PCI-DSS-Compliance für sichere Dateiübertragungssysteme

PCI DSS 4.0 (ab dem 31. März 2025 verpflichtend) stellt 12 Anforderungen an jedes System, das Karteninhaberdaten speichert, verarbeitet oder überträgt. Für Dateiübertragungssysteme sind die wesentlichen Kontrollen: Anforderung 3 (Schutz gespeicherter Kontodaten durch AES-256 oder stärker mit ordnungsgemäßem Schlüsselmanagement), Anforderung 4 (Verschlüsselung der Übertragung mit mindestens TLS 1.2, TLS 1.3 empfohlen), Anforderung 8 (MFA für jeden Zugriff auf die Karteninhaberdaten-Umgebung), Anforderung 10 (Protokollierung jedes Zugriffs auf die CDE für mindestens 12 Monate) und Anforderung 12 (Governance und Service-Provider-Management). Ein Dateiübertragungssystem, das eine einzige .csv mit PANs verarbeitet, fällt vollständig in den Geltungsbereich des Standards.

Was den PCI-DSS-Geltungsbereich auslöst

PCI DSS gilt für jede Systemkomponente, die Karteninhaberdaten (CHD) oder sensible Authentifizierungsdaten (SAD) verarbeitet, speichert oder überträgt. CHD ist die Primary Account Number (PAN), der Name des Karteninhabers, das Ablaufdatum und der Servicecode. SAD sind CVV, vollständige Trackdaten und PINs – niemals nach der Autorisierung zu speichern. Ein Dateiübertragungstool, das ein Spreadsheet mit PANs von einer Partnerbank empfängt, fällt in den Geltungsbereich. Ein Tool, das einen Zusammenfassungsbericht mit den letzten vier Ziffern sendet, nicht. Tokenisierte oder gekürzte PANs (maximal erste sechs plus letzte vier Stellen) fallen nicht in den Geltungsbereich. Geltungsbereichsreduzierung ist die ROI-stärkste PCI-Maßnahme – tokenisieren Sie so früh wie möglich.

Wesentliche Neuerungen in PCI DSS 4.0

Version 4.0 (veröffentlicht März 2022, verpflichtend ab April 2024 mit zukunftsdatierten Anforderungen bis März 2025) führte ein: individueller Ansatz (Alternative zum definierten Ansatz, erfordert eine gezielte Risikoanalyse), überarbeitete MFA-Anforderungen auf alle CDE-Zugriffe ausgeweitet (nicht nur Admins), strengere Passwortregeln (ab Januar 2025 mindestens 12 Zeichen gemäß 8.3.6), erhöhte Häufigkeit vieler Aufgaben (vierteljährliche Scans, jährliche Penetrationstests) und explizite Anforderungen für clientseitige Zahlungsseiten (6.4.3, 11.6.1 zur Skimming-Erkennung). Dateiübertragungssysteme spüren 8.3.6 und 10 am stärksten – strengere Authentifizierung und Protokollierung.

Anforderung 3: Schutz gespeicherter PANs

Anforderung 3 verbietet die Speicherung von SAD nach der Autorisierung und schreibt starken Schutz für gespeicherte PANs vor. Zulässige Methoden: Einweg-Hashes mit starkem Salt (SHA-256 mit PAN-spezifischem Salt von mindestens 128 Bit), Kürzung (nicht mehr als erste sechs und letzte vier Stellen), Index-Token mit sicher gespeicherten Pads oder starke Verschlüsselung mit zugehörigem Schlüsselmanagement. Bei Dateiübertragungssystemen ist der sauberste Ansatz die Tokenisierung, bevor die Datei in die Übertragungspipeline gelangt – verwenden Sie einen PCI-zertifizierten Tokenisierungsdienst (Braintree, Stripe Radar, VGS) und übertragen Sie nur Tokens. Müssen rohe PANs passieren, verwenden Sie AES-256-GCM mit Schlüsseln in einem FIPS-140-2-Level-2+-HSM.

Anforderung 4: Übertragungsverschlüsselung

4.2.1 verlangt starke Kryptografie für die Übertragung von PANs über offene, öffentliche Netze. „Starke Kryptografie" gemäß PCI-Glossar verweist auf NIST SP 800-57 – AES-256 für symmetrisch, RSA 3072+ für asymmetrisch, TLS 1.2+ für den Transport. TLS 1.0 und 1.1 vollständig deaktivieren (seit 2018 abgekündigt, durch 4.0 verboten). Konfiguration vierteljährlich mit SSL Labs oder Qualys SSL Test prüfen. E-Mail ist explizit problematisch – 4.2.2 verlangt, dass PANs, die über End-User-Messaging-Technologien gesendet werden, vor der Übertragung unlesbar gemacht werden. Klartext-PAN in einer E-Mail verstößt gegen PCI. Senden Sie stattdessen einen sicheren Link zu einem verschlüsselten Download.

Anforderung 8: MFA in der gesamten CDE

8.4 und 8.5 in PCI DSS 4.0 verlangen MFA für (a) alle nicht-konsolenbasierten Zugriffe auf die CDE durch administratives Personal und (b) alle Remote-Zugriffe auf die CDE durch jegliches Personal. „Alle" ist das Schlüsselwort gegenüber früheren Versionen – Auftragnehmer, Prüfer, Support-Nutzer, nicht nur Admins. Zulässige MFA-Faktoren: etwas, das Sie wissen (Passwort), etwas, das Sie haben (Hardware-Token, Phone-App), etwas, das Sie sind (Biometrik). Zwei Faktoren müssen unabhängig sein; zwei Passwörter genügen nicht. Hardware-Schlüssel (YubiKey, Feitian) über FIDO2 erfüllen 8.5 sauber. SMS-OTP wird nicht empfohlen – NIST SP 800-63B hat sein Sicherungsniveau 2016 herabgestuft.

