Höchste Sicherheit für Kreditkartenzahlungen: Novalnet AG erfüllt PCI DSS Level 1 und bietet höchstmöglichen Schutz und Sicherheit für Onlinehändler

Novalnet als Zahlungsdienstleister steht seit Jahren für höchsten Datenschutz. So hat sich die Novalnet AG erneut den strengen Anforderungen des PCI DSS Standards gestellt. Mit Erfolg: Novalnet erfüllt nach wie vor die strengsten Sicherheitsanforderungen der Kreditkartenindustrie nach dem PCI DSS Standard V3.2 Level 1.

Durch diese Zertifizierung bietet die Novalnet AG den höchstmöglichen Schutz und die höchstmögliche Sicherheit für Onlinehändler.

Dem PCI DSS Standard entsprechen müssen Unternehmen, die mit Kreditkartendaten in Berührung kommen bzw. Kreditkartenzahlung anbieten möchten. Zu den strengen Auflagen gehören mitunter regelmäßige Audits und Sicherheit-Scans durch einen Qualified Security Assessor.

Bei der Speicherung, Verarbeitung und Übertragung von Kreditkartendaten ist die Sicherheit ein grundlegendes Kriterium. Dem PCI DSS Standard entsprechen müssen Unternehmen, die mit Kreditkartendaten in Berührung kommen bzw. Kreditkartenzahlung anbieten möchten. Zu dem Portfolio der Novalnet AG gehört mitunter die Zahlungsart Kreditkarte. Nach unabhängiger Prüfung durch einen PCI qualifizierten Spezialisten erfüllt die Novalnet AG die höchste Validierungsstufe (LEVEL 1) nach dem neuesten PCI DSS Standard V 3.2. Zu den strengen Auflagen, der Level 1 Zertifizierung gehören unter anderem regelmäßige Audits und Sicherheit-Scans durch einen Qualified Security Assessor.

PCI DSS ist nicht zwingend erforderlich für Händler, dank des PCI DSS konformen Payment-Plugins der Novalnet.

Der Händler der Novalnet AG kann sich die aufwendige Zertifizierung ersparen, indem er z.B. die PCI DSS Zertifizierung eines Payment-Service-Providers nutzt. Wichtig ist hierbei, dass der Dienstleister PCI DSS konform ist (dieses kann mitunter auf den Webseiten von VISA und MasterCard überprüft werden) und der Händler keine Kreditkartendaten speichert, verarbeitet oder übermittelt. Das kann beispielsweise über ein PCI DSS konformes Payment-Plugin des Anbieters geschehen. Somit erspart sich auch der Händler die empfindlichen Strafen, falls er sich nicht selbst zertifiziert. Die Strafen sind mitunter Geldstrafen und können sogar dahin führen, dass die Erlaubnis, Kreditkartenzahlungen entgegenzunehmen, entzogen wird. Darüber hinaus ist der Händler haftungspflichtig, wenn Kreditkartendaten gestohlen oder missbraucht werden.

Höchstes PCI DSS Level

Aufwendige und kostenintensive Prüfverfahren sind nötig, um die höchste Zertifizierungsklasse, PCI DSS Level 1, zu erhalten. Dabei führen ausgebildete Prüfer (QSA) eine strenge Prüfung vor Ort durch. Es werden unter anderem die Server- und Applikationssicherheit sowie der Datenschutz überprüft. Die Novalnet AG hat sich nach den höchsten Prüfverfahren und -kriterien durch einen offiziell vom PCI Security Standards Council akkreditierten Auditor überprüfen lassen.

Herr Gabriel Dixon, Vorstandsvorsitzender der Novalnet AG äußert sich: „Wir sind stolz, die hohen Sicherheitsanforderungen des PCI DSS Level 1 zu erfüllen und unseren Kunden somit größte Sicherheit zu bieten. Unsere Kunden schätzen neben unserem Service die Qualität und die Sicherheit, welche wir wieder unter Beweis stellen konnten.“

„Sicherheit war und wird auch weiterhin unsere höchste Priorität sein. Um auch in Zukunft die Sicherheit zu gewährleisten, arbeiten wir stets am Ausbau unserer technischen Infrastruktur und weiteren Sicherheitsmaßnahmen“, sagt Holger Bosk, CTO der Novalnet AG.

