Sicherheitsstandards für die Aufbewahrung und Weiterverarbeitung sensibler Karteninhaberdaten Kreditkartenzahlungen erfreuen sich einer immer größer werdenden Beliebtheit. Der Schutz von Kreditkarteninformationen und Transaktionsdaten ist jedoch Voraussetzung für das Vertrauen der Verbraucher in diese Zahlungsform. Um dieses Vertrauen für alle an einer Kartentransaktion beteiligten Parteien zu stärken und weiter auszubauen, spielt das Thema Sicherheit bei Visa und MasterCard stets eine zentrale Rolle. So wurden nicht erst in jüngster Zeit immer wieder Maßnahmen zur Missbrauchsbekämpfung und Betrugsvorbeugung entwickelt. Aber nicht nur Verbraucher profitieren von dem höheren Maß an Sicherheit, auch für den Handel verbinden sich damit positive Auswirkungen. Zufriedenere Kunden generieren höhere Umsätze, Betrugsverluste lassen sich nachhaltig reduzieren und die Zahl der Reklamationen kann gesenkt werden. Welche Funktion haben Account Information Security Programme und Site Data Protection Programme? Bereits im Jahr 2000 hat Visa International das Programm Account Information Security (AIS) eingeführt und ein Jahr später auf globaler Ebene implementiert. MasterCard hat mit dem Site Data Protection Programme (SDP) ebenfalls ein vergleichbares Sicherheitsprogramm eingeführt. Zielsetzung von AIS und SDP ist die Unterstützung von Händlerbanken, Händlern, Service Providern bzw. Netzbetreibern und anderen externen Dienstleistern beim sicheren Umgang mit sensiblen Karten- und Transaktionsdaten. Die Programme definieren Sicherheitsanforderungen für die Verarbeitung, Speicherung und Übertragung von vertraulichen Informationen. Damit sollen eventuelle Sicherheitslücken in den eigenen Systemen identifiziert und mögliche Folgeschäden abgewendet werden. Was sind die Payment Card Industry (PCI) Data Security Standards? Um eine einheitliche Vorgehensweise bei der Umsetzung dieser Sicherheitsanforderungen zu ermöglichen, haben sich die Kartenorganisationen Visa und MasterCard zu Beginn dieses Jahres auf gemeinsame Standards geeinigt. Diese tragen die Bezeichnung Payment Card Industry (PCI) Data Security Standards und haben Gültigkeit für die gesamte Kartenzahlungsbranche. Das PCI-Datenschutz-Regelwerk umfasst zwölf Punkte, deren Einhaltung von allen Akzeptanzstellen und Service Providern sicherzustellen und gegebenenfalls nachzuweisen ist: 1. Installation und regelmäßige Aktualisierung einer Firewall zum Schutz von Daten 2. Keine Verwendung vorgegebener Werte (seitens Lieferanten / Herstellern) für System-Passwörter oder andere Sicherheitsparameter 3. Absicherung gespeicherter Daten, Karten- und Transaktionsdaten nicht unnötig speichern, wie etwa die vollständige Kartennummer, Daten der Magnetstreifenspuren, Kartenverifizierungscode bzw. Kartenprüfziffer (CVV2/CVC2) oder PIN 4. Verschlüsselte Übertragung von Karteninhaberdaten und sensiblen Informationen in offenen Netzwerken 5. Verwendung und regelmäßige Aktualisierung einer Anti-Viren-Software 6. Entwicklung und Verwendung sicherer Systeme und Anwendungen 7. Beschränkung des Datenzugriffs ausschließlich für geschäftliche Zwecke DZ BANK AG Seite 1 von7 Stand April 2007
