Der Schriftzug INAGRO GmbH steht neben einem türkisblauen und dunkelblauen Markenzeichen auf weißem Hintergrund.
Projekt starten
Wissensdatenbank · Zahlungssysteme & FinTech

PCI DSS Compliance

der Sicherheitsstandard für Kartendaten — 12 Requirements, Merchant Levels und Nachweis per SAQ, ASV-Scan oder QSA-Audit.

Dieser Artikel wurde mithilfe künstlicher Intelligenz erstellt und redaktionell geprüft.

11 Min. Lesezeit
Aktualisiert · Juni 2026
Fachartikel · Expertenbeitrag
Erstgespräch buchen Übersicht ansehen
PCI DSS Compliance
INAGRO Wissensdatenbank · 46 Zahlungssysteme & FinTech
Typ
Konzept / Standard
Kern
Sicherheit von Karteninhaberdaten
Struktur
12 Requirements (6 Bereiche)
Einstufung
Merchant Levels 1–4
Nachweis
SAQ, ASV-Scan, QSA-Audit
DACH-Fokus
Datenhoheit, Outsourcing an PSP
INAGRO Eignung KMU
★★★★★
Kapitel 01 · Überblick

Was ist PCI DSS Compliance – und warum ist es relevant?

PCI DSS (Payment Card Industry Data Security Standard) ist der internationale Sicherheitsstandard für den Umgang mit Karteninhaberdaten, getragen vom PCI Security Standards Council (Visa, Mastercard, American Express u. a.). Er definiert 12 Requirements in sechs Bereichen — von sicherer Netzwerkarchitektur über Verschlüsselung und Zugriffskontrolle bis zu Monitoring und Sicherheitsrichtlinien. Jeder Betrieb, der Kartendaten speichert, verarbeitet oder überträgt, muss PCI DSS einhalten. Die Anforderungstiefe richtet sich nach den Merchant Levels (1–4), die sich am Transaktionsvolumen orientieren.

Für den DACH-Mittelstand ist die wichtigste Stellschraube die Reduktion des PCI-Scopes: Wer Kartendaten nicht selbst berührt, sondern die Zahlung vollständig an einen PSP auslagert (gehostete Bezahlseiten, Tokenisierung), reduziert seine Pflichten erheblich — oft genügt dann ein einfacher SAQ (Self-Assessment Questionnaire). Höhere Levels verlangen ASV-Scans (Approved Scanning Vendor, externe Schwachstellen-Scans) und bei Level 1 ein QSA-Audit (Qualified Security Assessor). INAGRO empfiehlt, den Scope früh zu minimieren (Outsourcing an PSP/Tokenisierung), das passende Level/den passenden SAQ-Typ zu bestimmen und Datenhoheit/EU-Hosting zu beachten. Keine Rechtsberatung — regulatorische Anforderungen (PSD2/PSD3, Verbraucherkredit, Lizenzpflichten) sind im Einzelfall mit Fachjurist:innen / der BaFin-Perspektive zu klären.
INAGRO-Einschätzung
Der zentrale Punkt: PCI DSS ist der Sicherheitsstandard für Kartendaten — 12 Requirements (6 Bereiche), Merchant Levels 1–4 nach Volumen, Nachweis über SAQ, ASV-Scan oder QSA-Audit. Der wichtigste Hebel ist die Scope-Reduktion: Auslagerung an einen PSP (gehostete Seiten/Tokenisierung) senkt die Pflichten erheblich.

Warum PCI DSS Compliance 2026 relevant ist

  • Sicherheit von Kartendaten
  • Klar strukturiert (12 Requirements)
  • Skaliert über Merchant Levels
  • Scope-Reduktion über PSP möglich
  • Anerkannter Nachweis (SAQ/ASV/QSA)
  • International gültig

Die wichtigsten Anwendungsfälle im DACH-Markt

  1. Kartendaten-Sicherheit nachweisen
  2. PCI-Scope über PSP reduzieren
  3. SAQ-Selbstauskunft erstellen
  4. ASV-Scan/QSA-Audit durchführen
  5. Merchant-Level bestimmen
Kapitel 02 · Editionen & Zugang

Editionen & Zugangs-Wege verstehen

Die wichtigsten Bezugswege und Editionen von PCI DSS Compliance im Überblick.

