ein sehr hohes Volumen an Transaktionen mit physischer Kartenzahlung und geringen Beträgen ab, was Sie für Kriminelle attraktiv macht, die Kartennummern in großem Umfang sammeln. Sie betreiben ein Netzwerk, das mehrere verschiedene Aufgaben gleichzeitig erfüllen muss: Kassen, Küchenanzeigen, Backoffice, Reservierungen, Musik, Kameras und Gäste-WLAN, häufig über einen einzigen Router, der von demjenigen konfiguriert wurde, der das Internet installiert hat. Die Personalfluktuation ist hoch, sodass die Zahl der Personen, die in den letzten fünf Jahren physischen Zugriff auf Ihre Terminals hatten, groß ist. Ihre Geräte stehen in einem öffentlich zugänglichen Raum und sind zeitweise unbeaufsichtigt. Und die meisten Restaurants verfügen über keinerlei IT-Abteilung, was bedeutet, dass niemand die Verantwortung für die Router-Firmware, das Betriebssystem der Kasse oder die Frage trägt, wer noch über ein Passwort verfügt.
Die Sicherheitsverletzungen, die in die Schlagzeilen geraten, lassen sich in der Regel auf drei Ursachen zurückführen: Malware am Kassensystem, die Kartendaten aus dem Speicher abgreift, bevor diese verschlüsselt werden, was bei einer langen Liste von Ketten passiert ist. Physische Skimmer oder ausgetauschte Terminals, die innerhalb von Sekunden von jemandem installiert werden, der sich als Techniker ausgibt. Oder ein nicht gepatchtes Fernzugriffstool, oft das, das Ihr Kassensystemanbieter für den Support nutzt, das mit einem Standard- oder gemeinsam genutzten Passwort belassen wurde.
Beachten Sie, dass alle drei Angriffe dasselbe Ziel haben: den Moment, in dem lesbare Kartendaten an einem Ort vorhanden sind, den Sie kontrollieren. Diese Erkenntnis ist der Schlüssel dazu, PCI-Konformität überschaubar zu machen.
Die zwölf Anforderungen, in „Restaurant-Sprache“
PCI DSS umfasst zwölf übergeordnete Anforderungen, die in sechs Ziele unterteilt sind. Aus der Auditsprache übersetzt lauten sie wie folgt:
1. Installieren und warten Sie Netzwerksicherheitsmaßnahmen. Richten Sie eine Firewall zwischen dem Internet und den Geräten ein, die mit Kartendaten in Berührung kommen. Das WLAN für Gäste darf sich nicht im selben Netzwerk wie Ihre Kassensysteme befinden.
2. Wenden Sie sichere Konfigurationen an. Ändern Sie alle Standardpasswörter und -einstellungen an Routern, Terminals und dem Kassensystem selbst. Standard-Zugangsdaten gehören nach wie vor zu den häufigsten Ursachen für Sicherheitsverletzungen.
3. Schützen Sie gespeicherte Kontodaten. Speichern Sie keine Kartennummern. Falls dies wirklich unvermeidbar ist, müssen diese verschlüsselt werden, und der Sicherheitscode auf der Rückseite darf nach der Autorisierung niemals gespeichert werden, nicht einmal für eine Minute, nicht einmal in einer Notiz.
4. Verschlüsseln Sie Daten während der Übertragung. Kartendaten, die ein offenes Netzwerk durchlaufen, müssen mit aktuellen Protokollen verschlüsselt werden.
5. Schützen Sie sich vor Schadsoftware. Installieren Sie auf jedem Allzweckcomputer in der Zahlungsumgebung eine Anti-Malware-Software und halten Sie diese auf dem neuesten Stand.
6. Entwickeln und warten Sie sichere Systeme. Installieren Sie Sicherheitspatches. Wenn Sie eine Online-Bestellseite betreiben, wurden mit Version 4 spezifische Pflichten hinsichtlich der Verwaltung und Überwachung der auf Ihren Zahlungsseiten ausgeführten Skripte hinzugefügt.
7. Beschränken Sie den Zugriff auf das für den Geschäftsbetrieb erforderliche Maß. Der Tellerwäscher benötigt keinen Zugriff auf das Manager-Menü der Kasse.
