Sie haben einen WooCommerce-Shop eingerichtet, ein Payment-Gateway angebunden und die ersten Bestellungen angenommen. Dann erwähnt ein Zahlungsdienstleister oder ein Sicherheitsaudit die PCI-Compliance, und plötzlich stehen lauter Abkürzungen im Raum – DSS, SAQ, QSA, ROC – und es ist unklar, welche davon für Sie gelten.
Für die meisten kleinen Shopbetreiber ist die Realität einfacher, als es zunächst scheint. Einfacher heißt aber nicht optional, und die Hosting-Umgebung spielt eine größere Rolle, als den meisten bewusst ist. So funktionieren die Level, das verlangen sie, und darauf sollten Sie bei einem Hoster achten.
Was PCI-Compliance ist und warum sie Sie betrifft
PCI DSS ist der Payment Card Industry Data Security Standard. Die großen Kartenorganisationen haben ihn geschaffen, damit jedes Unternehmen, das Kartenzahlungen akzeptiert, Zahlungsdaten schützt. Wenn Ihr Shop Kredit- oder Debitkarten in irgendeiner Form annimmt, gilt er für Sie – unabhängig von Größe oder Umsatz.
Auch wenn Sie nie eine Kartennummer zu sehen bekommen, sind Sie Teil der Zahlungskette. Sobald Ihre Website Karteninhaberdaten erfasst, überträgt oder weiterleitet, liegt sie im Scope.
Die vier Händler-Level
Die Level richten sich hauptsächlich nach der Zahl der jährlichen Kartentransaktionen, die verbindliche Einstufung trifft aber Ihre acquirierende Bank oder Ihr Zahlungsdienstleister. Selbst Level 4 ist nicht ausgenommen – die Validierung ist nur einfacher. Ein Sicherheitsvorfall oder ein Zahlungsdienstleister, der Sie als risikoreicher einstuft, kann Sie höherstufen.
Level 16 Mio.+ pro Jahr
Oder jeder Händler, bei dem es bereits einen Sicherheitsvorfall gab. Jährliches Vor-Ort-Audit durch einen QSA, ein Report on Compliance, vierteljährliche ASV-Scans und jährliche Penetrationstests.
Level 21–6 Mio. pro Jahr
Jährlicher Self-Assessment Questionnaire, vierteljährliche ASV-Scans und je nach Bank teilweise eine QSA-Bestätigung.
Level 320.000–1 Mio. E-Commerce
Jährlicher SAQ, vierteljährliche ASV-Scans und eine Attestation of Compliance.
Level 4Unter 20.000 E-Commerce
Die meisten kleinen Onlineshops. Jährlicher SAQ, vierteljährliche ASV-Scans nach Vorgabe der Bank und eine Attestation of Compliance.
Die meisten kleinen WooCommerce-Shops sind Level 4 und werden über Dokumentation und Scans validiert statt über Vor-Ort-Audits. Was Sie tatsächlich leisten müssen, hängt trotzdem davon ab, wie Ihr Checkout eingerichtet ist und ob Kartendaten jemals Ihren Server berühren.
Was ein Self-Assessment Questionnaire ist
Für die Level 2 bis 4 ist der SAQ das wichtigste Instrument zur Validierung Ihrer Compliance – eine strukturierte Checkliste zu Datenschutz, Zugriffskontrolle, Konfiguration und Schwachstellenmanagement. Welche Version Sie ausfüllen, hängt ganz davon ab, wie Ihr Checkout mit Kartendaten umgeht; Ihr Zahlungsdienstleister bestätigt das.
SAQ-TypZum Öffnen tippen
SAQ A
Für Händler, die die Zahlungsabwicklung vollständig an einen PCI-konformen Drittanbieter auslagern und Kartendaten nie auf eigenen Systemen speichern, verarbeiten oder übertragen. Die einfachste Option mit dem kleinsten Scope.
SAQ A-EP
Für Händler, die die Abwicklung auslagern, deren Website aber dennoch eine Rolle auf der Zahlungsseite spielt – etwa weil sie ein Zahlungsformular einbettet oder hostet. Mehr Anforderungen, weil Ihre Website im Scope bleibt.
Eine häufige Verwechslung: Shops mit eingebetteten Feldern wie Stripe Elements oder Braintree Hosted Fields gehen manchmal von SAQ A aus, doch je nach Implementierung kann SAQ A-EP gelten. Klären Sie das mit Ihrem Zahlungsdienstleister, bevor Sie etwas ausfüllen.
Welche Rolle das Hosting spielt
PCI-Anforderungen erstrecken sich auf die Server hinter Ihrer Website, nicht nur auf Ihr Gateway. Wenn Kartendaten über Ihren Server laufen, von ihm weitergeleitet oder durch ihn beeinflusst werden, ist Ihr Hosting Teil der Compliance.
Shared HostingGeringste Isolation
Viele Websites teilen sich einen Server. Günstiger, doch je nach Konfiguration kann ein kompromittierter Nachbar Ihre Website gefährden.
VPS-HostingIsoliert
Ihre eigene virtuelle Umgebung mit mehr Kontrolle über Firewalls, Updates und Zugriffe.
Dediziertes HostingVolle Kontrolle
Ein vollständig isolierter physischer Server für maximale Kontrolle und höhere Compliance-Anforderungen.
