PCI DSS 4.0: Ab April 2025 gelten neue Sicherheitsvorgaben für Online-Händler!

Die Sicherheit von Online-Zahlungen steht im Fokus: Der Payment Card Industry Data Security Standard (PCI DSS) legt strenge Richtlinien fest, um den Schutz sensibler Kreditkartendaten zu gewährleisten. Bereits seit März 2024 ist die Version 4.0 des PCI DSS in Kraft, doch ab dem 31. März 2025 werden einige bisher empfohlene Best Practices zur verpflichtenden Anforderung für Online-Händler.

Was bedeutet das konkret? Welche Neuerungen gibt es? Und wie können Händler sicherstellen, dass sie rechtzeitig konform sind? Dieser Artikel gibt einen Überblick über die neuen Vorschriften und ihre Auswirkungen auf den E-Commerce.

Inhalt

1. Was ist der PCI DSS 4.0?
2. Welche neuen Anforderungen gelten ab April 2025?
3. Welche Unternehmen sind betroffen?
4. Warum ist PCI DSS 4.0 so wichtig?
5. Fazit: Jetzt handeln und rechtzeitig PCI-konform werden

Was ist der PCI DSS 4.0?

Der PCI DSS ist ein Sicherheitsstandard, der entwickelt wurde, um den Schutz von Kreditkartentransaktionen zu optimieren. Er gilt für alle Unternehmen, die Kreditkartendaten speichern, verarbeiten oder übertragen. Seit der Einführung im Jahr 2006 wurde der Standard kontinuierlich an technologische Entwicklungen und neue Bedrohungsszenarien angepasst.

Die Version 4.0, die bereits am 31. März 2022 veröffentlicht wurde, trat offiziell zum 1. April 2024 in Kraft. Allerdings waren einige der neuen Sicherheitsmaßnahmen zunächst nur als Best Practices deklariert. Ab dem 31. März 2025 werden diese Maßnahmen verpflichtend für alle Unternehmen, die Kreditkartenzahlungen abwickeln.

Welche neuen Anforderungen gelten ab April 2025?

1. Stärkere Passwortrichtlinien für Administratoren

Administratorkonten müssen künftig mit Passwörtern gesichert werden, die mindestens 12 Zeichen lang sind. Dadurch soll das Risiko durch unsichere oder leicht zu erratende Passwörter minimiert werden. Die Nutzung eines Passwortmanagers wird dringend empfohlen, um die Verwaltung komplexer Zugangsdaten zu erleichtern.

2. Zwei-Faktor-Authentifizierung (2FA) wird verpflichtend

Der Zugriff auf administrative Bereiche muss durch eine Zwei-Faktor-Authentifizierung (2FA) geschützt werden. Neben dem Passwort ist ein zusätzlicher Identifikationsfaktor erforderlich, beispielsweise ein Einmalcode per Authenticator-App oder ein Sicherheitsschlüssel. Diese Maßnahme verhindert unbefugten Zugriff, selbst wenn Login-Daten kompromittiert wurden.

3. Content Security Policy (CSP) als Pflichtmaßnahme

Eine Content Security Policy (CSP) dient als Schutzmechanismus gegen Cross-Site-Scripting (XSS) und schadhafte Skripte. Sie legt fest, welche externen Inhalte auf einer Seite geladen werden dürfen, wodurch potenzielle Manipulationen oder Angriffe auf den Checkout-Prozess reduziert werden.

4. Regelmäßige externe Sicherheitsscans

Alle 90 Tage sind externe Sicherheitsscans durch einen zertifizierten PCI Approved Scanning Vendor (ASV) durchzuführen. Diese Scans helfen, Schwachstellen im System frühzeitig zu identifizieren und rechtzeitig Sicherheitslücken zu schließen.

Welche Unternehmen sind betroffen?

Die neuen Sicherheitsanforderungen gelten grundsätzlich für alle Unternehmen, die Kreditkartenzahlungen akzeptieren. Dabei spielt es keine Rolle, ob die Zahlungsabwicklung über ein eingebettetes Formular im Checkout oder per Weiterleitung an einen Payment Service Provider (PSP) erfolgt.

Insbesondere folgende Unternehmen müssen sich auf die neuen Richtlinien einstellen:

• Betreiber von Online-Shops und digitalen Marktplätzen
• Dienstleister, die Kreditkartenzahlungen abwickeln
• Unternehmen mit Abo-Modellen oder wiederkehrenden Zahlungen
• Anbieter von Ticket- und Buchungssystemen

Kreditkartensicherheit ist kein freiwilliger Standard, sondern eine geschäftskritische Anforderung, die nicht nur Compliance-Risiken, sondern auch das Kundenvertrauen direkt beeinflusst.

Warum ist PCI DSS 4.0 so wichtig?

Die Neuerungen sind kein Selbstzweck, sondern dienen dem Schutz der sensiblen Zahlungsdaten der Kunden. Cyberangriffe auf Zahlungsplattformen nehmen stetig zu, und gestohlene Kreditkartendaten sind ein begehrtes Ziel für Hacker. Ein sicherer Checkout-Prozess ist daher entscheidend, um das Vertrauen der Kunden zu gewährleisten und finanzielle Verluste durch Betrug oder Datenpannen zu vermeiden.

Vorteile einer frühzeitigen Umsetzung:

• Erhöhte Sicherheit: Schutz vor Cyberangriffen und Datenlecks
• Kundenschutz: Vertrauen der Kunden in sichere Transaktionen stärken
• Vermeidung von Strafen: Hohe Bußgelder und Reputationsverluste verhindern
• Wettbewerbsvorteil: Compliance mit modernen Sicherheitsstandards als Qualitätsmerkmal

Fazit: Jetzt handeln und rechtzeitig PCI-konform werden

Die neuen Anforderungen des PCI DSS 4.0 treten im April 2025 verbindlich in Kraft. Online-Händler sollten sich daher nicht erst auf den letzten Drücker vorbereiten, sondern bereits jetzt ihre Systeme und Prozesse überprüfen. Wer frühzeitig handelt, minimiert Risiken und kann sich auf eine sichere Zahlungsabwicklung verlassen.

Empfohlene Schritte zur Vorbereitung:
✅ Sicherheitsstandards der eigenen Plattform überprüfen
✅ Zwei-Faktor-Authentifizierung für Administratoren einrichten
✅ Starke Passwortrichtlinien implementieren
✅ Content Security Policy (CSP) aktivieren
✅ Regelmäßige Security-Scans mit zertifizierten Anbietern durchführen

Digitale Sicherheit ist ein kontinuierlicher Prozess. Wer heute investiert, ist morgen besser geschützt!