8. Identifizieren Sie Benutzer und authentifizieren Sie den Zugriff. Individuelle Anmeldungen, keine gemeinsam genutzten Konten und Multi-Faktor-Authentifizierung für jeden Fern- oder Administratorzugriff. Das einzelne Manager-Passwort, das mit Klebeband im Kassenschubfach befestigt ist, verstößt eindeutig gegen diese Vorschrift.
9. Beschränken Sie den physischen Zugriff. Kontrollieren Sie, wer Terminals bedienen darf, und überprüfen Sie diese auf Manipulationen.
10. Protokollieren und überwachen Sie den Zugriff. Führen Sie Aufzeichnungen darüber, wer welche Aktionen auf Systemen durchgeführt hat, die Kartendaten verarbeiten.
11. Testen Sie die Sicherheit regelmäßig. Führen Sie vierteljährliche externe Schwachstellenscans durch, wenn Systeme mit Internetanbindung betroffen sind.
12. Pflegen Sie eine Richtlinie zur Informationssicherheit. Halten Sie diese schriftlich fest, schulen Sie das Personal jährlich und erstellen Sie einen Plan zur Reaktion auf Sicherheitsvorfälle.
Als Liste gelesen sieht das aus wie ein IT-Programm für Unternehmen. In einem Restaurant, das Kartendaten aus seinen eigenen Systemen ferngehalten hat, werden die meisten dieser Anforderungen durch die bereits angeschaffte Ausrüstung erfüllt, und Ihre Aufgabe besteht darin, dies zu bestätigen und zu dokumentieren, anstatt etwas Neues aufzubauen.
Welcher Fragebogen gilt für Sie?
Der Selbstbewertungsfragebogen (Self-Assessment Questionnaire, SAQ) gibt es in mehreren Versionen, und die Auswahl der richtigen Version ist die wertvollste Zehn-Minuten-Aufgabe im gesamten Prozess. Der Unterschied zwischen der kürzesten und der längsten Version liegt bei etwa 30 Fragen gegenüber mehr als 300.
Der SAQ P2PE ist der Hauptgewinn. Er gilt, wenn Sie Zahlungen ausschließlich über Hardware-Terminals abwickeln, die Teil einer vom PCI Council gelisteten, validierten Point-to-Point-Verschlüsselungslösung sind. Etwa 33 Fragen. Die Kartendaten werden im Lesegerät verschlüsselt, bevor sie überhaupt in Ihre Systeme gelangen, sodass fast nichts in Ihrem Restaurant in den Geltungsbereich fällt.
SAQ B-IP gilt für eigenständige, PTS-zugelassene Terminals, die über IP verbunden sind und bei denen keine Kartendaten elektronisch gespeichert werden. Etwa 80 Fragen; sehr häufig bei kleinen, unabhängigen Betrieben.
SAQ C gilt, wenn eine Zahlungsanwendung auf einem verbundenen System Kartendaten verarbeitet, das Terminal über Ihr Kassensystem kommuniziert und nichts gespeichert wird. Etwa 160 Fragen. Hier fallen standardmäßig viele Restaurants unter diese Kategorie.
SAQ A gilt ausschließlich für den Kartenzahlungsverkehr ohne physische Kartenpräsenz, bei dem alle Zahlungsfunktionen vollständig an einen konformen Drittanbieter ausgelagert sind. Wenn Ihre Online-Bestellung zu einer gehosteten Checkout-Seite weiterleitet, deckt dies diesen Bereich ab.
SAQ A-EP gilt für E-Commerce, bei dem Ihre eigene Website zwar keine Kartendaten empfängt, aber Einfluss auf die Zahlungsseite nimmt, zum Beispiel durch einen eingebetteten Iframe, der Ihrer Kontrolle unterliegt.
SAQ D deckt alle anderen Fälle ab und ist sehr umfangreich. Wenn Ihnen mitgeteilt wird, dass Sie SAQ D benötigen, betrachten Sie dies als Hinweis darauf, Ihre Konfiguration anzupassen, anstatt sofort mit dem Ausfüllen von Formularen zu beginnen.
