Bei PCI DSS dominiert kein Rechnungsposten, sondern eine Architekturentscheidung. Der Standard bezieht sich auf alle Systeme, die Karteninhaberdaten verarbeiten, speichern oder übertragen — und auf alle Systeme, die mit diesen verbunden sind. Aus dieser Definition ergibt sich der Prüfumfang, und aus dem Prüfumfang ergibt sich alles Weitere: Zahl der Anforderungen, Zahl der Belege, Honorar des Prüfers, Zahl der Scans. Wer den Bezahlvorgang so baut, dass Kartendaten die eigene Umgebung nie berühren, prüft eine Handvoll Anforderungen. Wer sie durch die eigenen Server leitet, prüft mehrere hundert.
Bevor gerechnet wird, gehört eine Verwechslung ausgeräumt. PCI DSS ist keine Zertifizierung. Es gibt keine Akkreditierung, keine Zertifizierungsstelle und keine Urkunde. Der Standard wird von den Kartenorganisationen getragen, und die Verpflichtung erreicht Sie über den Vertrag mit Ihrer Bank oder Ihrem Zahlungsdienstleister. Nachgewiesen wird die Konformität über eine Erklärung — gestützt entweder auf einen selbst ausgefüllten Fragebogen oder auf den Bericht eines qualifizierten Prüfers. Wer eine Kostenaufstellung von einer ISO-Zertifizierung ableitet, kalkuliert an der Sache vorbei; wie ein Prüfbericht sich von einem Zertifikat unterscheidet, beschreibt auch die Seite zu SOC 2.
Der zweite Unterschied zur ISO-Welt betrifft den Rhythmus. Der Nachweis wird jedes Jahr vollständig erbracht. Es gibt keine Überwachungsaudits mit reduziertem Umfang und kein Entlastungsjahr. Was das für die Budgetplanung bedeutet, ordnet der Eintrag zu den Gesamtbetriebskosten ein.
Die Kostenblöcke im Einzelnen
1. Die Bestimmung von Level und Nachweisweg. Die Kartenorganisationen ordnen Händler und Dienstleister nach jährlichem Transaktionsvolumen in Stufen ein. Daraus folgt, ob eine Selbstauskunft ausreicht oder ein Prüfbericht durch einen qualifizierten Prüfer verlangt wird. Die verbindliche Auskunft kommt von Ihrer Bank. Diese Klärung kostet nichts außer einer E-Mail und ist der erste Schritt, weil alle weiteren Kosten daran hängen.
2. Die Festlegung des Geltungsbereichs. Welche Systeme gehören zur Kartendatenumgebung, welche sind mit ihr verbunden, was ist sauber abgetrennt? Diese Analyse ist der wichtigste Einzelposten der Vorbereitung und der einzige, an dem sich der gesamte Rest hebeln lässt. Die Mechanik ist dieselbe wie bei Zertifizierungen und steht im Eintrag zu Geltungsbereich und Preis.
3. Die Netzsegmentierung. Ohne Segmentierung ist Ihr gesamtes Firmennetz Prüfgegenstand, inklusive Bürorechner und Druckern. Mit Segmentierung schrumpft der Umfang auf wenige Systeme. Die Umbauarbeit ist eine einmalige Investition, die sich in jedem Folgejahr auszahlt — und sie ist der Grund, warum zwei gleich große Händler beim selben Prüfer weit auseinanderliegende Angebote bekommen.
4. Die Lückenanalyse. Der Abgleich zwischen Anforderungen und Ist-Zustand, bevor der Prüfer kommt. Wer sie überspringt, lässt den teuersten Berater im Haus die Lücken suchen. Der Eintrag zur Gap-Analyse beschreibt, warum dieser Posten sich fast immer rechnet.
5. Selbstauskunft oder Prüferhonorar. Der Fragebogen kostet kein Honorar, aber Arbeitszeit — und es gibt ihn in mehreren Varianten mit sehr unterschiedlicher Länge. Welche Variante zulässig ist, ergibt sich wiederum aus dem Bezahlprozess. Der Prüfbericht dagegen wird nach Aufwand kalkuliert: Zahl der Systeme, Zahl der Standorte, Zahl der Anforderungen, die tatsächlich zutreffen.