8. Zuteilung einer persönlichen ID für jede Person mit Zugang zum Computersystem 9. Zugriffsberechtigungen im Zusammenhang mit sensiblen Karteninhaberdaten einschränken 10. Nachvollziehbarkeit und Überwachung aller Zugriffe auf Netzwerk-Ressourcen und Karteninhaberdaten 11. Regelmäßige Überprüfung von Sicherheitssystemen und Prozessabläufen 12. Unternehmensrichtlinie, die das Thema Informationssicherheit regelt Was bedeuten die PCI-Datenschutz-Standards für Vertragsunternehmen? Vertragsunternehmen und Service Provider sind verpflichtet, die PCI Data Security Standards bei der Verarbeitung von Karten- und Transaktionsdaten einzuhalten. Konkret bedeutet dies, dass sie einen Zertifizierungsprozess durchlaufen müssen, der durch ein von Visa und MasterCard autorisiertes Unternehmen ausgeführt wird. Die Programme von Visa (Account Information Security AIS) und MasterCard (Site Data Protection SDP) bleiben weiterhin bestehen. Die PCI-Datenschutz-Standards umfassen jedoch die Prüfungsanforderungen beider Programme, so dass aufgrund der gemeinsamen, einheitlichen Standards, ein Vertragsunternehmen oder Service Provider den Zertifizierungsprozess nur einmal absolvieren muss und nicht getrennt für beide Kartensysteme. Über Art und Umfang des Zertifizierungsablaufs entscheiden u.a. die monatliche Anzahl der Transaktionen, die Transaktionsart (Standardtransaktion, E-Commerce oder Telefon/Versandhandel Mailund(Tele)Phone Order (MOTO) und die Tatsache, inwiefern Kreditkartendaten gespeichert werden. Werden Kreditkartendaten beim Vertragsunternehmen und/oder Service Provider gespeichert, so ist eine Zertifizierung unabhängig von der Transaktionsanzahl obligatorisch. Nachfolgende Tabelle stellt die Anforderungen der Kartenorganisationen an Händlerbanken nach Anzahl und Art der Transaktionen der angeschlossenen Vertragsunternehmen dar: Anzahl der Transaktionen Pro Jahr Standardtransaktionen / Mail-und(Tele)Phone Order, E-Commerce Maßnahmen Vierteljährlicher Sicherheitscheck Jährliche Vor- Ort Prüfung Selbstauskunft In Form eines Fragebogens Mehr als 6 Mio. Alle Obligatorisch Obligatorisch Obligatorisch Weniger als 6 Mio. Zwischen 20.000 und 6 Mio. Weniger als 20.000 Standardtransaktionen / Mail-und(Tele)Phone Order Obligatorisch wenn Kreditkartendaten gespeichert werden Empfohlen E-Commerce Obligatorisch Obligatorisch E-Commerce Obligatorisch wenn Kreditkartendaten gespeichert werden Empfohlen DZ BANK AG Seite 2 von7 Stand April 2007
Was können Vertragsunternehmen tun, um konform den Sicherheitsprogrammen und den vertraglichen Regelungen der DZ BANK Kreditkartenzahlungen zu akzeptieren? Die Mindestanforderung der DZ BANK an die Transaktionsverarbeitung lautet: Keine Speicherung von Kreditkartendaten durch das Vertragsunternehmen bzw. durch beauftragte Dienstleister oder Partner (z.b. Inkassounternehmen, Hotelbuchungssystemen, etc.). Nutzung eines von der DZ BANK freigegebenen Service Providers zur Transaktionsverarbeitung und Transaktionseinreichung. Bei E-Commerce ist ausschließlich die Nutzung einer Pay-Page (Bezahlseite) im technischen Betrieb eines der von der DZ BANK freigegebenen Payment Service Providers (PSP) zugelassen. Es dürfen keine Kreditkartendaten im eigenen technischen Umfeld des Vertragsunternehmens (Online- Shopsystem, eigenen Kundendatenbanken etc.) gespeichert (auch nicht zwischengespeichert) werden. Bei E-Commerce sind zudem die epayment-verfahren VERIFIED by VISA und MasterCard SecureCode verpflichtend anzuwenden. Neben den Sicherheitsprogrammen AIS und SDP bieten diese Verfahren die Möglichkeit zur Authentisierung der Karteninhaber während des Zahlungsvorgangs, ähnlich einer Unterschriftsprüfung am realen POS. Der Karteninhaber zahlt weiterhin wie bisher mit der Eingabe seiner Kreditkartendaten (Kartennummer, Ablaufdatum und Kartenprüfziffer CVV2/CVC2). Was können Vertragsunternehmen tun, für die eine Prüfung obligatorisch ist, um mit dem Zertifizierungsprozess zu beginnen und sicherzustellen, dass sie die PCI- Datenschutz-Standards erfüllen? Es wird folgende Vorgehensweise vorgeschlagen: Abrufen