„Können Sie mir einen PCI DSS-zertifizierten Lesekopf verkaufen?" ist die falsche Frage

Bei ID TECH erreichen uns viele technische Fragen rund um das Zahlungsgeschäft. Dabei herrscht mitunter Unsicherheit über die Anforderungen der Payment Card Industry. So erhalten wir beispielsweise Fragen wie: „Können Sie uns ein PCI DSS-Zertifikat für diese Geräte ausstellen?" oder „Ich finde Produkt X nicht auf der PCI-Website – ist es P2PE-zertifiziert?"

Dies sind durchaus gängige Fragen, die jedoch bisweilen auf falschen Annahmen beruhen. Wer davon ausgeht, dass nicht PCI-zertifizierte Geräte grundsätzlich weniger sicher sind als PCI-zertifizierte, liegt schlichtweg falsch.

ID TECH bietet PCI PTS SRED-zertifizierte Hardware an (wie etwa den abgebildeten SREDKey, aber auch Augusta S, Spectrum Pro, SecuRED, VP8800 und weitere), doch auch unsere Geräte ohne SRED-Zertifizierung sind hochsichere Produkte, die für die meisten der heute am Markt entwickelten Zahlungslösungen eingesetzt werden können.

PCI DSS ist eine Systemlösung, die die Zertifizierung aller Komponenten eines Zahlungssystems erfordert – nicht nur der Hardware. PCI DSS umfasst 12 konkrete Anforderungen daran, wie eine konforme Lösung die Sicherheit von Zugangsdaten und Karteninhaberdaten gewährleisten muss. Die folgenden Punkte entstammen direkt der PCI-Dokumentation.

Kontrollziele

PCI DSS-Anforderungen

Bei der Lektüre der Anforderungen findet sich keine Aussage darüber, welche peripheren Zahlungs-Hardware-Komponenten PCI von Lösungsanbietern verlangt. PCI legt in erster Linie Wert darauf, dass die Anforderungen erfüllt werden, und weniger darauf, wie Sie die Anforderungen erfüllen. Wenn ein Lösungsanbieter eine PCI DSS-Zertifizierung anstrebt, kann er einen nicht verschlüsselnden Lesegerät verwenden – das würde die Lösung jedoch einer zusätzlichen Prüfung hinsichtlich des Umgangs mit sensiblen Daten aussetzen. Durch den Einsatz eines verschlüsselnden Kartenlesers, bei dem der Händler weder lokal noch innerhalb der Zahlungsumgebung in der Lage ist, die Kartendaten zu entschlüsseln, kann der QSA (Qualified Security Assessor) dem Händler sehr wahrscheinlich dabei helfen, eine erhebliche Reduzierung des Prüfungsumfangs bei den Anforderungen Nr. 3, 4 und 9 zu erzielen. (Die tatsächliche Umfangsreduzierung liegt jedoch im Ermessen des Prüfers.)

Nur sehr wenige PCI-Anforderungen beziehen sich auf Hardware. Die einzige Hardware, die PCI als solche zertifiziert, sind sogenannte PCI PTS (PIN Transaction Security)- oder SRED-Geräte, in denen die Anforderung zur sicheren Erfassung und Übertragung von Daten (Secure Reading and Exchange of Data, SRED) verankert ist. Nicht-SRED-Geräte können (und verfügen in der Regel) über dieselben Verschlüsselungsfunktionen wie SRED-Geräte, jedoch fehlen ihnen die erforderlichen Manipulationsschutzmechanismen, die für eine SRED-Qualifikation notwendig sind. (Hinweis: PCI stellt zudem strenge Anforderungen an Hersteller in Bezug auf die sichere Softwareentwicklung, sichere Software-Upgrades usw. SRED-Geräte müssen während ihres gesamten Lebenszyklus sicher sein.) Die verschlüsselnden Geräte von ID TECH – auch jene, die keine SRED-Geräte sind – können technisch gesehen als PCI-konform betrachtet werden, da sie in vielen aktuell zertifizierten PCI DSS-Lösungen eingesetzt werden. Die Lesegeräte selbst sind jedoch nicht „PCI-zertifiziert". Die PCI DSS-Zertifizierung bezieht sich auf die gesamte Lösung und ist kein gerätebezogener Standard.

P2PE

In der Zahlungsbranche besteht ein weit verbreitetes Missverständnis hinsichtlich des Begriffs „P2PE" (Point-to-Point-Verschlüsselung). Wenn Menschen von „P2PE" sprechen, meinen sie häufig tatsächlich E2EE (Ende-zu-Ende-Verschlüsselung). Wenn ein Händler ein Zahlungssystem einsetzt, das Karteninhaberdaten auf Hardware-Ebene verschlüsselt und diese verschlüsselten Daten an die POS-Anwendung weitergibt, die sie anschließend an ein (entferntes) Zahlungsgateway überträgt, spricht man von Ende-zu-Ende-Verschlüsselung. P2PE hingegen ist eine offizielle PCI-Zertifizierung, die alle Aspekte einer Transaktion umfasst: die eingesetzte Hardware (die SRED-konform sein muss), die Einsatzumgebung, die Datenverarbeitung (die den P2PE-Vorschriften entsprechen muss), die Zahlungsanwendung sowie die Key-Injection- und Entschlüsselungsinfrastruktur. Der bloße Einsatz eines SRED-Geräts macht ein System nicht automatisch P2PE-konform.

Es ist wichtig zu wissen, dass P2PE-Zertifizierungen äußerst kostspielig und selten sind. Die meisten Unternehmen, die glauben, „P2PE" zu benötigen, brauchen es in Wirklichkeit nicht. Prüfen Sie Ihren tatsächlichen Bedarf daher sorgfältig.

Haben Sie Fragen zur PCI-Zertifizierung oder zur Sicherheit von Zahlungsgeräten? Die technischen Experten von ID TECH helfen Ihnen gerne weiter. Rufen Sie uns jederzeit an:

Gebührenfreie Rufnummer
1-800-984-1010

Der Beitrag dieses Monats wurde von Jason Hall, Product Manager für Unattended Solutions bei ID TECH, unter Mitwirkung von Kas Thomas verfasst.