Managed, PCI-konformInfrastruktur abgedeckt
Patching, Monitoring, Intrusion Detection und Schwachstellenmanagement werden für Sie übernommen.
Achtung: Die Anwendungsebene liegt weiterhin bei Ihnen.
Das Modell der geteilten Verantwortung
Ein PCI-konformer Hoster macht Ihren Shop nicht automatisch konform. Die Verantwortung ist aufgeteilt:
- Ihr Hoster kümmert sich um die Infrastruktur: Rechenzentrumssicherheit, Netzwerkkontrollen, Server-Härtung und System-Patches.
- Ihr Payment-Gateway verarbeitet Kartendaten auf seiner eigenen zertifizierten Infrastruktur und hält sie von Ihrem Server fern.
- Sie verantworten die Anwendungsebene: wie WooCommerce konfiguriert ist, welche Plugins laufen, wer Zugriff hat und wie schnell Schwachstellen behoben werden.
Ihr Hoster spielt beispielsweise Betriebssystem-Patches planmäßig ein – betreiben Sie aber eine veraltete WooCommerce-Version oder ein verwundbares Plugin, ist diese Lücke Ihre Sache.
Worauf Sie bei einem PCI-konformen Hoster achten sollten
Kann Ihr Hoster diese Fragen beantworten?0 von 6 beantwortet
Haken Sie alles ab, was Ihr Hoster belegen kann.
Kostenloses Audit anfordernKann ein Hoster diese Fragen nicht beantworten, ist das Grund genug, weiterzusuchen.
Der einfachste Weg für die meisten kleinen Shops
< 20KLevel 4
E-Commerce-Transaktionen
Pro Jahr. Hier liegen die meisten kleinen WooCommerce-Shops.
SAQ AKleinster Scope
Vollständig ausgelagerter Checkout
Kartendaten berühren nie Ihren Server.
VierteljährlichOft übersehen
ASV-Scans
Eine der Anforderungen, die kleine Shops am häufigsten auslassen.
- Nutzen Sie ein vollständig gehostetes, PCI-zertifiziertes Gateway wie Stripe, PayPal oder Square, damit Kartendaten nie Ihren Server berühren.
- Klären Sie Ihren SAQ-Typ mit Ihrem Zahlungsdienstleister oder Ihrer Bank ab – bei vollständig ausgelagertem Checkout oft SAQ A.
- Wählen Sie ein Hosting mit PCI-konformer Sicherheit, auch wenn Ihr Scope klein ist.
- Führen Sie den jährlichen SAQ und die vierteljährlichen ASV-Scans durch, damit Ihre Compliance dokumentiert bleibt.
Plugins, die PCI und Sicherheit unterstützen
Plugins machen Sie nicht konform, aber die richtigen stärken die Anwendungsebene, für die Sie verantwortlich sind.
WooCommerce Stripe Payment GatewayGateway
Lagert die Kartenabwicklung an Stripe aus. Mit Hosted Fields oder einem Redirect-Checkout qualifizieren sich die meisten kleinen Shops für SAQ A. Apple Pay, Google Pay, 3D Secure und tokenisierte gespeicherte Karten.
Achtung: Eingebettete Felder können SAQ A-EP bedeuten. Klären Sie das mit Stripe.
WooCommerce PayPal PaymentsGateway
Ein gehosteter, externer Checkout hält rohe Kartendaten von Ihrem Server fern. Pay Later, Venmo, Vaulting und integrierte Betrugsschutz-Tools.
Wordfence SecuritySicherheit
Eine Web Application Firewall, Malware-Scans, Login-Begrenzung, Zwei-Faktor-Authentifizierung und IP-Sperren in Echtzeit.
Sucuri SecuritySicherheit
Dateiintegritätsüberwachung, Malware-Scans, Aktivitätsprotokollierung und Unterstützung bei der Bereinigung nach einem Hack.
WP Activity LogProtokollierung
Detaillierte Aktivitätsprotokolle für Admins und Nutzer, Tracking von WooCommerce-Ereignissen, Warnmeldungen und Log-Aufbewahrung.
Ihre Compliance selbst in die Hand nehmen
Der häufigste Fehler ist die Annahme, das Gateway oder der Hoster decke alles ab. Das tut keiner von beiden. Ein praktischer Einstieg:
- Klären Sie Ihr Händler-Level und Ihren SAQ-Typ mit Ihrem Zahlungsdienstleister oder Ihrer Bank ab. Dieses eine Gespräch klärt das meiste, was für Sie gilt.
- Prüfen Sie Ihren Checkout-Ablauf. Wissen Sie genau, wohin Kartendaten gehen, wenn ein Kunde bezahlt.
- Überprüfen Sie Ihr Hosting. Fordern Sie eine dokumentierte AOC an und klären Sie, welche Sicherheitsfunktionen enthalten sind und was bei Ihnen bleibt.
- Planen Sie vierteljährliche ASV-Scans ein. Werden oft übersehen – und sind einfach, sobald der richtige Hoster oder Dienstleister feststeht.
- Füllen Sie den jährlichen SAQ aus. Der PCI Security Standards Council veröffentlicht die Formulare unter pcisecuritystandards.org.
Zu wissen, was verlangt wird, und konsequent danach zu handeln – so sieht Compliance in der Praxis aus.
