PCI DSS ist der Sicherheitsstandard der Kartenorganisationen wie Visa und Mastercard. Er klingt nach Bankensache, gilt aber für jeden, der Karten akzeptiert, auch für einen kleinen Shop mit zehn Bestellungen im Monat.
Die gute Nachricht: Mit einer einzigen Entscheidung entfällt fast der ganze Aufwand. Verarbeite Kartennummern niemals selbst. So sieht das praktisch für einen Shop in Deutschland, Österreich oder der Schweiz aus.
Ja, solange Kartendaten nie über deinen eigenen Server laufen. Nutze einen zertifizierten Zahlungsanbieter mit gehosteter Bezahlseite, setze überall HTTPS ein, und deine PCI-Pflichten bleiben minimal.
Die Grundregel: Fass die Kartennummer nie an
Tippt der Kunde seine Nummer in ein Formular auf deiner Seite, das an deinen Server sendet, fällst du unter die aufwendigen Teile von PCI. Geht die Nummer direkt vom Browser des Kunden zum Zahlungsanbieter, nicht.
Stripe, PayPal, Mollie oder Adyen bieten gehostete Bezahlseiten oder eingebettete Felder, die genau das leisten. Deine Seite erhält nur ein Ergebnis: bezahlt, abgelehnt oder offen.
Das braucht eine kleine Website
Sieh das als Mindest-Checkliste vor der ersten echten Bestellung:
- Ein zertifizierter Anbieter mit gehosteter Seite oder eingebetteten Feldern, kein selbstgebautes Kartenformular.
- HTTPS auf jeder Seite, auch im Warenkorb und auf der Dankeseite.
- 3-D Secure (starke Kundenauthentifizierung nach PSD2) aktiviert.
- Zahlarten, die Kunden in Deutschland erwarten: PayPal, SEPA-Lastschrift, Kreditkarte, Klarna, Rechnung.
- Geheime API-Schlüssel in den Servereinstellungen, nie im Seitencode oder in einem öffentlichen Repository.
Was du nie tun solltest
Speichere niemals Kartennummern oder den dreistelligen Prüfcode, weder in Datenbank, Tabelle, Chat noch E-Mail. Bitte nie um ein Kartenfoto per WhatsApp, sondern schicke einen Zahlungslink.
Schütze außerdem die Admin-Zugänge: starke, einmalige Passwörter, Zwei-Faktor-Anmeldung im Dashboard des Anbieters und Zugang entziehen, wenn jemand das Team verlässt. Da du personenbezogene Daten verarbeitest, gehört zudem eine Datenschutzerklärung nach DSGVO auf die Seite.
Der jährliche Papierkram
Händler mit gehosteter Bezahlseite füllen meist einmal im Jahr den einfachsten Selbstbewertungsfragebogen aus, oft direkt im Dashboard des Anbieters. Die Anforderungen unterscheiden sich je nach Anbieter und Bank: Prüfe die aktuellen Bedingungen und frage nach, was sie von dir erwarten.
Mit Uttra kannst du im Chat schreiben: „Füge einen Checkout mit der gehosteten Bezahlseite meines Anbieters hinzu, zeige PayPal, SEPA-Lastschrift und Karte an und lege den API-Schlüssel in den Einstellungen ab.“ Dann prüfst du den Ablauf in der Vorschau, testest im Testmodus und veröffentlichst.