Rechner für PCI-Konformitätskosten & Anleitung

Ob Ihre Systeme abgesichert oder weitgehend offen sind. Ob Sie es in Eigenregie erledigen, einen Berater beauftragen oder die Aufgabe einem verwalteten Dienst überlassen. Und ob Ihre Mitarbeitenden jemals – jemals – Kartendaten in einen Browser eingeben, statt ein Terminal zu verwenden.

Dieser Rechner schafft Klarheit.

Beantworten Sie einige Fragen zu Ihrer Zahlungsumgebung und Ihrem Sicherheitsniveau, und Sie sehen die Gesamtkosten für das erste Jahr sowie die jährlichen Folgekosten – außerdem, wodurch sie verursacht werden und wie Sie den Betrag senken können, ohne Abstriche zu machen.

So verwenden Sie diesen Rechner für die Kosten der PCI-Konformität

Der Rechner führt Sie systematisch durch Ihre Umgebung:

1. Wählen Sie aus, wie Sie Zahlungen entgegennehmen. Nur im Geschäft, nur online oder beides? Jeder Kanal bringt andere Anforderungen an die Konformität mit sich – der Onlinehandel erfordert Sicherheitsprüfungen, der stationäre Handel bringt Geräteverwaltung hinzu und beim kanalübergreifenden Vertrieb kommen beide Bereiche zusammen.
2. Geben Sie Standorte und Terminals ein. Mehr Geschäfte und POS-Geräte bedeuten mehr Richtlinien, die erstellt werden müssen, mehr Endpunkte, die abgesichert werden müssen, und mehr Geräteverwaltung. Der Rechner berücksichtigt dies automatisch.
3. Wählen Sie Ihr monatliches Kartenvolumen aus. Ein höheres Transaktionsvolumen vervielfacht die Kosten nicht linear, wirkt sich aber auf Prüfanforderungen und die Kontrolle durch den Zahlungsabwickler aus. Der Rechner passt die Berechnung entsprechend an.
4. Passen Sie optionale Einstellungen an. Wählen Sie den Grad der Systemsperrung (Grundlegend, Mittel oder Erweitert). Entscheiden Sie, wer die Konformität übernimmt – in Eigenregie, in Eigenregie mit Unterstützung durch einen Berater oder vollständig verwaltet. Geben Sie an, ob Mitarbeitende Kartendaten in einen Browser eingeben und ob die Terminals validierte P2PE verwenden. Diese Entscheidungen können die Gesamtsumme erheblich verändern.
5. Sehen Sie sich Ihre Schätzung an. Erhalten Sie die Kosten für das erste Jahr (einschließlich Einrichtung) und die laufenden jährlichen Kosten. Die Aufschlüsselung zeigt, wodurch die Gesamtsumme verursacht wird – so können Sie die kostspieligen Faktoren beheben.

Was die Kosten der PCI-Konformität tatsächlich bestimmt

Einige wenige Faktoren bestimmen den größten Teil der Rechnung. Wenn Sie diese verstehen, können Sie bessere Entscheidungen treffen, bevor Sie Verträge unterschreiben.

• Zahlungsablauf und Architektur. Gehosteter Bezahlvorgang, bei dem Ihre Website niemals Kartendaten verarbeitet? Minimaler Geltungsbereich, minimale Kosten. Lokal installierte POS-Systeme in Ihrem flachen Unternehmensnetzwerk? Maximaler Geltungsbereich, maximale Kosten. P2PE-validierte Terminals, die Kartendaten direkt bei der Eingabe verschlüsseln? Irgendwo dazwischen – aber deutlich näher am Minimum.
• Anzahl der Standorte und Terminals. Jeder Geschäftsstandort benötigt Richtlinien, Mitarbeiterschulungen und möglicherweise separate Sicherheitsprüfungen. Jedes Terminal benötigt Geräteverwaltung, Konfigurationsstandards und Sicherheitsupdates. Fünf Standorte mit 20 Terminals kosten mehr als ein Standort mit fünf Terminals – aber bei einer intelligenten Umsetzung nicht proportional mehr.
• Sicherheitsreife. Bereits abgesicherte Systeme mit segmentierten Netzwerken, Verwaltung von Sicherheitsaktualisierungen, Zugriffskontrollen und dokumentierten Richtlinien? Geringere Kosten, weil weniger zu beheben ist. Weitgehend offene Netzwerke, in denen das POS-System die Infrastruktur mit WLAN, Gastgeräten und Administrationsarbeitsplätzen teilt? Höhere Kosten, weil Sie bei null anfangen.
• Eigenregie versus verwaltete Dienste. Berater kosten Geld. Eigenregie kostet Zeit. Die Frage ist nicht, was günstiger ist, sondern womit Sie fristgerecht fertig werden. Wenn Sie ein IT-Team haben, das Netzwerksegmentierung beherrscht und Schwachstellenscans durchführen kann, funktioniert Eigenregie. Wenn Sie ein zweiköpfiges Betriebsteam sind, das 15 Geschäfte betreibt, sollten Sie jemanden beauftragen. Mit dem Rechner können Sie beides vergleichen.
• Menschen und Prozesse. Am teuersten ist es, Mitarbeitende Kartendaten in einen Browser eingeben zu lassen – selbst wenn dies nur gelegentlich geschieht. Wenn ein Filialleiter Kartendaten an einem ungesicherten Laptop in ein virtuelles Terminal eingibt, erweitert sich Ihr Geltungsbereich von einigen wenigen Terminals auf jedes Gerät in Ihrem Netzwerk. Beheben Sie zuerst den Arbeitsablauf und planen Sie anschließend das Budget für die Konformität.

