PCI DSS ist der Sicherheitsstandard der Kreditkartenindustrie für alle Organisationen, die Karteninhaberdaten verarbeiten; Version 4.0 verlangt in Anforderung 11.4 regelmäßige Penetrationstests.
Der Payment Card Industry Data Security Standard (PCI DSS) ist ein verbindlicher Sicherheitsstandard für alle Organisationen, die Kreditkartendaten speichern, verarbeiten oder übertragen: Händler, Zahlungsdienstleister, Acquirer, Hosting-Anbieter mit Kartendaten im Scope. Er wird nicht vom Gesetzgeber, sondern vom PCI Security Standards Council herausgegeben, das die großen Kartenorganisationen 2006 gegründet haben. Die Verbindlichkeit entsteht vertraglich über Acquirer und Kartenorganisationen; bei Verstößen drohen Strafgebühren, erhöhte Transaktionsentgelte oder der Verlust der Akzeptanzberechtigung.
Die aktuelle Version 4.0 wurde 2022 veröffentlicht und hat die Vorgängerversion 3.2.1 im März 2024 vollständig abgelöst. Die zunächst als „Best Practice“ eingestuften neuen Anforderungen sind seit dem 31. März 2025 verpflichtend. Die Pflegeversion 4.0.1 präzisiert einzelne Formulierungen, ohne neue Anforderungen hinzuzufügen.
Aufbau und Testanforderungen
PCI DSS gliedert sich in zwölf Anforderungen in sechs Zielbereichen, von der Netzwerksicherheit über den Schutz gespeicherter Kartendaten und Zugriffskontrolle bis zu Überwachung, Tests und Sicherheitsrichtlinien. Für offensive Sicherheitstests sind vor allem zwei Anforderungen maßgeblich:
- Anforderung 11.3: interne und externe Schwachstellenscans mindestens vierteljährlich und nach wesentlichen Änderungen; externe Scans durch einen zugelassenen Approved Scanning Vendor.
- Anforderung 11.4: externe und interne Penetrationstests mindestens jährlich und nach wesentlichen Änderungen, nach einer dokumentierten Methodik, auf Netzwerk- und Anwendungsebene. Die Segmentierung, die den Kartendatenbereich vom restlichen Netz trennt, ist ebenfalls zu testen; Dienstleister müssen dies halbjährlich tun.
Der Nachweis erfolgt je nach Transaktionsvolumen über einen Selbstbewertungsfragebogen (SAQ) oder ein Audit durch einen Qualified Security Assessor (QSA) mit Report on Compliance.
Bedeutung für Unternehmen
PCI DSS ist einer der wenigen Standards, die Penetrationstests nicht nur empfehlen, sondern konkret vorschreiben, inklusive Frequenz, Umfang und Methodik. Entsprechend ist er für viele Unternehmen der erste Anlass, überhaupt Tests zu beauftragen. Das führt zu einem typischen Fehler: Der Test wird auf den minimal definierten Kartendatenbereich (Cardholder Data Environment) beschränkt, obwohl der Angreifer sich an dessen Grenzen nicht hält.
Aus Red-Team-Sicht ist genau die Segmentierung der interessante Punkt. Ein Angreifer, der über Phishing einen Client im Büronetz übernimmt, versucht per Lateral Movement in den Kartendatenbereich zu gelangen. Der Segmentierungstest nach 11.4 prüft, ob das gelingt. Wer ihn ernst nimmt, bekommt eine Antwort, die weit über die Kartendaten hinaus Aussagekraft hat.
Praxis-Hinweise
- Definieren Sie den Scope sauber und reduzieren Sie ihn aktiv: Jeder Server, der keine Kartendaten sieht, gehört aus dem Kartendatenbereich heraus.
- Lassen Sie Penetrationstests von Personen durchführen, die organisatorisch unabhängig vom Betrieb der geprüften Systeme sind. PCI DSS verlangt diese Unabhängigkeit ausdrücklich.
- Kombinieren Sie den Pflichttest mit einem Assumed-Breach-Szenario aus dem Büronetz, um die Segmentierung unter realistischen Bedingungen zu prüfen.
- Planen Sie den Retest ein: Behobene Findings müssen nachweislich geschlossen sein, bevor der Assessor den Report unterschreibt.