Zugangs-Weg Preis-Modell Inklusive Zielgruppe
PCI-DSS-Strategie kostenlos Scope/Level bestimmen Geschäftsführung/Compliance
SAQ / Selbstauskunft je Level Konformität nachweisen Compliance/IT
ASV-Scan / QSA-Audit Service Externe Prüfung/Nachweis IT-Security/Compliance
Lizenz- & Verfügbarkeits-Hinweis
Wichtiger Hinweis: Zahlungs-/FinTech-Themen sind keine Rechtsberatung — regulatorische Anforderungen (PSD2/PSD3, Verbraucherkredit, Lizenzpflichten) sind im Einzelfall mit Fachjurist:innen / der BaFin-Perspektive zu klären. Bei Tools/Dienstleistern: Lizenzstatus, Verarbeitungsort/EU-Hosting, AVV und Datenhoheit prüfen.
Kapitel 03 · Eignung

Wer nutzt PCI DSS Compliance – und wer besser nicht?

PCI DSS Compliance passt gut zu:

  • Händler, die Kartenzahlung akzeptieren
  • E-Commerce mit Karten-Checkout
  • Hoher Transaktionsvolumen (Level)
  • Datensicherheits-/Nachweisbedarf

PCI DSS Compliance passt schlecht zu:

  • Keine Kartendaten berührt/akzeptiert
  • PCI-Scope nicht reduzieren wollen
  • Standard als ‚einmalig‘ abhaken
  • —

PCI-Nachweis nach Merchant Level

Nachweis Charakter Typischer Einsatz
SAQ Selbstauskunft Level 2–4 (je Typ)
ASV-Scan Externer Scan Internetfähige Systeme
QSA-Audit Externes Audit Level 1 (höchstes Volumen)
Scope-Reduktion Outsourcing/Token Pflichten minimieren
Einordnung
Einordnung: Der Nachweis richtet sich nach dem Merchant Level (Transaktionsvolumen): SAQ (Selbstauskunft) für niedrigere Levels (je nach SAQ-Typ), ergänzende ASV-Scans für internetfähige Systeme und ein QSA-Audit bei Level 1. Der wirksamste Hebel ist die Scope-Reduktion durch Outsourcing an einen PSP und Tokenisierung — sie verschiebt Pflichten und vereinfacht den Nachweis erheblich.
Kapitel 04 · Funktionen

Funktionen & was PCI DSS Compliance konkret kann

Kern-Fähigkeiten

  • 12 Requirements (6 Bereiche)
  • Merchant-Level-Einstufung (1–4)
  • SAQ (Self-Assessment Questionnaire)
  • ASV-Scan (externe Scans)
  • QSA-Audit (Level 1)
  • Scope-Reduktion (PSP/Tokenisierung)

Charakter & Stärken im Kontext

Der Charakter ist strukturierter Sicherheitsstandard für Kartendaten. Im DACH-Kontext zählt vor allem die Scope-Reduktion: Wer Kartendaten nicht selbst speichert/verarbeitet, sondern vollständig an einen PSP auslagert (gehostete Bezahlseiten, Tokenisierung), reduziert die PCI-Pflichten deutlich — oft genügt ein einfacher SAQ. Die Anforderungstiefe folgt den Merchant Levels (1–4); Nachweis über SAQ, ASV-Scan oder (Level 1) QSA-Audit. Datenhoheit/EU-Hosting beachten. Keine Rechtsberatung — regulatorische Anforderungen (PSD2/PSD3, Verbraucherkredit, Lizenzpflichten) sind im Einzelfall mit Fachjurist:innen / der BaFin-Perspektive zu klären.
Charakter im Kontext
Charakter im Kontext: PCI DSS ist der verbindliche Sicherheitsstandard für Kartendaten — am wichtigsten ist die Scope-Reduktion über den PSP. Level bestimmt die Nachweistiefe (SAQ/ASV/QSA); Tokenisierung und gehostete Bezahlseiten minimieren Pflichten.
Kapitel 05 · Preise

Preise & Kosten realistisch kalkulieren

Die typischen Kostendimensionen von PCI DSS Compliance für deutsche Unternehmen.