So machen Sie diese Schätzung umsetzbar

Beginnen Sie mit den heutigen Kosten.

Führen Sie den Rechner mit Ihrer aktuellen Einrichtung aus – mit allen Schwachstellen. Geben Mitarbeitende Kartendaten in einen Browser ein? Aktivieren Sie das entsprechende Kontrollkästchen. Flaches Netzwerk? Wählen Sie die Sicherheitsstufe „Grundlegend“. Eigenregie? Wählen Sie diese Option. Das ist Ihre Ausgangsbasis.

Vergleichen Sie die Ergebnisse mit dem Risiko eines Datenlecks.

Ein Datenleck kostet laut Branchenschätzungen durchschnittlich $200 pro kompromittierter Karte für Forensik, Benachrichtigung, Neuausstellung und Markenschäden.

Wenn Sie 1,000 Karten pro Monat verarbeiten und Opfer eines Datenlecks werden, sind das $200,000 an potenzieller Schadenssumme. Plötzlich wirkt ein jährliches Konformitätsprogramm für $10,000 günstig.

Modellieren Sie die optimierte Version.

Führen Sie den Rechner nun erneut mit P2PE-Terminals, gehostetem Bezahlvorgang für den E-Commerce und segmentierten Netzwerken aus.

Sehen Sie den Unterschied? Das ist Ihr Fahrplan. Wenn die Umstellung auf P2PE jährlich $15,000 an Compliance-Aufwand einspart, amortisiert sie sich schnell.

Berücksichtigen Sie Sanktionen der Zahlungsabwickler.

Viele Zahlungsabwickler berechnen Gebühren bei Nichteinhaltung – $50 bis $200 pro Monat, bis Sie Ihr SAQ und Ihre Bestätigung abgeschlossen haben. Allein diese Gebühren können die Kosten für einen Berater oder einen verwalteten Dienst decken.

Unser Leitfaden zur PCI-Konformität für kleine Unternehmen schlüsselt die Sanktionsstrukturen nach Art des Zahlungsabwicklers auf.

Ordnen Sie die Ergebnisse Ihrem SAQ zu.

Wenn der Rechner hohe Kosten anzeigt und Sie überrascht sind, prüfen Sie mithilfe unseres PCI-SAQ-Quiz, unter welches SAQ Sie fallen. Wenn Sie an SAQ D (dem Ungetüm mit 329 Fragen) festhängen, zeigt der Rechner warum – und wie Sie durch eine Verkleinerung des Geltungsbereichs zu einem einfacheren SAQ gelangen.