Die meisten Restaurants wickeln Zahlungen über mehr als einen Kanal ab: Terminals vor Ort, Online-Bestellungen und telefonische Reservierungen, bei denen eine Karte zur Buchungssicherung benötigt wird. Jeder Kanal wird geprüft, sodass Sie möglicherweise mehr als einen Fragebogen ausfüllen müssen. Der Telefonkanal wird von Betreibern oft vergessen und stellt häufig das größte Sicherheitsrisiko dar.
Schränken Sie den Umfang ein, bevor Sie etwas ausfüllen
Die zentrale Erkenntnis des modernen PCI-Standards ist, dass er für Systeme gilt, die Kartendaten speichern, verarbeiten oder übertragen. Entfernen Sie Kartendaten aus einem System, und dieses System fällt aus dem Geltungsbereich heraus. Wenn Sie dies gründlich tun, schrumpft die jährliche Aufgabe von einem Projekt auf ein Formular.
Punkt-zu-Punkt-Verschlüsselung. Mit einer validierten P2PE-Lösung verschlüsselt der Kartenleser die Daten im Moment des Auflegens oder Einsteckens unter Verwendung von Schlüsseln, die sich nicht in Ihren Systemen befinden. Was durch Ihr Netzwerk und Ihren POS fließt, ist unlesbarer Chiffretext. Ihre Kasse, Ihr Router und Ihr Backoffice fallen hinsichtlich der Daten selbst aus dem Geltungsbereich heraus. Fragen Sie ausdrücklich nach einer Lösung, die vom PCI Council als validiert gelistet ist, da viele Anbieter ihre Verschlüsselung als „End-to-End“ bezeichnen, ohne über diese Listung zu verfügen.
Tokenisierung. Anstelle einer Kartennummer speichert Ihr System ein bedeutungsloses Token, das nur Ihr Zahlungsabwickler wieder der ursprünglichen Karte zuordnen kann. Dadurch lassen sich gespeicherte Karten für Stammkunden, Barrechnungen, Schutz vor Nichterscheinen und Abonnement-Mitgliedschaften sicher verwalten. Die Kartennummer wird niemals in Ihrer Datenbank gespeichert.
EMV und kontaktlos. Chip- und kontaktlose Transaktionen lassen sich nicht auf dieselbe Weise klonen wie Magnetstreifendaten. Über die Sicherheit hinaus ist EMV aus wirtschaftlicher Sicht wegen der Haftungsumkehr von Bedeutung: Bei Betrug mit physisch vorgelegter Karte trägt die Partei mit der weniger sicheren Technologie den Verlust; ein Restaurant, das weiterhin Magnetstreifen ausliest, entscheidet sich also dafür, Rückbuchungen zu tragen, die es hätte abwehren können.
Netzwerksegmentierung. Platzieren Sie Zahlungsgeräte in einem eigenen Netzwerksegment, getrennt vom Gäste-WLAN, von Kameras, der Musikanlage und den Bürocomputern. Diese eine Änderung begrenzt sowohl den Umfang als auch die Ausbreitungseffekte von Problemen, die anderswo auftreten.
Wenn Sie diese vier Punkte richtig umsetzen, kann ein Restaurant, das ursprünglich auf SAQ C oder D absehen musste, oft stattdessen SAQ P2PE oder B-IP erfüllen. Das ist der Unterschied zwischen einem Nachmittag und der Rechnung eines Beraters.
Was Sie Ihren POS-Anbieter und Ihren Zahlungsabwickler fragen sollten
Anbieter werden Ihnen versichern, dass ihr Produkt PCI-konform ist. Dieser Satz allein sagt jedoch nicht viel aus, denn die Konformität ist eine Eigenschaft Ihrer gesamten Umgebung, nicht eines einzelnen Geräts. Stellen Sie kritische Fragen und lassen Sie sich die Antworten schriftlich geben.