  • PCI-DSS-Strategie: kostenlos
  • SAQ/Selbstauskunft: je Level/Typ
  • ASV-Scan: Service (periodisch)
  • QSA-Audit (Level 1): Audit
  • Scope-Reduktion senkt Aufwand (Nutzen)
Kosten-Hinweis
Kosten-Hinweis: Der Standard ist kostenlos; Kosten entstehen je nach Level/Nachweis: SAQ (gering), periodische ASV-Scans (Service) und bei Level 1 ein QSA-Audit (aufwendig). Der größte Hebel ist die Scope-Reduktion (Outsourcing an PSP, Tokenisierung) — sie senkt Aufwand und Kosten erheblich und vereinfacht den Nachweis. Datenhoheit/EU-Hosting mitbedenken.
Kapitel 06 · Umsetzung

Implementierung & Einführung im Unternehmen

Typischer Einführungs-Pfad

01
Use-Case- & Prozess-Analyse
Welche Prozesse, Abteilungen, Volumina und Systeme sind betroffen? Eignung, Datenschutz-Anforderung und Erfolgskriterien für PCI DSS Compliance definieren.
02
Pilot & Proof of Concept
PCI DSS Compliance an einem klar abgegrenzten Prozess testen, Stabilität und Wartbarkeit messen, Berechtigungen und Datenquellen prüfen.
03
Rollout & Center of Excellence
Schrittweiser Rollout, Aufbau von Betriebs-/CoE-Strukturen, Schulung sowie Governance für Zugriffe, Credentials und Aufbewahrung.
04
Betrieb & Skalierung
Stabilität und ROI monitoren, weitere Prozesse erschließen und die Lösung bei Änderungen der Zielsysteme zuverlässig warten.
DSGVO- & Governance-Setup

Wesentliche Datenschutz- und Governance-Punkte, die bei der Einführung sauber aufgesetzt werden müssen:

Datenstandort & Hosting
prüfen (EU-Region bzw. Self-Hosting) und vertraglich festhalten
Auftragsverarbeitungsvertrag (AVV)
mit dem Anbieter abschließen
Berechtigungs-Konzept
nur auf notwendige Systeme und Daten berechtigen
Protokollierung & Audit-Trail
für nachvollziehbare, revisionssichere Abläufe
Sensible Daten
(Personal-, Finanz-, Gesundheitsdaten) klassifizieren und Zugriffe einschränken
Governance
für Lebenszyklus, Credentials-Verwaltung und Aufbewahrung etablieren
Praxis-Hinweis
Praxis-Hinweis: Zuerst den PCI-Scope minimieren (Zahlung vollständig an PSP auslagern, gehostete Bezahlseiten/Tokenisierung, keine Kartendaten selbst berühren), dann Merchant-Level und SAQ-Typ bestimmen und den Nachweis (SAQ, ASV-Scan, ggf. QSA-Audit) erbringen. Datenhoheit/EU-Hosting/AVV prüfen. Keine Rechtsberatung.
Kapitel 07 · Ökosystem

Integrationen & Ökosystem

Nachweis

  • SAQ/ASV-Scan
  • QSA-Audit

Scope

  • PSP-Outsourcing
  • Tokenisierung
Ökosystem-Hinweis
Ökosystem-Hinweis: PCI DSS Compliance (Cluster A) wird in der Praxis stark über PSPs (Stripe/Adyen/Computop/Saferpay u. a.) und Tokenisierung umgesetzt; es verbindet sich mit 3D Secure 2, Payment-Methoden im DACH und Embedded Finance.
Kapitel 08 · Bewertung

INAGRO-Praxisbewertung & typische Fallstricke

Die häufigsten Fehler bei PCI DSS Compliance im DACH

Fehler 1: PCI-Scope nicht reduzieren Lösung: An PSP auslagern/Tokenisierung.
Fehler 2: Kartendaten selbst speichern Lösung: Gehostete Bezahlseiten nutzen.
Fehler 3: Falsches Level/SAQ wählen Lösung: Level/SAQ-Typ bestimmen.
Fehler 4: PCI als einmalig sehen Lösung: Periodisch nachweisen/scannen.
Fehler 5: Datenhoheit ignorieren Lösung: EU-Hosting/AVV prüfen.
Stärken
  • Kartendaten-Sicherheit
  • Klar strukturiert (12 Requirements)
  • Skaliert über Merchant Levels
  • Scope-Reduktion über PSP
  • Anerkannter Nachweis
  • International gültig
Einschränkungen
  • Aufwand bei hohem Level (QSA)
  • Periodische Nachweise/Scans nötig
  • Komplexität ohne Scope-Reduktion
  • Datenhoheit/EU-Hosting beachten
  • Fachwissen erforderlich
  • Keine Rechtsberatung ersetzt
Realistische Empfehlung