Konkrete Möglichkeiten, die Gesamtkosten zu senken, ohne Abstriche zu machen

• Nutzen Sie einen gehosteten Bezahlvorgang für den E-Commerce. Halten Sie Kartendaten vollständig von Ihrer Website fern. Verwenden Sie gehostete Bezahlseiten, IFrames oder von Ihrem Zahlungs-Gateway bereitgestellte Zahlungsfelder – nicht Ihr CMS. Dadurch wechseln Sie von SAQ A-EP oder D zu SAQ A und senken die jährlichen Kosten um Tausende.
• Setzen Sie P2PE-validierte Terminals ein. Punkt-zu-Punkt-Verschlüsselung bedeutet, dass Kartendaten am Terminal verschlüsselt werden und verschlüsselt bleiben, bis Ihr Zahlungsabwickler sie entschlüsselt. Keine unverschlüsselten Kartendaten in Ihrer Umgebung bedeuten einen kleineren Geltungsbereich, weniger Kontrollen und kürzere Prüfungen. Fragen Sie Ihren Zahlungsabwickler nach P2PE-Optionen – die Kosten für die Terminals amortisieren sich schnell.
• Segmentieren Sie Ihre Netzwerke. Kassensysteme und Zahlungsterminals sollten die Netzwerkinfrastruktur nicht mit WLAN, Verwaltungsgeräten oder Gastzugängen teilen. Ein segmentiertes VLAN für Zahlungssysteme verkleinert Ihre CDE (Umgebung mit Karteninhaberdaten) von Ihrem gesamten Netzwerk auf lediglich das Zahlungs-Subnetz. Diese eine Änderung kann den Compliance-Aufwand um 60 % senken.
• Automatisieren Sie Scans und das Einspielen von Sicherheitsupdates. Vierteljährliche Schwachstellen-Scans sind für die meisten SAQs erforderlich. Monatliche Scans sind besser – sie erkennen Probleme, bevor diese zu Prüfungsbeanstandungen werden. Automatisiertes Patch-Management hält Systeme aktuell, ohne kurzfristige Notfalleinsätze. Beides reduziert unerwarteten Aufwand während der Compliance-Zyklen.
• Dokumentieren Sie von Anfang an alles. Richtlinien, Schulungsnachweise, Änderungsprotokolle und Inventarlisten. Was nicht dokumentiert ist, ist nicht geschehen – und Prüfer werden Sie die Arbeit wiederholen lassen. Halten Sie die Dinge laufend schriftlich fest, anstatt vor Ihrer jährlichen Validierung in Hektik zu geraten.
• Schulen Sie Ihre Mitarbeiter im Warum, nicht nur im Was. „Schreiben Sie keine Kartennummern auf“ ist eine Regel. „Das Aufschreiben von Kartennummern bedeutet, dass sie in den Geltungsbereich fallen, wodurch sich unsere Compliance-Kosten verdreifachen und wir dem Haftungsrisiko bei Datenschutzverletzungen ausgesetzt sind“ ist eine Begründung. Geschulte Mitarbeiter befolgen Richtlinien – Mitarbeiter, die das Warum verstehen, setzen Richtlinien durch.
• Sichern Sie virtuelle Terminals ab. Wenn Ihr Team virtuelle Terminals (webbasierte Karteneingabe) verwendet, beschränken Sie den Zugriff auf bestimmte Geräte, nutzen Sie Mehrfaktor-Authentifizierung und protokollieren Sie jede Sitzung. Noch besser: Schaffen Sie virtuelle Terminals vollständig ab, indem Sie an jedem Ort, an dem Zahlungen akzeptiert werden müssen, Terminals einsetzen.

Wann Sie es selbst erledigen und wann Sie Hilfe beauftragen sollten

Selbst erledigen ist sinnvoll, wenn:

• Sie weniger als fünf Standorte und ein geringes Transaktionsvolumen haben
• Ihr IT-Team Netzwerksegmentierung, Schwachstellen-Scans und Zugriffskontrollen versteht
• Sie bereits einen gehosteten Bezahlvorgang oder P2PE-Terminals verwenden (minimaler Geltungsbereich)
• Sie Zeit haben, die PCI-Anforderungen zu lernen und alles zu dokumentieren

Beauftragen Sie einen Berater, wenn:

• Sie bei SAQ D festhängen und nicht wissen, wie Sie den Geltungsbereich verkleinern können
• Sie komplexe Umgebungen haben – Einzelhandel mit mehreren Standorten und zentralisierten Systemen
• Ihr IT-Team ausgelastet ist und keine Compliance-Arbeiten übernehmen kann
• Sie jemanden benötigen, der PCI-Anforderungen in konkrete technische Maßnahmen übersetzt

Nutzen Sie einen vollständig verwalteten Dienst, wenn:

• Sie außer grundlegender Unterstützung keine interne IT haben
• Sie schnell wachsen und die Compliance immer wieder Probleme verursacht
• Die Rechnung aufgeht – verwaltete Dienste kosten weniger als die Arbeitszeit Ihres Teams zuzüglich der Beraterhonorare
• Sie eine garantierte jährliche Validierung ohne internes Projektmanagement wünschen

Mit dem Rechner können Sie alle drei Ansätze modellieren. Vergleichen Sie die Zahlen und entscheiden Sie anschließend anhand der Kapazitäten Ihres Teams – nicht nur anhand der Kosten.

Die versteckten Kosten: Wenn Sie es falsch machen

Der Rechner zeigt die direkten Kosten – Tools, Dienste und Zeit. Er zeigt nicht die Kosten einer fehlerhaften PCI-Compliance.