Ist Ihre Zahlungslösung vom PCI Council als validierte P2PE-Lösung gelistet, und können Sie mir die Referenznummer dieser Listung zukommen lassen? Welchen SAQ-Typ kann ich mit der von Ihnen empfohlenen Konfiguration ausfüllen? Werden Kartennummern tokenisiert, und wo befindet sich der Token-Speicher? Werden Kartendaten über Hardware in meinem Restaurant übertragen oder dort gespeichert? Wie handhaben Sie den Fernzugriff für den Support, und erfolgt dieser mehrstufig mit individuellen Konten statt über ein gemeinsames Passwort? Wie werden Software- und Betriebssystem-Patches bereitgestellt, und wie sieht der Zeitplan dafür aus? Werden Sie eine Konformitätsbescheinigung für Ihre Rolle als Dienstleister vorlegen? Was geschieht mit gespeicherten Zahlungsdaten, wenn ich zu einem anderen Anbieter wechsle?
Zwei Antworten sollten Sie beunruhigen. Ein Anbieter, der nicht sagen kann, welches SAQ seine Konfiguration unterstützt, hat sich keine Gedanken über Ihre Verpflichtungen gemacht. Und ein Anbieter, der einen permanenten Fernzugriffstunnel mit gemeinsamen Zugangsdaten unterhält, beschreibt den häufigsten Angriffsvektor in der Branche.
Fragen Sie Ihren Zahlungsabwickler separat, welche Gebühren bei Nichteinhaltung der Vorschriften anfallen, ob ein Compliance-Portal und vierteljährliche Scans enthalten sind und ob eine Deckung der Kosten bei Datenschutzverletzungen angeboten wird. Viele bündeln einen Scan-Anbieter ohne Aufpreis, und Betreiber zahlen doppelt dafür, einfach weil niemand danach gefragt hat. Es lohnt sich auch, nachzulesen, wie der Anbieter Datensicherheit und Hosting im weiteren Sinne handhabt, da dieselben Maßnahmen, die Kartendaten schützen, auch Ihre Gäste- und Verkaufsdaten schützen.
Das Netzwerk, das niemand beachtet
In den meisten Restaurants ist das schwächste Glied ein Router in einem Schrank hinter Serviettenkartons, der vor Jahren installiert wurde, auf dem noch die ursprünglich mitgelieferte Firmware läuft und dessen Passwort auf einem Aufkleber steht.
Beheben Sie die offensichtlichen Probleme. Ändern Sie die Standard-Administrator-Zugangsdaten am Router, an den Access Points und an jedem Terminal. Aktualisieren Sie die Firmware und planen Sie dies vierteljährlich ein. Richten Sie das Gäste-WLAN in einem wirklich separaten Netzwerk ein, anstatt nur ein anders benanntes Passwort im selben Netzwerk zu verwenden, und lassen Sie niemals ein Zahlungsgerät im Gäste-Netzwerk laufen. Deaktivieren Sie die Fernverwaltung über das Internet, es sei denn, Sie haben einen triftigen Grund dafür. Führen Sie ein schriftliches Inventar aller Geräte, die mit Zahlungen in Berührung kommen, einschließlich Tablets und Handhelds, denn was niemand aufgelistet hat, kann man auch nicht sichern.
Achten Sie auf den Backoffice-Computer. Er ist in der Regel der älteste Rechner im Gebäude, wird für Terminplanung, Rechnungsstellung, E-Mail und privates Surfen genutzt und befindet sich häufig im selben flachen Netzwerk wie die Kassen. Wenn ein Mitarbeiter auf diesem Rechner einen infizierten Anhang öffnet und Ihre Kassen nur einen Schritt entfernt sind, hat das Netzwerk Ihnen nichts genützt. Segmentieren Sie das Netzwerk oder ersetzen Sie den Rechner.
Alte Betriebssysteme verdienen eine gesonderte Erwähnung. Kassenterminals mit Windows-Versionen, für die seit Jahren keine Sicherheitsupdates mehr bereitgestellt werden, sind im Gastgewerbe nach wie vor bemerkenswert verbreitet, und keine noch so umfangreiche Dokumentation macht sie konform. Wenn Ihr POS-Anbieter seine Systeme weiterhin auf einem nicht mehr unterstützten Betriebssystem ausliefert, ist das ein Grund, den Anbieter zu wechseln, und kein Grund, eine Ausgleichskontrolle zu definieren.