6. Schwachstellenscans. Extern erreichbare Adressen müssen in festen Abständen durch einen von der Trägerorganisation zugelassenen Anbieter gescannt werden. Das ist ein Abonnement, kein Projekt. Der Preis richtet sich nach der Zahl der Adressen. Teuer wird es dann, wenn Befunde behoben und die Scans wiederholt werden müssen, bis ein sauberes Ergebnis vorliegt.
7. Penetrationstests. Von außen und von innen, dazu die Prüfung, ob die Segmentierung tatsächlich hält. Der Segmentierungstest wird regelmäßig vergessen und ist gerade bei Dienstleistern häufiger fällig als bei Händlern. Er ist der größte externe Einzelposten neben dem Prüferhonorar.
8. Technische Dauerposten. Protokollierung mit ausreichender Aufbewahrung, Überwachung von Dateiintegrität, Schwachstellenmanagement, Mehrfaktoranmeldung für administrative Zugänge, Schlüsselverwaltung. Diese Anforderungen erfüllen Sie nicht zum Prüftermin, sondern das Jahr über. Die Lizenz- und Betriebskosten dieser Werkzeuge gehören in die Kalkulation, nicht in eine Fußnote.
9. Dienstleister und ihre Nachweise. Jeder Dritte, der Kartendaten berührt oder die Sicherheit der Umgebung beeinflusst, muss geführt, vertraglich gebunden und jährlich auf seinen eigenen Konformitätsnachweis geprüft werden. Bei einem gewachsenen Shop mit Hosting, Zahlungsdienstleister, Callcenter und Agentur ist das eine eigene kleine Verwaltungsaufgabe.
10. Interne Zeit über das Jahr. Zugriffsüberprüfungen, Änderungsfreigaben, Schulungen, Vorfallübungen, Auswertung von Protokollen. Warum dieser Block in fast jeder ersten Kalkulation fehlt, beschreibt der Beitrag warum die interne Zeit der größte Kostenblock ist.
Was den Preis nach oben treibt
| Faktor | Wirkung auf die Kosten |
|---|---|
| Kartennummern in eigenen Systemen gespeichert | Schlüsselverwaltung, Löschkonzept und Verschlüsselung kommen als eigene Prüffelder hinzu |
| Eigenes Zahlungsformular statt Weiterleitung | Der Shop wird Teil der Zahlungsstrecke, Entwicklung und Server werden mitgeprüft |
| Fehlende Netzsegmentierung | Das gesamte Firmennetz zählt zum Prüfumfang, inklusive Arbeitsplatzrechnern |
| Telefonische Kartenzahlung | Callcenter, Telefonanlage und Gesprächsaufzeichnung geraten in den Prüfumfang |
| Prüfbericht statt Selbstauskunft | Jede Anforderung wird einzeln belegt und vom Prüfer beobachtet |
| Viele Standorte mit Kartenterminals | Physische Sicherheit und Geräteinventur werden vor Ort stichprobenweise geprüft |
| Eigenentwickelte Zahlungssoftware | Sichere Entwicklung, Codeprüfung und Änderungssteuerung werden zusätzlich nachgewiesen |
| Viele extern erreichbare Adressen | Jede zusätzliche Adresse erhöht den Scanumfang und die Zahl möglicher Befunde |
| Erstnachweis statt Folgejahr | Beschreibung der Umgebung, Belegstruktur und Abstimmung entstehen einmalig komplett neu |
| Nachweise verstreut über Teams | Die Beschaffung während der Prüfung kostet mehr Stunden als die Prüfung selbst |
Wo sich sparen lässt
Kartendaten gar nicht erst annehmen. Der mit Abstand größte Hebel. Wenn die Bezahlung über eine Seite des Zahlungsdienstleisters läuft oder über ein eingebettetes Element, das dieser selbst ausliefert, berührt Ihr System die Daten nie. Der zulässige Fragebogen ist dann eine kurze Liste statt eines mehrhundertseitigen Katalogs. Diese Entscheidung fällt in der Entwicklung, nicht im Einkauf, und sie wirkt in jedem einzelnen Folgejahr.