• Kosten einer Datenschutzverletzung. Laut Branchenschätzungen durchschnittlich 200 $ pro Karte. Kleine Einzelhändler, die 500 Karten pro Monat verarbeiten, sind bei einer vollständigen Kompromittierung einem Risiko von 100.000 $ ausgesetzt – für forensische Untersuchungen, Benachrichtigungen, die Neuausstellung von Karten, Anwaltskosten und Markenschäden.
• Strafen der Zahlungsabwickler. Gebühren für die Nichteinhaltung von 50 bis 200 $ pro Monat summieren sich auf 2.400 $ jährlich. Das entspricht einem Berater. Das entspricht P2PE-Terminals. Das entspricht einem verwalteten Dienst. Sie zahlen so oder so – dann können Sie genauso gut für die Compliance statt für Strafen zahlen.
• Nicht bestandene Audits. Wenn Ihr Zahlungsabwickler statt einer Selbsteinschätzung einen Bericht zur Konformität (ROC) verlangt und Sie durchfallen, müssen Sie mit Kosten für die Behebung sowie einem weiteren Audit-Zyklus rechnen. Das Budget wird überschritten. Projekte verzögern sich. Teams geraten unter Druck.
• Ausweitung des Geltungsbereichs durch Abkürzungen. Sie haben dieses eine Mal zugelassen, dass ein Manager eine Karte auf einem nicht kontrollierten Laptop eingibt? Herzlichen Glückwunsch, Ihr Compliance-Geltungsbereich hat sich gerade von drei Terminals auf jedes Gerät in Ihrem Netzwerk ausgeweitet. Die Kosten für die Behebung sind 10x so hoch wie die Kosten für die Bereitstellung eines weiteren Terminals.
• Berechnen Sie den tatsächlichen Betrag – und handeln Sie danach. Nutzen Sie dieses Tool, um die Kosten zu verstehen. Verwenden Sie anschließend unser PCI-SAQ-Quiz, um Ihren SAQ-Typ zu bestätigen, und unseren Leitfaden zur PCI-Compliance für kleine Unternehmen, um Ihren Maßnahmenplan zu erstellen.

Was ist, wenn Ihr Betrag höher als erwartet ist?

Wenn der Rechner Kosten anzeigt, mit denen Sie nicht gerechnet haben, geraten Sie nicht in Panik. Sie haben Optionen.

• Überprüfen Sie zuerst Ihren SAQ.

Nutzen Sie unser PCI-SAQ-Quiz, um zu bestätigen, dass Sie den richtigen Fragebogen ausfüllen.

Viele Unternehmen gehen davon aus, dass sie SAQ D benötigen, obwohl sie sich mit geringfügigen Änderungen für B oder C qualifizieren könnten. Der Wechsel zu einem einfacheren SAQ senkt die Kosten sofort.

• Konzentrieren Sie sich auf Änderungen der Architektur.

Der Wechsel von Zahlungsseiten vor Ort zu einem gehosteten Bezahlvorgang kann die jährlichen Kosten um mehr als 10.000 $ senken.

Die Bereitstellung von P2PE-Terminals anstelle von Standardterminals spart laufenden Scan- und Audit-Aufwand. Das sind keine Behelfslösungen, sondern dauerhafte Kostensenkungen.

• Teilen Sie die Arbeit in Phasen auf.

Sie müssen nicht alles auf einmal beheben.

Beginnen Sie mit den wirkungsvollsten Änderungen – Netzwerksegmentierung, P2PE-Bereitstellung, gehosteter Bezahlvorgang – und kümmern Sie sich anschließend um Richtlinien und Dokumentation. Der Rechner zeigt die Gesamtkosten, aber Sie können die Arbeit auf mehrere Quartale verteilen.

• Vergleichen Sie Ihre Anbieter.

Zahlungs-Gateways unterscheiden sich erheblich darin, wie viel PCI-Aufwand sie verursachen.

Einige übernehmen die Compliance für Sie. Andere wälzen alles auf Sie ab. Unser Vergleich der besten Anbieter von Zahlungs-Gateways berücksichtigt PCI-Aspekte – denn das günstigste Gateway ist nicht günstig, wenn es Ihre Compliance-Kosten verdreifacht.

• Holen Sie mehrere Angebote ein.

Wenn der Rechner nahelegt, dass Sie Unterstützung benötigen, holen Sie Angebote von mehreren QSAs (qualifizierten Sicherheitsgutachtern) oder Anbietern verwalteter Dienste ein.

Die Preise unterscheiden sich bei identischer Arbeit zwischen den Anbietern um das Dreifache. Vergleichen Sie die Angebote.