PCI DSS Penetrationstest Pflicht nach Requirement 11.4
Der PCI DSS (Payment Card Industry Data Security Standard) verlangt von allen Unternehmen, die Karteninhaberdaten speichern, verarbeiten oder übertragen, regelmäßige interne und externe Penetrationstests. Wir liefern PCI-konforme Pentests inklusive Segmentierungsprüfung.
Was ist der PCI DSS?
Der PCI DSS ist der Sicherheitsstandard der Kreditkartenindustrie, herausgegeben vom PCI Security Standards Council (gegründet von u. a. Visa, Mastercard, American Express). Er definiert in zwölf übergeordneten Anforderungen, wie Karteninhaberdaten zu schützen sind. Die aktuelle Version ist v4.0 (bzw. v4.0.1).
Für Penetrationstests ist Requirement 11.4 maßgeblich: Es verlangt eine dokumentierte Pentest-Methodik sowie interne und externe Penetrationstests mindestens alle zwölf Monate und nach signifikanten Änderungen. Wird die Cardholder Data Environment (CDE) durch Segmentierung vom übrigen Netz getrennt, muss zusätzlich die Wirksamkeit dieser Segmentierung getestet werden.
Herausgeber
PCI SSC
Pflicht
Requirement 11.4
Turnus
mind. alle 12 Monate
Was verlangt Requirement 11.4?
Requirement 11.4 fordert einen strukturierten, wiederkehrenden Pentest-Prozess für die Cardholder Data Environment – auf Netzwerk- und Applikationsebene, von innen und außen.
Scope & CDE
Karteninhaberdaten-Umgebung und Perimeter abgrenzen
Externer Pentest
Internetseitig erreichbare Systeme der CDE prüfen
Interner Pentest
Angriffspfade aus dem internen Netz in die CDE testen
Segmentierungstest
Wirksamkeit der Netz-Trennung bestätigen
Bericht & Re-Test
Findings beheben und prüffähig nachweisen
Was droht ohne PCI-DSS-Konformität?
PCI DSS ist eine vertragliche Pflicht gegenüber Banken und Kartenanbietern. Verstöße werden über die Acquirer und Card Brands durchgesetzt – besonders teuer wird es nach einem Datenleck.
Vertragsstrafen
Fines durch Card Brands
Acquirer-Banken können bei Nichtkonformität monatliche Strafzahlungen verhängen und weiterreichen.
Höhere Haftung
Teure Folgen nach Datenpanne
Bei einem Vorfall ohne Nachweis der Konformität drohen Haftung, Forensik-Kosten, Wiederausstellung von Karten und Reputationsschaden.
Akzeptanzverlust
Verlust der Kartenakzeptanz
Im Extremfall kann die Fähigkeit, Kartenzahlungen zu akzeptieren, eingeschränkt oder entzogen werden.
Unsere PCI-DSS-Penetrationstests
Wir decken die in Requirement 11.4 geforderten Testarten ab – mit nachvollziehbarer, prüffähiger Dokumentation.
Externer Pentest
Prüfung der von außen erreichbaren Systeme der CDE auf ausnutzbare Schwachstellen.
Interner Pentest
Test der Angriffspfade aus dem internen Netzwerk in die Karteninhaberdaten-Umgebung.
Segmentierungstest
Nachweis, dass die CDE wirksam von Out-of-Scope-Netzen getrennt ist – wie von 11.4 gefordert.
Applikations-Pentest
Prüfung der zahlungsrelevanten Anwendungen auf Schwachstellen (passend zu Requirement 6).
Wer braucht einen PCI-DSS-Pentest?
PCI DSS betrifft jede Organisation, die Karteninhaberdaten speichert, verarbeitet oder überträgt – unabhängig von der Größe.
Händler (Merchants)
Online- und stationäre Händler, die Kartenzahlungen akzeptieren.
Payment Service Provider
Zahlungsdienstleister und Payment-Gateways mit Zugriff auf Kartendaten.
E-Commerce-Plattformen
Webshops und Plattformen, die Zahlungsdaten verarbeiten oder weiterleiten.
Service Provider
Dienstleister, die kartendatenrelevante Systeme für andere betreiben (verkürzter Segmentierungs-Turnus).
Unser Vorgehen
Ein klar strukturierter Prozess – von der ersten Beratung bis zum prüffähigen Nachweis.
Erstgespräch & Scoping
Kostenlos: Wir grenzen Ihre CDE ab und bestimmen den passenden Testumfang nach 11.4.
Externer & interner Pentest
Netzwerk- und Applikationsebene über den gesamten CDE-Perimeter.
Segmentierungstest
Bestätigung der wirksamen Isolierung der Karteninhaberdaten-Umgebung.
Bericht & Maßnahmen
Prüffähige Dokumentation mit priorisiertem Maßnahmenkatalog.
Re-Test
Nachtest der behobenen Findings als Konformitätsnachweis.
Weitere Standards & Regularien
Wir decken die gängigen Sicherheits- und Compliance-Anforderungen ab. Sehen Sie sich verwandte Themen an.
Häufige Fragen
PCI DSS Penetrationstest betrifft Sie? Sprechen wir darüber.
Kostenlose Erstberatung – wir analysieren Ihre Ausgangslage und zeigen den schnellsten Weg zur Konformität.