PCI DSS Compliance ist kein Selbstzweck — die Wahl folgt Use-Case, vorhandenem Stack/Bestand und der Verfügbarkeit von Fachkräften. Im Zweifel herstellerneutral prüfen, was wirklich zum Ziel passt.

Kapitel 09 · Häufige Fragen

Häufig gestellte Fragen zu PCI DSS Compliance

Was ist PCI DSS?
Der Payment Card Industry Data Security Standard — der internationale Sicherheitsstandard für den Umgang mit Karteninhaberdaten, getragen vom PCI Security Standards Council (Visa, Mastercard u. a.). Er definiert 12 Requirements in sechs Bereichen (Netzwerk, Schutz von Kartendaten, Zugriffskontrolle, Monitoring, Richtlinien). Jeder, der Kartendaten speichert, verarbeitet oder überträgt, muss ihn einhalten.
Was sind die Merchant Levels?
Eine Einstufung (Level 1–4) nach Transaktionsvolumen, die die Anforderungstiefe und den Nachweis bestimmt. Niedrigere Levels nutzen meist einen SAQ (Self-Assessment Questionnaire) und ggf. ASV-Scans; Level 1 (höchstes Volumen) verlangt ein QSA-Audit durch einen Qualified Security Assessor.
Wie reduziere ich den PCI-Scope?
Indem die Zahlung vollständig an einen Payment Service Provider ausgelagert wird (gehostete Bezahlseiten, Tokenisierung), sodass der eigene Betrieb keine Kartendaten speichert, verarbeitet oder überträgt. Das senkt die Pflichten erheblich — oft genügt dann ein einfacher SAQ. Die Scope-Reduktion ist der wichtigste Hebel.
Was sind SAQ, ASV und QSA?
SAQ ist die Selbstauskunft (Self-Assessment Questionnaire), ASV der Approved Scanning Vendor (externe Schwachstellen-Scans internetfähiger Systeme) und QSA der Qualified Security Assessor (externes Audit, v. a. bei Level 1). Welcher Nachweis nötig ist, hängt von Level und Scope ab.
Brauche ich PCI DSS, wenn ein PSP die Zahlung abwickelt?
Auch dann bleibt eine — meist stark reduzierte — PCI-Verantwortung bestehen (z. B. ein einfacher SAQ), da der Standard auch die Anbindung betrifft. Die genaue Pflicht hängt vom Setup ab und ist im Einzelfall zu klären. Keine Rechtsberatung — Anforderungen mit Fachjurist:innen / der BaFin-Perspektive klären.
Auf dieser Seite
Verwandte Themen
3D Secure 2
Payment-Methoden im DACH
Embedded Finance & BaaS
Sie überlegen den Einsatz von PCI DSS Compliance?
In einem 30-minütigen Erstgespräch klären wir Fit, Kosten und Umsetzungs-Pfad – unverbindlich und kostenlos.
Erstgespräch buchen →

Payment-Stack & PSD2-Compliance strategisch angehen

Brauchen Sie eine ehrliche PCI DSS Compliance-Strategie?

Wir prüfen herstellerunabhängig, ob und wo sich PCI DSS Compliance für Ihr Unternehmen rechnet: Eignung, Kosten-/Lizenzstrategie, Governance, Datenschutz-Setup und Umsetzungs-Pfad – pragmatisch auf den Mittelstand zugeschnitten.

Projekt starten
Erstgespräch buchen

Seit 2006 am Markt

Erfahrung aus über 100 Digitalprojekten

DSGVO & Souveränität

Datenschutz von Anfang an mitgedacht

Rückmeldung in 24 h

Schnell, direkt, unverbindlich

Der Schriftzug INAGRO GmbH steht neben einem türkisblauen und dunkelblauen Markenzeichen auf weißem Hintergrund.
Projekt starten