Mitarbeiter, Skimmer und das Problem der telefonischen Bestellungen
Anforderung 9 betrifft die physische Sicherheit, und in einem Restaurant lässt sich dies in eine kurze Routine umsetzen, die tatsächlich funktioniert.
Führen Sie ein Geräteverzeichnis mit Marke, Modell und Seriennummer und überprüfen Sie die Terminals anhand dieses Verzeichnisses. Eine wöchentliche Überprüfung auf nicht übereinstimmende Seriennummern, unbekannte Anbauteile, lockere Gehäuse oder neue Kabel dauert zwei Minuten und deckt die überwiegende Mehrheit der Skimming-Versuche auf. Schulen Sie das Personal so, dass niemand ein Terminal berührt, austauscht oder wartet, ohne dass ein Termin vereinbart wurde, den ein Manager durch einen Anruf beim Anbieter unter einer bekannten Nummer bestätigt hat. Angreifer, die sich als Techniker ausgeben, sind eine dokumentierte und wirksame Methode, gerade weil das Personal im Gastgewerbe darauf geschult ist, hilfsbereit zu sein.
Auch das Bezahlen am Tisch spielt hier eine Rolle. Wenn man einem Kunden ein kabelloses Terminal reicht, anstatt seine Karte mitzunehmen, wird eine ganze Risikokategorie beseitigt, einschließlich des Skimmings durch das Personal, und die Gäste empfinden dies als Professionalität und nicht als Verdächtiges.
Dann das Problem mit dem Telefon. Restaurants nehmen ständig Kartennummern telefonisch entgegen, für große Reservierungen, Anzahlungen, Catering und zum Schutz vor Nichterscheinen, und die Nummer wird auf ein Reservierungsblatt geschrieben, in eine Buchungsnotiz eingegeben oder laut quer durch einen Raum mit einer Kamera darin wiederholt. Aufgeschriebene Kartennummern in einem Terminkalender stellen einen Verstoß gegen die PCI-Vorschriften dar und sind ein echtes Haftungsrisiko. Das Speichern des dreistelligen Sicherheitscodes nach der Autorisierung ist ohne Ausnahme strengstens verboten. Ersetzen Sie diese Vorgehensweise: Versenden Sie einen sicheren Zahlungslink, nutzen Sie eine gehostete Vorautorisierung aus Ihrem Buchungssystem oder tokenisieren Sie die Karte zum Zeitpunkt der Erfassung. Diese eine Änderung beseitigt in den meisten Restaurants mehr tatsächliches Risiko als alle anderen Punkte auf der Liste.
Eine jährliche Schulung zur Sensibilisierung für Sicherheitsfragen ist ebenfalls vorgeschrieben und muss nicht aufwendig sein. Fünfzehn Minuten bei einer Mitarbeiterversammlung, in denen über Skimmer gesprochen wird, darüber, dass man niemals Zugangsdaten weitergibt, niemals Kartennummern aufschreibt und an wen man sich sofort wenden muss, wenn etwas verdächtig erscheint, gefolgt von einer unterschriebenen Anwesenheitsliste, erfüllen sowohl die Norm als auch den gesunden Menschenverstand.
Was die Nichteinhaltung tatsächlich kostet
Die sichtbaren Kosten sind gering, was genau der Grund dafür ist, dass sie ignoriert werden. Zahlungsabwickler erheben eine Gebühr für die Nichteinhaltung der Vorschriften in Höhe von etwa 20 bis 50 Dollar pro Monat; ein Betreiber, der den Fragebogen nie ausfüllt, zahlt also vielleicht 400 Dollar im Jahr und betrachtet dies als lästigen Posten.
Die Kosten nach einem Sicherheitsverstoß sind eine ganz andere Kategorie. Die über Ihren Acquirer abgerechneten Bußgelder der Kreditkartenunternehmen liegen üblicherweise zwischen 5.000 und 100.000 Dollar, skaliert nach dem Transaktionsvolumen und der Dauer der Sicherheitslücke. Eine forensische Untersuchung durch einen zugelassenen Ermittler ist ab bestimmten Schwellenwerten vorgeschrieben und kostet in der Regel 10.000 bis 50.000 Dollar, die von Ihnen zu tragen sind. Hinzu kommen Kosten für die Neuausstellung von Karten, die pro Karte in Rechnung gestellt werden, Betrugsverluste sowie die Betriebskosten für die Sperrung Ihrer Terminals, während der Vorfall geklärt wird. In der EU und im Vereinigten Königreich kommen noch die Meldepflicht gemäß DSGVO innerhalb von 72 Stunden sowie die daraus resultierenden regulatorischen Risiken hinzu.