Anforderung 10: Protokollierung und 12-monatige Aufbewahrung

10.2 verlangt Audit-Protokolle für: individuellen Nutzerzugriff auf CHD, Aktionen von Nutzern mit Adminrechten, Zugriff auf Audit-Trails, ungültige Zugriffsversuche, Identifizierungs- und Authentifizierungsmechanismen, Initialisierung von Audit-Protokollen, Erstellung und Löschung von Systemobjekten. 10.5.1 schreibt eine Aufbewahrung von mindestens 12 Monaten vor, davon drei Monate sofort verfügbar. 10.7 fügte Anforderungen zur Erkennung und Reaktion auf Ausfälle kritischer Sicherheitskontrollen innerhalb von 24 Stunden hinzu. Für CDE-Dateiübertragungssysteme verwenden Sie einen unveränderlichen Protokollspeicher – AWS CloudWatch Logs mit CloudTrail, Azure Monitor mit unveränderlichen Richtlinien oder Splunk mit Write-Once-Konfiguration.

Anforderung 12: Service-Provider-Governance

12.8 regelt das Management von Service-Providern. Führen Sie eine Liste der Service-Provider mit Leistungsbeschreibungen und PCI-DSS-Geltungsbereich, schließen Sie schriftliche Vereinbarungen mit jedem ab, in denen die Verantwortung für die CHD-Sicherheit anerkannt wird, dokumentieren Sie, welche PCI-Anforderungen von wem verwaltet werden, und überwachen Sie jährlich den Compliance-Status der Provider. Fordern Sie von Dateiübertragungsanbietern deren PCI-DSS-Konformitätsbescheinigung (AOC) an. Level-1-Provider (über 300.000 Transaktionen/Jahr) durchlaufen jährliche Vor-Ort-Bewertungen; kleinere Provider können sich selbst bewerten.

Geltungsbereichsreduzierung durch clientseitige Verschlüsselung

Wenn Ihr Dateiübertragungsanbieter niemals Klartext-PANs sieht, weil die Verschlüsselung vor dem Upload auf dem Client stattfindet, kann der Anbieter außerhalb des PCI-Geltungsbereichs liegen. Die PCI-Guidance dazu ist nuanciert – die PCI SSC Cloud Computing Guidelines (2019) erkennen die Geltungsbereichsreduzierung durch Verschlüsselung an, sofern (a) der Cloud-Provider keinen Zugriff auf Schlüssel hat, (b) der Kunde nachweislich die Schlüsselverwaltung innehat und (c) die Kryptografie stark ist. Dienste mit clientseitiger AES-256-GCM-Architektur – HexaTransfer und ähnliche – können als Übertragungskanäle außerhalb des Händler-CDE-Geltungsbereichs genutzt werden, wenn sie sorgfältig eingesetzt werden. Dokumentieren Sie die Architektur im System of Record.

Penetrationstests und Schwachstellenmanagement

11.4 verlangt jährliche Penetrationstests und nach wesentlichen Änderungen. Für Dateiübertragungssysteme umfasst der Pentest-Scope: Upload- und Download-Endpunkte, den Authentifizierungsfluss, das CDE-Netzwerksegment und jede für Dateioperationen verwendete API. Beauftragen Sie einen CREST- oder PCI-anerkannten Tester. 11.3 verlangt vierteljährliche Schwachstellenscans durch einen Approved Scanning Vendor (ASV) für externe Komponenten. Interne Scans werden selbst vierteljährlich durchgeführt. Kritische und hohe Findings innerhalb von 30 Tagen beheben; niedrigere Schweregrade gemäß Risikoanalyse.

Netzwerksegmentierung und die CDE-Grenze

Netzwerksegmentierung isoliert die CDE von Nicht-CDE-Netzwerken und reduziert den Geltungsbereich. Die Segmentierung muss jährlich (11.4.5) mit Tests verifiziert werden, die zeigen, dass die Isolation auch bei Ausfällen funktioniert. Für ein Dateiübertragungssystem, das PANs verarbeitet, segmentieren Sie Upload-Pipeline, verschlüsselten Objektspeicher, KMS-Endpunkte und Logging-Pipeline in ein dediziertes VPC ohne Ost-West-Konnektivität zu allgemeinen Unternehmensnetzwerken. Nutzen Sie private Subnetze, Default-Deny-Sicherheitsgruppen und VPC-Endpunkte zu Cloud-Services.

Kompensierende Kontrollen und der individuelle Ansatz

Der individuelle Ansatz in PCI DSS 4.0 erlaubt alternative Kontrollen, wenn sie das Ziel einer Standardanforderung erfüllen. Erfordert eine gezielte Risikoanalyse (TRA), die das Risiko, die individuelle Kontrolle, ihre Zielerreichung und ihre Testbarkeit dokumentiert. Für Dateiübertragungssysteme taucht ein individueller Ansatz häufig beim kryptografischen Schlüsselmanagement auf. Der individuelle Ansatz benötigt QSA-Genehmigung – er ist keine DIY-Übung. Der definierte Ansatz ist einfacher; nutzen Sie den individuellen nur dort, wo der definierte nicht zur Technologie passt.

PCI-Compliance auf der Übertragungsschicht ist im Wesentlichen Geltungsbereichsreduzierung plus gute Kryptohygiene. Tokenisieren Sie PANs so früh wie möglich. Auf hexatransfer.com testen — kostenlos, ohne Konto, bis 10 GB.