Nichts speichern, was Sie nicht brauchen. Kartennummern in Bestellhistorien, Datenbankauszügen, Protokolldateien, E-Mail-Postfächern oder Fehlerberichten sind der häufigste Fund einer ersten Bestandsaufnahme. Jede dieser Fundstellen zieht Anforderungen nach sich. Ein Verfahren, das solche Daten systematisch findet und löscht, ist billiger als das Absichern der Systeme, in denen sie liegen.
Segmentieren, bevor der Prüfer kalkuliert. Der Prüfumfang wird vor dem Angebot festgelegt. Wer die Segmentierung erst danach angeht, hat den höheren Preis bereits unterschrieben. Ein flaches Netz ist der teuerste Ausgangspunkt, den es in diesem Standard gibt.
Telefonische Kartenzahlung technisch entkoppeln. Wenn Kartendaten am Telefon genannt werden, geraten Telefonanlage, Arbeitsplätze und vor allem die Gesprächsaufzeichnung in den Prüfumfang. Verfahren, bei denen die Kundin die Nummer selbst in ein automatisiertes System eingibt oder die Aufzeichnung während der Eingabe unterbrochen wird, halten diesen ganzen Bereich draußen.
Auf ein bestehendes Informationssicherheits-Managementsystem aufsetzen. Wer nach ISO 27001 arbeitet, hat Zugriffssteuerung, Änderungsmanagement, Lieferantenbewertung, Protokollierung und Vorfallbehandlung bereits im Betrieb. PCI DSS verlangt diese Dinge konkreter und technischer, aber der organisatorische Unterbau steht. Wie sich mehrere Nachweise bündeln lassen, beschreibt die Seite zu mehreren Normen im kombinierten Verfahren.
Nachweise dort erzeugen, wo gearbeitet wird. Zugriffsüberprüfungen im Berechtigungswerkzeug, Änderungsfreigaben im Ticketsystem, Schulungen im Personalsystem. Jeder Beleg, der einen zusätzlichen Ablageschritt braucht, wird im Alltag vergessen und muss vor der Prüfung rekonstruiert werden. Genau das macht den ersten Nachweis intern so teuer.
Was PCI DSS gegenüber anderen Nachweisen teurer oder günstiger macht
Gegenüber ISO 27001 ist PCI DSS enger und tiefer. Die ISO-Norm fragt, ob Sie Risiken erkennen und angemessen behandeln — welche Maßnahme angemessen ist, entscheiden Sie mit Begründung selbst. PCI DSS schreibt konkrete technische Anforderungen vor, bis hinunter zur Frage, welche Verfahren zulässig sind und in welchen Abständen geprüft wird. Das nimmt Ihnen Argumentationsarbeit ab und nimmt Ihnen zugleich jeden Spielraum. Für die Kosten heißt das: PCI DSS ist im Zuschnitt weniger verhandelbar, dafür aber vorhersehbar, sobald der Prüfumfang feststeht.
Der zweite Unterschied ist der Rhythmus, und er wird beim Vergleich regelmäßig übersehen. Eine ISO-Zertifizierung läuft über drei Jahre mit zwei kleineren Überwachungsaudits. PCI DSS wird jedes Jahr vollständig nachgewiesen, dazu kommen die unterjährigen Scans und Tests. Wer nur das erste Jahr gegenüberstellt, kommt zu einem verzerrten Ergebnis; über drei Jahre gerechnet dreht sich der Vergleich häufig um.
Gegenüber einem Prüfbericht nach SOC 2 ähnelt sich der Jahresrhythmus, der Zweck unterscheidet sich aber grundlegend. SOC 2 richtet sich an Ihre Kunden und wird von diesen gelesen. Der PCI-Nachweis richtet sich an Ihre Bank und wird dort abgelegt. Ein Vertrieb, der mit PCI-Konformität wirbt, verkauft damit weniger als er glaubt — außer gegenüber Partnern, die selbst im Kartengeschäft stehen und Ihre Konformität für ihren eigenen Nachweis brauchen.
Die praktische Konsequenz für die Entscheidung: Der Preis von PCI DSS wird nicht im Angebotsvergleich festgelegt, sondern im Bezahlprozess. Bevor Sie Angebote einholen, klären Sie mit Ihrer Bank das Level und mit Ihrer Entwicklung, wo die Kartendaten entlanglaufen. Alles andere ist Folge dieser beiden Antworten.