Eine Cyber-Haftpflichtversicherung lohnt sich, und es lohnt sich, die Versicherungsbedingungen genau zu lesen. Viele Policen enthalten eine Klausel, die die Einhaltung der PCI-Standards vorschreibt. Das bedeutet, dass ein Versicherer einen Anspruch eines Händlers ablehnen kann, der eine unrichtige Selbstauskunft unterzeichnet hat. Eine unwahre Selbstauskunft ist schlimmer als gar keine, da sie einen technischen Fehler in eine dokumentierte Falschdarstellung verwandelt.
Es gibt auch noch versteckte Kosten. Ein Datenleck in einem Restaurant um die Ecke ist eine lokale Nachricht, und das Vertrauen, das man sich über Jahre hinweg bei Stammgästen aufgebaut hat, übersteht keinen Brief ihrer Bank, in dem erklärt wird, wo ihre Karte kompromittiert wurde.
Die jährliche Routine und was diese Woche zu tun ist
Sobald Ihre Einrichtung korrekt ist, ist die Einhaltung der Vorschriften ein kurzer, wiederkehrender Zyklus. Jährlich: Füllen Sie den korrekten SAQ aus, unterzeichnen Sie die Konformitätserklärung, laden Sie diese auf das Portal Ihres Zahlungsabwicklers hoch, überprüfen und aktualisieren Sie Ihre Sicherheitsrichtlinie und führen Sie Mitarbeiterschulungen durch. Vierteljährlich: Führen Sie externe Schwachstellenscans durch einen zugelassenen Scan-Anbieter durch, falls Sie internetgestützte Systeme im Geltungsbereich haben, überprüfen Sie Firmware und Patches und prüfen Sie, wer Zugriff auf was hat. Wöchentlich: Vergleichen Sie die Terminals mit Ihrem Gerätebestand. Wenn Mitarbeiter das Unternehmen verlassen: Löschen Sie deren Konten noch am selben Tag, dies ist die Kontrollmaßnahme, bei der die meisten Restaurants versagen, die sich aber am einfachsten beheben lässt.
Wenn Sie ganz von vorne anfangen, gehen Sie in dieser Reihenfolge vor. Rufen Sie Ihren Zahlungsabwickler an und fragen Sie, für welchen SAQ Sie registriert sind und ob Ihre Terminals Teil einer validierten P2PE-Liste sind, da dieser eine Anruf die gesamte Maßnahme zunichte machen könnte. Erstellen Sie das Geräteverzeichnis. Trennen Sie das Gäste-WLAN von den Zahlungsgeräten. Ändern Sie überall die Standardpasswörter und vergeben Sie jeder Person einen eigenen Login. Schreiben Sie Kartennummern nicht mehr auf Papier, sondern richten Sie stattdessen Zahlungslinks oder tokenisierte Reservierungen ein. Füllen Sie dann den Fragebogen ehrlich aus und betrachten Sie jede Frage, die Sie nicht wahrheitsgemäß beantworten können, als Aufgabe und nicht als Kästchen, das Sie ankreuzen müssen.
In dieser Reihenfolge erledigt, ist es ein Nachmittag Arbeit und führt zu einem tatsächlich geringeren Risikoprofil, statt einer reinen Papierübung, die niemanden schützt. Die Restaurants, die Schaden nehmen, sind selten diejenigen, die den Standard gelesen und ihn als schwierig empfunden haben. Es sind vielmehr diejenigen, die das Formular unterschrieben haben, ohne es zu lesen.
Weiterlesen: Umgang mit Rückbuchungen in RestaurantsZahlungsabwicklungsgebühren und die Umstellung auf bargeldloses Bezahlen.