weiterer Details zum VISA Account Information Security Programme und zum MasterCard Site Data Protection Programme inkl. PCI Data Security Standards Guide (in englischer Sprache) unter den folgenden URLs: http://www.visaeurope.com/aboutvisa/security/ais/main.jsp http://www.mastercard.com/us/sdp/index.html Vertragsunternehmen, einschließlich das in Zahlungstransaktionen involvierte Personal, sollten sich mit den PCI-Datenschutz-Standards vertraut machen und diese im Unternehmen umsetzen. Wenn bereits ein Payment Service Provider verwendet wird, ist mit diesem zu klären, ob dieser bereits nach AIS und SDP bzw. PCI zertifiziert ist. Gegebenenfalls Kontaktaufnahme mit einem von den Kreditkartenorganisationen akkreditierten PCI Prüfungsunternehmen für weitere Details im Zusammenhang mit einem notwendigen Zertifizierungsprozess. Durchführung / Vorbereitung der oben skizzierten Maßnahmen (s. Tabelle) in Abhängigkeit vom Transaktionsvolumen und der Tatsache der Speicherung von Kreditkartendaten. Einleitung von Korrekturmaßnahmen im Zusammenhang mit möglicherweise identifizierten Sicherheitslücken oder Schwachstellen. Wenn die PCI-Datenschutz-Standards erfüllt sind, sicherstellen, dass diese auch weiterhin eingehalten werden. Für Unterstützung und bei weiteren Fragen zur Zertifizierung wenden sich Vertragsunternehmen direkt an die von VISA und MasterCard akkreditierten Prüfungsgunternehmen (siehe Anhang). DZ BANK AG Seite 3 von7 Stand April 2007
Das Vertragsunternehmen speichert Kreditkartendaten (Abb. 1) Das Vertragsunternehmen verarbeitet und/oder speichert Kreditkartendaten in seinen technischen Systemen (z.b. im Online-Shopsystem, in Kundendatenbanken, etc.) und/oder es werden Kreditkartendaten bei externen Dienstleistern und Partner im Auftrag des Vertragsunternehmens gespeichert. Damit ist das Vertragsunternehmen verpflichtet einen Nachweis über die Einhaltung der Sicherheitsprogramme zu erbringen. (Abb.1) *PSP muss AIS+SDP / PCI zertifiziert und von der DZ BANK freigegeben sein DZ BANK AG Seite 4 von7 Stand April 2007
Das Vertragsunternehmen speichert keine Kreditkartendaten Das Vertragsunternehmen nimmt selbst keine Kreditkartendaten vom Kunden (z.b. über ein Shopsystem bzw. eine Bezahlfunktion im eigenen technischen Umfeld) bzw. über beauftragte Dienstleister oder Partner (z.b. Inkassounternehmen, Hotelbuchungssystemen, etc.) entgegen. Das Vertragsunternehmen speichert und verarbeitet keine Kreditkartendaten. Im Falle der Verarbeitung von E-Commerce Transaktionen übernimmt ein Payment Service Provider (PSP) Abrechnungsinformationen (Auftragsdaten für die Abrechnung, Gesamtbetrag, eventuell Referenznummer, etc.) aus dem Onlineshop des Vertragsunternehmens und betreibt die Bezahlseite (Pay-Page) im Auftrag des Vertragsunternehmens in einem nach AIS und SDP bzw. PCI geprüften technischen Umfeld. Den Nachweis über die sichere Abwicklung und Einhaltung der Sicherheitsprogramme AIS, SDP bzw. PCI erbringt der PSP über ein von den Kreditkartenorganisationen akkreditiertes Prüfungsunternehmen (aktuelle Übersicht der Unternehmen anbei) im jeweils von den Kartenorganisationen festgelegten Turnus. (Abb.2) *PSP muss AIS+SDP / PCI zertifiziert und von der DZ BANK freigegeben sein Was muss ein Vertragsunternehmen tun, wenn Stand heute Kreditkartendaten gespeichert werden? a) Für die Zahlungsabwicklung des Vertragsunternehmens ist ein nach AIS+SDP bzw. PCI zertifizierter und von der DZ BANK freigegebener PSP zu nutzen. Es dürfen künftig keine Kreditkartendaten (Kreditkartennummer, Ablaufdatum, CVV2/CVC2 bzw. Kartenprüfziffer) in den Systemen des Händlers bzw. bei beauftragten