Sicherheitsanforderungen des PCI DSS Regelwerkes in einer kurzen Übersicht

Installation, Einrichtung und regelmäßige Aktualisierung der Firewall zum Schutz von Daten

Keine Verwendung der von Lieferanten/Herstellern vorgegebenen System-Passwörter bzw. anderer Sicherheits-Parameter

Schutz der gespeicherten Daten: keine unnötige Abspeicherung der Transaktions- und Kreditkartendaten wie bspw. vollständige Daten, Kartennummer, CVV2 usw.

Karteninhaberdaten werden nur in verschlüsselter Form über das öffentliche Netz übertragen

Nutzung und regelmäßige Aktualisierung von Anti-Viren-Programmen

Entwicklung und Verwendung sicherer Systeme und Anwendungen

Beschränkung des Datenzugriffs

Zuweisung von eindeutigen Kennungen für alle Personen mit Zugriff zu einem Computersystem

Einschränkung sensibler Karteninhaberdaten durch restriktive Zugriffsberechtigungen

Ständige Überprüfung und Verfolgung der Zugriffe auf Karteninhaberdaten und Netzwerk-Ressourcen

Laufende Überwachung der Sicherheitssysteme und -prozesse

Unternehmensrichtlinien in Sachen Informationssicherheit

Was ist PCI DSS?

Bereits seit 2006 existiert das PCI SSC (Payment Card Industry Security Standards Council), welches sich zum Ziel gesetzt hat, die PCI-Sicherheitsstandards weiterzuentwickeln, darüber aufzuklären und zu verwalten. Gegründet wurde das SSC von den Kreditkartenunternehmen Visa Inc., MasterCard Worldwide, American Express, Discover Financial Services und JCB International. Die PCI DSS Standards gingen letztendlich aus den Sicherheitsstandards von MasterCard und VISA Inc. hervor. Dieser Sicherheitsstandard wird mittlerweile von allen namhaften Kreditkartenorganisationen als verbindlich angesehen. Der Standard definiert die Anforderungen für die Bereiche der Speicherung, Verarbeitung und Übermittlung von Kreditkartendaten. Das Ziel ist, einen sorgfältigen und geschützten Umgang mit diesen Daten sicherzustellen. Im Detail heißt das:

Einrichtung und Betrieb eines geschützten Netzwerks

Schutz von aufbewahrten und übermittelten Karteninhaberdaten

Einrichtung und Betrieb eines Schwachstellen-Management-Systems

Umsetzung effektiver Richtlinien zur Zugriffskontrolle

Regelmäßige Überwachung und Überprüfung der IT-Infrastruktur

Formulierung und Durchsetzung einer Richtlinie zur Informationssicherheit

Verpflichtend ist PCC DSS für Payment-Service-Provider, Banken, Prozessoren und Händler, welche Karteninhaberdaten entgegennehmen, speichern oder übermitteln. Somit unterliegen auch alle Online-Shopbetreiber und Unternehmen, die Kreditkartenzahlung anbieten möchten, diesen Konformitätsregelungen. Um die aufwendige technische Umsetzung der geforderten Kriterien zu minimieren und die Kosten zu ersparen, bietet sich ein Payment-Service-Provider an, der mit PCI DSS konformen Payment-Plugins und weitere Lösungen arbeitet.

PCI DSS wirklich erforderlich für Händler?

Wenn Händler einen bereits PCI DSS zertifizierten Payment Service Provider nutzen, können diese durch das technische „Know-how“ und dessen Lösungen, die strenge und kostenintensive Zertifizierung vermeiden. Wichtig ist hierbei, dass der Dienstleister PCI DSS konform ist (dieses kann mitunter auf den Webseiten von VISA und MasterCard überprüft werden) und der Händler keine Kreditkartendaten speichert, verarbeitet oder übermittelt.

Weiterführende Links

• Originalmeldung von Novalnet AG
• Alle Meldungen von Novalnet AG