Dienstleistern oder Partnern (z.b. Inkassounternehmen, Hotelbuchungssystemen, etc.) gespeichert werden. b) Werden auch weiterhin Kreditkartendaten durch das Vertragsunternehmen bzw. durch beauftragte Dienstleister oder Partner (z.b. Inkassounternehmen, Hotelbuchungssystemen, etc.) gespeichert, ist das Vertragsunternehmen verpflichtet der DZ BANK einen Nachweis über die erfolgreiche Prüfung nach AIS + SDP unter Einbezug von PCI über ein von VISA und MasterCard akkreditiertes Prüfungsunternehmen zu erbringen. DZ BANK AG Seite 5 von7 Stand April 2007
Welche Service Provider erfüllen heute die Sicherheitsprogramme und sind von der DZ BANK freigegeben? CardProcess GmbH Wachhausstraße 4 76227 Karlsruhe Telefon: 07 21-1209 - 0 Telefax: 0721-1209-6988 Internet: http://www.cardprocess.de E-Mail: vertrieb@cardprocess.de Neukundenberatung: 0721-1209-6999 (VERIFIED by VISA und MasterCard SecureCode) Die CardProcess ist als ein Unternehmen des FinanzVerbundes der Volksbanken Raiffeisenbanken das technische Kompetenzzentrum im Kartengeschäft. easycash GmbH: Am Gierath 20 40885 Ratingen Telefon: 02102-973-0 Telefax: 02102-973-400 Internet: http://www.easycash.de E-Mail: info@easycash.de Neukundenberatung: 0800-4411224 (VERIFIED by VISA und MasterCard SecureCode) TeleCash GmbH & Co.KG Konrad-Adenauer-Allee 1 61118 Bad Vilbel Telefon 01805-56622100* Telefax 01805-56622105* E-Mail internet@telecash.de Internet: http://www.telecash.de (VERIFIED by VISA und MasterCard SecureCode) 1&1 Internet AG (VERIFIED by VISA) Elgendorfer Str. 57 56410 Montabaur Telefon: 01805-672828* E-Mail: support@ipayment.de Internet: http://www.ipayment.de * 0,14 EUR/Min. für Anrufe aus dem deutschen Festnetz, Mobilfunkpreise können abweichen DZ BANK AG Seite 6 von7 Stand April 2007
Welche Prüfungsunternehmen sind von VISA und MasterCard akkreditiert? Auf den Webseiten von VISA Europe und MasterCard International finden Sie Informationen zu den beiden Sicherheitsprogrammen AIS und SDP, sowie dem zugrunde liegenden PCI Payment Card Industry Data Security Standards. Sie können sich über folgende Links die Unterlagen als pdf-dokumente ansehen. Dokumente VISA Europe zum Payment Card Industry (PCI) Data Security Standard www.visaeurope.com/acceptingvisa/downloads.html Dokumente MasterCard International zum Payment Card Industry (PCI) Data Security Standard sdp.mastercardintl.com Abrufen weiterer Details (in englischer Sprache) zum Account Information Security Programme unter der URL: http://www.visaeurope.com/aboutvisa/security/ais/resourcesanddownloads.jsp sowie Herunterladen des Leitfadens PCI Data Security Standards Guide. Die nachfolgenden von den Kartenorganisationen akkreditierten deutschsprachigen Prüfungsunternehmen können für ein qualifiziertes Assessment herangezogen werden. Weiterführende Informationen und Dokumentationen über die Durchführung der Maßnahmen finden Sie auf den genannten Internetseiten der jeweiligen Anbieter. EXCELSIS Business Technology GmbH: Sophienstraße 41 70178 Stuttgart Internet: https://pci.excelsisnet.com/ Kontakt Zertifizierung: Ralph Wörn, Tel.: 0711 / 6 20 30-232, email: ralph.woern@excelsisnet.com Stefan Dreher, Tel.: 0711 / 6 20 30-417, email: stefan.dreher@excelsisnet.com SRC Security Research & Consulting GmbH: Graurheindorfer Straße 149a D-53117 Bonn Internet: http://www.src-gmbh.de/src Kontakt Zertifizierung: AIS+SDP Hotline: Tel.: 0228 / 2806-166 Weitere Unternehmen entnehmen Sie bitte der von VISA laufend aktualisierten Liste im Internet: http://www.visaeurope.com/aboutvisa/security/ais/resourcesanddownloads.jsp DZ BANK AG Seite 7 von7 Stand April 2007